Richtlinie zur Aufbewahrung und Beseitigung personenbezogener Daten

1. Zweck der Richtlinie

Diese Richtlinie zur Aufbewahrung und Beseitigung personenbezogener Daten („Aufbewahrungs- und Beseitigungsrichtlinie“) betreffend die personenbezogenen Daten, die von Adil Onur Karahan Şahıs Şirketi („Unternehmen“) im Rahmen der mobilen App und der Website von Attendify+ („Plattform“) verarbeitet werden, wurde erlassen, um den technischen und organisatorischen Schutz personenbezogener Daten im Einklang mit dem türkischen Gesetz Nr. 6698 über den Schutz personenbezogener Daten (KVKK, „Gesetz“) sowie die Anwendung der Bestimmungen der im Amtsblatt (Resmî Gazete) vom 28.10.2017 veröffentlichten Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, „Verordnung“) für den Fall, dass die Verarbeitungsvoraussetzungen entfallen, zu regeln.

2. Aufzeichnungsmedien, in denen personenbezogene Daten aufbewahrt werden

Personenbezogene Daten werden im Einklang mit den einschlägigen Rechtsvorschriften, insbesondere den Bestimmungen des Gesetzes, in den folgenden Medien sicher aufbewahrt:

• Elektronische Medien: die MySQL-Datenbank und der Dateibereich für Notizanhänge auf den Plattform-Servern in der Türkei, Server-Zugriffsprotokolle, Sicherungsmedien, E-Mail-Postfach; die Datenbank, der Dateibereich und der sichere Speicher auf dem eigenen Gerät des Nutzers.
• Physische Medien: eigenhändig unterschriebene Anträge betroffener Personen und die zugehörige Korrespondenz.

3. Gründe für die Aufbewahrung und Beseitigung

Personenbezogene Daten werden insbesondere aufbewahrt, um die Tätigkeit der Plattform fortführen, rechtliche Verpflichtungen erfüllen und die Beziehungen zu den Nutzern verwalten zu können. Die Gründe, die eine Aufbewahrung erfordern, sind:

• unmittelbarer Zusammenhang der personenbezogenen Daten mit dem Abschluss und der Erfüllung des Vertrags,
• Begründung, Ausübung oder Schutz eines Rechts,
• Vorliegen eines berechtigten Interesses des Unternehmens, sofern die Grundrechte und Grundfreiheiten der Personen nicht beeinträchtigt werden,
• Erfüllung rechtlicher Verpflichtungen des Unternehmens,
• ausdrückliche Vorsehung der Aufbewahrung personenbezogener Daten in den Rechtsvorschriften,
• Vorliegen der ausdrücklichen Einwilligung der betroffenen Person bei Aufbewahrungstätigkeiten, die eine ausdrückliche Einwilligung erfordern.

Gemäß der Verordnung werden personenbezogene Daten in folgenden Fällen von Amts wegen oder auf Antrag gelöscht, vernichtet oder anonymisiert:

• Änderung oder Aufhebung der Rechtsvorschriften, die die Grundlage für die Verarbeitung oder Aufbewahrung bilden,
• Wegfall des Zwecks, der die Verarbeitung oder Aufbewahrung erfordert,
• Wegfall der Verarbeitungsvoraussetzungen nach Art. 5 und 6 des Gesetzes,
• Widerruf der Einwilligung durch die betroffene Person in Fällen, in denen die Verarbeitung ausschließlich auf einer ausdrücklichen Einwilligung beruht,
• Annahme eines Antrags der betroffenen Person auf Löschung, Vernichtung oder Anonymisierung nach Art. 11 Ziffer 2 (e) und (f) des Gesetzes,
• Stattgabe durch den Rat für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) bei einer Beschwerde, die beim Rat eingelegt wurde, nachdem das Unternehmen einen entsprechenden Antrag abgelehnt hat, die Antwort als unzureichend erachtet wurde oder keine fristgerechte Antwort erfolgt ist,
• Fehlen einer Voraussetzung, die eine längere Aufbewahrung rechtfertigen würde, obwohl die Höchstaufbewahrungsfrist abgelaufen ist.

4. Maßnahmen zum Schutz personenbezogener Daten

Das Unternehmen ergreift gemäß Art. 12 des Gesetzes technische und organisatorische Maßnahmen, die ein angemessenes Sicherheitsniveau gewährleisten, um die rechtswidrige Verarbeitung personenbezogener Daten und den rechtswidrigen Zugriff darauf zu verhindern und ihre Aufbewahrung sicherzustellen. Werden die Daten trotz aller Maßnahmen auf unrechtmäßige Weise von Dritten erlangt, wird dies der betroffenen Person und dem Rat schnellstmöglich mitgeteilt.

4.1. Technische Maßnahmen

• Netzwerk- und Anwendungssicherheit wird gewährleistet, die Datenübertragung ist mit SSL/TLS verschlüsselt.
• Passwörter, Bestätigungscodes und Sitzungsschlüssel werden unumkehrbar (als Hash) gespeichert.
• Der Zugriff auf Server und Datenbank ist auf Berechtigte beschränkt; auf die Daten jedes Nutzers kann nur über dessen eigene Sitzung zugegriffen werden.
• An den Authentifizierungsendpunkten gelten Anfragelimits, Zugriffsprotokolle werden regelmäßig geführt.
• Firewalls und Maßnahmen zur Angriffsabwehr werden eingesetzt, Software wird aktuell gehalten.
• Personenbezogene Daten werden gesichert, und die Sicherheit der Sicherungen wird gewährleistet.
• Bestehende Risiken und Bedrohungen wurden ermittelt, regelmäßige Prüfungen auf Sicherheitslücken werden durchgeführt.

4.2. Organisatorische Maßnahmen

• Es wird sichergestellt, dass nur Personen auf personenbezogene Daten zugreifen, die diese für ihre Aufgaben benötigen.
• In Verträge mit Dienstleistern, an die personenbezogene Daten übermittelt werden, werden Bestimmungen zur Datensicherheit aufgenommen, und die Dienstleister werden sensibilisiert.
• Mit Personen, die auf personenbezogene Daten zugreifen, werden Vertraulichkeitsvereinbarungen getroffen.
• Datensicherheitsprobleme werden zügig gemeldet, und Fälle unrechtmäßiger Erlangung werden der betroffenen Person und dem Rat schnellstmöglich mitgeteilt.
• Es werden Kontrollen zur Umsetzung der gesetzlichen Bestimmungen durchgeführt, festgestellte Schwachstellen werden behoben.

5. Methoden zur Beseitigung personenbezogener Daten

Entfallen die Gründe, die ihre Verarbeitung erfordern, beseitigt das Unternehmen personenbezogene Daten aus eigenem Entschluss oder auf Antrag der betroffenen Person mit einer oder mehreren der folgenden Methoden. Das Verfahren umfasst die Schritte Ermittlung der zu löschenden Daten, Ermittlung der betroffenen Personen, Ermittlung der Zugriffsmethoden und Beseitigung der Daten.

5.1. Löschung

• Löschung der Zeilen oder Spalten der Datenbank, in denen sich personenbezogene Daten befinden,
• Löschung der Anhangsdateien auf dem Server und Entzug der Zugriffsrechte der Nutzer auf diese Dateien,
• Unkenntlichmachung von Daten auf Papier durch Schwärzung.

5.2. Vernichtung

• Überschreiben der Daten auf Sicherungsmedien am Ende des Sicherungszyklus, sodass sie nicht wiederhergestellt werden können,
• Vernichtung von Papierdokumenten mit einem Aktenvernichter,
• Entmagnetisierung oder physische Zerstörung magnetischer Datenträger.

5.3. Anonymisierung

• Maskierung: Entfernung der wesentlichen identifizierenden Informationen der personenbezogenen Daten aus dem Datensatz.
• Entfernen von Datensätzen: Entfernung von Datenzeilen mit Alleinstellungsmerkmalen aus den Aufzeichnungen.
• Generalisierung (globale Kodierung): Umwandlung der Daten in einen allgemeineren Inhalt.

Gemäß Art. 28 des Gesetzes können anonymisierte Daten zu Forschungs-, Planungs- und Statistikzwecken verarbeitet werden; diese Vorgänge fallen nicht in den Anwendungsbereich des Gesetzes. Das Unternehmen bestimmt die Beseitigungsmethode frei nach dem Medium, in dem die Daten gespeichert sind.

6. Aufbewahrungs- und Beseitigungsfristen

Ist in den Rechtsvorschriften eine Frist vorgesehen, wird diese eingehalten; andernfalls werden personenbezogene Daten für die folgenden Fristen aufbewahrt.

Löschanträge der betroffenen Person werden ohne Abwarten der periodischen Beseitigung erfüllt. In den übrigen Fällen werden personenbezogene Daten nach Ablauf der Frist bei der ersten darauffolgenden periodischen Beseitigung gelöscht, vernichtet oder anonymisiert. Beseitigungsvorgänge werden protokolliert, und diese Protokolle werden, vorbehaltlich sonstiger rechtlicher Verpflichtungen, mindestens drei Jahre lang aufbewahrt.

7. Frist für die periodische Beseitigung

Gemäß Art. 11 der Verordnung wurde die Frist für die periodische Beseitigung auf 6 Monate festgelegt. Dementsprechend wird die periodische Beseitigung jedes Jahr im Juni und im Dezember durchgeführt.

8. Überarbeitung und Aufhebung

Wird die Aufbewahrungs- und Beseitigungsrichtlinie geändert oder aufgehoben, wird die neue Regelung auf der Richtlinienseite der Plattform bekannt gegeben.

9. Inkrafttreten

Diese Aufbewahrungs- und Beseitigungsrichtlinie tritt mit dem Tag ihrer Veröffentlichung in Kraft.