Für die Datenerhebung und Verarbeitung sind die
gegenüber ihren jeweiligen Geschäftspartnern (Kunden, Interessenten, Lieferanten), Mitarbeitern sowie jeweiligen Webseiten-Besuchern verantwortlich. Die nachstehenden Hinweise gelten inhaltsgleich für diese Gesellschaften, die nachstehend der Einfachheit halber zusammen als „BDO“ bezeichnet werden.
Unseren Datenschutzbeauftragten können Sie wie folgt erreichen:
Peter Suhren
FIRST PRIVACY GmbH
Konsul-Smidt-Str. 88
28217 Bremen
Telefon: +49 421 69 66 32 80
office@first-privacy.com
Die Meldestelle wurde auf Basis der geltenden gesetzlichen Regelungen eingerichtet, insbesondere § 14 Abs. 2 HinSchG, § 8 LkSG, § 6 Abs. 5 GwG sowie § 55b Abs. 2 Nr. 7 WPO.
Im Rahmen der Nutzung des digitalen Hinweisgebersystems kann es zur Verarbeitung personenbezogener Daten kommen, deren Schutz uns außerordentlich wichtig ist. Deshalb behandeln wir die personenbezogenen Daten vertraulich und beachten die gesetzlichen Bestimmungen zum Datenschutz, und hierbei speziell der Europäischen Datenschutzgrundverordnung (DSGVO) und des Bundesdatenschutzgesetzes (BDSG).
Diese Datenschutzerklärung soll Sie über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten durch uns als den o.g. Verantwortlichen informieren.
Wir erheben grundsätzlich nur die personenbezogenen Daten, deren Verarbeitung entweder gesetzlich vorgeschrieben, vertraglich vereinbart, zum Vertragsabschluss sowie zur Vertragsdurchführung erforderlich sind oder uns auf Basis einer Einwilligung freiwillig zur Verfügung gestellt werden.
Ausschließlich in dem Fall, dass wir uns im Einzelfall mit Ihrer vorherigen ausdrücklichen Einwilligung dazu entscheiden, bei einer telefonisch erfolgten Meldung diese aufzuzeichnen, stützen wir die Verarbeitung von personenbezogenen Daten auf eine Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO.
Wir verarbeiten personenbezogene Daten gemäß Art. 6 Abs. 1 lit. f DSGVO zur Wahrung berechtigter Interessen, wie insbesondere dem Interesse, Hinweisen auf Regelverstöße nachzugehen und Ermittlungen durchzuführen, wenn die weiteren Voraussetzungen des Art. 6 Abs. 1 lit. f DSGVO vorliegen, d.h. wenn unsere Interessen an der Datenverarbeitung oder die Interessen eines Dritten im Einzelfall die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person(en) überwiegen.
Weiterhin nutzen wir die personenbezogenen Daten, sofern und soweit dies erforderlich ist, um berechtigte rechtliche Interessen zu wahren, bspw. zur Abwehr und Durchsetzung von Ansprüchen. Auch insoweit beruht die Datenverarbeitung auf Art. 6 Abs. 1 lit. f DSGVO.
Sofern und soweit erforderlich verarbeiten wir personenbezogene Daten, um bei Vorliegen tatsächlicher Anhaltspunkte die Aufdeckung von Straftaten von Beschäftigten zu ermöglichen (Art. 6 Abs. 1 lit. f DSGVO, § 26 Abs. 1 S. 2 BDSG).
Sofern und soweit erforderlich verarbeiten wir personenbezogene Daten, um gesetzlichen Pflichten nachkommen zu können. Die Datenverarbeitung erfolgt in diesem Fall auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Diese Pflichten können sich bei Eröffnung des jeweiligen Anwendungsbereichs ergeben aus § 10 HinSchG, § 8 LkSG, § 6 Abs. 5 GwG sowie § 55b Abs. 2 Nr. 7 WPO.
Für den Fall, dass Ihre lebenswichtigen Interessen oder die einer anderen natürlichen Person eine Verarbeitung personenbezogener Daten erforderlich machen, dient Art. 6 Abs. 1 lit. d DSGVO als Rechtsgrundlage.
Innerhalb des digitalen Hinweisgebersystems wird die Meldung und die dazugehörige Kommunikation drei Monate nach Abschluss des Verfahrens gelöscht. Dessen ungeachtet dokumentiert die interne Meldestelle den Vorgang lese- und zugriffsgeschützt an anderer Stelle für zwei Jahre nach Abschluss des Verfahrens. Diese Aufbewahrungsfrist ist gesetzlich angeordnet.
Für die Löschung von Logfiles in Zusammenhang mit dem Besuch des digitalen Hinweisgebersystems gilt eine abweichende Speicherfrist.
Wir verwenden aktuelle sichere Technologien, insbesondere die sogenannte “Transport Layer Security“-Übertragung (TLS) (zuvor auch bekannt als "Secure Socket Layer"-Übertragung (SSL)). Alle mit diesen sicheren Methoden übertragenen Informationen und Daten werden verschlüsselt, bevor Sie an uns gesendet werden. Wir weisen darauf hin, dass eine Verschlüsselung mittels dieser technischen Methoden nur funktioniert, wenn auch auf Ihrer Seite die entsprechenden technischen Voreinstellungen veranlasst wurden.
Das digitale Hinweisgebersystem wird auf vertraglicher Basis von BDO Dänemark zur Verfügung gestellt und beruht auf der Open Source Software „GlobaLeaks“. BDO Dänemark betreut das System technisch. Auch die Kollegen von BDO Dänemark haben keinerlei Zugriff auf den Inhalt der eigentlichen Meldungen und können deren Absender auch nicht zurückverfolgen.
Die Verarbeitung der Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union (EU) oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt.
Als Nutzer des digitalen Hinweisgebersystems können Sie sich dafür entscheiden,
Sofern Sie eine anonyme Meldung abgeben, teilen Sie lediglich mit, welches Unternehmen Ihre Meldung betrifft und geben den Inhalt Ihrer Meldung wieder. Personenbezogene Daten, die Sie betreffen, wie beispielsweise Ihren Namen, Ihre Telefonnummer oder Ihre E-Mailadresse erheben wir in diesem Fall nicht.
Zusätzlich zu den vorbezeichneten Angaben können Sie uns Ihren Namen, Ihre Position im Unternehmen, Ihre E-Mailadresse und Ihre Telefonnummer mitteilen, um Sie bei Rückfragen zu Ihrer Meldung kontaktieren zu können. Die Angabe dieser personenbezogenen Daten ist freiwillig.
Die Erhebung und Speicherung dieser personenbezogenen Daten beruht auf Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die Sie uns erteilen, wenn Sie entsprechende Angaben in Ihrer Meldung machen.
Sofern Ihre Daten dabei an ein Unternehmen außerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) übertragen werden und für das entsprechende Drittland kein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 Abs. 1 DSGVO vorliegt, willigen Sie damit zugleich gemäß Art. 49 Abs. 1 lit. a DSGVO in die Übertragung Ihrer personenbezogenen Daten in das betreffende Drittland ein. In diesem Zusammenhang möchten wir Sie darauf hinweisen, dass in einigen Drittländern (z.B. Indien, China) von einem, mit der EU nicht vergleichbaren Datenschutzniveau auszugehen ist und Ihre Daten dort insbesondere dem Zugriff von Behörden und Geheimdiensten ausgesetzt sein können.
Ihre Einwilligung ist jederzeit widerrufbar. Senden Sie den Widerruf an unsere E-Mailadresse Menschenrechtsbeauftragter@bdo.de. Bitte beachten Sie jedoch, dass die Rechtmäßigkeit der Datenverarbeitung bis zum Eingang des Widerrufs von diesem nicht berührt wird.
Darüber hinaus können Sie weitere Personen benennen, die Kenntnis von dem zu meldenden Vorfall haben und Beteiligte sowie Zeugen aufführen. Entsprechend dem Umfang der von Ihnen gemachten Angaben werden deren Name, Unternehmen, die Beziehung zum Unternehmen und deren Kontakt- und Adressdaten gespeichert und übertragen.
Die Verarbeitung und Übertragung von personenbezogenen Daten von Beteiligten und Zeugen erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Unternehmen sind durch das HinSchG, das LkSG, Das GWG sowie die WPO gesetzlich verpflichtet, Meldestellen einzurichten. Nach § 10 HinSchG bzw. § 8 LkSG, § 6 Abs. 5 GwG sowie § 55b Abs. 2 Nr. 7 WPO ist die Verarbeitung von personenbezogenen Daten zulässig, soweit dies zur Erfüllung der Aufgaben der Meldestellen erforderlich ist. Zu unseren Aufgaben als Meldestelle gehört u.a. die Prüfung des Hinweises, dessen Beurteilung und die sich anschließende Empfehlung an das von uns vertretene Unternehmen. Dazu kann die Verarbeitung von personenbezogenen Daten weiterer Beteiligter sowie von Zeugen notwendig sein.
Die Datenverarbeitung durch das von uns vertretene und gegebenenfalls das betroffene Unternehmen basiert auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der Vermeidung von rechtlichen Konsequenzen (z.B. durch Strafverfolgung), von Schadensersatzforderungen und sonstigen Schäden einschließlich Imageschäden.
Im Falle eines drohenden Verstoßes gegen interne Unternehmensrichtlinien erfolgt eine Datenverarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO nur dann, wenn diese Zuwiderhandlung geeignet ist, zu einem Schaden zu führen.
Eine Übertragung der personenbezogenen Daten von Beteiligten und/oder Zeugen an Unternehmen außerhalb der EU/des EWR findet durch uns nur statt, wenn hierfür eine Übermittlungsbefugnis nach Art. 44 ff. DSGVO besteht. In allen anderen Fällen werden diese Daten von uns nicht an Unternehmen in Drittländern weitergegeben.
Auch von Ihnen im Portal hochgeladene Dokumente können personenbezogene Daten enthalten. Dies können sowohl personenbezogene Daten sein, die Sie betreffen, als auch solche von Beteiligten oder Zeugen.
Sofern Sie eine anonyme Meldung abgeben möchten, empfehlen wir Ihnen, die in hochgeladenen Dokumenten enthaltenen personenbezogenen Daten vorab unkenntlich zu machen (z.B. durch Schwärzung). Bitte beachten Sie dabei, dass personenbezogene Daten nicht nur solche Daten sind, die eine natürliche Person unmittelbar identifizieren (z.B. durch den Namen), sondern auch Daten, die eine natürliche Person erst über das Hinzutreten weiterer, nicht notwendigerweise personenbezogener Informationen, identifizierbar machen.
Wenn Sie gleichzeitig weitere Angaben zu Ihrer Person getätigt und sich damit mit Datenverarbeitung und -weitergabe einverstanden erklärt haben, fällt auch die Verarbeitung/Weitergabe Ihrer personenbezogenen Daten, welche gegebenenfalls zusätzlich in hochgeladenen Dokumenten enthalten sind, unter Art. 6 Abs. 1 lit. a DSGVO. Sofern die hochgeladenen Dokumente personenbezogene Daten von Beteiligten und/oder Zeugen beinhalten, erfolgt die Datenverarbeitung und -weitergabe aufgrund von Art. 6 Abs. 1 lit. c DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.
Neben Unternehmen, an die Ihre personenbezogenen Daten mit Ihrem Einverständnis weitergegeben werden, können Ihre Daten auch an externe Dienstleister (z.B. Unternehmen, die Daten vernichten oder archivieren, Cloud Anbieter) übertragen werden. Wir übermitteln Ihre Daten nur an Dritte, sofern eine datenschutzrechtliche Übermittlungsbefugnis besteht.
Die Übermittlung von Daten an Dritte beruht entweder auf der Erfüllung rechtlicher Verpflichtungen, auf berechtigten Interessen oder erfolgt auf Basis einer etwaig erteilten Einwilligung. Sofern der externe Dienstleister als Auftragsverarbeiter tätig wird, erfolgt die Datenübermittlung im Rahmen einer Auftragsverarbeitungsvereinbarung.
Sofern einmal eine Datenübermittlung an Auftragsverarbeiter in Länder außerhalb der EU/des EWR erforderlich sein sollte, erfolgt diese auf Basis der EU Standardvertragsklauseln oder an Länder bzgl. derer ein Angemessenheitsbeschluss der EU vorliegt.
Betroffene Personen haben das Recht auf Auskunft seitens jedes Verantwortlichen über die sie betreffenden personenbezogenen Daten sowie auf Berichtigung unrichtiger Daten oder auf Löschung, sofern einer der in Art. 17 DSGVO genannten Gründe vorliegt, z.B. wenn die Daten für die verfolgten Zwecke nicht mehr benötigt werden. Es besteht zudem das Recht auf Einschränkung der Verarbeitung, wenn eine der in Art. 18 DSGVO genannten Voraussetzungen vorliegt und in den Fällen des Art. 20 DSGVO das Recht auf Datenübertragbarkeit. Werden Daten auf Grundlage von Art. 6 Abs. 1 lit. f erhoben (Datenverarbeitung zur Wahrung berechtigter Interessen), steht der betroffenen Person das Recht zu, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, es liegen nachweisbar zwingende schutzwürdige Gründe für die Verarbeitung vor, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine Einwilligung kann jederzeit widerrufen werden, ohne dass dies die Rechtmäßigkeit der bisher erfolgten Verarbeitung berührt. Wenn die Einwilligung widerrufen wird, stellen wir die entsprechende Datenverarbeitung ein.
Jede betroffene Person hat das Recht auf Beschwerde bei einer Aufsichtsbehörde, wenn sie der Ansicht ist, dass die Verarbeitung der sie betreffenden Daten gegen datenschutzrechtliche Bestimmungen verstößt. Das Beschwerderecht kann insbesondere bei einer Aufsichtsbehörde in dem Mitgliedstaat des Aufenthaltsorts der betroffenen Person oder des Orts des mutmaßlichen Verstoßes geltend gemacht werden. In Hamburg ist dies der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Str. 22, 20459 Hamburg.
Stand: Juli 2026