Datenschutz (KVKK)

Diese Richtlinie findet Anwendung auf natürliche Personen, deren personenbezogene Daten im Rahmen von nationalen und internationalen Gesetzen, Verordnungen, Durchführungsbestimmungen, Rundschreiben, Entscheidungen von Regulierungs- und Aufsichtsbehörden und -organisationen, Richtlinien, internationalen Abkommen und Verträgen sowie aller bestehenden oder künftigen rechtlichen, geschäftlichen und finanziellen Verträge und Vertragsanlagen mit dem VERANTWORTLICHEN und allen Personen, Einrichtungen und Organisationen mit amtlicher, natürlicher oder juristischer Persönlichkeit, die unter welcher Bezeichnung auch immer mit dem VERANTWORTLICHEN in Kommunikation, Interaktion, Zusammenarbeit oder einer Lösungspartnerschaft stehen, sowie mit den Gesellschaftern, Kunden, Beschäftigten und Lieferanten des VERANTWORTLICHEN verarbeitet werden, sowie auf den VERANTWORTLICHEN, der diese Daten ganz oder teilweise automatisiert oder, sofern sie Teil eines Datenablagesystems sind, nicht automatisiert verarbeitet.

In dieser Richtlinie werden folgende Begriffe verwendet:

Die vorstehenden Begriffe haben die jeweils angegebene Bedeutung.

Für Begriffe, die in diesem Artikel nicht enthalten sind, gelten die Begriffsbestimmungen der einschlägigen Rechtsvorschriften.

Diese Richtlinie wurde vom Vorstand von ARCANUS HOTELS SORGUN genehmigt. Er ist der zuständige Genehmigungsmechanismus, der die Erstellung, Umsetzung und erforderlichenfalls Aktualisierung der Richtlinie sicherstellt.

Für die Erstellung, Weiterentwicklung, Durchführung und Aktualisierung dieser Richtlinie ist gemeinsam mit der IT-Direktion die Rechtsabteilung verantwortlich. Die Rechtsabteilung prüft diese Richtlinie bei Bedarf hinsichtlich ihrer Aktualität und ihres Entwicklungsbedarfs.

Für die Erstellung, Weiterentwicklung, Durchführung und Aktualisierung dieser Richtlinie ist gemeinsam mit der Rechtsabteilung die IT-Direktion verantwortlich. Die IT-Direktion prüft diese Richtlinie bei Bedarf hinsichtlich ihrer Aktualität und ihres Entwicklungsbedarfs. Für die Veröffentlichung des erstellten Dokuments ist der Leiter der IT-Abteilung verantwortlich.

Der VERANTWORTLICHE erkennt als Grundprinzipien der Richtlinie zum Schutz personenbezogener Daten an: in seinen Betriebsstätten oder Betrieben jegliche personenbezogenen Daten transparent, in Bindung an Moral sowie nationale und internationale Rechtsvorschriften, nach den Grundsätzen von Treu und Glauben und unter Annahme der Prinzipien der Offenheit, Zugänglichkeit und Rechenschaftspflicht zu verarbeiten und dabei zweckgemäß, begrenzt, verhältnismäßig und unparteiisch sowie im Einklang mit objektiven Kriterien zu handeln; die Richtigkeit, Aktualität und Vollständigkeit der personenbezogenen Daten der betroffenen Personen, die mit dem Verantwortlichen in Interaktion und Kommunikation stehen, zu wahren und aufrechtzuerhalten; diese personenbezogenen Daten in Fristen, die dem Verarbeitungszweck und den Rechtsvorschriften entsprechen, und unter aktuellen technologischen Bedingungen sicher unter Beachtung der Regeln der Geschäfts- und Berufsethik sowie der durch nationale und internationale Rechtsvorschriften garantierten grundlegenden Menschenrechte und Grundfreiheiten, insbesondere der persönlichen Privatsphäre und des Schutzes des Privatlebens, zu schützen und aufzubewahren; und sie nach Ablauf der in den Rechtsvorschriften vorgesehenen oder für den Verarbeitungszweck erforderlichen Frist zu löschen, zu vernichten oder zu anonymisieren.

Der VERANTWORTLICHE handelt im Rahmen des KVK-Gesetzes im Bewusstsein, dass es bei der Verarbeitung personenbezogener Daten eine Notwendigkeit und Pflicht ist, im Einklang mit den auf nationaler und internationaler Ebene geltenden Rechtsvorschriften sowie mit dem in der Rechtsordnung enthaltenen und in Art. 2 des TMK geregelten Grundsatz von Treu und Glauben zu handeln.

Nach dem Grundsatz von Treu und Glauben erkennt der VERANTWORTLICHE an, verpflichtet sich und erklärt, dass bei dem Streben nach seinen Zielen bei der Datenverarbeitung die Interessen und berechtigten Erwartungen der betroffenen Personen zu berücksichtigen sind, dass so zu handeln ist, dass Ergebnisse vermieden werden, die die Person, deren personenbezogene Daten verarbeitet werden, nicht erwartet oder die von ihr nicht erwartet werden können, und dass die betreffende Datenverarbeitung nicht nur offen und verständlich sein, sondern auch im Einklang mit den Pflichten zur Information und Warnung der betroffenen Person erfolgen muss.

Der VERANTWORTLICHE betrachtet es außerdem als Aufgabe und Verantwortung, bei Handeln nach Treu und Glauben sowie bei der Ausübung seiner im Zusammenhang mit der Verarbeitung personenbezogener Daten vorgesehenen Rechte so zu handeln, wie es nach den Regeln des Vertrauens von einer vernünftigen Person zu erwarten ist, nämlich innerhalb der Grenzen des ihm eingeräumten Rechts und im Einklang mit dessen Zweck.

Der VERANTWORTLICHE, der eine Politik verfolgt, die das auch durch die Verfassung und das KVK-Gesetz geschützte Recht der betroffenen Person auf Berichtigung ihrer Daten achtet, erklärt, erkennt an und verpflichtet sich in Übereinstimmung mit dieser Richtlinie, bewusst, sorgfältig und aufmerksam zu handeln, und zwar bei der richtigen und aktuellen Führung der von ihm verarbeiteten personenbezogenen Daten, bei der Sicherstellung ihrer Aktualität in jeder Phase des Verarbeitungsprozesses und erforderlichenfalls, bei der Offenhaltung der Kanäle, die die Richtigkeit und Aktualität der Angaben der betroffenen Person gewährleisten, sowie im Hinblick darauf, dass es zu Schadensersatz führt, wenn die betroffene Person wegen nicht aktueller oder falsch geführter personenbezogener Daten materiell oder immateriell geschädigt wird.

Andererseits ist der VERANTWORTLICHE der Überzeugung, dass ein Handeln nach diesem Grundsatz im Hinblick auf den Schutz der Grundrechte und Grundfreiheiten der betroffenen Person, insbesondere der Privatsphäre, erforderlich ist.

Der VERANTWORTLICHE, der weiß und vorhersieht, dass ein Handeln aus dieser Sicht neben dem Schutz der Rechte des Dateninhabers auch seine eigenen Interessen schützt, hat es sich zum Grundsatz gemacht, zur Sicherstellung der Richtigkeit und Aktualität der personenbezogenen Daten angemessene Maßnahmen im Rahmen dieser Richtlinie und der Rechtsvorschriften zu ergreifen, indem er darauf achtet, dass die Quellen, aus denen die personenbezogenen Daten stammen, bestimmt oder bestimmbar sind und dass die Richtigkeit und Zuverlässigkeit dieser Quellen geprüft und bestätigt wird, und indem er Forderungen berücksichtigt, die aus der Unrichtigkeit personenbezogener Daten herrühren.

Im Rahmen der KVK-Richtlinie schafft der VERANTWORTLICHE entsprechend dem Zweck dieses Grundsatzes Voraussetzungen, die Folgendes ermöglichen:

Dies erklärt und erkennt der VERANTWORTLICHE an.

Nach diesem Grundsatz erklärt und erkennt der VERANTWORTLICHE als Richtlinie an, dass die personenbezogenen Daten der betroffenen Person für bestimmte, eindeutige und legitime Zwecke verarbeitet werden und verarbeitet werden, die im Einklang mit den gesetzlich vorgesehenen und die Grundlage dieser Richtlinie bildenden Regeln stehen, mit den von ihm angebotenen Geschäften und Dienstleistungen zusammenhängen und aufgrund des dafür bestehenden Bedarfs festgelegt wurden.

Auch in Erfüllung des Grundsatzes der Bestimmtheit und Eindeutigkeit hat der VERANTWORTLICHE als KVK-Richtlinie angenommen und anerkannt, dass in den Rechtsgeschäften, Handlungen und Texten betreffend die Personen, mit denen er in Interaktion und Kommunikation steht und in denen die Zwecke der Verarbeitung personenbezogener Daten erläutert werden (ausdrückliche Einwilligung, Informationstext, Beantwortung von Anträgen der betroffenen Person, Anmeldung beim Register der Verantwortlichen, Verträge usw.), entsprechende Regelungen getroffen wurden, dass bei der Abfassung darauf geachtet wurde, keine technische und juristische Terminologie zu verwenden, die nicht von jedermann verstanden werden kann, und dass sie aktuell gehalten werden, dass über die der betroffenen Person erklärten Zwecke hinaus keine Daten ohne Zustimmung oder Erlaubnis verarbeitet werden und dass bei einer Verarbeitung von Daten zu anderen Zwecken aus diesen Handlungen rechtliche und strafrechtliche Verantwortlichkeiten entstehen.

Der VERANTWORTLICHE handelt im Bewusstsein, dass die Daten der Personen, mit denen er in Interaktion und Kommunikation steht, zur Erreichung der zuvor bestimmten und erklärten Zwecke geeignet sein müssen, dass die Verarbeitung personenbezogener Daten, die mit der Erreichung des Zwecks nicht zusammenhängen oder nicht benötigt werden, zu vermeiden ist und dass keine Daten verarbeitet werden dürfen, um möglichen später entstehenden Bedürfnissen zu genügen.

Parallel dazu sieht der VERANTWORTLICHE es als Erfordernis der KVK-Richtlinie an, dass eine Datenverarbeitung im Hinblick auf mögliche Bedürfnisse eine neue Datenverarbeitungstätigkeit bedeutet, dass in einem solchen Fall eine der in Art. 5 des KVK-Gesetzes geregelten Voraussetzungen für die Verarbeitung personenbezogener Daten erfüllt sein muss bzw. erfüllt sein müsste, dass die verarbeiteten Daten ferner auf die zur Erreichung des Zwecks erforderlichen personenbezogenen Daten beschränkt bleiben und dass eine Datenverarbeitung über das für den Zweck Erforderliche hinaus gegen den Grundsatz der Beschränkung verstoßen würde.

Der VERANTWORTLICHE weiß und handelt entsprechend, dass der im Rahmen dieses Artikels behandelte Grundsatz der Verhältnismäßigkeit bedeutet, dass ein angemessenes Gleichgewicht zwischen der Datenverarbeitung und dem damit angestrebten Zweck hergestellt wird, mit anderen Worten, dass die Datenverarbeitung in einem dem Datenverarbeitungszweck entsprechenden und mit ihm vereinbaren Maß erfolgen muss.

In Erfüllung des „Grundsatzes der Zweckbindung“, eines der wichtigsten Prinzipien der KVK-Richtlinie, bewahrt der VERANTWORTLICHE personenbezogene Daten für die für den Verarbeitungszweck erforderliche Dauer auf, und zwar unter Berücksichtigung der Verjährungs- und Ausschlussfristen im Rahmen der Bestimmungen nationaler oder internationaler Rechtsvorschriften; ist keine solche gesetzliche Frist vorgesehen, so bewahrt er sie für die für den Verarbeitungszweck erforderliche angemessene Dauer auf. Besteht kein gültiger Grund für eine weitere Aufbewahrung der Daten, hat und wird er die erforderlichen rechtlichen und administrativen Maßnahmen zur Löschung, Vernichtung oder Anonymisierung dieser Daten ergreifen.

Einerseits erfüllt der VERANTWORTLICHE den Grundsatz der fristgemäßen Aufbewahrung, andererseits hält er im Rahmen der Bestimmung des Art. 12 des KVK-Gesetzes ein angemessenes physisches und technologisches Sicherheitsniveau sicher und aktuell aufrecht, um die rechtswidrige Verarbeitung personenbezogener Daten zu verhindern, den rechtswidrigen Zugriff auf personenbezogene Daten zu unterbinden und die Aufbewahrung personenbezogener Daten sicherzustellen.

Entsprechend dem in diesem Artikel genannten Zweck und im Rahmen dieser Richtlinie hat der VERANTWORTLICHE eine Richtlinie und Grundsätze zur Aufbewahrung und Vernichtung personenbezogener Daten erstellt, die Aufbewahrungsfristen sowie die für die Aufbewahrung erforderlichen technischen und administrativen Maßnahmen festgelegt und die erforderlichen rechtlichen, administrativen, physischen und technologischen Maßnahmen umgesetzt, um die Aufbewahrung personenbezogener Daten im Einklang mit diesen Grundsätzen sicherzustellen.

Der VERANTWORTLICHE ermittelt bei der Antragstellung auf Eintragung in das Register gemäß Art. 16 des KVK-Gesetzes die für den Verarbeitungszweck erforderliche maximale Dauer unter Berücksichtigung auch des Art. 9 der VSSH-Verordnung, erklärt diese Dauer und meldet dem Register die Verarbeitungszwecke der gemeldeten Datenkategorien sowie die für ihre auf diesen Zwecken beruhende Verarbeitung erforderlichen und in den Rechtsvorschriften vorgesehenen maximalen Aufbewahrungsfristen; da diese Fristen und die in den Rechtsvorschriften vorgesehenen Fristen voneinander abweichen können oder Verjährungsfristen in Betracht kommen können, meldet er dem Register dabei, dass für die Aufbewahrung die Verjährungsfristen oder die längste Frist zugrunde gelegt werden.

Schließlich werden personenbezogene Daten vom VERANTWORTLICHEN gelöscht, vernichtet oder anonymisiert, wenn die vom VERANTWORTLICHEN unter Berücksichtigung sowohl der in den Rechtsvorschriften, denen er aufgrund seiner rechtlichen Pflichten unterliegt, vorgesehenen Fristen als auch der Verjährungsfristen festgelegten und gemeldeten Aufbewahrungsfristen ablaufen.

Im Rahmen des Art. 5 des KVK-Gesetzes nimmt der VERANTWORTLICHE, bevor er mit der Verarbeitung der Daten von Personen beginnt, mit denen er in Interaktion und Kommunikation steht, eine Bewertung dahingehend vor, ob eine der nachfolgend genannten und in den Rechtsvorschriften enthaltenen anderen Verarbeitungsvoraussetzungen herangezogen werden kann; liegt nach dieser Bewertung keine der anderen einschlägigen Voraussetzungen für die Datenverarbeitung vor, holt er die ausdrückliche Einwilligung der betroffenen Person ein.

Zu diesem Zweck wurden für die physischen und elektronischen Medien, in denen die Daten der Personen enthalten sind, die mit dem VERANTWORTLICHEN in Interaktion und Kommunikation stehen, sowie für alle Rechtsgeschäfte, Handlungen und Texte (ausdrückliche Einwilligung, Informationstext, Beantwortung von Anträgen der betroffenen Person, Anmeldung beim Register der Verantwortlichen, Formulare, Erklärungen, Verträge usw.) Regelungen getroffen und der gesamte Prozess wurde in Übereinstimmung und Einklang mit den Rechtsvorschriften gebracht.

Der VERANTWORTLICHE ist, wie in allen Bereichen, so auch im Rahmen der KVK-Richtlinie eine gesetzestreue Einrichtung, die im Einklang mit den in nationalen und internationalen Rechtsvorschriften vorgesehenen Bestimmungen und Regeln handelt.

Im Rahmen des KVK-Gesetzes verarbeitet der VERANTWORTLICHE personenbezogene Daten ohne die ausdrückliche Einwilligung der betroffenen Person, wenn eine der in den Rechtsvorschriften ausdrücklich vorgesehenen Voraussetzungen der Datenverarbeitung vorliegt oder eine zwingende Vorschrift für die Verarbeitung personenbezogener Daten besteht.

Der VERANTWORTLICHE kann personenbezogene Daten ohne die ausdrückliche Einwilligung der betroffenen Person verarbeiten, wenn dies zum Schutz des Lebens oder der körperlichen Unversehrtheit der Person selbst oder einer anderen Person erforderlich ist und die Person aufgrund tatsächlicher Unmöglichkeit nicht in der Lage ist, ihre Einwilligung zu erklären, oder zwar rechtsfähig, aber aus irgendeinem Grund nicht geschäftsfähig ist oder sein kann, oder ihrer Einwilligung aus anderen Gründen keine rechtliche Gültigkeit zuerkannt wird.

Der VERANTWORTLICHE schließt, um im Zusammenhang mit den von seinem Sektor geforderten Dienstleistungen und Produkten tätig sein zu können, Verträge mit natürlichen oder juristischen Personen, die mit ihm in Interaktion und Kommunikation stehen, und geht im Rahmen dieser Verträge gegenseitige Pflichten und Verantwortlichkeiten ein.

Sofern ein unmittelbarer Zusammenhang mit dem Abschluss oder der Erfüllung dieser Verträge besteht und die Verarbeitung der personenbezogenen Daten der Vertragsparteien erforderlich ist, verarbeitet er die Daten der betroffenen Personen beschränkt auf diesen Zweck. Für die in diesem Rahmen erfolgende Datenverarbeitung benötigt der VERANTWORTLICHE keine ausdrückliche Einwilligung der betroffenen Person.

Der VERANTWORTLICHE kann personenbezogene Daten ohne Rückgriff auf die ausdrückliche Einwilligung der betroffenen Person verarbeiten, wenn dies zur Erfüllung einer rechtlichen Verantwortung oder Verpflichtung im Rahmen sonstiger Rechtsvorschriften, die nationale oder internationale Rechtsvorschriften, insbesondere das KVK-Gesetz, vorsehen, oder auf Verlangen amtlicher Einrichtungen und Organisationen, der Staatsanwaltschaft, der Gerichte oder anderer staatlicher Stellen erfolgt. Er kann sie an diese Einrichtungen weitergeben.

Der VERANTWORTLICHE kann personenbezogene Daten der betroffenen Person, mit der er in Interaktion und Kommunikation steht, die diese der Öffentlichkeit bekannt gemacht, verkündet, für Dritte zugänglich geteilt oder aus eigenem freiem Willen offenkundig gemacht hat, im Rahmen des vorgesehenen Zwecks der Datenverarbeitung unterziehen. In einem solchen Fall braucht er nicht auf die ausdrückliche Einwilligung der betroffenen Person zurückzugreifen.

Der VERANTWORTLICHE verarbeitet personenbezogene Daten der betroffenen Person in den Fällen, in denen dies für die Begründung, Ausübung oder Verteidigung eines Rechts erforderlich ist, etwa für die Dokumentation einer zu seinen Gunsten oder zu seinen Lasten geführten Untersuchung, für den Beweis in einem Rechtsstreit, für Rechnungen im Zusammenhang mit rechtlicher Verfolgung sowie für die Aufbewahrung von Dokumenten während der Verjährungsfrist, damit Verträge für amtliche Vorgänge verwendet werden können. In einem solchen Fall braucht er nicht auf die ausdrückliche Einwilligung der betroffenen Person zurückzugreifen.

Im Rahmen des KVK-Gesetzes ist die Verarbeitung personenbezogener Daten der betroffenen Person möglich, wenn die Datenverarbeitung für die berechtigten Interessen des VERANTWORTLICHEN erforderlich ist, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht geschädigt werden. In einem solchen Fall wird die ausdrückliche Einwilligung der betroffenen Person nicht verlangt.

Mit anderen Worten: Gegenüber dem Schutz der Grundrechte und Grundfreiheiten der betroffenen Person steht der Verarbeitung personenbezogener Daten der betroffenen Person durch den VERANTWORTLICHEN kein rechtliches Hindernis entgegen, wenn der VERANTWORTLICHE ein berechtigtes, hinreichend wirksames, bereits bestehendes Interesse hat, dieses Interesse dem Geist und Zweck der Rechtsvorschriften entspricht und die Verarbeitung personenbezogener Daten zur Erfüllung der laufenden Aktivitäten erforderlich ist.

Der VERANTWORTLICHE betrachtet Daten von Personen über Rasse, ethnische Herkunft, politische Meinung, philosophische Überzeugung, Religion, Konfession oder andere Glaubensrichtungen, Kleidung und Aufmachung, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherheitsmaßnahmen sowie biometrische und genetische Daten als besondere Kategorien personenbezogener Daten.

Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nach den Rechtsvorschriften grundsätzlich verboten. Die Verarbeitung dieser Daten ist jedoch möglich, wenn

können auch besondere Kategorien von Daten verarbeitet werden. Soweit für die Verarbeitung besonderer Kategorien personenbezogener Daten zusätzlich die Ergreifung der vom Ausschuss festgelegten ausreichenden Maßnahmen vorgesehen ist, werden auch diese Ausschussbeschlüsse beachtet.

Der VERANTWORTLICHE hat zur Festlegung seiner Verfahrensrichtlinien für die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten gesondert und ausdrücklich die KVSİ-Richtlinie (Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten) erstellt. Dennoch ist Folgendes kurz zu erläutern:

Nach der in Art. 7 des KVK-Gesetzes geregelten Bestimmung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten werden personenbezogene Daten, obwohl sie rechtmäßig verarbeitet wurden, wenn die Gründe, die ihre Verarbeitung erfordern, entfallen, von Amts wegen oder auf Antrag der betroffenen Person vom VERANTWORTLICHEN gelöscht, vernichtet oder anonymisiert.

Demgemäß gilt für den VERANTWORTLICHEN Folgendes:

In den vorstehenden und in ähnlichen Fällen kann der VERANTWORTLICHE personenbezogene Daten löschen, vernichten oder anonymisieren.

Liegt eine der oben genannten Voraussetzungen vor, so ist es Pflicht und Verantwortung des VERANTWORTLICHEN, personenbezogene Daten zu löschen, zu vernichten oder zu anonymisieren, ohne dass es eines Antrags der betroffenen Person bedarf. Die betroffene Person hat jedoch, wenn die Voraussetzungen vorliegen, ebenfalls das Recht, vom VERANTWORTLICHEN die Löschung, Vernichtung oder Anonymisierung ihrer personenbezogenen Daten zu verlangen.

Im Übrigen hat der VERANTWORTLICHE im Rahmen der in Art. 7 ff. der KVSYH-Verordnung vorgesehenen Bestimmungen die KVSİ-Richtlinie erstellt. Die Aufbewahrung, Löschung, Vernichtung oder Anonymisierung der vom VERANTWORTLICHEN verarbeiteten personenbezogenen Daten erfolgt im Rahmen der Grundsätze der mit dieser Richtlinie in Zusammenhang stehenden KVSİ-Richtlinie.

Die in der KVSİ-Richtlinie enthaltenen Grundsätze finden auch auf Fälle Anwendung, die die Anpassung der vom VERANTWORTLICHEN vor Inkrafttreten des KVK-Gesetzes oder, falls vorhanden, vor einer Gesetzesänderung verarbeiteten Daten an das Gesetz und ihre Aktualisierung sowie erforderlichenfalls ihre Löschung, Vernichtung oder Anonymisierung betreffen.

Personenbezogene Daten dürfen grundsätzlich nicht ohne die ausdrückliche Einwilligung der betroffenen Person übermittelt werden.

Der VERANTWORTLICHE kann personenbezogene Daten jedoch

bei Vorliegen einer dieser Voraussetzungen auch ohne die ausdrückliche Einwilligung der betroffenen Person übermitteln.

Ferner kann der VERANTWORTLICHE unter der Bedingung, dass ausreichende Maßnahmen ergriffen werden,

bei Vorliegen einer dieser Voraussetzungen auch ohne die ausdrückliche Einwilligung der betroffenen Person besondere Kategorien personenbezogener Daten übermitteln.

Außerdem weiß der VERANTWORTLICHE, dass er bei der Übermittlung dieser besonderen Kategorien personenbezogener Daten zusätzlich verpflichtet und verantwortlich ist, die vom KVK-Ausschuss festgelegten ausreichenden Maßnahmen zu ergreifen.

Die Übermittlung personenbezogener Daten ins Ausland ist ebenfalls unter den folgenden Voraussetzungen möglich.

Personenbezogene Daten können vom VERANTWORTLICHEN und von Auftragsverarbeitern ins Ausland übermittelt werden, wenn eine der oben und in den im Rahmen dieses Artikels 8 genannten Artikeln bezeichneten Voraussetzungen vorliegt und für das Land, die Sektoren innerhalb des Landes oder die internationalen Organisationen, in die die Übermittlung erfolgen soll, ein vom KVK-Ausschuss gefasster und im Amtsblatt (RG) veröffentlichter Angemessenheitsbeschluss besteht.

Liegt der oben genannten Angemessenheitsbeschluss nicht vor, so können personenbezogene Daten, sofern eine der im vorstehenden Artikel 8 genannten Voraussetzungen vorliegt und die betroffene Person im Land, in das die Übermittlung erfolgt, auch die Möglichkeit hat, ihre Rechte auszuüben und wirksame Rechtsbehelfe in Anspruch zu nehmen,

Wenn eine dieser genannten geeigneten Garantien von den Parteien bereitgestellt wird, können sie vom VERANTWORTLICHEN oder von Auftragsverarbeitern ins Ausland übermittelt werden.

In Fällen, in denen ein Standardvertrag in Betracht kommt, wird dieser Vertrag vom VERANTWORTLICHEN innerhalb von fünf Werktagen nach seiner Unterzeichnung der KVK-Behörde gemeldet.

Der VERANTWORTLICHE und Auftragsverarbeiter können, wenn kein Angemessenheitsbeschluss vorliegt und keine der geeigneten Garantien bereitgestellt werden kann, personenbezogene Daten nur vorübergehend und unter der Voraussetzung der Erforderlichkeit und nur bei Vorliegen eines der folgenden Fälle ins Ausland übermitteln. Diese Ausnahmetatbestände lauten wie folgt:

Im Rahmen des Art. 12 des KVK-Gesetzes Nr. 6698 ist der VERANTWORTLICHE verpflichtet, alle erforderlichen technischen und administrativen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus zu ergreifen, um

und hat die in diesem Punkt enthaltenen administrativen und technischen Maßnahmen ergriffen. Er ergreift sie fortlaufend.

Andererseits erkennt der VERANTWORTLICHE an, dass er, wenn personenbezogene Daten in seinem Namen von einer anderen natürlichen oder juristischen Person verarbeitet werden, mit diesen Personen gemeinsam für die Ergreifung der oben genannten administrativen und technischen Maßnahmen verantwortlich ist, dass er verpflichtet ist, in seiner eigenen Einrichtung oder Organisation die erforderlichen Kontrollen durchzuführen oder durchführen zu lassen, um die Anwendung der Rechtsvorschriften sicherzustellen, dass der VERANTWORTLICHE und die Auftragsverarbeiter die von ihnen erlangten personenbezogenen Daten nicht entgegen den Bestimmungen der Rechtsvorschriften an andere weitergeben und nicht außerhalb des Verarbeitungszwecks verwenden dürfen und dass diese Pflichten auch nach dem Ausscheiden aus der Tätigkeit fortbestehen, dass er, wenn die verarbeiteten personenbezogenen Daten auf rechtswidrigem Wege von anderen erlangt werden, verpflichtet ist, dies so schnell wie möglich der betroffenen Person und dem Ausschuss mitzuteilen, und dass der KVK-Ausschuss dies erforderlichenfalls auf seiner eigenen Internetseite oder auf andere von ihm für geeignet gehaltene Weise bekanntmachen kann.

Ferner kommt der VERANTWORTLICHE den Erfordernissen der von der KVKK zur Festlegung der Pflichten im Zusammenhang mit der Datensicherheit erlassenen Regelungsakte nach. Einzelheiten zu den technischen und administrativen Maßnahmen sowie die nach Sektoren verarbeiteten und aufgeschlüsselten personenbezogenen Daten unter Einhaltung der vom KVK-Ausschuss festgelegten Mindestkriterien sind in den im Rahmen der KVK-Richtlinie erstellten Tabellen, Schemata und Grafiken dargestellt.

Der VERANTWORTLICHE weiß und erkennt an, dass er, wenn personenbezogene Daten in seinem Namen von einer anderen natürlichen oder juristischen Person verarbeitet werden, also ein Auftragsverarbeiter vorliegt, mit diesen Personen gemeinsam für die Ergreifung der oben genannten Maßnahmen verantwortlich ist.

Der VERANTWORTLICHE ist verpflichtet, selbst, durch seinen Vertreter oder durch einen von ihm zu bestimmenden Dritten in seiner eigenen Einrichtung oder Organisation die erforderlichen Kontrollen durchzuführen oder durchführen zu lassen, um die Anwendung der Bestimmungen dieses KVK-Gesetzes sicherzustellen. Darüber hinaus dürfen Auftragsverarbeiter die von ihnen erlangten personenbezogenen Daten nicht entgegen den Bestimmungen dieses KVK-Gesetzes an andere weitergeben und nicht außerhalb des Verarbeitungszwecks verwenden. Dies gilt auch nach dem Ausscheiden aus der Tätigkeit fort.

Der VERANTWORTLICHE ist im Rahmen des Art. 10 des KVK-Gesetzes verpflichtet, der betroffenen Person bei der Erhebung personenbezogener Daten selbst oder durch eine von ihm bevollmächtigte Person die folgenden Informationen zur Verfügung zu stellen:

Andererseits hat der VERANTWORTLICHE es sich zum Grundsatz gemacht, die folgenden Pflichten im Rahmen der Art. 5 und 6 der von der KVKK im Rahmen der Informationspflicht zu den von den Verantwortlichen einzuhaltenden Verfahren und Grundsätzen veröffentlichten AYYGE-Mitteilung einzuhalten.

Der VERANTWORTLICHE hat bei der Erfüllung der Informationspflicht durch ihn selbst oder durch eine von ihm bevollmächtigte Person unter Nutzung physischer oder elektronischer Medien wie mündlich, schriftlich, Tonaufzeichnung oder Callcenter die nachstehend aufgeführten Verfahren und Grundsätze angenommen:

Nach Art. 6 derselben Verordnung informiert der VERANTWORTLICHE im Rahmen der Informationspflicht, wenn personenbezogene Daten nicht bei der betroffenen Person erhoben wurden, also von einem Dritten erlangte personenbezogene Daten vorliegen, die betroffene Person

entsprechend.

Gemäß Art. 13 des KVK-Gesetzes und der auf dessen Grundlage am 10.03.2018 im Amtsblatt (RG) veröffentlichten VSBUH-Mitteilung werden Anträge zu personenbezogenen Daten, die von betroffenen Personen schriftlich oder über die in der genannten Mitteilung aufgeführte registrierte elektronische Post (KEP)-Adresse, die sichere elektronische Signatur, die mobile Signatur oder die von der betroffenen Person im System des VERANTWORTLICHEN registrierte E-Mail-Adresse oder mittels einer vom VERANTWORTLICHEN zum Zweck der Antragstellung entwickelten Software oder Anwendung gestellt werden, je nach ihrer Art ebenfalls vom VERANTWORTLICHEN so schnell wie möglich und spätestens innerhalb von dreißig Tagen kostenlos abgeschlossen.

Erfordert der Vorgang jedoch zusätzliche Kosten, so ist der VERANTWORTLICHE berechtigt, von der antragstellenden betroffenen Person die im vom KVK-Ausschuss festgelegten Tarif vorgesehenen Gebühren zu verlangen.

Gibt der VERANTWORTLICHE dem Antrag der betroffenen Person statt oder lehnt er ihn unter Angabe der Gründe ab, so teilt er der betroffenen Person diese Antwort schriftlich oder auf elektronischem Weg mit. Wird dem Antrag stattgegeben, so wird dessen Erfordernis vom VERANTWORTLICHEN so schnell wie möglich erfüllt. Beruht der Antrag auf einem Fehler des VERANTWORTLICHEN, so wird die erhobene Gebühr der betroffenen Person erstattet.

Im Fall der Ablehnung des Antrags durch den VERANTWORTLICHEN, einer als unzureichend befundenen Antwort oder der Nichtbeantwortung des Antrags innerhalb der Frist hat die betroffene Person das Recht, innerhalb von dreißig Tagen ab dem Zeitpunkt, zu dem sie die Antwort des VERANTWORTLICHEN erfahren hat, und in jedem Fall innerhalb von sechzig Tagen ab dem Antragsdatum beim KVK-Ausschuss Beschwerde einzulegen.

Der VERANTWORTLICHE hat es sich als eine nach Art. 16 des KVK-Gesetzes im öffentlich geführten VERBİS-System der KVKK registrierte Einrichtung zum Grundsatz gemacht, die in der VSSH-Verordnung bestimmten und vom KVK-Ausschuss nachstehend aufgeführten und festgelegten Kriterien für die Verarbeitung und Übermittlung personenbezogener Daten einzuhalten.

Diese Kriterien lauten demnach:

Der VERANTWORTLICHE meldet es der betroffenen Person und dem KVK-Ausschuss so schnell wie möglich, wenn die verarbeiteten personenbezogenen Daten auf rechtswidrigem Wege von anderen erlangt werden.

Der KVK-Ausschuss hat das Recht und die Befugnis, dies erforderlichenfalls auf seiner eigenen Internetseite oder auf andere von ihm für geeignet gehaltene Weise bekanntzumachen.

Im Rahmen des Art. 11 des KVK-Gesetzes hat die betroffene Person jederzeit das Recht, sich an den VERANTWORTLICHEN zu wenden und in Bezug auf sich

Die betroffene Person hat diese Rechte.

Betroffene Personen können zum Schutz ihrer Rechte in Bezug auf die beim VERANTWORTLICHEN gespeicherten personenbezogenen Daten neben dem unmittelbaren Rechtsweg die nachstehenden, durch die Art. 13, 14 und 15 des KVK-Gesetzes eingeführten Rechtsdurchsetzungsmethoden nutzen.

Nach Art. 11 des KVK-Gesetzes haben betroffene Personen das Recht, sich an den VERANTWORTLICHEN zu wenden und zu erfahren, ob sie betreffende personenbezogene Daten verarbeitet werden, bei Verarbeitung hierzu Auskunft zu verlangen, bei unvollständigem oder fehlerhaftem Dateninhalt deren Berichtigung, bei Rechtswidrigkeit deren Löschung, Vernichtung und Anonymisierung sowie die Mitteilung der danach vorzunehmenden Vorgänge an die Dritten, denen die Daten offengelegt wurden, und wegen der rechtswidrigen Verarbeitung der Daten die Behebung ihrer Schäden zu verlangen.

Um ihre Beschwerderechte ausüben zu können, sind betroffene Personen zunächst verpflichtet, sich an den VERANTWORTLICHEN zu wenden. Bevor dieser Weg ausgeschöpft ist, kann keine Beschwerde beim KVK-Ausschuss eingelegt werden. Betroffene Personen, die den Beschwerdeweg nicht beschreiten möchten, können unmittelbar den Rechtsweg beschreiten.

Der Antrag der betroffenen Person wird je nach Art des Antrags so schnell wie möglich und spätestens innerhalb von 30 Tagen vom VERANTWORTLICHEN beantwortet.

Betroffene Personen, deren Antrag abgelehnt wurde, die die erteilte Antwort für unzureichend halten oder deren Antrag nicht innerhalb der Frist beantwortet wurde, können ab diesem Stadium ihr Beschwerderecht beim KVK-Ausschuss ausüben oder unmittelbar den Rechtsweg beschreiten.

Die Schadensersatzansprüche der betroffenen Personen bleiben vorbehalten.

Die betroffene Person kann sich in Bezug auf ihre personenbezogenen Daten schriftlich oder per E-Mail an die auf der ersten Seite oben angegebenen Adress- und Kontaktangaben des VERANTWORTLICHEN wenden.

Die betroffene Person kann sich in Bezug auf ihre personenbezogenen Daten mit einem schriftlichen, nassunterzeichneten Dokument oder mit einer sicheren elektronischen Signatur oder mittels mobiler Signatur an den VERANTWORTLICHEN wenden.

Diese Anträge können beim VERANTWORTLICHEN von den betroffenen Personen schriftlich oder über die in der VSBUH-Mitteilung aufgeführte registrierte elektronische Post (KEP)-Adresse, die sichere elektronische Signatur, die mobile Signatur oder die der betroffenen Person vom VERANTWORTLICHEN zuvor mitgeteilte und in VERBİS registrierte E-Mail-Adresse oder mittels einer zum Zweck der Antragstellung entwickelten Software oder Anwendung gestellt werden. Der VERANTWORTLICHE schließt die gestellten Anträge je nach ihrer Art so schnell wie möglich und spätestens innerhalb von dreißig Tagen kostenlos ab.

Der VERANTWORTLICHE ist berechtigt, an ihn gerichteten Anträgen stattzugeben oder sie unter Angabe der Gründe abzulehnen.

Wird einem an den VERANTWORTLICHEN gerichteten Antrag stattgegeben, so wird dessen Erfordernis unmittelbar und unverzüglich erfüllt. Wird dem Antrag zwar stattgegeben, sein Erfordernis jedoch nicht erfüllt, so bedeutet dies, dass der Antrag vom VERANTWORTLICHEN abgelehnt wurde.

Im Fall der Ablehnung des Antrags der betroffenen Person durch den VERANTWORTLICHEN, einer als unzureichend befundenen Antwort oder der Nichtbeantwortung innerhalb der Frist kann die betroffene Person sich an den KVK-Ausschuss wenden.

Der VERANTWORTLICHE erfüllt die Anträge betroffener Personen nach Art. 13 des KVK-Gesetzes kostenlos. Erfordert der durchzuführende Vorgang jedoch zusätzliche Kosten, so kann von der betroffenen Person eine Gebühr nach dem vom KVK-Ausschuss festgelegten Tarif verlangt werden.

Nach diesem Tarif wird, wenn der VERANTWORTLICHE den Antrag der betroffenen Person schriftlich beantwortet, bis zu 10 Seiten keine Gebühr erhoben, für jede weitere Seite über 10 Seiten wird eine Bearbeitungsgebühr von 1 Türkischen Lira erhoben. Wird die Antwort auf den Antrag auf einem Datenträger wie einer CD oder einem USB-Stick erteilt, so darf die vom VERANTWORTLICHEN verlangbare Gebühr die Kosten des betreffenden Datenträgers nicht übersteigen.

Ist der VERANTWORTLICHE in Bezug auf das von der betroffenen Person im Zusammenhang mit der Anwendung des KVK-Gesetzes gestellte Verlangen im Fehler, so wird die erhobene Gebühr der betroffenen Person erstattet.

Betroffene Personen, deren Antrag an den VERANTWORTLICHEN abgelehnt wurde, die die erteilte Antwort für unzureichend halten oder deren Antrag nicht innerhalb der Frist beantwortet wurde, können ihr Beschwerderecht beim KVK-Ausschuss ausüben.

Bei rechtswidriger Verarbeitung personenbezogener Daten, also bei jedem Verstoß, ist der KVK-Ausschuss nach Art. 15 des KVK-Gesetzes befugt, Untersuchungen durchzuführen.

Der KVK-Ausschuss kann diese Befugnis auf Beschwerde oder auch ohne Beschwerde von sich aus ausüben.

Damit Anzeigen und Beschwerden beim KVK-Ausschuss bearbeitet werden können, müssen sie im Einklang mit den in Art. 6 des Gesetzes Nr. 3071 (DHKD-Gesetz) genannten Bestimmungen eingereicht werden und zugleich die folgenden Voraussetzungen erfüllen.

Um nach dem Antrag an den VERANTWORTLICHEN zusätzlich Beschwerde einlegen zu können, muss die betroffene Person außerdem bestimmte Fristen einhalten. Demnach kann die betroffene Person innerhalb von dreißig Tagen ab dem Zeitpunkt, zu dem sie die Antwort des VERANTWORTLICHEN erfahren hat, beim KVK-Ausschuss Beschwerde einlegen. In jedem Fall kann die betroffene Person innerhalb von sechzig Tagen ab dem Datum des Antrags an den VERANTWORTLICHEN beim KVK-Ausschuss Beschwerde einlegen.

Bei der Prüfung der von der betroffenen Person übersandten Anträge ist der KVK-Ausschuss berechtigt und befugt, vom VERANTWORTLICHEN alle erforderlichen Informationen und Unterlagen anzufordern, Prüfungen vor Ort durchzuführen, hierfür Möglichkeiten einräumen zu lassen und zu verlangen, dass ihm die gewünschten Unterlagen, mit Ausnahme von Dokumenten, die Staatsgeheimnisse darstellen, innerhalb von fünfzehn Tagen übersandt werden.

Der KVK-Ausschuss kann vor Abschluss des Prüfverfahrens auch beschließen, die Datenverarbeitung oder die Übermittlung der Daten ins Ausland auszusetzen, wenn schwer oder unmöglich wiedergutzumachende Schäden entstehen und eine offensichtliche Rechtswidrigkeit vorliegt.

Der KVK-Ausschuss muss der betroffenen Person innerhalb einer Frist von sechzig Tagen eine Antwort erteilen. Wird dem Antragsteller während dieser Frist keine Antwort erteilt, so gilt der Antrag als abgelehnt.

Für die vom KVK-Ausschuss von Amts wegen eingeleiteten Prüfungen gibt es keine Fristbeschränkung.

Der KVK-Ausschuss trifft aufgrund einer Beschwerde oder einer von Amts wegen eingeleiteten Prüfung eine Entscheidung. Wird im Rahmen des KVK-Gesetzes innerhalb von sechzig Tagen ab dem Beschwerdedatum der betroffenen Person keine Antwort erteilt, so gelten die Beschwerde der betroffenen Person und das Beschwerdebegehren als abgelehnt.

Gelangt der KVK-Ausschuss aufgrund seiner Prüfung zu dem Ergebnis, dass das Recht auf Schutz personenbezogener Daten verletzt wurde, so entscheidet er, dass die festgestellten Rechtswidrigkeiten vom VERANTWORTLICHEN zu beseitigen sind, und stellt diese Entscheidung sowohl dem VERANTWORTLICHEN als auch der betroffenen Person zu.

Der VERANTWORTLICHE erfüllt die Erfordernisse der vom KVK-Ausschuss getroffenen und ihm übersandten Entscheidung unverzüglich und spätestens innerhalb von dreißig Tagen ab dem Zustellungsdatum.

Die vom KVK-Ausschuss getroffenen Grundsatzentscheidungen sind sowohl von den Beteiligten als auch von anderen Betroffenen in vergleichbaren Fällen zwingend zu beachten.

Diese Richtlinie wird mindestens einmal jährlich überprüft und aktualisiert.

Diese Richtlinie gilt mit ihrer Veröffentlichung auf den Internetseiten des Verantwortlichen als in Kraft getreten.

Diese Richtlinie kann nur durch die Erstellung und das Inkrafttreten einer anderen schriftlichen Richtlinie außer Kraft gesetzt werden.