1 Allgemein
1.1 Ziele und Verantwortlichkeiten(1) Zweck dieser Datenschutzhinweise ist es, Sie über die Art, den Umfang und Zweck der Verarbeitung
personenbezogener Daten in unserem Meldeportal Heraeus SpeakUp und den damit verbundenen
Funktionalitäten und Inhalten (nachfolgend bezeichnet als "Hinweisgebersystem") zu informieren.
(2) Anbieter des Hinweisgebersystems und datenschutzrechtlich verantwortlich ist die Heraeus
Business Solutions GmbH, Heraeusstraße 12-14, 63450 Hanau, Deutschland (nachfolgend „Heraeus“,"wir" oder "uns").
Die Heraeus Business Solutions GmbH und die weiteren Konzerngesellschaften von Heraeus
verarbeiten im Rahmen des Hinweisgebersystems manche personenbezogenen Daten auch als
gemeinsam für die Verarbeitung Verantwortliche im Sinne von Art. 26 DSGVO.
Je nach Art und Umfang der gebotenen Maßnahmen wird die Heraeus Business Solutions GmbHgegebenenfalls Dienstleister mit der konkreten Durchführung der entsprechenden Untersuchungs- undAufklärungsmaßnahmen betrauen. Zu diesen Dienstleistern können etwa Wirtschaftsprüfer,Rechtsanwaltskanzleien oder Steuerberater zählen. In diesem Fall handeln die Dienstleister oftmals als
eigene datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.
(3) Unseren Datenschutzbeauftragten erreichen
dataprotection@heraeus.com oder per Post:

Sieunterfolgender

E-Mail-Adresse:

Datenschutzbeauftragter
c/o Heraeus Business Solutions GmbHHeraeusstr. 12-1463450 Hanau.
(4) Der Begriff "Hinweisgeber" umfasst alle Personen, die eine Meldung über das Meldeportal abgeben.

1.2 Rechtsgrundlage
Die personenbezogenen Daten werden auf folgender Rechtsgrundlage erhoben und verarbeitet:a) Erforderlichkeit zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher
Maßnahmen gemäß Art. 6 Abs. 1 lit. b DSGVO, d.h. die Daten sind für uns zur Erfüllung unserer
vertraglichen Verpflichtungen erforderlich oder wir benötigen die Daten zur Vorbereitung einesVertrages.
b) Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung gemäß Art. 6 Abs. 1 lit. c DSGVO,d.h. die Datenverarbeitung ist aufgrund eines Gesetzes oder einer anderen Anforderungerforderlich.
c) Die Verarbeitung zur Wahrung berechtigter Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO, d.h.
die Verarbeitung ist zur Wahrung unserer berechtigten Interessen oder denen eines Dritten
erforderlich, sofern die Interessen die Grundrechte und Grundfreiheiten der Nutzer, die den
Schutz personenbezogener Daten benötigen, nicht überwiegen.

Version: 1.0

1.3 Rechte der betroffenen Person
Sie können Ihre Rechte als betroffene Person in Bezug auf Ihre verarbeiteten personenbezogenen
Daten jederzeit unter den oben angegebenen Kontaktdaten des Datenschutzbeauftragten geltend
machen. Als betroffene Person haben Sie die folgenden Rechte.
(1) Recht auf Widerruf einer Einwilligung: Werden personenbezogene Daten auf Grundlage einer
Einwilligung verarbeitet, haben Sie das Recht, diese Einwilligung jederzeit für die Zukunft gemäß Art. 7
DSGVO zu widerrufen.
(2) Recht auf Auskunft: Gemäß Art. 15 DSGVO können Sie eine Bestätigung darüber verlangen, ob IhreDaten verarbeitet werden. Ist dies der Fall, haben Sie das Recht auf unentgeltliche Auskunft über dieInformationen.
(3) Recht auf Berichtigung: Wurden personenbezogene Daten verarbeitet, während sie unrichtig waren,haben Sie das Recht, gemäß Art. 16 DSGVO unverzüglich die Berichtigung dieser Daten zu verlangen.
(4) Recht auf Löschung: Haben Sie ihre Einwilligung widerrufen, Widerspruch gegen die Verarbeitung
Ihrer personenbezogenen Daten eingelegt (und liegen keine vorrangigen berechtigten Gründe für dieVerarbeitung vor), sind Ihre personenbezogenen Daten für den ursprünglichen Zweck der Verarbeitung
nicht mehr erforderlich, besteht eine entsprechende gesetzliche Verpflichtung oder wurden
personenbezogene Daten unrechtmäßig verarbeitet, haben Sie das Recht, die Löschung Ihrer
personenbezogenen Daten gemäß Art. 17 DSGVO zu verlangen.
(5) Recht auf Einschränkung der Verarbeitung: Nach den Bestimmungen des Art. 18 DSGVO haben
Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
(6) Recht auf Datenübertragbarkeit: Sie haben gemäß Art. 20 DSGVO das Recht, die von Ihnen
bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren
Format zu erhalten.
(7) Widerspruchsrecht: Ist die Verarbeitung der personenbezogenen Daten zur Wahrung derberechtigten Interessen unseres Unternehmens erforderlich, können Sie gemäß Art. 21 DSGVO
jederzeit Widerspruch gegen die Verarbeitung einlegen.
(8) Recht auf Beschwerde: Sie haben gemäß Art. 77 DSGVO das Recht, sich bei den zuständigenAufsichtsbehörden zu beschweren.

1.4 Löschung von Daten
Ihre personenbezogenen Daten werden gelöscht, sobald der Zweck, für den sie erhoben wurden, entfällt
und keine anderweitigen gesetzlichen oder vertraglichen Aufbewahrungspflichten bestehen.
Ein Vorgang ist dann als abgeschlossen anzusehen, wenn keine weiteren Erkenntnisse zum
Sachverhalt mehr zu erwarten sind, die Untersuchungsmaßnahmen abgeschlossen sind und die ggf.
erforderlichen Maßnahmen als Reaktion auf den Hinweis umgesetzt wurden. Nach Ablauf von drei
Jahren ab dem Zeitpunkt, zu dem der Fall als abgeschlossen betrachtet werden kann unddementsprechend als abgeschlossen gekennzeichnet wird, wird die Dokumentation zu dem Vorgang
gelöscht. Der Vorgang selbst wird weitergeführt, allerdings unter einem Titel, der keinen Rückschluss
auf den Hinweisgeber oder die betroffene Person zulässt und ohne Dokumentation zu dem Vorgang.

Version: 1.0

1.5 Sicherheitsmaßnahmen
Dem aktuellen Stand der Technik entsprechende organisatorische und technischeSicherheitsmaßnahmen sind vorhanden, um die Einhaltung der einschlägigen gesetzlichenBestimmungen zu gewährleisten und personenbezogene Daten gegen zufällige oder vorsätzliche
Manipulationen, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen.

1.6 Weitergabe von Daten an Dritte und Drittanbieter(1) Heraeus übermittelt Daten an Dritte ausschließlich im Rahmen der gesetzlichen Bestimmungen. Wirübermitteln Daten nur dann an Dritte, wenn dies erforderlich ist, oder zu anderen Zwecken, die zur
Erfüllung unserer vertraglichen Verpflichtungen gegenüber Hinweisgebern oder gesetzlicher Vorgaben
erforderlich sind.
(2) Soweit wir zur Erbringung unserer Leistungen Subunternehmer einsetzen, treffen wir angemessene
rechtliche Vorkehrungen sowie technische und organisatorische Maßnahmen, um personenbezogene
Daten gemäß den geltenden gesetzlichen Bestimmungen zu schützen.
(3) Sofern wir im Rahmen dieser Datenschutzhinweise Inhalte, Tools oder Ressourcen anderer Anbieter(nachfolgend gemeinsam bezeichnet als "Drittanbieter") mit Sitz in einem Drittland einsetzen, ist davon
auszugehen, dass Daten in solche Drittländer übermittelt werden.
(4) Drittländer sind Länder, in denen die DSGVO nicht unmittelbar gilt, d.h. grundsätzlich alle Länder
außerhalb der EU bzw. des Europäischen Wirtschaftsraums. Eine Datenübermittlung in Drittländer darf
nur erfolgen, wenn ein angemessenes Datenschutzniveau gewährleistet ist, Sie eingewilligt haben oderdie Übermittlung solcher Daten gesetzlich zulässig ist.

1.7 Automatisierter Entscheidungsprozess
Wir beabsichtigen nicht, personenbezogene Daten, die von Ihnen erfasst werden, für automatisierte
Entscheidungsprozesse (einschließlich Profiling) zu verwenden.

2Datenverarbeitung im Detail

2.1 Daten bzw. Datenkategorien
Im Rahmen von Untersuchungs- und Aufklärungsmaßnahmen werden die nachfolgenden Daten bzw.
Datenkategorien verarbeitet, insofern diese durch den Hinweisgeber bekannt gegeben werden:







Identität des Hinweisgebers, insofern der Hinweisgeber im Rahmen des Hinweises seine
Identität offenlegt
Betriebliche Angaben, wie z.B. Funktion im Unternehmen, Berufsbezeichnung, mögliche
Vorgesetztenstellung, berufliche E-Mail-Adresse, berufliche Telefonnummer der betroffenen
Personen
Persönliche Angaben, wie z. B. Name, private Anschrift, private Telefonnummer, private E-MailAdresse der betroffenen Personen
Angaben zu relevanten Sachverhalten
Daten zu strafrechtlichen Verurteilungen und Straftaten
in Einzelfällen besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1
DSGVO

Version: 1.0

2.2 Zweck der Datenverarbeitung(1) Heraeus möchte die Einhaltung von Recht und Gesetz sowie interner Richtlinien durch eine
angemessene Compliance-Organisation, geeignete Prozesse und Maßnahmen zur Prävention von undReaktion auf mögliche Regelverstöße sicherstellen. Zu diesen Maßnahmen zählen u.a. die Einführung
und der Betrieb eines Hinweisgebersystems.
(2) Heraeus unterliegt umfassenden gesetzlichen Aufsichts- und Compliance-Pflichten. Die
Implementierung des Hinweisgebersystems und damit einhergehenden Untersuchungs- undAufklärungsmaßnahmen dienen der Umsetzung dieser gesetzlichen Pflichten gemäß Art. 6 Abs. 1 lit. cDSGVO sowie der Verbesserung der Compliance-Strukturen durch Aufdeckung und Behebung vonSchwachstellen in der internen Compliance-Organisation.
(3) Heraeus verarbeitet die Daten der Hinweisgeber für die folgenden Untersuchungs- undAufklärungszwecke:





Prüfung der Plausibilität von Hinweisen
Aufklärung von Fehlverhalten
Verhinderung zukünftigen Fehlverhaltens
Untersuchungs- und Aufklärungsmaßnahmen zur Kompensation und Abwehr von drohenden
wirtschaftlichen oder sonstigen Schäden
Entlastung von Beschäftigten
Rechtsverteidigung: Geltendmachung, Verteidigung und Ausübung von Rechtsansprüchen

Diese Datenverarbeitungen können unter anderem für die Begründung, Durchführung oder Beendigung
des Arbeitsverhältnisses mit Mitarbeitern (Art. 6 Abs. 1 lit. b DSGVO) sowie zur Wahrung berechtigter
Interessen gemäß Art. 6 Abs. 1 lit. f DSGVO erforderlich sein.

2.3 Nutzung des Hinweisgebersystems(1) Die Nutzung des Hinweisgebersystems ist freiwillig. Welche Daten durch Heraeus verarbeitet
werden, hängt davon ab, welche Informationen durch den Hinweisgeber übermittelt werden (vgl. 2.1
Daten bzw. Datenkategorien.

2.4 Kategorien von Empfängern(1) Die von dem Hinweisgeber übermittelten Daten werden durch Heraeus bearbeitet. Es ist möglich,dass die vom Hinweisgeber übermittelten Daten durch andere Fachbereiche des Verantwortlichen oderaber auch andere Gesellschaften des Heraeus Konzerns eingesehen werden müssen, sofern dies zu
Sachverhaltsaufklärung notwendig ist.
(2) Heraeus ist dazu verpflichtet, die beschuldigten Personen darüber zu informieren, dass Heraeus
einen Hinweis zu seiner Person erhalten hat, sobald diese Information die Weiterverfolgung desHinweises nicht mehr gefährdet. Die Identität des Hinweisgebers wird dabei nicht offenbart.
(3) Heraeus wird die Ergebnisse von Untersuchungs- und Aufklärungsmaßnahmen möglicherweise,z.B. im Rahmen von strafrechtlichen Ermittlungsverfahren auch gegenüber öffentlichen Stellen
offenlegen. Dies betrifft etwa deutsche oder ausländische Staatsanwaltschaften, Gerichte oder sonstige
Behörden.
(4) Bei der Durchführung von Untersuchungs- und Aufklärungsmaßnahmen greift Heraeus
gegebenenfalls auch auf die Unterstützung von externen Dienstleistern, wie etwa Anwaltskanzleienoder Wirtschaftsprüfungsgesellschaften, zurück. Dabei wird durch geeignete Maßnahmen

Version: 1.0

sichergestellt, dass diese Dienstleister Ihre
datenschutzrechtlichen Vorgaben verarbeiten.

Daten

nur

imRahmen

dereinschlägigen

2.5 Kriterien für die Festlegung der Speicherdauer
Die Daten werden bis zu Erfüllung der oben genannten Zwecke bzw. bis zur abschließenden
Bearbeitung der Meldung des Hinweisgebers mit dem Hinweis auf compliance-relevante Sachverhalte
und im Rahmen der geltenden Gesetze erforderlich aufbewahrt. Dies kann je nach Komplexität desSachverhaltes und Dauer der Sachverhaltsaufklärung variieren.
Daten, aus denen keine Rechtsfolgen zu erwarten sind, werden unmittelbar nach Abschluss derBearbeitung der Meldung des Hinweisgebers gelöscht und aus denen Rechtsfolgen zu erwarten sind,bleiben erhalten, bis feststeht, dass keine Rechtsfolgen mehr zu erwarten sind.

2.6 Verwendung von Cookies(1) Die Kommunikation zwischen dem Endgerät des Hinweisgebers und dem Hinweisgebersystemerfolgt über eine verschlüsselte Verbindung.
(2) Zur Aufrechterhaltung der Verbindung mit dem Hinweisgebersystems wird ein Cookie auf dem
Rechner des Hinweisgebers gespeichert das eine Session-ID beinhaltet. Dieses Cookie ist bis zum
Ende der Session des Hinweisgebers gültig und wird danach gelöscht.
(3) Rechtsgrundlage für die Verwendung von Cookies, die für die technische Funktionsfähigkeit desHinweisgebersystems erforderlich sind, ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist
der nutzerorientierte und wirtschaftlich effiziente Betrieb unseres Meldeportals.

2.7 Verwendung von IP-Adressen
Der Software-Anbieter des Hinweisgebersystems, People Intouch B.V., (Olympisch Stadion 6, 1076 DEAmsterdam, Niederlande) nutzt Amazon Web Services– im Folgenden "AWS" genannt – als CloudService.
Jede Anfrage wird von AWS geloggt. Die Logs enthalten die IP-Adresse und werden entsprechend derLöschrichtlinie nach 90 Tagen automatisch gelöscht.
Weitere Datenschutzhinweise finden Sie in der People Intouch-Datenschutzerklärung unter
https://privacystatement.speakup.peopleintouch.com/

3Änderungen der Datenschutzhinweise(1) Wir behalten uns das Recht vor, die Datenschutzhinweise zu ändern, um sie an Änderungen derRechtslage oder an Änderungen unserer Dienste und Datenverarbeitung anzupassen. Dies gilt jedoch
nur für Richtlinien zur Datenverarbeitung.
(3) Die Hinweisgeber werden gebeten, sich regelmäßig mit dem Inhalt der Datenschutzhinweise vertrautzu machen.

Letzte Aktualisierung: 29.08.2023

Version: 1.0