Datenschutzerklärung (PDPA)
Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten
Inhaltsverzeichnis
- Rechtsgrundlage, Zweck und Geltungsbereich
- Begriffe und Definitionen
- Löschung, Vernichtung oder Anonymisierung personenbezogener Daten
- Allgemeine Bestimmungen
- Anlagen zur Richtlinie und Risikoanalyseberichte
- Aktualisierung
- Inkrafttreten und Außerkraftsetzung
1. Rechtsgrundlage, Zweck und Geltungsbereich
Rechtsgrundlage
Diese vom VERANTWORTLICHEN erstellte Richtlinie beruht auf Artikel 7 Absatz 3 und Artikel 22 Absatz 1 Buchstabe e des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten sowie auf den Bestimmungen der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten, die vom türkischen Datenschutzrat im Amtsblatt Nr. 30224 vom 28. Oktober 2017 veröffentlicht wurde und an diesem Tag in Kraft trat.
Zweck
Zweck dieser Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten ist es, im Rahmen der folgenden Vorschriften und Regelwerke die maßgeblichen Verfahren festzulegen:
- Datenschutzrichtlinie,
- Gesetz zum Schutz personenbezogener Daten,
- Nationale und internationale Rechtsvorschriften.
Sie regelt die vom VERANTWORTLICHEN in seiner Eigenschaft als Auftragsverarbeiter und Verantwortlicher einzuhaltenden Verfahren zur Vernichtung personenbezogener Daten betroffener Personen nach deren Verarbeitung.
In diesem Zusammenhang regelt die Richtlinie die Verfahren und Grundsätze für folgende Tätigkeiten:
- Löschung,
- Vernichtung,
- Anonymisierung.
Die für diese Tätigkeiten geltenden Verfahren und Grundsätze werden hiermit festgelegt.
Diese Richtlinie gilt außerdem für alle Parteien, die:
- Mit dem VERANTWORTLICHEN kommunizieren oder interagieren,
- Rechtliche, geschäftliche oder finanzielle Beziehungen eingehen,
- Öffentliche oder private Einrichtungen sind,
- Natürliche oder juristische Personen sind.
Sie legt die Pflichten und Verantwortlichkeiten sämtlicher dieser Parteien fest.
Geltungsbereich
Diese Richtlinie wird im Rahmen der folgenden Vorschriften angewandt:
- Gesetz Nr. 6698 zum Schutz personenbezogener Daten,
- Nationale und internationale Rechtsvorschriften,
- Verordnungen,
- Rundschreiben,
- Entscheidungen der Regulierungsbehörden,
- Richtlinien,
- Internationale Übereinkommen.
Die Umsetzung erfolgt in Übereinstimmung mit den vorstehenden Regelwerken.
Die Richtlinie erfasst sämtliche natürlichen Personen, deren personenbezogene Daten verarbeitet werden, insbesondere:
- Geschäftspartner,
- Lösungspartner,
- Lieferanten,
- Beschäftigte,
- Kunden,
- Gesellschafter.
Sie gilt für alle natürlichen Personen, deren personenbezogene Daten verarbeitet werden, einschließlich, jedoch nicht beschränkt auf die vorstehend genannten Personengruppen.
2. Begriffe und Definitionen
Bestimmte in dieser Richtlinie verwendete Grundbegriffe werden nachstehend erläutert.
Grundlegende Definitionen
Ausdrückliche Einwilligung
Eine freiwillig, für einen bestimmten Zweck und auf Grundlage einer vorherigen Information abgegebene Einwilligung.
Empfängergruppe
Die Kategorie natürlicher oder juristischer Personen, an die der VERANTWORTLICHE personenbezogene Daten übermittelt.
Anonymisierung
Die Verarbeitung personenbezogener Daten in einer Weise, dass diese unter keinen Umständen mehr einer identifizierten oder identifizierbaren Person zugeordnet werden können, selbst wenn sie mit anderen Daten abgeglichen werden.
Betroffene Person
Die natürliche Person, deren personenbezogene Daten verarbeitet werden.
Datenbeseitigung
Der Oberbegriff für die folgenden Vorgänge in Bezug auf personenbezogene Daten:
- Löschung,
- Vernichtung,
- Anonymisierung.
Der Begriff umfasst sämtliche vorstehend genannten Vorgänge.
Personenbezogene Daten
Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Verarbeitung personenbezogener Daten
Jeder mit personenbezogenen Daten ausgeführte Vorgang, darunter:
- Erhebung,
- Erfassung,
- Speicherung,
- Veränderung,
- Übermittlung,
- Klassifizierung,
- Einschränkung der Nutzung.
Der Begriff umfasst alle Vorgänge dieser Art.
Datenschutzbehörde
Die türkische Datenschutzbehörde (KVKK).
Gesetz zum Schutz personenbezogener Daten
Das Gesetz Nr. 6698 zum Schutz personenbezogener Daten, veröffentlicht im Amtsblatt Nr. 29677 vom 7. April 2016.
Auftragsverarbeiter
Eine natürliche oder juristische Person, die aufgrund der vom Verantwortlichen erteilten Befugnis personenbezogene Daten in dessen Auftrag verarbeitet.
Verantwortlicher
Die natürliche oder juristische Person, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.
VERBİS
Das Informationssystem des Registers der Verantwortlichen.
Löschung
Das Unzugänglich- und Unnutzbarmachen personenbezogener Daten für relevante Nutzer.
Vernichtung personenbezogener Daten
Das Unzugänglich-, Unwiederherstellbar- und Unnutzbarmachen personenbezogener Daten für jedermann.
3. Löschung, Vernichtung oder Anonymisierung personenbezogener Daten
Allgemeines
Personenbezogene Daten, die vom VERANTWORTLICHEN verarbeitet wurden und bei denen die Verarbeitungsvoraussetzungen entfallen sind, werden mit der jeweils geeigneten Methode beseitigt:
- Löschung,
- Vernichtung,
- Anonymisierung.
Die nach den Umständen geeignete Methode wird angewandt.
Sämtliche Vorgänge werden in Übereinstimmung mit den anwendbaren Rechtsvorschriften und dieser Richtlinie durchgeführt.
Vernichtung von Daten, die vor dem Gesetz zum Schutz personenbezogener Daten verarbeitet wurden
Gemäß dem vorläufigen Artikel 1 Absatz 3 des Gesetzes zum Schutz personenbezogener Daten wurden die vor Inkrafttreten des Gesetzes verarbeiteten personenbezogenen Daten innerhalb von zwei Jahren nach dessen Inkrafttreten mit den anwendbaren Rechtsvorschriften in Einklang gebracht.
In diesem Zusammenhang:
- Wurde die ausdrückliche Einwilligung der betroffenen Personen eingeholt, sofern dies erforderlich war.
- Wurden Daten vernichtet, wenn die betroffene Person nicht erreicht werden konnte.
- Wurden Verarbeitungsvorgänge, für die keine ausdrückliche Einwilligung erforderlich war, nach Maßgabe der gesetzlichen Voraussetzungen fortgeführt.
Vernichtung von Daten, die nach dem Gesetz zum Schutz personenbezogener Daten verarbeitet wurden
Der VERANTWORTLICHE löscht, vernichtet oder anonymisiert personenbezogene Daten:
- Wenn die in den Artikeln 5 und 6 des Gesetzes zum Schutz personenbezogener Daten genannten Verarbeitungsvoraussetzungen entfallen sind,
- Von Amts wegen oder auf Antrag der betroffenen Person.
Die betreffenden personenbezogenen Daten werden entsprechend gelöscht, vernichtet oder anonymisiert.
Bei der Datenbeseitigung beachtete Grundsätze
- Rechtmäßigkeit und Verarbeitung nach Treu und Glauben
- Richtigkeit und Aktualität
- Verarbeitung für festgelegte, eindeutige und legitime Zwecke
- Zweckbindung, Datenminimierung und Verhältnismäßigkeit
- Aufbewahrung nur für den erforderlichen Zeitraum
Verfahren zur Vernichtung personenbezogener Daten
Im Rahmen des Vernichtungsverfahrens werden folgende Maßnahmen durchgeführt:
- Feststellung der zu vernichtenden personenbezogenen Daten
- Feststellung der relevanten Nutzer
- Festlegung der Zugriffsberechtigungen
- Entzug der Zugriffs- und Wiederherstellungsberechtigungen
Löschung personenbezogener Daten
Definition
Das Unzugänglich- und Unnutzbarmachen personenbezogener Daten für relevante Nutzer.
Angewandte Löschmethoden
Löschung von Daten in Cloud-Umgebungen
Dies betrifft beispielsweise Daten in folgenden Systemen:
- Microsoft 365
- Google Drive
- OneDrive
Die Daten werden mithilfe von Löschbefehlen entfernt und die zugehörigen Zugriffsberechtigungen deaktiviert.
Löschung von Daten auf Papier
- Die Daten werden geschwärzt.
- Die Dokumente werden mit Aktenvernichtern zerkleinert.
Löschung von Dateien auf einem zentralen Server
- Auf dem Server wird ein Löschbefehl ausgeführt.
- Die Zugriffsrechte der Nutzer werden entzogen.
Löschung von Daten auf mobilen Speichermedien
Daten auf mobilen Speichermedien werden mithilfe folgender Mittel unwiederherstellbar gelöscht:
- Verschlüsselte Zugriffssysteme,
- Spezielle Software.
Diese Methoden gewährleisten, dass die Daten nicht wiederhergestellt werden können.
Löschung von Datenbankeinträgen
In Datenbanken enthaltene Einträge werden mit Datenbankbefehlen wie den folgenden entfernt:
- Delete,
- Remove.
Die betreffenden Einträge werden mit solchen Datenbankbefehlen entfernt.
Vernichtung personenbezogener Daten
Definition
Das Unzugänglich-, Unwiederherstellbar- und Unnutzbarmachen personenbezogener Daten für jedermann.
Vernichtungsmethoden
Lokale Systeme
Eine oder mehrere der folgenden Methoden werden angewandt:
- Entmagnetisierung
- Physische Vernichtung
- Überschreiben
Peripheriesysteme
Auf den folgenden Geräten gespeicherte Daten werden vernichtet:
- Netzwerkgeräte
- Mobile Speichermedien
- SIM-Karten
- Druckerspeicher
- Fingerabdrucksysteme
Papiermedien
Dokumente werden:
- Geschreddert,
- Vernichtet,
- In einen Zustand versetzt, in dem sie nicht wieder zusammengesetzt werden können.
Cloud-Umgebungen
In Cloud-Systemen werden folgende Mittel eingesetzt:
- Kryptografische Verfahren,
- Verschlüsselungsschlüssel.
Die Schlüssel werden bei Beendigung der Dienstleistungsbeziehung vernichtet.
Anonymisierung personenbezogener Daten
Definition
Die Verarbeitung personenbezogener Daten in einer Weise, dass diese selbst bei einem Abgleich mit anderen Daten nicht mehr einer identifizierten oder identifizierbaren Person zugeordnet werden können.
Angewandte Anonymisierungsmethoden
Methoden ohne Wertverzerrung
- Variablenunterdrückung
- Datensatzunterdrückung
- Lokale Unterdrückung
- Generalisierung
- Globale Kodierung
- Stichprobenziehung
Methoden mit Wertverzerrung
- Mikroaggregation
- Datenaustausch
- Hinzufügen von Rauschen
4. Allgemeine Bestimmungen
Diese Richtlinie:
- Ist ein integraler Bestandteil der Datenschutzrichtlinie.
- Tabellen,
- Schaubilder,
- Verträge,
- Stellenbeschreibungen,
- Verpflichtungserklärungen
werden zusammen mit sämtlichen ergänzenden Dokumenten dieser Art berücksichtigt.
Der VERANTWORTLICHE behält sich das Recht vor, in öffentlich zugänglichen Bereichen anstelle der ausführlichen Richtlinie Zusammenfassungen zu veröffentlichen.
5. Anlagen zur Richtlinie und Risikoanalyseberichte
Die folgenden Dokumente gelten als Anlagen zu dieser Richtlinie:
- Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten
- Erklärungen zur ausdrücklichen Einwilligung
- Übergabeprotokolle
- Stellenbeschreibungen
- Dateninventar
- Tabellen und Schaubilder
- Risikoanalyseberichte
6. Aktualisierung
Diese Richtlinie wird mindestens einmal jährlich überprüft und aktualisiert.
Die Aktualisierungen werden über das Qualitätsmanagementsystem nachverfolgt.
7. Inkrafttreten und Außerkraftsetzung
Inkrafttreten
Diese Richtlinie tritt an dem Tag in Kraft, an dem sie auf der Website des VERANTWORTLICHEN veröffentlicht wird.
Außerkraftsetzung
Diese Richtlinie kann ausschließlich durch die Ausarbeitung und das Inkrafttreten einer neuen schriftlichen Richtlinie außer Kraft gesetzt werden.