Auskunftsrechts aus Art. 15 Absatz 1 DS-GVO vs Interessen des Hinweisgebers bei internen Ermittlungen

Die divergierenden Anforderungen des Datenschutzrechts der EU und interner Compliance-Systeme resultieren in wiederkehrenden Konflikten, die es zu lösen gilt. Insbesondere der datenschutzrechtliche Auskunftsanspruch des Beschuldigten nach Art. 15 der Datenschutz-Grundverordnung (DSGVO) steht in einem empfindlichen Gleichgewicht mit dem Bedürfnis der Anonymität des Hinweisgebers.

Arbeitgeber und Compliance-Verantwortliche sehen sich häufig mit der Frage konfrontiert, wie sie das Transparenzinteresse der Beschuldigten gegen den Schutz von Hinweisgebern in Einklang bringen können. Da eine klare gesetzliche Regelung bislang nicht vorhanden ist, müssen Unternehmen in der Praxis auf eine sorgfältige Interessenabwägung unter Berücksichtigung verschiedener rechtlicher Kriterien zurückgreifen.

Gemäß Art. 15 Abs. 1 lit. g DSGVO besteht für betroffene Personen das Recht auf Auskunft über die Herkunft ihrer personenbezogenen Daten. Dies impliziert grundsätzlich auch die Offenlegung der Identität von Hinweisgebern. Gleichzeitig sind gemäß Art. 23 Abs. 1 lit. i Alt. 2 DSGVO sowie § 29 Abs. 1 S. 2 BDSG Einschränkungen möglich, sofern die berechtigten Interessen eines Dritten – hier des Hinweisgebers – als überwiegend zu betrachten sind. In Ergänzung hierzu findet sich in Art. 15 Abs. 4 DSGVO die Regelung, dass das Recht auf Auskunft nicht die Rechte und Freiheiten anderer Personen beeinträchtigen darf.

Auf Seiten der beschuldigten Person besteht ein legitimes Interesse daran, die Quelle der gegen sie erhobenen Vorwürfe zu erfahren. Dieses Interesse ist im Recht auf Schutz personenbezogener Daten verankert, wie es in Art. 7 und Art. 8 der Charta der Grundrechte der Europäischen Union (GRCh) geregelt ist. Im Falle einer unwahren Tatsachenbehauptung soll dem Beschuldigten die Möglichkeit eingeräumt werden, rechtliche Schritte gegen den Hinweisgeber in Form eines Unterlassungsanspruchs gemäß § 1004 Abs. 1 Satz 2 BGB analog, § 823 Abs. 1 BGB i.V.m. Art. 2 Abs. 1, 1 Abs. 1 GG geltend zu machen.

Demgegenüber sind die schutzwürdigen Interessen des Hinweisgebers zu berücksichtigen, denen umfassend Rechnung zu tragen ist. Insbesondere im Kontext unternehmensinterner Meldungen ist der Schutz vor Repressalien für den Hinweisgeber von essenzieller Bedeutung. Folglich kann jedes Recht des Hinweisgebers geeignet sein, die Auskunft auf der Grundlage von Art. 15 Abs. 4 DSGVO zu beschränken. In diesem Kontext ist zudem das in der GRCh verankerte Recht auf Datenschutz und Privatsphäre zu berücksichtigen.

Letztlich ist auch der Schutz von Hinweisgebern für den Arbeitgeber bzw. die verantwortliche Stelle im Hinblick auf die Effektivität des Hinweisgebersystems von zentraler Bedeutung. Zudem besteht ein rechtliches Interesse an der Aufklärung von unternehmensinternen Straftaten und Compliance-Verstößen, da die Verantwortlichen gemäß § 93 Abs. 2 AktG einer Legalitätspflicht gemäß §§ 30, 130 OWiG unterliegen. Gleichzeitig obliegt es dem Arbeitgeber, aufgrund seiner Fürsorge- und Rücksichtnahmepflicht die Interessen des Beschuldigten zu berücksichtigen und zu einer unvoreingenommenen Aufklärung verpflichtet zu sein.

Die Abwägung dieser widerstreitenden Interessen stellt eine komplexe Aufgabe dar, für die gibt es nur wenige konkrete Vorgaben gibt. Die Entscheidung ist von einer Vielzahl von Faktoren abhängig. Zu diesem Zweck haben die europäischen Datenschutzaufsichtsbehörden ein Stufenmodell entwickelt, wonach zunächst zu eruieren ist, ob die Erfüllung des Auskunftsrechts negative Auswirkungen auf die Rechte und Freiheiten Dritter mit sich bringt. Im Anschluss sieht das Stufenmodell eine differenzierte Interessenabwägung vor.

Bei der praktischen Umsetzung der Interessenabwägung spielen unter anderem die Qualität und die sachliche Richtigkeit der Meldung des Hinweisgebers eine entscheidende Rolle.

Sofern der Hinweisgeber wider besseres Wissen oder leichtfertig falsche Angaben gemacht hat, muss sein Geheimhaltungsinteresse regelmäßig zurücktreten.  Des Weiteren stellt die wissentliche Angabe falscher Informationen durch den Hinweisgeber einen Verstoß gegen die arbeitsvertragliche Loyalitätspflicht dar. Unter Umständen kann sich der Hinweisgeber zudem gemäß §§ 145d, 164, 186 StGB strafbar machen.

Im Gegenzug darf der Hinweisgeber jedoch nicht befürchten müssen, seine Identität zu verlieren, sofern er in gutem Glauben gehandelt und den Verdacht ohne eigene Ermittlungen gemeldet hat. Unternehmen erwarten in der Regel nicht, dass Hinweisgeber eigene Nachforschungen anstellen, jedoch wird von ihnen erwartet, dass sie nach bestem Wissen und Gewissen handeln.

Die Meldung eines Hinweisgebers sollte sich dabei auf objektive Beobachtungen stützen und, sofern möglich und zumutbar, zusätzliche Informationen liefern, auf welche der Verdacht gestützt wird; von eigenmächtigen rechtlichen Schlussfolgerungen ist abzusehen.  Ein präventiver Widerspruch gegen die Weitergabe personenbezogener Daten gemäß Art. 21 DSGVO kann dabei als zusätzliche Schutzmaßnahme des Hinweisgebers betrachtet werden.

Arbeitgeber hingegen sind ihrerseits dazu verpflichtet, vor der Offenlegung den Wahrheitsgehalt von Hinweisen sorgfältig zu prüfen, um sich vor rechtlichen Konsequenzen durch eine unberechtigte Weitergabe der Hinweisgeber-Identität zu schützen. In komplexen Fällen besteht sogar die Möglichkeit, die Monatsfrist gemäß Art. 12 Abs. 3 DSGVO auszusetzen, um eine fundierte Interessenabwägung zu ermöglichen.

Die Stellung des Hinweisgebers ist ein weiteres Kriterium, das in die Bewertung mit einbezogen werden muss. Das Schutzbedürfnis des Hinweisgebers variiert in Abhängigkeit von seiner Position sowie der Beziehung zum Unternehmen. Personen, die gemäß gesetzlichen Bestimmungen besonderen Schutz genießen, beispielsweise Datenschutz- oder Geldwäschebeauftragte, benötigen keine zusätzlichen Maßnahmen zum Schutz ihrer Anonymität, da diese durch spezifische gesetzliche Regelungen gewährleistet ist. Für Mitarbeitende in hierarchisch untergeordneten Positionen hingegen ist der Bedarf an Anonymität deutlich höher. Dies gilt insbesondere dann, wenn das Beschäftigungsverhältnis zu einer potenziellen Machtasymmetrie führt, wodurch die Gefahr einer Benachteiligung des Hinweisgebers durch den Arbeitgeber steigt.

Ein weiterer wichtiger Aspekt ist der Stand der internen Ermittlungen. Die Offenlegung der Identität des Hinweisgebers während laufender Untersuchungen kann die Aufklärung gefährden, beispielsweise durch Beeinflussung von Zeugen oder Vernichtung von Beweismitteln.  Gemäß Art. 14 Abs. 5 lit. b DSGVO besteht die Möglichkeit, die Informationspflicht in solchen Fällen vorübergehend auszusetzen. Nach Abschluss der Ermittlungen und der Ergreifung personeller Maßnahmen ist jedoch ein erheblich reduzierter Schutzbedarf des Hinweisgebers zu konstatieren.

Die Schwere des erhobenen Vorwurfs allein stellt hingegen kein geeignetes Abwägungskriterium dar. Zwar führt ein schwerwiegender Vorwurf sowohl zu einem gesteigerten Interesse des Arbeitgebers an der Aufklärung als auch zu einem erhöhten Schutzinteresse des Hinweisgebers. Gleichzeitig muss jedoch auch das Risiko einer Stigmatisierung des Beschuldigten berücksichtigt werden, welches ebenfalls mit der Offenlegung der Identität des Hinweisgebers einhergeht.  

Obgleich die genannten Abwägungskriterien eine gewisse Orientierungshilfe bieten, bleibt die Praxis rechtlich anspruchsvoll, da eine ausdrückliche gesetzliche Regelung des Verhältnisses zu Art. 15 DSGVO weiterhin aussteht. Das neue Hinweisgeberschutzgesetz (HinSchG) etabliert ein Vertraulichkeitsgebot zugunsten der Identität von Hinweisgebern, verweist jedoch für die Einschränkung des Auskunftsanspruchs weiterhin auf § 29 Abs. 1 S. 2 BDSG.

In der Konsequenz ist eine einzelfallbezogene, gut dokumentierte Entscheidung von maßgeblicher Bedeutung, welche sowohl den Schutz des Hinweisgebers als auch die Rechte des Beschuldigten angemessen berücksichtigt.