Datenschutzrichtlinie des Hinweisgebersystems

1. Wer ist für die Verarbeitung verantwortlich?

HABITUS GLOBAL RETAIL, S.L.U. (im Folgenden HABITUS oder das Unternehmen) ist für die Verarbeitung der personenbezogenen Daten verantwortlich, die im Rahmen des Hinweisgebersystems erhoben werden.
HABITUS respektiert die Grundrechte und Grundfreiheiten der Personen, zu denen auch das Grundrecht auf Schutz personenbezogener Daten gehört. Der Schutz der Privatsphäre der betroffenen Personen ist für HABITUS von grundlegender Bedeutung. Daher verarbeitet HABITUS personenbezogene Daten gemäß den geltenden Rechtsvorschriften zum Schutz personenbezogener Daten, zur Privatsphäre und zur Sicherheit dieser Informationen. Zu diesem Zweck wurden unter Berücksichtigung des Stands der Technik, der Art der Daten und der Risiken, denen diese ausgesetzt sind, die erforderlichen technischen und organisatorischen Maßnahmen ergriffen, um den Verlust, den Missbrauch, die Veränderung, den unbefugten Zugriff auf und den Diebstahl der bereitgestellten personenbezogenen Daten zu verhindern.

2. Zu welchen Zwecken verarbeiten wir Ihre personenbezogenen Daten?

Die personenbezogenen Daten werden zum Zweck der Verwaltung des Hinweisgebersystems und insbesondere zur Bearbeitung, Untersuchung und Aufklärung aller Handlungen oder Unterlassungen verarbeitet, die gegen die Ethik oder die geltenden Rechtsvorschriften verstoßen, sowie zur Sicherstellung ihrer Einhaltung und zur Ergreifung der entsprechenden disziplinarischen oder rechtlichen Maßnahmen und gegebenenfalls zur strafrechtlichen Verfolgung von Straftaten, zur Vollstreckung strafrechtlicher Sanktionen im Zusammenhang mit dem eingegangenen Hinweis sowie zu dessen Bearbeitung und Entscheidung.

3. Welche personenbezogenen Daten werden wir verarbeiten?

Es werden keine personenbezogenen Daten erhoben, deren Erheblichkeit für die Bearbeitung einer bestimmten Meldung nicht erforderlich ist. Sollten solche Daten versehentlich erhoben werden, werden sie unverzüglich gelöscht.

Hinweise, die gemäß diesem Verfahren eingereicht werden, können anonym erfolgen; eine Identifizierung der hinweisgebenden Person ist nicht erforderlich. Unbeschadet dessen werden personenbezogene Daten, die anlässlich des Hinweises und der internen Untersuchung erhoben werden, vertraulich und ausschließlich zur Verwaltung und Kontrolle dieses Verfahrens verarbeitet. Dabei werden die gesetzlich vorgeschriebenen Garantien und Datenschutzmaßnahmen angewandt.

Personenbezogene Daten, die anlässlich des Hinweises und der internen Untersuchung erhoben werden, werden vertraulich und ausschließlich zur Verwaltung und Kontrolle dieses Verfahrens verarbeitet. Dabei werden die gesetzlich vorgeschriebenen Garantien und Datenschutzmaßnahmen angewandt.

Nachstehend werden die Kategorien der verarbeiteten Daten nach den verschiedenen betroffenen Personen aufgeführt:

Hinweisgebende Person: Es werden die im Hinweis bereitgestellten personenbezogenen Daten verarbeitet.
Beschuldigte Person: Es werden Identifikationsdaten, Angaben zu den sozialen Verhältnissen, Beschäftigungsdaten und möglicherweise besonders geschützte Daten sowie die in den von ihr abgegebenen Interviews oder Erklärungen bereitgestellten Daten verarbeitet.
Zeugin oder Zeuge: Es werden Identifikationsdaten sowie die in den Interviews bereitgestellten Daten verarbeitet.

Das Unternehmen fordert keine besonderen Kategorien personenbezogener Daten an und verarbeitet diese auch nicht, etwa Gesundheitsdaten, Angaben zur rassischen oder ethnischen Herkunft, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit oder sexuelle Orientierung. Da das Formular jedoch freie Textfelder enthält, können Sie solche besonderen Kategorien freiwillig offenlegen oder personenbezogene Daten Dritter angeben, auf die Sie in Ihrer Mitteilung Bezug nehmen. In jedem Fall dürfen Daten besonderer Kategorien gemäß Art. 9 Abs. 2 g) DSGVO aus Gründen des öffentlichen Interesses verarbeitet werden.

4. Auf welcher Rechtsgrundlage werden Ihre personenbezogenen Daten verarbeitet?

Die Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten ist folgende:

Für die Bearbeitung eines Hinweises über einen internen Meldekanal:
- Die Erfüllung der für die Verantwortliche geltenden gesetzlichen Verpflichtungen (Art. 6 Abs. 1 c) DSGVO), insbesondere der Pflicht, einen Hinweisgeberkanal einzurichten, gemäß Art. 24 und 8 des Organgesetzes 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung der digitalen Rechte sowie Art. 30 Abs. 2 des Gesetzes 2/2023.
- Hilfsweise die Erforderlichkeit zur Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 e) DSGVO) im Zusammenhang mit der Verfolgung von Verstößen oder Straftaten, die das Unternehmen betreffen könnten.

Zur Überprüfung der Funktionsweise des Systems.
- Zur Erfüllung einer für die Verantwortliche geltenden gesetzlichen Verpflichtung (Art. 6 Abs. 1 c) DSGVO).

5. Wer erhält Zugriff auf Ihre personenbezogenen Daten?

Die Identität der hinweisgebenden Person wird nur dann der Justizbehörde, der Staatsanwaltschaft oder der zuständigen Verwaltungsbehörde mitgeteilt, wenn dies im Rahmen einer strafrechtlichen, disziplinarischen oder verwaltungsrechtlichen Untersuchung erforderlich ist. In diesen Fällen wird die hinweisgebende Person vor der Offenlegung ihrer Identität darüber informiert, es sei denn, diese Information könnte die Untersuchung oder das Gerichtsverfahren beeinträchtigen. Wenn die zuständige Behörde die hinweisgebende Person informiert, übermittelt sie ihr ein Schreiben, in dem die Gründe für die Offenlegung der betreffenden vertraulichen Daten erläutert werden.

Soweit gesetzlich zulässig, erhält die betroffene Person keine Angaben zur Identität der hinweisgebenden Personen.

In Bezug auf die Identität der betroffenen Personen werden geeignete technische und organisatorische Maßnahmen zu deren Schutz ergriffen. Dabei wird sowohl ihre Vertraulichkeit als auch die Vertraulichkeit Dritter gewährleistet, die in der übermittelten Meldung erwähnt werden könnten.

Der Zugriff auf die Daten ist ausschließlich denjenigen Personen vorbehalten, die innerhalb oder außerhalb des Unternehmens interne Kontroll- und Compliance-Aufgaben wahrnehmen, sowie den gegebenenfalls zu diesem Zweck eingesetzten Auftragsverarbeitern und der Datenschutzbeauftragten oder der hierfür benannten verantwortlichen Person. Die personenbezogenen Daten können jedoch, sofern dies unerlässlich ist, interessierten Dritten mitgeteilt werden, etwa Mitgliedern des Präventionsorgans, Beschäftigten des Unternehmens, externen Beratern oder Behörden, soweit dies der Untersuchung und Aufklärung der gemeldeten Sachverhalte dient, sowie den für Rechtsdienstleistungen Verantwortlichen zur Feststellung von Verantwortlichkeiten, Umsetzung von Korrekturmaßnahmen und gegebenenfalls Einleitung der erforderlichen rechtlichen und disziplinarischen Schritte bei den jeweils zuständigen Stellen.

Unbeschadet der Mitteilung von Sachverhalten, die eine strafrechtliche oder verwaltungsrechtliche Zuwiderhandlung darstellen, an die zuständige Behörde wird dem Personal mit Aufgaben in der Verwaltung und Kontrolle der Personalressourcen nur dann Zugriff auf die Daten gewährt, wenn gegebenenfalls disziplinarische Maßnahmen gegen Beschäftigte ergriffen werden können.

Mit dem Dienstleister, der in unserem Namen die technische Implementierung des Hinweisgeberkanals durchführt, wurde ein Auftragsverarbeitungsvertrag geschlossen. Dieser Dienstleister hat keinen Zugriff auf die übermittelten Informationen.
Das Unternehmen wird in keinem Fall automatisierte Entscheidungen auf Grundlage der übermittelten Daten treffen.

Ihre personenbezogenen Daten werden nicht in Drittländer übermittelt.

6. Wie lange bewahren wir Ihre personenbezogenen Daten auf?

Die Daten werden so lange aufbewahrt, wie es unbedingt erforderlich ist, um über die Einleitung einer Untersuchung der gemeldeten Sachverhalte zu entscheiden. Sollte sich herausstellen, dass die bereitgestellten Informationen oder ein Teil davon nicht wahrheitsgemäß sind, werden sie unverzüglich gelöscht, sobald diese Tatsache bekannt ist, es sei denn, die Unwahrheit könnte eine Straftat darstellen. In diesem Fall werden die Informationen so lange aufbewahrt, wie dies für die Dauer des Gerichtsverfahrens erforderlich ist.

In jedem Fall werden die Daten drei (3) Monate nach Eingang des Hinweises gelöscht, wenn bis dahin keine Untersuchungshandlungen eingeleitet wurden, es sei denn, ihre Aufbewahrung ist erforderlich, um die Funktionsweise des Systems nachzuweisen. Die Aufbewahrung von Mitteilungen und internen Untersuchungen darf in keinem Fall länger als zehn Jahre dauern. Ist die Aufbewahrung der Daten zur Fortführung der Untersuchung erforderlich, werden sie an das zuständige Unternehmensorgan übermittelt, das die Untersuchung der gemeldeten Sachverhalte durchführt und sie weiterverarbeiten darf. Eine Kopie der Daten wird nicht im Informationssystem für interne Hinweise aufbewahrt. Hinweise, denen nicht nachgegangen wurde, dürfen nur in anonymisierter Form gespeichert werden; die in Art. 32 des Organgesetzes 3/2018 vorgesehene Sperrpflicht findet auf sie keine Anwendung.

7. Welche Rechte haben Sie?

Die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch können gemäß den geltenden Rechtsvorschriften schriftlich gegenüber HABITUS GLOBAL RETAIL, S.L.U. unter folgender Anschrift ausgeübt werden: Carrera de Sant Esteve 29, 08173, San Cugat del Vallés, Barcelona, Spanien, oder per E-Mail an contact@muymucho.com. Dabei ist das konkrete Recht anzugeben, das Sie ausüben möchten. Wenn Sie der Ansicht sind, dass das Unternehmen die personenbezogenen Daten nicht gemäß den geltenden Rechtsvorschriften verarbeitet hat, können Sie sich außerdem unter der oben genannten Anschrift an die Datenschutzbeauftragte wenden und/oder eine Beschwerde bei der spanischen Datenschutzbehörde Agencia Española de Protección de Datos einreichen.

Die Ausübung dieser Rechte ist jedoch in den folgenden Fällen nicht möglich:

Die Ausübung des Auskunftsrechts durch die beschuldigte Person umfasst nicht die Offenlegung der Identifikationsdaten der hinweisgebenden Person. Das Auskunftsrecht in Bezug auf die im Vorgang enthaltenen Informationen ist auf die Informationen zu den eigenen personenbezogenen Daten beschränkt, die Gegenstand der Verarbeitung sind. Daten zur hinweisgebenden Person sind von diesem Recht nicht umfasst.
Übt die untersuchte Person ihr Widerspruchsrecht aus, wird sie darüber informiert, dass sie dieses Recht nicht ausüben kann, da gemäß Art. 21 Abs. 1 DSGVO zwingende schutzwürdige Gründe vorliegen, die die Fortsetzung dieser Verarbeitung rechtfertigen, und gemäß Art. 31 Abs. 4 des Gesetzes 2/2023.
Das Recht auf Löschung kann von keinem der Beteiligten während der Untersuchung ausgeübt werden.