RICHTLINIE ZUR SPEICHERUNG UND ENTSORGUNG PERSONENBEZOGENER DATEN

Diese Richtlinie zur Aufbewahrung und Entsorgung personenbezogener Daten wurde von Beysu Global Enerji Anonim Şirketi in ihrer Eigenschaft als für die Datenverarbeitung Verantwortliche erstellt. Ziel ist es, die Verpflichtungen gemäß dem Gesetz Nr. 6698 zum Schutz personenbezogener Daten sowie der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten (die die sekundäre Rechtsvorschrift zu diesem Gesetz darstellt) zu erfüllen. Zudem sollen die betroffenen Personen über die Grundsätze zur Festlegung der maximalen Aufbewahrungsdauer (erforderlich für die Zwecke der Datenverarbeitung) sowie über die Verfahren zur Löschung, Vernichtung und Anonymisierung informiert werden.

Begriffsbestimmungen

Ausdrückliche Einwilligung: Eine auf Informationen beruhende und freiwillig erklärte Einwilligung in Bezug auf einen bestimmten Sachverhalt.

Relevanter Nutzer: Personen, die personenbezogene Daten innerhalb der Organisation des Verantwortlichen oder auf der Grundlage einer vom Verantwortlichen erteilten Befugnis und Weisung verarbeiten; ausgenommen hiervon sind die Person oder Einheit, die für die technische Speicherung, den Schutz und die Sicherung der Daten zuständig ist.

Entsorgung: Die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten.

Aufzeichnungsmedium: Jeder Datenträger, der personenbezogene Daten enthält, die entweder vollständig oder teilweise automatisiert oder – sofern sie Teil eines Datensystems sind – nicht automatisiert verarbeitet werden.

Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Verarbeitung personenbezogener Daten: Jeder mit personenbezogenen Daten durchgeführte Vorgang – wie etwa das Erheben, Aufzeichnen, Speichern, Aufbewahren, Ändern, Umgestalten, Offenlegen, Übermitteln, Übernehmen, Bereitstellen, Klassifizieren oder das Verhindern der Nutzung der Daten –, sei es durch vollständig oder teilweise automatisierte Verfahren oder durch nicht automatisierte Verfahren, sofern die Daten Teil eines Datensystems sind.

Anonymisierung personenbezogener Daten: Die derartige Umwandlung personenbezogener Daten, dass diese unter keinen Umständen mehr einer identifizierten oder identifizierbaren natürlichen Person zugeordnet werden können, selbst nicht bei einer Zusammenführung mit anderen Daten.

Löschung personenbezogener Daten: Der Vorgang, bei dem personenbezogene Daten für relevante Nutzer unzugänglich und unbrauchbar gemacht werden.

Vernichtung personenbezogener Daten: Der Vorgang, bei dem personenbezogene Daten für jedermann unzugänglich, unwiederbringlich und unbrauchbar gemacht werden.

Behörde: Die Behörde für den Schutz personenbezogener Daten. Regelmäßige Vernichtung: Der Vorgang der Löschung, Vernichtung oder Anonymisierung, der von Amts wegen in wiederkehrenden, in der Richtlinie zur Speicherung und Vernichtung personenbezogener Daten festgelegten Abständen durchgeführt wird, sofern die im Gesetz für die Verarbeitung personenbezogener Daten genannten Voraussetzungen entfallen sind.

Betroffene Person: Die natürliche Person, deren personenbezogene Daten verarbeitet werden.

Grundsätze

Das Unternehmen handelt im Rahmen der folgenden Grundsätze hinsichtlich der Speicherung und Vernichtung personenbezogener Daten:

• Bei der Löschung, Vernichtung und Anonymisierung personenbezogener Daten wird die vollständige Einhaltung des Gesetzes, der einschlägigen Rechtsvorschriften, der Beschlüsse des Vorstands sowie dieser Richtlinie sichergestellt.
• Alle Maßnahmen zur Löschung, Vernichtung und Anonymisierung personenbezogener Daten werden vom Unternehmen dokumentiert; diese Aufzeichnungen werden – vorbehaltlich anderweitiger gesetzlicher Verpflichtungen – für einen Zeitraum von mindestens 3 (drei) Jahren aufbewahrt.
• Sofern der Vorstand keine abweichende Entscheidung trifft, wählt das Unternehmen die geeignete Methode aus den Optionen der Löschung, Vernichtung oder Anonymisierung personenbezogener Daten von Amts wegen aus.

Auf Anfrage der betroffenen Person ist jedoch eine geeignete Methode auszuwählen und die Begründung für diese Wahl zu erläutern.

• Sollten die in den Artikeln 5 und 6 des Gesetzes festgelegten Voraussetzungen für die Verarbeitung personenbezogener Daten entfallen, werden die personenbezogenen Daten vom Unternehmen entweder von Amts wegen oder auf Anfrage der betroffenen Person gelöscht, vernichtet oder anonymisiert. Falls die betroffene Person diesbezüglich einen Antrag beim Unternehmen stellt:

– Eingehende Anträge sind spätestens innerhalb von 30 (dreißig) Tagen zu beantworten,

– Wurden die betroffenen Daten an Dritte übermittelt, so ist der jeweilige Empfänger über den Antrag zu unterrichten, und es ist sicherzustellen, dass die genannten Dritten die erforderlichen Maßnahmen ergreifen.

Erläuterungen zu den Gründen für die Aufbewahrung und Vernichtung

Personenbezogene Daten der betroffenen Personen werden vom Unternehmen im Rahmen der gesetzlichen und sonstigen einschlägigen Bestimmungen aufbewahrt, insbesondere zu folgenden Zwecken: (i) Aufrechterhaltung der Geschäftstätigkeit, (ii) Erfüllung gesetzlicher Verpflichtungen sowie (iii) Planung und Verwaltung von Arbeitnehmerrechten und Zusatzleistungen. Die Gründe, die eine Aufbewahrung erforderlich machen, sind wie folgt:

• Aufbewahrung personenbezogener Daten, da diese in direktem Zusammenhang mit dem Abschluss und der Erfüllung von Verträgen stehen,
• Aufbewahrung personenbezogener Daten zum Zwecke der Begründung, Ausübung oder Verteidigung von Rechtsansprüchen,
• Notwendigkeit der Aufbewahrung personenbezogener Daten zur Wahrung berechtigter Interessen des Unternehmens, sofern dadurch die Grundrechte und Grundfreiheiten der betroffenen Personen nicht beeinträchtigt werden,
• Aufbewahrung personenbezogener Daten zur Erfüllung einer gesetzlichen Verpflichtung des Unternehmens,
• Ausdrückliche gesetzliche Regelung zur Aufbewahrung personenbezogener Daten,
• Vorliegen der ausdrücklichen Einwilligung der betroffenen Personen für Aufbewahrungsvorgänge, die eine solche Einwilligung erfordern.

Gemäß der Verordnung werden personenbezogene Daten betroffener Personen vom Unternehmen – sei es von Amts wegen oder auf Antrag – in folgenden Fällen gelöscht, vernichtet oder anonymisiert:

• Wenn dies aufgrund der Änderung oder Aufhebung einschlägiger Rechtsvorschriften erforderlich ist, die die Grundlage für die Verarbeitung oder Aufbewahrung der personenbezogenen Daten bildeten,
• Wenn der Zweck, der die Verarbeitung oder Aufbewahrung der personenbezogenen Daten erforderte, entfällt,
• Wenn die Voraussetzungen für die Verarbeitung personenbezogener Daten gemäß den Artikeln 5 und 6 des Gesetzes entfallen,
• Wenn die betroffene Person ihre Einwilligung widerruft, sofern die Verarbeitung der personenbezogenen Daten ausschließlich auf der Bedingung der ausdrücklichen Einwilligung beruht,
• Wenn der für die Datenverarbeitung Verantwortliche dem Antrag der betroffenen Person auf Löschung, Vernichtung oder Anonymisierung ihrer personenbezogenen Daten im Rahmen der in Artikel 11 des Gesetzes festgelegten Rechte stattgibt,
• Wenn der für die Datenverarbeitung Verantwortliche dem Antrag der betroffenen Person auf Löschung, Vernichtung oder Anonymisierung ihrer personenbezogenen Daten nachkommt…

falls der an den für die Datenverarbeitung Verantwortlichen gerichtete Antrag abgelehnt wird, die erteilte Antwort als unzureichend erachtet wird oder innerhalb der gesetzlich vorgeschriebenen Frist keine Antwort erfolgt; eine Beschwerde bei der Behörde eingereicht wird und diese den Antrag für begründet erklärt,

• das Fehlen jeglicher Bedingung, die eine weitere Aufbewahrung personenbezogener Daten rechtfertigt, trotz Ablaufs der für deren Aufbewahrung erforderlichen Höchstfrist.

Aufbewahrungs- und Vernichtungsfristen

Die folgenden Kriterien werden in der aufgeführten Reihenfolge herangezogen, um die Aufbewahrungs- und Vernichtungsfristen für Ihre personenbezogenen Daten festzulegen, die das Unternehmen gemäß den Bestimmungen des Gesetzes und anderer einschlägiger Rechtsvorschriften erhoben hat:

• Ist in den Rechtsvorschriften eine Aufbewahrungsfrist für die betreffenden personenbezogenen Daten festgelegt, so ist diese Frist einzuhalten. Nach Ablauf dieser Frist werden die Daten gemäß der nachstehenden Bestimmung weiterverarbeitet.
• Läuft die gesetzlich vorgeschriebene Aufbewahrungsfrist für die betreffenden personenbezogenen Daten ab oder ist in den einschlägigen Rechtsvorschriften keine Aufbewahrungsfrist für diese Daten festgelegt, so werden nacheinander die folgenden Schritte unternommen:

– Die personenbezogenen Daten werden auf der Grundlage der in Artikel 6 des Gesetzes festgelegten Definitionen in „personenbezogene Daten“ und „personenbezogene Daten besonderer Art“ eingeteilt. Alle als Daten besonderer Art identifizierten personenbezogenen Daten werden vernichtet. Die für die Vernichtung dieser Daten anzuwendende Methode wird auf der Grundlage der Art der Daten und der Bedeutung ihrer Aufbewahrung für das Unternehmen bestimmt.

– Es wird geprüft, ob die Datenaufbewahrung mit den in Artikel 4 des Gesetzes genannten Grundsätzen im Einklang steht – beispielsweise durch die Frage, ob das Unternehmen einen berechtigten Zweck für die Aufbewahrung der Daten verfolgt. Daten, bei denen festgestellt wird, dass ihre Aufbewahrung gegen die in Artikel 4 des Gesetzes festgelegten Grundsätze verstößt, werden gelöscht, vernichtet oder anonymisiert.

– Es wird ermittelt, unter welche der in den Artikeln 5 und 6 des Gesetzes vorgesehenen Ausnahmen die Aufbewahrung der Daten fällt. Im Rahmen der anwendbaren Ausnahmen werden angemessene Aufbewahrungsfristen für die Daten festgelegt. Nach Ablauf dieser Fristen werden die Daten gelöscht, vernichtet oder anonymisiert.

– Die vom Unternehmen festgelegten Aufbewahrungs-, Vernichtungs- und regelmäßigen Vernichtungsfristen können Sie im Anhang zu dieser Richtlinie einsehen. Personenbezogene Daten, deren Aufbewahrungsfrist abgelaufen ist, werden in Abständen von sechs Monaten anonymisiert oder vernichtet; dies erfolgt gemäß den in dieser Richtlinie festgelegten Verfahren und im Rahmen der im Anhang spezifizierten Vernichtungsfristen. Sämtliche Maßnahmen im Zusammenhang mit der Löschung, Vernichtung und Anonymisierung personenbezogener Daten werden protokolliert; diese Protokolle werden – vorbehaltlich anderweitiger gesetzlicher Verpflichtungen – für mindestens drei Jahre aufbewahrt.

Verfahren sowie technische und administrative Maßnahmen zur Speicherung und Vernichtung personenbezogener Daten

Erhobene personenbezogene Daten werden in die Datensysteme des Unternehmens aufgenommen – sei es, um unserem Unternehmen die Erfüllung arbeitsrechtlicher Verpflichtungen zu ermöglichen; weil die Datenverarbeitung zur Begründung eines Rechtsanspruchs erforderlich ist; um die Inanspruchnahme von Kundendiensten, Verbraucherrechten und sonstigen Leistungen zu erleichtern und/oder damit verbundene geschäftliche, finanzielle und rechtliche Pflichten zu erfüllen; um die Sicherheit unseres Unternehmens zu gewährleisten; oder weil die Verarbeitung für berechtigte Zwecke unseres Unternehmens erforderlich ist. Zudem werden alle digital gespeicherten Daten auf den Servern des Unternehmens abgelegt.

Um die sichere Speicherung Ihrer personenbezogenen Daten zu gewährleisten, eine unrechtmäßige Verarbeitung sowie unbefugten Zugriff zu verhindern und eine rechtmäßige Datenvernichtung sicherzustellen, hat das Unternehmen die folgenden administrativen und technischen Maßnahmen gemäß den in Artikel 12 des Gesetzes verankerten Grundsätzen implementiert:

Administrative Maßnahmen:

Im Rahmen ihrer administrativen Maßnahmen trifft das Unternehmen folgende Vorkehrungen:

• Der interne Zugriff auf gespeicherte personenbezogene Daten wird auf diejenigen Mitarbeiter beschränkt, die diesen Zugriff aufgrund ihrer Stellenbeschreibung benötigen. Bei dieser Zugriffsbeschränkung werden die Sensibilität und die Bedeutung der Daten berücksichtigt.
• Sollten verarbeitete personenbezogene Daten auf unrechtmäßige Weise in die Hände Dritter gelangen, werden die betroffene Person sowie der Vorstand schnellstmöglich darüber informiert.
• Im Zusammenhang mit der Weitergabe personenbezogener Daten wird mit den jeweiligen Empfängern eine Rahmenvereinbarung über den Schutz personenbezogener Daten und die Datensicherheit geschlossen, oder die Datensicherheit wird durch entsprechende Bestimmungen in bestehenden Verträgen gewährleistet.
• Es wird Personal eingesetzt, das über Fachwissen und Erfahrung in der Verarbeitung personenbezogener Daten verfügt, und die Mitarbeiter erhalten die erforderlichen Schulungen zu den gesetzlichen Bestimmungen über den Schutz personenbezogener Daten sowie zur Datensicherheit.
• Es werden erforderliche Audits durchgeführt – oder in Auftrag gegeben –, um die Einhaltung der gesetzlichen Bestimmungen innerhalb des Unternehmens sicherzustellen.

Etwaige im Rahmen dieser Audits festgestellte Schwachstellen in Bezug auf Datenschutz und Sicherheit werden behoben.

• Angemessene Sicherheitsmaßnahmen (gegen elektrische Störungen, Feuer, Überschwemmung, Diebstahl usw.) werden unter Berücksichtigung der Umgebung, in der die personenbezogenen Daten gespeichert sind, implementiert; zudem wird der unbefugte Zutritt zu diesen Bereichen bzw. das unbefugte Verlassen derselben verhindert.

Technische Maßnahmen:

Im Rahmen der administrativen Maßnahmen…

• führt das Unternehmen die erforderlichen internen Kontrollen im Rahmen der etablierten Systeme durch.
• steuert das Unternehmen die Prozesse zur Durchführung von Risikobewertungen im IT-Bereich sowie von Business-Impact-Analysen im Rahmen der etablierten Systeme.
• stellt das Unternehmen die technische Infrastruktur bereit, um Datenabflüsse aus der Organisation heraus zu verhindern oder zu überwachen, und sorgt für die Erstellung entsprechender Matrizen.
• gewährleistet das Unternehmen die Überwachung von Systemschwachstellen durch die regelmäßige und bedarfsorientierte Beauftragung von Penetrationstests.
• stellt das Unternehmen sicher, dass die Zugriffsrechte der Mitarbeiter der IT-Abteilung auf personenbezogene Daten kontrolliert werden.
• stellt das Unternehmen sicher, dass personenbezogene Daten so vernichtet werden, dass sie nicht wiederhergestellt werden können und keine Prüfspuren (Audit-Trails) hinterlassen.
• schützt das Unternehmen alle digitalen Umgebungen, in denen personenbezogene Daten gespeichert sind, mittels Verschlüsselung oder kryptografischer Verfahren gemäß Artikel 12 des Gesetzes, um die Anforderungen an die Informationssicherheit zu erfüllen.
• gewährleistet das Unternehmen die sichere Protokollierung aller Vorgänge, die besondere Kategorien personenbezogener Daten betreffen.
• überwacht das Unternehmen kontinuierlich Sicherheitsupdates für datenhaltende Umgebungen und stellt sicher, dass regelmäßig die erforderlichen Sicherheitstests durchgeführt werden.
• steuert das Unternehmen bei Zugriffen auf besondere Kategorien personenbezogener Daten über Softwareanwendungen die Benutzerberechtigungen für diese Software und stellt regelmäßige Sicherheitstests der Software sicher.
• implementiert das Unternehmen mindestens ein Zwei-Faktor-Authentifizierungssystem für Fälle, in denen ein Fernzugriff auf besondere Kategorien personenbezogener Daten erforderlich ist.
• in Fällen, in denen besondere Kategorien personenbezogener Daten übermittelt werden:

– Wenn eine Datenübermittlung per E-Mail erforderlich ist, ist sicherzustellen, dass diese verschlüsselt und unter Verwendung einer geschäftlichen E-Mail-Adresse oder eines Kontos für registrierte elektronische Post (KEP) erfolgt,

– Wenn eine Datenübermittlung über Datenträger wie tragbare Laufwerke, CDs oder DVDs erforderlich ist, ist eine kryptografische Verschlüsselung unter Anwendung [geeigneter] Verfahren sicherzustellen,

– Sicherstellung, dass Übermittlungen zwischen Servern, die sich in unterschiedlichen physischen Umgebungen befinden, über eine zwischen den Servern eingerichtete VPN-Verbindung oder mittels sFTP-Verfahren erfolgen,

– Sicherstellung, dass bei einer Datenübermittlung in Papierform die Dokumente gemäß den Vorgaben für „vertrauliche Dokumente“ übermittelt werden.

Aufgaben und Befugnisse des Ausschusses für den Schutz personenbezogener Daten

Der Ausschuss für den Schutz personenbezogener Daten ist dafür verantwortlich, die Richtlinie den relevanten Geschäftsbereichen zu kommunizieren und die Einhaltung ihrer Vorgaben zu überwachen. Der Ausschuss gibt erforderliche Bekanntmachungen und Mitteilungen heraus, um sicherzustellen, dass die relevanten Geschäftsbereiche Entwicklungen – wie etwa gesetzliche Änderungen zum Schutz personenbezogener Daten, regulatorische Maßnahmen und Entscheidungen der Aufsichtsbehörde, Gerichtsurteile oder Änderungen von Prozessen, Verfahrensweisen und Systemen – verfolgen und ihre Geschäftsprozesse gegebenenfalls daran anpassen. Darüber hinaus legt der Ausschuss Verfahren fest und teilt diese den zuständigen Bereichen mit, die der Überprüfung, Bewertung, Überwachung und abschließenden Bearbeitung von Angelegenheiten im Zusammenhang mit dem Gesetz, nachgeordneten Rechtsvorschriften, Entscheidungen und Regelungen der Aufsichtsbehörde, Gerichtsurteilen sowie Entscheidungen und/oder Anfragen anderer zuständiger Behörden dienen.

Umsetzung der Richtlinie, Verstöße und Sanktionen

• Diese Richtlinie tritt mit ihrer Bekanntgabe an alle Mitarbeitenden in Kraft und ist ab diesem Zeitpunkt für alle Geschäftsbereiche, Berater, externen Dienstleister sowie alle Parteien, die personenbezogene Daten verarbeiten, verbindlich.
• Die Überwachung der Einhaltung der Richtlinienvorgaben durch die Mitarbeitenden obliegt den jeweiligen Vorgesetzten.

Wird ein Verhalten festgestellt, das gegen die Richtlinie verstößt, ist der Vorfall vom Vorgesetzten des betreffenden Mitarbeiters unverzüglich an dessen eigenen Vorgesetzten zu melden.

• Im Falle eines schwerwiegenden Verstoßes hat der Vorgesetzte den Ausschuss für den Schutz personenbezogener Daten unverzüglich zu unterrichten.
• Nach einer Prüfung durch die Personalabteilung sind die erforderlichen administrativen Maßnahmen gegen den Mitarbeiter zu ergreifen, der gegen die Richtlinie verstoßen hat.

Personenbezogene Daten werden für die in der nachstehenden Tabelle aufgeführten Zeiträume unter Berücksichtigung der in Artikel 4 der Richtlinie dargelegten Bestimmungen aufbewahrt und nach Ablauf dieser Zeiträume anonymisiert oder vernichtet:

Sollte der Verwendungszweck des Unternehmens für die betreffenden personenbezogenen Daten noch nicht entfallen sein, die gesetzlich für diese Daten vorgesehene Aufbewahrungsfrist die in der Tabelle genannten Zeiträume überschreiten oder die Verjährungsfrist für etwaige Rechtsstreitigkeiten in der betreffenden Angelegenheit eine längere Speicherung erfordern, so finden die oben in der Tabelle aufgeführten Fristen keine Anwendung. In diesem Fall ist der jeweils späteste Zeitpunkt maßgeblich – sei es das Ende des Verwendungszwecks, der Ablauf der speziellen gesetzlichen Aufbewahrungsfrist oder das Ende der Verjährungsfrist.