Gemäß Art. 13 und 14 der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten
Hiermit möchte FINSTRAL AG als Verantwortlicher der Datenverarbeitung die in einem Hinweis durch einen Whistleblower genannten Personen informieren.
Die personenbezogenen Daten der in dem Hinweis genannten Person werden gemäß den Grundsätzen der Verordnung (EU) 2016/679 verarbeitet: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz.
1. Zweck der Verarbeitung
Die auf der Plattform ReBlowing eingegebenen personenbezogenen Daten, die von FINSTRAL AG als interner Hinweisgeberkanal genutzt wird, werden ausschließlich zu Zwecken verarbeitet, die unmittelbar mit der Bearbeitung von Hinweisen (interner Kanal) über rechtswidriges Verhalten im Zusammenhang stehen.
Dies betrifft Tätigkeiten und/oder Verhaltensweisen, die von FINSTRAL AG implementierten Verfahren abweichen, insbesondere die Verletzung beruflicher Verhaltensregeln u./o. ethischer Grundsätze gemäß der geltenden – internen wie externen – Vorschriften sowie rechtswidrige oder betrügerische Handlungen, die den in den einschlägigen Rechtsvorschriften genannten Personen zuzurechnen sind.
2. Rechtsgrundlage der Verarbeitung und Herkunft der Daten
Der Ursprung der personenbezogenen Daten liegt in dem Hinweis, der vom Whistleblower übermittelt und bei FINSTRAL AG eingegangen ist.
Die Rechtsgrundlage für diese Verarbeitung ist Artikel 6 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679 (Erfüllung einer rechtlichen Verpflichtung, der der für die Verarbeitung Verantwortliche unterliegt), insbesondere unter Bezugnahme auf die rechtliche Verpflichtung, die sich aus den Bestimmungen des Gesetzesdekrets Nr. 24 vom 10. März 2023 und anderer Rechtsvorschriften ergibt, die für den für die Verarbeitung Verantwortlichen gelten.
3. Art der verarbeiteten Daten
Die personenbezogenen Daten werden zum Zweck der Durchführung der erforderlichen Untersuchungstätigkeiten verarbeitet, die darauf abzielen, den Wahrheitsgehalt der gemeldeten Sachverhalte zu überprüfen.
Zum Zwecke der Bearbeitung von Meldungen können folgende Datenkategorien verarbeitet werden:
- Identifikationsdaten, Adresse und andere Kontaktdaten, Steuernummer, Funktion;
- besondere Kategorien personenbezogener Daten;
- personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten;
- alle sonstigen Informationen über die gemeldete Person, die die meldende Person dem Verantwortlichen der Datenverarbeitung mitteilen möchte, um ihr Hinweis besser zu untermauern.
Die Daten, die der Hinweisgeber zur Beschreibung mutmaßlicher rechtswidriger Handlungen, von denen er im Rahmen seiner Tätigkeit Kenntnis erlangt hat, und dem Verantwortlichen zur Verfügung gestellt sind, werden zum Zweck der Durchführung der erforderlichen Untersuchungstätigkeiten verarbeitet. Diese zielen darauf ab, den Wahrheitsgehalt der gemeldeten Sachverhalte zu überprüfen und die sich daraus ergebenden Maßnahmen in Übereinstimmung mit den geltenden Rechtsvorschriften zu ergreifen. Die mit der vorläufigen Prüfung und Bearbeitung des Hinweises beauftragten Personen haben dabei die Grundsätze der Unparteilichkeit und Vertraulichkeit zu beachten und alle für angemessen erachteten Maßnahmen zu ergreifen, einschließlich der persönlichen Anhörung des Hinweisgebers und aller anderen Personen, die zu dem gemeldeten Sachverhalt Stellung nehmen können.
4. Art der Verarbeitung personenbezogener Daten
Die Verarbeitung erfolgt:
- mit Hilfe manueller und elektronischer Systeme;
- unter Anwendung geeigneter organisatorischer und technischer Maßnahmen, um die Vertraulichkeit der Daten zu gewährleisten und unbefugten Dritten den Zugang zu verwehren;
- durch das Unternehmen ReNorm, das das interne Hinweisportal betreibt, als ernannter Auftragsverarbeiter gemäß Artikel 28 der Verordnung (EU) 2016/679, das den Hinweis an den für das Whistleblowing benannten Beauftragten weiterleiten wird, der von FINSTRAL AG bestimmt wurde;
- durch interne Mitarbeiter, die ordnungsgemäß zur Verarbeitung personenbezogener Daten ermächtigt wurden (Artikel 29 der Verordnung (EU) 2016/679);
- durch Personen, die kraft Gesetzes zur Wahrnehmung dieser Aufgaben befugt sind.
Sofern im Ergebnis der Prüfung durch den benannten Whistleblowing-Beauftragten Anhaltspunkte für eine nicht offensichtlich unbegründete Meldung festgestellt werden, kann das Ergebnis der Überprüfung je nach den konkreten Erfordernissen zur weiteren Sachverhaltsaufklärung oder zur Veranlassung der zuständigen Maßnahmen an die nachfolgend genannten zuständigen Stellen weitergeleitet werden:
- an den/die Direktor/in sowie an den Leiter der Organisationseinheit, der der Rechtsverletzer angehört, damit disziplinarische Maßnahmen ergriffen werden können, wenn die Voraussetzungen erfüllt sind;
- an die zuständigen Organe und Strukturen der Organisation, damit diese weitere für notwendig erachtete Maßnahmen und/oder Aktionen, auch zum Schutz der Organisation selbst, ergreifen;
- an die Justizbehörde, den Rechnungshof und die ANAC.
- An jede andere Person, die in der geltenden Gesetzgebung vorgesehen ist.
5. Aufbewahrungsdauer der personenbezogenen Daten
Die zu den oben genannten Zwecken erhobenen personenbezogenen Daten werden für einen Zeitraum von fünf Jahren aufbewahrt, d. h. für die Zeit, die erforderlich ist, um zu prüfen, ob die Hinweise gerechtfertigt sind, und um gegebenenfalls die sich daraus ergebenden Disziplinarmaßnahmen zu ergreifen u./o etwaige Streitigkeiten in Zusammenhang mit dem Hinweis beizulegen.
6. Weitergabe der Daten an Dritte
Vorbehaltlich der Mitteilungen, die in Erfüllung gesetzlicher Verpflichtungen erfolgen, können alle gesammelten und verarbeiteten Daten ausschließlich zu den oben genannten Zwecken gegebenenfalls an die Justizbehörde, den Rechnungshof und die ANAC sowie an Anwaltskanzleien und Arbeitsberater u./o Berater für Transparenz und Korruptionsbekämpfung weitergeleitet werden.
7. Verbreitung der Daten
Ihre Daten werden in keinem Fall verbreitet, oder an Dritte außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt oder mitgeteilt.
8. Rechte der betroffenen Person (Art. 15-22 der Verordnung (EU) 2016/679)
Die in den Artikeln 15-22 der Verordnung (EU) 2016/679 vorgesehenen Rechte können in den Grenzen der Bestimmungen von Artikel 2 undecies Buchstabe f) des Gesetzesdekrets Nr. 196 vom 30. Juni 2003 ausgeübt werden. Artikel 2 undecies besagt unter der Überschrift "Limitazioni ai diritti dell’interessato” (unsere Übersetzung: „Einschränkungen der Rechte der betroffenen Person"), dass die in der Verordnung (EU) 2016/679 in den Artikeln 15-22 vorgesehenen Rechte durch einen Antrag an den Verantwortlichen nicht ausgeübt werden können, wenn die Ausübung dieser Rechte zu einer tatsächlichen und konkreten Beeinträchtigung der "Vertraulichkeit der Identität der Person, die Verstöße meldet, von denen sie aufgrund ihres Beschäftigungsverhältnisses oder ihrer ausgeübten Tätigkeit Kenntnis erlangt hat, gemäß der Rechtsverordnung zur Umsetzung der Richtlinie (EU) 2019/1937 des Europäischen Parlaments und des Rates vom 23. Oktober 2019 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden, oder von Personen, die Verstöße gemäß den Artikeln 52-bis und 52-ter des Gesetzesdekrets Nr. 385 oder der Artikel 4-undecies und 4-duodecies des Gesetzesdekrets Nr. 58 vom 24. Februar 1998." (diese Bestimmung, wurde mit demselben Dekret 24/2023 in das Datenschutzgesetz aufgenommen und wird am 15. Juli 2023 in Kraft treten.
Wenn Sie der Meinung sind, dass Ihre Rechte verletzt wurden, haben Sie das Recht, eine Beschwerde bei der italienischen Datenschutzbehörde einzureichen: www.garanteprivacy.it
Verantwortlicher der Datenverarbeitung
Finstral AG, MwSt.-Nr. IT00122260219, mit Sitz in 39054 Unterinn/Ritten (BZ), Gastererweg 1
T.: 0471 296611
E-Mail: privacy@finstral.com
Datenschutzbeauftragter - Data Protection Officer (DPO)
Kontaktdaten: dpo@finstral.com
