Whistleblowing-Richtlinie

Einführung
Die Europäische Union hat mit der Richtlinie 2019/1937 die Rechtsvorschriften zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, erneuert, um einen Mindeststandard für den Schutz der Rechte von Whistleblowern in allen Mitgliedstaaten zu schaffen. Deutschland setzte die europäische Richtlinie mit dem Hinweisgeberschutzgesetz (HinSchG) um, das am 02. Juli 2023 in Kraft getreten ist.

Mit der Verabschiedung dieser Richtlinie beabsichtigt das Unternehmen BEMM GmbH (im Folgenden das "Unternehmen"), die oben genannten gesetzlichen Bestimmungen einzuhalten. 

Ziel ist es, dem Whistleblower, d.h. der Person, die Verstöße meldet, klare operative Hinweise über Gegenstand, Inhalt, Empfänger und Übermittlungsmethoden von Meldungen zu geben. Diese Richtlinie enthält daher Informationen über die möglichen Meldekanäle, Verfahren und Voraussetzungen für die Abgabe interner und externer Meldungen. 

1. Hinweisgebende Personen
Meldungen können von natürlichen Personen erfolgen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die nach diesem Gesetz vorgesehenen Meldestellen melden oder offenlegen (hinweisgebende Personen).

Dieses Verfahren, das in den oben genannten Rechtsvorschriften vorgesehen ist, richtet sich an die folgenden Personen:

• Mitarbeiter;
• Selbstständige;
• Freiberufler und Berater;
• Freiwillige;
• Auszubildende;
• Aktionäre;
• Personen, die mit der Verwaltung, Leitung, Kontrolle und Aufsicht betraut sind, sowie deren Vertreter (sogenannte Senior Figures);
• Kandidaten;
• Arbeitnehmer auf Probezeit;
• Ehemalige Mitarbeiter;

Darüber hinaus wird eine Meldung nicht nur von den oben genannten Personen, sondern auch von Vertretern, Lieferanten, Beratern, Mitarbeitern und anderen Dritten akzeptiert, um eine möglichst weite Verbreitung der Kultur und Ethik der Transparenz zu gewährleisten. 

Der Schutz von hinweisgebenden Personen (Artikel 8 dieser Richtlinie) gilt auch, wenn es sich um Whistleblowing, eine Meldung an die Justiz- oder sonstige Behörden oder die öffentliche Bekanntgabe von Informationen in den folgenden Fällen handelt:

a)    wenn das oben beschriebene Rechtsverhältnis noch nicht begonnen hat, wenn die Informationen über Verstöße während des Auswahlverfahrens oder in anderen vorvertraglichen Phasen erworben wurden;
b)    während der Probezeit;
c)    nach Beendigung des Rechtsverhältnisses, wenn die Informationen über Verstöße im Rahmen dieses Rechtsverhältnisses erworben wurden.

2. Gegenstand der Meldung und ausgeschlossene Meldungen
Es können Informationen über Verstöße an unsere interne Meldestelle gemeldet werden. Informationen über Verstöße sind begründete Verdachtsmomente oder Wissen über tatsächliche oder mögliche Verstöße, innerhalb unseres Unternehmens oder bei einer anderen Stelle, mit der Sie aufgrund Ihrer beruflichen Tätigkeit im Kontakt stehen oder standen (z. B. Kunden und Lieferanten), die bereits begangen wurden oder sehr wahrscheinlich erfolgen werden, sowie über Versuche der Verschleierung solcher Verstöße. Erfasst werden Verstöße durch Handlungen und/oder Unterlassungen im Rahmen einer beruflichen, unternehmerischen oder dienstlichen Tätigkeit, die rechtswidrig und/oder missbräuchlich sind und Vorschriften oder Rechtsgebiete betreffen, die in den sachlichen Anwendungsbereich des HinSchG fallen. Meldungen über rein privates Fehlverhalten, von dem der Hinweisgeber im Zusammenhang mit seiner beruflichen Tätigkeit erfährt, sind hingegen nicht geschützt. Der sachliche Anwendungsbereich des Hinweisgeberschutzgesetzes ist in § 2 HinSchG geregelt. Er umfasst unter anderem die Meldung von Informationen zu den nachfolgenden Verstößen: 

• Verstöße, die strafbewehrt sind, 
• Verstöße, die bußgeldbewehrt sind, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, 
• sonstige Rechtsverstöße gegen Rechtsvorschriften des Bundes oder der Länder sowie bestimmte unmittelbar geltende Rechtsakte der EU und der Europäischen Atomgemeinschaft, wie z. B. Verbraucherschutz sowie Datenschutz. und optional das entsprechend zur Branche passende Rechtsgebiet aus § 2 Abs. 1 Nr. 3 HinSchG einfügen, z. B. Lebensmittel- und Futtersicherheit (§ 2 Abs. 1 Nr. 3 k) HinSchG), 

Diese Aufzählung ist nicht abschließend. 

3. Meldekanäle: intern, extern, Offenlegung
Neben der Meldung von Informationen über einen Verstoß an die interne Meldestelle können Sie diese auch an eine externe Meldestelle melden. Das Gesetz sieht in § 7 Abs. 1 S. 1 HinSchG an sich ein Wahlrecht vor. Nach § 7 Abs. 1 S. 2 HinSchG sollen hinweisgebende Personen allerdings in den Fällen, in denen intern wirksam gegen den Verstoß vorgegangen werden kann und sie keine Repressalien befürchten müssen, die Meldung an eine interne Meldestelle bevorzugen. Daher bitten wir Sie, sich mit verdächtigen Sachverhalten zuerst an unsere vertrauliche interne Meldestelle zu wenden.

Das Unternehmen hat eigene “interne Meldekanäle” eingerichtet, die die Vertraulichkeit der Identität der meldenden Person, der Beteiligten und der in jedem Fall in der Meldung erwähnten Person sowie des Inhalts der Meldung und der entsprechenden Dokumentation in Übereinstimmung mit dem HinSchG und nachfolgenden Änderungen, der DSGVO und den anderen geltenden Gesetzen zum Schutz personenbezogener Daten gewährleisten.

Ergänzend zur internen Meldung sieht das Gesetz die Möglichkeit einer Meldung über „externe Kanäle“ vor. Zu diesem Zweck errichtet der Bund beim Bundesamt für Justiz (BfJ) die externe Meldestelle des Bundes. Auf der Webseite des BfJ sind die Meldekanäle sowie weitere Informationen zur externen Meldestelle des BfJ veröffentlicht. Neben der externen Meldestelle des Bundes beim BfJ werden die bestehenden Meldesysteme bei der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) sowie beim Bundeskartellamt für ihren speziellen Aufgabenbereich weitergeführt. Lesen Sie bitte auch die Informationen auf den Webseiten dieser Meldestellen/Hinweisgeberstellen: 
www.bafin.de 
www.bundeskartellamt.de 

Informationen über Verfahren für Meldungen an Stellen der Europäischen Union (EU) 
Neben Informationen über externe Meldeverfahren nach dem HinSchG können unter den nachfolgenden Links Informationen über Verfahren für Meldungen an Organe, Einrichtungen oder sonstigen Stellen der EU abgerufen werden. Darunter fallen externe Meldekanäle der Kommission, des Europäischen Amts für Betrugsbekämpfung (OLAF), der Europäischen Agentur für die Sicherheit des Seeverkehrs (EMSA), der Europäischen Agentur für Flugsicherung (EASA), der europäischen Wertpapier- und Marktaufsichtsbehörde (ESMA) und der Europäischen Arzneimittelagentur (EMA). 
OLAF: https://anti-fraud.ec.europa.eu/index_de 
EMSA: https://www.emsa.europa.eu/de 
EASA: https://www.easa.europa.eu/en 
ESMA: https://www.esma.europa.eu/ 
EMA: https://www.ema.europa.eu/en. 
Die dortigen Meldeverfahren bleiben vom HinSchG unberührt, d. h. sie bestehen neben den internen und externen Meldeverfahren nach dem HinSchG unverändert fort. 

Weitere Informationen zu externen Meldestellen und Verfahren der EU 
Weitere Informationen über externe Meldeverfahren und einschlägige Meldeverfahren von Organen, Einrichtungen und sonstigen Stellen der Europäischen Union können Sie der Website des BfJ (https://www.bundesjustizamt.de) entnehmen.

Die hinweisgebende Person kann eine Meldung auch über eine externe Meldestelle einreichen, wenn

• Der Hinweisgeber eine Meldung über die interne Meldestelle gemacht hat, diese jedoch nicht weiterverfolgt wurde oder mit einer negativen Maßnahme endete;
• Der Hinweisgeber berechtigten Grund zu der Annahme hat, dass die interne Meldung nicht weiterverfolgt worden wäre oder dass sie ein hohes Risiko von Vergeltungsmaßnahmen mit sich bringen könnte;
• Der Hinweisgeber Grund zu der Annahme hat, dass der Verstoß eine unmittelbare oder eindeutige Gefahr für das öffentliche Interesse darstellt. 

4.  Interne Meldekanäle
Whistleblowing-Meldungen können über das interne Meldesystem entweder in schriftlicher oder mündlicher Form wie folgt erfolgen:

• auf Antrag der meldenden Person durch ein persönliches Treffen mit dem Beauftragten für Nachhaltigkeitspolitik der IRSAP-Gruppe und/oder der Rechtsabteilung der Gruppe
• über die Plattform DigitalPA, die über den Zugangslink (deutsche Sprache auswählen) oder den Link zugänglich ist:
  
  DigitalPA Plattform Zugangslink 
  
  DigitalPA Plattform Link
   
• per normaler Post, indem die Meldung in zwei verschlossene Umschläge gesteckt wird, wobei im ersten Umschlag die Identifikationsdaten der meldenden Peron und im zweiten Umschlag das Thema der Meldung angegeben werden; beide Umschläge müssen dann in einen dritten Umschlag gesteckt werden, der auf der Außenseite die Aufschrift "reserviert für den Beauftragten für Meldungen" trägt und an folgende Adresse der gerichtet ist IRSAP SPA, Via delle Industrie 211, 45031 Arquà Polesine (RO); C.A. Legal Office, oder C.A. ESG Office - Sustainability Policies.

Die Papiermeldungen werden von den zuständigen Personen in die IT-Plattform eingegeben, und die Originale werden in verschlossenen Schränken aufbewahrt, wobei die Identifikationsdaten des Meldenden von der Meldung getrennt aufbewahrt werden.

Anonyme Meldungen
Das Unternehmen behält sich das Recht vor, anonyme Meldungen im Hinblick auf die Einleitung eingehender Untersuchungen/Untersuchungen zur Feststellung des gemeldeten Sachverhalts nur dann zu berücksichtigen, wenn sie präzise, übereinstimmende und hinreichend begründete Informationen enthalten. Die Schutzmaßnahmen zum Schutz der meldenden Person gelten in jedem Fall nur dann, wenn die meldende Person in der Folge identifiziert wird und Repressalien gegen sie ergriffen werden.

Übermittlung von Meldungen
Whistleblowing-Meldungen sind zu richten an: den Beauftragten für die Nachhaltigkeitspolitik der IRSAP-Gruppe und/oder die Rechtsabteilung der Gruppe, je nach gewähltem Meldeweg.

Bei längerer Abwesenheit eines Empfängers/Verantwortlichen (Verantwortlichen) der Meldung der beiden oben genannten Personen sind die Meldungen an den anderen Verantwortlichen zu richten. Dies gilt auch, wenn die für die Meldung zuständige Person in einen Interessenkonflikt im Sinne von Punkt 7 dieser Politik gerät.

Wurde die Meldung irrtümlich an eine Person übermittelt/von einer Person entgegengenommen, die nicht für den Empfang der Meldung benannt wurde, und ist klar, dass es sich um eine Whistleblowing-Meldung handelt, so ist diese Person verpflichtet, der für die Meldungen zuständigen Person den Erhalt der Meldung unverzüglich, in jedem Fall aber innerhalb von 7 (sieben) Tagen nach Erhalt, zu bestätigen und gleichzeitig den Meldenden von der Übermittlung der Meldung an die für die Meldungen zuständigen Person in Kenntnis zu setzen, unbeschadet aller Vertraulichkeitsverpflichtungen, die in dieser Richtlinie auch für die für die Meldungen zuständigen Person vorgesehen sind (und seiner daraus folgenden Haftung im Falle eines Verstoßes dagegen).

5. Inhalt und Einreichung der Meldungen
Eine hinweisgebende Meldung kann erfolgen, wenn die folgenden Bedingungen erfüllt sind:

• wenn Informationen, einschließlich begründeter Verdachtsmomente, über begangene oder wahrscheinliche Verstöße gegen nationale oder EU-Rechtsvorschriften, die das öffentliche Interesse oder die Integrität des Unternehmens beeinträchtigen, sowie über Verhaltensweisen zur Verschleierung solcher Verstöße vorliegen und
• derartige Informationen im Zusammenhang mit der beruflichen Tätigkeit erlangt werden oder ein Verdacht entstanden ist.

Es können keine Meldungen berücksichtigt werden, die ausschließlich folgende Inhalte haben: 

• Einwände, Ansprüche oder Forderungen im Zusammenhang mit einem persönlichen Interesse der hinweisgebenden Person; 
• individuelle Beschäftigungs- oder Kooperationsverhältnisse des Hinweisgebers mit dem Unternehmen oder mit hierarchisch übergeordneten Personen;
• Aspekte des Privatlebens der gemeldeten Person, die in keinem direkten oder indirekten Zusammenhang mit der geschäftlichen und/oder beruflichen Tätigkeit stehen. 

Außerdem sind keine Meldung zulässig, die:

• fadenscheinig, diffamierend, verleumderisch oder ausschließlich darauf gerichtet, der gemeldeten Person zu schaden;
• Verstöße betreffen, von denen die hinweisgebende Person weiß, dass sie nicht begründet sind.

Inhalt der Meldung
Die Meldung muss enthalten: 

1. die Identifikationsdaten der meldenden Person [außer bei Angaben zu anonymen Meldungen] sowie eine Adresse, an die spätere Aktualisierungen geschickt werden können;
2. die klare, vollständige und detaillierte Beschreibung des Sachverhalts, der Gegenstand der Meldung ist;
3. die zeitlichen und örtlichen Umstände, unter denen sich der gemeldete Sachverhalt ereignet hat, und damit eine Beschreibung des Sachverhalts, der Gegenstand der Meldung ist, unter Angabe der Einzelheiten der Indizien und, soweit vorhanden, auch der Art und Weise, wie der Sachverhalt, der Gegenstand der Meldung ist, zu Tage getreten ist;
4. die Angaben oder andere Elemente, die es ermöglichen, die Person(en) zu identifizieren, die für die gemeldeten Tatsachen verantwortlich gemacht werden;
5.  die Angabe aller anderen Personen, die über die gemeldeten Tatsachen Meldungen können;
6. die Angabe von Dokumenten, die die Richtigkeit dieser Tatsachen bestätigen können;
7. alle sonstigen Informationen, die nützliche Rückschlüsse auf das Vorliegen der gemeldeten Tatsachen zulassen.
8. im Falle der Nutzung des analogen Kanals (siehe unten) die ausdrückliche Erklärung, dass er/sie den Schutz für Hinweisgeber in Anspruch nehmen möchte, z. B. durch Einfügung der Worte "für den Hinweisgeber reserviert".

6.  Melde-Management
Dieses Verfahren regelt den Prozess der Entgegennahme, Prüfung und Bearbeitung von Meldungen über rechtswidriges Verhalten, von dem die meldende Person im Rahmen ihrer beruflichen Tätigkeit Kenntnis erlangt hat. 

Im Rahmen der Verwaltung des internen Meldekanals arbeiten die für die Meldung verantwortlichen Personen (im Folgenden auch als "Bearbeiter" oder "Empfänger" bezeichnet) wie folgt: 

Eingang der Meldung
Der Empfänger stellt der meldenden Person innerhalb von sieben Tagen nach dem Empfangsdatum eine Empfangsbestätigung aus.

Anonyme Meldungen, die nicht über die oben genannte Plattform eingehen, werden erfasst, so weit wie möglich bearbeitet und dokumentiert.

Das Unternehmen wird Meldungen, die auf dem Postweg eingehen, mit geeigneten Mitteln, die die Vertraulichkeit gewährleisten, verwahren.

Mündliche Meldungen - in den in dieser Richtlinie angegebenen Formen - werden vorbehaltlich der Zustimmung der meldenden Person von den Empfängern der Meldung durch eine Aufzeichnung auf einem zur Speicherung und zum Abhören geeigneten Gerät oder durch eine ausführliche Abschrift des Gesprächs durch den zuständigen Mitarbeiter dokumentiert. Die meldende Person kann den Inhalt der Niederschrift durch ihre Unterschrift überprüfen, berichtigen und bestätigen.

Im Falle eines persönlichen Gesprächs mit der meldenden Person wird eine Aufzeichnung des Gesprächs angefertigt, oder, falls dies nicht geschieht oder die meldende Person der Aufzeichnung nicht zustimmt, wird ein Protokoll des Gesprächs angefertigt, das von der meldenden Person überprüft, berichtigt und bestätigt werden kann und das sowohl von der für die Meldung verantwortlichen Peron als auch von der meldenden Person unterzeichnet wird; letztere erhält eine Kopie.

Beziehungen zur meldenden Person und Ergänzungen zur Meldung
Der Empfänger bleibt mit der meldenden Person in Kontakt und kann bei Bedarf Ergänzungen anfordern.

Prüfung der Meldung
Der Empfänger geht den eingegangenen Meldungen nach und prüft, ob der Meldende legitimiert ist und ob die Meldung in den Anwendungsbereich der Vorschrift fällt; anschließend werden die zeitlichen und örtlichen Umstände des Ereignisses bewertet.

Nach dem Ergebnis der Voruntersuchung:

• Wenn die Voraussetzungen nicht erfüllt sind, wird die Meldung unter Angabe der Gründe archiviert;
• Wenn die Voraussetzungen erfüllt sind, werden Untersuchungen eingeleitet.

Untersuchung
Der Empfänger garantiert die ordnungsgemäße Durchführung der Untersuchung durch:

•  die Einholung von Dokumenten und Informationen;
•  die Einbeziehung externer Parteien (wenn die technische Unterstützung von Fachleuten erforderlich ist) oder anderer Unternehmensfunktionen, die zur Zusammenarbeit mit dem Verantwortlichen für die Meldungen verpflichtet sind;
• die Anhörung anderer interner/externer Beteiligter, sofern erforderlich.

Die Untersuchung wird nach den folgenden Grundsätzen durchgeführt:

• die erforderlichen Maßnahmen werden getroffen, um die Identifizierung des Meldenden und der beteiligten Personen zu verhindern;
• die Audits werden von Personen durchgeführt, die über die erforderliche Ausbildung verfügen, und die Aktivitäten werden korrekt verfolgt und archiviert;
• alle an der Bewertung beteiligten Personen wahren die Vertraulichkeit der erhaltenen Informationen, sofern nicht gesetzlich etwas anderes vorgesehen ist;
• Die Überprüfungen werden durchgeführt, indem sichergestellt wird, dass geeignete Maßnahmen für die Erhebung, Verwendung, Weitergabe und Speicherung personenbezogener Daten ergriffen werden, und indem sichergestellt wird, dass die Erfordernisse der Untersuchung gegen die Notwendigkeit des Schutzes der Privatsphäre abgewogen werden;
• geeignete Maßnahmen zur Bewältigung möglicher Interessenkonflikte werden getroffen, wenn die Meldung den Empfänger betrifft.

Rückmeldung an die hinweisgebende Person
Innerhalb von drei Monaten ab dem Datum der Empfangsbestätigung oder, falls keine Empfangsbestätigung vorliegt, innerhalb von drei Monaten nach Ablauf der siebentägigen Frist ab Einreichung der Meldung, gibt der Empfänger eine Rückmeldung zu der Meldung, wobei er alternativ Folgendes mitteilt

• Archivierung unter Angabe der Gründe für die Entscheidung, oder
• die Begründetheit der Meldung zu prüfen und sie an die zuständigen internen Stellen zur Weiterverfolgung weiterzuleiten, oder
• die durchgeführte und noch durchzuführende Tätigkeit (bei Meldungen, die eine zeitaufwändigere Überprüfung erfordern) und die gegebenenfalls getroffenen Maßnahmen.

7. Interessenkonflikt 
Befindet sich der für die Bearbeitung der Meldung zuständige Sachbearbeiter in einem Interessenkonflikt, z. B. als gemeldete Person oder als hinweisgebende Person, wird die Meldung von dem in Abschnitt 4 genannten Vertreter bearbeitet.

8. Schutz der hinweisgebenden Person und ihre Verantwortung 
Hinweisgebende Personen dürfen keinerlei Repressalien ausgesetzt werden. Das Gesetz sieht vor, dass Whistleblower nicht sanktioniert, degradiert, entlassen, versetzt oder einer anderen organisatorischen Maßnahme unterworfen werden dürfen, die sich direkt oder indirekt negativ auf ihre Arbeitsbedingungen auswirkt oder sie diskriminiert oder Repressalien Ihnen gegenüber ergreift.

Die Maßnahmen zum Schutz von Hinweisgebern gelten auch für so genannte "Vermittler", Kollegen, Verwandte oder feste Verwandte des Hinweisgebers.

Die Motive einer Person für eine Meldung oder öffentliche Bekanntgabe sind für ihren Schutz unerheblich.

Im Rahmen eines Gerichts- oder Verwaltungsverfahrens oder auch eines außergerichtlichen Verfahrens, in dem es um die Feststellung eines verbotenen Verhaltens gegenüber Whistleblowern geht, wird vermutet, dass dieses Verhalten durch die Meldung, die öffentliche Bekanntgabe oder die Beschwerde bei den Justiz- oder Rechnungslegungsbehörden veranlasst wurde. Die Beweislast dafür, dass ein solches Verhalten gegenüber hinweisgebenden Personen durch Gründe motiviert ist, die nichts mit der Meldung, der öffentlichen Bekanntgabe oder der Beschwerde zu tun haben, liegt bei der Person, die das Verhalten begangen hat.
 
Verarbeitung von personenbezogenen Daten
Die interne Meldestelle verarbeitet entsprechend der Rechtsgrundlage des Art. 6 Abs. 1 S. 1c) DSGVO, § 10 HinSchG personenbezogene Daten der hinweisgebenden Person sowie sonstiger, in der Meldung benannter Personen, soweit dies zur Durchführung des Meldeverfahrens sowie entsprechender Folgemaßnahmen erforderlich ist. Insbesondere werden die von Ihnen im Rahmen des Hinweisgebersystems angegebenen Informationen zum Zweck der Überprüfung, für interne Untersuchungen (einschließlich der Weitergabe an externe Rechtsanwälte, Wirtschaftsprüfer oder andere berufsrechtlich zur Verschwiegenheit verpflichtete Berufsträger sowie an betroffene Konzerngesellschaften) und ggf. zur Weitergabe an staatliche Stellen verarbeitet. 

Es wurde eine Cloudlösung eines Dienstleisters gewählt, mit welchem eine Auftragsverarbeitungsvereinbarung gem. Art 28 DSGVO geschlossen wurde und welcher dementsprechend auch Empfänger dieser Meldung ist. Die Meldungen werden entsprechend der gesetzlichen Vorgaben dokumentiert. Die Dokumentation wird drei Jahre nach Abschluss des Verfahrens gelöscht. Die Dokumentation kann länger aufbewahrt werden, um die Anforderungen nach diesem Gesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist. 

Gemäß Art. 14 DSGVO haben Sie das Recht, wenn Ihre Daten ohne Ihre Kenntnis erhoben werden (etwa, weil Sie als beschuldigte Person im Verfahren zur Aufklärung des Hinweises involviert sind), über die Speicherung, die Art der Daten, den Zweck der Verarbeitung und die Identität des Verantwortlichen und gegebenenfalls der Hinweisgeberin oder des Hinweisgebers (sofern der Hinweis nicht anonym abgegeben wurde) informiert zu werden. Wenn allerdings das Risiko erheblich ist, dass eine solche Unterrichtung unsere Fähigkeit zur wirksamen Untersuchung des Vorwurfs oder zur Sammlung der erforderlichen Beweise gefährden würde, kann diese Information nach Art. 14 Abs. 5 S. 1 lit. b) DSGVO für die Zeitspanne aufgeschoben werden, innerhalb derer diese Gefahr besteht. Die Information muss nachgeholt werden, sobald der Grund für den Aufschub entfallen ist. Weitere Informationen entnehmen Sie unserer Datenschutzinformation unter www.irsap.com. 

Vertraulichkeit
Mit Ihren personenbezogenen Daten und mit den personenbezogenen Daten der von der Meldung betroffenen Personen gehen wir vertraulich um. Personenbezogene Daten werden nach den Vorgaben der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz verarbeitet. Zudem sind wir nach § 8 HinSchG verpflichtet, die Identität der hinweisgebenden Person sowie der von der Meldung betroffenen Personen weitgehend zu schützen. Das bedeutet, personenbezogene Daten werden nur den zuständigen Personen der internen Meldestelle bekannt und dürfen nur in gesetzlich bestimmten Ausnahmefällen (§ 9 HinSchG) offengelegt werden. Die Identität von Personen, die grob fahrlässig oder vorsätzlich falsche Informationen melden, wird nach Maßgabe des HinSchG nicht vor einer Weitergabe geschützt. 

9.  Verantwortung der hinweisgebenden Person
Das Unternehmen garantiert dem hinweisgebenden Person das Recht, (innerhalb einer angemessenen Frist) über alle ihn betreffenden Meldungen informiert zu werden, und garantiert ihm das Recht auf Verteidigung, wenn Disziplinarmaßnahmen gegen ihn eingeleitet werden. 

Dieses Verfahren berührt nicht die strafrechtliche und zivilrechtliche Haftung des Hinweisgebers im Falle einer verleumderischen oder diffamierenden Meldung gemäß dem Strafgesetzbuch und dem deutschen Bürgerlichen Gesetzbuch (BGB).

Jede Form des Missbrauchs des Verfahrens zur Meldung von Missständen, wie z. B. Meldungen, die offensichtlich unbegründet sind und/oder mit dem alleinigen Ziel erfolgen, der gemeldeten Person oder anderen Personen zu schaden, sowie jeder andere Verdacht auf missbräuchliche Verwendung oder vorsätzliche Ausnutzung des Verfahrens selbst, zieht ebenfalls eine Haftung in Disziplinarverfahren und anderen zuständigen Gremien nach sich.

10. Sanktionen
Nach dem HinSchG kann mit einer Geldbuße von bis zu 50.000 Euro kann bestraft werden, wer eine Meldung oder eine nachfolgende Mitteilung verhindert (oder zu verhindern versucht), wer eine verbotene Repressalie vornimmt (oder zu unternehmen versucht) oder wer vorsätzlich oder leichtfertig die Verschwiegenheitspflicht missachtet. § 40 Abs. 2 HinSchG.

Die Geldbuße bis zu 50.000 Euro gilt für Unternehmensverantwortliche. Für Unternehmen selbst (juristische Personen und Personengesellschaften) kann der Bußgeldrahmen unter bestimmten Umständen im Zusammenhang mit der Verhinderung einer Meldung oder bei einem Verstoß gegen die Verschwiegenheitspflicht aufgrund der Verweisung auf § 30 Abs. 2 Satz 3 OwiG, § 40 Abs. 6 Satz 2 HinSchG auf bis zu 500.000 Euro erhöht werden. 

Das HinSchG sieht auch Bußgelder für Falschmeldungen vor, die zwischen € 500,00 bis € 20.000,00 betragen.

Für hinweisgebende Personen besteht im Falle von vorsätzlichen Falschmeldungen zudem das Risiko einer Strafbarkeit nach dem Strafgesetzbuch.

11. Inkrafttreten und Änderungen 
Diese Richtlinie tritt am 20. Januar 2024 in Kraft. Mit ihrem Inkrafttreten gelten alle zuvor zu diesem Thema angenommenen Bestimmungen, unabhängig von ihrer Übermittlungsform, als aufgehoben, soweit sie unvereinbar oder widersprüchlich sind, da sie durch die vorliegende Politik ersetzt werden.

Das Unternehmen sorgt für die notwendige Öffentlichkeitsarbeit und händigt jedem Mitarbeiter ein Exemplar der Richtlinie aus.

Alle Mitarbeiter können begründete Ergänzungen zu dieser Richtlinie vorschlagen, wenn sie dies für erforderlich halten; die Vorschläge werden von der Geschäftsleitung des Unternehmens geprüft.
Diese Richtlinie unterliegt jedoch einer regelmäßigen Überprüfung.

BEMM GmbH

Mit dieser Mitteilung möchte die BEMM GmbH (im Folgenden "Gesellschaft") die in den Artikeln 13 und 14 der Verordnung (EU) 2016/679 (oder " Datenschutzgrundverordnung" - "DSGVO") geforderten Angaben zur Verarbeitung personenbezogener Daten durch die Gesellschaft im Rahmen ihrer "Whistleblowing-Richtlinie", die gemäß dem am 02-07-2023 2023 in Kraft getretenen HinSchG beschlossen wurde, und insbesondere zu allen Tätigkeiten und Erfüllungen im Zusammenhang mit dem Systems zur Verwaltung von Whistleblowing-Meldungen der Gesellschaft machen.

Die nachstehenden Informationen richten sich an "meldende" Personen und an alle anderen potenziell "betroffenen" Personen, wie z. B. Personen, die als potenziell verantwortlich für rechtswidriges Verhalten angegeben werden, alle "Vermittler" (gemäß der Definition in den einschlägigen Rechtsvorschriften) und alle anderen Personen, die auf unterschiedliche Weise in die "Whistleblowing-Politik" eingebunden sind.

1. Für die Verarbeitung Verantwortlicher -
Der Verantwortliche der Datenverarbeitung ist BEMM GmbH. 

2. Kategorien verarbeiteter personenbezogener Daten und Zwecke
Gemäß dieser Richtlinie können personenbezogene Daten von der Gesellschaft erfasst werden, soweit sie in Meldungen über Missstände oder in den ihnen beigefügten Akten und Dokumenten enthalten sind, die die Gesellschaft über die in der genannten Richtlinie vorgesehenen Kanäle erhalten hat.

Die Entgegennahme und Bearbeitung solcher Meldungen kann je nach ihrem Inhalt die Verarbeitung der folgenden Kategorien personenbezogener Daten zur Folge haben:

a)  allgemeine personenbezogene Daten im Sinne von Artikel 4 Absatz 1 der Datenschutz-Grundverordnung, z. B. Angaben zur Person (Vorname, Nachname, Geburtsdatum und -ort), Kontaktdaten (Festnetz- und/oder Mobiltelefonnummer, Post-/E-Mail-Adresse), Funktion/Beruf;
b)  „besondere" personenbezogene Daten gemäß der Definition in Artikel 9 der Datenschutz-Grundverordnung, einschließlich beispielsweise Informationen über den Gesundheitszustand, politische Meinungen, religiöse oder philosophische Überzeugungen, die sexuelle Ausrichtung oder die Mitgliedschaft in einer Gewerkschaft;
c)  personenbezogene Daten von Richtern und Staatsanwälten gemäß Artikel 10 der Datenschutz-Grundverordnung, die sich auf strafrechtliche Verurteilungen und Straftaten oder auf damit zusammenhängende Sicherheitsmaßnahmen beziehen.

In Bezug auf die oben genannten Kategorien personenbezogener Daten betonen wir, wie wichtig es ist, dass die übermittelten Meldungen frei von Informationen sind, die für die Zwecke der Meldung offensichtlich irrelevant sind, und fordern insbesondere die hinweisgebenden Personen auf, von der Verwendung personenbezogener Daten "besonderer" und "gerichtlicher" Art abzusehen, es sei denn, sie werden für die Zwecke der Meldungen als notwendig und unvermeidbar erachtet, in Übereinstimmung mit Artikel 5 der Datenschutz-Grundverordnung.

Die vorgenannten Informationen werden von der Gesellschaft - dem für die Verarbeitung Verantwortlichen - gemäß den Bestimmungen des HinSchG und somit im Allgemeinen zur Durchführung der erforderlichen Voruntersuchungen verarbeitet, die darauf abzielen, die Gründe für die gemeldeten Tatsachen zu überprüfen und die entsprechenden Maßnahmen zu ergreifen.

Darüber hinaus können die Daten von dem für die Verarbeitung Verantwortlichen zu Zwecken verwendet werden, die sich aus der Notwendigkeit ergeben, die eigenen Rechte im Rahmen von gerichtlichen, verwaltungsrechtlichen oder außergerichtlichen Verfahren sowie von zivil-, verwaltungs- oder strafrechtlichen Streitigkeiten im Zusammenhang mit der Meldung zu verteidigen oder festzustellen.

3. Rechtsgrundlagen für die Verarbeitung personenbezogener Daten
Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten ist in erster Linie die Erfüllung einer rechtlichen Verpflichtung, der der für die Verarbeitung Verantwortliche unterliegt - Artikel 6 Absatz 1 Buchstabe c der DSGVO -, der insbesondere aufgrund der oben genannten Rechtsvorschriften verpflichtet ist, Informationskanäle einzurichten und zu verwalten, die für die Entgegennahme von Meldungen über rechtswidriges Verhalten zum Nachteil der Integrität der Gesellschaft und/oder des öffentlichen Interesses bestimmt sind.

In den Fällen, die in denselben Vorschriften vorgesehen sind, kann gemäß Artikel 6 Absatz 1 Buchstabe a der Datenschutz-Grundverordnung die ausdrückliche und freie Zustimmung der meldenden Person verlangt werden, insbesondere wenn ihre Identität offengelegt werden muss oder wenn vorgesehen ist, dass die mündlich, telefonisch oder über Sprachnachrichtensysteme oder durch direkte Treffen mit der für die Bearbeitung der Meldungen zuständigen Person eingeholten Meldungen aufgezeichnet werden. 

Die Verarbeitung "besonderer" personenbezogener Daten, die in den Meldungen enthalten sein können, beruht auf der Erfüllung von Pflichten und der Ausübung spezifischer Rechte des für die Verarbeitung Verantwortlichen und der betroffenen Person im Bereich des Arbeitsrechts gemäß Artikel 9 Absatz 2 Buchstabe b der Datenschutz-Grundverordnung.

Wie bei der Feststellung, Ausübung oder Verteidigung von Rechten vor Gericht ist die maßgebliche Rechtsgrundlage für die Verarbeitung personenbezogener Daten das berechtigte Interesse des für die Verarbeitung Verantwortlichen gemäß Artikel 6 Absatz 1 Buchstabe f der Datenschutz-Grundverordnung; für denselben Zweck stützt sich die Verarbeitung personenbezogener Daten mit "besonderem" Charakter, sofern vorhanden, auf Artikel 9 Absatz 2 Buchstabe f der Datenschutz-Grundverordnung.

4. Art der Bereitstellung der personenbezogenen Daten
Die Angabe personenbezogener Daten ist freiwillig, da die Möglichkeit besteht, der Gesellschaft auch anonyme Meldungen zu übermitteln, wenn diese präzise, stichhaltige und hinreichend begründete Informationen enthalten, unbeschadet der diesbezüglichen gesetzlichen Bestimmungen über Schutzmaßnahmen für die meldende Person. Wenn sie übermittelt werden, werden die personenbezogenen Daten zur Bearbeitung der Meldung unter Beachtung der Grenzen und der durch die einschlägigen Rechtsvorschriften auferlegten Vertraulichkeitsgarantien verarbeitet.

5. Art der Verarbeitung und Dauer der Datenspeicherung
Die Verarbeitung der personenbezogenen Daten, die in den gemäß der "Whistleblowing-Richtlinie" übermittelten Meldungen enthalten sind, erfolgt durch die von der Gesellschaft "dazu ermächtigten" Personen und beruht auf den Grundsätzen der Korrektheit, Rechtmäßigkeit und Transparenz, wie in Artikel 5 der DSGVO dargelegt.

Die personenbezogenen Daten können mit analogen und/oder computergestützten/telematischen Mitteln verarbeitet werden, um sie zu speichern, zu verwalten und zu übermitteln, wobei in jedem Fall geeignete physische, technische und organisatorische Maßnahmen ergriffen werden, um ihre Sicherheit und Vertraulichkeit in jeder Phase des Verfahrens zu gewährleisten, einschließlich der Einreichung der Meldung und der entsprechenden Dokumente - unbeschadet der Bestimmungen des § 9 HinSchG- mit besonderem Bezug auf die Identität der hinweisgebenden Person, der beteiligten und/oder in den Meldungen genannten Personen, den Inhalt der Meldungen und der entsprechenden Dokumente.

Die bei der Gesellschaft eingegangenen Meldungen werden zusammen mit den beigefügten Urkunden und Dokumenten so lange aufbewahrt, wie es für ihre Verwaltung erforderlich ist, und in jedem Fall, wie in den Rechtsvorschriften vorgesehen, für einen Zeitraum von höchstens fünf Jahren ab dem Datum der Mitteilung ihres endgültigen Ergebnisses. Nach Ablauf dieses Zeitraums werden die Meldungen entweder aus dem System gelöscht oder in anonymisierter Form gespeichert. 

Im Einklang mit den Angaben in Absatz 1 werden personenbezogene Daten in Meldungen, die für den Zweck der Meldungen offensichtlich irrelevant sind, unverzüglich gelöscht.

6. Bereiche der Kommunikation und Übermittlung personenbezogener Daten
Neben den oben genannten, vom für die Verarbeitung Verantwortlichen ausdrücklich zugelassenen internen Personen können die erhobenen personenbezogenen Daten im Rahmen der "Whistleblowing-Richtlinie" und zu den angegebenen Zwecken auch von den folgenden Dritten verarbeitet werden, die förmlich als Datenverarbeiter benannt werden, wenn die in Artikel 28 der DSGVO festgelegten Bedingungen erfüllt sind:

• Anbieter von Beratungsdiensten und Unterstützung bei der Umsetzung der Whistleblowing-Richtlinie, wie z. B. der Anbieter der IT-Plattform für Whistleblowing;
• Unternehmen und IT-Fachleute im Hinblick auf die Anwendung geeigneter technischer, informatischer und/oder organisatorischer Sicherheitsmaßnahmen für die im System des Unternehmens verarbeiteten Informationen.

Gegebenenfalls können personenbezogene Daten an Justiz- und/oder Polizeibehörden weitergegeben werden, die diese im Rahmen von gerichtlichen Ermittlungen anfordern.

Die personenbezogenen Daten werden im Europäischen Wirtschaftsraum (EWR) verarbeitet und auf dortigen Servern gespeichert. Wenn die "Whistleblowing-Richtlinie" des Unternehmens jedoch die Nutzung elektronischer Plattformen für die Entgegennahme und Verwaltung von Hinweisen vorsieht, kann es erforderlich sein, dass Anbieter aus Nicht-EU-Ländern zu Zwecken, die ausschließlich mit ihren vertraglichen Verpflichtungen in Verbindung stehen, auf die Daten zugreifen, die mit der unvermeidlichen Implementierung und Wartung des Systems zusammenhängen. 

Die konsequente Übermittlung personenbezogener Daten in Länder außerhalb der EU wäre in jedem Fall nur dann zulässig, wenn die in Artikel 44 ff. der Datenschutz-Grundverordnung vorgesehenen Bedingungen und Garantien gegeben sind, z. B. bei Vorliegen einer Entscheidung der EU-Kommission über die Angemessenheit des Datenschutzniveaus des Empfängerlandes. 

Unter keinen Umständen werden personenbezogene Daten weitergegeben.

7. Rechte der betroffenen Person
Jede betroffene Person hat das Recht, die in Artikel 15 ff. der DSGVO genannten Rechte auszuüben, um von dem für die Verarbeitung Verantwortlichen beispielsweise Auskunft über ihre personenbezogenen Daten, deren Berichtigung oder Löschung oder die Einschränkung der sie betreffenden Verarbeitung zu verlangen, unbeschadet der Möglichkeit, bei Ausbleiben einer zufriedenstellenden Antwort eine Beschwerde bei der Datenschutzbehörde einzureichen.

Um diese Rechte auszuüben, ist es erforderlich, einen konkreten Antrag in freier Form an die folgende Adresse des für die Verarbeitung Verantwortlichen zu richten: datenschutz@bemm.de , oder das auf der Website der Datenschutzbehörde verfügbare Formular an dieselbe Adresse zu senden. 

In diesem Zusammenhang informieren wir Sie darüber, dass die oben genannten Rechte der betroffenen Personen bei der Verarbeitung personenbezogener Daten gemäß und im Sinne des Bundesdatenschutzgesetzes (BDSG) für die Dauer und in dem Umfang eingeschränkt werden können, in dem dies eine notwendige und verhältnismäßige Maßnahme darstellt, wenn ihre Ausübung eine konkrete und tatsächliche Beeinträchtigung der Vertraulichkeit der Identität der meldenden Personen zur Folge haben kann.

In solchen Fällen haben die Betroffenen in jedem Fall das Recht, die Datenschutz-Aufsichtsbehörde anzurufen, damit diese prüft, ob die vertraulichen Daten rechtskonform verarbeitet werden.