Interne Meldung (Whistleblowing)

Datenverantwortlicher
Die jeweilige Einheit der LFB Group fungiert nach Eingang des internen Berichts als Datenverantwortliche nach der Definition der Datenschutz-Grundverordnung (DSGVO).

Zweck der Verarbeitung
Wir verarbeiten Ihre personenbezogenen Daten zu folgendem Zweck: Erhebung und Verarbeitung bei internem Whistleblowing, um dem deutschen Hinweisgeberschutzgesetz zu entsprechen: HinSchG (https://www.recht.bund.de/bgbl/1/2023/140/VO.html).

Rechtsgrundlage
Wir können Ihre personenbezogenen Daten nur im rechtmäßigen Rahmen verarbeiten. Die Verarbeitung ist nur dann rechtmäßig, wenn sie auf einer der gesetzlichen Grundlagen aus dem anwendbaren Gesetz basiert (DSGVO).

Die Verarbeitung Ihrer personenbezogenen Daten basiert auf folgenden Rechtsgrundlagen:
– Gesetzliche Pflicht (französisches Gesetz Sapin II und Waserman) für LFB-Einheiten, die diesen Gesetzen unterliegen (z. B. LFB BIOMEDICAMENTS / LFB BIOTECHNOLOGIES / LFB BIOMANUFACTURING).
– Legitimes Interesse: Beispielsweise haben die LFB SA und LFB GLOBAL PLASMA ein legitimes Interesse an der Verarbeitung Ihrer Daten zum Zwecke der Umsetzung eines Whistleblowing-Systems, das für alle Einheiten von LFB gleich ist. Dieses System beinhaltet die Verarbeitung Ihrer personenbezogenen Daten. Das legitime Interesse, das wir verfolgen, wird gegen Ihre Interessen, Freiheiten und Grundrechte abgewogen, die den Schutz personenbezogener Daten erforderlich machen. Sie können Informationen über diese Abwägung erhalten, indem Sie sich mithilfe der unten angegebenen Kontaktdaten an uns wenden.
In geringfügigem Ausmaß und je nach Art der Meldung und der entsprechenden internen Untersuchungen kann es sein, dass wir im Zusammenhang dieser Prozesse Gesundheitsdaten verarbeiten müssen, bei denen es sich um sensible Daten handelt.
Die Verarbeitung Ihrer Gesundheitsdaten basiert auf folgender Rechtsgrundlage: Artikel 9 Abs. 2f der DSGVO – die Verarbeitung ist zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (…) erforderlich.
Ähnlich können Daten bezüglich Straftaten, Verurteilungen und Sicherungsmaßregeln unter den Bedingungen aus Artikel 10 der DSGVO sowie Artikel 46 Punkt 3 des französischen Datenschutzgesetzes verarbeitet werden.

Betroffene Person / Datensubjekt
Die Verarbeitung personenbezogener Daten betrifft folgende Personen:
– den Verfasser des Berichts (auch Whistleblower oder Hinweisgeber),
– den/die Befragte(n),
– den/die Zeugen/die Zeugin.

Kategorien entsprechender personenbezogener Daten
Folgende Kategorien personenbezogener Daten sind von der Verarbeitung betroffen:
– Identität, Position und Kontaktdaten der Person, die den Vorfall meldete,
– Identität, Funktion und Kontaktdaten des/der Befragten,
– Identität, Funktion und Kontaktdaten von Zeugen,
– Identität, Funktion und Kontaktdaten von Personen, die an der Erhebung oder Bearbeitung des Berichts beteiligt sind.
Information, die im Zusammenhang mit der Prüfung berichteter Fakten gesammelt werden:
– Berichte, Inhalt der Untersuchung,
– Nachverfolgung des Berichts.

Quelle der personenbezogenen Daten
Personenbezogene Daten stammen:
– direkt von Ihnen,
– aus anderen Quellen, wie von Whistleblowern, befragten Personen, Zeugen.

Pflicht zur Bereitstellung Ihrer personenbezogenen Daten
Die Verarbeitung Ihrer personenbezogenen Daten ist notwendig für o. g. Verfahren. Ohne diese Daten könnte der Bericht nicht bearbeitet werden und die entsprechenden Untersuchungen wären nicht möglich.

Empfänger personenbezogener Daten
Nur Personen, die kraft ihrer Aufgaben oder Funktionen befugt sind, haben Zugang zu den verarbeiteten personenbezogenen Daten.
Je nach Bedarf empfangen folgende Personen alle oder Teile der personenbezogenen Daten:
– Prüfer, die für die Bearbeitung der Meldung zuständig sind,
– Entscheidungsträger (Leitung der Rechts- und Compliance-Abteilung und/oder Leitung der Personalabteilung)
– Mitarbeiter, die die internen Untersuchungen unterstützen können (z. B. EDV-Abteilung, wenn E-Mails gesucht werden). Bitte beachten Sie, dass nur die Daten, die zur Unterstützung erforderlich sind, kommuniziert werden.
– unsere Dienstleister, die als Unterauftragnehmer für uns tätig sind (innerhalb des zur Erfüllung der Arbeit, mit der wir sie betraut haben, erforderlichen Ausmaßes). Dazu kann beispielsweise unser Daten-Host gehören.
Sollten personenbezogene Daten einem Unterauftragnehmer anvertraut werden, wird mit diesem Unterauftragnehmer eine Vereinbarung getroffen, um sicherzustellen und zu garantieren, dass die personenbezogenen Daten in Übereinstimmung mit unseren Anweisungen verarbeitet werden und dass angemessene technische und organisatorische Maßnahmen zu deren Schutz ergriffen werden.
– öffentliche Ämter, Regierungsbehörden …

Datenübertragung außerhalb der Europäischen Union
Ihre personenbezogenen Daten werden in der Europäischen Union verarbeitet, können aber auch in Länder außerhalb der Europäischen Union übertragen werden. Wir übertragen Ihre Daten in Länder mit einem mit dem in der Europäischen Union vergleichbaren Schutzstandard.
Wenn wir Ihre Daten in Länder übertragen, die keinen ähnlichen Grad des Datenschutzes bieten wie hier die Europäische Union, dann geben wir angemessene technische und juristische Garantien zum Schutz Ihrer Daten vor Zugriff, Gebrauch oder nicht berechtigter Offenlegung.

Aufbewahrungsdauer der personenbezogenen Daten
Ihre personenbezogenen Daten werden unterschiedlich lange aufbewahrt, je nach Ergebnis des Berichts:
Die Daten werden vernichtet oder anonymisiert:
– unverzüglich, wenn die Meldung von diesem Verfahren nicht betroffen ist,
– innerhalb von 2 Monaten nach Abschluss der Prüfung, wenn die Meldung keine weiteren Konsequenzen nach sich zieht,
– zum Ende des Verfahrens oder zur Verjährungsfrist bei Widerspruch gegen die Entscheidung und Einleitung disziplinarischer oder rechtlicher Schritte.
In bestimmten Fällen kann LFB die gesammelten Daten für eine längere Zeit aufbewahren, um den Schutz des Whistleblowers zu gewährleisten oder um die Beobachtung weiterer Vergehen zu ermöglichen. In diesem Fall wird diese verlängerte Aufbewahrungsfrist den betroffenen Personen mitgeteilt.
Sobald die Aufbewahrungsfrist abgelaufen ist, werden personenbezogene Daten entweder vernichtet oder anonymisiert. Im letzteren Fall bedeutet dies, dass es danach unmöglich sein wird, Sie aus diesen Daten zu identifizieren.

Sicherheit
Wir ergreifen technische und organisatorische Maßnahmen zum Schutz Ihrer personenbezogenen Daten. Wir unternehmen vertretbare Schritte zum Schutz Ihrer Daten vor Verlust, Missbrauch, nicht autorisiertem Zugriff, Offenlegung, Modifizierung oder Vernichtung.

Ihre Rechte
Unter den Bedingungen und Einschränkungen der anwendbaren Bestimmungen haben Sie folgende Rechte:
– Auskunftsrecht: Sie können Zugriff auf die personenbezogenen Daten bekommen, die wir über Sie haben.
– Recht auf Berichtigung: Sie können uns auffordern, Daten zu korrigieren, die unrichtig oder unvollständig sind.
– Recht auf Löschung („Recht auf Vergessenwerden“): Sie haben unter bestimmten Bedingungen die Möglichkeit, die Löschung der personenbezogenen Daten, die wir über Sie haben, zu verlangen. Allerdings haben wir die Möglichkeit, Ihrem Verlangen nicht zu entsprechen, insbesondere wenn wir Ihre personenbezogenen Daten zur Erfüllung einer rechtlichen Pflicht benötigen.
– Recht auf Einschränkung der Verarbeitung, insbesondere im Falle Ihres Widerspruchs gegen die Richtigkeit der personenbezogenen Daten, die wir über Sie haben.
– Widerspruchsrecht: Sie können aus Gründen Ihrer speziellen Situation und unter bestimmten Bedingungen der Verarbeitung Ihrer Daten widersprechen.
Unter bestimmten Umständen sind wir nicht in der Lage, auf Ihre Anfrage zu reagieren, wenn Sie von Ihren Rechten Gebrauch machen wollen. In solchen Fällen erklären wir den Grund für die Ablehnung.

Kontakt und Reklamation
Um o. g. Rechte geltend zu machen, oder bei irgendwelchen Fragen über personenbezogene Daten wenden Sie sich mit Ihrer Anfrage bitte an den Datenschutzbeauftragten der LFB Group, vorzugsweise per E-Mail: privacy@lfb.fr oder per Post an folgende Adresse: LFB BIOMEDICAMENTS, Data Protection Officer, Legal Affairs and Compliance Department, ZA de Courtabœuf, 3 avenue des Tropiques, 91940 LES ULIS – Frankreich.
Wenn betroffenen Personen nach ihrer Kontaktaufnahme zu uns über die obigen Kontaktdaten der Ansicht sind, ihre Rechte würden nicht respektiert, oder dass die Datenverarbeitung nicht den Datenschutzvorschriften entspreche, dann können sie bei einer Aufsichtsbehörde Beschwerde einreichen, insbesondere bei der des Mitgliedsstaats, in dem sie Ihren regulären Wohnsitz haben oder arbeiten, oder in dem sie einen Bruch der Vorschriften vermuten.

Version: 10.12.2025