Datenschutzinformationen für hinweisgebende Personen der Mitteldeutschen Flughafen AG

Gemeinsam Verantwortliche

Verantwortlich für die Verarbeitung Ihrer Daten im Sinne von Art. 4 Nr. 7 DSGVO sind

Spirit Legal Rechtsanwaltsgesellschaft mbH
Neumarkt 16 – 18
04109 Leipzig
Kontakt zum Datenschutzbeauftragten: dsb@spiritlegal.com

allein oder gemeinsam mit

Mitteldeutsche Flughafen AG
Terminalring 11,
04435 Flughafen Leipzig/Halle,
Kontakt zum Datenschutzbeauftragten: datenschutz@mdf-ag.com

Informationen über die gemeinsame Verantwortlichkeit

Als gemeinsam Verantwortliche für die Verarbeitung personenbezogener Daten im Rahmen des Betriebs der internen Meldestelle haben wir die nach Art. 26 Abs. 1 S. 2 DSGVO erforderliche Vereinbarung über die gemeinsame Verantwortlichkeit geschlossen. Im Folgenden stellen wir gemäß Art. 26 Abs. 2 S. 2 DSGVO das Wesentliche der Vereinbarung über die gemeinsame Verantwortlichkeit zur Verfügung:

Abgrenzung der Verarbeitungen in gemeinsamer Verantwortlichkeit

Die folgenden Phasen der Verarbeitung finden in gemeinsamer Verantwortlichkeit statt:

• Betrieb des internen Meldekanals,
• Zurverfügungstellung des internen Meldekanals über das Onlineportal

Die weitere Verarbeitung durch die Spirit Legal Rechtsanwaltsgesellschaft mbH erfolgt in eigener Verantwortung, insbesondere:

• Empfang eingehender Meldungen,
• Bestätigung des Eingangs einer Meldung gegenüber der hinweisgebenden Person,
• Prüfung des Anwendungsbereichs des HinSchG,
• Prüfung der Stichhaltigkeit der Meldung,
• weitere Kommunikation mit der der hinweisgebenden Person,
• Übermittlung von Informationen zur Meldung an die Mitteldeutsche Flughafen AG, einschließlich empfohlener Folgemaßnahmen,
• Dokumentation der Meldung gemäß § 11 HinSchG,
• Übermittlung von Informationen an Behörden und Gerichte.

Die weitere Verarbeitung personenbezogener Daten durch die Mitteldeutsche Flughafen AG nach Übermittlung von Informationen, einschließlich Empfehlungen zu Folgemaßnahmen, findet in alleiniger Verantwortung der Mitteldeutsche Flughafen AG statt. Dies betrifft insbesondere die mögliche Durchführung interner Ermittlungen oder sonstiger Folgemaßnahmen.

Betroffenenrechte und Bereitstellung von Datenschutzinformationen

Die Spirit Legal Rechtsanwaltsgesellschaft mbH stellt für hinweisgebende Personen Datenschutzinformationen gemäß Art. 13 DSGVO über die Verarbeitung personenbezogener Daten im Rahmen des internen Meldekanals bereit. Findet die Erhebung nicht bei der betroffenen Person statt, so erteilt die Spirit Legal Rechtsanwaltsgesellschaft mbH den Betroffenen Datenschutzinformationen gemäß Art. 14 DSGVO. Die Informationen werden in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zur Verfügung gestellt. Die Spirit Legal Rechtsanwaltsgesellschaft mbH und die Mitteldeutsche Flughafen AG informieren sich gegenseitig unverzüglich über die Geltendmachung von Betroffenenrechten/Ansprüchen und stellen einander sämtliche für die Beantwortung der Anfragen notwendigen Informationen zur Verfügung. Im Rahmen der Geltendmachung von Betroffenenfragen im Zusammenhang mit der internen Meldestelle fungiert die Spirit Legal Rechtsanwaltsgesellschaft mbH als zentrale Anlaufstelle.

Sie können bei Fragen zum Datenschutz sowie zur Ausübung ihrer Betroffenenrechte direkt die im Abschnitt „Verantwortliche“ genannten Kontaktdaten nutzen.

Rechtsgrundlage der gemeinsamen Datenverarbeitung

Rechtsgrundlage der gemeinsamen Datenverarbeitung ist Art. 6 Abs. 1 lit. c) DSGVO in Verbindung mit § 10 S. 1 HinSchG. Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO verarbeitet werden, ist die Rechtsgrundlage Art. 9 Abs. 2 lit. g) in Verbindung mit § 10 S. 1 HinSchG. 

Soweit Sie in die Weitergabe Ihrer Identität eingewilligt haben, ist Rechtgrundlage der Verarbeitung Ihre Einwilligung gemäß Art. 6 Abs. 1 S. 1 lit. a) DSGVO, soweit besondere Kategorien personenbezogener Daten betroffen sind, Art. 9 Abs. 2 lit. a) DSGVO. § 26 Abs. 2 S. 2 BDSG gilt entsprechend.

Sie können Ihre Einwilligung jederzeit widerrufen, indem uns über den internen Meldekanal oder über die im Abschnitt „Verantwortlicher“ genannten Kontaktdaten eine Mitteilung zu senden. Dies hat keinen Einfluss auf die Rechtmäßigkeit der Verarbeitung, die aufgrund der Einwilligung bis zum Zeitpunkt Ihres Widerrufs erfolgt ist. 

Verarbeitung Ihrer personenbezogenen Daten

Aufruf der Website

Sie können unseren Meldekanal grundsätzlich ohne Offenlegung Ihrer Identität zu informatorischen Zwecken aufrufen. Beim Abruf des Meldekanals in diesem Sinne werden lediglich Zugriffsdaten an unsere technischen Dienstleister (nähere Angaben dazu finden sie im Abschnitt „Empfänger personenbezogener Daten“) übermittelt, damit Ihnen die Website angezeigt werden kann. Dabei werden Ihre IP-Adresse und der Zeitpunkt des Aufrufs der Website verarbeitet. Dies ist notwendig, um den Ablauf eines Websitebesuchs und eine Auslieferung der Website an Ihr Endgerät technisch zu ermöglichen. Die Daten werden in der Regel für 30 Minuten gespeichert, um die Sicherheit der informationstechnischen Systeme zu gewährleisten und Angriffe zu erkennen und abzuwehren. Ausnahmsweise können die Daten länger gespeichert werden, etwa wenn dies zur IT-forensischen Auswertung eines Angriffs erforderlich ist. Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. f) DSGVO.

Sie können Widerspruch gegen die Verarbeitung einlegen. Ihr Widerspruchsrecht besteht bei Gründen, die sich aus Ihrer besonderen Situation ergeben. Sie können uns Ihren Widerspruch über die im Abschnitt „Verantwortlicher“ genannten Kontaktdaten zukommen lassen. 

Versand einer Meldung

Wenn Sie über den Meldekanal eine Meldung abgeben, verarbeiten wir sämtliche Informationen aus Ihrer Meldung, insbesondere Ihren Namen und die mitgeteilten Kontaktdaten, alle Informationen zum mitgeteilten Sachverhalt, Verdachtsmomente im Hinblick auf mögliche Straftaten und andere mögliche Rechtsverstöße sowie Datum und Uhrzeit des Versands der Meldung. Um den Versand der Meldung technisch zu ermöglichen, wird zudem Ihre IP-Adresse verarbeitet.

Wir verarbeiten einen einmaligen Code, der Ihrer Meldung eindeutig zuzuordnen ist. Dabei handelt es sich um personenbezogene Daten. Wenn Sie diesen Code speichern oder notieren, haben Sie die Möglichkeit, über den Meldekanal ein Postfach zu nutzen. Über dieses Postfach lassen wir Ihnen eine Eingangsbestätigung, gegebenenfalls Rückfragen sowie eine Rückmeldung zu Ihrer Meldung zukommen. Sie können uns über dieses Postfach weitere Nachrichten zu Ihrer Meldung zukommen lassen.

Zweck der Verarbeitung ist die Bereitstellung des internen Meldekanals sowie die Durchführung der gesetzlich vorgesehenen Verfahrensschritte nach Eingang einer Meldung, insbesondere die Prüfung des Anwendungsbereichs des HinSchG, Prüfung der Plausibilität und Stichhaltigkeit von Meldungen, Aufklärung und Abstellung der möglichen Rechtsverstöße, Empfehlung und Durchführung von Folgemaßnahmen.

Rechtsgrundlagen der Verarbeitung sind Art. 6 Abs. 1 lit. c) DSGVO in Verbindung mit § 10 HinSchG. Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO verarbeitet werden, ist die Rechtsgrundlage Art. 9 Abs. 2 lit. g) in Verbindung mit § 10 HinSchG. Sofern Daten über Straftaten verarbeitet werden, ist die Rechtsgrundlage Art. 10 S. 1 Var. 3 DSGVO in Verbindung mit § 10 HinSchG.

Wir speichern Ihre Meldung einschließlich sämtlicher Informationen für die Dauer von drei Jahren nach Abschluss des Verfahrens gemäß § 11 Abs. 5 HinSchG, soweit keine anderen Rechtsvorschriften eine längere Aufbewahrung erfordern.

Ihre IP-Adresse wird wie im Abschnitt „Aufruf der Website“ angegeben verarbeitet.

Versand einer Meldung ohne Offenlegung der Identität („Anonyme“ Meldung)

Bitte achten Sie darauf, dass Ihre Meldung Angaben enthalten kann, anhand derer Sie auch ohne Angabe Ihres Namens identifiziert werden können. Wenn Sie Ihre Identität nicht offenbaren möchten, verzichten Sie bitte auf solche Angaben.

Sie haben die Möglichkeit, Meldungen abzugeben, ohne Ihre Identität offenzulegen. Wir verarbeiten anstelle Ihrer Kontaktdaten einen einmaligen Code, der Ihrer Meldung eindeutig zuzuordnen ist. Dabei handelt es sich um personenbezogene Daten.

Wenn Sie diesen Code speichern oder notieren, haben Sie die Möglichkeit, über den Meldekanal ein Postfach zu nutzen. Über dieses Postfach lassen wir Ihnen eine Eingangsbestätigung, gegebenenfalls Rückfragen sowie eine Rückmeldung zu Ihrer Meldung zukommen. Sie können uns über dieses Postfach weitere Nachrichten zu Ihrer Meldung zukommen lassen.

Wir verarbeiten neben den im Abschnitt „Versand einer Meldung“ bezeichneten Daten Datum und Uhrzeit des Zugriffs auf das Postfach sowie des Versands weiterer Nachrichten. Im Übrigen gelten die im Abschnitt „Versand einer Meldung“ erteilten Informationen.

Die IP-Adresse wird wie im Abschnitt „Aufruf der Website“ angegeben verarbeitet.

Durchführung einer Videokonferenz

Auf Ihre Anfrage nehmen wir Meldungen auch bei einem persönlichen Treffen entgegen. Mit Ihrer Einwilligung kann dieses Treffen in Form einer Videokonferenz durchgeführt werden. In diesem Fall werden wir einen gesicherten Kommunikationskanal zur Verfügung stellen.

Empfänger personenbezogener Daten

Weitergabe an Behörden und Gerichte

Sofern das Ergreifen von Folgemaßnahmen es erfordert oder wir rechtlich dazu verpflichtet sind, geben wir Informationen aus Ihrer Meldung, unter Umstände auch Ihre personenbezogenen Daten, an die zuständigen Behörden oder Gerichte weiter.

Rechtsgrundlagen solcher Datenweitergaben sind Art. 6 Abs. 1 lit. c) DSGVO in Verbindung mit § 10 HinSchG in Verbindung mit der rechtlichen Verpflichtung zur Weitergabe der Informationen. Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO verarbeitet werden, ist die Rechtsgrundlage Art. 9 Abs. 2 lit. g) in Verbindung mit § 10 S. 1 HinSchG in Verbindung mit der rechtlichen Verpflichtung zur Weitergabe der Informationen.  

Dabei halten wir die Vertraulichkeitsvorschriften der §§ 8, 9 HinSchG ein: 

Soweit wir nicht gemäß § 9 Abs. 1 HinSchG rechtlich dazu verpflichtet sind, geben wir Informationen über Ihre Identität oder über sonstige Umstände, die Rückschlüsse auf Ihre Identität erlauben, im Einklang mit Art. 9 Abs. 3 HinSchG ausschließlich im Fall Ihrer Einwilligung weiter. In diesem Fall ist Rechtsgrundlage der Verarbeitung Ihre Einwilligung gemäß Art. 6 Abs. 1 S. 1 lit. a) DSGVO, soweit besondere Kategorien personenbezogener Daten betroffen sind, gemäß Art. 9 Abs. 2 lit. a) DSGVO. § 26 Abs. 2 S. 2 BDSG gilt entsprechend.

Sie können Ihre Einwilligung jederzeit widerrufen, indem uns über den internen Meldekanal oder über die im Abschnitt „Verantwortlicher“ genannten Kontaktdaten eine Mitteilung zusenden. Dies hat keinen Einfluss auf die Rechtmäßigkeit der Verarbeitung, die aufgrund der Einwilligung bis zum Zeitpunkt Ihres Widerrufs erfolgt ist. 

Weitergabe an die Mitteldeutsche Flughafen AG

Für jede Meldung geben wir die folgenden Informationen an die Mitteldeutsche Flughafen AG weiter:

• Die Information, dass eine Meldung empfangen und eine Eingangsbestätigung erteilt wurde,
• ob es sich um eine Meldung im Anwendungsbereich des HinSchG handelte,
• mit der Meldung gerügte Normverstöße,
• Ergebnis der Stichhaltigkeitsprüfung und
• Empfehlungen für angemessene Folgemaßnahmen

Rechtsgrundlagen solcher Datenweitergaben sind Art. 6 Abs. 1 lit. c) DSGVO in Verbindung mit § 10 S. 1 HinSchG. Soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO verarbeitet werden, ist die Rechtsgrundlage Art. 9 Abs. 2 lit. g) in Verbindung mit § 10 S. 1 HinSchG.  

Informationen über Ihre Identität oder über sonstige Umstände, die Rückschlüsse auf Ihre Identität erlauben, geben wir im Einklang mit Art. 9 Abs. 3 Nr. 1 HinSchG ausschließlich im Fall Ihrer Einwilligung an die Mitteldeutsche Flughafen AG weiter. In diesem Fall ist Rechtsgrundlage der Verarbeitung Ihre Einwilligung gemäß Art. 6 Abs. 1 S. 1 lit. a) DSGVO, soweit besondere Kategorien personenbezogener Daten betroffen sind, gemäß Art. 9 Abs. 2 lit. a) DSGVO. § 26 Abs. 2 S. 2 BDSG gilt entsprechend.

Sie können Ihre Einwilligung jederzeit widerrufen, indem uns über den internen Meldekanal oder über die im Abschnitt „Verantwortlicher“ genannten Kontaktdaten eine Mitteilung zusenden.Dies hat keinen Einfluss auf die Rechtmäßigkeit der Verarbeitung, die aufgrund der Einwilligung bis zum Zeitpunkt Ihres Widerrufs erfolgt ist.

Weitergabe an Auftragsverarbeiter

Zur Bereitstellung des Meldekanals setzen wir den Dienstleister Akarion AG, Elsterweg 1A, 80937 München, ein. Sämtliche über den Meldekanal erhobene Daten werden auch durch die Akarion AG nach unseren Weisungen verarbeitet. Die Akarion AG setzt zur Bereitstellung ihrer Dienste die folgenden Unterauftragsverarbeiter ein, die ebenfalls Ihre personenbezogenen Daten verarbeiten:

• Akarion GmbH, Tabakfabrik Linz, Peter-Behrens-Platz 9, 4020 Linz, Österreich
• Amazon Web Services EMA SARL, 38 Avenue John-F. Kennedy, L-1855 Luxemburg
• Heroku, Inc., The Landmark at 1 Market St., Suite 300, San Francisco, CA 94105, USA. Heroku, Inc. verarbeitet Ihre Daten auch in den USA. Rechtsgrundlage für die Übermittlung in die USA der Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023. Diesen können Sie unter https://commission.europa.eu/document/fa09cbad-dd7d-4684-ae60-be03fcb0fddf_en abrufen.