Unsere GDPR-Richtlinie

2.1.1. Rechtmäßigkeit und Verarbeitung nach Treu und Glauben

Das Unternehmen verarbeitet personenbezogene Daten, die durch die Verfassung der Republik Türkiye geschützt sind, im Rahmen der einschlägigen Gesetze sowie der aufgrund dieser Gesetze erlassenen und künftig zu erlassenden Vorschriften rechtmäßig und nach Treu und Glauben.

Richtigkeit und erforderlichenfalls Aktualität

Das Unternehmen trifft größtmögliche Maßnahmen zur Gewährleistung der Richtigkeit der verarbeiteten personenbezogenen Daten, berichtigt etwaige Fehler und nimmt erforderliche Aktualisierungen vor, wenn sich verarbeitete personenbezogene Daten ändern.

2.1.3. Verarbeitung zu bestimmten, eindeutigen und legitimen Zwecken

Das Unternehmen verarbeitet personenbezogene Daten zu bestimmten, eindeutigen und legitimen Zwecken in der vom Gesetz zum Schutz personenbezogener Daten vorgesehenen Weise, um Verpflichtungen und Zusagen innerhalb des Rahmens seiner Zwecke und Tätigkeiten zu erfüllen.

Bezogenheit auf den Zweck, Beschränkung und Verhältnismäßigkeit

Das Unternehmen verarbeitet nur diejenigen personenbezogenen Daten, die für die Erfüllung seiner Zwecke und im Rahmen seiner Tätigkeiten erforderlich sind; personenbezogene Daten außerhalb des Zwecks und Tätigkeitsbereichs werden nicht verarbeitet.

2.1.5. Aufbewahrung für den in der einschlägigen Gesetzgebung vorgesehenen oder für den Verarbeitungszweck erforderlichen Zeitraum

Vom Unternehmen verarbeitete personenbezogene Daten werden für die in den einschlägigen Gesetzen und Vorschriften vorgesehenen Zeiträume sowie, auf die Verarbeitungszwecke beschränkt, für die erforderliche Dauer aufbewahrt. In diesem Zusammenhang stellt unser Unternehmen zunächst fest, ob in den einschlägigen Vorschriften eine Aufbewahrungsfrist vorgesehen ist; ist eine Frist festgelegt, wird entsprechend verfahren. Besteht keine gesetzliche Frist, werden personenbezogene Daten für den zur Erreichung des Verarbeitungszwecks erforderlichen Zeitraum gespeichert. Nach Ablauf der festgelegten Fristen werden personenbezogene Daten entsprechend den periodischen Vernichtungsfristen oder auf Antrag der betroffenen Person unter Anwendung der festgelegten Vernichtungsmethoden (Löschung und/oder Vernichtung und/oder Anonymisierung) vernichtet.

3.1. Ausdrückliche gesetzliche Regelung

Wenn sowohl im Gesetz zum Schutz personenbezogener Daten und den einschlägigen Vorschriften als auch in anderen Gesetzen und Regelungen ausdrücklich vorgesehen ist, können personenbezogene Daten auch ohne Einwilligung der betroffenen Person verarbeitet werden. In solchen Fällen verarbeitet das Unternehmen personenbezogene Daten auch ohne ausdrückliche Einwilligung.

Wenn die Verarbeitung zwingend erforderlich ist, um das Leben oder die körperliche Unversehrtheit einer Person zu schützen, die aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder deren Einwilligung rechtlich nicht wirksam ist

Ist die Verarbeitung personenbezogener Daten zwingend erforderlich, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder einer anderen Person zu schützen, und kann die betreffende Person aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären oder kann ihrer Einwilligung keine rechtliche Wirksamkeit zuerkannt werden, dürfen personenbezogene Daten unserer Beschäftigten verarbeitet werden.

3.3. Unmittelbarer Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags

Ist die Verarbeitung personenbezogener Daten erforderlich, sofern sie in unmittelbarem Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags steht, dessen Partei unsere Beschäftigten sind, gilt diese Voraussetzung als erfüllt.

3.4. Erfüllung einer rechtlichen Verpflichtung des Unternehmens

Ist die Datenverarbeitung zur Erfüllung rechtlicher Verpflichtungen unseres Unternehmens erforderlich, können personenbezogene Daten unserer Beschäftigten verarbeitet werden.

3.5. Offenlegung der personenbezogenen Daten durch unsere Beschäftigten

Haben unsere Beschäftigten ihre personenbezogenen Daten selbst öffentlich gemacht, können diese Daten beschränkt auf den Zweck der Offenlegung verarbeitet werden.

3.6. Erforderlichkeit der Datenverarbeitung zur Begründung oder Wahrung eines Rechts

Ist die Datenverarbeitung zur Begründung, Ausübung oder Wahrung eines Rechts erforderlich, können personenbezogene Daten unserer Beschäftigten verarbeitet werden.

3.7. Erforderlichkeit der Datenverarbeitung für das berechtigte Interesse unseres Unternehmens

Soweit die Grundrechte und Grundfreiheiten unserer Beschäftigten nicht beeinträchtigt werden, können personenbezogene Daten verarbeitet werden, wenn dies für die berechtigten Interessen unseres Unternehmens erforderlich ist.

7.1. Übermittlung personenbezogener Daten

Auch ohne ausdrückliche Einwilligung unserer Beschäftigten können personenbezogene Daten vom Unternehmen mit der gebotenen Sorgfalt und unter Ergreifung aller erforderlichen Sicherheitsmaßnahmen einschließlich der von der Behörde vorgesehenen Methoden an Dritte übermittelt werden, wenn eine oder mehrere der folgenden Voraussetzungen vorliegen:

• Die einschlägige Tätigkeit zur Übermittlung personenbezogener Daten ist ausdrücklich gesetzlich vorgesehen,
• die Übermittlung ist unmittelbar mit dem Abschluss oder der Erfüllung eines Vertrags durch das Unternehmen verbunden und hierfür erforderlich,
• die Übermittlung ist erforderlich, damit unser Unternehmen eine rechtliche Verpflichtung erfüllen kann,
• die personenbezogenen Daten wurden von unseren Beschäftigten öffentlich gemacht und werden vom Unternehmen auf den Zweck der Offenlegung beschränkt übermittelt,
• die Übermittlung ist zur Begründung, Ausübung oder Wahrung der Rechte des Unternehmens, der betroffenen Person oder Dritter erforderlich,
• die Übermittlung ist für berechtigte Interessen des Unternehmens erforderlich, sofern die Grundrechte und Grundfreiheiten unserer Beschäftigten nicht beeinträchtigt werden,
• sie ist zwingend erforderlich, um das Leben oder die körperliche Unversehrtheit einer Person zu schützen, die aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder deren Einwilligung rechtlich nicht wirksam ist.

Sollen personenbezogene Daten ins Ausland übermittelt werden, so übermittelt unser Unternehmen diese zusätzlich zu den oben genannten Voraussetzungen in Länder, die von der Behörde als Länder mit angemessenem Schutzniveau bekannt gegeben wurden („Länder mit angemessenem Schutz“), oder, wenn kein angemessener Schutz besteht, in Länder, in denen die Verantwortlichen in Türkiye und im betreffenden Ausland schriftlich einen angemessenen Schutz zusichern und die Zustimmung der Behörde vorliegt („Länder mit einem Verantwortlichen, der angemessenen Schutz zusichert“).

7.2. Übermittlung besonderer Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten können von unserem Unternehmen unter Beachtung der in dieser Richtlinie festgelegten Grundsätze, unter Ergreifung aller erforderlichen administrativen und technischen Maßnahmen einschließlich der von der Behörde festgelegten Methoden und bei Vorliegen der folgenden Voraussetzungen übermittelt werden:

• Besondere Kategorien personenbezogener Daten mit Ausnahme von Gesundheits- und Sexualdaten können ohne ausdrückliche Einwilligung unserer Beschäftigten übermittelt werden, wenn ihre Verarbeitung in Gesetzen ausdrücklich vorgesehen ist; andernfalls wird die ausdrückliche Einwilligung eingeholt.
• Besondere Kategorien personenbezogener Daten in Bezug auf Gesundheit und Sexualleben können ohne ausdrückliche Einwilligung durch Personen oder befugte Einrichtungen, die der Geheimhaltungspflicht unterliegen, zum Schutz der öffentlichen Gesundheit, zur Präventivmedizin, medizinischen Diagnose, Behandlung und Pflege sowie zur Planung und Verwaltung von Gesundheitsdiensten und deren Finanzierung übermittelt werden; andernfalls wird die ausdrückliche Einwilligung eingeholt.

Werden besondere Kategorien personenbezogener Daten ins Ausland übermittelt, erfolgt die Übermittlung zusätzlich zu den obigen Voraussetzungen in Länder mit angemessenem Schutz oder in Länder mit einem Verantwortlichen, der angemessenen Schutz zusichert.

Administrative Maßnahmen

• Das Unternehmen beschäftigt Personal mit Wissen und Erfahrung im Bereich der Verarbeitung personenbezogener Daten und schult seine Mitarbeiter im Rahmen der Datenschutzgesetzgebung und Datensicherheit.
• Das Unternehmen hat Unternehmensrichtlinien zu Zugang, Informationssicherheit, Nutzung, Aufbewahrung und Vernichtung erstellt und umgesetzt.
• Das Unternehmen gestaltet und implementiert unternehmensintern Zugangs- und Berechtigungsprozesse für personenbezogene Daten im Einklang mit den rechtlichen Compliance-Anforderungen auf Ebene der Geschäftseinheiten.
• Das Unternehmen setzt bei Bedarf Datenmaskierung ein.
• Das Unternehmen hat in sämtliche Dokumente mit personenbezogenen Daten, die das Verhältnis zum Personal regeln, Bestimmungen aufgenommen, wonach die gesetzlichen Verpflichtungen nach dem Datenschutzgesetz einzuhalten, personenbezogene Daten nicht offenzulegen und nicht rechtswidrig zu verwenden sind; diese Vertraulichkeitspflicht gilt auch nach Beendigung des Arbeitsverhältnisses fort, und Verstöße können Sanktionen bis hin zur Kündigung nach sich ziehen.
• Das Unternehmen kann personenbezogene Daten, die im Zusammenhang mit den geschäftlichen Tätigkeiten der Beschäftigten verarbeitet werden, auch für andere rechtmäßige Zwecke gemäß Artikel 5 des Gesetzes und den Grundsätzen des Artikels 4 verarbeiten. Über diese Zwecke werden die Beschäftigten in geeigneter Weise informiert.
• Bevor auf Grundlage der aus der Verarbeitung von personenbezogenen Daten der Beschäftigten gewonnenen Informationen ein Beschwerdeverfahren oder Disziplinarverfahren gegen einen Beschäftigten eingeleitet wird, gibt das Unternehmen den Beschäftigten die Möglichkeit, die erhobenen Daten einzusehen, hierzu Stellung zu nehmen und sich zu verteidigen.
• Die Beschäftigten werden darüber informiert, dass sie die ihnen bekannt gewordenen personenbezogenen Daten nicht entgegen den Bestimmungen des Gesetzes an Dritte weitergeben oder außerhalb des Verarbeitungszwecks nutzen dürfen und dass diese Verpflichtung auch nach ihrem Ausscheiden fortbesteht; entsprechende Verpflichtungserklärungen werden eingeholt.
• In Verträge mit Personen, an die personenbezogene Daten rechtmäßig übermittelt werden, werden Regelungen aufgenommen, wonach diese die erforderlichen Sicherheitsmaßnahmen zum Schutz personenbezogener Daten treffen und deren Einhaltung in ihrer Organisation sicherstellen.
• Das Unternehmen bestimmt innerhalb des Unternehmens verantwortliche Mitarbeiter für die Verarbeitung personenbezogener Daten der Beschäftigten. Die Zahl der Mitarbeiter mit Zugriffsberechtigung auf die infolge dieser Verarbeitung erhaltenen personenbezogenen Daten wird so gering wie möglich gehalten; unnötige Zugriffsberechtigungen werden aufgehoben oder eingeschränkt. Das Unternehmen trifft die erforderlichen physischen Sicherheitsmaßnahmen, um sicherzustellen, dass nur berechtigte Personen Zugriff auf die personenbezogenen Daten der Beschäftigten haben.
• Im Falle der unrechtmäßigen Erlangung verarbeiteter personenbezogener Daten durch Dritte meldet das Unternehmen dies unverzüglich der betroffenen Person und der Behörde.
• Das Unternehmen führt die erforderlichen Prüfungen durch oder lässt sie durchführen, um die Anwendung der gesetzlichen Bestimmungen innerhalb seiner juristischen Person sicherzustellen, und beseitigt dabei festgestellte Datenschutz- und Sicherheitslücken.
• Das Unternehmen hat das Bewusstsein von Dienstleistern für Datensicherheit sichergestellt und überprüft diese in bestimmten Abständen.
• Nach Artikel 12 des Gesetzes ist das Unternehmen auch dafür verantwortlich, dass Dritte, an die personenbezogene Daten übermittelt werden, diese im Einklang mit dieser Richtlinie und den gesetzlichen Bestimmungen rechtmäßig verarbeiten, aufbewahren und auf sie rechtmäßig zugreifen. Deshalb fordert das Unternehmen bei der Datenübermittlung an Dritte in Verträgen und sonstigen Regelungen Zusicherungen ein, die diese Anforderungen und ein Prüfungsrecht des Unternehmens umfassen. Zudem werden alle Mitarbeiter hinsichtlich der Verantwortlichkeiten aus Prozessen der Übermittlung personenbezogener Daten an Dritte besonders informiert.

Technische Maßnahmen

• Die Beschäftigten werden hinsichtlich technischer Maßnahmen zur Verhinderung eines rechtswidrigen Zugriffs auf personenbezogene Daten geschult.
• Technische Maßnahmen entsprechend den Entwicklungen der Technologie werden getroffen und regelmäßig aktualisiert und erneuert.
• Es werden alle angemessenen Maßnahmen getroffen, um die Sicherheit der Beschäftigtendaten zu gewährleisten. Die getroffenen Maßnahmen sind so ausgestaltet, dass Risiken eines unbefugten Zugriffs, versehentliche Datenverluste, vorsätzliche Löschungen oder Beschädigungen verhindert werden.
• Es werden Maßnahmen wie Prüfprotokolle getroffen, mit denen festgestellt werden kann, wer in den Informationssystemen Zugriff auf personenbezogene Daten der Beschäftigten hat. Die entsprechenden Zugriffsprotokolle werden regelmäßig überprüft und Untersuchungsmechanismen für unbefugte Zugriffe eingerichtet.
• Netzwerksicherheit und Anwendungssicherheit werden gewährleistet. Bei der Übermittlung personenbezogener Daten über Netzwerke wird ein geschlossenes Netzwerksystem verwendet.
• Schlüsselmanagement wird angewendet.
• Im Rahmen der Beschaffung, Entwicklung und Wartung von IT-Systemen werden Sicherheitsmaßnahmen getroffen.
• Wenn personenbezogene Daten von Beschäftigten mit Geräten wie Laptops aus dem Unternehmen herausgenommen werden, wird sichergestellt, dass die erforderlichen Sicherheitsmaßnahmen getroffen und die betreffenden Beschäftigten darüber informiert werden.
• Technische Lösungen für Zugang und Berechtigung werden gemäß den auf Ebene der Geschäftseinheiten festgelegten rechtlichen Compliance-Anforderungen implementiert.
• Zugriffsrechte werden beschränkt und regelmäßig überprüft.
• Für Beschäftigte wurde eine Berechtigungsmatrix erstellt.
• Zugriffsprotokolle werden regelmäßig geführt. Unternehmensrichtlinien zu Zugang, Informationssicherheit, Nutzung, Aufbewahrung und Vernichtung wurden erstellt und eingeführt.
• Die getroffenen technischen Maßnahmen werden regelmäßig überprüft; risikobehaftete Punkte werden neu bewertet und erforderliche technologische Lösungen entwickelt.
• Software und Hardware einschließlich Virenschutzsystemen und Firewalls werden installiert.
• Es wird fachkundiges Personal für technische Themen beschäftigt.
• Anwendungen, in denen personenbezogene Daten erhoben werden, werden regelmäßig Sicherheitsprüfungen unterzogen, um Schwachstellen festzustellen. Festgestellte Schwachstellen werden geschlossen.
• Personenbezogene Daten werden gesichert und die Sicherheit der Sicherungskopien wird gewährleistet.
• Protokolldaten werden ohne Eingriff des Benutzers gespeichert.
• Cybersicherheitsmaßnahmen wurden ergriffen und ihre Anwendung wird kontinuierlich überwacht.
• Bei Bedarf werden Penetrationstests durchgeführt, um Systemschwachstellen zu kontrollieren.
• Über tragbare Speicher, CDs oder DVDs übermittelte besondere Kategorien personenbezogener Daten werden verschlüsselt übermittelt.
• Es werden Systeme zur Angriffserkennung und -verhinderung eingesetzt.
• Software zur Verhinderung von Datenverlust wird angewendet.
• Im Zusammenhang mit dem Datenschutz wird Verschlüsselung eingesetzt.
• Die Vernichtung personenbezogener Daten erfolgt so, dass sie nicht wiederherstellbar ist und keine Prüfspuren hinterlässt.

Kontrolle der zum Schutz personenbezogener Daten ergriffenen Maßnahmen

Im Rahmen des Gesetzes wird das Unternehmen die Stellung eines Verantwortlichen innehaben und sich im VERBİS-System registrieren. In Artikel 11 Absatz 1 der Verordnung heißt es: „Die Verpflichtungen der in Türkiye niedergelassenen juristischen Personen als Verantwortliche im Rahmen des Gesetzes werden durch das Organ oder die in der einschlägigen Gesetzgebung genannten Person oder Personen erfüllt, die befugt sind, die juristische Person zu vertreten und zu verpflichten. Das zur Vertretung der juristischen Person befugte Organ kann für die im Hinblick auf die Anwendung des Gesetzes zu erfüllenden Verpflichtungen eine oder mehrere Personen benennen.“

Vom Unternehmen wurden als hauptverantwortliche Person für die Verfolgung und Koordination aller Geschäfte und Vorgänge im Rahmen des Gesetzes und der Regelungen der Datenschutzbehörde der Vertriebsleiter Çağrı Günen sowie der Verantwortliche der Softwareabteilung Dinçay Sanyel und der Exportleiter Çağlar Günen bestimmt. Jedes Mitglied des Ausschusses ist verpflichtet, zu prüfen, ob die relevanten Benutzer in den Abteilungen im Einklang mit dieser im Rahmen des Gesetzes und der Verordnung erstellten Richtlinie sowie der Aufbewahrungs- und Vernichtungsrichtlinie handeln. Alle Ausschussmitglieder werden ihre im Einklang mit der Vernichtungsrichtlinie während der festgelegten periodischen Vernichtungsfristen vorgenommenen Maßnahmen an den Vertriebsleiter Çağrı Günen berichten. Vertriebsleiter Çağrı Günen wird die Prüf- und Maßnahmenberichte aller Ausschussmitglieder in den Sitzungen der Geschäftsleitung vorlegen. In Fällen, die eine Entscheidung erfordern, wird nach Einholung der Stellungnahme von Vertriebsleiter Çağrı Günen und nach Beschlussfassung durch die Geschäftsleitung der gefasste Beschluss umgesetzt.