Richtlinie zum Schutz und zur Verarbeitung personenbezogener Daten

Zielgruppe: alle natürlichen Personen, deren personenbezogene Daten im Rahmen der mobilen App und der Website von Attendify+ verarbeitet werden.

Erstellt und genehmigt von: Adil Onur Karahan Şahıs Şirketi.

1. Einleitung

Adil Onur Karahan Şahıs Şirketi („Unternehmen“) bietet seinen Nutzern über die mobile App und die Website von Attendify+ („Plattform“) Leistungen wie Stundenplan, Anwesenheits- und Fehlzeitenerfassung, Verwaltung von Prüfungen, Hausaufgaben und Notizen sowie die Speicherung der Daten auf dem Server und deren Synchronisierung an.

Das Unternehmen legt bei seinen Tätigkeiten Wert auf den Schutz personenbezogener Daten. Diese Richtlinie zum Schutz und zur Verarbeitung personenbezogener Daten („Richtlinie“) ist die grundlegende Regelung zur Anwendung der durch das türkische Gesetz Nr. 6698 über den Schutz personenbezogener Daten (KVKK, „Gesetz“) festgelegten Verfahren und Grundsätze auf die Geschäftsprozesse im Rahmen der Plattform.

1.1. Zweck

Zweck dieser Richtlinie ist es, die wirksame Anwendung der im Gesetz und in den einschlägigen Rechtsvorschriften vorgesehenen Verfahren und Grundsätze in den Geschäftsprozessen im Rahmen der Plattform sicherzustellen. Das Unternehmen ergreift die für die Verarbeitung und den Schutz personenbezogener Daten erforderlichen organisatorischen und technischen Maßnahmen und fördert das Bewusstsein hierfür.

1.2. Geltungsbereich

Die Richtlinie erfasst alle personenbezogenen Daten, die in den Geschäftsprozessen im Rahmen der Plattform automatisiert oder, sofern sie Teil eines Datenaufzeichnungssystems sind, nicht automatisiert erhoben werden. Daten, die bei der Nutzung als Gast ausschließlich auf dem Gerät des Nutzers gespeichert und nicht an das Unternehmen übermittelt werden, werden vom Unternehmen nicht verarbeitet.

1.3. Grundlage

Die Richtlinie beruht auf dem Gesetz und den einschlägigen Rechtsvorschriften. Personenbezogene Daten werden auch verarbeitet, um Pflichten aus den für das Unternehmen geltenden Rechtsvorschriften zu erfüllen, insbesondere aus dem Gesetz Nr. 6563 zur Regelung des elektronischen Geschäftsverkehrs, dem türkischen Handelsgesetzbuch Nr. 6102 (TTK), dem Gesetz Nr. 5651 zur Regelung von Veröffentlichungen im Internet, dem türkischen Strafgesetzbuch Nr. 5237 (TCK) und dem Gesetz Nr. 6502 über den Verbraucherschutz. Bei Widersprüchen zwischen den geltenden Rechtsvorschriften und der Richtlinie gehen die geltenden Rechtsvorschriften vor.

1.4. Begriffsbestimmungen

2. Schutz personenbezogener Daten

2.1. Gewährleistung der Sicherheit personenbezogener Daten: Um eine rechtswidrige Offenlegung personenbezogener Daten, einen rechtswidrigen Zugriff, eine rechtswidrige Übermittlung oder sonstige Sicherheitsprobleme zu verhindern, ergreift das Unternehmen je nach Art der Daten die in Art. 12 des Gesetzes vorgesehenen Maßnahmen und berücksichtigt die von der Behörde veröffentlichten Leitfäden.

2.2. Besondere Kategorien personenbezogener Daten: Der Betrieb der Plattform erfordert keine besonderen Kategorien personenbezogener Daten, und solche Daten werden nicht abgefragt. Gibt ein Nutzer freiwillig solche Daten in Notizen oder Gründe ein, werden diese nur als Inhalt des Nutzers gespeichert, zu keinem anderen Zweck verarbeitet und gemäß Art. 6 des Gesetzes und den vom Rat festgelegten Maßnahmen geschützt.

2.3. Sensibilisierung: Das Unternehmen sorgt dafür, dass Personen, die Zugriff auf personenbezogene Daten haben, für die rechtmäßige Verarbeitung und den Schutz der Daten sensibilisiert sind, und aktualisiert diese Maßnahmen entsprechend Änderungen der Rechtsvorschriften.

3. Verarbeitung personenbezogener Daten

3.1. Allgemeine Grundsätze — Personenbezogene Daten werden gemäß den Grundsätzen in Art. 4 des Gesetzes verarbeitet:

• Rechtmäßigkeit und Treu und Glauben: Verarbeitung in dem von den Geschäftsprozessen erforderten Umfang und ohne Beeinträchtigung der Grundrechte und Grundfreiheiten der Personen.
• Richtigkeit und erforderlichenfalls Aktualität: Ergreifen der notwendigen Maßnahmen, damit die verarbeiteten Daten richtig und aktuell gehalten werden.
• Verarbeitung für festgelegte, eindeutige und legitime Zwecke.
• Zweckbezogenheit, Begrenzung und Verhältnismäßigkeit in Bezug auf die Verarbeitungszwecke.
• Aufbewahrung nur so lange, wie es die Rechtsvorschriften vorsehen oder der Verarbeitungszweck erfordert; nach Ablauf der Frist Löschung, Vernichtung oder Anonymisierung.

3.2. Verarbeitungsvoraussetzungen — Personenbezogene Daten werden auf Grundlage mindestens einer der in Art. 5 des Gesetzes genannten Voraussetzungen verarbeitet:

• ausdrückliche gesetzliche Vorsehung,
• Erforderlichkeit zum Schutz des Lebens oder der körperlichen Unversehrtheit der Person selbst oder eines Dritten, wenn die Person aus tatsächlichen Gründen nicht in der Lage ist, ihre Einwilligung zu erklären,
• unmittelbarer Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags (die Vorgänge im Rahmen des Mitgliedschaftsvertrags beruhen auf dieser Voraussetzung),
• Erforderlichkeit zur Erfüllung einer rechtlichen Verpflichtung des Unternehmens,
• Veröffentlichung durch die betroffene Person selbst,
• Erforderlichkeit zur Begründung, Ausübung oder zum Schutz eines Rechts,
• Erforderlichkeit für berechtigte Interessen des Unternehmens, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden,
• Vorliegen der ausdrücklichen Einwilligung der betroffenen Person, wenn keine der obigen Voraussetzungen gegeben ist.

Die für die Mitgliedschaft erforderliche Datenverarbeitung wird nicht von einer ausdrücklichen Einwilligung abhängig gemacht. Eine ausdrückliche Einwilligung wird nur für Sachverhalte verlangt, für die sie gesondert und freiwillig einzuholen ist, und kann jederzeit widerrufen werden.

3.3. Information der betroffenen Person: Betroffene Personen werden durch den auf der Plattform veröffentlichten KVKK-Informationstext und die Datenschutzerklärung darüber informiert, zu welchen Zwecken ihre Daten verarbeitet werden, an wen sie weitergegeben werden, mit welchen Methoden sie erhoben werden, auf welchem Rechtsgrund dies beruht und welche Rechte ihnen zustehen.

3.4. Weitergabe personenbezogener Daten: Personenbezogene Daten können entsprechend den Verarbeitungszwecken und unter Ergreifung der erforderlichen Sicherheitsmaßnahmen gemäß Art. 8 des Gesetzes, bei Übermittlungen ins Ausland gemäß Art. 9, an Dritte weitergegeben werden.

4. Datenkategorien und Empfängergruppen

Die wichtigsten im Rahmen der Plattform verarbeiteten Datenkategorien sind: Konto- und Kontaktdaten, Plattform-Nutzungsdaten (Kurse, Anwesenheit, Prüfungen, Hausaufgaben, Notizen, Sprachnotizen und Anhänge, Pomodoro-Sitzungen), Entdecken- und Community-Daten (Profil, Hochschulangaben, Beiträge, Likes, Stimmen und Meldungen), Daten zur Transaktionssicherheit, Werbedaten sowie Antrags- und Rechtsvorgangsdaten. Welche Daten zu welchem Zweck und auf welchem Rechtsgrund verarbeitet werden, ist im KVKK-Informationstext ausführlich dargelegt.

Personenbezogene Daten können für die festgelegten Zwecke und gemäß den Grundsätzen in Abschnitt 3.4 an folgende Empfängergruppen weitergegeben werden:

5. Maßnahmen zum Schutz personenbezogener Daten

Das Unternehmen ergreift die erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der von ihm verarbeiteten personenbezogenen Daten. In diesem Rahmen werden Daten bei der Übertragung mit SSL/TLS verschlüsselt, Passwörter und Sitzungsschlüssel unumkehrbar gespeichert und der Zugriff auf personenbezogene Daten auf Berechtigte beschränkt; auf die Daten jedes Nutzers kann nur über dessen eigene Sitzung zugegriffen werden, und es werden regelmäßige Prüfungen auf Sicherheitslücken durchgeführt. Werden personenbezogene Daten trotz aller getroffenen Maßnahmen auf unrechtmäßige Weise von Dritten erlangt, teilt das Unternehmen dies den betroffenen Personen und dem Rat schnellstmöglich mit.

6. Aufbewahrung und Beseitigung personenbezogener Daten

Das Unternehmen bewahrt personenbezogene Daten so lange auf, wie es die einschlägigen Rechtsvorschriften vorsehen, oder, falls keine Frist vorgesehen ist, so lange, wie es für den Verarbeitungszweck erforderlich ist. Die Aufbewahrungsfristen nach Datenkategorien sind in der Richtlinie zur Aufbewahrung und Beseitigung personenbezogener Daten festgelegt. Personenbezogene Daten, deren Aufbewahrungsfrist abgelaufen ist, werden durch Löschung, Vernichtung oder Anonymisierung beseitigt. Für eine Beseitigung auf Antrag der betroffenen Person gelten dieselben Grundsätze.

7. Rechte der betroffenen Personen

7.1. Rechte — Betroffene Personen haben gemäß Art. 11 des Gesetzes das Recht,

• zu erfahren, ob Ihre personenbezogenen Daten verarbeitet werden,
• falls sie verarbeitet wurden, diesbezüglich Auskunft zu verlangen,
• den Zweck der Verarbeitung Ihrer personenbezogenen Daten zu erfahren und ob sie ihrem Zweck entsprechend verwendet werden,
• die Dritten im In- oder Ausland zu kennen, an die sie übermittelt werden,
• im Fall einer unvollständigen oder unrichtigen Verarbeitung deren Berichtigung zu verlangen und zu verlangen, dass dieser Vorgang den Dritten, an die sie übermittelt wurden, mitgeteilt wird,
• die Löschung oder Vernichtung zu verlangen, wenn die Gründe für die Verarbeitung entfallen sind, obwohl die Daten im Einklang mit dem Gesetz verarbeitet wurden, und zu verlangen, dass dieser Vorgang den Dritten, an die sie übermittelt wurden, mitgeteilt wird,
• einem für Sie nachteiligen Ergebnis zu widersprechen, das durch die Analyse der verarbeiteten Daten ausschließlich mittels automatisierter Systeme entsteht,
• im Fall eines Schadens infolge einer rechtswidrigen Verarbeitung Ihrer personenbezogenen Daten den Ersatz des Schadens zu verlangen.

7.2. Ausübung der Rechte — Betroffene Personen können ihre Anliegen zu diesen Rechten mit dem Antragsformular für betroffene Personen auf unserer Richtlinienseite oder mit einem Schreiben gemäß der Mitteilung (Tebliğ) auf folgenden Wegen übermitteln:

Wir bitten Sie, in den Betreff des Antragsumschlags oder der E-Mail „Antrag der betroffenen Person nach dem Gesetz über den Schutz personenbezogener Daten“ zu schreiben.

*Bei persönlicher Antragstellung ist lediglich die Vorderseite eines Dokuments vorzulegen, das Ihre Identität nachweist (so, dass Blutgruppe und Religionsangabe nicht sichtbar sind).

7.3. Beantwortung von Anträgen — Das Unternehmen bearbeitet ordnungsgemäß übermittelte Anträge schnellstmöglich, spätestens innerhalb von 30 (dreißig) Tagen, unentgeltlich und abschließend. Erfordert der Vorgang zusätzliche Kosten, kann eine Gebühr nach dem vom Rat festgelegten Tarif erhoben werden.

7.4. Fälle, in denen ein Antrag abgelehnt werden kann — Das Unternehmen kann einen Antrag unter Angabe von Gründen ablehnen, und zwar in den in Art. 28 des Gesetzes genannten Fällen (etwa Verarbeitung zu statistischen Zwecken nach Anonymisierung; Verarbeitung zu künstlerischen, historischen, literarischen oder wissenschaftlichen Zwecken oder im Rahmen der Meinungsfreiheit; Justiz- und Vollstreckungsverfahren; Verhütung oder Ermittlung von Straftaten; von der betroffenen Person selbst veröffentlichte Daten; Aufsichts- und Regulierungsaufgaben öffentlicher Stellen; Schutz der wirtschaftlichen und finanziellen Interessen des Staates) sowie dann, wenn der Antrag die Rechte und Freiheiten anderer beeinträchtigen könnte, einen unverhältnismäßigen Aufwand erfordert oder die verlangte Information öffentlich zugänglich ist.

7.5. Recht auf Beschwerde beim Rat — Wird der Antrag abgelehnt, wird die Antwort als unzureichend erachtet oder erfolgt keine fristgerechte Antwort, kann die betroffene Person innerhalb von dreißig Tagen ab Kenntnis der Antwort des Unternehmens, in jedem Fall aber innerhalb von sechzig Tagen ab dem Antragsdatum, Beschwerde beim Rat einlegen.

7.6. Vom Antragsteller anforderbare Informationen — Das Unternehmen kann von der betroffenen Person zusätzliche Informationen anfordern und Fragen zu ihrem Antrag stellen, um festzustellen, ob der Antragsteller die betroffene Person ist, und um den Antrag zu präzisieren.

8. Durchführung

Die Richtlinie wurde von der vertretungsberechtigten Person des Unternehmens genehmigt und in Kraft gesetzt. Für die Anwendung und Aktualisierung der Richtlinie sowie für die Nachverfolgung der damit verbundenen Vorgänge ist die vertretungsberechtigte Person des Unternehmens verantwortlich. Die technische Umsetzung der Richtlinie erfolgt durch die Richtlinie zur Aufbewahrung und Beseitigung personenbezogener Daten.

9. Inkrafttreten und Bekanntmachung

Die Richtlinie tritt mit dem Tag ihrer Veröffentlichung auf der Plattform in Kraft. Änderungen der Richtlinie werden den betroffenen Personen durch Veröffentlichung auf der Plattform zugänglich gemacht und gelten ab dem Tag ihrer Veröffentlichung.