Datenschutzhinweis
Stand: 30.06.2021
Datenschutz ist uns ein Anliegen
Als öffentliches Unternehmen ist den ÖBB die Wahrung des Datenschutzes ein großes Anliegen, das gilt auch und insbesondere für die Bearbeitung von Hinweisen auf gesetzwidriges Verhalten. Um Auskunftspersonen Gelegenheit zu geben, entsprechende Hinweise einzubringen, hat die ÖBB nicht nur die Mail-Adresse compliance@oebb.at eingerichtet, sondern stellt auch eine Web-Plattform zur Verfügung. Diese Web-Plattform wird für die ÖBB von einem namhaften externen Anbieter für IT-Lösungen im Compliancebereich bereitgestellt.
Diese Datenschutzerklärung soll transparent machen, wie die unter dieser Mail-Adresse und der Web-Plattform einlangenden Daten und die weiteren im Zusammenhang mit dem Hinweis ermittelten Daten verwendet werden.
Datenschutz-Grundverordnung
In diesem Dokument zitierte Artikel beziehen sich auf die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung). Diese EU-Verordnung ist in den Staaten der EU direkt anwendbar.
Verantwortlicher
Verantwortliche für personenbezogene Daten, die im Zuge der Hinweisabgabe verarbeitet werden (z.B. die Person des Hinweisgebers oder von Personen, die an den dargelegten Rechtsverstößen beteiligt sein könnten) im Sinne des Art 4 Ziffer 7 ist die ÖBB-Konzerngesellschaft, zu deren Schaden die untersuchte Handlung gesetzt worden ist bzw. in deren Rechte die untersuchte Handlung eingreift. Dies gilt auch dann, wenn diese Gesellschaft im Hinweis nicht ausdrücklich genannt oder falsch bezeichnet wird.
Die an der Mail-Adresse compliance@oebb.at oder über die Web-Plattform einlangenden Hinweise werden vom Compliance Office der ÖBB-Holding AG, Am Hauptbahnhof 2, 1100 Wien zunächst auf Plausibilität geprüft und einer Konzerngesellschaft zugewiesen. Diese Konzerngesellschaft ist dafür verantwortlich, dass der dem Hinweis zugrundeliegende Verdacht untersucht wird und ist in weiterer Folge auch „Herr der Daten“, die im Rahmen der Untersuchung ermittelt werden – und damit auch „Verantwortliche“ im Sinne der DSGVO.
Einen Link zu den wichtigsten Gesellschaften des Konzerns und deren Impressen finden Sie hier: https://konzern.oebb.at/de/impressum. Aus den Impressen geht auch der jeweilige Unternehmensgegenstand der Konzerngesellschaften hervor.
Konzernweite Auftragsverarbeiter
Unterstützt werden die Konzerngesellschaften bei der Untersuchung der Hinweise durch das bei der ÖBB-Holding AG angesiedelte Compliance Office, welches vom Chief Compliance Officer der ÖBB geleitet wird.
Die ÖBB-Holding AG wirkt daher als „Auftragsverarbeiter“ im Sinne von Art 4 Z 8 an der Untersuchung der einlangenden Hinweise mit, und unterstützt neben der Zuordnung des einlangenden Hinweises zur betroffenen Gesellschaft insbesondere bei der Falluntersuchung und der Dokumentation der Untersuchungen.
Die zur Entgegennahme von Hinweisen verwendete Web-Plattform wird von der Firma Business Keeper GmbH, D-10789 Berlin für die ÖBB bereitgestellt. Es ist technisch ausgeschlossen, dass die Business Keeper GmbH selbst Zugriff auf die über die Web-Plattform übermittelten Daten oder auf die Zugriffe auf die dort hinterlegten Informationen hat. Es handelt sich bei der Business Keeper GmbH daher nicht um einen Auftragsverarbeiter im Sinne des Art 4 Z 8 DSGVO.
Datenschutzbeauftragte/r
Im ÖBB-Konzern ist für jede Konzerngesellschaft ein/e Datenschutzbeauftragte/r bestellt. Eine Übersicht finden Sie hier: https://konzern.oebb.at/de/impressum/datenschutzbeauftragte
Für allgemeine Auskünfte steht überdies der Konzerndatenschutzbeauftragte unter der E-Mailadresse datenschutz.konzern@oebb.at zur Verfügung:
Rechtsgrundlage der Verarbeitung
Rechtsgrundlage der Verarbeitung besteht in Art 6 Abs 1 lit f, also in den berechtigten Interessen der Verantwortlichen (der jeweils betroffenen ÖBB-Konzerngesellschaft), Hinweise auf ein Fehlverhalten zum Nachteil der Gesellschaft angemessen untersuchen zu können.
Das bedeutet für den Hinweisgeber insbesondere, dass die Verwendung seiner personen-bezogenen Daten NICHT auf einer Einwilligung nach Art 4 Z 11 beruht, und ein einmal gegebener Hinweis nicht zurückgezogen oder „widerrufen“ werden kann.
Beschreibung und Umfang der Datenverarbeitung
Der Zweck der Verarbeitungstätigkeit besteht in der Untersuchung von Sachverhalten,
- die einen Verstoß gegen das Unionsrecht in den in Art 2 der Richtlinie (EU) 2019/1937 vom 23. Oktober 2019 genannten Bereichen und die entsprechenden innerstaatlichen Umsetzungsbestimmungen zum Gegenstand haben oder
- sonst geeignet sind, einen Verdacht hinsichtlich Verhaltensweisen zu begründen,
- deren Untersuchung in die Zuständigkeit des Compliance Office nach der ÖBB-Konzernrichtlinie 15 fällt oder
- der Abwehr von massiven Nachteilen für den Verantwortlichen aus einem Fehlverhalten seiner Mitarbeiter aufgrund von anderen rechtswidrigen Verhaltensweisen dient.
Anonymität der Hinweisgeber
Die Identität des Hinweisgebers wird grundsätzlich nur mit dessen Zustimmung offengelegt bzw. preisgegeben. Auf der Web-Plattform ist es den Hinweisgebern möglich, Hinweise anonym abzugeben und in weiterer Folge auch anonym mit den Mitarbeitern des ÖBB Compliance Office zu kommunizieren.
Sollte die Identität des Hinweisgebers dem ÖBB Compliance Office bekannt sein, wird diese unabhängig von der Zustimmung des Hinweisgebers in diesen Fällen offengelegt:
- Es liegt eine öffentlich-rechtliche Verpflichtung zur Preisgabe der Identität des Hinweisgebers gegenüber einem Gericht oder einer Verwaltungsbehörde vor, z.B. anlässlich einer Zeugenvernehmung (die mit Compliance-Angelegenheiten befassten Mitarbeiter des ÖBB-Konzerns unterliegen der Zeugenpflicht und haben kein Recht, sich einer Aussage zu entschlagen)
- Auskünfte an betroffene Personen nach Art 15, falls es sich um falsche Angaben aus böswilliger Absicht handelt und daher kein schutzwürdiges Geheimhaltungsinteresse des Hinweisgebers an der Geheimhaltung seiner Identität besteht
Verständigung der betroffenen Personen
Werden in einem Hinweis eine bestimmte Person (insbesondere im Zusammenhang einer gegen sie gerichteten Verdächtigung) genannt, so werden ihre Daten im Zusammenhang mit der Hinweisaufnahme gespeichert, und diese im Rahmen von Art 14 über die Datenspeicherung so schnell wie möglich informiert.
In der Regel wird dies im Rahmen der Hinweisverfolgung bei einer Befragung dieser Person stattfinden, da eine vorhergehende Information die Erreichung des Zweckes der Daten-speicherung gefährden oder sogar verunmöglichen würde.
Diese Informationen umfassen jedenfalls die für die Untersuchung des Verdachtsfalles zuständige Stelle, den untersuchten Verdacht, allenfalls weitere involvierte Konzern-gesellschaften des ÖBB-Konzern sowie die Art und Weise, wie Verteidigungs- und weitere Informationsrechte wahrgenommen werden können.
Umgang mit Hinweisen anderer Art
Eingehende Hinweise, die für die Verfolgung des oben dargestellten Zwecks nicht erforderlich sind, d.h. sich etwa nicht auf ein Fehlverhalten eines Mitarbeiters oder eines Organes einer ÖBB-Gesellschaft beziehen oder die sich auf Verhaltensweisen beziehen, die augenscheinlich weder Nachteil für die ÖBB verursacht haben können noch gegen Unionsrecht verstoßen, werden nicht weiterverfolgt.
Die ÖBB behält sich jedoch vor, bestimmte Hinweise, die nach ihrem ersten Eindruck auf ein strafrechtlich relevantes Faktum abseits des Zweckes der Verarbeitungstätigkeit hinweisen, an die Strafverfolgungsbehörden weiterzuleiten, dies unter Wahrung der Anonymität des Hinweisgebers im oben dargestellten Sinne.
Empfänger von Daten
Personenbezogene Daten werden zur Berichtslegung an das zuständige Geschäftsleitungsorgan verwendet, welches letztverantwortlich über die weitere Vorgehensweise (z.B. Befassung von Behörden oder disziplinäre Schritte) entscheidet.
Ebenfalls werden Daten verwendet, um innerhalb des ÖBB-Konzerns den Organen der Teilkonzern-Muttergesellschaften und der ÖBB-Holding AG über die getroffenen Maßnahmen Bericht zu erstatten.
Die im Rahmen der Hinweisbearbeitung ermittelten Daten werden zur behördlichen Strafverfolgung an Sicherheitsbehörden, Staatsanwaltschaften und Strafgerichte zur Beweismittellieferung in Strafrechtsangelegenheiten im Anlassfall übermittelt. Ebenfalls werden Daten an Zivilgerichte zur Durchsetzung von Ansprüchen und zur Beweismittellieferung verwendet. Die jeweils einschreitende ÖBB-Gesellschaft beauftragt zur Vertretung im jeweiligen Verfahren möglicherweise berufsmäßige Parteienvertreter (Rechtsanwälte).
Die Offenlegung der Person des Hinweisgebers erfolgt auch in diesen Fällen nur mit dessen Einverständnis bzw. dann, wenn ein behördlicher Akt eine Offenlegung zwingend anordnet. In diesem Zusammenhang wird nochmals darauf hingewiesen, dass die mit Compliance-Angelegenheiten befassten Mitarbeiter des ÖBB-Konzerns der Zeugenpflicht unterliegen und kein Recht haben, sich einer Aussage zu entschlagen.
Dienstleister
Die ÖBB Holding AG verwendet neben der Web-Plattform zur Fallverfolgung eine Software-Applikation, die von der ÖBB-BCC GmbH als Auftragsverarbeiter betrieben wird.
Für die Untersuchung von komplexen Sachverhalten setzt die ÖBB-Holding AG in Einzelfällen auch Forensik-Dienstleister, deren Tätigkeit durch eine berufliche Verschwiegenheitsverpflichtung geschützt ist, als weitere Auftragsverarbeiter ein.
Mit allen Auftragsverarbeitern werden entsprechende Vereinbarungen abgeschlossen. Es ist den Auftragsverarbeitern insbesondere in jedem Fall untersagt, selbst über die Verwendung der Daten zu entscheiden.
Speicherdauer
Daten zu Falluntersuchungen werden zwei Monate nach Fallabschluss anonymisiert, sodass auf personenbezogene Daten von der ÖBB nicht mehr zugegriffen werden kann. Erhalten bleiben lediglich eine allgemeine Beschreibung des untersuchten Verdachts, das Datum des Hinweiseingangs und des Ermittlungsergebnisses, nicht aber personenbezogene Daten.
Zum Fall ermittelte Informationen, insbesondere Gesprächsprotokolle, Notizen und Kopien aus anderen Akten werden elektronisch archiviert. Die Archivierung erfolgt technisch in einer Form, dass Organe oder Mitarbeiter der ÖBB darauf alleine nicht mehr zugreifen können. Ein Zugriff ist nur auf behördliche Aufforderung möglich, dies unter Einschaltung eines von den ÖBB bestellten Treuhänders, der die Zugangscodes verwaltet.
Betroffenenrechte
In Bezug auf die Verwendung Ihrer personenbezogenen Daten stehen Ihnen nachfolgenden Rechte zu:
- Recht auf Auskunft
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Einschränkung der Verarbeitung
- Recht auf Datenübertragbarkeit
- Recht auf Widerspruch
Für den Fall, dass Sie gegenüber der ÖBB-Holding AG oder einer anderen ÖBB-Konzerngesellschaft Ihre vorgenannten Rechte geltend machen wollen, senden Sie bitte eine Nachricht an die oben genannten Kontaktinformation oder an den im Impressum der jeweiligen Konzerngesellschaft genannten Datenschutzbeauftragten und weisen Sie im Betreff auf die Geltendmachung Ihrer Rechte nach der Datenschutzgrundverordnung - DSGVO sowie auf den Kontext ihrer Frage (hier die Datenverarbeitung im Rahmen eines bestimmten Compliance-Falles) hin.
Bitte beachten Sie dazu, dass eine Compliance-Untersuchung nicht auf Einwilligung beruht und daher ein Recht auf Datenübertragbarkeit nicht besteht.
Darüber hinaus steht Ihnen auch eine Beschwerdemöglichkeit bei der Österreichischen Datenschutzbehörde (DSB), Barichgasse 40-42, 1030 Wien; Email: dsb@dsb.gv.at zu.