Home
Intern
veröffentlicht am 28. März 2023 | Lesedauer ca. 4 Minuten
Interne Ermittlungen werden künftig vermehrt an Bedeutung gewinnen. Sobald das Hinweisgeberschutzgesetz (HinSchG) das Gesetzgebungsverfahren abgeschlossen hat und in Kraft tritt, werden sich die Unternehmen vielfältigen Herausforderungen stellen. Aber auch die Datenschutzbeauftragten müssen eine klare Linie zum Spannungsfeld von Vertraulichkeit und Auskunftsbegehren bei internen Ermittlungen einnehmen.
Im Rahmen von internen Ermittlungen kann der datenschutzrechtliche Auskunftsanspruch nach Art. 15 Abs. 1 DS-GVO des Beschuldigten mit dem Anonymitätsbedürfnis des Hinweisgebers in Konflikt geraten. Soweit der Beschuldigte Auskunft verlangt, sieht sich das Unternehmen als Verantwortlicher diesem Spannungsfeld ausgesetzt. Der nachfolgende Beitrag stellt die Einschränkung des Auskunftsrechts und die im Zuge dessen vorzunehmende Interessenabwägung dar.
Bei ausreichenden Verdachtsmomenten hinsichtlich einer Fehlhandlung ist ein Unternehmen dazu verpflichtet, jenen nachzugehen. Im Regelfall werden solche internen Ermittlungen durch (interne oder externe) Hinweisgeber angestoßen; spätestens mit Inkrafttreten des HinSchG sollten Unternehmen entsprechende Meldekanäle eingerichtet haben. Anlass für Untersuchungen bieten beispielsweise Meldungen über etwaige Compliance-Verstöße.
Es gilt zu beachten, dass im Rahmen der internen Ermittlungen personenbezogene Daten von Mitarbeitern in Bezug auf eine etwaiges Fehlverhalten verarbeitet werden. Diesbezüglich kann der Beschuldigte als betroffene Personen Auskunft verlangen. Nach Maßgabe des Art. 15 Abs. 1 lit. g) DS-GVO erstreckt sich das Auskunftsrecht u.a. auf alle verfügbaren Informationen über die Herkunft der Daten. Somit hat jener dem Grunde nach einen Anspruch gegen den Verantwortlichen auf Auskunft, wer der Hinweisgeber war. Voraussetzung ist, dass die betreffenden Daten nicht beim Betroffenen erhoben wurden; das ist bei internen Ermittlungen aufgrund von Hinweisen regelmäßig gegeben. Demgegenüber besteht bei den Hinweisgebern ein Interesse an der Geheimhaltung ihrer Identität, um vor etwaigen Benachteiligungen geschützt zu sein.
Unternehmen sehen sich in derartigen Fällen dem Dilemma ausgesetzt, die Identität des Hinweisgebers gegen dessen Willen offenbaren oder dem Auskunftsanspruch des Beschuldigten nicht vollumfänglich nachkommen zu müssen.
Allerdings besteht das Auskunftsrecht nicht einschränkungslos; es kann etwa durch Rechte und Freiheiten anderer Personen eingeschränkt sein. In dogmatischer Hinsicht kann die Herleitung dieser Einschränkung (unmittelbar aus der DS-GVO oder über die Öffnungsklausel des Art. 23 Abs. 1 lit. i) DS-GVO i.V.m auf § 29 Abs. 1 S. 2 BDSG) nach Auffassung des BGH dahinstehen. Denn in beiden Fällen komme es darauf an, ob das Interesse des Hinweisgebers an der Geheimhaltung seiner Identität das Auskunftsinteresse überwiege (BGH, Urteil vom 22.02.2022 – VI ZR 14/21, NJW-RR 2022, 764). Maßgeblich sei mithin eine Interessenabwägung.
In diese ist zugunsten des Auskunftsberechtigten Bedeutung, Gewicht und Zweck des Auskunftsrechts über die Herkunft der Daten einzubeziehen. So ist das Recht jeder Person, Auskunft über die sie betreffenden erhobenen Daten zu erhalten und die Berichtigung der Daten zu erwirken, in Art. 8 Abs. 2 S. 2 GRCh gewährleistet. Im Lichte von Erwägungsgrund 63 S. 1 DS-GVO dient das Auskunftsrecht dem Zweck, dass sich die betroffene Person der Verarbeitung der sie betreffenden Daten bewusst wird und deren Rechtmäßigkeit überprüfen kann; im Falle der Dritterhebung soll die betroffene Person in die Lage versetzen, mögliche Rechte auch gegen denjenigen geltend zu machen, von dem die – möglicherweise unrichtigen oder zu Unrecht weitergegebenen – Daten herrühren (hierzu vertiefend Dix in: Simitis/Hornung/Spieker, Datenschutzrecht, 2019, Art. 15 DS-GVO Rn. 24). Auf der anderen Seite ist zugunsten des Hinweisgebers zu berücksichtigen, dass auch dessen Rechte durch Art. 7, 8 GRCh verbürgt sind.
Hinsichtlich der Durchführung der Interessenabwägung können sich Unternehmen an dem von den europäischen Datenschutzaufsichtsbehörden entwickelten Stufenmodell orientieren (EDPB, Guidelines 01/2022 on data subject rights – Right of access, S. 50). Demnach ist auf erste Stufe zu prüfen, ob die Befolgung des Ersuchens nachteilige Auswirkungen auf die Rechte und Freiheiten anderer Beteiligter hat. Ist das der Fall, so ist auf zweiter Stufe eine einzelfallbezogene Interessenabwägung unter Berücksichtigung der Wahrscheinlichkeit und Schwere der mit der Übermittlung der Daten verbundenen Risiken durchzuführen. Im Rahmen dessen soll der Verantwortliche versuchen, die kollidierenden Rechte miteinander in Einklang zu bringen. In diesem Zusammenhang ist flankierend auf Erwägungsgrund 63 DS-GVO zu verweisen, wonach der Schutz der Rechte und Freiheiten anderer nicht dazu führen soll, dass der betroffenen Person sämtliche Informationen verweigert werden. Mithin sind die Unternehmen gehalten, geeignete Maßnahmen zur Minderung des Risikos für die Rechte und Freiheiten anderer zu ergreifen; so kommt beispielsweise eine Unkenntlichmachung etwaiger personenbezogener Daten in Betracht. Erscheint Derartiges allerdings nicht möglich, hat der Unternehmer als Ultima Ratio zu entscheiden, welche der kollidierenden Rechte und Freiheiten Vorrang gebührt.
In diesem Kontext gilt es die Klarstellung des BGH vorauszuschicken, dass der Verantwortliche die Informationen nicht allein durch den Einwand verweigern kann, dem Hinweisgeber Vertraulichkeit zugesichert zu haben; ebenso wenig genügt ein pauschaler Verweis auf das Schutzbedürfnis des Hinweisgebers und darauf, dass der Verantwortliche auf dessen Hinweise angewiesen sei.
Im Rahmen der Interessenabwägung kommt insbesondere der Qualität der eingegangenen Meldung Bedeutung zu. Nach Auffassung des BGH hat das Interesse an der Geheimhaltung des Hinweisgebers gegenüber dem Auskunftsinteresse regelmäßig dann zurückzutreten, wenn der Hinweisgeber wider besseres Wissen oder leichtfertig unrichtige Angaben zu personenbezogenen Daten der betroffenen Person gemacht hat. Etwaige unrichtige Angaben berühren die legitimen Interessen des Auskunftsberechtigten; jene können Abwehr- und Schadensersatzansprüche gem. §§ 823, 1004 BGB analog bzw. §§ 823 ff. BGB i.V.m. Art. 2 Abs. 1, 1 Abs. 1 GG auslösen. Darüber hinaus können etwa die Person des Hinweisgebers, der Stand der Ermittlungen sowie Intensität des erhobenen Vorwurfs in die Abwägung einbezogen werden.
Der Unternehmer ist für die Umstände darlegungs- und beweisbelastet, die im Rahmen der gebotenen einzelfallbezogenen Interessenabwägung die Verweigerung der begehrten Auskunft über die Person des Hinweisgebers rechtfertigen sollen. Nach Auffassung des BGH darf sich dieser nicht auf bloße Vermutungen stützen; vielmehr sind konkrete Tatsachen zu benennen, die das überwiegende Interesse des Hinweisgebers an seiner Geheimhaltung begründen sollen.
Unternehmen als Verantwortliche haben sich vor Augen zu führen, dass sie vor der Erfüllung eines Auskunftsbegehrens eines Beschuldigten im Regelfall eine Interessenabwägung vorzunehmen haben. Diesbezüglich kommt der sachlichen Richtigkeit des Hinweises große Relevanz zu, so dass eine dahingehende Überprüfung erforderlich ist. Weiter ist zu beachten, dass sich angesichts der Einzelfallbezogenheit jedwede Pauschalierung verbietet. Mit Blick auf die Erreichung sachgerechter Beurteilungen empfiehlt sich ein Prüfungsschema festzulegen, welches gleichermaßen Dokumentationszwecken dient.
