Welche datenschutzrechtlichen Pflichten bestehen noch im Zusammenhang mit der Einrichtung einer internen Meldestelle ?
Nach Art. 13 DS-GVO sind die Personen, die sich an die interne Meldestelle wenden, darüber zu informieren, wie ihre personenbezogenen Daten verarbeitet werden. Da die in Art. 13 DS-GVO genannten Informationen bereits bei Erhebung der Daten mitgeteilt werden müssen, müssen entsprechende Datenschutzhinweise erstellt werden, die gemeinsam mit dem Hinweis auf die Existenz und die Kontaktdaten der internen Meldestelle betriebs- bzw. behördenintern zu veröffentlichen sind.
Weiterhin müssen die Datenverarbeitungen im Zusammenhang mit dem Betrieb der internen Meldestelle in das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DS-GVO aufgenommen werden.
Bei der Einrichtung der internen Meldestellen und der Meldekanäle müssen auch die notwendigen technischen und organisatorischen Maßnahmen gemäß Art. 32 Abs. 1 DS-GVO getroffen werden. So muss ein Zugriff unbefugter Personen auf Meldungen und sonstige Daten der internen Meldestelle durch ein Zugriffsberechtigungskonzept mit Durchsetzung, z.B. über Passwortsicherungen mit einer Passwortrichtlinie, und Kontrolle durch die Protokollierung von Zugriffen ausgeschlossen werden. Generell sollten Whistleblowing-Hotlines wie die interne Meldestelle außerhalb der Personalverwaltung organisiert und betrieben werden. Es wäre ggf. eine Ende-zu-Ende-Verschlüsselung anzubieten, um so vertrauliche personenbezogene Daten übermitteln zu können. Außerdem sind bei der Einbeziehung der Software und technischen Lösungen dritter Anbieter in die Einrichtung der Meldekanäle die Anforderungen des Art. 28 DS-GVO zu beachten. Insbesondere dürfen nur Anbieter ausgewählt werden, die hinreichende Garantien für eine datenschutzkonforme Verarbeitung und den Schutz der betroffenen Personen bieten. Außerdem muss ein Auftragsverarbeitungsvertrag geschlossen werden.
Der betriebliche oder behördliche Datenschutzbeauftragte muss nach Art. 38 DS-GVO auch bei Meldesystemen ordnungsgemäß und frühzeitig in alle Fragen, die den Schutz personenbezogener Daten betreffen, eingebunden werden.