Das Verwaltungsgericht Bayreuth hat sich mit der Frage befasst, ob ein Unternehmen gemäß Art. 15 DS-GVO Auskunft über die Identität eines Hinweisgebers verlangen kann. Die Klägerin, ein Betreiber eines Webshops für medizinische Produkte, hatte von einer Behörde erfahren, dass ein Hinweisgeber gemeldet habe, das Unternehmen vertreibe nicht korrekt gekennzeichnete oder nicht zertifizierte Medizinprodukte. Infolge dieser Meldung leitete die zuständige Aufsichtsbehörde ein Verfahren ein. Das Unternehmen passte daraufhin seine Produktbeschreibungen an, woraufhin das Verfahren eingestellt wurde.

Anschließend forderte das Unternehmen die Behörde auf, die Identität des Hinweisgebers offenzulegen, um mögliche rechtliche Schritte gegen ihn einzuleiten. Die Behörde verweigerte dies jedoch unter Berufung auf den Schutz der Hinweisgeberrechte und stellte lediglich eine geschwärzte Version der ursprünglichen Meldung zur Verfügung. Daraufhin klagte das Unternehmen auf vollständige Offenlegung.

Das Urteil: Schutz der Hinweisgeber überwiegt

Das Gericht entschied, dass das Unternehmen keinen Anspruch auf die Identität der hinweisgebenden natürlichen Person hat. Die Offenlegung dieser Daten würde das Recht auf Achtung des Privatlebens (Art. 7 GRCh) sowie den Schutz personenbezogener Daten (Art. 8 GRCh) verletzen. Die DSGVO dient primär dem Schutz natürlicher Personen und nicht der Offenlegung von Daten, die eine potenzielle Vergeltung oder Einschüchterung von Hinweisgebern ermöglichen könnten.

Allerdings wurde klargestellt, dass sich der Schutz des Hinweisgebers nicht auf juristische Personen erstreckt. Da die Meldung nicht von einer Einzelperson, sondern im Namen eines Unternehmens abgegeben wurde, hat die Klägerin das Recht, den Namen dieses Unternehmens zu erfahren.

Falsche oder leichtfertige Meldungen – Ausnahme vom Schutz

Eine zentrale Ausnahme, die das Gericht in seinem Urteil betont, betrifft bewusst falsche oder grob fahrlässig abgegebene Meldungen. Sollte ein Hinweisgeber wider besseres Wissen oder aufgrund grober Fahrlässigkeit falsche Angaben über eine Person oder ein Unternehmen machen, kann sein Recht auf Geheimhaltung entfallen. In solchen Fällen könnte die betroffene Person einen Anspruch auf Offenlegung der Identität des Hinweisgebers haben, um sich rechtlich gegen Verleumdung oder andere Schäden zu wehren.

Im vorliegenden Fall sah das Gericht jedoch keine Anhaltspunkte für eine falsche oder leichtfertige Meldung. Vielmehr hatte die Klägerin selbst auf den Hinweis reagiert und ihre Produktdarstellung geändert. Dies deutete darauf hin, dass der Hinweis zumindest berechtigt oder nicht unbegründet war. Eine Offenlegung der Identität des Hinweisgebers war daher nicht erforderlich.

Fazit Das Urteil stärkt den Schutz von Hinweisgebern und stellt klar, dass deren Identität nur offengelegt werden darf, wenn nachweislich wissentlich falsche oder fahrlässig unrichtige Angaben gemacht wurden. Für Unternehmen bedeutet dies, dass sie sich in der Regel nicht auf das Auskunftsrecht der DSGVO berufen können, um die Identität eines Hinweisgebers offenzulegen. Juristische Personen hingegen genießen diesen Schutz nicht, sodass in diesem Fall der Name des hinweisgebenden Unternehmens preisgegeben werden musste.