§ 7 Datenschutz — W-HSchG

(1) Die internen Stellen und die externe Stelle sind im Rahmen der ihnen nach diesem Gesetz zukommenden Aufgaben und Verpflichtungen Verantwortliche nach Art. 4 Z 7 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung), ABl. Nr. L 119 vom 4. Mai 2016, S. 1, zuletzt berichtigt durch ABl. Nr. L 74 vom 4. März 2021, S. 35 (DSGVO). Die Verpflichtungen der bzw. des Verantwortlichen zum Schutz von Hinweisgeberinnen und Hinweisgebern nach diesem Gesetz gelten auch für Auftragsverarbeiterinnen und Auftragsverarbeiter.

(2) Die nach Abs. 1 Verantwortlichen sind zur Erfassung und Bearbeitung der eingelangten Hinweise sowie zum Ergreifen und Veranlassen von entsprechenden Folgemaßnahmen und von Rückmeldungen an die Hinweisgeberin bzw. den Hinweisgeber ermächtigt, folgende personenbezogene Daten der Hinweisgeberinnen und Hinweisgeber, der von einem Hinweis betroffenen Personen sowie der von Folgemaßnahmen betroffenen oder in Folgemaßnahmen involvierten Personen zu verarbeiten:

1. Identifikationsdaten (insbesondere Vor- und Familienname, allfällige akademische Grade, Standesbezeichnungen oder Titel, frühere Namen, Funktion, Geburtsdatum und -ort, Geschlecht, allenfalls Dienststelle),

2. Kontaktdaten (insbesondere Wohnsitz- und sonstige Adressdaten, Telefon- bzw. Faxnummer, E-Mail-Adresse),

3. die Sachverhaltsdarstellung samt allfälliger zweckdienlicher Unterlagen sowie

4. sonstige personenbezogene Daten, soweit diese zur Wahrnehmung der in diesem Gesetz übertragenen Aufgaben eine wesentliche Voraussetzung bilden.

Soweit Verantwortliche nach Abs. 1 gemeinsam ein Hinweisgebersystem betreiben, sind sie ermächtigt, die in Z 1 bis 4 genannten personenbezogenen Daten unter Beachtung der zulässigen Verarbeitungszwecke gemeinsam zu verarbeiten.

(3) Die internen Stellen, gemeinsame interne Stellen gemäß § 10 Abs. 2 und die externe Stelle sind weiters ermächtigt, die in Abs. 2 genannten Daten unter Beachtung der genannten Verarbeitungszwecke einer zuständigen (Ermittlungs-)Behörde oder einem zuständigen Gericht in jenem Umfang zu übermitteln, der zur weiteren Ermittlung, Einleitung oder Durchführung eines Verfahrens unbedingt erforderlich ist.

(4) Die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO und personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO ist im Sinn des Abs. 2 zulässig, wenn

1. die Verarbeitung zur Erreichung der in Abs. 2 genannten Zwecke unbedingt erforderlich ist und

2. wirksame Maßnahmen zum Schutz der Rechte und Freiheiten der betroffenen Personen getroffen werden, insbesondere dass

a) durch organisatorische und technische Vorkehrungen sichergestellt wird, dass der Zugriff auf die Daten nur den mit den Aufgaben nach diesem Gesetz betrauten Bediensteten der internen Stellen oder der externen Stelle möglich ist, und

b) die Zugriffsberechtigungen für den in lit. a genannten Personenkreis individuell festgelegt und dokumentiert wurden.

Personenbezogene Daten gemäß Art. 10 DSGVO dürfen nach Rechtskraft der Entscheidung über die Straftat in einem Verfahren, in dem diese Daten verarbeitet wurden, nur im unbedingt erforderlichen Ausmaß verfügbar gehalten werden.

(5) Die für die Verarbeitung der Daten Verantwortlichen nach Abs. 1 haben die Information und Auskunftserteilung zu einem Hinweis an von einem Hinweis betroffene Personen zu unterlassen, wenn dies zum Schutz der Identität einer Hinweisgeberin bzw. eines Hinweisgebers oder zum Zweck der Ergreifung von Folgemaßnahmen erforderlich ist, insbesondere um Versuche der Verhinderung, Unterlaufung oder Verschleppung von Hinweisen oder von Folgemaßnahmen zu unterbinden. In diesen Fällen finden folgende in den Z 1 bis 7 aufgezählte Rechte einer von einem Hinweis betroffenen natürlichen Person und die Rechte einer juristischen Person, die sich aus den in den Z 2 bis 4 zitierten Bestimmungen des Datenschutzgesetzes (DSG) ergeben, jeweils keine Anwendung:

1. Recht auf Information (Art. 13 und 14 DSGVO),

2. Recht auf Auskunft (§ 1 Abs. 3 Z 1 DSG, Art. 15 DSGVO),

3. Recht auf Berichtigung (§ 1 Abs. 3 Z 2 DSG, Art. 16 DSGVO),

4. Recht auf Löschung (§ 1 Abs. 3 Z 2 DSG, Art. 17 DSGVO),

5. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),

6. Widerspruchsrecht (Art. 21 DSGVO) sowie

7. Recht auf Benachrichtigung von einer Verletzung des Schutzes personenbezogener Daten (Art. 34 DSGVO).

(6) Personenbezogene Daten, die für die Bearbeitung eines Hinweises nicht benötigt werden, dürfen nicht erhoben werden bzw. sind unverzüglich zu löschen, falls sie unbeabsichtigt erhoben wurden.

(7) Hat ein Hinweis keinen ausreichend begründeten Verdacht einer Rechtsverletzung ergeben bzw. weder zur Einleitung noch zur Durchführung oder zur Einstellung eines (Ermittlungs-)Verfahrens geführt, sind die damit verbundenen personenbezogenen Daten von einer bzw. einem Verantwortlichen bis zu einem Jahr ab ihrer letztmaligen Verarbeitung oder Übermittlung aufzubewahren. Personenbezogene Daten, die auf Grund stichhaltiger Hinweise verarbeitet oder übermittelt wurden, sind bis zu fünf Jahre und darüber hinaus so lange aufzubewahren, als dies für die Durchführung verwaltungsbehördlicher oder gerichtlicher Verfahren oder zum Schutz einer der in Abs. 2 genannten Personen erforderlich und verhältnismäßig ist.