Richtlinie zur Aufbewahrung und Löschung personenbezogener Daten

Der Verantwortliche, die Neda Deniz Uluslararası Sağlık Turizmi Hizmetleri Limited Şirketi, bewahrt Ihre personenbezogenen Daten auf und löscht sie im Einklang mit den allgemeinen Grundsätzen und Regelungen dieser Richtlinie zur Aufbewahrung und Löschung personenbezogener Daten, die in Übereinstimmung mit der Verfassung, dem Gesetz Nr. 6698 zum Schutz personenbezogener Daten, der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten und weiteren einschlägigen Vorschriften erstellt wurde.

Zweck dieser Richtlinie ist es, die allgemeinen Grundsätze für die Aufbewahrung und Löschung der Daten natürlicher Personen darzulegen, die Gegenstand der Verarbeitungstätigkeiten des Unternehmens nach dem Datenschutzgesetz sind, und die durch die Vorschriften festgelegten Pflichten zu erfüllen.

Begriffsbestimmungen

• Ausdrückliche Einwilligung: Eine auf Information beruhende, aus freiem Willen erklärte Einwilligung zu einem bestimmten Sachverhalt.
• Empfängergruppe: Die Kategorie natürlicher oder juristischer Personen, an die der Verantwortliche personenbezogene Daten übermittelt.
• Anonymisierung: Personenbezogene Daten so zu verändern, dass sie in keiner Weise, auch nicht durch Abgleich mit anderen Daten, einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.
• Betroffener Nutzer: Personen, die innerhalb der Organisation des Verantwortlichen oder nach dessen Befugnis und Weisung personenbezogene Daten verarbeiten, mit Ausnahme der Person oder Abteilung, die für die technische Speicherung, den Schutz und die Sicherung der Daten zuständig ist.
• Löschung: Das Löschen, Vernichten oder Anonymisieren personenbezogener Daten.
• Personenbezogene Daten: Alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (z. B. Vor- und Nachname, türkische Personalausweisnummer, E-Mail-Adresse, Anschrift, Geburtsdatum, Kreditkartennummer, Bankkontonummer).
• Betroffene Person: Die natürliche Person, deren personenbezogene Daten verarbeitet werden.
• Verarbeitung personenbezogener Daten: Jeder Vorgang im Zusammenhang mit Daten, wie das Erheben, Aufzeichnen, Speichern, Aufbewahren, Verändern, Umgestalten, Offenlegen, Übermitteln, Übernehmen, Verfügbarmachen, Einordnen oder das Verhindern der Nutzung personenbezogener Daten, ganz oder teilweise automatisiert oder nicht automatisiert, sofern er Teil eines Dateisystems ist.
• Besondere Kategorien personenbezogener Daten: Daten zu Rasse, ethnischer Herkunft, politischer Anschauung, philosophischer Überzeugung, Religion, Konfession oder anderen Überzeugungen, Erscheinung und Kleidung, Mitgliedschaft in einem Verein, einer Stiftung oder Gewerkschaft, Gesundheit, Sexualleben, strafrechtlichen Verurteilungen und Sicherungsmaßnahmen sowie biometrische und genetische Daten.
• Periodische Löschung: Das Löschen, Vernichten oder Anonymisieren, das von Amts wegen in den in dieser Richtlinie festgelegten wiederkehrenden Abständen erfolgt, wenn sämtliche im Datenschutzgesetz genannten Voraussetzungen für die Verarbeitung personenbezogener Daten entfallen sind.

Die von der Richtlinie erfassten Speicherumgebungen

Die Richtlinie erfasst alle personenbezogenen Daten, die Gegenstand von Verarbeitungstätigkeiten nach dem Datenschutzgesetz sind. Die in der Richtlinie genannten Dokumente umfassen zudem sowohl physische als auch digitale Kopien.

Personenbezogene Daten, die ganz oder teilweise automatisiert oder nicht automatisiert verarbeitet werden, sofern sie Teil eines Dateisystems sind, werden in folgenden Umgebungen aufbewahrt: Firmencomputer, E-Mail-Konten, Desktop-Rechner, Geräte der Mitarbeitenden (z. B. Mobiltelefone), Sicherungsspeicher, Papierakten, Ordner, Besucherbuch, CDs, DVDs, USB-Sticks, externe Festplatten, Drucker und Kopiergeräte.

Gründe für Aufbewahrung und Löschung

Den Tätigkeiten zur Verarbeitung personenbezogener Daten liegen folgende Grundsätze zugrunde:

• Rechtmäßigkeit und Treu und Glauben.
• Sicherstellen, dass personenbezogene Daten richtig und erforderlichenfalls aktuell sind.
• Verarbeitung für festgelegte, eindeutige und legitime Zwecke.
• Dem Verarbeitungszweck entsprechend, darauf beschränkt und angemessen zu sein.
• Aufbewahrung für die in den einschlägigen Vorschriften vorgesehene oder für den Verarbeitungszweck erforderliche Dauer.

Unser Unternehmen bewahrt und nutzt personenbezogene Daten zu den Zwecken der Datenverarbeitung und auf Grundlage der nachstehenden Verarbeitungsvoraussetzungen der Artikel 5 und 6 des Datenschutzgesetzes; entfallen sämtliche dieser Voraussetzungen, löscht es die personenbezogenen Daten von Amts wegen oder auf Antrag der betroffenen Person:

• Vorliegen der ausdrücklichen Einwilligung der betroffenen Person: Die erste der Voraussetzungen für die Verarbeitung personenbezogener Daten ist die ausdrückliche Einwilligung der betroffenen Person.
• Ausdrückliche gesetzliche Vorsehung: Ist dies gesetzlich ausdrücklich vorgesehen, können die personenbezogenen Daten der betroffenen Person ohne ihre ausdrückliche Einwilligung rechtmäßig verarbeitet werden.
• Unmöglichkeit, die ausdrückliche Einwilligung wegen tatsächlicher Unmöglichkeit einzuholen: Ist die Verarbeitung personenbezogener Daten erforderlich, um das Leben oder die körperliche Unversehrtheit der Person selbst oder einer anderen Person zu schützen, während diese Person aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht erklären kann oder ihrer Einwilligung keine Gültigkeit zuerkannt werden kann, dürfen ihre personenbezogenen Daten verarbeitet werden.
• Unmittelbarer Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags: Ist die Verarbeitung personenbezogener Daten der Vertragsparteien erforderlich und steht sie in unmittelbarem Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags, ist die Verarbeitung zulässig.
• Rechtliche Verpflichtung: Ist die Verarbeitung erforderlich, damit unser Unternehmen seine rechtlichen Pflichten erfüllen kann, dürfen die Daten der betroffenen Person verarbeitet werden.
• Öffentlichmachung personenbezogener Daten: Hat die betroffene Person ihre personenbezogenen Daten selbst öffentlich gemacht, dürfen diese Daten im Umfang dieser Öffentlichmachung verarbeitet werden.
• Erforderlichkeit zur Begründung oder zum Schutz eines Rechts: Ist die Verarbeitung zur Begründung, Ausübung oder zum Schutz eines Rechts erforderlich, dürfen die personenbezogenen Daten der betroffenen Person verarbeitet werden.
• Erforderlichkeit für das berechtigte Interesse des Unternehmens: Ist die Verarbeitung für die berechtigten Interessen unseres Unternehmens erforderlich, ohne die Grundrechte und Grundfreiheiten der betroffenen Person zu beeinträchtigen, dürfen deren personenbezogene Daten verarbeitet werden.

Löschung, Vernichtung oder Anonymisierung personenbezogener Daten

Personenbezogene Daten werden vom Unternehmen auf Antrag der betroffenen Person oder von Amts wegen gelöscht, vernichtet oder anonymisiert, wenn die für ihre Verarbeitung maßgeblichen Vorschriften geändert oder aufgehoben werden, der Zweck für ihre Verarbeitung oder Aufbewahrung entfällt, die betroffene Person ihre ausdrückliche Einwilligung widerruft, sofern die Verarbeitung allein auf dieser beruht, oder die für die Aufbewahrung geltende Höchstfrist abgelaufen ist und keine Voraussetzung eine längere Aufbewahrung rechtfertigt.

Sofern der Datenschutzausschuss nicht anders entscheidet, wählt unser Unternehmen die geeignete Methode zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten von Amts wegen nach den technologischen Möglichkeiten und den Umsetzungskosten. Auf Antrag der betroffenen Person wird die Begründung für die gewählte Methode erläutert. Bei jedem dieser Vorgänge werden die erforderlichen technischen und organisatorischen Maßnahmen getroffen.

Getroffene technische und organisatorische Maßnahmen

Gemäß Artikel 12 des Datenschutzgesetzes und den Bestimmungen der Verordnung, den oben genannten allgemeinen Grundsätzen sowie dieser Richtlinie und den Beschlüssen des Datenschutzausschusses trifft unser Unternehmen nach den technologischen Möglichkeiten und den Umsetzungskosten folgende Maßnahmen:

• Die erforderliche Software und Hardware wurde festgelegt. Auf Computern und in E-Mail-Konten werden starke Passwörter verwendet.
• Was zum Schutz von Kundendaten zu beachten ist, wurde unseren Mitarbeitenden in Schulungen vermittelt, und ihre Pflichten wurden in den Arbeitsverträgen schriftlich festgehalten (Vertraulichkeitsvereinbarungen). Diese Verpflichtung besteht auch nach dem Ausscheiden der betreffenden Personen fort.
• Für die Sicherung aller Daten wurde die erforderliche Infrastruktur geschaffen.
• Es wurde festgelegt, welche Mitarbeitenden an den Computern auf die Daten zugreifen dürfen.
• Kundenakten und -daten werden ausschließlich den Betroffenen selbst, den von ihnen schriftlich benannten Angehörigen, den zuständigen öffentlichen Stellen im Rahmen der Vorschriften sowie in gerichtlichen Verfahren den zuständigen Justizbehörden übergeben.
• Vor Beginn der Verarbeitung personenbezogener Daten wird die Informationspflicht gegenüber den betroffenen Personen erfüllt.
• Ein Verzeichnis der Verarbeitungstätigkeiten wurde erstellt.

Aufbewahrungs- und Löschfristen

Unser Unternehmen bewahrt personenbezogene Daten nur für die in den für uns verbindlichen Vorschriften genannte oder für den Verarbeitungszweck erforderliche Dauer auf und löscht sie nach Ablauf dieser Frist.

Löschung auf Antrag

Wendet sich die betroffene Person an unser Unternehmen und beantragt die Löschung ihrer personenbezogenen Daten:

• Sind sämtliche Verarbeitungsvoraussetzungen entfallen: wird der Antrag spätestens innerhalb von dreißig Tagen bearbeitet und die betroffene Person informiert. Wurden die betroffenen personenbezogenen Daten an Dritte übermittelt, wird dies dem Dritten mitgeteilt und sichergestellt, dass dieser die erforderlichen Schritte unternimmt.
• Sind nicht sämtliche Verarbeitungsvoraussetzungen entfallen: kann der Antrag gemäß Artikel 13 Absatz 3 des Datenschutzgesetzes unter Angabe von Gründen abgelehnt werden; die Ablehnung wird der betroffenen Person spätestens innerhalb von dreißig Tagen schriftlich oder elektronisch mitgeteilt.

Fristen der periodischen Löschung

Personenbezogene Daten werden bei der ersten periodischen Löschung nach dem Zeitpunkt gelöscht, zu dem die Löschpflicht entstanden ist. Entsteht eine Löschpflicht, werden die Daten demnach in halbjährlichen Abständen dem Löschvorgang unterzogen.

Diese Richtlinie gilt mit ihrer Veröffentlichung auf der Website als in Kraft getreten.

Kontakt