Datenschutz und Vertraulichkeit

1. Verantwortlicher

DIHAG Foundry Group
Anschrift und Kontaktdaten sind im Impressum der DIHAG-Website angegeben.

Den Datenschutzbeauftragten erreichen Sie über die dort genannten Kontaktdaten. Wenn Sie anonym bleiben möchten, wenden Sie sich nicht per E-Mail an ihn – nutzen Sie stattdessen das anonyme Postfach dieses Systems.

2. Was verarbeitet wird

Verschlüsselt – für uns nur mit dem Schlüssel eines Compliance Officers lesbar

• Ihre Schilderung des Sachverhalts und alle weiteren Freitextangaben
• Von Ihnen hochgeladene Dateien samt ihren Dateinamen
• Alle Nachrichten im anonymen Dialog – Ihre wie unsere

Unverschlüsselt – zur Steuerung des Verfahrens erforderlich

• Fallnummer, Eingangsdatum und Bearbeitungsstand
• Gewähltes Thema und betroffene Gesellschaft (steuert die Zuständigkeit)
• Ob Sie Rückfragen zugelassen und ob Sie ein Treffen gewünscht haben
• Die gesetzlichen Fristen und die Vermerke der Bearbeitung
• Eine Prüfsumme, die aus Ihrem Zugangscode berechnet wird

Aus der Prüfsumme lässt sich Ihr Zugangscode nicht zurückrechnen, und entschlüsseln kann man mit ihr nichts. Sie dient ausschließlich dazu, Ihr Postfach wiederzufinden.

Was ausdrücklich nicht erhoben wird

• Kein Name, keine E-Mail-Adresse, keine Telefonnummer – die Felder gibt es nicht
• Keine IP-Adresse in der Fallakte
• Keine Cookies und keine Wiedererkennung über Besuche hinweg
• Keine Analysewerkzeuge, kein Zählpixel, kein Captcha-Dienst

Die Seite lädt von einem fremden Server ausschließlich die Schriftart (Google Fonts). Alles Übrige wird von unserer eigenen Adresse ausgeliefert. Ein Captcha wäre der bequemere Weg gewesen, hätte aber dem Captcha-Anbieter verraten, dass Sie gerade eine Meldung schreiben; wir verwenden stattdessen einen Schieberegler.

3. Zwecke und Rechtsgrundlagen

Enthält Ihre Meldung besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten oder Angaben zur Gewerkschaftszugehörigkeit), stützt sich deren Verarbeitung auf § 10 HinSchG in Verbindung mit Art. 9 Abs. 2 lit. g DSGVO.

4. Wer Zugriff hat

Den Inhalt Ihrer Meldung können ausschließlich die für die betroffene Gesellschaft zuständigen Compliance Officer sowie der Chief Compliance Officer öffnen. Technisch ist das so gelöst, dass der Schlüssel zu Ihrem Fall nur für diese Personen verpackt wird.

Daraus folgt etwas Ungewöhnliches, das wir ausdrücklich benennen möchten: Auch unsere IT-Administratoren können den Inhalt nicht lesen. Sie sehen die Datensätze, aber dort steht verschlüsselter Text. Das gilt ebenso für den Betreiber der zugrunde liegenden Microsoft-Dienste und für jedes Datensicherungsband.

Was Administratoren sehen können, sind die unverschlüsselten Merkmale aus Abschnitt 2: dass am Tag X zur Gesellschaft Y ein Fall zum Thema Z einging. Bei einer kleinen Organisationseinheit kann bereits das Rückschlüsse zulassen. Wenn Ihnen das zu viel ist, wählen Sie bei der Gesellschaft „Weiß ich nicht / gesellschaftsübergreifend" und beim Thema „Sonstiges" – Ihre Meldung wird trotzdem bearbeitet.

Eine Weitergabe an Behörden erfolgt nur, soweit wir gesetzlich dazu verpflichtet sind. Ihre Identität wird auch dann nicht offengelegt, wenn wir sie gar nicht kennen – was hier der Regelfall ist.

5. Speicherdauer

Die Dokumentation eines Falls wird drei Jahre nach Abschluss des Verfahrens gelöscht (§ 11 Abs. 5 HinSchG). Gelöscht werden dabei der verschlüsselte Inhalt, die Schlüssel, alle Nachrichten und alle Anhänge. Ein täglich laufender automatischer Vorgang erledigt das; es hängt nicht daran, dass jemand daran denkt.

Bestehen bleibt eine Zeile mit Datum, Thema, Gesellschaft und Ausgang des Verfahrens. Sie enthält dann keinen Personenbezug mehr und dient dem Nachweis, dass die Meldestelle wirksam arbeitet.

Länger aufbewahrt wird nur, solange und soweit dies erforderlich und verhältnismäßig ist – etwa während eines laufenden Gerichtsverfahrens.

6. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Widerspruch (Art. 21 DSGVO) sowie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

Zwei Einschränkungen, die wir nicht verschweigen wollen:

• Solange Sie anonym sind, können wir Sie keinem Datensatz zuordnen – ein Auskunftsersuchen können wir dann nicht beantworten, ohne Ihre Anonymität aufzugeben. Über das anonyme Postfach können Sie Ihre eigene Meldung aber jederzeit vollständig einsehen.
• Gegenüber Personen, über die berichtet wird, kann die Auskunft nach § 29 Abs. 1 BDSG eingeschränkt sein, soweit sie die Aufklärung gefährden oder die Identität des Hinweisgebers preisgeben würde.

7. Was Sie selbst beachten sollten

• Schreiben Sie nichts, was Sie verrät, wenn Sie anonym bleiben wollen – etwa „ich als einziger Nachtschichtführer".
• Dateien tragen oft mehr in sich, als man sieht. Word-Dokumente enthalten meist den Namen des Verfassers, Fotos aus dem Telefon oft den Aufnahmeort.
• Nutzen Sie möglichst kein Firmengerät. Diese Seite verrät nichts über Sie – aber ein Firmennetz kann protokollieren, welche Adressen aufgerufen wurden. Ihr privates Telefon im Mobilfunknetz ist der sicherere Weg.
• Bewahren Sie Ihren Zugangscode auf. Er ist der einzige Weg zurück in Ihr Postfach. Wir können ihn nicht wiederherstellen und nicht zurücksetzen – er ist bei uns nirgends gespeichert.

8. Schutz vor Benachteiligung

Repressalien gegen Personen, die berechtigt einen Hinweis geben, sind nach § 36 HinSchG verboten. Dazu zählen Kündigung, Abmahnung, Versetzung, verweigerte Beförderung und jede andere Benachteiligung wegen der Meldung. Wer daraufhin benachteiligt wird, hat Anspruch auf Schadensersatz; das Gesetz kehrt dabei die Beweislast zu Ihren Gunsten um.

Sie können sich statt an uns jederzeit auch unmittelbar an die externe Meldestelle des Bundes beim Bundesamt für Justiz wenden. Dieser Weg steht Ihnen immer offen und ist der internen Meldung rechtlich gleichgestellt.