Die deutsche Datenschutzkonferenz hat am 14. November 2018 eine Orientierungshilfe zu Whistleblowing veröffentlicht. Als Rechtsgrundlage kommt demnach eine gesetzliche Pflicht i.S.v. Art. 6 Abs. 1 lit. c DSGVO in Betracht, darüber hinaus aber auch ein berechtigtes Interesse; jedoch nur mit Bezug auf Angaben zu Verstössen gegen anwendbares Recht oder Menschenrechte. Bei Verstössen gegen unternehmensinterne Ethikregeln sei dagegen davon auszugehen, dass i.d.R. die Interessen der betroffenen Mitarbeiter überwiegen und Art. 6 Abs. 1 lit. f DSGVO insoweit keine Rechtsgrundlage darstellt.