Wie ist die Vertraulichkeit der hinweisgebenden Personen und der in den Meldungen genannten Personen sicherzustellen ?
Nach § 8 Abs. 1 Satz 1 HinSchG haben die Meldestellen die Vertraulichkeit der Identität der hinweisgebenden Person, sofern die gemeldeten Informationen Verstöße betreffen, die in den Anwendungsbereich dieses Gesetzes fallen, oder die hinweisgebende Person zum Zeitpunkt der Meldung hinreichenden Grund zu der Annahme hatte, dass dies der Fall sei, der Personen, die Gegenstand einer Meldung sind, und der sonstigen in der Meldung genannten Personen zu wahren. Die Identität der genannten Personen darf nach § 8 Abs. 1 Satz 2 HinSchG ausschließlich den Personen, die für die Entgegennahme von Meldungen oder für das Ergreifen von Folgemaßnahmen zuständig sind, sowie den sie bei der Erfüllung dieser Aufgaben unterstützenden Personen bekannt werden. Dies deckt sich mit allgemeinen datenschutzrechtlichen Anforderungen, nach denen personenbezogene Daten ebenfalls nur an die Personen weitergegeben werden dürfen, die sie zur Erledigung ihrer Aufgaben, und damit zum Erreichen des Verarbeitungszwecks, benötigen. Gemäß Art. 5 Abs. 1 Satz 1 Buchstabe c DS-GOV muss die Verarbeitung personenbezogener Daten auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein („Datenminimierung“).
Ausnahmen von der Verpflichtung zur Vertraulichkeit finden sich in § 9 HinSchG. Hiernach wird die Identität einer hinweisgebenden Person, die vorsätzlich oder grob fahrlässig unrichtige Informationen über Verstöße meldet, nach § 9 Abs. 1 HinSchG nicht geschützt. § 9 Abs. 2 HinSchG regelt die Fälle, in denen Informationen über die Identität einer hinweisgebenden Person oder über sonstige Umstände, die Rückschlüsse auf die Identität dieser Person erlauben, auch ohne deren Zustimmung weitergegeben werden dürfen. Die Datenübermittlungen beruhen dabei auf einer gesetzlichen Pflicht nach Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO, wenn ein Verlangen der Strafverfolgungsbehörden, eine Anordnung im Verwaltungsverfahren oder eine gerichtliche Entscheidung vorliegt. Hier ergibt sich die gesetzliche Pflicht aus der Grundlage für das behördliche Verlangen oder für die gerichtliche Entscheidung im Strafprozessrecht oder sonstigen Gesetzen. Der internen Meldestelle wird durch § 9 Abs. 2 HinSchG kein Ermessensspielraum eröffnet, ob sie dem Ersuchen nachkommt (BT-Drs. 20/2443, S. 75). Allerdings ist bei behördlichen Auskunftsersuchen ggf. zu prüfen, ob es für sie eine geeignete Rechtsgrundlage gibt und die Voraussetzungen der betreffenden Norm nicht offensichtlich nicht vorliegen. Ein weiterer Grund zur Weitergabe der Identität ist die Erfüllung der Aufgaben der Bundesanstalt für Finanzdienstleistungsaufsicht und des Bundeskartellamts nach Art. 6 Abs. 1 Satz 1 Buchstabe e DS-GVO. Außerdem darf die Identität der hinweisgebenden Person nach § 9 Abs. 3 HinSchG gegenüber beliebigen Empfängern offengelegt werden, wenn die Weitergabe für Folgemaßnahmen erforderlich ist und die hinweisgebende Person zuvor in Textform in die Weitergabe eingewilligt hat. § 9 Abs. 3 Satz 3 HinSchG verweist hinsichtlich der erforderlichen Freiwilligkeit der Einwilligung auf § 26 Abs. 2 BDSG. Hiernach sind für die Beurteilung der Freiwilligkeit der Einwilligung insbesondere die im Beschäftigungsverhältnis bestehende Abhängigkeit der beschäftigten Person sowie die Umstände, unter denen die Einwilligung erteilt worden ist, zu berücksichtigen. Freiwilligkeit kann insbesondere vorliegen, wenn für die beschäftigte Person ein rechtlicher oder wirtschaftlicher Vorteil erreicht wird oder Arbeitgeber und beschäftigte Person gleichgelagerte Interessen verfolgen.
Die Identität von Personen, die Gegenstand einer Meldung sind, und von sonstigen in der Meldung genannten Personen darf unter den Voraussetzungen des § 9 Abs. 4 HinSchG weitergegeben werden. Hierbei erfolgen die dort genannten Datenverarbeitungen entweder aufgrund der Einwilligung der betroffenen Person nach Art. 6 Abs. 1 Satz 1 DS-GVO, wobei diese freiwillig und informiert sein muss, aufgrund einer gesetzlichen Pflicht nach Art. 6 Abs. 1 Satz 1 Buchstabe c DS-GVO zur Erfüllung der Pflicht der internen Meldestelle zum Ergreifen von Folgemaßnahmen nach § 17 Abs. 1 Nr. 6 HinschG und § 18 HinSchG oder zur Erfüllung der Aufgaben der Bundesanstalt für Finanzdienstleistungsaufsicht und des Bundeskartellamts nach Art. 6 Abs. 1 Satz 1 Buchstabe e DS-GVO.