Datenschutzrichtlinie zur Aufbewahrung und Löschung personenbezogener Daten

DATENSCHUTZRICHTLINIE ZUR AUFBEWAHRUNG UND LÖSCHUNG PERSONENBEZOGENER DATEN

1. ZWECK UND ANWENDUNGSBEREICH

BULKOON SCHUHE UND LEDERWAREN INDUSTRIE HANDELSGESSELLSCHAFT MBH („Unser Unternehmen“) verpflichtet sich, den gesetzlichen Verpflichtungen zum Schutz, zur Verarbeitung und Löschung personenbezogener Daten nachzukommen. Diese Datenschutzrichtlinie zur Aufbewahrung und Löschung personenbezogener Daten („Richtlinie“) legt den Rahmen und die Grundsätze für die erforderlichen Aufbewahrungs- und Löschmaßnahmen im Einklang mit den geltenden Vorschriften fest.

Gemäß der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten vom 28. Oktober 2017, veröffentlicht im Amtsblatt Nr. 30224 („Verordnung“), sind Datenverantwortliche verpflichtet, eine Aufbewahrungs- und Löschrichtlinie für personenbezogene Daten entsprechend dem Verzeichnis der Datenverarbeitung zu erstellen. Ziel dieser Richtlinie ist es, die maximal zulässigen Aufbewahrungsfristen für personenbezogene Daten, die von unserem Unternehmen verarbeitet werden, sowie die Prozesse zur Löschung, Vernichtung oder Anonymisierung festzulegen und die Rollen und Verantwortlichkeiten der beteiligten Personen zu definieren.

Der Anwendungsbereich dieser Richtlinie umfasst die maximalen Aufbewahrungsfristen personenbezogener Daten, die technischen und administrativen Maßnahmen zur rechtmäßigen Aufbewahrung und Löschung sowie die zuständigen Abteilungen und Aufzeichnungsmedien innerhalb unseres Unternehmens.

2. DEFINITIONEN

Elektronisches Medium: Medien, auf denen personenbezogene Daten mit elektronischen Geräten erstellt, gelesen, geändert und geschrieben werden können.

Nicht-elektronisches Medium: Alle anderen schriftlichen, gedruckten, visuellen oder sonstigen Medien außerhalb elektronischer Medien.

Gesetz: Das Gesetz Nr. 6698 zum Schutz personenbezogener Daten.

Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Verarbeitung personenbezogener Daten: Jegliche Vorgänge mit personenbezogenen Daten, wie Erhebung, Speicherung, Änderung, Offenlegung, Übertragung oder Verhinderung der Nutzung, unabhängig davon, ob automatisiert oder nicht.

Datenverantwortlicher: Die juristische Person BULKOON SCHUHE UND LEDERWAREN INDUSTRIE HANDELSGESSELLSCHAFT MBH.

Datenschutzkomitee (KVK Komitee): Ein vom Datenverantwortlichen eingesetztes Gremium zur administrativen Überwachung der Prozesse im Rahmen des Datenschutzgesetzes und der zugehörigen Vorschriften.

Betroffene Person: Die natürliche Person, deren personenbezogene Daten verarbeitet werden.

Datenschutzbehörde (Kurul): Die Datenschutzbehörde.

Anonymisierung: Die Verarbeitung personenbezogener Daten in einer Weise, dass die betroffene Person nicht mehr identifiziert werden kann, auch nicht durch Zusammenführung mit anderen Daten.

Vernichtung: Die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten.

Aufzeichnungsmedium: Jegliche Medien, auf denen personenbezogene Daten gespeichert sind, unabhängig davon, ob automatisiert oder nicht.

Verzeichnis der Datenverarbeitung: Ein Verzeichnis, das die Zwecke der Datenverarbeitung, Datenkategorien, Empfängergruppen und die maximalen Aufbewahrungsfristen sowie Sicherheitsmaßnahmen detailliert beschreibt.

Aufbewahrungs- und Löschrichtlinie: Diese Richtlinie, die als Grundlage für die Festlegung der maximalen Aufbewahrungsdauer und der Lösch-, Vernichtungs- und Anonymisierungsprozesse dient.

Periodische Löschung: Die in der Richtlinie festgelegte und in regelmäßigen Abständen automatisch durchgeführte Löschung, Vernichtung oder Anonymisierung personenbezogener Daten, wenn die Voraussetzungen für die Verarbeitung nicht mehr vorliegen.

Zuständiger Benutzer: Personen innerhalb der Organisation des Datenverantwortlichen, die personenbezogene Daten verarbeiten, ausgenommen diejenigen, die technisch für Speicherung, Schutz und Backup verantwortlich sind.

Verordnung: Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten.

VERBIS: Informationssystem des Registers der Datenverantwortlichen.

3. AUFZEICHNUNGSMEDIEN

Während der Geschäftstätigkeit unseres Unternehmens werden personenbezogene Daten von Mitarbeitern, Bewerbern, Kunden, potenziellen Kunden, Besuchern sowie Mitarbeitern und Vertretern von Lieferanten erhoben und in den folgenden Medien gemäß den gesetzlichen Vorschriften gespeichert:

Elektronische Medien

Server (Domain, Backup, E-Mail, Datenbank, Web, Dateifreigabe etc.)
Software (Office-Programme, Portal, EBYS, VERBIS)
IT-Sicherheitsgeräte (Firewall, Angriffserkennung und -verhinderung, Logdateien, Antivirus etc.)
Persönliche Computer (Desktop, Laptop)
Mobile Geräte (Telefon, Tablet etc.)
Optische Datenträger (CD, DVD etc.)
Entnehmbare Speichermedien (USB, Speicherkarte etc.)
Drucker, Scanner, Kopierer

Nicht-elektronische Medien

Papier
Manuelle Datenerfassungssysteme (Umfrageformulare, Serviceformulare, Bewerbungsformulare)
Andere schriftliche, gedruckte und visuelle Medien

VERANTWORTLICHKEIT

Zur Veröffentlichung, Aktualisierung und Überwachung der Umsetzung dieser Richtlinie wird vom Vorstand unseres Unternehmens ein Datenschutzkomitee (KVK Komitee) eingesetzt. Dieses Komitee besteht aus dem Leiter der Personalabteilung, dem Leiter der Verwaltung und dem IT-Leiter. Das KVK Komitee erfüllt folgende Aufgaben und Verantwortlichkeiten:

Sicherstellung der Einhaltung der Aufbewahrungsfristen personenbezogener Daten,
Verwaltung des Löschprozesses während der periodischen Löschintervalle,
Mindestens jährliche Überprüfung der Richtlinie,
Erstellung und Veröffentlichung detaillierter Verfahrensanweisungen zur Aufbewahrung und Löschung personenbezogener Daten sowie weiterer erforderlicher Verfahren basierend auf der Richtlinie,
Aufgabenzuweisung und Bevollmächtigung geeigneter Personen sowie Organisation von Schulungen zur Einhaltung des Gesetzes,
Überwachung und Planung der Umsetzung aller technischen und administrativen Maßnahmen gemäß Artikel 12 des Gesetzes,
Ermittlung und Überwachung der Einhaltung gesetzlicher Vorschriften und notwendiger Maßnahmen sowie Koordination,
Verfolgung von Anträgen und Anliegen betroffener Personen und Sicherstellung der Lösung von Problemen im Zusammenhang mit der Anwendung von Gesetz, Richtlinie und Verfahren,
Pflege der Beziehungen zur Datenschutzbehörde.

5. GRÜNDE FÜR DIE AUFBEWAHRUNG VON DATEN

Artikel 3 des Gesetzes definiert den Begriff der Datenverarbeitung, und Artikel 4 legt die Grundsätze für die Verarbeitung personenbezogener Daten fest:

a) Rechtmäßigkeit und Fairness,

b) Richtigkeit und Aktualität,

c) Verarbeitung zu bestimmten, eindeutigen und legitimen Zwecken,

d) Zweckbindung, Beschränkung und Verhältnismäßigkeit,

e) Aufbewahrung nur so lange, wie es gesetzlich vorgesehen oder für den Zweck erforderlich ist.

Die Artikel 5 und 6 des Gesetzes regeln die Bedingungen für die Verarbeitung personenbezogener Daten. Dementsprechend werden personenbezogene Daten im Rahmen unserer Geschäftstätigkeit entsprechend den gesetzlichen Vorgaben oder der Zweckbindung aufbewahrt.

5.1. RECHTLICHE GRÜNDE

Gesetz Nr. 6698 zum Schutz personenbezogener Daten,
Türkisches Obligationenrecht Nr. 6098,
Türkisches Handelsgesetzbuch Nr. 6102,
Gesetz Nr. 5510 über Sozialversicherung und allgemeine Krankenversicherung,
Gesetz Nr. 5651 über die Regulierung von Veröffentlichungen im Internet und die Bekämpfung von Straftaten über diese Veröffentlichungen,
Gesetz Nr. 6331 über Arbeitsschutz und Arbeitssicherheit,
Gesetz Nr. 4857 über Arbeit,
Weitere sekundäre Vorschriften im Rahmen dieser Gesetze.

5.2. ZWECKE DER AUFBEWAHRUNG

Die in unserem Unternehmen gespeicherten personenbezogenen Daten werden gemäß dem Gesetz und unserer Datenschutzrichtlinie (zugänglich unter https://bulkoon.com/kvk-politikasi) zu den dort genannten Zwecken und Gründen aufbewahrt.

6. TECHNISCHE UND ADMINISTRATIVE MASSNAHMEN

Unser Unternehmen trifft alle erforderlichen technischen und administrativen Maßnahmen, um die sichere Aufbewahrung personenbezogener Daten zu gewährleisten und deren unrechtmäßige Verarbeitung und Zugriff zu verhindern. Diese Maßnahmen umfassen, aber sind nicht beschränkt auf, die folgenden technischen und administrativen Vorkehrungen, angepasst an die Art der personenbezogenen Daten und der Aufzeichnungsmedien.

6.1. TECHNISCHE MASSNAHMEN

Gewährleistung der Netzwerksicherheit und Anwendungssicherheit,
Verwendung geschlossener Netzwerksysteme für die Übertragung personenbezogener Daten,
Schlüsselmanagement,
Sicherheitsmaßnahmen bei Beschaffung, Entwicklung und Wartung von IT-Systemen,
Sicherung der in der Cloud gespeicherten personenbezogenen Daten,
Erstellung von Berechtigungsmatrizen für Mitarbeiter,
Regelmäßige Protokollierung von Zugriffen,
Anwendung von Datenmaskierung bei Bedarf,
Einsatz aktueller Antivirensysteme,
Verwendung von Firewalls,
Zusätzliche Sicherheitsmaßnahmen für papierbasierte personenbezogene Daten und Versand vertraulicher Dokumente in geschütztem Format,
Überwachung der Datensicherheit,
Sicherheitsmaßnahmen für den Zutritt zu physischen Bereichen mit personenbezogenen Daten,
Schutz der physischen Bereiche vor externen Risiken (Brand, Überschwemmung etc.),
Sicherung der Umgebungen mit personenbezogenen Daten,
Minimierung der gespeicherten personenbezogenen Daten,
Backup und Sicherung der personenbezogenen Daten,
Verwaltung von Benutzerkonten und Berechtigungskontrolle mit entsprechender Überwachung,
Unveränderliche Protokollierung der Zugriffe,
Identifikation bestehender Risiken und Bedrohungen,
Verschlüsselter Versand von besonderen personenbezogenen Daten per E-Mail unter Verwendung von KEP oder Firmenpost,
Einsatz von Angriffserkennungs- und Präventionssystemen,
Durchführung von Penetrationstests,
Implementierung und kontinuierliche Überwachung von Cybersicherheitsmaßnahmen,
Verschlüsselung,
Einsatz von Data Loss Prevention Software.

6.2. ADMINISTRATIVE MASSNAHMEN

Disziplinarische Regelungen zum Datenschutz für Mitarbeiter,
Regelmäßige Schulungen und Sensibilisierungsmaßnahmen zum Datenschutz für Mitarbeiter,
Erstellung und Umsetzung von unternehmensweiten Richtlinien zu Zugriff, Informationssicherheit, Nutzung, Aufbewahrung und Löschung,
Abschluss von Vertraulichkeitserklärungen,
Entzug von Zugriffsrechten bei Stellenwechsel oder Ausscheiden von Mitarbeitern,
Verträge enthalten Datenschutzbestimmungen,
Festlegung von Datenschutzrichtlinien und -verfahren,
Schnelle Meldung von Datenschutzproblemen,
Regelmäßige und/oder stichprobenartige interne Audits,
Festlegung und Umsetzung von Protokollen und Verfahren für den Schutz besonderer personenbezogener Daten,
Regelmäßige Überprüfung der Datensicherheit bei Dienstleistern, die Daten verarbeiten,
Förderung des Datenschutzbewusstseins bei Dienstleistern.

7. GRÜNDE FÜR DIE LÖSCHUNG VON DATEN

Personenbezogene Daten, die in unserem Unternehmen gespeichert sind, werden gelöscht oder vernichtet, wenn:

Die gesetzlichen Grundlagen für die Verarbeitung geändert oder aufgehoben werden,
Der Zweck der Verarbeitung oder Aufbewahrung entfällt,
Die Verarbeitung auf der Einwilligung beruht und die betroffene Person diese widerruft,
Ein Antrag auf Löschung oder Vernichtung gemäß Artikel 11 des Gesetzes von der betroffenen Person gestellt und von unserem Unternehmen akzeptiert wird,
Unser Unternehmen einen solchen Antrag ablehnt, die Antwort als unzureichend empfunden wird oder innerhalb der gesetzlich vorgesehenen Frist keine Antwort erfolgt und die betroffene Person Beschwerde bei der Datenschutzbehörde einlegt und diese dem Antrag stattgibt,
Die maximale gesetzliche Aufbewahrungsfrist abgelaufen ist und keine weiteren rechtfertigenden Gründe für eine längere Aufbewahrung vorliegen.

In diesen Fällen werden die personenbezogenen Daten auf Antrag der betroffenen Person oder von unserem Unternehmen von Amts wegen gelöscht, vernichtet oder anonymisiert.

7. LÖSCHMETHODEN

7.1. LÖSCHUNG VON DATEN

Die Löschung personenbezogener Daten bedeutet, dass diese für zuständige Benutzer nicht mehr zugänglich oder nutzbar sind.

Personenbezogene Daten in physischen Medien: Daten, deren Aufbewahrungsfrist abgelaufen ist, werden unzugänglich gemacht und können nicht mehr verwendet werden. Hierbei kann die Schwärzungsmethode angewandt werden, bei der personenbezogene Daten auf Dokumenten entweder ausgeschnitten oder mit permanentem, nicht lesbarem Tintenauftrag unkenntlich gemacht werden.

Personenbezogene Daten in elektronischen Medien: Daten, deren Aufbewahrungsfrist abgelaufen ist, werden mit Methoden gelöscht, die eine Wiederherstellung unmöglich machen.

7.2. VERNICHTUNG VON DATEN
Die Vernichtung personenbezogener Daten bedeutet, dass diese für niemanden mehr zugänglich, wiederherstellbar oder nutzbar sind.

Daten in physischen Medien werden durch physische Zerstörung oder Überschreibung vernichtet.

Netzwerkgeräte: Switches, Router etc. werden durch Magnetisierung, physische Zerstörung oder Überschreibung vernichtet.

Flash-basierte Medien: Werden gemäß Herstellerangaben oder durch physische Zerstörung bzw. Überschreibung vernichtet.

SIM-Karten und Speicherchips: Werden durch physische Zerstörung oder Überschreibung vernichtet.

Optische Datenträger: Werden physisch zerstört.

Drucker und Zutrittssysteme mit fester Aufzeichnung: Werden physisch zerstört oder überschrieben.

Papier und ähnliche Medien: Werden mit Aktenvernichtern vernichtet.

7.3. ANONYMISIERUNG VON DATEN

Die Anonymisierung personenbezogener Daten bedeutet, dass diese so verarbeitet werden, dass eine Identifizierung der betroffenen Person nicht mehr möglich ist, auch nicht durch Zusammenführung mit anderen Daten. Dies erfolgt durch Entfernen oder Verändern aller direkten und indirekten Identifikatoren. Die Anonymisierung umfasst Verfahren wie Gruppierung, Maskierung, Ableitung, Generalisierung oder Zufallsgenerierung. Es wird geprüft, ob die Anonymisierung durch Eingriffe rückgängig gemacht werden kann, und entsprechend gehandelt.

8. AUFBEWAHRUNGSFRISTEN GEMÄSS GELTENDER GESETZGEBUNG

Für alle in unserem Unternehmen gespeicherten personenbezogenen Daten werden Aufbewahrungsfristen festgelegt. Dabei werden vorrangig die gesetzlichen Vorgaben berücksichtigt; falls keine Frist vorgesehen ist, wird die für den Verarbeitungszweck erforderliche Dauer herangezogen. Die Fristen sind im Verzeichnis der Datenverarbeitung und im VERBIS-System dokumentiert.

Sofern keine rechtlichen Hemmnisse vorliegen, werden die personenbezogenen Daten gemäß den gesetzlichen Bestimmungen in der folgenden Tabelle aufbewahrt und bei der ersten periodischen Löschung nach Ablauf der Frist vernichtet.

Datenkategorie

Aufbewahrungsdauer

Identitätsdaten