Datenschutzerklärung zum Hinweisgebersystem
Kuratorium Wiener Pensionisten-Wohnhäuser
Datenschutz
Datenschutzerklärung gemäß Artikel 13 & 14 DSGVO
Stand 01.05.2023
Einleitung und Verantwortlichkeit für die Verarbeitung
Das Hinweisgebersystem des Kuratoriums Wiener Pensionisten-Wohnhäuser (KWP) dient Mitarbeiterinnen und Mitarbeitern sowie Kundinnen und Kunden, Lieferanten und weiteren Dritten des Kuratorium Wiener Pensionisten-Wohnhäuser dazu, Meldungen zu Verstößen gegen externe und interne Vorschriften zu erstatten, wobei eine anonyme Abgabe von Meldungen ermöglicht wird.
Das Kuratorium Wiener Pensionisten-Wohnhäuser (kurz „KWP“, „wir“ bzw. „uns“) fungiert im Rahmen des Betriebes dieses Hinweisgebersystems als Verantwortliche gemäß Art 4 Nr. 7 DSGVO. Dementsprechend setzen wir Maßnahmen, um Ihre personenbezogenen Daten angemessen zu schützen. Anlaufstelle für Anfragen ist die Abteilung Compliance der Servicestellen & Geschäftsleitung des KWP, compliance@kwp.at. Anlaufstelle für Betroffenenrechte ist der/die Datenschutzbeauftragte unter datenschutz@kwp.at.
Das KWP bekennt sich zu Transparenz und ethischem Handeln.
Das KWP hält alle Rechtsvorschriften zum Schutz, zum rechtmäßigen Umgang und zur Geheimhaltung Ihrer personenbezogenen Daten sowie zur Gewährleistung der Datensicherheit ein. Wir verarbeiten Ihre personenbezogenen Daten auf der Grundlage der DSGVO, des österreichischen DSG idgF sowie aller sonst anwendbaren unionsrechtlichen und nationalen Bestimmungen idgF zum Datenschutz.
Zu welchen Zwecken und aus welchem Grund verarbeiten wir Ihre personenbezogenen Daten im Hinweisgebersystem? Wessen personenbezogene Daten werden verarbeitet und auf welcher Rechtsgrundlage?
Zweck der Verarbeitung personenbezogener Daten im Hinweisgebersystem
Der Betrieb des Hinweisgebersystems und die damit verbundene Verarbeitung personenbezogener Daten erfolgen zu dem Zweck, Hinweise zu
- (mutmaßlichen) Verstößen gegen Gesetze, Verordnungen und sonstige externe Rechtsvorschriften, sowie zu
- (mutmaßlichen) Verstößen gegen interne Regeln und Richtlinien,
entgegenzunehmen und zu bearbeiten.
Kategorien betroffener Personen
Im Rahmen des Hinweisgebersystems kommt die Verarbeitung personenbezogener Daten folgender Kategorien betroffener Personen in Betracht:
- Mitarbeiterinnen und Mitarbeiter des KWP, ungeachtet, ob jene Personen entgeltlich oder unentgeltlich tätig werden; hiervon sind auch ehemalige Mitarbeiterinnen und Mitarbeiter sowie überlassene Arbeitskräfte umfasst
- Kundinnen und Kunden
- Lieferanten sowie Mitarbeiterinnen und Mitarbeiter von Lieferanten des KWP
- Bewerberinnen und Bewerber für einen Job beim KWP
- Mitarbeiterinnen und Mitarbeiter bei Behörden
- Geschäfts- und Kooperationspartnerinnen und -partner, einschließlich deren Mitarbeiterinnen und Mitarbeiter
- Angehörige oder Nahestehende von betroffenen Personen aus den vorgenannten Personengruppen.
Die obigen Personen können im Rahmen des Hinweisgebersystems folgende Rollen haben:
- Hinweisgeber: Dies ist eine Person, die eine Meldung zu einem mutmaßlichen Verstoß abgibt.
- Von einer Meldung betroffene Person: Dies ist eine Person, auf die sich eine Meldung bezieht bzw. der ein mutmaßlicher Verstoß vorgeworfen wird.
- Zeuge: Dies ist eine Person, die vom Melder als Zeuge eines mutmaßlichen Verstoßes namhaft gemacht wird.
- Dritter: Dies ist eine Person, die in einer Meldung oder ergänzenden Mitteilung eines Hinweisgebers genannt wird, ohne Zeuge oder von der Meldung betroffene Person zu sein.
- Vertrauensperson: Eventuell beigezogene Rechtsanwälte oder Notare.
- Fallbearbeiter: Dies sind entsprechend geschulte, vertrauenswürdige und einer spezifischen Verschwiegenheitspflicht unterliegende Mitarbeiterinnen und Mitarbeiter des KWP, die Meldungen bearbeiten.
Kategorien personenbezogener Daten
Da die Abgabe von Meldungen grundsätzlich anonym erfolgen kann, werden von Hinweisgebern nur dann personenbezogene Daten verarbeitet, wenn diese auf Anonymität verzichten. Allerdings kann nicht ausgeschlossen werden, dass aus dem Inhalt einer Meldung Rückschlüsse auf die Person des Hinweisgebers gezogen werden können und dadurch personenbezogene Daten des Hinweisgebers verarbeitet werden.
Die Verarbeitung personenbezogener Daten im Rahmen des Hinweisgebersystems ist abhängig vom Inhalt einer Meldung sowie etwaigen ergänzenden Informationen seitens des Hinweisgebers. Personenbezogene Daten werden nur dann und soweit verarbeitet, als diese im Hinblick auf einen gemeldeten mutmaßlichen Verstoß von Relevanz sind.
In Betracht kommt die Verarbeitung folgender Kategorien personenbezogener Daten:
- Personenstammdaten (Vor- und Nachname, Geburtsdatum, Geschlecht, Alter, Adresse)
- Beschäftigungsdaten (Unternehmenszugehörigkeit, Funktion)
- Informationen zu mutmaßlichem Fehlverhalten der von der Meldung betroffenen Personen
- Informationen zu Umständen, aufgrund welcher wahrscheinlich ist, dass eine Person persönliche Wahrnehmungen zum gemeldeten Sachverhalt gemacht hat
- Informationen in den erstatteten Meldungen, die aufgrund ihres Zusammenhanges Rückschlüsse auf eine natürliche Person ermöglichen und diese identifizierbar machen
- Besondere Kategorien personenbezogener Daten (insbesondere rassische bzw. ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, sexuelle Orientierung)
- Strafrechtlich, verwaltungsstrafrechtlich und kartellstrafrechtlich relevante Daten (z.B. Angaben zu strafrechtlich relevantem Verhalten, mutmaßlichen Verstößen gegen Kartellrecht etc.)
Da im Rahmen des Hinweisgebersystems zur Eingabe von Informationen Freitextfelder bereitgestellt werden, kann die Verarbeitung weiterer Kategorien personenbezogener Daten, ohne Einschränkung auf die vorstehend beschriebenen Kategorien, nicht ausgeschlossen werden.
Auf Basis welcher Rechtsgrundlagen werden die personenbezogenen Daten verarbeitet?
Die Verarbeitung personenbezogener Daten im Rahmen des Hinweisgebersystems erfolgt gemäß §8 HSchG. Das bedeutet:
Die Zulässigkeit der Verarbeitung personenbezogener Daten umfasst die mit einem Hinweis in Zusammenhang stehende Verarbeitung personenbezogener Daten der
- HinweisgeberInnen und Hinweisgeber (§ 2 Abs. 1, 2 und 4),
- von der Hinweisgebung betroffenen Personen,
- Personen, die HinweisgeberInnen oder –geber bei der Hinweisgebung unterstützen, sowie Personen im Umkreis der Hinweisgeberin oder des Hinweisgebers, die, ohne die Hinweisgebung zu unterstützen, von nachteiligen Folgen der Hinweisgebung wie Vergeltungsmaßnahmen betroffen sein können
- von Folgemaßnahmen betroffenen oder in Folgemaßnahmen involvierten Personen.
Bei der Verarbeitung ist die DSGVO einzuhalten
An wen geben wir Ihre personenbezogenen Daten weiter?
Fallbearbeiter: Entsprechend geschulte, vertrauenswürdige und einer spezifischen Verschwiegenheitspflicht unterliegende Mitarbeiterinnen und Mitarbeiter des KWP, die Meldungen bearbeiten.
Von einer Meldung betroffene Person: Nach Maßgabe der Bestimmungen im HinweisgeberInnenschutzgesetz und der datenschutzrechtlichen Bestimmungen. Die Offenlegung der Identität einer von einem Hinweis betroffenen Person oder sonstiger Informationen, aus denen die Identität dieser Person direkt oder indirekt abgeleitet werden kann, ist dann zulässig, wenn eine Verwaltungsbehörde, ein Gericht oder die Staatsanwaltschaft dies im Rahmen des verwaltungsbehördlichen oder gerichtlichen Verfahrens oder eines Ermittlungsverfahrens nach der StPO für unerlässlich und im Hinblick auf die Stichhaltigkeit und Schwere der erhobenen Vorwürfe für verhältnismäßig hält.
Zeugen und sonstige Verfahrensbeteiligte: Unter Berücksichtigung des Grundsatzes der Datenminimierung geben wir Informationen zum gemeldeten Sachverhalt an Zeugen und sonstige Verfahrensbeteiligte (z.B. interne und externe Auskunftspersonen) weiter, soweit dies zur Aufklärung eines gemeldeten Hinweises erforderlich ist. Dies schließt auch Mitarbeiterinnen und Mitarbeiter verschiedener Bereiche und Abteilungen des KWP mit ein, wenn sich gemeldete Hinweise auf sie beziehen.
Externe Dienstleister: Ihre personenbezogenen Daten werden an die EQS Group GmbH, Karlstraße 47, 80333 München, Deutschland, die als Auftragsverarbeiter fungiert und die technische Plattform sowie die Rechenzentren des Hinweisgebersystems zur Verfügung stellt, weitergeleitet. Jedoch haben weder die EQS Group GmbH noch Dritte eine Einsichtnahme-Möglichkeit in diese Daten bzw. in das KWP-HWG-System.
Gerichte und Behörden: In Abhängigkeit vom Inhalt einer erstatteten Meldung, können personenbezogene Daten, im unbedingt erforderlichen Ausmaß, insbesondere zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen an Behörden (z.B. Sozialversicherungsträger, Finanzbehörden, Strafverfolgungsbehörden etc.) oder Gerichte übermittelt werden. Dies kann beispielsweise zur Geltendmachung von Schadenersatzansprüchen, zur Erstattung von Sachverhaltsdarstellungen an Staatsanwaltschaften, zur Einbringung von Selbstanzeigen an Finanzbehörden, aber auch zur Anspruchsabwehr in Zivilverfahren erfolgen.
Weitere Empfänger: Im Rahmen von Vertragsbeziehungen und insbesondere in Zusammenhang mit Schadensfällen kann es erforderlich sein, personenbezogene Daten an Rechtsanwälte und Sachverständige zu übermitteln, um Rechtsansprüche des KWP geltend zu machen, zu verfolgen, zu verteidigen bzw. abzuwehren. Die Übermittlung erfolgt gegebenenfalls gestützt auf Art 9 Abs 2 lit g DSGVO bzw. auf berechtigte Interessen gemäß Art 6 Abs 1 lit f DSGVO bzw. Art 10 DSGVO iVm § 4 Abs 3 Z 2 DSG iVm Art 6 Abs 1 lit f DSGVO.
Werden Ihre personenbezogenen Daten in andere Länder übermittelt?
Ihre personenbezogenen Daten werden in Rechenzentren der EQS Group GmbH, welche die sichere Plattform für den Betrieb des Hinweisgebersystems zur Verfügung stellt, verarbeitet. Im Rahmen des erforderlichen Auftragsverarbeitungsvertrages gemäß Art 28 DSGVO wurde EQS Group GmbH, die auf die Bereitstellung von Hinweisgeberplattformen spezialisiert ist, zur Wahrung der Vertraulichkeit und Verschwiegenheit verpflichtet und festgelegt, dass die Rechenzentren innerhalb der Europäischen Union, des Europäischen Wirtschaftsraums oder in Drittländern mit angemessenem Datenschutzniveau (Schweiz) liegen. Dadurch kommt das strenge Datenschutzrecht der DSGVO zur Anwendung und die Rechte betroffener Personen können bestmöglich gewahrt werden.
Eine Übermittlung personenbezogener Daten in Drittländer (abgesehen von der Schweiz) ist im Rahmen des Hinweisgebersystems grundsätzlich nicht vorgesehen. Sofern Meldungen grenzüberschreitende Sachverhalte mit Drittlandsbezug betreffen sollten, und in Ausnahmefällen eine Drittlandsübermittlung erforderlich wird, erfolgt die Übermittlung unter Einhaltung der Bestimmungen der Art 45 ff DSGVO sowie – sofern weder gesetzliche Verbote noch ermittlungstaktische Gründe dagegensprechen – nach vorheriger Information der betroffenen Personen, deren personenbezogene Daten von einer solchen Übermittlung umfasst sind.
Wie lange verarbeiten bzw. speichern wir Ihre personenbezogenen Daten?
Wir bewahren Ihre personenbezogenen Daten ab der letztmaligen Verarbeitung bzw. Übermittlung für fünf Jahre, sofern wir nicht durch gesetzliche Aufbewahrungsfristen zur weiteren Speicherung (Archivierung) verpflichtet sind.
Sofern auf Grundlage des Ergebnisses der Bearbeitung erhaltener Meldungen oder in Zusammenhang mit einem gemeldeten Sachverhalt von oder gegen das KWP zivil- oder strafrechtliche Schritte ergriffen oder behördliche Verfahren eingeleitet werden, erfolgt die Verarbeitung bzw. Speicherung der in diesem Zusammenhang erforderlichen personenbezogenen Daten solange, als es zur Durchführung solcher gerichtlicher oder verwaltungsbehördlicher Verfahren oder eines Ermittlungsverfahrens nach der Strafprozessordnung erforderlich ist.
Protokolldaten über tatsächlich durchgeführte Verarbeitungsvorgänge werden bis zu drei Jahre nach Entfall der Aufbewahrungspflicht aufbewahrt.
Ihre Rechte nach der DSGVO
Im Sinne von § 8 Abs 9 HSchG kommen in bestimmten Fällen die Betroffenen-Rechte nach der DSGVO nicht zur Anwendung:
Sofern und solange es zum Schutz von Hinweisgebern bzw. aus ermittlungstaktischen Gründen erforderlich ist, kommen das Recht auf Information, das Recht auf Auskunft, das Recht auf Berichtigung, das Recht auf Löschung, das Recht auf Einschränkung der Verarbeitung, das Widerspruchsrecht und das Recht auf Benachrichtigung von einer Verletzung des Schutzes personenbezogener Daten gemäß der Bestimmungen nach DSGVO und DSG im Sinne von § 8 Abs 8 HSchG nicht zur Anwendung.
Kontakt
Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte können Sie gerne Kontakt mit unserem/unserer Datenschutzbeauftragten unter der E-Mail-Adresse datenschutz@kwp.at aufnehmen.
