Aufbewahrungs- und Löschrichtlinie für personenbezogene Daten

Zweck und Geltungsbereich

Diese Übersetzung dient der Information. Rechtlich verbindlich ist die türkische Fassung.

Diese Aufbewahrungs- und Löschrichtlinie für personenbezogene Daten ("Richtlinie") wurde von HC ORGANİZE TEKSTİL SAN. TİC. LTD. ŞTİ. ("Unternehmen") als Verantwortlichem erstellt, um unsere Pflichten aus dem Gesetz Nr. 6698 zum Schutz personenbezogener Daten ("Gesetz") und der als sekundäre Regelung des Gesetzes erlassenen Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten ("Verordnung") zu erfüllen und die betroffenen Personen über die Grundsätze zur Bestimmung der für den Verarbeitungszweck erforderlichen maximalen Aufbewahrungsdauer ihrer personenbezogenen Daten sowie über die Verfahren der Löschung, Vernichtung und Anonymisierung zu informieren.

Begriffsbestimmungen

• Ausdrückliche Einwilligung: Eine auf einen bestimmten Sachverhalt bezogene, auf Information beruhende und aus freiem Willen erklärte Einwilligung.
• Zuständiger Nutzer: Personen, die personenbezogene Daten innerhalb der Organisation des Verantwortlichen oder gemäß der vom Verantwortlichen erhaltenen Befugnis und Weisung verarbeiten, mit Ausnahme der Person oder Einheit, die für die technische Speicherung, den Schutz und die Sicherung der Daten verantwortlich ist.
• Vernichtung (İmha): Löschung, Vernichtung oder Anonymisierung personenbezogener Daten.
• Aufzeichnungsmedium: Jedes Medium, in dem sich personenbezogene Daten befinden, die ganz oder teilweise automatisiert oder, sofern sie Teil eines Datenaufzeichnungssystems sind, nicht automatisiert verarbeitet werden.
• Verarbeitung personenbezogener Daten: Jeder Vorgang an Daten, etwa Erlangung, Aufzeichnung, Speicherung, Aufbewahrung, Veränderung, Neuordnung, Offenlegung, Übermittlung, Übernahme, Verfügbarmachung, Klassifizierung oder Verhinderung der Nutzung personenbezogener Daten, der ganz oder teilweise automatisiert oder, sofern Teil eines Datenaufzeichnungssystems, nicht automatisiert erfolgt.
• Anonymisierung personenbezogener Daten: Personenbezogene Daten so zu verändern, dass sie auch durch Abgleich mit anderen Daten in keiner Weise einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.
• Löschung personenbezogener Daten: Personenbezogene Daten für die zuständigen Nutzer in keiner Weise zugänglich und nicht wiederverwendbar zu machen.
• Vernichtung personenbezogener Daten: Der Vorgang, personenbezogene Daten für niemanden in irgendeiner Weise zugänglich, wiederherstellbar und wiederverwendbar zu machen.
• Rat: Rat für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu).
• Periodische Vernichtung: Löschung, Vernichtung oder Anonymisierung, die von Amts wegen in wiederkehrenden, in der Aufbewahrungs- und Löschrichtlinie festgelegten Abständen durchgeführt wird, wenn alle im Gesetz genannten Bedingungen für die Verarbeitung personenbezogener Daten entfallen sind.
• Betroffene Person: Die natürliche Person, deren personenbezogene Daten verarbeitet werden.

Grundsätze

Bei der Aufbewahrung und Vernichtung personenbezogener Daten handelt das Unternehmen nach den folgenden Grundsätzen:

• Bei der Löschung, Vernichtung und Anonymisierung personenbezogener Daten wird vollständig im Einklang mit dem Gesetz, den einschlägigen Rechtsvorschriften, den Beschlüssen des Rates und dieser Richtlinie gehandelt.
• Alle Vorgänge im Zusammenhang mit der Löschung, Vernichtung und Anonymisierung personenbezogener Daten werden vom Unternehmen aufgezeichnet; diese Aufzeichnungen werden, vorbehaltlich anderer rechtlicher Pflichten, mindestens 5 (fünf) Jahre aufbewahrt.
• Sofern der Rat nichts anderes beschließt, wählen wir die geeignete Methode der Löschung, Vernichtung oder Anonymisierung personenbezogener Daten von Amts wegen aus. Auf Antrag der betroffenen Person wird die geeignete Methode jedoch unter Angabe der Gründe ausgewählt.
• Entfallen alle in den Artikeln 5 und 6 des Gesetzes genannten Bedingungen für die Verarbeitung personenbezogener Daten, werden die personenbezogenen Daten vom Unternehmen von Amts wegen oder auf Antrag der betroffenen Person gelöscht, vernichtet oder anonymisiert.

Wendet sich die betroffene Person in dieser Angelegenheit an das Unternehmen, werden die übermittelten Anträge spätestens innerhalb von 30 (dreißig) Tagen beantwortet; wurden die betreffenden Daten an Dritte übermittelt, wird dies dem Dritten mitgeteilt, an den die Daten übermittelt wurden, und die Durchführung der erforderlichen Maßnahmen beim Dritten sichergestellt.

Erläuterungen zu den Gründen für Aufbewahrung und Vernichtung

Die personenbezogenen Daten der betroffenen Personen werden vom Unternehmen insbesondere (1) zur Fortführung der Geschäftstätigkeit, (2) zur Erfüllung rechtlicher Pflichten und (3) zur Planung und Gewährung von Arbeitnehmerrechten und Nebenleistungen innerhalb der im Gesetz und in anderen einschlägigen Rechtsvorschriften festgelegten Grenzen aufbewahrt. Die Gründe, die eine Aufbewahrung erfordern, sind:

• Aufbewahrung personenbezogener Daten, weil sie in unmittelbarem Zusammenhang mit dem Abschluss und der Erfüllung von Verträgen stehen,
• Aufbewahrung personenbezogener Daten zur Begründung, Ausübung oder zum Schutz eines Rechts,
• Erforderlichkeit der Aufbewahrung personenbezogener Daten für die berechtigten Interessen des Unternehmens, sofern die Grundrechte und Grundfreiheiten der Personen nicht beeinträchtigt werden,
• Aufbewahrung personenbezogener Daten zur Erfüllung einer rechtlichen Pflicht des Unternehmens,
• Ausdrückliche Vorgabe der Aufbewahrung personenbezogener Daten in den Rechtsvorschriften,
• Vorliegen der ausdrücklichen Einwilligung der betroffenen Personen bei Aufbewahrungstätigkeiten, die eine ausdrückliche Einwilligung der betroffenen Personen erfordern.

Gemäß der Verordnung werden die personenbezogenen Daten der betroffenen Personen in den folgenden Fällen vom Unternehmen von Amts wegen oder auf Antrag gelöscht, vernichtet oder anonymisiert:

• Erforderlichkeit aufgrund der Änderung oder Aufhebung der einschlägigen Rechtsvorschriften, die Grundlage der Verarbeitung oder Aufbewahrung personenbezogener Daten sind,
• Wegfall des Zwecks, der die Verarbeitung oder Aufbewahrung personenbezogener Daten erfordert,
• Wegfall der in den Artikeln 5 und 6 des Gesetzes genannten Bedingungen, die die Verarbeitung personenbezogener Daten erfordern,
• Widerruf der Einwilligung durch die betroffene Person in Fällen, in denen die Verarbeitung personenbezogener Daten ausschließlich auf der Bedingung der ausdrücklichen Einwilligung beruht,
• Annahme des Antrags der betroffenen Person auf Löschung, Vernichtung oder Anonymisierung ihrer personenbezogenen Daten im Rahmen ihrer Rechte nach Artikel 11 des Gesetzes durch den Verantwortlichen,
• Beschwerde beim Rat und deren Anerkennung durch den Rat, wenn der Verantwortliche den Antrag der betroffenen Person auf Löschung, Vernichtung oder Anonymisierung ihrer personenbezogenen Daten ablehnt, seine Antwort als unzureichend befunden wird oder er nicht innerhalb der im Gesetz vorgesehenen Frist antwortet,
• Fehlen jeglicher Bedingung, die eine längere Aufbewahrung der personenbezogenen Daten rechtfertigen würde, obwohl die maximale Aufbewahrungsdauer abgelaufen ist.

Aufbewahrungs- und Vernichtungsfristen

Bei der Bestimmung der Aufbewahrungs- und Vernichtungsfristen Ihrer personenbezogenen Daten, die vom Unternehmen im Einklang mit dem Gesetz und anderen einschlägigen Rechtsvorschriften erlangt wurden, werden die nachfolgend in dieser Reihenfolge genannten Kriterien herangezogen:

1. Ist in den Rechtsvorschriften eine Frist für die Aufbewahrung der betreffenden personenbezogenen Daten vorgesehen, wird diese Frist eingehalten. Nach Ablauf dieser Frist wird mit den Daten gemäß dem folgenden Punkt verfahren.
2. Ist die in den Rechtsvorschriften für die Aufbewahrung der betreffenden personenbezogenen Daten vorgesehene Frist abgelaufen oder sehen die einschlägigen Rechtsvorschriften keine Frist vor, werden die personenbezogenen Daten anhand der Definition in Artikel 6 des Gesetzes in personenbezogene Daten und besondere Kategorien personenbezogener Daten eingeteilt. Alle als besondere Kategorie eingestuften personenbezogenen Daten werden vernichtet. Die bei der Vernichtung dieser Daten anzuwendende Methode richtet sich nach der Art der Daten und der Bedeutung ihrer Aufbewahrung für das Unternehmen.
3. Es wird geprüft, ob die Aufbewahrung der Daten den in Artikel 4 des Gesetzes genannten Grundsätzen entspricht, etwa ob das Unternehmen einen berechtigten Zweck für die Aufbewahrung hat. Daten, deren Aufbewahrung gegen die Grundsätze des Artikels 4 des Gesetzes verstoßen könnte, werden gelöscht, vernichtet oder anonymisiert.
4. Es wird bestimmt, unter welche der in den Artikeln 5 und 6 des Gesetzes vorgesehenen Ausnahmen die Aufbewahrung der Daten fällt. Im Rahmen der festgestellten Ausnahmen werden die angemessenen Fristen bestimmt, für die die Daten aufzubewahren sind. Nach Ablauf dieser Fristen werden die Daten gelöscht, vernichtet oder anonymisiert.

Die vom Unternehmen festgelegten Aufbewahrungs-, Vernichtungs- und periodischen Vernichtungsfristen finden Sie im Anhang dieser Richtlinie. Personenbezogene Daten, deren Aufbewahrungsfrist abgelaufen ist, werden im Rahmen der im Anhang dieser Richtlinie genannten Vernichtungsfristen in Abständen von 6 (sechs) Monaten gemäß den in dieser Richtlinie beschriebenen Verfahren anonymisiert oder vernichtet. Alle Vorgänge im Zusammenhang mit der Löschung, Vernichtung und Anonymisierung personenbezogener Daten werden aufgezeichnet; diese Aufzeichnungen werden, vorbehaltlich anderer rechtlicher Pflichten, mindestens 5 (fünf) Jahre aufbewahrt.

Verfahren sowie technische und organisatorische Maßnahmen zur Aufbewahrung und Vernichtung personenbezogener Daten

Personenbezogene Daten, die erhoben werden, soweit ihre Verarbeitung erforderlich ist für die Erfüllung der Pflichten, die unserem Unternehmen im Rahmen der Beschäftigung obliegen, die Begründung eines Rechts, sofern die Datenverarbeitung dafür zwingend ist, damit Sie Kundenservice, Verbraucherrechte und sonstige Möglichkeiten in Anspruch nehmen können und/oder die damit verbundenen kaufmännischen, finanziellen und rechtlichen Verantwortlichkeiten und Pflichten erfüllt werden können, für die Gewährleistung der Sicherheit unseres Unternehmens oder für die berechtigten Zwecke unseres Unternehmens, werden in das System eingegeben. Darüber hinaus werden alle in digitaler Form aufbewahrten Daten auf dem Server in der Zentrale des Unternehmens gespeichert.

Alle organisatorischen und technischen Maßnahmen, die das Unternehmen im Rahmen der Grundsätze des Artikels 12 des Gesetzes getroffen hat, um Ihre personenbezogenen Daten sicher aufzubewahren, ihre rechtswidrige Verarbeitung und den rechtswidrigen Zugriff darauf zu verhindern und die Daten rechtmäßig zu vernichten, sind nachfolgend aufgeführt.

Organisatorische Maßnahmen

Im Rahmen der organisatorischen Maßnahmen

• beschränkt das Unternehmen den internen Zugriff auf gespeicherte personenbezogene Daten auf das Personal, das aufgrund seiner Aufgabenbeschreibung Zugriff benötigt. Bei der Beschränkung des Zugriffs werden auch berücksichtigt, ob es sich um Daten besonderer Kategorien handelt, sowie deren Bedeutung.
• meldet es, falls verarbeitete personenbezogene Daten auf rechtswidrigem Wege von Dritten erlangt werden, dies schnellstmöglich der betroffenen Person und dem Rat.
• stellt es im Zusammenhang mit der Weitergabe personenbezogener Daten die Datensicherheit sicher, indem es mit den Empfängern der personenbezogenen Daten Rahmenverträge zum Schutz personenbezogener Daten und zur Datensicherheit abschließt oder entsprechende Bestimmungen in bestehende Verträge aufnimmt.
• beschäftigt es sachkundiges und erfahrenes Personal für die Verarbeitung personenbezogener Daten und schult sein Personal in Bezug auf die Datenschutzvorschriften und die Datensicherheit.
• führt es die erforderlichen Prüfungen durch oder lässt sie durchführen, um die Anwendung der gesetzlichen Bestimmungen innerhalb seiner juristischen Person sicherzustellen, und behebt die bei den Prüfungen festgestellten Schwachstellen in Vertraulichkeit und Sicherheit.
• sorgt es dafür, dass je nach Umgebung, in der sich die personenbezogenen Daten befinden, ausreichende Sicherheitsvorkehrungen (gegen Leckstrom, Brand, Überschwemmung, Diebstahl usw.) getroffen werden, und verhindert unbefugten Zutritt zu diesen Umgebungen.

Technische Maßnahmen

Im Rahmen der technischen Maßnahmen

• führt das Unternehmen die erforderlichen internen Kontrollen im Rahmen der eingerichteten Systeme durch.
• führt es im Rahmen der eingerichteten Systeme IT-Risikobewertungen und Business-Impact-Analysen durch.
• stellt es die technische Infrastruktur bereit, die das Abfließen von Daten nach außen verhindert oder überwacht, und erstellt die entsprechenden Matrizen.
• lässt es regelmäßig und bei Bedarf Penetrationstests durchführen, um Systemschwachstellen zu kontrollieren.
• hält es die Zugriffsrechte der Mitarbeitenden der IT-Abteilungen auf personenbezogene Daten unter Kontrolle.
• stellt es sicher, dass die Vernichtung personenbezogener Daten unwiederbringlich und ohne Prüfspuren erfolgt.
• schützt es gemäß Artikel 12 des Gesetzes alle digitalen Medien, in denen personenbezogene Daten gespeichert sind, mit Verschlüsselung oder kryptografischen Verfahren, die den Anforderungen der Informationssicherheit genügen.
• stellt es sicher, dass alle Vorgänge an personenbezogenen Daten besonderer Kategorien sicher protokolliert werden.
• verfolgt es laufend die Sicherheitsupdates der Umgebungen, in denen sich die Daten befinden, und lässt regelmäßig die erforderlichen Sicherheitstests durchführen.
• nimmt es, wenn auf personenbezogene Daten besonderer Kategorien über eine Software zugegriffen wird, die Benutzerberechtigungen dieser Software vor und lässt regelmäßig Sicherheitstests dieser Software durchführen.
• stellt es, wenn ein Fernzugriff auf personenbezogene Daten besonderer Kategorien erforderlich ist, mindestens eine Zwei-Faktor-Authentifizierung bereit.

Bei der Übermittlung personenbezogener Daten besonderer Kategorien stellt das Unternehmen sicher, dass

• die Daten, falls sie per E-Mail übermittelt werden müssen, verschlüsselt über die Unternehmens-E-Mail-Adresse oder über ein KEP-Konto (registrierte elektronische Post) übermittelt werden,
• die Daten, falls sie über Medien wie USB-Sticks, CDs oder DVDs übermittelt werden müssen, mit kryptografischen Verfahren verschlüsselt werden,
• die Übermittlung zwischen Servern in unterschiedlichen physischen Umgebungen über ein VPN zwischen den Servern oder per SFTP erfolgt,
• die Unterlagen, falls die Daten in Papierform übermittelt werden müssen, im Format "vertrauliche Dokumente" versandt werden.

Aufgaben und Befugnisse des Ausschusses zum Schutz personenbezogener Daten

Der Ausschuss zum Schutz personenbezogener Daten ist dafür verantwortlich, die Richtlinie den betreffenden Geschäftsbereichen bekannt zu geben und die Umsetzung ihrer Anforderungen zu verfolgen. Der Ausschuss zum Schutz personenbezogener Daten gibt die erforderlichen Bekanntmachungen und Mitteilungen heraus, damit die betreffenden Geschäftsbereiche Änderungen der Datenschutzvorschriften, Regelungen und Beschlüsse des Rates, Gerichtsentscheidungen oder Änderungen an Prozessen, Anwendungen und Systemen verfolgen und ihre Geschäftsprozesse bei Bedarf aktualisieren; er legt die Prozesse zur Prüfung, Bewertung, Verfolgung und Erledigung des Gesetzes und seiner sekundären Regelungen, der Beschlüsse und Regelungen des Rates, der Gerichtsentscheidungen sowie der Entscheidungen und/oder Anfragen sonstiger zuständiger Behörden fest und teilt sie den betreffenden Einheiten mit.

Inkrafttreten der Richtlinie, Verstöße und Sanktionen

Diese Richtlinie tritt mit ihrer Bekanntgabe an alle Mitarbeitenden in Kraft und ist ab ihrem Inkrafttreten für alle Geschäftsbereiche, Berater, externe Dienstleister und alle Personen, die personenbezogene Daten verarbeiten, verbindlich.

Die Überwachung, ob die Mitarbeitenden die Anforderungen der Richtlinie erfüllen, liegt in der Verantwortung der jeweiligen Vorgesetzten. Wird ein Verstoß gegen die Richtlinie festgestellt, meldet der Vorgesetzte der betreffenden Person den Sachverhalt unverzüglich dem nächsthöheren Vorgesetzten. Ist der Verstoß erheblich, informiert der höhere Vorgesetzte unverzüglich den Ausschuss zum Schutz personenbezogener Daten.

Gegen Mitarbeitende, die gegen die Richtlinie verstoßen, werden nach einer Bewertung durch die Personalabteilung die erforderlichen administrativen Maßnahmen ergriffen.

ANHANG 1: Tabelle der Aufbewahrungs- und Vernichtungsfristen für personenbezogene Daten

Personenbezogene Daten werden unter Berücksichtigung der in den einschlägigen Artikeln der Richtlinie genannten Punkte für die in der folgenden Tabelle angegebenen Fristen aufbewahrt und nach Ablauf der Frist anonymisiert oder vernichtet:

Ist der Zweck, zu dem das Unternehmen die betreffenden personenbezogenen Daten verwendet, noch nicht entfallen, ist die in den einschlägigen Rechtsvorschriften für diese Daten vorgesehene Aufbewahrungsfrist länger als die in der Tabelle genannten Fristen oder erfordert die Verjährungsfrist in der betreffenden Angelegenheit eine längere Aufbewahrung der Daten als in der Tabelle angegeben, können die in der Tabelle genannten Fristen unangewendet bleiben. In diesem Fall gilt diejenige Frist, die zuletzt endet: der Verwendungszweck, die besonderen Rechtsvorschriften oder die Verjährungsfrist.

Antrag der betroffenen Person

Um Ihre Rechte nach dem KVKK auszuüben, können Sie das Antragsformular für betroffene Personen bei der Personalabteilung unseres Unternehmens anfordern; das ausgefüllte Formular können Sie schriftlich an unsere Unternehmensadresse oder per E-Mail an ik@hcorganize.com senden. Anträge werden spätestens innerhalb von 30 Tagen unentgeltlich abgeschlossen.