Das HinSchG führt zu einer Kollision mit dem Datenschutzrecht. Nach Art. 14 DSGVO müssen die Betroffenen, die in einer Meldung genannt oder beschuldigt werden, über die Zwecke der Datenverarbeitung sowie die Identität des Hinweisgebers informiert werden.
Ein solcher Fall kann eintreten, wenn das Verhalten einer dritten Person, z.B. von Kollegen, Gegenstand einer Meldung ist. Nach § 14 Abs. 2 Buchst. f) DSGVO müsste der betroffenen Person u.a. mitgeteilt werden, aus welcher Quelle die sie betreffenden personenbezogenen Daten stammen.
Da damit die Identität der hinweisgebenden Person offengelegt werden würde, verstößt diese Handhabung gegen das in § 8 Abs. 1 HinSchG normierte Gebot der Vertraulichkeit.
Einschränkung von Datenschutzrechten
Datenschutzrechtliche Auskunfts- und Informationsansprüche müssen daher eingeschränkt werden (ErwG 84 Whistleblowerrichtlinie). Rechtsgrundlage dafür kann § 29 Abs. 1 Satz 2 BDSG sein, wonach das Recht zur Auskunft der betroffenen Person nicht besteht, soweit die Informationen geheimhaltungsbedürftig sind.
Gleiches sollte für den Auskunftsanspruch Betroffener nach Art. 15 DSGVO gelten, wobei eine Interessenabwägung im Einzelfall erforderlich sein kann. Erweist sich ein gemeldeter Vorwurf als berechtigt, muss die Auskunft ausgeschlossen sein.
Handelt es sich dagegen um eine vorsätzliche oder grob fahrlässige Denunzierung, besteht ein Auskunftsanspruch, da sich auch Schadensersatzansprüche gegen den Hinweisgeber ergeben können.
Meldungen der Hinweisgeber sind mit Eingang umfassend zu dokumentieren. Je nach Meldekanal ist hierfür eine Einwilligung der hinweisgebenden Person erforderlich, und die Dokumentation ist drei Jahre nach Abschluss des Verfahrens wieder zu löschen. Die Verarbeitung und Speicherung personenbezogener Daten sind auf das notwendige Minimum zu beschränken.
Zu beachten ist, dass das Unternehmen den Hinweisgebenden innerhalb von sieben Tagen eine Eingangsbestätigung der Meldung und innerhalb von maximal drei Monaten eine Rückmeldung zu den getroffenen Maßnahmen geben muss. Genaue Vorgaben zu der Bearbeitung der Hinweise durch die internen Meldestellen existieren im Gesetzentwurf allerdings nicht.
