Datenschutzrichtlinie zur Aufbewahrung und Löschung personenbezogener Daten

DATENSCHUTZRICHTLINIE ZUR AUFBEWAHRUNG UND LÖSCHUNG PERSONENBEZOGENER DATEN

1. ZWECK UND ANWENDUNGSBEREICH

BULKOON SCHUHE UND LEDERWAREN INDUSTRIE HANDELSGESELLSCHAFT MIT BESCHRÄNKTER HAFTUNG („Unser Unternehmen“) verpflichtet sich, die gesetzlichen Verpflichtungen zum Schutz, zur Verarbeitung und Löschung personenbezogener Daten einzuhalten. Diese Datenschutzrichtlinie zur Aufbewahrung und Löschung personenbezogener Daten („Richtlinie“) enthält den Rahmen und die Grundsätze für die erforderlichen Aufbewahrungs- und Löschmaßnahmen gemäß den geltenden Vorschriften.

Gemäß der am 28. Oktober 2017 im Amtsblatt Nr. 30224 veröffentlichten Verordnung über das Löschen, Vernichten oder Anonymisieren personenbezogener Daten („Verordnung“) sind Datenverantwortliche verpflichtet, eine Aufbewahrungs- und Löschrichtlinie für personenbezogene Daten entsprechend dem Verzeichnis der Datenverarbeitung zu erstellen. Ziel dieser Richtlinie ist es, die maximal erforderlichen Aufbewahrungsfristen sowie die Prozesse zur Löschung, Vernichtung oder Anonymisierung der von unserem Unternehmen verarbeiteten personenbezogenen Daten festzulegen und die Rollen und Verantwortlichkeiten der beteiligten Personen zu definieren.

Der Anwendungsbereich dieser Richtlinie umfasst die maximalen Aufbewahrungsfristen für personenbezogene Daten, die technischen und administrativen Maßnahmen zur rechtmäßigen Aufbewahrung und Löschung sowie die zuständigen Abteilungen und Aufzeichnungsmedien innerhalb unseres Unternehmens.

2. DEFINITIONEN

Elektronisches Medium: Medien, auf denen personenbezogene Daten mit elektronischen Geräten erstellt, gelesen, geändert und geschrieben werden können.

Nicht-elektronisches Medium: Alle anderen schriftlichen, gedruckten, visuellen oder sonstigen Medien außerhalb elektronischer Medien.

Gesetz: Gesetz Nr. 6698 zum Schutz personenbezogener Daten.

Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Verarbeitung personenbezogener Daten: Jegliche Vorgänge mit personenbezogenen Daten, wie Erhebung, Speicherung, Änderung, Offenlegung, Übertragung, Klassifizierung oder Verhinderung der Nutzung, sowohl automatisiert als auch manuell.

Datenverantwortlicher: Die juristische Person BULKOON SCHUHE UND LEDERWAREN INDUSTRIE HANDELSGESELLSCHAFT MIT BESCHRÄNKTER HAFTUNG.

Datenschutzkomitee (KVK Komitee): Ein vom Datenverantwortlichen eingesetztes Komitee zur administrativen Überwachung der Prozesse im Rahmen des Datenschutzgesetzes und der zugehörigen Vorschriften.

Betroffene Person: Die natürliche Person, deren personenbezogene Daten verarbeitet werden.

Datenschutzbehörde (Kurul): Die Datenschutzbehörde.

Anonymisierung: Die Verarbeitung personenbezogener Daten so, dass sie nicht mehr einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können, auch nicht durch Zusammenführung mit anderen Daten.

Vernichtung: Das Löschen, Vernichten oder Anonymisieren personenbezogener Daten.

Aufzeichnungsmedium: Jegliche Medien, auf denen personenbezogene Daten gespeichert sind, unabhängig davon, ob die Verarbeitung automatisiert oder manuell erfolgt.

Verzeichnis der Datenverarbeitung: Ein Verzeichnis, das die Zwecke der Datenverarbeitung, Datenkategorien, Empfängergruppen, betroffene Personengruppen, Aufbewahrungsfristen, vorgesehene Übermittlungen und Sicherheitsmaßnahmen detailliert beschreibt.

Aufbewahrungs- und Löschrichtlinie: Diese Richtlinie, die die maximalen Aufbewahrungsfristen und die Verfahren zum Löschen, Vernichten und Anonymisieren personenbezogener Daten festlegt.

Periodische Löschung: Die wiederkehrende, automatische Löschung, Vernichtung oder Anonymisierung personenbezogener Daten, wenn die Voraussetzungen für die Verarbeitung nicht mehr vorliegen.

Zuständiger Nutzer: Personen oder Abteilungen innerhalb des Datenverantwortlichen, die personenbezogene Daten verarbeiten, ausgenommen diejenigen, die für die technische Speicherung, Sicherung und Backup verantwortlich sind.

Verordnung: Verordnung über das Löschen, Vernichten oder Anonymisieren personenbezogener Daten.

VERBİS: Informationssystem des Registers der Datenverantwortlichen.

3. AUFZEICHNUNGSMEDIEN

Während der Geschäftstätigkeit unseres Unternehmens werden personenbezogene Daten von Mitarbeitern, Bewerbern, Kunden, potenziellen Kunden, Besuchern sowie Mitarbeitern und Vertretern von Lieferanten erhoben und gemäß den gesetzlichen Vorschriften in den folgenden Medien gespeichert:

Elektronische Medien

Server (Domain, Backup, E-Mail, Datenbank, Web, Dateifreigabe usw.)
Software (Office-Software, Portal, EBYS, VERBİS)
IT-Sicherheitsgeräte (Firewall, Angriffserkennung und -verhinderung, Logdateien, Antivirus usw.)
Persönliche Computer (Desktop, Laptop)
Mobile Geräte (Telefon, Tablet usw.)
Optische Datenträger (CD, DVD usw.)
Entnehmbare Speichermedien (USB, Speicherkarte usw.)
Drucker, Scanner, Kopierer

Nicht-elektronische Medien

Papier
Manuelle Datenerfassungssysteme (Umfrageformulare, Serviceformulare, Bewerbungsformulare)
Weitere schriftliche, gedruckte und visuelle Medien

VERANTWORTLICHKEIT

Zur Veröffentlichung, Aktualisierung und Überwachung der Umsetzung dieser Richtlinie wird vom Vorstand unseres Unternehmens ein Datenschutzkomitee (KVK Komitee) eingesetzt und mit den entsprechenden Befugnissen ausgestattet. Das KVK Komitee besteht aus dem Leiter der Personalabteilung, dem Leiter der Verwaltungsabteilung und dem IT-Leiter. Das KVK Komitee übernimmt folgende Aufgaben und Verantwortlichkeiten:

Sicherstellung der Einhaltung der Aufbewahrungsfristen personenbezogener Daten,
Verwaltung des Löschprozesses während der periodischen Löschung,
Mindestens jährliche Überprüfung der Richtlinie,
Erstellung und Veröffentlichung detaillierter Verfahrensanweisungen zur Aufbewahrung und Löschung personenbezogener Daten sowie weiterer erforderlicher Verfahren auf Basis der Richtlinie,
Verteilung der Aufgaben für die Umsetzung der Richtlinie und Verfahren, Autorisierung geeigneter Personen und Organisation von Schulungen zur Einhaltung des Gesetzes,
Überwachung und Planung der Kontrolle aller technischen und administrativen Maßnahmen gemäß Artikel 12 des Gesetzes,
Ermittlung und Überwachung der Maßnahmen zur Einhaltung des Gesetzes und der relevanten Vorschriften sowie Koordination der Umsetzung,
Verfolgung von Anträgen und Anliegen betroffener Personen und Sicherstellung der Lösung möglicher Probleme im Zusammenhang mit der Anwendung von Gesetz, Richtlinie und Verfahren,
Pflege der Beziehungen zur Datenschutzbehörde.

5. GRÜNDE FÜR DIE AUFBEWAHRUNG VON DATEN

In Artikel 3 des Gesetzes wird der Begriff der Datenverarbeitung definiert, und Artikel 4 legt die Grundsätze für die Verarbeitung personenbezogener Daten fest:

a) Rechtmäßigkeit und Fairness,

b) Richtigkeit und Aktualität,

c) Verarbeitung zu bestimmten, klaren und legitimen Zwecken,

d) Zweckbindung, Beschränkung und Verhältnismäßigkeit,

e) Aufbewahrung nur so lange, wie es gesetzlich vorgesehen oder für den Verarbeitungszweck erforderlich ist.

Die Artikel 5 und 6 des Gesetzes regeln die Bedingungen für die Verarbeitung personenbezogener Daten. Demnach werden personenbezogene Daten im Rahmen unserer Geschäftstätigkeit entsprechend den gesetzlichen Vorgaben oder der Zweckbindung so lange aufbewahrt, wie es erforderlich ist.

5.1. RECHTLICHE GRÜNDE

Gesetz Nr. 6698 zum Schutz personenbezogener Daten,
Türkisches Obligationenrecht Nr. 6098,
Türkisches Handelsgesetzbuch Nr. 6102,
Gesetz Nr. 5510 über Sozialversicherungen und allgemeine Krankenversicherung,
Gesetz Nr. 5651 über die Regulierung von Veröffentlichungen im Internet und die Bekämpfung von Straftaten über diese Veröffentlichungen,
Gesetz Nr. 6331 über Arbeitsschutz und Arbeitssicherheit,
Gesetz Nr. 4857 über Arbeitsrecht,
Weitere sekundäre Vorschriften gemäß diesen Gesetzen.

5.2. ZWECKE DER AUFBEWAHRUNG

Die in unserem Unternehmen gespeicherten personenbezogenen Daten werden gemäß dem Gesetz und unserer Datenschutzrichtlinie (verfügbar unter https://bulkoon.com/kvk-politikasi) zu den dort genannten Zwecken und Gründen aufbewahrt.

6. TECHNISCHE UND ADMINISTRATIVE MASSNAHMEN

Unser Unternehmen ergreift alle erforderlichen technischen und administrativen Maßnahmen, um die sichere Aufbewahrung personenbezogener Daten zu gewährleisten und eine unrechtmäßige Verarbeitung oder den unbefugten Zugriff zu verhindern. Diese Maßnahmen umfassen, je nach Art der Daten und des Mediums, unter anderem folgende:

6.1. TECHNISCHE MASSNAHMEN

Netzwerk- und Anwendungssicherheit,
Verwendung geschlossener Netzwerke für Datenübertragungen,
Schlüsselmanagement,
Sicherheitsmaßnahmen bei Beschaffung, Entwicklung und Wartung von IT-Systemen,
Sicherheit der in der Cloud gespeicherten personenbezogenen Daten,
Erstellung von Berechtigungsmatrizen für Mitarbeiter,
Regelmäßige Protokollierung von Zugriffen,
Bei Bedarf Datenmaskierung,
Aktuelle Antivirensysteme,
Einsatz von Firewalls,
Zusätzliche Sicherheitsmaßnahmen für papierbasierte personenbezogene Daten, Versand in vertraulichen Dokumentenformaten,
Überwachung der Datensicherheit,
Sicherheitsmaßnahmen für den Zugang zu physischen Bereichen mit personenbezogenen Daten,
Schutz vor externen Risiken wie Feuer oder Überschwemmung,
Sicherung der physischen Datenumgebungen,
Minimierung der gespeicherten personenbezogenen Daten,
Sicherung und Schutz von Backups personenbezogener Daten,
Benutzerkonten- und Berechtigungskontrollsysteme mit Überwachung,
Unveränderliche Protokollierung,
Identifikation bestehender Risiken und Bedrohungen,
Verschlüsselte Übertragung sensibler personenbezogener Daten per E-Mail, Nutzung von KEP oder Firmenpostfach,
Einsatz von Angriffserkennungs- und Präventionssystemen,
Durchführung von Penetrationstests,
Kontinuierliche Überwachung der Cybersicherheitsmaßnahmen,
Verschlüsselung,
Einsatz von Data-Loss-Prevention-Software.

6.2. ADMINISTRATIVE MASSNAHMEN

Disziplinarregelungen mit Datenschutzbestimmungen für Mitarbeiter,
Regelmäßige Schulungen und Sensibilisierung der Mitarbeiter zum Datenschutz,
Erstellung und Umsetzung von Richtlinien zu Zugriff, Informationssicherheit, Nutzung, Aufbewahrung und Löschung,
Abschluss von Vertraulichkeitserklärungen,
Entzug von Zugriffsrechten bei Stellenwechsel oder Ausscheiden von Mitarbeitern,
Verträge enthalten Datenschutzklauseln,
Festlegung von Datenschutzrichtlinien und -verfahren,
Schnelle Meldung von Datenschutzproblemen,
Regelmäßige und stichprobenartige interne Audits,
Festlegung und Umsetzung von Protokollen und Verfahren zum Schutz besonderer personenbezogener Daten,
Regelmäßige Überprüfung der Datenschutzmaßnahmen bei Dienstleistern,
Förderung des Datenschutzbewusstseins bei Dienstleistern.

7. GRÜNDE FÜR DIE LÖSCHUNG VON DATEN

Personenbezogene Daten, die in unserem Unternehmen gespeichert sind, werden gelöscht, wenn:

Die gesetzlichen Grundlagen für die Verarbeitung geändert oder aufgehoben werden,
Der Zweck der Verarbeitung oder Aufbewahrung entfällt,
Die Verarbeitung nur auf Grundlage der ausdrücklichen Einwilligung erfolgt und diese widerrufen wird,
Ein Antrag auf Löschung oder Vernichtung der Daten im Rahmen der Rechte der betroffenen Person gemäß Artikel 11 des Gesetzes von unserem Unternehmen akzeptiert wird,
Das Unternehmen einen Antrag auf Löschung, Vernichtung oder Anonymisierung ablehnt, die Antwort als unzureichend empfunden wird oder keine Antwort innerhalb der gesetzlich vorgesehenen Frist erfolgt und die betroffene Person Beschwerde bei der Datenschutzbehörde einlegt und diese dem Antrag stattgibt,
Die maximal zulässige Aufbewahrungsfrist abgelaufen ist und keine rechtlichen Gründe für eine längere Aufbewahrung vorliegen.

In diesen Fällen werden die personenbezogenen Daten auf Antrag der betroffenen Person oder von Amts wegen gelöscht, vernichtet oder anonymisiert.

7. LÖSCHMETHODEN

7.1. LÖSCHUNG VON DATEN

Die Löschung personenbezogener Daten bedeutet, dass diese für zuständige Nutzer nicht mehr zugänglich oder nutzbar sind.

Personenbezogene Daten in physischen Medien: Daten, deren Aufbewahrungsfrist abgelaufen ist, werden unzugänglich und unbrauchbar gemacht. Hierbei kann die Schwärzungsmethode angewendet werden, bei der personenbezogene Daten auf Dokumenten entweder ausgeschnitten oder mit undurchdringlicher Tinte unlesbar gemacht werden.

Personenbezogene Daten in elektronischen Medien: Daten, deren Aufbewahrungsfrist abgelaufen ist, werden mit Methoden gelöscht, die eine Wiederherstellung unmöglich machen.

7.2. VERNICHTUNG VON DATEN
Die Vernichtung bedeutet, dass personenbezogene Daten für niemanden mehr zugänglich, wiederherstellbar oder nutzbar sind.

Daten in physischen Medien werden durch physische Zerstörung oder Überschreibung vernichtet.

Netzwerkgeräte: Switches, Router usw. werden durch Magnetisierung, physische Zerstörung oder Überschreibung vernichtet.

Flash-basierte Medien: Werden gemäß Herstellerempfehlungen oder durch physische Zerstörung bzw. Überschreibung vernichtet.

SIM-Karten und Speicherchips: Werden durch physische Zerstörung oder Überschreibung vernichtet.

Optische Datenträger: Werden physisch vernichtet.

Drucker und Zutrittssysteme mit fester Aufzeichnungsumgebung: Werden durch physische Zerstörung oder Überschreibung vernichtet.

Papier und ähnliche Medien: Werden mit Aktenvernichtern zerstört.

7.3. ANONYMISIERUNG VON DATEN

Die Anonymisierung bedeutet, dass personenbezogene Daten so verändert werden, dass sie auch in Kombination mit anderen Daten keiner bestimmten oder bestimmbaren natürlichen Person mehr zugeordnet werden können. Dies erfolgt durch Entfernen oder Ändern aller direkten und indirekten Identifikatoren, sodass die Identität der betroffenen Person nicht mehr festgestellt werden kann. Methoden wie Gruppierung, Maskierung, Ableitung, Generalisierung oder Zufallsgenerierung werden angewandt. Vor der Anonymisierung wird geprüft, ob eine Re-Identifizierung möglich ist, und entsprechende Maßnahmen werden ergriffen.

8. AUFBEWAHRUNGSFRISTEN GEMÄSS GELTENDER RECHTSVORSCHRIFTEN

Für alle in unserem Unternehmen gespeicherten personenbezogenen Daten werden Aufbewahrungsfristen festgelegt. Dabei werden vorrangig die gesetzlichen Vorgaben berücksichtigt; falls keine Frist vorgesehen ist, wird die für den Verarbeitungszweck erforderliche Dauer zugrunde gelegt. Die Fristen sind im Verzeichnis der Datenverarbeitung und im VERBİS-System dokumentiert.

Sofern keine rechtlichen Hemmnisse vorliegen, werden die personenbezogenen Daten gemäß den folgenden gesetzlichen Regelungen aufbewahrt und bei Ablauf der Frist bei der nächsten periodischen Löschung vernichtet:

Datenkategorie

Aufbewahrungsfrist

Identitätsdaten