Unabhängig betriebene Meldestelle
Meldestelle fürneo42 GmbH

← Zurück zur Meldestelle

Datenschutzhinweise für diese Meldestelle

Das Wichtigste in Kürze

Sie haben das Recht auf Auskunft über Ihre Daten, auf Berichtigung und auf Löschung, und Sie können sich jederzeit bei einer Aufsichtsbehörde beschweren. Wann diese Rechte während einer laufenden Prüfung eingeschränkt sein können, steht unter „Rechte betroffener Personen“.

Alles Weitere steht in der vollständigen Datenschutzerklärung darunter — springen Sie zu dem Abschnitt, den Sie suchen.

Datenschutzerklärung für diese Meldestelle

Informationen nach Artikel 13 und 14 Datenschutz-Grundverordnung

Diese Datenschutzhinweise gelten für das elektronische Hinweisgeberportal, das WaPo Compliance GbR als unabhängige Ombudsperson für neo42 GmbH betreibt. WaPo Compliance GbR ist als externer Dritter mit den Aufgaben der internen Meldestelle betraut. Die Hinweise erläutern, welche personenbezogenen Daten bei einer Meldung verarbeitet werden, wer für die einzelnen Verarbeitungsschritte verantwortlich ist und welche Rechte betroffene Personen haben.

WaPo Compliance GbR nimmt Meldungen als unabhängige Ombudsperson und extern beauftragte interne Meldestelle entgegen und bearbeitet sie. WaPo Compliance GbR ist damit keine externe Meldestelle des Bundes oder eines Landes im Sinne der §§ 19 bis 24 Hinweisgeberschutzgesetz. neo42 GmbH hat keinen unmittelbaren Zugriff auf das Portal oder auf eingegangene Meldungen. Das Unternehmen erhält nur die Informationen, die es benötigt, um einen Sachverhalt zu prüfen oder geeignete Folgemaßnahmen umzusetzen.

Verantwortliche Stellen und Aufgaben

Ombudsperson und Portalbetrieb

WaPo Compliance GbR
Albert-Einstein-Straße 1
49076 Osnabrück

WaPo Compliance GbR ist als unabhängige Ombudsperson und externer Dritter mit den Aufgaben der internen Meldestelle nach § 14 Absatz 1 Hinweisgeberschutzgesetz betraut. WaPo Compliance GbR entscheidet im Rahmen dieses Auftrags eigenständig über die Entgegennahme, Prüfung, Kommunikation und Dokumentation von Meldungen und ergreift die innerhalb des Auftrags vorgesehenen Folgemaßnahmen. Soweit eine Maßnahme eine Entscheidung oder Umsetzung durch neo42 GmbH erfordert, übermittelt WaPo Compliance GbR die dafür erforderlichen Informationen unter Wahrung des Vertraulichkeitsgebots. Für die Verarbeitung innerhalb der von WaPo Compliance GbR betriebenen Meldestelle ist WaPo Compliance GbR datenschutzrechtlich verantwortlich.

Unternehmen und Folgemaßnahmen

neo42 GmbH
Wilhelm-Grümer-Weg 22 22
51674 Wiehl

neo42 GmbH ist das Unternehmen, für das die interne Meldestelle eingerichtet ist. neo42 GmbH verarbeitet personenbezogene Daten in eigener Verantwortung, sobald WaPo Compliance GbR erforderliche Informationen übermittelt und neo42 GmbH diese Informationen zur Sachverhaltsklärung, zur Beendigung eines Verstoßes, für arbeitsrechtliche oder organisatorische Maßnahmen oder zur Erfüllung gesetzlicher Pflichten verwendet. Die gesetzliche Verantwortung von neo42 GmbH für geeignete Maßnahmen zur Beendigung eines Verstoßes bleibt nach § 14 Absatz 1 Hinweisgeberschutzgesetz bestehen.

Betroffene Personen und Herkunft der Daten

Die Verarbeitung kann hinweisgebende Personen, Personen, die Gegenstand einer Meldung sind, sowie weitere Personen betreffen, die in einer Meldung genannt werden oder an der Bearbeitung beteiligt sind. Angaben zur hinweisgebenden Person erhebt WaPo Compliance GbR unmittelbar bei dieser Person. Angaben zu anderen Personen stammen regelmäßig aus der Meldung, aus der weiteren Kommunikation mit der hinweisgebenden Person oder aus der zulässigen Sachverhaltsaufklärung.

Verarbeitete Daten

Je nach Inhalt und Verlauf einer Meldung können insbesondere folgende Daten verarbeitet werden:

Für den Zugang zum Portalpostfach wird der ausgegebene Zugangscode nicht im Klartext gespeichert. Gespeichert wird nur ein nicht rückrechenbarer Prüfwert. Zugriffe auf das Portalpostfach werden je Zugangscode zum Schutz vor Missbrauch kurzfristig gezählt und nach ungefähr einer Stunde verworfen.

Zwecke der Verarbeitung

WaPo Compliance GbR verarbeitet personenbezogene Daten für folgende Zwecke:

neo42 GmbH verarbeitet übermittelte Informationen nur, soweit dies zur Sachverhaltsklärung, zur Umsetzung geeigneter Folgemaßnahmen, zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Rechtsgrundlagen

Meldungen nach dem Hinweisgeberschutzgesetz

Rechtsgrundlage für die Verarbeitung von Meldungen, die in den Anwendungsbereich des Hinweisgeberschutzgesetzes fallen, ist Artikel 6 Absatz 1 Buchstabe c DSGVO in Verbindung mit den §§ 10 bis 18 Hinweisgeberschutzgesetz. neo42 GmbH ist nach § 12 Hinweisgeberschutzgesetz zur Einrichtung und zum Betrieb einer internen Meldestelle verpflichtet. WaPo Compliance GbR nimmt die Aufgaben dieser Meldestelle als externer Dritter nach § 14 Absatz 1 Hinweisgeberschutzgesetz wahr.

Besondere Kategorien und strafrechtliche Angaben

Besondere Kategorien personenbezogener Daten verarbeitet die Meldestelle nur, soweit dies zur Erfüllung ihrer Aufgaben erforderlich ist. Rechtsgrundlage ist Artikel 9 Absatz 2 Buchstabe g DSGVO in Verbindung mit § 10 Satz 2 Hinweisgeberschutzgesetz und § 22 Absatz 2 BDSG. Daten über strafrechtliche Verurteilungen und Straftaten werden nach Artikel 10 DSGVO in Verbindung mit § 10 Hinweisgeberschutzgesetz verarbeitet.

Sonstige Compliance-Meldungen

Soweit eine Meldung nicht in den sachlichen Anwendungsbereich des Hinweisgeberschutzgesetzes fällt, kann ihre erforderliche Bearbeitung auf Artikel 6 Absatz 1 Buchstabe f DSGVO gestützt werden. Die berechtigten Interessen bestehen darin, mögliche Rechtsverstöße oder erhebliche Pflichtverletzungen aufzuklären, Schäden abzuwenden und eine ordnungsgemäße Unternehmensführung sicherzustellen. Bei Beschäftigtendaten wird zusätzlich § 26 BDSG berücksichtigt. Besondere Kategorien personenbezogener Daten oder strafrechtliche Angaben werden außerhalb des Hinweisgeberschutzgesetzes nur verarbeitet, wenn dafür im konkreten Fall eine zusätzliche gesetzliche Grundlage besteht. Andernfalls werden sie nicht weiterverarbeitet.

Technische Sicherheit

Daten, die ausschließlich dem sicheren und missbrauchsfreien Betrieb des Portals dienen, verarbeitet WaPo Compliance GbR auf Grundlage von Artikel 6 Absatz 1 Buchstabe f DSGVO. Das berechtigte Interesse liegt in der Verfügbarkeit und Sicherheit des Meldekanals sowie im Schutz der darin verarbeiteten vertraulichen Informationen.

Freiwilligkeit der Angaben

Es besteht keine gesetzliche oder vertragliche Pflicht, eine Meldung abzugeben oder den eigenen Namen und Kontaktdaten anzugeben. Eine anonyme Meldung wird nach denselben fachlichen Maßstäben bearbeitet. Für eine sachgerechte Prüfung müssen jedoch genügend Informationen zum Sachverhalt vorliegen. Ohne Kontaktangaben kann WaPo Compliance GbR ausschließlich über das geschützte Portalpostfach Rückfragen stellen und Rückmeldungen geben.

Anonymität und Vertraulichkeit

Das Portal kann ohne Benutzerkonto genutzt werden. Es setzt keine Analyse-, Marketing- oder sonstigen nicht erforderlichen Cookies ein. Die IP-Adresse wird bei jedem Internetaufruf technisch an den Server übertragen. Nach der für dieses Portal eingerichteten Konfiguration wird sie weder in der Anwendung noch in Server-, Proxy- oder Sicherheitsprotokollen gespeichert und keinem Meldevorgang zugeordnet.

Anonymität bedeutet, dass WaPo Compliance GbR die Identität der hinweisgebenden Person nicht kennt. Auch bei einer anonymen Meldung können einzelne Angaben im Text, der Dateiname oder sichtbare Inhalte hochgeladener Dateien Rückschlüsse auf eine Person ermöglichen. Technische Metadaten wie Aufnahmeort, Gerätedaten, hinterlegte Verfasserangaben oder Kommentare werden bei unterstützten PDF-, JPEG- und PNG-Dateien vor der Speicherung automatisiert entfernt. Dateiname und sichtbarer Inhalt bleiben erhalten.

Vertraulichkeit bedeutet, dass die Identität der hinweisgebenden Person, der von einer Meldung betroffenen Person und weiterer genannter Personen nur den Personen bekannt wird, die für die Bearbeitung zuständig sind. WaPo Compliance GbR schützt diese Identitäten nach den §§ 8 und 9 Hinweisgeberschutzgesetz. Eine Offenlegung ist nur in den dort geregelten Fällen zulässig, etwa auf Verlangen einer Strafverfolgungsbehörde in einem Strafverfahren, aufgrund einer gerichtlichen Entscheidung oder mit vorheriger Einwilligung der betroffenen Person. Soweit gesetzlich vorgeschrieben, informiert WaPo Compliance GbR die hinweisgebende Person vor der Offenlegung und teilt die Gründe mit.

Empfänger der Daten

Innerhalb von WaPo Compliance GbR erhalten nur die für die Meldestelle zuständigen und zur Vertraulichkeit verpflichteten Personen Zugriff auf Meldungen. neo42 GmbH erhält keinen unmittelbaren Zugang zum Meldesystem. WaPo Compliance GbR übermittelt neo42 GmbH nur die Informationen, die für eine erforderliche Prüfung oder Folgemaßnahme benötigt werden. Die Identität der hinweisgebenden Person wird nur unter den gesetzlichen Voraussetzungen offengelegt.

Weitere Empfänger können Gerichte, Strafverfolgungs-, Aufsichts- oder sonstige zuständige Behörden sein, wenn eine gesetzliche Pflicht oder Befugnis zur Übermittlung besteht. Soweit für die rechtliche oder fachliche Bearbeitung erforderlich, können zur Verschwiegenheit verpflichtete Rechtsanwälte oder andere Fachleute einbezogen werden.

Hosting und Auftragsverarbeitung

Für Hosting, Rechenleistung und Speicher nutzt WaPo Compliance GbR die Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, als Auftragsverarbeiter nach Artikel 28 DSGVO. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag. Die für das Portal eingesetzten Server befinden sich in Deutschland. Meldungsinhalte werden bei der Übertragung und in der Datenbank verschlüsselt. Der für die Entschlüsselung benötigte Schlüssel wird getrennt von der Datenbank verwaltet.

Drittlandübermittlungen

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums ist für den Betrieb dieses Meldeportals nicht vorgesehen.

Speicherdauer

Die Dokumentation einer Meldung wird grundsätzlich drei Jahre nach Abschluss des Verfahrens gelöscht. Sie kann länger aufbewahrt werden, wenn und solange dies erforderlich und verhältnismäßig ist, um Anforderungen des Hinweisgeberschutzgesetzes oder anderer Rechtsvorschriften zu erfüllen oder Rechtsansprüche geltend zu machen, auszuüben oder zu verteidigen. Die Notwendigkeit einer längeren Speicherung wird im Einzelfall geprüft und dokumentiert.

Meldungen außerhalb des Anwendungsbereichs des Hinweisgeberschutzgesetzes werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten oder überwiegenden Gründe für die weitere Speicherung bestehen. Das Portalpostfach wird zusammen mit dem zugehörigen Meldevorgang gelöscht. Technische Sicherungskopien werden nach dem festgelegten Sicherungs- und Löschzyklus überschrieben und bis dahin nicht für andere Zwecke verwendet.

Information von genannten Personen

Personen, deren Daten nicht bei ihnen selbst erhoben wurden, werden grundsätzlich nach Artikel 14 DSGVO informiert. Die Information erfolgt spätestens innerhalb eines Monats, bei einer vorherigen Kommunikation spätestens zu diesem Zeitpunkt oder bei einer vorherigen Offenlegung spätestens bei der ersten Offenlegung.

Die Information kann im Einzelfall aufgeschoben, eingeschränkt oder unterlassen werden, soweit die gesetzlichen Voraussetzungen erfüllt sind. Das kann insbesondere der Fall sein, wenn eine frühzeitige Information die Aufklärung ernsthaft beeinträchtigen würde oder wenn Angaben aufgrund des gesetzlichen Vertraulichkeitsgebots nicht offengelegt werden dürfen. Der Grund für eine Einschränkung wird dokumentiert und regelmäßig überprüft. Sobald der Hinderungsgrund entfällt, wird die Information nachgeholt, soweit keine andere gesetzliche Ausnahme greift.

Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

Das Recht auf Datenübertragbarkeit nach Artikel 20 DSGVO besteht nur, wenn dessen gesetzliche Voraussetzungen erfüllt sind. Da die Verarbeitung der Meldung regelmäßig auf einer gesetzlichen Pflicht oder einem berechtigten Interesse beruht, ist dieses Recht für die eigentliche Bearbeitung der Meldung in der Regel nicht anwendbar.

Betroffenenrechte können eingeschränkt sein, soweit ihre Erfüllung die gesetzliche Dokumentationspflicht, die Aufklärung eines Sachverhalts oder die gesetzlich geschützte Vertraulichkeit anderer Personen beeinträchtigen würde. Jede Einschränkung wird anhand der gesetzlichen Voraussetzungen im Einzelfall geprüft. Bei einer anonymen Meldung sollte eine Anfrage über das Portalpostfach gestellt werden, damit sie dem Vorgang zugeordnet werden kann, ohne die Identität offenzulegen.

Automatisierte Entscheidungen und künstliche Intelligenz

Es findet keine ausschließlich automatisierte Entscheidung einschließlich Profiling im Sinne von Artikel 22 DSGVO statt. Über die Bewertung und Bearbeitung einer Meldung entscheiden zuständige Personen der Meldestelle. Inhalte aus Meldungen werden nicht in KI-Wissensbasen oder KI-Suchen übernommen, nicht zum Training von Modellen verwendet und nicht durch KI-Systeme ausgewertet.

Kontakt für Datenschutzanliegen

Für Anliegen zur Verarbeitung innerhalb der von WaPo Compliance GbR betriebenen Meldestelle wenden Sie sich an WaPo Compliance GbR. Bei einer anonymen Meldung empfiehlt sich die Kontaktaufnahme über das geschützte Portalpostfach.

Für Fragen zur Verarbeitung durch neo42 GmbH können Sie sich an neo42 GmbH, Wilhelm-Grümer-Weg 22 22, 51674 Wiehl, wenden. Wenn Sie sich unmittelbar an neo42 GmbH wenden, erfährt das Unternehmen, dass Sie sich gemeldet haben. Anliegen zu einer konkreten Meldung richten Sie deshalb möglichst an die Meldestelle oder über das Portalpostfach.

Beschwerderecht

Betroffene Personen können sich nach Artikel 77 DSGVO bei einer Datenschutzaufsichtsbehörde beschweren. Eine Beschwerde kann auch bei jeder anderen nach Artikel 77 DSGVO zuständigen Aufsichtsbehörde eingereicht werden.

Wer diese Meldestelle betreibt, steht im Impressum.
Zurück zur Meldestelle

Stand dieser Hinweise: 30.10.2026