1. EINLEITUNG
1.1. ZWECK UND GELTUNGSBEREICH DER RICHTLINIE
Gemäß Artikel 20 der Verfassung der Republik Türkiye hat jeder das Recht, den Schutz der ihn betreffenden personenbezogenen Daten zu verlangen.
Das Gesetz Nr. 6698 über den Schutz personenbezogener Daten („KVKK“ oder „Gesetz“) wurde erlassen, um bei der Verarbeitung personenbezogener Daten die Grundrechte und Grundfreiheiten von Personen, insbesondere die Privatsphäre, zu schützen und die Pflichten sowie die von natürlichen und juristischen Personen, die personenbezogene Daten verarbeiten, einzuhaltenden Verfahren und Grundsätze zu regeln.
Diese Richtlinie der BODE Araç Kapı Sistemleri Sanayi ve Ticaret A.Ş. („UNTERNEHMEN“) zum Schutz besonderer Kategorien personenbezogener Daten („Richtlinie“) wurde erstellt, um die Grundsätze für die rechtmäßige Verarbeitung und den Schutz besonderer Kategorien personenbezogener Daten, die durch das UNTERNEHMEN verarbeitet werden, sowie für die systematische, steuerbare und nachhaltige Umsetzung der technischen und administrativen Maßnahmen in Bezug auf diese Daten festzulegen.
RICHTLINIE; umfasst die Prozesse der Erhebung, Aufzeichnung, Nutzung, des Zugriffs, der Aufbewahrung, Übermittlung, Sicherung und Vernichtung besonderer Kategorien personenbezogener Daten, die durch das UNTERNEHMEN verarbeitet werden, sowie die in diesen Prozessen eingesetzten UNTERNEHMENsmitarbeiter, autorisierten Nutzer, Dienstleister und sonstigen betroffenen Personen.
Alle Organe und Abteilungen des UNTERNEHMENS sowie Mitarbeiter, die im Rahmen der Verarbeitung besonderer Kategorien personenbezogener Daten Aufgaben und Befugnisse haben, sind verpflichtet, entsprechend den Bestimmungen dieser RICHTLINIE zu handeln und mit der für die KVKK-Prozesse verantwortlichen Person/Einheit zusammenzuarbeiten.
1.2. INKRAFTTRETEN UND ÄNDERUNGEN
RICHTLINIE wird vom UNTERNEHMEN durch Veröffentlichung auf seiner Website der Öffentlichkeit zugänglich gemacht. Im Falle eines Widerspruchs zwischen den geltenden Rechtsvorschriften, insbesondere dem KVKK, und den Bestimmungen dieser RICHTLINIE gelten die Bestimmungen der geltenden Rechtsvorschriften.
UNTERNEHMEN kann die RICHTLINIE entsprechend Änderungen der Rechtsvorschriften, Entscheidungen des türkischen Datenschutzrates und Änderungen der Verarbeitung personenbezogener Daten aktualisieren. Die aktuelle Fassung der RICHTLINIE ist über die Website des UNTERNEHMENS zugänglich.
2. BESONDERE KATEGORIEN PERSONENBEZOGENER DATEN
Gemäß Artikel 6 des KVKK gelten Daten über die Rasse, ethnische Herkunft, politische Meinung, philosophische Überzeugung, Religion, Konfession oder sonstige Glaubensüberzeugungen, Kleidung und Erscheinungsbild, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherungsmaßnahmen sowie biometrische und genetische Daten als besondere Kategorien personenbezogener Daten. Die besonderen Kategorien personenbezogener Daten sind im Gesetz abschließend aufgezählt; eine Erweiterung dieser Kategorien durch Analogie ist nicht möglich.
UNTERNEHMEN verarbeitet besondere Kategorien personenbezogener Daten in dem Umfang, den seine Tätigkeiten erfordern, und im Rahmen der im Verzeichnis der Verarbeitung personenbezogener Daten festgelegten Prozesse. Besondere Kategorien personenbezogener Daten, die für den Verarbeitungszweck nicht erforderlich sind, werden grundsätzlich weder angefordert noch verarbeitet.
UNTERNEHMEN legt die Datenkategorien, Personengruppen, Verarbeitungszwecke, Rechtsgrundlagen, Aufbewahrungsfristen und Übermittlungsinformationen hinsichtlich der von ihm verarbeiteten besonderen Kategorien personenbezogener Daten im „Verzeichnis der Verarbeitung personenbezogener Daten“ und in den entsprechenden Informationstexten fest.
2.1. INFORMATION DER BETROFFENEN PERSONEN BEI DER ERHEBUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN
Gemäß Artikel 10 des KVKK werden die betroffenen Personen bei der Erhebung personenbezogener Daten durch den Verantwortlichen oder durch von ihm ermächtigte Personen informiert. UNTERNEHMEN informiert die betroffenen Personen bei Erfüllung seiner Informationspflicht mindestens über diese Punkte:
A. Die Identität des Verantwortlichen und gegebenenfalls seines Vertreters
B. Die Zwecke, für die personenbezogene Daten verarbeitet werden
C. An wen und zu welchen Zwecken die verarbeiteten personenbezogenen Daten übermittelt werden können
D. Die Methode und Rechtsgrundlage der Erhebung personenbezogener Daten
E. Die in Artikel 11 des KVKK genannten Rechte der betroffenen Person und die Art und Weise, wie diese Rechte ausgeübt werden können
Die Informationspflicht und Verarbeitungstätigkeiten, für die eine ausdrückliche Einwilligung erforderlich ist, werden als getrennte rechtliche Verfahren durchgeführt.
Kann eine besondere Kategorie personenbezogener Daten auf Grundlage einer in Artikel 6 des KVKK geregelten Verarbeitungsbedingung außerhalb der ausdrücklichen Einwilligung verarbeitet werden, wird keine zusätzliche ausdrückliche Einwilligung eingeholt.
2.2. VERARBEITUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN
Besondere Kategorien personenbezogener Daten dürfen verarbeitet werden, wenn eine dieser Voraussetzungen erfüllt ist:
A. Die ausdrückliche Einwilligung der betroffenen Person vorliegt
B. Die Verarbeitung ausdrücklich gesetzlich vorgesehen ist
C. Die Verarbeitung zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder einer anderen Person zwingend erforderlich ist, wenn die betroffene Person wegen tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder ihrer Einwilligung keine rechtliche Gültigkeit zukommt
D. Die Verarbeitung sich auf von der betroffenen Person öffentlich gemachte personenbezogene Daten bezieht und ihrem Willen zur Veröffentlichung entspricht
E. Die Verarbeitung zur Begründung, Ausübung oder zum Schutz eines Rechts erforderlich ist
F. Die Verarbeitung durch Personen, die einer Geheimhaltungspflicht unterliegen, oder durch befugte Institutionen und Organisationen zum Schutz der öffentlichen Gesundheit, für Präventivmedizin, medizinische Diagnose, Behandlung und Pflege sowie für Planung, Verwaltung und Finanzierung von Gesundheitsdienstleistungen erforderlich ist
G. Die Verarbeitung zur Erfüllung rechtlicher Verpflichtungen in den Bereichen Beschäftigung, Arbeitsschutz und Arbeitssicherheit, soziale Sicherheit, soziale Dienste und Sozialhilfe erforderlich ist
H. Die Verarbeitung durch Stiftungen, Vereine und andere gemeinnützige Organisationen oder Zusammenschlüsse erfolgt, die zu politischen, philosophischen, religiösen oder gewerkschaftlichen Zwecken gegründet wurden, sofern sie den für sie geltenden Rechtsvorschriften und ihren Zwecken entspricht, auf ihren Tätigkeitsbereich beschränkt ist und nicht gegenüber Dritten offengelegt wird, und sich auf ihre derzeitigen oder ehemaligen Mitglieder und Angehörigen oder Personen bezieht, die regelmäßig mit diesen Organisationen und Zusammenschlüssen in Kontakt stehen
Besondere Kategorien personenbezogener Daten werden verarbeitet, sofern mindestens eine der in Artikel 6 des KVKK genannten Verarbeitungsbedingungen erfüllt ist und die vom türkischen Datenschutzrat festgelegten angemessenen Maßnahmen getroffen wurden.
UNTERNEHMEN verarbeitet besondere Kategorien personenbezogener Daten ausschließlich auf der für die jeweilige Verarbeitungstätigkeit geltenden Rechtsgrundlage sowie auf den festgelegten Zweck beschränkt und verhältnismäßig.
Kann die betreffende Verarbeitungstätigkeit auf eine in Artikel 6 des KVKK vorgesehene Verarbeitungsbedingung außerhalb der ausdrücklichen Einwilligung gestützt werden, wird keine zusätzliche ausdrückliche Einwilligung eingeholt. Ist die ausdrückliche Einwilligung die Rechtsgrundlage, muss sie sich auf einen bestimmten Gegenstand beziehen, auf einer vorherigen Information beruhen und aus freiem Willen erteilt werden.
2.3. ANGEWANDTE GRUNDSÄTZE
UNTERNEHMEN handelt bei der Verarbeitung besonderer Kategorien personenbezogener Daten im Einklang mit den in Artikel 4 des KVKK geregelten Grundprinzipien. In diesem Rahmen werden personenbezogene Daten verarbeitet und aufbewahrt:
A. Rechtmäßig und nach Treu und Glauben verarbeitet
B. Richtig und erforderlichenfalls aktuell gehalten
C. Für bestimmte, eindeutige und rechtmäßige Zwecke verarbeitet
D. Zweckgebunden, auf das erforderliche Maß beschränkt und verhältnismäßig verarbeitet
E. Für die in den einschlägigen Rechtsvorschriften vorgesehene oder für den Verarbeitungszweck erforderliche Dauer aufbewahrt
Datenminimierung ist einer der Grundsätze bei der Verarbeitung besonderer Kategorien personenbezogener Daten. Besondere Kategorien personenbezogener Daten, die für den Verarbeitungszweck nicht erforderlich sind, werden nicht angefordert; werden sie auf irgendeinem Weg erlangt, werden die erforderlichen Maßnahmen nach den einschlägigen Rechtsvorschriften und den Aufbewahrungs- und Vernichtungsregeln des UNTERNEHMENS durchgeführt. Der Zugang zu besonderen Kategorien personenbezogener Daten wird auf Personen beschränkt, deren Aufgaben und Befugnisse einen solchen Zugang erfordern.
2.4. ÜBERMITTLUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN
UNTERNEHMEN darf besondere Kategorien personenbezogener Daten nur an Dritte übermitteln, wenn bestimmte, eindeutige und rechtmäßige Zwecke bestehen und die anwendbaren Verarbeitungs- und Übermittlungsvoraussetzungen des KVKK erfüllt sind.
Bei Übermittlungen im Inland werden Artikel 8 des KVKK sowie entsprechend der Art der besonderen Kategorie personenbezogener Daten die in Artikel 6 des KVKK vorgesehenen Voraussetzungen und die vom Datenschutzrat festgelegten angemessenen Maßnahmen berücksichtigt.
DAS UNTERNEHMEN ÜBERMITTELT KEINE BESONDEREN KATEGORIEN PERSONENBEZOGENER DATEN INS AUSLAND.
Sollte infolge einer Änderung der Informationssysteme, Dienstleister, Speicher- oder Sicherungsinfrastruktur des UNTERNEHMENS eine Übermittlung besonderer Kategorien personenbezogener Daten ins Ausland erforderlich werden, wird vor Inbetriebnahme der Übermittlungstätigkeit die erforderliche rechtliche und technische Prüfung gemäß Artikel 9 des KVKK durchgeführt; das „Verzeichnis der Verarbeitung personenbezogener Daten“, die betreffenden Informationstexte und sonstigen erforderlichen Dokumente werden aktualisiert.
3. SCHUTZ BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN
UNTERNEHMEN trifft im Rahmen des Artikels 12 des KVKK die erforderlichen technischen und administrativen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus, um eine rechtswidrige Verarbeitung personenbezogener Daten zu verhindern, einen rechtswidrigen Zugriff auf personenbezogene Daten zu verhindern und deren sichere Aufbewahrung zu gewährleisten.
Bei der Verarbeitung besonderer Kategorien personenbezogener Daten werden zusätzlich zu den allgemeinen Maßnahmen zur Sicherheit personenbezogener Daten die mit Beschluss des türkischen Datenschutzrates vom 31.01.2018, Nr. 2018/10, festgelegten angemessenen Maßnahmen angewandt. Der Beschluss sieht für besondere Kategorien von Daten außerdem die Einrichtung einer systematischen und nachhaltigen Richtlinie/eines entsprechenden Verfahrens vor.
UNTERNEHMEN überwacht die Verarbeitung besonderer Kategorien personenbezogener Daten und die angewandten Sicherheitsmaßnahmen risikobasiert; soweit erforderlich werden Kontrollen und Prüfungen durchgeführt.
3.1. MASSNAHMEN FÜR MITARBEITER UND AUTORISIERTE NUTZER, DIE AN DER VERARBEITUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN BETEILIGT SIND
Für Mitarbeiter, die an der Verarbeitung besonderer Kategorien personenbezogener Daten beteiligt sind, gelten folgende Maßnahmen:
A. Regelmäßige Schulungen zu KVKK, einschlägigen Rechtsvorschriften und zur Sicherheit besonderer Kategorien personenbezogener Daten werden durchgeführt.
B. Vertraulichkeitspflichten werden angewandt und die erforderlichen Vertraulichkeitsvereinbarungen/-verpflichtungen werden abgeschlossen.
C. Umfang und Dauer der Berechtigungen von Nutzern mit Zugriffsrechten auf die Daten werden eindeutig festgelegt.
D. Zugriffsberechtigungen werden regelmäßig überprüft.
E. Die Zugriffsrechte auf besondere Kategorien personenbezogener Daten von Mitarbeitern, deren Aufgaben sich ändern oder deren Arbeitsverhältnis endet, werden unverzüglich aufgehoben; ihnen zugewiesene datentragende Geräte, Medien und sonstige Unternehmensbestände werden zurückgenommen.
F. Bei der Berechtigung gelten das Need-to-know- und das Least-Privilege-Prinzip; Mitarbeitern wird kein weitergehender Zugriff auf besondere Kategorien personenbezogener Daten gewährt, als für ihre Aufgaben erforderlich ist.
G. Das unbefugte Kopieren oder Übermitteln besonderer Kategorien personenbezogener Daten, deren Speicherung auf persönlichen Geräten oder Konten sowie deren Nutzung außerhalb des Aufgabenzwecks ist untersagt.
3.2. MASSNAHMEN FÜR ELEKTRONISCHE UMGEBUNGEN, IN DENEN BESONDERE KATEGORIEN PERSONENBEZOGENER DATEN VERARBEITET, AUFBEWAHRT UND/ODER ABGERUFEN WERDEN
In Systemen, in denen besondere Kategorien personenbezogener Daten elektronisch verarbeitet, aufbewahrt oder abgerufen werden:
A. Die Daten werden, soweit anwendbar, unter Verwendung geeigneter kryptografischer Verfahren geschützt
B. Kryptografische Schlüssel werden sicher und erforderlichenfalls in von den Daten getrennten Umgebungen aufbewahrt
C. Zugriffe auf die Daten und damit durchgeführte Vorgänge werden sicher protokolliert
D. Sicherheitsaktualisierungen für Umgebungen, in denen sich die Daten befinden, werden fortlaufend verfolgt; erforderliche Sicherheitstests werden regelmäßig durchgeführt oder beauftragt und die Testergebnisse werden dokumentiert.
E. Bei Zugriff auf besondere Kategorien personenbezogener Daten über Software oder ein Informationssystem werden Benutzerberechtigungen eingerichtet; Sicherheitstests der betreffenden Systeme und Software werden regelmäßig durchgeführt und die Ergebnisse dokumentiert.
F. Ist ein Fernzugriff auf besondere Kategorien personenbezogener Daten erforderlich, wird mindestens eine Zwei-Faktor-Authentifizierung angewandt.
G. Benutzerkonten dürfen nicht gemeinsam genutzt werden; Zugriffsrechte werden personenbezogen vergeben und der Zugriff wird auf den Aufgaben-/Berechtigungsumfang beschränkt.
3.3. MASSNAHMEN FÜR PHYSISCHE UMGEBUNGEN, IN DENEN BESONDERE KATEGORIEN PERSONENBEZOGENER DATEN VERARBEITET, AUFBEWAHRT UND/ODER ABGERUFEN WERDEN
Werden besondere Kategorien personenbezogener Daten in physischen Umgebungen verarbeitet oder aufbewahrt:
A. Werden je nach Art der Umgebung, in der sich die Daten befinden, die erforderlichen physischen und umgebungsbezogenen Sicherheitsmaßnahmen gegen Fehlerströme, Brand, Überschwemmung, Diebstahl und ähnliche Risiken getroffen
B. Wird die physische Sicherheit der Umgebungen gewährleistet, in denen sich die Daten befinden.
C. Unterliegt der Zugang zu physischen Umgebungen mit besonderen Kategorien personenbezogener Daten einer Berechtigung und unbefugte Ein- und Ausgänge werden verhindert.
D. Werden geeignete Aufbewahrungs- und Zugriffsmaßnahmen angewandt, um zu verhindern, dass besondere Kategorien personenbezogener Daten in Papierform von unbefugten Personen eingesehen, entnommen oder kopiert werden.
3.4. SICHERHEITSMASSNAHMEN FÜR DIE ÜBERMITTLUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN
Ist die Übermittlung besonderer Kategorien personenbezogener Daten erforderlich:
A. Müssen Daten per E-Mail übermittelt werden, erfolgt die Übermittlung unter Verwendung sicherer und geeigneter Verschlüsselungsverfahren über ein Unternehmens-E-Mail-Konto oder über Registrierte Elektronische Post (KEP).
B. Ist die Verwendung von tragbaren Speichern, CD, DVD oder ähnlichen physischen Datenträgern zwingend erforderlich, werden die Daten mit kryptografischen Verfahren verschlüsselt und der kryptografische Schlüssel wird in einer getrennten und sicheren Umgebung aufbewahrt.
C. Werden Daten zwischen Servern in unterschiedlichen physischen Umgebungen übertragen, kommen sichere Datenübertragungsmethoden wie VPN oder sFTP zum Einsatz.
D. Müssen Daten in Papierform übermittelt werden, werden die erforderlichen Maßnahmen gegen Verlust, Diebstahl oder Einsichtnahme durch unbefugte Personen getroffen und die Unterlagen werden entsprechend ihrer Einstufung als vertrauliche Dokumente versandt.
E. Übermittlungen werden auf die Personen beschränkt, für die sie im Hinblick auf Aufgabe und Zweck erforderlich sind, sowie auf den erforderlichen Datenumfang.
4. AUFBEWAHRUNG UND VERNICHTUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN
Besondere Kategorien personenbezogener Daten werden für die in den einschlägigen Rechtsvorschriften vorgesehenen Zeiträume und solange die Zwecke, die ihre Verarbeitung erfordern, fortbestehen, begrenzt auf die im Verzeichnis der Verarbeitung personenbezogener Daten und in der Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten des UNTERNEHMENS festgelegten Aufbewahrungsfristen, aufbewahrt.
Bei der Festlegung der Aufbewahrungsdauer wird Artikel 4 des KVKK und der Grundsatz „Aufbewahrung für den in den einschlägigen Rechtsvorschriften vorgesehenen oder für den Verarbeitungszweck erforderlichen Zeitraum“ zugrunde gelegt.
Entfallen die rechtlichen Gründe für die Verarbeitung besonderer Kategorien personenbezogener Daten und besteht keine andere rechtliche Verpflichtung zur Aufbewahrung, werden diese Daten gemäß Artikel 7 des KVKK und der „Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten“ des UNTERNEHMENS gelöscht, vernichtet oder anonymisiert.
Bei der Vernichtung von Dokumenten oder Aufzeichnungen, die besondere Kategorien personenbezogener Daten enthalten, werden geeignete Vernichtungsverfahren eingesetzt, die verhindern, dass die Daten von unbefugten Personen erneut erlangt oder zugänglich gemacht werden können.
5. BERECHTIGUNG, PRÜFUNG UND VERANTWORTUNG
Zugriffsrechte auf besondere Kategorien personenbezogener Daten werden unter Berücksichtigung der Aufgaben und Verantwortlichkeiten der Mitarbeiter im Rahmen der Berechtigungsmatrix und der einschlägigen Informationssicherheitsregeln festgelegt.
Zugriffsrechte werden bei Bedarf und regelmäßig überprüft. Bei Aufgabenwechsel, Änderung von Berechtigungen oder Beendigung des Arbeitsverhältnisses werden die erforderlichen Zugriffsänderungen unverzüglich umgesetzt.
Die Umsetzung technischer und administrativer Maßnahmen für die Verarbeitung besonderer Kategorien personenbezogener Daten liegt in der Verantwortung der jeweiligen Prozesseigner und autorisierten Mitarbeiter. Die für die KVKK-Prozesse zuständige Person/Einheit koordiniert die Umsetzung dieser Richtlinie.
Mitarbeiter, die einen Verstoß gegen die Bestimmungen der RICHTLINIE, gegen Informationssicherheitsregeln oder gegen die Sicherheit personenbezogener Daten feststellen, melden den Sachverhalt unverzüglich dem zuständigen Vorgesetzten des UNTERNEHMENS und/oder der für die KVKK-Prozesse zuständigen Person/Einheit.
UNTERNEHMEN überprüft die Verarbeitung besonderer Kategorien personenbezogener Daten und die getroffenen Maßnahmen entsprechend Änderungen von Risiken, Rechtsvorschriften, Prozessen oder Informationssystemen und nimmt die erforderlichen Verbesserungen vor.
6. AKTUALISIERUNG DER RICHTLINIE
Diese RICHTLINIE kann aufgrund von Änderungen der Rechtsvorschriften, Entscheidungen des türkischen Datenschutzrates, Änderungen der Verarbeitung besonderer Kategorien personenbezogener Daten durch das UNTERNEHMEN, Änderungen der Informationssysteme oder der Organisationsstruktur sowie sonstigen rechtlichen oder betrieblichen Erfordernissen überprüft und aktualisiert werden.
Die aktuelle Fassung der RICHTLINIE wird auf der Website des UNTERNEHMENS veröffentlicht. Führt eine Aktualisierung der RICHTLINIE zu einer Änderung der Verarbeitung personenbezogener Daten, die eine gesonderte Information der betroffenen Personen erfordert, wird die entsprechende Informationspflicht zusätzlich erfüllt.