Zum Inhalt springen
Arcanus Hotels Sorgun
Datenschutz (KVKK) – Foto 1

Arcanus Hotels Sorgun

Datenschutzrichtlinie

Informationstext für natürliche Personen, die einen Internetzugang nutzen

ARCANUS SORGUN HOTELS

RICHTLINIE ZUR VERARBEITUNG PERSONENBEZOGENER DATEN

(KVKK-RICHTLINIE)

INHALTSVERZEICHNIS

1. ZWECK

2. ANWENDUNGSBEREICH

3. BEGRIFFE UND DEFINITIONEN

4. ROLLEN UND VERANTWORTLICHKEITEN

5. GRUNDPRINZIPIEN DER VERARBEITUNG PERSONENBEZOGENER DATEN

6. RECHTLICHE VORAUSSETZUNGEN FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN

7. VORAUSSETZUNGEN FÜR DIE VERARBEITUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN

8. LÖSCHUNG, VERNICHTUNG ODER ANONYMISIERUNG PERSONENBEZOGENER DATEN

9. ÜBERMITTLUNG PERSONENBEZOGENER DATEN

10. PFLICHTEN DES VERANTWORTLICHEN IN BEZUG AUF DIE DATENSICHERHEIT

11. INFORMATIONSPFLICHT DES VERANTWORTLICHEN

12. PFLICHT ZUR BEANTWORTUNG VON ANTRÄGEN BETROFFENER PERSONEN UND ZUR UMSETZUNG VON ENTSCHEIDUNGEN

13. PFLICHT ZUR EINTRAGUNG IN DAS REGISTER DER VERANTWORTLICHEN

14. MELDEPFLICHT

15. RECHTE DER BETROFFENEN PERSON

16. VERFAHREN ZUR RECHTSVERFOLGUNG DURCH DIE BETROFFENE PERSON

17. AKTUALISIERUNG

18. INKRAFTTRETEN UND AUFHEBUNG

1. ZWECK

Zweck dieser Richtlinie ist es, im Rahmen der durch nationale und internationale Rechtsvorschriften, insbesondere das Gesetz zum Schutz personenbezogener Daten (KVK-Gesetz), vorgeschriebenen Regeln die Leistungen, Pflichten und Verantwortlichkeiten des personenbezogene Daten verarbeitenden VERANTWORTLICHEN sowie aller privaten oder öffentlichen Institutionen und Organisationen und natürlichen und juristischen Personen, die mit dem VERANTWORTLICHEN in rechtliche, geschäftliche und finanzielle Beziehungen treten, sowie die einzuhaltenden verfahrens- und materiellrechtlichen Regeln und Richtlinien festzulegen, um die Grundrechte und Grundfreiheiten der Personen, insbesondere die Privatsphäre, bei der Verarbeitung der personenbezogenen Daten betroffener Personen zu schützen.

2. ANWENDUNGSBEREICH

Diese Richtlinie gilt im Rahmen nationaler und internationaler Gesetze, Verordnungen, Satzungen, Rundschreiben, Entscheidungen von Regulierungs- und Aufsichtsbehörden, Richtlinien, internationaler Abkommen und Verträge, insbesondere des KVK-Gesetzes, sowie im Rahmen aller rechtlichen, geschäftlichen und finanziellen Verträge und Vertragsanhänge, die mit allen Personen, Institutionen und Organisationen – amtlich, natürlich oder juristisch – geschlossen wurden oder werden, die mit dem VERANTWORTLICHEN unter welcher Bezeichnung auch immer in Kommunikation, Interaktion, Zusammenarbeit oder einer Lösungspartnerschaft stehen, sowie mit den Partnern, Kunden, Mitarbeitern und Lieferanten des VERANTWORTLICHEN, für natürliche Personen, deren personenbezogene Daten verarbeitet werden, und für den VERANTWORTLICHEN, der diese Daten ganz oder teilweise automatisiert oder nicht automatisiert als Teil eines Datenerfassungssystems verarbeitet.

3. BEGRIFFE UND DEFINITIONEN

In dieser Richtlinie bedeutet:

Übereinkommen Nr. 108: das vom Europarat ausgearbeitete und unterzeichnete, am 01.10.1985 in Kraft getretene Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten,

Richtlinie 95/46/EG: die 1995 vom Europäischen Parlament und vom Rat angenommene Richtlinie zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr,

Ausdrückliche Einwilligung: eine auf einen bestimmten Sachverhalt bezogene, auf Information beruhende und aus freiem Willen erklärte Einwilligung,

EMRK: die vom Europarat ausgearbeitete, am 03.09.1953 in Kraft getretene Europäische Menschenrechtskonvention,

Empfängergruppe: die Kategorie natürlicher oder juristischer Personen, an die personenbezogene Daten durch den VERANTWORTLICHEN übermittelt werden,

Anonymisierung: das Verfahren, personenbezogene Daten so zu verändern, dass sie auch durch Abgleich mit anderen Daten in keiner Weise mehr einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können,

Mitteilung zur Erfüllung der Informationspflicht: die von der Datenschutzbehörde im Amtsblatt vom 10.03.2018 veröffentlichte „Mitteilung über die bei der Erfüllung der Informationspflicht einzuhaltenden Verfahren und Grundsätze“,

Gesetz über das Petitionsrecht: das Gesetz über die Ausübung des Petitionsrechts,

Interaktion und Kommunikation: jede Art von Beziehung des VERANTWORTLICHEN, schriftlich oder mündlich, im Fernabsatz oder in Anwesenheit, die in rechtlicher, geschäftlicher, finanzieller, vertraglicher oder ähnlicher Hinsicht Verantwortung und Verpflichtungen begründet,

DSGVO: die Verordnung (EU) 2016/679, die Datenschutz-Grundverordnung der Europäischen Union, durch die die Richtlinie 95/46/EG am 25.05.2018 aufgehoben wurde,

Betroffene Person: die natürliche Person, der die Daten gehören und deren personenbezogene Daten vom Verantwortlichen verarbeitet werden,

Kontaktperson: die natürliche Person, die bei der Registrierung im Register benannt wird, um die Kommunikation mit der Behörde hinsichtlich der Pflichten nach dem Gesetz und den darauf gestützten Folgeregelungen sicherzustellen – für in der Türkei ansässige natürliche und juristische Personen durch den Verantwortlichen und für nicht in der Türkei ansässige natürliche und juristische Personen durch den Vertreter des Verantwortlichen – und die keine Vertretungsbefugnis für den Verantwortlichen besitzt,

Personenbezogene Daten: alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen,

Verantwortlicher: in dieser Richtlinie die im In- und Ausland befindlichen Gesellschaften innerhalb der ARCANUS SORGUN HOTELS BETRIEBSFÜHRUNG (ASBETON İNŞAAT TAAH GIDA TUR.SAN. VE TİC.A.Ş.) sowie die Leitung und den Betrieb des Unternehmens; die in diesem Richtlinientext als ARCANUS SORGUN HOTELS BETRIEBSFÜHRUNG bezeichnete Person und Hotelgruppe,

Verarbeitung personenbezogener Daten: jeder Vorgang im Zusammenhang mit Daten wie das Erheben, Aufzeichnen, Speichern, Aufbewahren, Verändern, Neuordnen, Offenlegen, Übermitteln, Übernehmen, Verfügbarmachen, Klassifizieren oder die Verhinderung der Nutzung personenbezogener Daten, ganz oder teilweise automatisiert oder nicht automatisiert als Teil eines Datenerfassungssystems,

Verzeichnis von Verarbeitungstätigkeiten: das Verzeichnis, in dem die Verantwortlichen die von ihnen je nach Geschäftsprozessen durchgeführten Verarbeitungstätigkeiten personenbezogener Daten detailliert darstellen, indem sie diese mit den Zwecken und Rechtsgrundlagen der Verarbeitung, der Datenkategorie, der Empfängergruppe und der Gruppe der betroffenen Personen verknüpfen und die für die Verarbeitungszwecke erforderliche maximale Aufbewahrungsfrist, die zur Übermittlung ins Ausland vorgesehenen personenbezogenen Daten und die getroffenen Datensicherheitsmaßnahmen erläutern,

KVKK: die Behörde zum Schutz personenbezogener Daten,

KVK-Gesetz: das am 24.03.2016 angenommene und am 07.04.2016 im Amtsblatt Nr. 29677 veröffentlichte Gesetz Nr. 6698 zum Schutz personenbezogener Daten,

KVK-Ausschuss: der zuständige Ausschuss bei der Datenschutzbehörde,

KVK-Richtlinie: die vom VERANTWORTLICHEN angenommene und umgesetzte vorliegende Datenschutzrichtlinie,

KVSİ-Richtlinie: die im Rahmen der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten erstellte Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten,

Löschungsverordnung: die auf Grundlage des KVK-Gesetzes erlassene Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten,

Verordnung über die Übermittlung ins Ausland: die Verordnung über die Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland,

Automatisierte Verarbeitung: die Verarbeitung personenbezogener Daten durch ein untereinander verbundenes und interaktives elektrisches oder elektronisches System, das den Bedarf an menschlichem Eingreifen oder menschlicher Unterstützung auf ein Mindestmaß reduziert,

Nicht automatisierte Verarbeitung: die manuell, also durch menschliches Eingreifen oder menschliche Unterstützung durchgeführte Verarbeitung personenbezogener Daten,

Besondere Kategorien personenbezogener Daten: Daten über Rasse, ethnische Herkunft, politische Meinung, weltanschauliche Überzeugung, Religion, Konfession oder sonstige Überzeugungen, Erscheinungsbild und Kleidung, Mitgliedschaft in einem Verein, einer Stiftung oder Gewerkschaft, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherungsmaßnahmen sowie biometrische und genetische Daten (die besonderen Kategorien sind im Gesetz abschließend aufgezählt und können nicht analog erweitert werden),

Kurzfassung: Texte, Schriftstücke und Anweisungen, die anstelle der vom VERANTWORTLICHEN erstellten ausführlichen Texte, Bücher und Broschüren gelten und eine kurze Zusammenfassung dieser Texte zum gleichen Dienst, Zweck und Ziel enthalten,

Periodische Vernichtung: das in der Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten festgelegte Verfahren der Löschung, Vernichtung oder Anonymisierung, das in wiederkehrenden Abständen von Amts wegen durchgeführt wird, wenn sämtliche gesetzlichen Voraussetzungen für die Verarbeitung personenbezogener Daten entfallen sind,

ABl.: das Amtsblatt,

Register: das von der Präsidentschaft der Datenschutzbehörde geführte Register der Verantwortlichen,

Löschung: das Verfahren, personenbezogene Daten für die betreffenden Nutzer in keiner Weise mehr zugänglich und nicht mehr verwendbar zu machen,

TStGB: das türkische Strafgesetzbuch Nr. 5237,

TZGB: das türkische Zivilgesetzbuch Nr. 4721,

VERBİS: das als Informationssystem des Registers der Verantwortlichen bekannte, über das Internet zugängliche, von der Präsidentschaft der Datenschutzbehörde eingerichtete und verwaltete Informationssystem, das Verantwortliche für die Registeranmeldung und sonstige registerbezogene Vorgänge nutzen,

Übermittelnder: die natürliche oder juristische Person, die personenbezogene Daten aus ihrem eigenen System an einen anderen Verantwortlichen übermittelt,

Datenempfänger: die natürliche oder juristische Person, an deren System personenbezogene Daten durch einen anderen Verantwortlichen übermittelt werden,

Datenverzeichnis: das auch als Verzeichnis von Verarbeitungstätigkeiten bezeichnete Verzeichnis, in dem der VERANTWORTLICHE die je nach Geschäftsprozessen durchgeführten Verarbeitungstätigkeiten detailliert darstellt, indem er sie mit den Verarbeitungszwecken, der Datenkategorie, der Empfängergruppe und der Gruppe der betroffenen Personen verknüpft und die für die Verarbeitungszwecke erforderliche maximale Frist, die zur Übermittlung in Drittländer vorgesehenen personenbezogenen Daten und die getroffenen Datensicherheitsmaßnahmen erläutert,

Auftragsverarbeiter: die natürliche oder juristische Person, die personenbezogene Daten im Namen des Verantwortlichen auf Grundlage der ihr erteilten Befugnis verarbeitet,

Datenerfassungssystem: das Erfassungssystem, das in elektronischer oder physischer Form erstellt werden kann und in dem personenbezogene Daten nach bestimmten Kriterien strukturiert verarbeitet werden,

Vertreter des Verantwortlichen: die in der Türkei ansässige juristische Person oder die natürliche Person mit türkischer Staatsangehörigkeit, die mindestens bevollmächtigt ist, (a) von der Behörde vorgenommene Zustellungen oder Schriftwechsel im Namen des Verantwortlichen entgegenzunehmen, (b) von der Behörde an den Verantwortlichen gerichtete Anfragen weiterzuleiten und die Antwort des Verantwortlichen an die Behörde zu übermitteln, (c) sofern vom Ausschuss nichts anderes bestimmt ist, Anträge, die betroffene Personen gemäß Artikel 13 Absatz 1 des KVK-Gesetzes an den Verantwortlichen richten, im Namen des Verantwortlichen entgegenzunehmen und weiterzuleiten, (ç) sofern vom Ausschuss nichts anderes bestimmt ist, den betroffenen Personen die Antwort des Verantwortlichen gemäß Artikel 13 Absatz 3 des KVK-Gesetzes zu übermitteln, und (d) im Namen des Verantwortlichen Vorgänge in Bezug auf das Register durchzuführen,

Mitteilung über die Antragstellung beim Verantwortlichen: die von der Datenschutzbehörde erlassene und im Amtsblatt vom 10.03.2018 veröffentlichte Mitteilung über die Verfahren und Grundsätze der Antragstellung beim Verantwortlichen,

Verordnung über das Register der Verantwortlichen: die auf Grundlage des KVK-Gesetzes erlassene Verordnung über das Register der Verantwortlichen,

Angemessenheitsbeschluss: der Beschluss des KVK-Ausschusses, mit dem bei Vorliegen bestimmter Voraussetzungen festgestellt wird, dass ein Land, ein oder mehrere Sektoren innerhalb eines Landes oder eine internationale Organisation im Hinblick auf die Übermittlung personenbezogener Daten ins Ausland ein angemessenes Schutzniveau gewährleistet,

Vernichtung: das Verfahren, personenbezogene Daten für niemanden mehr in irgendeiner Weise zugänglich, wiederherstellbar oder verwendbar zu machen.

Für in diesem Artikel nicht enthaltene Begriffe und Definitionen gelten die Begriffsbestimmungen der einschlägigen Rechtsvorschriften.

4. ROLLEN UND VERANTWORTLICHKEITEN

Vorstand

Diese Richtlinie wurde vom Vorstand der ASBETON İNŞAAT TAAH GIDA TUR.SAN. VE TİC.A.Ş. genehmigt. Er ist der zuständige Genehmigungsmechanismus für die Erstellung, Umsetzung und erforderlichenfalls Aktualisierung der Richtlinie.

Rechtsabteilung

Für die Erstellung, Weiterentwicklung, Umsetzung und Aktualisierung dieser Richtlinie ist die Rechtsabteilung gemeinsam mit der IT-Direktion verantwortlich. Die Rechtsabteilung bewertet diese Richtlinie erforderlichenfalls hinsichtlich ihrer Aktualität und ihres Weiterentwicklungsbedarfs.

IT-Direktion

Für die Erstellung, Weiterentwicklung, Umsetzung und Aktualisierung dieser Richtlinie ist die IT-Direktion gemeinsam mit der Rechtsabteilung verantwortlich. Die IT-Direktion bewertet diese Richtlinie erforderlichenfalls hinsichtlich ihrer Aktualität und ihres Weiterentwicklungsbedarfs. Die Veröffentlichung des erstellten Dokuments liegt in der Verantwortung des Leiters der IT-Abteilung.

5. GRUNDPRINZIPIEN DER VERARBEITUNG PERSONENBEZOGENER DATEN

Allgemeines

Der VERANTWORTLICHE erkennt als Grundprinzipien seiner Datenschutzrichtlinie an: alle Arten personenbezogener Daten in seinen Betriebsstätten oder Unternehmen transparent, im Einklang mit der Moral sowie den nationalen und internationalen Rechtsregeln, nach Treu und Glauben und unter Beachtung der Grundsätze der Offenheit, Zugänglichkeit und Rechenschaftspflicht zu verarbeiten; dabei zweckentsprechend, begrenzt, verhältnismäßig und unparteiisch sowie nach objektiven Kriterien zu handeln; die Richtigkeit, Aktualität und Vollständigkeit der personenbezogenen Daten der betroffenen Personen, mit denen er in Interaktion und Kommunikation steht, zu schützen und aufrechtzuerhalten; diese personenbezogenen Daten für die dem Verarbeitungszweck und den Rechtsvorschriften entsprechenden Zeiträume und unter aktuellen technologischen Bedingungen sicher zu schützen und aufzubewahren, im Rahmen der geschäftlichen und beruflichen Ethik und der Achtung der durch internationale und nationale Rechtsregeln garantierten Grundrechte und Grundfreiheiten, insbesondere der persönlichen Privatsphäre und der Vertraulichkeit des Privatlebens; und sie nach Ablauf der gesetzlich vorgesehenen oder für den Verarbeitungszweck erforderlichen Frist zu löschen, zu vernichten oder zu anonymisieren.

Rechtliche Grundsätze

Grundsatz der Rechtmäßigkeit und von Treu und Glauben

Im Rahmen des KVK-Gesetzes handelt der VERANTWORTLICHE im Bewusstsein, dass es eine Notwendigkeit und Verpflichtung ist, bei der Verarbeitung personenbezogener Daten die national und international geltenden Rechtsvorschriften sowie den in Artikel 2 des türkischen Zivilgesetzbuches geregelten Grundsatz von Treu und Glauben einzuhalten.

Gemäß dem Grundsatz von Treu und Glauben erkennt der VERANTWORTLICHE an, verpflichtet sich und erklärt, dass bei der Verfolgung seiner Verarbeitungsziele die Interessen und berechtigten Erwartungen der betroffenen Personen zu berücksichtigen sind, dass er so zu handeln hat, dass Ergebnisse vermieden werden, die die Person, deren Daten verarbeitet werden, nicht erwartet oder nicht erwarten konnte, und dass er neben der Klarheit und Verständlichkeit der Verarbeitungstätigkeit auch seinen Informations- und Warnpflichten gegenüber der betroffenen Person nachzukommen hat.

Der VERANTWORTLICHE erkennt es ferner als Pflicht und Verantwortung an, bei der Ausübung seiner Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten im Einklang mit den Vertrauensregeln, in der von einer vernünftigen Person zu erwartenden Weise, innerhalb der Grenzen des ihm eingeräumten Rechts und zweckentsprechend zu handeln.

Grundsatz der Richtigkeit und erforderlichenfalls Aktualität

Der VERANTWORTLICHE, der eine Politik der Achtung des auch durch die Verfassung und das KVK-Gesetz geschützten Rechts der betroffenen Person auf Berichtigung ihrer Daten verfolgt, erklärt, erkennt an und verpflichtet sich, bewusst, sorgfältig und umsichtig zu handeln, um die von ihm verarbeiteten personenbezogenen Daten richtig und aktuell zu halten, sie in jeder Phase der Verarbeitung und erforderlichenfalls aktuell zu halten, die Kanäle offen zu halten, die die Richtigkeit und Aktualität der Angaben der betroffenen Person gewährleisten, und anzuerkennen, dass Schadensersatz zu leisten ist, wenn die betroffene Person durch nicht aktuelle oder unrichtig geführte personenbezogene Daten einen materiellen oder immateriellen Schaden erleidet.

Andererseits ist der VERANTWORTLICHE der Auffassung, dass das Handeln nach diesem Grundsatz für den Schutz der Grundrechte und Grundfreiheiten der betroffenen Person, insbesondere der Vertraulichkeit des Privatlebens, erforderlich ist.

Im Wissen und in der Voraussicht, dass ein solches Vorgehen nicht nur die Rechte des Dateninhabers, sondern auch seine eigenen Interessen schützt, hat der VERANTWORTLICHE es sich zum Grundsatz gemacht, im Rahmen dieser Richtlinie und der Rechtsvorschriften angemessene Maßnahmen zu ergreifen – indem er darauf achtet, dass die Quellen, aus denen personenbezogene Daten erhoben werden, bestimmt oder bestimmbar sind und dass deren Richtigkeit und Zuverlässigkeit geprüft und bestätigt wird – und dabei Anträge zu berücksichtigen, die sich aus der Unrichtigkeit personenbezogener Daten ergeben.

Grundsatz der Verarbeitung für festgelegte, eindeutige und legitime Zwecke

Im Rahmen der KVK-Richtlinie und entsprechend dem Zweck dieses Grundsatzes erklärt und erkennt der VERANTWORTLICHE an, die Voraussetzungen dafür zu schaffen, dass:

die Verarbeitungstätigkeiten für die betroffene Person klar verständlich sind,

leicht festgestellt werden kann, auf welche rechtliche Verarbeitungsvoraussetzung sich die Verarbeitungstätigkeiten stützen,

die Einzelheiten dargelegt werden, die die Bestimmtheit der Verarbeitungstätigkeit und des mit ihr verfolgten Zwecks gewährleisten.

Im Einklang mit diesem Grundsatz erklärt und erkennt der VERANTWORTLICHE als Richtlinie an, dass die personenbezogenen Daten der betroffenen Person für festgelegte, eindeutige und legitime Zwecke verarbeitet werden und wurden, die den gesetzlich vorgesehenen und dieser Richtlinie zugrunde liegenden Regeln entsprechen, die mit den von ihm angebotenen Arbeiten und Dienstleistungen zusammenhängen und die bestimmt wurden, weil sie dafür erforderlich sind.

Ebenfalls als Erfordernis des Grundsatzes der Bestimmtheit und Klarheit hat der VERANTWORTLICHE als seine KVK-Richtlinie angenommen und anerkannt, dass in den Rechtsgeschäften, Vorgängen und Texten gegenüber den Personen, mit denen er in Interaktion und Kommunikation steht und in denen die Zwecke der Datenverarbeitung erläutert werden (ausdrückliche Einwilligung, Informationstext, Beantwortung von Anträgen betroffener Personen, Anmeldung zum Register der Verantwortlichen, Verträge und ähnliche Dokumente), angemessene Regelungen getroffen wurden; dass darauf geachtet wurde, keine für jedermann unverständliche technische und juristische Terminologie zu verwenden, und dass diese aktuell gehalten werden; dass keine Daten ohne Zustimmung oder Erlaubnis für andere als die der betroffenen Person mitgeteilten Zwecke verarbeitet werden; und dass im Falle einer Verarbeitung zu anderen Zwecken zivil- und strafrechtliche Verantwortlichkeiten entstehen.

Grundsatz der Zweckbindung, Begrenzung und Verhältnismäßigkeit

Der VERANTWORTLICHE handelt im Bewusstsein, dass die Daten der Personen, mit denen er in Interaktion und Kommunikation steht, geeignet sein müssen, die zuvor festgelegten und erläuterten Zwecke zu erreichen, dass die Verarbeitung personenbezogener Daten, die mit der Zweckerreichung nicht zusammenhängen oder dafür nicht erforderlich sind, zu vermeiden ist, und dass eine Datenverarbeitung im Hinblick auf möglicherweise später entstehende Bedürfnisse nicht erfolgen darf.

Dementsprechend sieht der VERANTWORTLICHE es als Erfordernis der KVK-Richtlinie an, dass eine Verarbeitung im Hinblick auf mögliche künftige Bedürfnisse eine neue Verarbeitungstätigkeit darstellen würde, dass in einem solchen Fall eine der in Artikel 5 des KVK-Gesetzes geregelten Voraussetzungen für die Verarbeitung personenbezogener Daten vorliegen muss, dass die verarbeiteten Daten ausschließlich auf die zur Zweckerreichung erforderlichen personenbezogenen Daten beschränkt bleiben und dass eine über das Erforderliche hinausgehende Verarbeitung einen Verstoß gegen den Grundsatz der Begrenzung darstellen würde.

Der VERANTWORTLICHE weiß und handelt entsprechend, dass der in diesem Artikel behandelte Grundsatz der Verhältnismäßigkeit auch bedeutet, ein angemessenes Gleichgewicht zwischen der Datenverarbeitung und dem angestrebten Zweck herzustellen, mit anderen Worten, dass die Verarbeitung in einem dem Verarbeitungszweck entsprechenden und mit ihm vereinbaren Maß zu erfolgen hat.

Grundsatz der Aufbewahrung für die gesetzlich vorgesehene oder für den Verarbeitungszweck erforderliche Dauer

Als Erfordernis des „Grundsatzes der Zweckbindung“, eines der wichtigsten Grundsätze der KVK-Richtlinie, hat der VERANTWORTLICHE die erforderlichen rechtlichen und administrativen Maßnahmen ergriffen und ergreift sie weiterhin, um personenbezogene Daten für einen dem Verarbeitungszweck angemessenen Zeitraum im Rahmen der Bestimmungen nationaler oder internationaler Rechtsvorschriften und unter Berücksichtigung von Verjährungs- und Ausschlussfristen aufzubewahren; sofern keine solche gesetzliche Frist vorgesehen ist, sie für die für den Verarbeitungszweck erforderliche angemessene Dauer aufzubewahren; und, sofern kein gültiger Grund für eine längere Aufbewahrung besteht, diese Daten zu löschen, zu vernichten oder zu anonymisieren.

Während er die Erfordernisse dieses Grundsatzes der fristgerechten Aufbewahrung erfüllt, hält der VERANTWORTLICHE zugleich im Rahmen der Bestimmung des Artikels 12 des KVK-Gesetzes ein angemessenes physisches und technologisches Sicherheitsniveau sicher und aktuell, um die unrechtmäßige Verarbeitung personenbezogener Daten zu verhindern, unrechtmäßigen Zugriff auf personenbezogene Daten zu verhindern und die Aufbewahrung personenbezogener Daten zu gewährleisten.

Zu dem in diesem Artikel genannten Zweck und im Rahmen dieser Richtlinie hat der VERANTWORTLICHE eine Richtlinie und Grundsätze zur Aufbewahrung und Vernichtung personenbezogener Daten erstellt, die Aufbewahrungsfristen sowie die für die Aufbewahrung erforderlichen technischen und administrativen Maßnahmen festgelegt und die erforderlichen rechtlichen, administrativen, physischen und technologischen Maßnahmen umgesetzt, um die Aufbewahrung personenbezogener Daten nach diesen Grundsätzen zu gewährleisten.

Gemäß Artikel 16 des KVK-Gesetzes ermittelt der VERANTWORTLICHE bei der Anmeldung zum Register die für den Verarbeitungszweck erforderliche Höchstdauer unter Berücksichtigung des Artikels 9 der Verordnung über das Register der Verantwortlichen, erklärt diese Dauer und meldet dem Register die Verarbeitungszwecke der gemeldeten Datenkategorien sowie die für deren Verarbeitung erforderlichen und gesetzlich vorgesehenen maximalen Aufbewahrungsfristen – wobei, da diese Fristen von den gesetzlich vorgesehenen abweichen können oder Verjährungsfristen betroffen sein können, die Verjährungsfristen bzw. die längste Frist zugrunde gelegt werden.

Schließlich werden die personenbezogenen Daten nach Ablauf der vom VERANTWORTLICHEN festgelegten und gemeldeten Aufbewahrungsfristen – unter Berücksichtigung sowohl der nach den für ihn geltenden Rechtsvorschriften vorgesehenen Fristen als auch der Verjährungsfristen – vom VERANTWORTLICHEN gelöscht, vernichtet oder anonymisiert.

6. RECHTLICHE VORAUSSETZUNGEN FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN

Ausdrückliche Einwilligung

Im Rahmen des Artikels 5 des KVK-Gesetzes nimmt der VERANTWORTLICHE vor Beginn der Verarbeitung der Daten der Personen, mit denen er in Interaktion und Kommunikation steht, eine Beurteilung darüber vor, ob er sich auf eine der nachstehend genannten und in den Rechtsvorschriften enthaltenen Verarbeitungsvoraussetzungen stützen kann; ergibt diese Beurteilung, dass keine der anderen Voraussetzungen vorliegt, holt er die ausdrückliche Einwilligung der betroffenen Person ein.

Zu diesem Zweck wurden in den physischen und elektronischen Medien, die die Daten der Personen enthalten, mit denen der VERANTWORTLICHE in Interaktion und Kommunikation steht, sowie in allen Rechtsgeschäften, Vorgängen und Texten (ausdrückliche Einwilligung, Informationstext, Beantwortung von Anträgen betroffener Personen, Anmeldung zum Register der Verantwortlichen, Formulare, Erklärungen, Verträge und ähnliche Dokumente) Regelungen getroffen und der gesamte Prozess rechtskonform gestaltet.

Ausdrückliche gesetzliche Vorsehung

Wie in jedem Bereich ist der VERANTWORTLICHE auch im Rahmen der KVK-Richtlinie eine gesetzestreue Einrichtung, die im Einklang mit den in nationalen und internationalen Rechtsvorschriften vorgesehenen Bestimmungen und Regeln handelt.

Im Rahmen des KVK-Gesetzes verarbeitet der VERANTWORTLICHE personenbezogene Daten ohne die ausdrückliche Einwilligung der betroffenen Person, wenn eine der ausdrücklich gesetzlich vorgesehenen Verarbeitungsvoraussetzungen vorliegt oder eine zwingende Regelung für die Verarbeitung besteht.

Tatsächliche Unmöglichkeit

Ist es zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder einer anderen Person zwingend erforderlich, kann der VERANTWORTLICHE die personenbezogenen Daten einer Person, die aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann, die zwar rechtsfähig, aber aus irgendeinem Grund nicht geschäftsfähig ist oder sein kann, oder deren Einwilligung aus anderen Gründen keine Rechtsgültigkeit zuerkannt wird, ohne deren ausdrückliche Einwilligung verarbeiten.

Erforderlichkeit für den Abschluss und die Erfüllung eines Vertrags

Um Tätigkeiten im Zusammenhang mit den von seiner Branche geforderten Dienstleistungen und Produkten ausüben zu können, schließt der VERANTWORTLICHE Verträge mit den natürlichen oder juristischen Personen, mit denen er in Interaktion und Kommunikation steht, und geht im Rahmen dieser Verträge gegenseitige Pflichten und Verantwortlichkeiten ein.

Ist die Verarbeitung personenbezogener Daten der Vertragsparteien erforderlich, sofern sie unmittelbar mit dem Abschluss oder der Erfüllung des Vertrags zusammenhängt, verarbeitet er die Daten der betroffenen Personen beschränkt auf diesen Zweck. Für die in diesem Rahmen durchgeführte Verarbeitung benötigt der VERANTWORTLICHE keine ausdrückliche Einwilligung der betroffenen Person.

Erforderlichkeit zur Erfüllung einer rechtlichen Verpflichtung des VERANTWORTLICHEN

Der VERANTWORTLICHE kann personenbezogene Daten einer betroffenen Person ohne deren ausdrückliche Einwilligung verarbeiten, wenn dies als Erfordernis einer rechtlichen Verantwortung oder Verpflichtung im Rahmen insbesondere des KVK-Gesetzes und sonstiger nationaler oder internationaler Rechtsvorschriften erfolgt oder entsprechend den Anforderungen amtlicher Institutionen und Organisationen, Staatsanwaltschaften, Gerichte oder anderer Behörden. Er kann sie mit diesen Institutionen teilen.

Öffentlichmachung personenbezogener Daten durch die betroffene Person

Der VERANTWORTLICHE kann die personenbezogenen Daten, die die betroffene Person, mit der er in Interaktion und Kommunikation steht, öffentlich bekannt gemacht, angekündigt, für Dritte zugänglich geteilt oder aus eigenem klaren und freien Willen öffentlich gemacht hat, im Rahmen des vorgesehenen Zwecks verarbeiten. In einem solchen Fall ist keine ausdrückliche Einwilligung der betroffenen Person erforderlich.

Erforderlichkeit der Verarbeitung zur Begründung, Ausübung oder zum Schutz eines Rechts

Der VERANTWORTLICHE verarbeitet personenbezogene Daten der betroffenen Person, wenn dies zur Begründung, Ausübung oder zum Schutz eines Rechts zwingend erforderlich ist – etwa zur Dokumentation einer zu seinen Gunsten oder zu seinen Lasten geführten Untersuchung, zum Beweis eines Rechtsstreits oder zur Aufbewahrung von Rechnungen und Verträgen für amtliche Vorgänge während der Verjährungsfrist. In einem solchen Fall ist keine ausdrückliche Einwilligung der betroffenen Person erforderlich.

Erforderlichkeit der Verarbeitung für die berechtigten Interessen des VERANTWORTLICHEN, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden

Im Rahmen des KVK-Gesetzes ist die Verarbeitung personenbezogener Daten der betroffenen Person möglich, wenn die Verarbeitung für die berechtigten Interessen des VERANTWORTLICHEN erforderlich ist, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden. In einem solchen Fall ist keine ausdrückliche Einwilligung erforderlich.

Mit anderen Worten: Besteht – gegenüber dem Schutz der Grundrechte und Grundfreiheiten der betroffenen Person – ein berechtigtes, hinreichend wirksames und gegenwärtig bestehendes Interesse des VERANTWORTLICHEN, entspricht dieses Interesse dem Sinn und Zweck der Rechtsvorschriften und ist die Verarbeitung für die Durchführung laufender Tätigkeiten erforderlich, so steht der Verarbeitung der personenbezogenen Daten der betroffenen Person durch den VERANTWORTLICHEN kein rechtliches Hindernis entgegen.

7. VORAUSSETZUNGEN FÜR DIE VERARBEITUNG BESONDERER KATEGORIEN PERSONENBEZOGENER DATEN

Der VERANTWORTLICHE betrachtet Daten über Rasse, ethnische Herkunft, politische Meinung, weltanschauliche Überzeugung, Religion, Konfession oder sonstige Überzeugungen, Erscheinungsbild und Kleidung, Mitgliedschaft in einem Verein, einer Stiftung oder Gewerkschaft, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherungsmaßnahmen sowie biometrische und genetische Daten als besondere Kategorien personenbezogener Daten.

Grundsätzlich ist die Verarbeitung besonderer Kategorien personenbezogener Daten nach den Rechtsvorschriften untersagt. Die Verarbeitung dieser Daten ist jedoch möglich, wenn:

a) die betroffene Person ihre ausdrückliche Einwilligung erteilt hat,

b) dies ausdrücklich gesetzlich vorgesehen ist,

c) dies zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder einer anderen Person zwingend erforderlich ist, die aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder deren Einwilligung keine Rechtsgültigkeit zuerkannt wird,

ç) sie sich auf von der betroffenen Person öffentlich gemachte personenbezogene Daten beziehen und dem Willen zur Öffentlichmachung entsprechen,

d) dies zur Begründung, Ausübung oder zum Schutz eines Rechts zwingend erforderlich ist,

e) dies zum Schutz der öffentlichen Gesundheit, für präventivmedizinische Zwecke, zur medizinischen Diagnose, zur Erbringung von Behandlungs- und Pflegeleistungen sowie zur Planung, Verwaltung und Finanzierung von Gesundheitsdiensten durch der Schweigepflicht unterliegende Personen oder befugte Institutionen und Organisationen erforderlich ist,

f) dies zur Erfüllung rechtlicher Verpflichtungen in den Bereichen Beschäftigung, Arbeitsschutz, soziale Sicherheit, soziale Dienste und Sozialhilfe zwingend erforderlich ist,

g) sie sich auf gegenwärtige oder ehemalige Mitglieder und Angehörige von zu politischen, weltanschaulichen, religiösen oder gewerkschaftlichen Zwecken gegründeten Stiftungen, Vereinen und sonstigen gemeinnützigen Organisationen oder Zusammenschlüssen oder auf Personen beziehen, die mit diesen in regelmäßigem Kontakt stehen, sofern sie den für sie geltenden Rechtsvorschriften und ihren Zwecken entsprechen, auf ihre Tätigkeitsbereiche beschränkt sind und nicht an Dritte weitergegeben werden.

Sofern bei der Verarbeitung besonderer Kategorien personenbezogener Daten zusätzlich das Ergreifen der vom Ausschuss festgelegten angemessenen Maßnahmen vorgesehen ist, wird auch diesen Ausschussbeschlüssen entsprochen.

8. LÖSCHUNG, VERNICHTUNG ODER ANONYMISIERUNG PERSONENBEZOGENER DATEN

Der VERANTWORTLICHE hat gesondert und ausdrücklich eine KVSİ-Richtlinie (Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten) erstellt, um seine Vorgehensweisen zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten festzulegen. Kurz erläutert gilt Folgendes:

Nach der in Artikel 7 des KVK-Gesetzes geregelten Bestimmung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten werden diese Daten, wenn die Gründe für ihre Verarbeitung entfallen, obwohl sie rechtmäßig verarbeitet wurden, vom VERANTWORTLICHEN von Amts wegen oder auf Antrag der betroffenen Person gelöscht, vernichtet oder anonymisiert.

Dementsprechend kann der VERANTWORTLICHE personenbezogene Daten in folgenden Fällen löschen, vernichten oder anonymisieren:

Änderung oder Aufhebung der für die Verarbeitung maßgeblichen Rechtsvorschriften,

Ablauf der Verjährungsfrist, die nach den Phasen läuft, in denen der Vertrag zwischen dem VERANTWORTLICHEN und den natürlichen oder juristischen Personen, mit denen er in Interaktion und Kommunikation steht, nie zustande kam, unwirksam war, von selbst endete, gekündigt wurde oder von dem zurückgetreten wurde,

Wegfall des die Verarbeitung erfordernden Zwecks,

Feststellung, dass die Verarbeitung rechtswidrig ist oder gegen Treu und Glauben verstößt,

Widerruf der Einwilligung durch die betroffene Person in Fällen, in denen die Verarbeitung ausschließlich auf der ausdrücklichen Einwilligung beruht,

Annahme des Antrags der betroffenen Person durch den VERANTWORTLICHEN, der im Rahmen der Rechte nach Artikel 11 Absatz 1 Buchstaben (e) und (f) des KVK-Gesetzes („Rechte der betroffenen Person“) zur Verarbeitungstätigkeit gestellt wurde,

wenn der VERANTWORTLICHE den an ihn gerichteten Antrag auf Löschung oder Vernichtung personenbezogener Daten ablehnt, seine Antwort als unzureichend befunden wird oder er nicht innerhalb der im KVK-Gesetz vorgesehenen Frist antwortet, eine Beschwerde beim KVK-Ausschuss eingereicht und diesem Antrag vom KVK-Ausschuss stattgegeben wird,

Fehlen jeglicher Voraussetzung, die eine längere Aufbewahrung rechtfertigt, obwohl die maximale Aufbewahrungsfrist oder die Verjährungsfrist abgelaufen ist,

Wegfall der in den Artikeln 5 und 6 des KVK-Gesetzes genannten Voraussetzungen für die Verarbeitung personenbezogener Daten.

Liegt eine der vorstehend genannten Voraussetzungen vor, so ist die Löschung, Vernichtung oder Anonymisierung der personenbezogenen Daten Pflicht und Verantwortung des VERANTWORTLICHEN, ohne dass es eines Antrags der betroffenen Person bedarf. Die betroffene Person hat jedoch ebenfalls das Recht, vom VERANTWORTLICHEN die Löschung, Vernichtung oder Anonymisierung ihrer personenbezogenen Daten zu verlangen, sofern die Voraussetzungen vorliegen.

Darüber hinaus hat der VERANTWORTLICHE im Rahmen der in Artikel 7 ff. der Löschungsverordnung vorgesehenen Bestimmungen eine KVSİ-Richtlinie erlassen. Die Aufbewahrung, Löschung, Vernichtung oder Anonymisierung der vom VERANTWORTLICHEN verarbeiteten personenbezogenen Daten erfolgt im Rahmen der Grundsätze der mit dieser Richtlinie verbundenen KVSİ-Richtlinie.

Die in der KVSİ-Richtlinie enthaltenen Grundsätze gelten auch für Sachverhalte im Zusammenhang mit der rechtskonformen Anpassung und Aktualisierung sowie erforderlichenfalls der Löschung, Vernichtung oder Anonymisierung von Daten, die vom VERANTWORTLICHEN vor Inkrafttreten des KVK-Gesetzes oder gegebenenfalls vor einer Gesetzesänderung verarbeitet wurden.

9. ÜBERMITTLUNG PERSONENBEZOGENER DATEN

Grundsätzlich dürfen personenbezogene Daten ohne die ausdrückliche Einwilligung der betroffenen Person nicht übermittelt werden.

Der VERANTWORTLICHE kann personenbezogene Daten jedoch übermitteln, wenn:

dies ausdrücklich gesetzlich vorgesehen ist;

dies zum Schutz des Lebens oder der körperlichen Unversehrtheit einer Person, die aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder deren Einwilligung keine Rechtsgültigkeit zuerkannt wird, oder einer anderen Person zwingend erforderlich ist;

die Verarbeitung personenbezogener Daten der Vertragsparteien erforderlich ist, sofern sie unmittelbar mit dem Abschluss oder der Erfüllung eines Vertrags zusammenhängt;

dies zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen zwingend erforderlich ist;

sie von der betroffenen Person öffentlich gemacht wurden;

die Verarbeitung zur Begründung, Ausübung oder zum Schutz eines Rechts zwingend erforderlich ist;

die Verarbeitung für die berechtigten Interessen des Verantwortlichen zwingend erforderlich ist, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden;

und bei Vorliegen einer dieser Voraussetzungen kann er personenbezogene Daten auch ohne die ausdrückliche Einwilligung der betroffenen Person übermitteln.

Ebenso kann der VERANTWORTLICHE, sofern angemessene Maßnahmen getroffen werden, besondere Kategorien personenbezogener Daten ohne die ausdrückliche Einwilligung der betroffenen Person übermitteln, wenn eine der folgenden Voraussetzungen vorliegt:

die betroffene Person hat ihre ausdrückliche Einwilligung erteilt,

dies ist ausdrücklich gesetzlich vorgesehen,

dies ist zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder einer anderen Person zwingend erforderlich, die aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder deren Einwilligung keine Rechtsgültigkeit zuerkannt wird,

es bezieht sich auf von der betroffenen Person öffentlich gemachte personenbezogene Daten und entspricht dem Willen zur Öffentlichmachung,

es ist zur Begründung, Ausübung oder zum Schutz eines Rechts zwingend erforderlich,

es ist zum Schutz der öffentlichen Gesundheit, für präventivmedizinische Zwecke, zur medizinischen Diagnose, zur Erbringung von Behandlungs- und Pflegeleistungen sowie zur Planung, Verwaltung und Finanzierung von Gesundheitsdiensten durch der Schweigepflicht unterliegende Personen oder befugte Institutionen und Organisationen erforderlich,

es ist zur Erfüllung rechtlicher Verpflichtungen in den Bereichen Beschäftigung, Arbeitsschutz, soziale Sicherheit, soziale Dienste und Sozialhilfe zwingend erforderlich,

es richtet sich an gegenwärtige oder ehemalige Mitglieder und Angehörige von zu politischen, weltanschaulichen, religiösen oder gewerkschaftlichen Zwecken gegründeten Stiftungen, Vereinen und sonstigen gemeinnützigen Organisationen oder Zusammenschlüssen oder an Personen, die mit diesen in regelmäßigem Kontakt stehen, sofern es den für sie geltenden Rechtsvorschriften und ihren Zwecken entspricht, auf ihre Tätigkeitsbereiche beschränkt ist und nicht an Dritte weitergegeben wird.

Der VERANTWORTLICHE ist sich ferner bewusst, dass er bei der Übermittlung dieser besonderen Kategorien personenbezogener Daten zusätzlich verpflichtet und verantwortlich ist, die vom KVK-Ausschuss festgelegten angemessenen Maßnahmen zu ergreifen.

Die Übermittlung personenbezogener Daten ins Ausland ist unter den folgenden Voraussetzungen möglich.

Personenbezogene Daten können vom VERANTWORTLICHEN und von Auftragsverarbeitern ins Ausland übermittelt werden, wenn eine der vorstehend und im Rahmen dieses Artikels genannten Voraussetzungen vorliegt und ein vom KVK-Ausschuss erlassener und im Amtsblatt veröffentlichter Angemessenheitsbeschluss über das Land, die Sektoren innerhalb des Landes oder die internationalen Organisationen vorliegt, an die die Übermittlung erfolgen soll.

Liegt der vorgenannte Angemessenheitsbeschluss nicht vor, können personenbezogene Daten vom VERANTWORTLICHEN oder von Auftragsverarbeitern ins Ausland übermittelt werden, sofern eine der vorstehend in diesem Artikel genannten Voraussetzungen vorliegt und die betroffene Person auch in dem Land, in das übermittelt wird, die Möglichkeit hat, ihre Rechte auszuüben und wirksame Rechtsbehelfe einzulegen, wenn eine der folgenden geeigneten Garantien von den Parteien bereitgestellt wird:

das Bestehen einer Vereinbarung, die keinen völkerrechtlichen Vertrag darstellt und zwischen öffentlichen Institutionen und Organisationen oder internationalen Organisationen im Ausland und öffentlichen Institutionen und Organisationen oder Berufsorganisationen mit dem Status öffentlicher Einrichtungen in der Türkei geschlossen wurde, sowie die Genehmigung der Übermittlung durch den KVK-Ausschuss;

das Bestehen verbindlicher unternehmensinterner Vorschriften, die Bestimmungen zum Schutz personenbezogener Daten enthalten, vom KVK-Ausschuss genehmigt wurden und von den Gesellschaften innerhalb einer gemeinsam wirtschaftlich tätigen Unternehmensgruppe einzuhalten sind;

das Bestehen des vom KVK-Ausschuss bekannt gegebenen Standardvertrags, der Angaben wie Datenkategorien, Zwecke der Übermittlung, Empfänger und Empfängergruppen, vom Datenempfänger zu treffende technische und administrative Maßnahmen sowie zusätzliche Maßnahmen für besondere Kategorien personenbezogener Daten enthält;

das Bestehen einer schriftlichen Verpflichtungserklärung mit Bestimmungen, die einen angemessenen Schutz gewährleisten, sowie die Genehmigung der Übermittlung durch den KVK-Ausschuss.

Im Falle eines Standardvertrags wird dieser vom VERANTWORTLICHEN innerhalb von fünf Werktagen nach seiner Unterzeichnung der Datenschutzbehörde gemeldet.

Liegt kein Angemessenheitsbeschluss vor und kann keine der geeigneten Garantien bereitgestellt werden, dürfen der VERANTWORTLICHE und Auftragsverarbeiter personenbezogene Daten nur vorübergehend und ausnahmsweise ins Ausland übermitteln, wenn einer der folgenden Fälle vorliegt. Diese Ausnahmefälle sind:

die betroffene Person erteilt ihre ausdrückliche Einwilligung zur Übermittlung, sofern sie über die möglichen Risiken informiert wurde;

die Übermittlung ist für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder für die Durchführung vorvertraglicher Maßnahmen auf Antrag der betroffenen Person erforderlich;

die Übermittlung ist für den Abschluss oder die Erfüllung eines im Interesse der betroffenen Person zwischen dem Verantwortlichen und einer anderen natürlichen oder juristischen Person zu schließenden Vertrags erforderlich;

die Übermittlung ist aus einem überwiegenden öffentlichen Interesse erforderlich;

die Übermittlung personenbezogener Daten ist zur Begründung, Ausübung oder zum Schutz eines Rechts erforderlich;

die Übermittlung personenbezogener Daten ist zum Schutz des Lebens oder der körperlichen Unversehrtheit einer Person, die aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder deren Einwilligung keine Rechtsgültigkeit zuerkannt wird, oder einer anderen Person erforderlich;

die Übermittlung erfolgt aus einem der Öffentlichkeit oder Personen mit berechtigtem Interesse zugänglichen Register, sofern die nach den einschlägigen Rechtsvorschriften für den Registerzugang erforderlichen Voraussetzungen erfüllt sind und die Person mit berechtigtem Interesse dies beantragt.

10. PFLICHTEN DES VERANTWORTLICHEN IN BEZUG AUF DIE DATENSICHERHEIT

Im Rahmen des Artikels 12 des Gesetzes Nr. 6698 ist der VERANTWORTLICHE verpflichtet, alle erforderlichen technischen und administrativen Maßnahmen zu ergreifen, um:

die unrechtmäßige Verarbeitung Ihrer personenbezogenen Daten zu verhindern,

den unrechtmäßigen Zugriff auf Ihre personenbezogenen Daten zu verhindern,

die Aufbewahrung Ihrer personenbezogenen Daten zu gewährleisten,

und er hat die hier genannten administrativen und technischen Maßnahmen ergriffen und ergreift sie weiterhin, um ein angemessenes Sicherheitsniveau zu gewährleisten.

Andererseits erkennt der VERANTWORTLICHE an, dass er, wenn personenbezogene Daten in seinem Namen von einer anderen natürlichen oder juristischen Person verarbeitet werden, gemeinsam mit diesen Personen für das Ergreifen der vorgenannten administrativen und technischen Maßnahmen verantwortlich ist; dass er verpflichtet ist, in seiner eigenen Einrichtung oder Organisation die erforderlichen Prüfungen durchzuführen oder durchführen zu lassen, um die Umsetzung der Rechtsvorschriften zu gewährleisten; dass der VERANTWORTLICHE und die Auftragsverarbeiter die ihnen bekannt gewordenen personenbezogenen Daten entgegen den Rechtsvorschriften nicht an Dritte weitergeben und nicht zu anderen als den Verarbeitungszwecken verwenden dürfen und dass diese Pflichten auch nach ihrem Ausscheiden fortbestehen; dass er verpflichtet ist, im Falle der rechtswidrigen Erlangung verarbeiteter personenbezogener Daten durch Dritte dies schnellstmöglich der betroffenen Person und dem Ausschuss zu melden; und dass der KVK-Ausschuss diesen Sachverhalt erforderlichenfalls auf seiner eigenen Website oder in einer anderen von ihm für geeignet gehaltenen Weise bekannt machen kann.

Darüber hinaus erfüllt er die Anforderungen der von der Datenschutzbehörde zur Festlegung der Pflichten im Bereich der Datensicherheit erlassenen Regelungen. Die Einzelheiten der technischen und administrativen Maßnahmen sowie die unter Berücksichtigung der vom KVK-Ausschuss festgelegten Mindestkriterien branchenbezogen verarbeiteten und aufgeschlüsselten personenbezogenen Daten sind in den im Rahmen der KVK-Richtlinie erstellten Tabellen, Schemata und Grafiken dargestellt.

Der VERANTWORTLICHE weiß und erkennt an, dass er, wenn personenbezogene Daten in seinem Namen von einer anderen natürlichen oder juristischen Person verarbeitet werden, also wenn ein Auftragsverarbeiter beteiligt ist, gemeinsam mit diesen Personen für das Ergreifen der vorgenannten Maßnahmen verantwortlich ist.

Der VERANTWORTLICHE ist verpflichtet, selbst, durch seinen Vertreter oder durch einen von ihm benannten Dritten in seiner eigenen Einrichtung oder Organisation die erforderlichen Prüfungen durchzuführen oder durchführen zu lassen, um die Umsetzung der Bestimmungen des KVK-Gesetzes zu gewährleisten. Darüber hinaus geben Auftragsverarbeiter die ihnen bekannt gewordenen personenbezogenen Daten entgegen den Bestimmungen des KVK-Gesetzes nicht an Dritte weiter und verwenden sie nicht zu anderen als den Verarbeitungszwecken. Dies gilt auch nach dem Ausscheiden fort.

11. INFORMATIONSPFLICHT DES VERANTWORTLICHEN

Im Rahmen des Artikels 10 des KVK-Gesetzes ist der VERANTWORTLICHE verpflichtet, der betroffenen Person bei der Erhebung personenbezogener Daten selbst oder über eine von ihm bevollmächtigte Person folgende Informationen bereitzustellen:

die Identität des VERANTWORTLICHEN und gegebenenfalls, optional, seines Vertreters,

zu welchem Zweck die personenbezogenen Daten verarbeitet werden,

an wen und zu welchem Zweck die personenbezogenen Daten übermittelt werden können,

die Methode und die Rechtsgrundlage der Erhebung personenbezogener Daten,

welche weiteren Rechte der betroffenen Person im Rahmen des Artikels 11 des KVK-Gesetzes in Bezug auf die Ausübung ihrer Rechte an personenbezogenen Daten zustehen.

Andererseits hat der VERANTWORTLICHE im Rahmen der Artikel 5 und 6 der von der Datenschutzbehörde zu den von Verantwortlichen einzuhaltenden Verfahren und Grundsätzen veröffentlichten Mitteilung zur Erfüllung der Informationspflicht die Einhaltung der folgenden Pflichten zum Grundsatz erhoben.

Der VERANTWORTLICHE hat bei der Erfüllung der Informationspflicht durch ihn selbst oder durch eine von ihm bevollmächtigte Person – mündlich, schriftlich, durch Tonaufzeichnung, über ein Callcenter oder unter Verwendung sonstiger physischer oder elektronischer Medien – die nachstehenden Verfahren und Grundsätze anerkannt:

Der VERANTWORTLICHE erfüllt die Informationspflicht in jedem Fall, in dem personenbezogene Daten verarbeitet werden, sei es auf Grundlage der ausdrücklichen Einwilligung der betroffenen Person oder der sonstigen im KVK-Gesetz genannten Verarbeitungsvoraussetzungen.

Ändert sich der Zweck der Verarbeitung personenbezogener Daten, erfüllt der VERANTWORTLICHE die Informationspflicht für diesen Zweck vor der Verarbeitungstätigkeit.

Werden personenbezogene Daten in verschiedenen Einheiten zu verschiedenen Zwecken verarbeitet, erfüllt der VERANTWORTLICHE die Informationspflicht für jede Einheit gesondert.

Besteht eine Pflicht zur Eintragung in das Register, werden die der betroffenen Person im Rahmen der Informationspflicht zu erteilenden Angaben mit den dem Register offengelegten Angaben in Einklang gehalten.

Der VERANTWORTLICHE weiß, dass die Pflicht zur Erfüllung der Informationspflicht nicht von einem Antrag der betroffenen Person abhängt, und nimmt diesen Vorgang von Amts wegen vor.

Der Nachweis der Erfüllung der Informationspflicht obliegt dem VERANTWORTLICHEN.

Erfolgt die Verarbeitung personenbezogener Daten auf Grundlage der ausdrücklichen Einwilligung, erfüllt der VERANTWORTLICHE die Informationspflicht und die Einholung der ausdrücklichen Einwilligung gesondert.

Der VERANTWORTLICHE weiß, dass der im Rahmen der Informationspflicht offenzulegende Verarbeitungszweck festgelegt, eindeutig und legitim sein muss. Bei der Erfüllung dieser Pflicht verwendet der VERANTWORTLICHE keine allgemeinen und unklaren Formulierungen und keine Formulierungen, die den Eindruck erwecken, personenbezogene Daten könnten für andere möglicherweise auftretende Zwecke verarbeitet werden.

Der VERANTWORTLICHE nimmt die im Rahmen der Informationspflicht an die betroffene Person gerichtete Mitteilung in verständlicher, klarer und einfacher Sprache vor.

Bei der Erfüllung der Informationspflicht gibt der VERANTWORTLICHE die Rechtsgrundlage, den Zweck der Übermittlung der personenbezogenen Daten und die Empfängergruppen, an die übermittelt wird, sowie die Angabe, ob diese Daten ganz oder teilweise automatisiert oder nicht automatisiert als Teil eines Datenerfassungssystems erhoben wurden, ausdrücklich an.

Nach Artikel 6 derselben Verordnung informiert der VERANTWORTLICHE die betroffene Person im Rahmen der Informationspflicht, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden, also wenn von einem Dritten erhaltene personenbezogene Daten vorliegen:

innerhalb einer angemessenen Frist nach Erhebung der personenbezogenen Daten,

beim ersten Kontakt, sofern die personenbezogenen Daten zur Kommunikation mit der betroffenen Person verwendet werden sollen,

spätestens bei der ersten Übermittlung, sofern die personenbezogenen Daten übermittelt werden sollen.

12. PFLICHT ZUR BEANTWORTUNG VON ANTRÄGEN BETROFFENER PERSONEN UND ZUR UMSETZUNG VON ENTSCHEIDUNGEN

Gemäß Artikel 13 des KVK-Gesetzes und der auf dessen Grundlage im Amtsblatt vom 10.03.2018 veröffentlichten Mitteilung über die Antragstellung beim Verantwortlichen werden Anträge betroffener Personen zu personenbezogenen Daten, die schriftlich oder unter Verwendung der in der genannten Mitteilung aufgeführten registrierten elektronischen Postadresse (KEP), einer sicheren elektronischen Signatur, einer mobilen Signatur oder der im System des VERANTWORTLICHEN registrierten E-Mail-Adresse der betroffenen Person oder mittels einer vom VERANTWORTLICHEN für diesen Zweck entwickelten Software oder Anwendung gestellt werden, vom VERANTWORTLICHEN je nach ihrer Art schnellstmöglich und spätestens innerhalb von dreißig Tagen kostenlos abgeschlossen.

Erfordert der Vorgang jedoch zusätzliche Kosten, hat der VERANTWORTLICHE das Recht, von der antragstellenden betroffenen Person die in dem vom KVK-Ausschuss festgelegten Tarif vorgesehenen Gebühren zu verlangen.

Nimmt der VERANTWORTLICHE den Antrag der betroffenen Person an oder lehnt er ihn unter Angabe von Gründen ab, teilt er diese Antwort der betroffenen Person schriftlich oder elektronisch mit. Wird dem Antrag stattgegeben, werden dessen Erfordernisse vom VERANTWORTLICHEN schnellstmöglich erfüllt. Beruhte der Antrag auf einem Fehler des VERANTWORTLICHEN, wird die erhobene Gebühr erstattet.

Wird der Antrag vom VERANTWORTLICHEN abgelehnt, die erteilte Antwort als unzureichend befunden oder nicht fristgerecht beantwortet, hat die betroffene Person das Recht, innerhalb von dreißig Tagen ab Kenntnis der Antwort des VERANTWORTLICHEN und jedenfalls innerhalb von sechzig Tagen ab dem Antragsdatum Beschwerde beim KVK-Ausschuss einzulegen.

13. PFLICHT ZUR EINTRAGUNG IN DAS REGISTER DER VERANTWORTLICHEN

Gemäß Artikel 16 des KVK-Gesetzes hat der VERANTWORTLICHE als eine im öffentlich geführten VERBİS-System der Datenschutzbehörde registrierte Einrichtung die Einhaltung der in der Verordnung über das Register der Verantwortlichen festgelegten und vom KVK-Ausschuss nachstehend aufgeführten Kriterien für die Verarbeitung und Übermittlung personenbezogener Daten zum Grundsatz erhoben.

Diese Kriterien sind demnach:

die Art der personenbezogenen Daten,

die Anzahl der personenbezogenen Daten,

der Zweck der Verarbeitung der personenbezogenen Daten,

der Tätigkeitsbereich, in dem die personenbezogenen Daten verarbeitet werden,

ob die personenbezogenen Daten an Dritte übermittelt werden,

ob die Verarbeitungstätigkeit auf Gesetzen beruht,

die Dauer der Aufbewahrung der personenbezogenen Daten,

die Gruppe der betroffenen Personen oder die Datenkategorien.

14. MELDEPFLICHT

Werden verarbeitete personenbezogene Daten auf rechtswidrigem Wege von Dritten erlangt, meldet der VERANTWORTLICHE dies schnellstmöglich der betroffenen Person und dem KVK-Ausschuss.

Der KVK-Ausschuss hat erforderlichenfalls das Recht und die Befugnis, diesen Sachverhalt auf seiner eigenen Website oder in einer anderen von ihm für geeignet gehaltenen Weise bekannt zu machen.

15. RECHTE DER BETROFFENEN PERSON

Im Rahmen des Artikels 11 des KVK-Gesetzes hat die betroffene Person jederzeit das Recht, sich an den VERANTWORTLICHEN zu wenden, um:

zu erfahren, ob ihre personenbezogenen Daten verarbeitet werden,

Informationen zu verlangen, wenn ihre personenbezogenen Daten verarbeitet wurden,

den Zweck der Verarbeitung ihrer personenbezogenen Daten zu erfahren und zu erfahren, ob sie zweckentsprechend verwendet werden,

die Dritten im In- oder Ausland zu kennen, an die ihre personenbezogenen Daten übermittelt werden,

die Berichtigung ihrer personenbezogenen Daten zu verlangen, wenn diese unvollständig oder unrichtig verarbeitet wurden,

die Löschung oder Vernichtung ihrer personenbezogenen Daten zu verlangen,

zu verlangen, dass die hinsichtlich der Berichtigung, Löschung oder Vernichtung ihrer personenbezogenen Daten vorgenommenen Vorgänge den Dritten mitgeteilt werden, an die die Daten übermittelt wurden,

gegen ein Ergebnis Widerspruch einzulegen, das sich durch die ausschließlich automatisierte Analyse der verarbeiteten Daten zu ihrem Nachteil ergibt,

den Ersatz des Schadens zu verlangen, wenn sie durch die rechtswidrige Verarbeitung ihrer personenbezogenen Daten einen Schaden erleidet.

16. VERFAHREN ZUR RECHTSVERFOLGUNG DURCH DIE BETROFFENE PERSON

Zum Schutz ihrer Rechte in Bezug auf die beim VERANTWORTLICHEN geführten personenbezogenen Daten können betroffene Personen neben der unmittelbaren Anrufung der Gerichte die nachstehenden, durch die Artikel 13, 14 und 15 des KVK-Gesetzes eingeführten Rechtsbehelfe nutzen.

Nach Artikel 11 des KVK-Gesetzes haben betroffene Personen das Recht, sich an den VERANTWORTLICHEN zu wenden, um zu erfahren, ob sie betreffende personenbezogene Daten verarbeitet werden, Informationen darüber zu verlangen, falls sie verarbeitet wurden, deren Berichtigung zu verlangen, wenn der Inhalt unvollständig oder unrichtig ist, und deren Löschung, Vernichtung oder Anonymisierung zu verlangen, wenn die Verarbeitung rechtswidrig ist, zu verlangen, dass die entsprechend vorgenommenen Vorgänge den Dritten mitgeteilt werden, denen die Daten offengelegt wurden, und den Ersatz des durch die rechtswidrige Verarbeitung entstandenen Schadens zu verlangen.

Damit betroffene Personen ihr Beschwerderecht ausüben können, müssen sie sich zunächst an den VERANTWORTLICHEN wenden. Ohne Erschöpfung dieses Weges kann keine Beschwerde beim KVK-Ausschuss eingelegt werden. Betroffene Personen, die keine Beschwerde einlegen möchten, können unmittelbar den Rechtsweg beschreiten.

Der Antrag der betroffenen Person wird vom VERANTWORTLICHEN je nach Art des Antrags schnellstmöglich und spätestens innerhalb von 30 Tagen beantwortet.

Betroffene Personen, deren Antrag abgelehnt wurde, die die erteilte Antwort als unzureichend befinden oder deren Antrag nicht fristgerecht beantwortet wurde, können ab diesem Zeitpunkt ihr Beschwerderecht beim KVK-Ausschuss ausüben oder unmittelbar den Rechtsweg beschreiten.

Die Schadensersatzansprüche der betroffenen Personen bleiben vorbehalten.

Die betroffene Person kann sich in Bezug auf ihre personenbezogenen Daten schriftlich oder per E-Mail an die oben auf der ersten Seite angegebenen Adressen und Kontaktwege des VERANTWORTLICHEN wenden.

Die betroffene Person kann sich mit einem schriftlichen und eigenhändig unterzeichneten Dokument oder unter Verwendung einer sicheren elektronischen Signatur oder einer mobilen Signatur an den VERANTWORTLICHEN wenden.

Diese Anträge können auch schriftlich oder unter Verwendung der in der Mitteilung über die Antragstellung beim Verantwortlichen aufgeführten registrierten elektronischen Postadresse (KEP), einer sicheren elektronischen Signatur, einer mobilen Signatur oder der zuvor vom VERANTWORTLICHEN mitgeteilten und in VERBİS registrierten E-Mail-Adresse oder mittels einer für diesen Zweck entwickelten Software oder Anwendung gestellt werden. Der VERANTWORTLICHE schließt die an ihn gerichteten Anträge je nach ihrer Art schnellstmöglich und spätestens innerhalb von dreißig Tagen kostenlos ab.

Der VERANTWORTLICHE kann die an ihn gerichteten Anträge annehmen; er hat ebenso das Recht und die Befugnis, sie unter Angabe von Gründen abzulehnen.

Wird ein an den VERANTWORTLICHEN gerichteter Antrag angenommen, werden dessen Erfordernisse unmittelbar und unverzüglich erfüllt. Die Nichterfüllung der Erfordernisse trotz Annahme des Antrags bedeutet, dass dieser Antrag vom VERANTWORTLICHEN abgelehnt wurde.

Wird der Antrag der betroffenen Person vom VERANTWORTLICHEN abgelehnt, die erteilte Antwort als unzureichend befunden oder nicht fristgerecht beantwortet, kann sich die betroffene Person an den KVK-Ausschuss wenden.

Gemäß Artikel 13 des KVK-Gesetzes bearbeitet der VERANTWORTLICHE die Anträge betroffener Personen kostenlos. Erfordert der durchzuführende Vorgang jedoch zusätzliche Kosten, kann nach dem vom KVK-Ausschuss festgelegten Tarif eine Gebühr von der betroffenen Person verlangt werden.

Nach diesem Tarif wird, wenn der VERANTWORTLICHE den Antrag der betroffenen Person schriftlich beantwortet, bis zu 10 Seiten keine Gebühr erhoben; für jede Seite über 10 Seiten wird eine Bearbeitungsgebühr von 1 Türkischer Lira erhoben. Wird die Antwort auf einem Datenträger wie CD oder USB-Stick erteilt, darf die vom VERANTWORTLICHEN verlangte Gebühr die Kosten dieses Datenträgers nicht übersteigen.

Liegt in der Angelegenheit, zu der die betroffene Person einen Antrag zur Anwendung des KVK-Gesetzes gestellt hat, ein Fehler des VERANTWORTLICHEN vor, wird die erhobene Gebühr der betroffenen Person erstattet.

Betroffene Personen, deren Antrag beim VERANTWORTLICHEN abgelehnt wurde, die die erteilte Antwort als unzureichend befinden oder deren Antrag nicht fristgerecht beantwortet wurde, können ihr Beschwerderecht beim KVK-Ausschuss ausüben.

Im Falle der rechtswidrigen Verarbeitung personenbezogener Daten, also bei einem Verstoß, ist der KVK-Ausschuss gemäß Artikel 15 des KVK-Gesetzes zur Durchführung einer Prüfung befugt.

Der KVK-Ausschuss kann diese Befugnis auf Beschwerde hin oder auch ohne Beschwerde von Amts wegen ausüben.

Damit Anzeigen und Beschwerden beim KVK-Ausschuss bearbeitet werden können, müssen sie im Einklang mit den in Artikel 6 des Gesetzes Nr. 3071 über die Ausübung des Petitionsrechts genannten Bestimmungen eingereicht werden und die folgenden Voraussetzungen zugleich erfüllen:

Die Eingabe muss einen bestimmten Gegenstand betreffen.

Die Eingabe darf nicht Angelegenheiten betreffen, die in die Zuständigkeit der Gerichte fallen.

Die Eingabe muss Namen und Nachnamen, Unterschrift sowie Geschäfts- oder Wohnanschrift des Einreichers enthalten.

Vor einer Beschwerde beim KVK-Ausschuss muss ein Antrag beim VERANTWORTLICHEN gestellt werden.

Nach der Antragstellung beim VERANTWORTLICHEN muss die betroffene Person zudem bestimmte Fristen einhalten, um Beschwerde einlegen zu können. Demnach kann die betroffene Person innerhalb von dreißig Tagen ab Kenntnis der Antwort des VERANTWORTLICHEN Beschwerde beim KVK-Ausschuss einlegen. In jedem Fall ist eine Beschwerde beim KVK-Ausschuss innerhalb von sechzig Tagen ab dem Datum der Antragstellung beim VERANTWORTLICHEN möglich.

Bei der Prüfung der von der betroffenen Person übermittelten Anträge hat der KVK-Ausschuss das Recht und die Befugnis, vom VERANTWORTLICHEN alle erforderlichen Informationen und Unterlagen zu verlangen, Prüfungen vor Ort durchzuführen, die Ermöglichung solcher Prüfungen zu verlangen und – mit Ausnahme von Unterlagen, die Staatsgeheimnisse darstellen – die Übersendung der gewünschten Unterlagen binnen fünfzehn Tagen zu verlangen.

Vor Abschluss des Prüfungsverfahrens kann der KVK-Ausschuss bei drohenden schwer oder nicht wiedergutzumachenden Schäden und offensichtlicher Rechtswidrigkeit auch die Aussetzung der Datenverarbeitung oder der Übermittlung von Daten ins Ausland anordnen.

Der KVK-Ausschuss muss der betroffenen Person innerhalb von sechzig Tagen antworten. Wird dem Antragsteller innerhalb dieser Frist keine Antwort erteilt, gilt der Antrag als abgelehnt.

Für von Amts wegen eingeleitete Prüfungen des KVK-Ausschusses besteht keine Fristbegrenzung.

Der KVK-Ausschuss trifft im Ergebnis der auf Beschwerde hin oder von Amts wegen eingeleiteten Prüfung eine Entscheidung. Im Rahmen des KVK-Gesetzes gelten die Beschwerde der betroffenen Person und der ihr zugrunde liegende Antrag als abgelehnt, wenn innerhalb von sechzig Tagen ab dem Beschwerdedatum keine Antwort erteilt wird.

Kommt der KVK-Ausschuss im Ergebnis seiner Prüfung zu dem Schluss, dass ein Recht im Zusammenhang mit dem Schutz personenbezogener Daten verletzt wurde, entscheidet er, dass die festgestellten Rechtswidrigkeiten vom VERANTWORTLICHEN zu beseitigen sind, und stellt diese Entscheidung sowohl dem VERANTWORTLICHEN als auch der betroffenen Person zu.

Der VERANTWORTLICHE erfüllt die Erfordernisse der vom KVK-Ausschuss getroffenen und ihm übersandten Entscheidung unverzüglich und spätestens innerhalb von dreißig Tagen ab Zustellung.

Die vom KVK-Ausschuss gefassten Grundsatzentscheidungen sind sowohl von den Betroffenen als auch von anderen in gleichgelagerten Fällen betroffenen Personen zwingend einzuhalten.

17. AKTUALISIERUNG

Diese Richtlinie wird mindestens einmal jährlich überprüft und aktualisiert.

18. INKRAFTTRETEN UND AUFHEBUNG

Diese Richtlinie gilt nach ihrer Veröffentlichung auf den Websites des Verantwortlichen als in Kraft getreten.

Diese Richtlinie kann nur durch die Erstellung und das Inkrafttreten einer anderen schriftlichen Richtlinie aufgehoben werden.