Durch die bis 17. 12. 2021 umzusetzende Whistleblowing-Richtlinie der EU ist der Begriff »Whistleblowing« wieder in aller Munde. Bei der verpflichtenden Einführung von unternehmensinternen wie auch konzernweiten Hinweisgebersystemen, die Mitarbeitern ermöglichen, betriebsinterne Verstöße zu melden, darf aber der Datenschutz nicht unberücksichtigt bleiben. [...]
Die Datenschutzbehörde (vor 2014 Datenschutzkommission) anerkannte seit jeher als Rechtsgrundlage für jegliche Datenverarbeitung ein »überwiegendes berechtigtes Interesse« des Auftraggebers (Verantwortlicher laut DSGVO). Die Einführung einer Whistleblowing-Hotline unterlag gemäß dem alten Datenschutzgesetz der Meldepflicht beim Datenverarbeitungsregister und musste darüber hinaus einer Vorabkontrolle durch die Datenschutzbehörde unterzogen werden.
Durch die Einführung der DSGVO wurde die Meldepflicht beim Datenverarbeitungsregister gänzlich abgeschafft und durch ein vom Verantwortlichen zu führendes Verarbeitungsverzeichnis ersetzt. Es ist zwar zwingend, eine sogenannte Datenschutzfolgenabschätzung durchzuführen, die Konsultation mit der Datenschutzbehörde hängt dabei aber vom Ergebnis ab.
Eine gesetzliche Verpflichtung zur Einführung von Meldesystemen gab es bislang in Österreich nur für Kreditinstitute. Die Whistleblowing-Richtlinie sieht jedoch vor, dass insbesondere juristische Personen des privaten Sektors mit mehr als 50 Dienstnehmern und juristische Personen des öffentlichen Sektors (inklusive Stellen, die in deren Eigentum oder unter deren Kontrolle stehen) einen internen Meldeprozess für Hinweisgeber zur Meldung von Verstößen gegen das Unionsrecht einzurichten haben. Zum ersten Mal gibt es daher in Österreich eine gesetzliche Grundlage zur Verarbeitung von personenbezogenen Daten im Zusammenhang mit Hinweisgebersystemen.
Derzeit ist jedoch aus arbeitsrechtlicher Sicht trotzdem eine Betriebsvereinbarung notwendig, um ein solches System einzuführen, da es sich um eine »die Menschenwürde berührende« Kontrollmaßnahme handelt. Unklar ist daher, wie sich die Umsetzung der Richtlinie auf die derzeitige Pflicht zum Abschluss einer Betriebsvereinbarung auswirkt. Würde alles bleiben, wie es ist, so könnte der Betriebsrat ein gesetzlich vorgeschriebenes Hinweisgebersystem boykottieren.
Zusätzlich hat der Betreiber eines Hinweisgebersystems auch die gesetzliche Pflicht, den »Beschuldigten« zu informieren. Nach derzeitiger Gesetzeslage würde das im Zusammenhang mit der in der DSGVO gesetzlich verankerten Informationspflicht den Grundsatz der Vertraulichkeit beeinträchtigen.
Rund um die Whistleblowing-Richtlinie gibt es also gerade im Bereich Datenschutz noch viele offene Fragen. Diese werden wohl erst mit Umsetzung der Richtlinie in Österreich abschließend beantwortet werden können.
Mag. Andreas Schütz ist Anwalt bei Taylor-Wessing.
Be the first to comment