Datenschutzerklärung nach Art. 13, 14 Datenschutz-Grundverordnung (DSGVO)

1. Verantwortlicher und Datenschutzbeauftragter

Für den Betrieb des Hinweisgebersystems (mit Ausnahme der Meldestellen) ist verantwortlich: Energieversorgung Rudolstadt GmbH („EVR“), für die Sie eine Meldung abgeben. Die Energieversorgung Rudolstadt GmbH erreichen Sie unter Oststraße 18, 07407 Rudolstadt, info@ev-rudolstadt.de.

Für den Betrieb der Meldestellen ist die Anwaltskanzlei GNP Nestler Pech Rechtsanwälte & Fachanwälte Partnerschaftsgesellschaft („GNP“), Schillerstraße 1 in 07407 Rudolstadt verantwortlich.

Bitte wenden Sie sich an den Datenschutzbeauftragten der Energieversorgung Rudolstadt GmbH bei Abgabe einer Meldung. Sie erreichen diesen unter: Karsten Böhm, PRIVACY ONE GmbH, Lyoner Straße 15, 60528 Frankfurt am Main 

2. Zwecke und Rechtsgrundlagen der Datenverarbeitung

Gemäß § 10 S. 1 Hinweisgeberschutzgesetz verarbeitet die Meldestelle im Sinne von Art. 4 Nr. 2 Datenschutz-Grundverordnung personenbezogene Daten nach Art. 6 Abs. 1 Buchst. e Datenschutz-Grundverordnung, Art. 6 Abs. 3 Buchst. b Datenschutz-Grundverordnung zur Erfüllung ihrer gesetzlichen Aufgaben. Gemäß § 10 S. 2 Hinweisgeberschutzgesetz ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 Datenschutz-Grundverordnung zulässig, wenn dies zur Erfüllung der Aufgaben der Meldestellen erforderlich ist.

Diese Aufgabe umfasst gemäß § 1 Hinweisgeberschutzgesetz den Schutz von hinweisgebenden Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit oder im Vorfeld einer beruflichen Tätigkeit Informationen über Verstöße erlangt haben und diese an die Meldestelle melden, sowie den Schutz der Personen die Gegenstand einer Meldung sind, und sonstiger Personen, die von einer Meldung betroffen sind.

Die Meldestelle entfaltet folgende Datenverarbeitungstätigkeiten:

• die Entgegennahme und Bearbeitung von Meldungen einschließlich der Folgemaßnahmen gemäß § 18 Hinweisgeberschutzgesetz. Hierunter fallen:
• das Errichten und Betreiben von Meldekanälen nach § 16 Hinweisgeberschutzgesetz,
• die Dokumentation von Meldungen gemäß § 11 Hinweisgeberschutzgesetz,
• das Prüfen der Stichhaltigkeit von Meldungen und das Führen des weiteren Verfahrens nach § 17 Hinweisgeberschutzgesetz einschließlich der Erteilung der Eingangsbestätigung und der Rückmeldung und
• das Ergreifen der Folgemaßnahmen im Sinne von § 18 Hinweisgeberschutzgesetz. 

3. Verarbeitung der Daten für einen anderen Zweck

Die Daten werden nur für die unter Ziff. 2 genannten Zwecke verarbeitet, für die sie erhoben wurden. 

4. Empfänger und Kategorien von Empfängern der personenbezogenen Daten

Eine Einsichtnahme der gespeicherten Daten ist ausschließlich durch speziell hierfür autorisierte Personen innerhalb unseres Unternehmens möglich. Innerhalb unseres Unternehmens erhalten diejenigen Stellen Zugriff auf Ihre Daten, die diese zur Erfüllung der oben genannten Zwecke brauchen (s. Ziffer 2 Zweck der Verarbeitung personenbezogener Daten). Das gilt auch für von uns eingesetzte Dienstleister und Erfüllungsgehilfen. Personenbezogene Daten werden von uns an Dritte nur übermittelt, wenn dies für die vorgenannten Zwecke erforderlich ist oder Sie zuvor eingewilligt haben.

Empfänger personenbezogener Daten sind:

• Das Hinweisgebersystem selbst betreibt die Anwaltskanzlei GNP Nestler Pech Rechtsanwälte & Fachanwälte Partnerschaftsgesellschaft, Schillerstraße 1 in 07407 Rudolstadt, nach unseren Weisungen als Auftragsverarbeiter. Das Hinweisgebersystem wird innerhalb der EU gehostet.
• Zur Erfüllung der Untersuchung kann es zudem erforderlich sein, dass wir Ihre personenbezogenen Daten an externe Stellen wie Anwaltskanzleien, Strafverfolgungs- oder sonstige Behörden inner- oder außerhalb der Europäischen Union, übermitteln.

Gemäß § 8 Abs. 1 S. 1 Hinweisgeberschutzgesetz hat die Meldestelle die Vertraulichkeit der Identität der hinweisgebenden Personen, der Personen, die Gegenstand einer Meldung sind, und der sonstigen in der Meldung genannten Personen zu wahren. Personenbezogene Daten dürfen grundsätzlich nicht von der Meldestelle offengelegt werden. Ausnahmen sind in § 9 Hinweisgeberschutzgesetz und § 18 Ziff. 1 und Ziff. 4 Hinweisgeberschutzgesetz ausdrücklich geregelt und an strenge Voraussetzungen geknüpft.

Im Rahmen der Datenverarbeitungstätigkeit können, wenn die Voraussetzungen des § 9 Hinweisgeberschutzgesetz oder von § 18 Ziff. 1 und Ziff. 4 Hinweisgeberschutzgesetz vorliegen, personenbezogene Daten an folgende Empfänger weitergeleitet werden:

im Hinblick auf die hinweisgebende Person

• Personendaten (Name und Geschlecht)
• Kontaktdaten (private Anschrift, private Telefonnummer, private E-Mail-Adresse; gegebenenfalls auch berufliche Kontaktdaten)
• Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)
• gegebenenfalls besondere Kategorien personenbezogener Daten gemäß Art. 9 Datenschutzgrundverordnung
• gegebenenfalls personenbezogene Daten über Straftaten gemäß Art. 10 Datenschutzgrundverordnung

im Hinblick auf Personen die Gegenstand einer Meldung sind

• Personendaten (Name und Geschlecht)
• Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)
• Informationen zum Verhalten, das nach Auffassung der hinweisgebenden Person den Verstoß darstellt
• Informationen zum Inhalt von Folgemaßnahmen und zum Ergebnis der durch die Meldung ausgelösten Untersuchungen
• gegebenenfalls besondere Kategorien personenbezogener Daten gemäß Art. 9 Datenschutzgrundverordnung
• gegebenenfalls personenbezogene Daten über Straftaten gemäß Art. 10 Datenschutzgrundverordnung

im Hinblick auf sonstige Personen die von einer Meldung betroffen sind

• Personendaten (Name und Geschlecht)
• gegebenenfalls Kontaktdaten (private Anschrift, private Telefonnummer, private E-Mail-Adresse, gegebenenfalls auch berufliche Kontaktdaten)
• Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)
• gegebenenfalls besondere Kategorien personenbezogener Daten gemäß Art. 9 Datenschutzgrundverordnung
• gegebenenfalls personenbezogene Daten über Straftaten gemäß Art. 10 Datenschutzgrundverordnung

5. Vertraulichkeit

Die Nutzung des Hinweisgeber-Systems ist auch anonym möglich (d. h. ohne Angabe ihres Namens oder von Kontaktdaten). Wenn die hinweisgebende Person ihre Meldung anonym abgibt und keine Kontaktmöglichkeiten angibt, hat die Meldestelle keine Möglichkeit, die hinweisgebende Person bei etwaigen Rückfragen zu kontaktieren und gegebenenfalls über das Ergebnis der Prüfung in Kenntnis zu setzen. Im Fall einer Offenlegung kann sich die hinweisgebende Person, wenn sie keine Kontaktmöglichkeiten angibt, auch nicht darauf berufen, dass keine geeigneten Folgemaßnahmen ergriffen wurden oder dass sie keine Rückmeldung über das Ergreifen solcher Folgemaßnahmen erhalten hat. Eine geschützte Offenlegung von Informationen aus diesen Gründen ist dann nicht möglich. 

Sie können im Rahmen des Hinweisgebeprozesses freiwillig personenbezogene Daten bekannt geben, insbesondere Angaben zu ihrer Identität, Vor- und Nachname, Land des Wohnsitzes, Telefonnummer oder E-Mail Adresse.

Der von Ihnen gegebene Hinweis kann darüber hinaus personenbezogene Daten Dritter enthalten, auf die Sie sich in Ihrem Hinweis beziehen. Betroffene Personen erhalten die Möglichkeit, sich zu den Hinweisen zu äußern. In diesem Fall werden wir die betroffenen Personen über den Hinweis informieren. Auch in diesem Fall ist Ihre Vertraulichkeit gewahrt, da der betroffenen Person keine Angaben zu Ihrer Identität gemacht werden und Ihr Hinweis so verwendet wird, dass Sie soweit möglich nicht identifizierbar sind.

6. Informationen zur Meldung über das elektronische Formular

Zu den personenbezogenen Daten zählen auch die Informationen über die Nutzung des Internetangebotes zu Meldung. Bei jedem Besuch der Internetseite werden automatisch von dem Webbrowser Informationen an den Server der Internetseite gesendet und temporär in sogenannten Logfiles gespeichert. Folgende Daten werden erhoben und bis zur automatisierten Löschung für max. 30 Tage gespeichert:

• IP-Adresse des anfragenden Rechners,
• Browsertyp und-Version,
• verwendetes Betriebssystem,
• Datum und Uhrzeit des Abrufs (Zeitstempel),
• Anfragedetails und Zieladresse (Protokollversion, HTTP-Methode, Referrer, User Agent-String),
• Name der abgerufenen Datei und übertragenen Datenmenge (angefragte URL inklusive Query-String, Größe in Byte),
• Meldung ob der Abruf erfolgreich war (HTTP Status Code).

Die genannten Daten werden ausschließlich zur Gewährleistung der Systemsicherheit und -stabilität des Internetangebotes verarbeitet. Die Daten werden nicht verwendet, um Rückschlüsse auf Personen zu ziehen.

Darüber hinaus werden zur Nutzung des Internetangebotes sogenannte Sitzungs-Cookies eingesetzt.

Cookies sind Dateien, die beim Besuch einer Internetseite von Browsern auf dem anfragenden Rechner abgelegt werden. Die meisten Browser akzeptieren Cookies standardmäßig. Sie können über die Sicherheitseinstellung des Browsers je Internetseite zugelassen oder blockiert werden.

Zur Nutzung des Internetangebotes sind Sitzungs-Cookies zwingend erforderlich.

Der Server des Internetangebotes ordnet über das Sitzungs-Cookie dem Browser für die Dauer des Besuchs eine eindeutige Sitzung zu, um mehrere zusammengehörende Anfragen an die Webseite unter dieser Sitzung zu bündeln. Eine Sitzung wird durch Abbrechen oder Abschließen einer Meldung, Schließen des Browsers oder spätestens nach 90 Minuten Inaktivität auf der Internetseite beendet. Das zugehörige Sitzungs-Cookie wird mit Beendigung der Sitzung ungültig. Bei erneutem Besuch der Internetseite beginnt eine neue Sitzung und ein bestehendes Sitzungs-Cookie wird durch ein neues überschrieben.

Aus technischen Gründen werden Daten, die sie in das Formular eingeben, schon während der Eingabe zwischengespeichert. Wenn Sie die Daten wieder aus dem Formular löschen, bevor sie ihre Meldung absenden, werden die Daten spätestens beim Absenden der Meldung aus dem Zwischenspeicher gelöscht. Wenn Sie sich entschließen sollten, doch keine Meldung abzugeben, werden die Daten spätestens bei Beendigung der Sitzung (durch Zeitablauf oder durch Schließen des Browser-Fensters) gelöscht. 

7. Daten und Datenquellen der Verarbeitung personenbezogener Daten

Im Rahmen der Datenverarbeitungstätigkeit werden voraussichtlich folgende Kategorien personenbezogener Daten verarbeitet:

im Hinblick auf die hinweisgebende Person

• Personendaten (Name und Geschlecht)
• Kontaktdaten (private Anschrift, private Telefonnummer, private E-Mail-Adresse; gegebenenfalls auch berufliche Kontaktdaten)
• Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)
• gegebenenfalls besondere Kategorien personenbezogener Daten gemäß Art. 9 Datenschutzgrundverordnung
• gegebenenfalls personenbezogene Daten über Straftaten gemäß Art. 10 Datenschutzgrundverordnung

im Hinblick auf Personen die Gegenstand einer Meldung sind

• Personendaten (Name und Geschlecht)
• Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)
• Informationen zum Verhalten, das nach Auffassung der hinweisgebenden Person den Verstoß darstellt
• Informationen zum Inhalt von Folgemaßnahmen und zum Ergebnis der durch die Meldung ausgelösten Untersuchungen
• gegebenenfalls besondere Kategorien personenbezogener Daten gemäß Art. 9 Datenschutzgrundverordnung
• gegebenenfalls personenbezogene Daten über Straftaten gemäß Art. 10 Datenschutzgrundverordnung

im Hinblick auf sonstige Personen die von einer Meldung betroffen sind

• Personendaten (Name und Geschlecht)
• gegebenenfalls Kontaktdaten (private Anschrift, private Telefonnummer, private E-Mail-Adresse, gegebenenfalls auch berufliche Kontaktdaten)
• Daten zur beruflichen Tätigkeit (Beruf, Beschäftigungsgeber, Funktion und Position beim Beschäftigungsgeber)
• gegebenenfalls besondere Kategorien personenbezogener Daten gemäß Art. 9 Datenschutzgrundverordnung
• gegebenenfalls personenbezogene Daten über Straftaten gemäß Art. 10 Datenschutzgrundverordnung

Die Meldestelle erhält die personenbezogenen Daten in der Regel durch die hinweisgebende Person. Darüber hinaus dürfen bei der Durchführung der Folgemaßnahmen im Sinne von § 18 Hinweisgeberschutzgesetz neue personenbezogene Daten erhoben und weiterverarbeitet werden. 

8. Ablauf des Hinweisgeberprozesses und Statistik

Das Hinweisgebersystem ermöglicht es Ihnen, mit uns in Verbindung zu treten und Hinweise zu Compliance- und Rechtsverstößen zu melden. Wir verarbeiten Ihre personenbezogenen Daten, um die von Ihnen über das Hinweisgebersystem gemachte Meldung zu prüfen und die mutmaßlichen Compliance- und Rechtsverstöße zu untersuchen. Hierbei kann es vorkommen, dass wir Rückfragen an Sie haben. Dafür nutzen wir ausschließlich die Kommunikation über das Hinweisgebersystem.

GNP betreibt die Meldestelle, d.h. es nimmt die Meldung entgegen, prüft diese initial und leitet sie an den zuständigen Ansprechpartner bei uns weiter (Rechtsgrundlage ist Art. 6 (1) f) DSGVO). Die anschließende Untersuchung führen wir dagegen selbst durch.

Soweit Sie Gesetzesverstöße melden, die von der Hinweisgeberrichtlinie (EU) 2019/1937 umfasst sind, sind wir nach den nationalen Gesetzen zur Umsetzung der Hinweisgeberrichtlinie zur Verarbeitung verpflichtet. Rechtsgrundlage ist insoweit Art. 6 (1) c) DSGVO.

Soweit Sie andere Verstöße melden, ist die Rechtsgrundlage unser berechtigtes Interesse (Art. 6 Abs. 1 f) DSGVO). Das berechtigte Interesse von EVR besteht in der Einhaltung von Integrität und regelkonformem Verhalten im Unternehmen (Compliance).

Zudem verwenden wir Ihre personenbezogenen Daten in anonymisierter Form (i.S.d. DSGVO) für Statistiken über die Zahl der Meldungen, Art der gemeldeten Verstöße etc. Statistiken enthalten keine personenbezogenen Daten. 

9. Dauer der Speicherung bzw. Löschung personenbezogener Daten

Wir speichern Ihre personenbezogenen Daten für die o.g. Zwecke (s. Ziffer 2 Zweck der Verarbeitung personenbezogener Daten). Ihre Daten werden erstmals ab dem Zeitpunkt der Erhebung, soweit Sie uns diese mitteilen, verarbeitet. Die Meldungen werden i.d.R. drei Jahre  nach Eingang der Meldung gelöscht.

Die gespeicherten Daten können im Einzelfall länger aufbewahrt werden, um die Anforderungen nach dem Hinweisgeberschutzgesetz oder nach anderen Rechtsvorschriften zu erfüllen, solange dies erforderlich und verhältnismäßig ist. 

10. Bereitstellung personenbezogener Daten

Wir klären Sie darüber auf, dass die Bereitstellung der bei Ihnen erhobenen personenbezogenen Daten weder gesetzlich noch vertraglich vorgeschrieben und darüber hinaus für einen Vertragsschluss nicht erforderlich ist. Sie sind zur Bereitstellung der Daten nicht verpflichtet, so dass eine Nichtbereitstellung der Daten für Sie keine rechtlichen Nachteile zur Folge hat.

11. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling statt.

12. Betroffenenrechte / Ihre Rechte

Bei Fragen oder Beschwerden zum Datenschutz können Sie sich gerne an unseren zuständigen Datenschutzbeauftragten (siehe Ziffer 1) wenden. Das umfasst das Recht auf Auskunft nach Art. 15 DSGVO, das Recht auf Berichtigung nach Art. 16 DSGVO, das Recht auf Löschung nach Art. 17 DSGVO, das Recht auf Einschränkung der Verarbeitung nach Art. 18 DSGVO sowie das Recht auf Datenübertragbarkeit aus Art. 20 DSGVO. Darüber hinaus haben Sie, unter den Voraussetzungen von Art. 77 DSGVO das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen.

Widerspruchsrecht

Sofern wir eine Verarbeitung von Daten zur Wahrung unserer berechtigten Interessen (insb. wenn wir ohne gesetzliche Verpflichtung eine von dem HinSchG oder LkSG nicht erfasste Meldung bearbeiten) vornehmen, haben Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, unter den Voraussetzungen des Art. 21 DSGVO, jederzeit das Recht, gegen diese Verarbeitung Widerspruch einzulegen.

13. Änderungsklausel

Da unsere Datenverarbeitung Änderungen unterliegt, werden wir auch unsere Datenschutzinformationen von Zeit zu Zeit anpassen.

Stand: 13.03.2025