Nach welcher Rechtsgrundlage darf eine interne Meldestelle die personenbezogenen Daten der Meldenden und der in den Meldungen genannten Personen verarbeiten ?

Zumindest eine mit Mitarbeitenden des Beschäftigungsgebers besetzte interne Meldestelle ist kein Verantwortlicher im datenschutzrechtlichen Sinne nach Art. 4 Nr. 7 DS-GVO. Sie ist vielmehr Teil des Beschäftigungsgebers, dem die von ihr vorgenommenen Datenverarbeitungen zugerechnet werden, und der für diese damit eine Rechtsgrundlage nach Art. 6 Abs. 1 Satz 1 DS-GVO benötigt. Gemäß Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO dürfen personenbezogene Daten verarbeitet werden, wenn dies zur Erfüllung einer rechtlichen Pflicht erforderlich ist. Diese Norm setzt voraus, dass das Unionsrecht oder das Recht der Mitgliedsstaaten eine Vorschrift enthält, die zu der Datenverarbeitung verpflichtet (s. Art. 6 Abs. 3 DS-GVO). Die Pflicht zur Errichtung interner Meldestellen folgt aus § 12 HinSchG (s. Frage 3). Die Datenverarbeitung dieser Meldestellen ist in § 10 HinSchG geregelt. Danach sind die Meldestellen befugt, personenbezogene Daten zu verarbeiten, soweit dies zur Erfüllung ihrer in den §§ 13 und 24 HinSchG bezeichneten Aufgaben erforderlich ist. Nach § 13 HinSchG betreiben die internen Meldestellen Meldekanäle nach § 16 HinSchG, führen das Verfahren nach § 17 HinSchG und ergreifen Folgemaßnahmen nach § 18 HinSchG. Außerdem halten sie für Beschäftigte klare und leicht zugängliche Informationen über externe Meldeverfahren gemäß Unterabschnitt 3 HinSchG und einschlägige Meldeverfahren von Organen, Einrichtungen oder sonstigen Stellen der Europäischen Union bereit. Damit kann die Verarbeitung der personenbezogenen Daten durch die internen Meldestellen im zur Erfüllung ihrer Aufgaben erforderlichen Rahmen auf Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO i.V.m. §§ 10 und 12 HinSchG gestützt werden.

Sieht man von externen Dritten betriebene interne Meldestellen als eigene (Mit-)Verantwortliche für die Datenverarbeitung an, verarbeiten diese die personenbezogenen Daten zur Erfüllung ihrer Pflichten nach §§ 16 bis 18 HinSchG. Die Rechtsgrundlage ist damit Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO i.V.m. §§ 10 und 16 bis 18 HinSchG.

Sollen die im Meldeverfahren erhobenen Daten von dem Beschäftigungsgeber zu anderen Zwecken genutzt werden, z.B. um bei einer stichhaltigen Meldung weitere Untersuchungen durchzuführen oder arbeitsrechtliche Schritte gegen die eines Verstoßes überführten Personen zu ergreifen, braucht es hierfür eine Grundlage außerhalb des HinSchG. Die hierfür erforderliche Weitergabe der personenbezogenen Daten des Hinweisgebers und der übrigen in der Meldung genannten Personen von der internen Meldestelle an die zuständige Stelle innerhalb des Beschäftigungsgebers richtet sich nach Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO und §§ 10, 12, 13, 18 Nr. 4 Buchstabe a und 9 Abs. 3 und 4 Nr. 2 HinSchG. Als Rechtsgrundlage für eine Weiterverarbeitung im Betracht kommt z.B. Art. 6 Abs. 1 Satz 1 Buchstabe b DS-GVO, welcher Datenverarbeitungen erlaubt, die zur Durchführung des mit der betroffenen Person geschlossenen Arbeitsvertrags erforderlich sind. Nach § 26 Abs. 1 Satz 2 Bundesdatenschutzgesetz (BDSG) dürfen personenbezogene Daten von Beschäftigten zur Aufklärung von Straftaten verarbeitet werden, wenn zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat, die Verarbeitung zur Aufdeckung erforderlich ist und das schutzwürdige Interesse der oder des Beschäftigten an dem Ausschluss der Verarbeitung nicht überwiegt, insbesondere Art und Ausmaß im Hinblick auf den Anlass nicht unverhältnismäßig sind. § 15 Abs. 1 Satz 1 Landesdatenschutzgesetz Baden-Württemberg (LDSG) gestattet öffentlichen Stellen des Landes Baden-Württemberg die Verarbeitung der personenbezogenen Daten von Beschäftigten, soweit dies zur Eingehung, Durchführung, Beendigung oder Abwicklung des jeweiligen Dienst- oder Arbeitsverhältnisses oder zur Durchführung innerdienstlich planerischer, organisatorischer, personeller, sozialer oder haushalts- und kostenrechnerischer Maßnahmen, insbesondere zu Zwecken der Personalplanung und des Personaleinsatzes, erforderlich oder in einer Rechtsvorschrift, einem Tarifvertrag oder einer Dienst- oder Betriebsvereinbarung (Kollektivvereinbarung) vorgesehen ist.