Datenschutzerklärung zum Hinweisgebersystem
Hinweis: Aus Gründen der besseren Lesbarkeit wird auf die gleichzeitige Verwendung der Sprachformen für alle Geschlechter (m/w/d) verzichtet. Alle Personenbezeichnungen gelten gleichermaßen für alle Geschlechter.
Diese Datenschutzerklärung informiert Sie in Ihrer Funktion als betroffene Person gemäß Art. 13, 14 Datenschutzgrundverordnung („DSGVO“) über die Verarbeitung Ihrer personenbezogenen Daten im Zusammenhang mit der Nutzung des Hinweisgebersystems der CBT Bonn MVZ GmbH („CBT“) sowie die Ihnen nach den datenschutzrechtlichen Bestimmungen zustehenden Rechte. Die Datenschutzerklärung gilt dabei für Sie, wenn Sie das Hinweisgebersystem als hinweisgebende Person (Hinweisgeber) nutzen oder anderweitig von der Nutzung des Hinweisgebersystems betroffen sind (z.B. als potentiell Beschuldiger oder sonstiger involvierter Beteiligter, etwa als benannter Zeuge).
Die CBT hat die St. Vinzenz Klinik-Beteiligungen GmbH („SVK“) mit dem Betrieb sowie der Wahrnehmung verschiedener Aufgaben einer internen Meldestelle gemäß dem Hinweisgeberschutzgesetz (HinSchG) betraut. In dieser Funktion übernimmt die SVK verschiedene Verarbeitungstätigkeiten im Zusammenhang mit dem Hinweisgebersystem. Im Rahmen des Betriebs des Hinweisgebersystems tauschen die CBT und die SVK in bestimmten Fällen personenbezogene Daten aus, soweit dies für die Bearbeitung von Meldungen und gegebenenfalls für die Untersuchung von Vorwürfen innerhalb der Organisation erforderlich ist (z. B. innerhalb der CBT, siehe nachfolgend).
1. Wer ist für die Verarbeitung Ihrer Daten verantwortlich und an wen können Sie sich wenden?
Verantwortlich für die Verarbeitung Ihrer personenbezogenen Daten sind:
CBT Bonn MVZ GmbH
Am Propsthof 3
53121 Bonn
+49 228 201 800
info@cbtmed.de
Sie erreichen den Datenschutzbeauftragten der CBT unter: datenschutz@cbtmed.de
und
St. Vinzenz Klinik-Beteiligungen GmbH
Landwehrstraße 2
80336 München
E-Mail: info@academia-gruppe.de
Sie erreichen den Datenschutzbeauftragten der SVK unter: dsb@academia-gruppe.de
Aufgrund der gemeinsamen Festlegung der Zwecke und Mittel der Verarbeitung im Zusammenhang mit dem Hinweisgebersystem sind die CBT und die SVK für verschiedene Verarbeitungsvorgänge gemeinsam verantwortlich. Die beiden Parteien haben zu diesem Zweck eine Vereinbarung zur gemeinsamen Verantwortlichkeit gemäß Art. 26 DSGVO geschlossen, in der sie die Verantwortlichkeiten für die Einhaltung bestimmter Vorgaben der DSGVO festgelegt haben. Weitere Informationen zur gemeinsamen Verantwortlichkeit, insbesondere welche Verarbeitungsvorgänge hiervon erfasst sind und wie die beiden Parteien die einzelnen Verantwortlichkeiten festgelegt haben, finden Sie in Ziffer 10.
2. Welche personenbezogenen Daten werden verarbeitet und aus welchen Quellen stammen diese?
Grundsätzlich können Sie Ihre Meldung anonym abgeben, also ohne Angaben von Daten. Sie können jedoch freiwillig Ihre Daten preisgeben. Wenn Sie Ihre Daten freiwillig angeben, können im Zusammenhang mit der Nutzung des Hinweisgebersystems die folgenden personenbezogenen Daten bzw. Kategorien personenbezogener Daten verarbeitet werden:
- Daten der hinweisgebenden Person: Personen- und Kontaktdaten (z.B. Name, Adresse, E-Mail-Adresse, Telefonnummer), Daten zur beruflichen Tätigkeit (z.B. Position, Funktion, Abteilung), Meldedaten (Datum und Uhrzeit der Meldung, genutzter Meldekanal), Informationen zum gemeldeten Vorfall (Gegenstand, Zeitpunkt, Dauer, Art der Kenntniserlangung), weitere vom Hinweisgeber mitgeteilte oder zu dem Hinweisgeber erfasste Daten.
- Daten von mutmaßlich Beschuldigten: Personen- und Kontaktdaten (z.B. Name, Adresse, E-Mail-Adresse, Telefonnummer), Daten zur beruflichen Tätigkeit (z.B. Position, Funktion, Abteilung), Informationen zum gemeldeten Vorfall (Gegenstand, Zeitpunkt, Dauer und Verhalten, das möglicherweise einen Compliance- oder Rechtsverstoß darstellt), weitere vom Beschuldigten mitgeteilte Informationen oder zu dem Beschuldigten erfasste Daten (z.B. im Rahmen von Folgemaßnahmen erfasste Daten).
- Daten von sonstigen beteiligten Personen (z.B. Zeugen): Personen- und Kontaktdaten (z.B. Name, Adresse, E-Mail-Adresse, Telefonnummer), Daten zur beruflichen Tätigkeit (z.B. Position, Funktion, Abteilung), sowie sonstige Daten, soweit diese im Zusammenhang mit einer Meldung mitgeteilt oder erfasst werden.
Besondere Kategorien personenbezogener Daten, wie z. B. Angaben zur ethnischen Herkunft, zu religiösen und/oder weltanschaulichen Überzeugungen, zur Gewerkschaftszugehörigkeit oder zur sexuellen Orientierung werden von uns nicht abgefragt und verarbeitet. Sie können jedoch freiwillig solche besonderen Kategorien personenbezogener Daten angeben.
Es handelt sich bei den vorgenannten Daten um personenbezogene Daten, die der Hinweisgeber unmittelbar über das Hinweisgebersystem oder im Zusammenhang mit dem weiteren Verfahren (z.B. weiterer Kommunikation und Ermittlungen) freiwillig bereitstellt.
Ebenfalls sind personenbezogene Daten betroffen, die im Rahmen des weiteren Verfahrens und der Durchführung von Folgemaßnahmen seitens der SVK, der CBT oder sonstiger beteiligter Personen und Stellen erfasst werden.
3. Zu welchen Zwecken und auf welcher Rechtsgrundlage werden Ihre Daten verarbeitet?
Die Verarbeitung Ihrer Daten im Zusammenhang mit der Nutzung des Hinweisgebersystems erfolgt zu folgenden Zwecken und aufgrund folgender rechtlicher Grundlagen.
3.1 Verarbeitung im Zusammenhang mit der Nutzung des Hinweisgebersystems
Die Einführung des Hinweisgebersystems dient dazu, mutmaßliche Compliance- und Rechtsverstöße, die die Organisation der CBT betreffen, zu ermitteln und zu verfolgen. Zu diesem Zweck bietet das Hinweisgebersystem verschiedene Meldekanäle (Webseite, Telefon), die von der SVK betrieben und von Hinweisgebern frei genutzt werden können.
Im Zusammenhang mit der Nutzung des Hinweisgebersystems verarbeitet die SVK die vorgenannten personenbezogenen Daten bzw. Kategorien personenbezogener Daten, um die über das Hinweisgebersystem eingehenden Meldungen zu prüfen, zu bearbeiten und zu dokumentieren und mit dem Hinweisgeber zu kommunizieren. Nach entsprechender Anweisung durch die CBT übernimmt die SVK auch das Ergreifen von Folgemaßnahmen. Diese Folgemaßnahmen können insbesondere die Einleitung einer internen Untersuchung, die Abgabe des Verfahrens an eine bei der CBT zuständige Person oder eine zuständige Behörde (z.B. zur Einleitung von gerichtlichen oder behördlichen Verfahren), das Verweisen des Hinweisgebers an eine andere Stelle und/oder der Abschluss des Verfahrens umfassen. Es steht der CBT jederzeit frei, diese Folgemaßnahmen selber vorzunehmen. Im Rahmen der Folgemaßnahmen bzw. nach Abschluss ebendieser können weitere Maßnahmen zur Aufklärung, Verhütung und Verfolgung von Verstößen durch CBT ergriffen werden. Dies betrifft etwa die Durchsetzung von Ansprüchen (z.B. Schadensersatzforderungen) sowie die Verhängung von arbeitsrechtlichen Sanktionen (z.B. Abmahnung, Kündigung) durch CBT.
Soweit dies im Zusammenhang mit den vorgenannten Zwecken erforderlich ist, übermittelt die SVK die hierfür notwendigen Daten auch an die CBT und/oder andere Personen und Stellen (weitere Informationen zu den konkreten Empfängern sind in Ziffer 4 enthalten). In dem Fall werden die übermittelten Daten von der CBT bzw. den anderen Personen und Stellen im Zusammenhang mit den vorgenannten Zwecken verarbeitet. Ebenfalls ist es möglich, dass die CBT an die SVK verschiedene Daten übermittelt, soweit dies für die vorgenannten Zwecke erforderlich ist (z.B. zur Verifizierung eines Hinweisgebers oder zur Durchführung von Ermittlungsmaßnahmen).
Die Verarbeitung der personenbezogenen Daten erfolgt zur Erfüllung der gesetzlichen Verpflichtungen nach dem HinSchG. Rechtsgrundlage ist in dem Fall Art. 6 Abs. 1 lit. c) DSGVO i. V. m. §§ 10, 12 ff. HinSchG. Darüber hinaus erfolgt die Verarbeitung Ihrer Daten aufgrund von Art. 6 Abs. 1 S. 1 lit. f) DSGVO (Wahrung berechtigter Interessen). Das berechtigte Interesse liegt in der Verfolgung von Compliance- und Rechtsverstößen innerhalb der Organisation der CBT und der Durchführung der hierfür erforderlichen Maßnahmen. Sofern die Verarbeitung der personenbezogenen Daten im Zusammenhang mit der Durchführung und/oder Beendigung des Beschäftigungsverhältnisses erforderlich ist, kann diese zudem auf Art. 6 Abs. 1 S. 1 lit. b) DSGVO (ggfs. i.V.m. § 26 BDSG) gestützt werden. Wenn in Ausnahmefällen besondere Kategorien personenbezogener Daten verarbeitet werden (sensible Daten), ist die Rechtsgrundlage für die Verarbeitung Art. 9 DSGVO, § 10 HinSchG und § 22 BDSG.
3.2 Verarbeitung im Zusammenhang mit dem technischen Betrieb des Hinweisgebersystems
Es handelt sich bei dem Hinweisgebersystem um eine webbasierte Plattform, die Hinweisgebern verschiedene Meldekanäle zur Verfügung stellt und von SVK zur Wahrnehmung der betrauten Aufgaben als interne Meldestelle von CBT genutzt wird.
Um eine anonyme Hinweisabgabe zu ermöglichen, werden alle HTTP-Aufrufe zunächst über den Anonymisierungsproxy geleitet, bevor sie die Plattform erreichen. Dabei werden auf dem Anonymisierungsproxy keine Protokolldaten gespeichert. Eine Übertragung von Verbindungsdaten findet nur während der Nutzung der Plattform zur technischen Übertragung (TCP/IP-Protokoll) statt. Die Plattform selbst sieht als Gegenstelle immer den Proxyserver und nicht den Besucher (Hinweisgeber). Die gesamte Kommunikation zwischen dem Rechner des Hinweisgebers und der Plattform erfolgt über eine TLS-verschlüsselte Verbindung.
Anbieter des Hinweisgebersystems ist die LegalInnovate Technologies GmbH, Issumer Tor 45, 47608 Geldern, Deutschland die für den technischen Betrieb, einschließlich des Hostings sowie der Pflege und Weiterentwicklung des Hinweisgebersystems zuständig ist. SVK hat mit der LegalInnovate Technologies GmbH eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen. Das Hinweisgebersystem wird bei der Hetzner Online GmbH (Industriestraße 25, D-91710 Gunzenhausen, Deutschland) im externen Rechenzentrum gehostet. Dieses Rechenzentrum befindet sich in der Europäischen Union. Hetzner Online GmbH ist demnach der Unterauftragsverarbeiter von LegalInnovate Technologies GmbH, welcher vertraglich gleichen Verpflichtungen unterliegt, an die LegalInnovate Technologies GmbH gebunden ist.
Die Verarbeitung Ihrer Daten zu den vorgenannten Zwecken erfolgt zur Wahrung unserer berechtigten Interessen, namentlich um die Sicherheit und Funktionsfähigkeit des Hinweisgebersystems zu gewährleisten. Rechtsgrundlage für die Verarbeitung Ihrer Daten für die aufgeführten Zwecke ist in dem Fall Art. 6 Abs. 1 S. 1 lit. f) DSGVO.
4. An wen werden Ihre personenbezogenen Daten weitergegeben und werden Ihre Daten in Drittländer übermittelt?
Nur autorisierte Personen erhalten im Rahmen der Bearbeitung von Meldungen Kenntnis von den übermittelten Daten. Durch entsprechende Berechtigungssysteme und angemessene technisch-organisatorische Maßnahmen wird sichergestellt, dass ausschließlich die jeweils zuständigen Personen Zugriff auf diese Daten bekommen. Die mit der Bearbeitung der Verstöße intern betrauten Personen werden ausdrücklich auf Vertraulichkeit verpflichtet.
Zudem werden die betroffenen personenbezogenen Daten an externe Empfänger weitergegeben, die die Daten entweder als Auftragsverarbeiter (vgl. Art. 4 Nr. 8 DSGVO) oder als datenschutzrechtliche Verantwortliche (vgl. Art. 4 Nr. 7 DSGVO) verarbeiten. Soweit Dienstleister im Rahmen einer Auftragsverarbeitung beauftragt werden, erfolgt dies auf Basis einer entsprechenden Vereinbarung zur Auftragsverarbeitung (vgl. Art. 28 DSGVO), die sicherstellt, dass diese Dienstleister Ihre Daten weisungsgemäß verarbeiten.
Konkret werden die Daten an die folgenden Empfänger bzw. Kategorien von Empfängern weitergegeben:
- LegalInnovate Technologies GmbH (technische Bereitstellung und Support des Hinweisgebersystems und Auftragsverarbeiter)
- Aufsichts- und Strafverfolgungsbehörden, Gerichte und sonstige staatliche Stellen
- Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Buchprüfer
- Sonstige bei einer Aufklärung eines Vorfalls eingebundene Beteiligte (z.B. externe Auditoren).
Eine Übermittlung der Daten an Dienstleister und Empfänger in Ländern außerhalb der EU bzw. des EWR (sog. Drittländer) erfolgt nicht.
5. Wie lange werden Ihre personenbezogenen Daten gespeichert?
Die gespeicherten personenbezogenen Daten werden grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG). In bestimmten Fällen und für bestimmte Dokumente kann eine längere Frist angemessen sein, insbesondere wenn im Zusammenhang mit dem gemeldeten Vorfall ein gerichtliches oder behördliches Verfahren anhängig ist. Eine Speicherung kann auch erfolgen, wenn dies vom europäischen oder nationalen Gesetzgeber zur Erfüllung rechtlicher Verpflichtungen, wie z. B. Aufbewahrungspflichten, vorgesehen ist. Danach werden alle Daten gelöscht, gesperrt oder anonymisiert.
6. Besteht eine Pflicht zur Bereitstellung Ihrer Daten?
Es besteht keine gesetzliche oder vertragliche Pflicht des Hinweisgebers zur Bereitstellung personenbezogener Daten. Die Nutzung des Hinweisgebersystems ist für den Hinweisgeber freiwillig. Es steht Ihnen daher frei, ob Sie eine Meldung abgeben und ob bzw. welche Daten Sie hierbei angeben.
7. Welche Rechte stehen Ihnen als betroffene Person zu?
Betroffenen Personen stehen die folgenden Rechte zu: Sie haben das Recht auf Auskunft nach Art. 15 DSGVO, das Recht auf Berichtigung nach Art. 16 DSGVO, das Recht auf Löschung nach Art. 17 DSGVO, das Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO sowie das Recht auf Datenübertragbarkeit aus Art. 20 DSGVO. Soweit personenbezogene Daten auf Grundlage einer Einwilligung der betroffenen Personen verarbeiten werden, können die betroffenen Personen diese jederzeit formfrei widerrufen.
Soweit die Verarbeitung personenbezogenen Daten zur Wahrnehmung berechtigter Interessen gemäß Art. 6 Abs. 1 S. 1 lit. f) DSGVO erfolgt, können die betroffenen Personen dieser Verarbeitung nach Maßgabe der gesetzlichen Vorgaben in Art. 21 DSGVO widersprechen. Weitere Hinweise zu dem Widerspruchsrecht finden Sie am Ende dieser Datenschutzerklärung in den besonderen Informationen zum Widerspruchsrecht gemäß Art. 21 DSGVO.
Zur Ausübung der vorgenannten Rechte wenden Sie sich bitte an die SVK über die in Ziffer 1 enthaltenen Kontaktdaten. Die SVK fungiert insoweit als primäre Anlaufstelle für die betroffenen Personen (vgl. Art. 26 Abs. 1 DSGVO). Unabhängig hiervon steht es Ihnen jederzeit frei, sich an die anderen in Ziffer 1 angegebenen Kontaktdaten der CBT oder den von der CBT benannten Datenschutzbeauftragten zu wenden.
Darüber hinaus besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO), wenn die betroffenen Personen der Ansicht sind, dass die Verarbeitung ihrer personenbezogenen Daten nicht rechtmäßig erfolgt. Das Beschwerderecht besteht unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs.
Die Anschrift der für CBT zuständigen Datenschutzbehörden lautet:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2-4, 40213 Düsseldorf, Deutschland
Die Anschrift der für SVK zuständigen Datenschutzbehörden lautet:
Bayerisches Landesamt für Datenschutzaufsicht
Promenade 18, 91522 Ansbach, Deutschland
Postfach 1349, 91504 Ansbach, Deutschland
8. Besondere Informationen zum Widerspruchsrecht nach Art. 21 DSGVO
Sie haben das Recht, jederzeit gegen die Verarbeitung Ihrer Daten, die aufgrund von Art. 6 Abs. 1 S. 1 lit. f) DSGVO (Datenverarbeitung auf der Grundlage einer Interessenabwägung) oder Art. 6 Abs. 1 S. 1 lit. e) DSGVO (Datenverarbeitung im öffentlichen Interesse) erfolgt, Widerspruch einzulegen, wenn dafür Gründe vorliegen, die sich aus Ihrer besonderen Situation ergeben. Dies gilt auch für ein auf diese Bestimmung gestütztes Profiling im Sinne von Art. 4 Nr. 4 DSGVO.
Legen Sie Widerspruch ein, werden Ihre personenbezogenen Daten nicht mehr verarbeitet, es sei denn, der Verantwortliche kann zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Der Widerspruch kann formfrei erfolgen und sollte möglichst gerichtet werden an die SVK über die in Ziffer 1 enthaltenen Kontaktdaten.
9. Besteht eine automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO?
Eine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO findet nicht statt.
10. Informationen zur gemeinsamen Verantwortlichkeit
Wie bereits in der Einleitung dargestellt, haben die CBT und SVK für bestimmte Verarbeitungsvorgänge im Zusammenhang mit dem Hinweisgebersystem die Zwecke und Mittel gemeinsam festgelegt und agieren insoweit als gemeinsame Verantwortliche. Konkret betrifft dies die folgenden Verarbeitungsvorgänge:
- Erhebung, Speicherung und Verwendung von Hinweisgeberdaten, Beschuldigtendaten und Drittdaten durch die SVK im Zusammenhang mit dem Betrieb des Hinweisgebersystems, einschließlich dem Betrieb der Meldekanäle, der Durchführung der Verfahren sowie der Durchführung von Folgemaßnahmen gemäß § 16 ff. HinSchG (z.B. der Erfassung und Bearbeitung von eingegangenen Meldungen bis zum Abschluss einer Eingabe) sowie Übermittlung der Daten an die CBT im Zusammenhang mit den vorgenannten Zwecken.
- Übermittlung von Hinweisgeberdaten, Beschuldigtendaten und Drittdaten durch die CBT an die SVK im Zusammenhang mit den vorgenannten Zwecken.
Im Rahmen der bestehenden gemeinsamen Verantwortlichkeit haben CBT und SVK gemäß Art. 26 DSGVO vereinbart, wer welche Verpflichtungen nach der DSGVO erfüllt. Konkret erfüllen die Parteien die datenschutzrechtlichen Pflichten für die vorgenannten Verarbeitungsvorgänge wie folgt:
- Die SVK informiert die betroffenen Personen gemäß Artt. 13, 14 DSGVO auf der Webseite des Hinweisgebersystems, indem sie dort die vorliegenden Datenschutzerklärung bereitstellt.
- Die SVK und die CBT informieren sich unverzüglich gegenseitig über Anfragen von Betroffenen zur Geltendmachung der Betroffenenrechte gemäß Art. 15 ff. DSGVO. Sie stellen einander sämtliche für die Beantwortung von Anfragen der betroffenen Personen notwendigen Informationen zur Verfügung.
- Die SVK fungiert gegenüber den betroffenen Personen als primäre Anlaufstelle zur Ausübung der Betroffenenrechte gemäß Art. 15 ff. DSGVO. Unabhängig hiervon steht es den betroffenen Personen frei, ob Sie ihre Betroffenenrechte bei der SVK oder CBT geltend machen, soweit dies die Verarbeitungen betreffen, die der gemeinsamen Verantwortlichkeit unterliegen. Betroffene Personen erhalten die Auskunft grundsätzlich von der Stelle, bei der die Rechte geltend gemacht wurden.
- SVK und CBT ergreifen technische und organisatorische Maßnahmen, die nach Maßgabe der Art. 32 und 25 DSGVO geeignet und erforderlich sind, ein dem Risiko für Rechte und Freiheiten der betroffenen Personen angemessenes Schutzniveau zu gewährleisten und die Datenschutzgrundsätze zu wahren.
- Bei Verletzungen des Schutzes von personenbezogenen Daten (Art. 33, 34 DSGVO), die die gemeinsame Verantwortlichkeit von SVK und CBT betreffen, ist jeweils die Partei für die Einhaltung der gesetzlichen Melde- und Benachrichtigungspflichten gegenüber den Aufsichtsbehörden und Betroffenen verantwortlich, bei der die Verletzung aufgetreten ist. Die andere Partei unterstützt die von der Verletzung betroffenen Partei bei der Einhaltung der Melde- und Benachrichtigungspflichten im angemessenen Umfang.
