Datenschutzerklärung für die Datenverarbeitung im Rahmen der beruflichen Whistleblowing-Tätigkeit Um sich umfassend über die Merkmale der von uns durchgeführten Datenverarbeitung sowie über Ihre Rechte und die Möglichkeiten zu deren Ausübung zu informieren, laden wir Sie außerdem ein, die Allgemeine Datenschutzerklärung von Volta Medical zu lesen .
Der Zweck dieser Datenschutzerklärung besteht darin, Sie über die Verarbeitung personenbezogener Daten im Rahmen des professionellen Whistleblowing-Systems der Volta Medical Group zu informieren, zu der Volta Medical France (Substrate HD SAS) und Volta Medical Inc. (im Folgenden „Volta Medical US“) gehören.
Wenn sich der Bericht also auf Volta Medical US, deren Mitarbeiter und/oder externe Personen im Zusammenhang mit diesem Unternehmen bezieht, fungieren Volta Medical US und Volta Medical France als gemeinsame Verantwortliche.
Im Rahmen von Whistleblowing können folgende personenbezogene Daten verarbeitet werden:
Identifikationsdaten: Nachname, Vorname, Position, Identifikationsmerkmale, E-Mail-Adresse im Nominativ, Telefonnummer. Spezifische Daten: Sprachdaten und die Angabe, ob diese vom Verfasser des Berichts bereitgestellt oder im Rahmen des Ermittlungsverfahrens erhoben wurden, ethnische oder mutmaßliche rassische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen oder Gewerkschaftszugehörigkeit, Daten über die Gesundheit oder Daten über das Sexualleben oder die sexuelle Orientierung, Straftaten oder Verdachtsmomente auf Rechtsverstöße. Technische Daten/Verbindungsdaten: Protokolle, Anmeldedaten, Zeitstempel. Wirtschaftliche und finanzielle Angaben: Einkommen, finanzielle Situation, Bankdaten, steuerliche Situation. Internet: Informationen über das Verhalten der betreffenden Person, insbesondere Browsing-Daten und Metadaten. Sonstige Datenkategorien: Die Sachverhalte, die Gegenstand des Berichts sind, sowie die vorgelegten Unterlagen, die zur Untermauerung dieser Sachverhalte dienen und möglicherweise personenbezogene Daten enthalten (wie Spesenabrechnungen, E-Mails usw.), sowie die rechtliche Einordnung der Sachverhalte.
Als Verantwortlicher oder gemeinsam Verantwortlicher können wir Ihre Daten für den folgenden Hauptzweck verarbeiten: die Erfassung und Bearbeitung von beruflichen Hinweismeldungen, um Abhilfe zu schaffen und die Rechte der Volta Medical Group zu wahren.Zweck Nr. 1: Entgegennahme, Bearbeitung und Speicherung aller Meldungen, die einen Verstoß gegen gesetzliche Vorschriften (sei es nach französischem, europäischem, internationalem oder ausländischem Recht) aufdecken oder melden,Zweck Nr. 2: Entgegennahme, Bearbeitung und Speicherung aller Meldungen, die einen Verstoß gegen die ethischen Regeln der Volta Medical-Gruppe aufdecken oder melden,Zweck Nr. 3: Durchführung der erforderlichen Überprüfungen, Untersuchungen und Analysen,Zweck Nr. 4: Festlegung und Umsetzung der Folgemaßnahmen zu den Meldungen, einschließlich geeigneter Maßnahmen gegen die betroffenen Personen,Zweck Nr. 5: Den Schutz der betroffenen Personen gewährleisten, Zweck Nr. 6: Die Rechte der Volta Medical-Gruppe vor Gericht geltend machen oder verteidigen,Zweck Nr. 7: Unsere Informationspflichten gegenüber den zuständigen Behörden (und deren Vermittlern) erfüllen, gegebenenfalls auch gegenüber ausländischen Behörden,Zweck Nr. 8: Durchführung interner und/oder externer Audits der Compliance-Prozesse der Volta Medical Group,Zweck Nr. 9: Gewährleistung des Zugangs zu und der Rückverfolgbarkeit von Maßnahmen der Beteiligten im Rahmen des Whistleblowing-Systems,Zweck Nr. 10: Anonymisierung personenbezogener Daten und Erstellung von Statistiken unter Einhaltung der geltenden Vorschriften.
Die Rechtsgrundlage für die Verarbeitung hängt vom Zweck der beabsichtigten Verarbeitung ab.
Die Rechtsgrundlage für die Verarbeitung, die (i) zum Entgegennehmen, Bearbeiten und Speichern von Meldungen, die einen Verstoß gegen gesetzliche Vorschriften aufdecken oder melden, (ii) zur Durchführung von Überprüfungen, Ermittlungen und Analysen im Falle einer Straftat oder eines Tatverdachts sowie (iii) zum Schutz der betroffenen Personen und zur Meldung des Sachverhalts an die zuständigen Behörden erfolgt, ist die Erfüllung einer gesetzlichen Verpflichtung.
Die Rechtsgrundlage für die Verarbeitung, die durchgeführt wird, um (i) Meldungen entgegenzunehmen, zu bearbeiten und zu speichern, die einen Verstoß gegen die ethischen Regeln der Volta Medical Group aufdecken oder melden, (ii) im Falle von ethischen Verstößen Überprüfungen, Untersuchungen und Analysen durchzuführen, (iii) Rechtsansprüche geltend zu machen oder abzuwehren sowie interne und/oder externe Audits von Compliance-Prozessen durchzuführen, (iv) um den Zugriff auf die Handlungen der Beteiligten im Whistleblowing-System sowie deren Nachverfolgbarkeit sicherzustellen, (v) um Daten zu anonymisieren, zu deidentifizieren und Statistiken zu erstellen, ist das berechtigte Interesse des für die Verarbeitung Verantwortlichen, unbeschadet der Interessen, Rechte und Grundfreiheiten der betroffenen Personen.
Wenn wir sensible personenbezogene Daten im Sinne der DSGVO verarbeiten (z. B. wenn wir Daten verarbeiten, aus denen die ethnische oder vermeintliche rassische Herkunft einer Person, ihre politischen Meinungen, ihre religiösen oder philosophischen Überzeugungen oder ihre Gewerkschaftszugehörigkeit hervorgehen, sowie genetische Daten, Gesundheitsdaten oder Daten über das Sexualleben oder die sexuelle Orientierung einer Person), tun wir dies auf der Grundlage eines wichtigen öffentlichen Interesses. Je nach Stand des Verfahrens im Zusammenhang mit der betreffenden Meldung kann die Verarbeitung auch auf der Grundlage der in Artikel 9 Absatz 2 Buchstabe f der DSGVO vorgesehenen Ausnahme erfolgen (Verarbeitung, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist).
Zum Zweck des Entgegennahmens, der Bearbeitung und der Speicherung von Meldungen, die einen Verstoß gegen gesetzliche Vorschriften oder einen Verstoß gegen ethische Grundsätze aufdecken oder melden:
Werden diese anschließend ohne weitere Maßnahmen abgeschlossen, werden die Daten so lange aufbewahrt, wie es für die Auswertung und Bearbeitung des Berichts erforderlich ist. Anschließend werden sie anonymisiert und sechs Jahre lang aufbewahrt, wobei sie nur einer begrenzten Anzahl befugter Personen zugänglich bleiben. Nach Ablauf dieser Frist werden die Daten gelöscht. Führt die Meldung zu Maßnahmen gegen den mutmaßlichen Urheber der Verstöße, werden die Daten so lange aufbewahrt, wie es für die Durchführung dieser Maßnahmen erforderlich ist. Anschließend werden sie so lange aufbewahrt, bis alle Rechtsmittel ausgeschöpft sind oder eine endgültige Entscheidung ergangen ist. Danach werden sie anonymisiert und nach sechs Jahren gelöscht; während dieser Zeit sind sie nur einer begrenzten Anzahl befugter Personen zugänglich. Die Daten dürfen jedoch nicht anonymisiert und können archiviert werden, wenn a) eine gesetzliche und/oder behördliche Verpflichtung besteht, b) der Verfasser der Meldung über Vergeltungsmaßnahmen bis zur endgültigen Beseitigung des Risikos geschützt werden muss oder c) sichergestellt werden muss, dass die Ergebnisse der Untersuchung den Behörden auf deren Anfrage hin bei Bedarf zur Verfügung gestellt werden können. Um den Schutz natürlicher Personen gemäß den geltenden Vorschriften zu gewährleisten, werden die Daten so lange aufbewahrt, wie dies für die Umsetzung dieses Schutzes erforderlich ist. Anschließend werden sie für einen Zeitraum von 6 Jahren (Verjährungsfrist) aufbewahrt und bleiben für einen begrenzten Kreis befugter Personen zugänglich. Danach werden sie unter Einschränkung des Zugriffs deidentifiziert oder anonymisiert.
Im Rahmen der Geltendmachung oder Abwehr von Rechtsansprüchen (einschließlich im Falle einer Übermittlung an ausländische Behörden) werden die Daten so lange gespeichert, wie dies für die Vorbereitung, Durchführung und Nachbereitung des Verfahrens (einschließlich im Rahmen eines Verfahrens unter Beteiligung einer ausländischen Behörde) erforderlich ist. Anschließend werden sie so lange aufbewahrt, bis alle Rechtsmittel ausgeschöpft sind oder eine rechtskräftige Entscheidung ergangen ist.
Zum Zweck der Durchführung interner und/oder externer Audits der Compliance-Prozesse der Volta Medical Group werden die Daten für die Dauer der Audits aufbewahrt (wobei darauf hingewiesen wird, dass die Daten aus Berichten und Meldungen im Rahmen dieses Zwecks nicht verarbeitet werden). Nach Abschluss der Audits werden die Daten für einen Zeitraum von 6 Jahren aufbewahrt, wobei der Zugriff auf eine begrenzte Anzahl von Personen beschränkt ist.
Um den Zugriff auf die Maßnahmen der Beteiligten im Rahmen des Whistleblowing-Systems sowie deren Nachverfolgbarkeit zu gewährleisten, werden die Daten für die gesamte Dauer der Bearbeitung der Meldungen und anschließend der Hinweise bis zum Abschlussbericht aufbewahrt. Danach werden sie für 6 Jahre aufbewahrt und bleiben für einen begrenzten Kreis von befugten Personen zugänglich. Nach Ablauf dieser Frist werden die Daten gelöscht. Zum Zwecke der Deidentifizierung oder Anonymisierung personenbezogener Daten werden diese so lange aufbewahrt, wie es für diese Vorgänge erforderlich ist. Anonymisierte oder deidentifizierte Daten werden anschließend unbefristet aufbewahrt.
Zur Überwachung, Erleichterung und Sicherung der Einreichung von Meldungen nutzt Volta Medical die Software „EQS Integrity Line“ (im Folgenden „Plattform“), die von der Firma EQS Group bereitgestellt wird. Diese Plattform ermöglicht die Einreichung von Meldungen im Zusammenhang mit den Aktivitäten der Volta Medical-Gruppe und gewährleistet dabei die Vertraulichkeit der übermittelten Informationen. In diesem Zusammenhang fungiert die EQS Group als Auftragsverarbeiter im Sinne der geltenden Vorschriften zum Schutz personenbezogener Daten und ist somit der Empfänger der Daten.
Darüber hinaus sind die Empfänger je nach Bearbeitungsstand der Meldung a) die für die Bewertung der Meldung bei Volta Medical France zuständigen Personen und, falls die Meldung angenommen wird, b) die befugten Personen innerhalb der betroffenen Einheit (insbesondere die für die Untersuchung und deren Überwachung zuständigen Personen, die Leiter der Einheiten bei sensiblen Fällen, Mitarbeiter, die für die Einrichtung des Whistleblower-Schutzes zuständig sind, Mitarbeiter, die für die Einleitung von Disziplinarmaßnahmen oder rechtlichen/gerichtlichen Schritten zuständig sind) sowie gegebenenfalls c) die Rechtsanwälte der betroffenen Unternehmen, d) deren Sachverständige und forensische Dienstleister sowie e) die zuständigen Justiz- oder Verwaltungsbehörden (einschließlich gegebenenfalls ausländischer Behörden).
Da die Daten innerhalb der EQS-Plattform sowohl bei der Übertragung als auch im Ruhezustand verschlüsselt sind, haben die Mitarbeiter der EQS-Gruppe nur in einer für sie unverständlichen Form Zugriff auf die auf der EQS-Plattform gespeicherten Daten (einschließlich der in Berichten enthaltenen Daten).
Wenn sich die gemeldeten Sachverhalte auf die Aktivitäten von Volta Medical US beziehen und die Meldung angenommen wird, muss der Verfasser der Meldung damit einverstanden sein, dass seine Identität und die gemeldeten Sachverhalte Volta Medical US zur Kenntnis gebracht werden; andernfalls ist Volta Medical US nicht der Empfänger der Meldung.
Zusätzlich zu den in dieser „Datenschutzerklärung für die Datenverarbeitung im Rahmen der beruflichen Whistleblowing-Meldung“ genannten spezifischen Empfängern können im Falle der Ausübung oder Verteidigung von Rechtsansprüchen durch eine oder mehrere Gesellschaften der Volta Medical-Gruppe auch andere Personen/Einrichtungen Empfänger der Daten sein; diese sind in der Datenschutzerklärung zur Streitbeilegung aufgeführt.
Die Meldung erfolgt auf freiwilliger Basis. Die Unterlassung der Meldung von Verstößen gegen den Verhaltenskodex oder gegen gesetzliche Vorschriften kann jedoch in bestimmten Fällen ein berufliches Fehlverhalten darstellen, das für Mitarbeiter von Volta disziplinarische Sanktionen und für Unternehmen, die einen Vertrag mit einer der Konzerngesellschaften geschlossen haben, eine Vertragsverletzung nach sich ziehen kann.
Die Nutzung der EQS-Meldeplattform beinhaltet die automatische und somit obligatorische Erfassung bestimmter Daten, nämlich: Protokoll- und Logdaten, die automatisch von der EQS®-Meldeplattform generiert werden (insbesondere bei der Einreichung oder Nachverfolgung einer Meldung).
Darüber hinaus macht die Tatsache, dass eine Meldung erfolgt ist – unabhängig davon, auf welchem Weg diese erfolgt ist –, die Bereitstellung zusätzlicher Informationen erforderlich, um festzustellen, ob ein Verstoß gegen den Verhaltenskodex vorliegt oder nicht (z. B. Informationen zum Verhalten oder zur beruflichen Tätigkeit der betroffenen Person, Browsing-Daten, Metadaten usw.). Die Art der im Rahmen von Meldungen erhobenen Daten hängt vom Inhalt und der Art der Meldung ab, sodass im Voraus keine erschöpfende Liste erstellt werden kann.
Im Allgemeinen werden personenbezogene Daten direkt von der Person erhoben, die die Meldung erstattet hat, oder von Personen, die möglicherweise an der Meldung beteiligt sind.
Sofern dies jedoch für die Bearbeitung oder Überprüfung der Meldung erforderlich ist, können bestimmte Daten indirekt von befugten Dritten, wie Behörden, öffentlichen Einrichtungen, Dienstleistern oder anderen Partnerorganisationen, erhoben werden, und zwar nur dann, wenn eine solche Erhebung gesetzlich zulässig ist. Angesichts der möglichen Vielfalt an Situationen und Meldungen ist es nicht möglich, alle Quellen, die voraussichtlich herangezogen werden, erschöpfend aufzulisten. Diese hängen von der Art der Meldung, ihrem Inhalt und den für ihre Untersuchung unbedingt erforderlichen Anforderungen ab.
Ihre personenbezogenen Daten sollen grundsätzlich nicht außerhalb der Europäischen Union verarbeitet werden. Bei Berichten, an denen Volta Medical US beteiligt ist, kann es jedoch zu einer Übermittlung außerhalb der Europäischen Union kommen. Dies unterliegt angemessenen Schutzmaßnahmen gemäß Artikel 46 der DSGVO. Darüber hinaus stützen sich etwaige Übermittlungen im Rahmen einer möglichen gesetzlichen oder behördlichen Verpflichtung zur Berichterstattung an ausländische Behörden auf Artikel 49 Absatz 1 Buchstabe e der DSGVO (Übermittlung, die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist).
Es dürfen keine automatisierten Entscheidungsverfahren (einschließlich Profiling) eingesetzt werden, die für die betroffenen Personen rechtliche Folgen nach sich ziehen oder sie in ähnlicher Weise erheblich beeinträchtigen könnten.
Wir behalten uns vor, den Inhalt dieser Datenschutzerklärung jederzeit anzupassen, insbesondere im Zuge der Weiterentwicklung unseres Unternehmens und/oder zur Erfüllung unserer gesetzlichen Verpflichtungen.
