Richtlinie zur Vernichtung personenbezogener Daten
Der Datenverantwortliche, Özel DR. CINIK Tıp Merkezi (ERC Estetik Turizm Sağlık Hizmetleri Tic. Ltd. Şti.), speichert und vernichtet Ihre personenbezogenen Daten gemäß den allgemeinen Grundsätzen und Vorschriften, die in dieser Richtlinie zur Speicherung und Vernichtung personenbezogener Daten festgelegt sind, welche im Einklang mit der Verfassung, dem Gesetz zum Schutz personenbezogener Daten Nr. 6698, der Verordnung über das Löschen, Vernichten oder Anonymisieren personenbezogener Daten sowie anderen einschlägigen Rechtsvorschriften erstellt wurde.
Mit dieser Richtlinie verfolgt das Unternehmen das Ziel, die allgemeinen Grundsätze bezüglich der Speicherung und Vernichtung von personenbezogenen Echtdaten im Rahmen der Verarbeitungstätigkeiten nach dem KVKK darzulegen und die durch die Gesetzgebung festgelegten Verpflichtungen zu erfüllen.
Ausdrückliche Einwilligung: Die auf Information basierende und durch freien Willen geäußerte Zustimmung zu einem bestimmten Thema,
Empfängergruppe: Die natürliche oder juristische Personenkategorie, an die personenbezogene Daten vom Datenverantwortlichen übermittelt werden,
Anonymisierung: Die personenbezogenen Daten werden so unkenntlich gemacht, dass sie in keiner Weise mehr einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können, auch nicht durch Abgleich mit anderen Daten.
Relevanter Nutzer: Personen, die innerhalb der Organisation des Datenverantwortlichen oder auf Grundlage der vom Datenverantwortlichen erhaltenen Befugnis und Anweisung personenbezogene Daten verarbeiten, mit Ausnahme der Person oder Einheit, die für die technische Speicherung, den Schutz und die Sicherung der Daten verantwortlich ist,
Vernichtung: Das Löschen, Vernichten oder Anonymisieren personenbezogener Daten,
Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name-Nachname, TCKN, E-Mail, Adresse, Geburtsdatum, Kreditkartennummer, Bankkontonummer)
Betroffene Person: Die natürliche Person, deren personenbezogene Daten verarbeitet werden,
Verarbeitung personenbezogener Daten: Das Erheben, Erfassen, Speichern, Aufbewahren, Verändern, Umordnen, Offenlegen, Übermitteln, Übernehmen und Zugänglichmachen personenbezogener Daten – ganz oder teilweise automatisiert oder nicht automatisiert, sofern sie Teil eines Datenerfassungssystems sind – sowie jegliche Art von Vorgängen an den Daten wie Klassifizierung oder Verhinderung der Nutzung,
Besonders schützenswerte personenbezogene Daten: Daten zu Rasse, ethnischer Herkunft, politischer Meinung, philosophischer Überzeugung, Religion, Konfession oder anderen Glaubensrichtungen, Kleidung, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtlichen Verurteilungen und Sicherheitsmaßnahmen sowie biometrische und genetische Daten,
Periodische Vernichtung: Der Lösch-, Vernichtungs- oder Anonymisierungsprozess, der von Amts wegen in regelmäßigen Abständen und in dieser Richtlinie festgelegt durchgeführt wird, sofern alle Bedingungen für die Verarbeitung personenbezogener Daten nach dem KVKK entfallen sind,
Von der Richtlinie erfasste Registrierungsumgebungen
Sie umfasst alle personenbezogenen Daten, die Gegenstand von Verarbeitungstätigkeiten im Rahmen des Gesetzes zum Schutz personenbezogener Daten (KVKK) sind. Darüber hinaus beziehen sich die in der Richtlinie genannten Dokumente sowohl auf physische als auch auf digitale Kopien.
Alle personenbezogenen Daten, die Gegenstand von Datenverarbeitungsaktivitäten im Rahmen des Gesetzes zum Schutz personenbezogener Daten (KVKK) sind, werden in den folgenden Umgebungen gespeichert, in denen personenbezogene Daten ganz oder teilweise automatisiert oder auf nicht automatisierte Weise verarbeitet werden, sofern sie Teil eines beliebigen Datenerfassungssystems sind:
Firmencomputer, E-Mail-Konten, Desktop-Computer, Arbeitsmittel der Mitarbeitenden (z. B. Mobiltelefone), Backup-Bereiche, Papierakten, Ordner, Gästebücher, CDs, DVDs, USB-Sticks, Festplatten, Drucker, Kopierer usw.
Gründe für die Anforderung der Speicherung und Vernichtung personenbezogener Daten
Die Verarbeitung personenbezogener Daten basiert auf den folgenden Grundsätzen:
Einhaltung der Gesetze und der Grundsätze von Treu und Glauben,
Sicherstellung, dass personenbezogene Daten bei Bedarf richtig und aktuell sind,
Verarbeitung zu bestimmten, eindeutigen und legitimen Zwecken,
Bezug, Begrenzung und Beschränkung auf den Zweck, für den sie verarbeitet werden,
Aufbewahrung für den gesetzlich vorgeschriebenen Zeitraum oder für den Zweck, für den sie verarbeitet werden.
Unser Unternehmen speichert und verwendet personenbezogene Daten zu Zwecken der Datenverarbeitung und gemäß den in den nachstehenden Artikeln 5 und 6 des Gesetzes zum Schutz personenbezogener Daten (KVKK) festgelegten Bedingungen. Sobald alle diese Bedingungen entfallen, werden die personenbezogenen Daten entweder ohne Aufforderung oder auf Wunsch des Dateninhabers vernichtet:
Vorliegen der ausdrücklichen Einwilligung des Dateninhabers: Die erste Voraussetzung für die Verarbeitung personenbezogener Daten ist die ausdrückliche Einwilligung des Inhabers.
Gesetzliche Bestimmungen: Die personenbezogenen Daten des Inhabers dürfen durch das Gesetz verarbeitet werden, ohne dass dessen ausdrückliche Einwilligung eingeholt werden muss, sofern dies ausdrücklich gesetzlich geregelt ist.
Fehlende Einwilligung des Dateninhabers aufgrund tatsächlicher Unmöglichkeit: Wenn die personenbezogenen Daten einer Person, die aufgrund tatsächlicher Unmöglichkeit ihre Einwilligung nicht geben kann oder deren Einwilligung nicht rechtsgültig ist, zum Schutz des Lebens oder der körperlichen Unversehrtheit dieser Person oder einer anderen Person verarbeitet werden müssen, dürfen die personenbezogenen Daten des Inhabers verarbeitet werden.
Unmittelbarer Zusammenhang mit Abschluss oder Erfüllung eines Vertrags: Sofern es einen direkten Bezug zum Abschluss oder zur Erfüllung eines Vertrags gibt, dürfen personenbezogene Daten verarbeitet werden, wenn dies zur Verarbeitung der personenbezogenen Daten der Vertragsparteien erforderlich ist.
Gesetzliche Verpflichtung: Wenn die Datenverarbeitung für unser Unternehmen zur Erfüllung gesetzlicher Pflichten zwingend erforderlich ist, dürfen die Daten des Dateninhabers verarbeitet werden.
Öffentlichmachung personenbezogener Daten durch den Dateninhaber: Hat der Dateninhaber seine personenbezogenen Daten selbst öffentlich gemacht, dürfen die betreffenden personenbezogenen Daten verarbeitet werden, jedoch nur im Rahmen der Veröffentlichung.
Erforderliche Datenverarbeitung zur Begründung oder Wahrung eines Rechts: Ist die Datenverarbeitung zur Begründung, Ausübung oder zum Schutz eines Rechts zwingend erforderlich, dürfen die personenbezogenen Daten des Inhabers verarbeitet werden.
Verpflichtende Datenverarbeitung im berechtigten Interesse unseres Unternehmens: Sofern die Grundrechte und -freiheiten des Inhabers der personenbezogenen Daten nicht beeinträchtigt werden, dürfen die personenbezogenen Daten des Inhabers verarbeitet werden, wenn die Datenverarbeitung für die berechtigten Interessen unseres Unternehmens zwingend erforderlich ist.
Löschen, Vernichten oder Anonymisieren personenbezogener Daten
Personenbezogene Daten werden gelöscht, vernichtet oder anonymisiert, wenn sich die maßgeblichen gesetzlichen Bestimmungen ändern oder aufgehoben werden, der Zweck, der die Verarbeitung oder Speicherung erforderlich machte, entfällt, die Verarbeitung ausschließlich auf ausdrücklicher Einwilligung beruhte und die betroffene Person ihre Einwilligung widerruft, die maximale Aufbewahrungsfrist abgelaufen ist oder keine Bedingungen mehr vorliegen, die eine längere Speicherung rechtfertigen. In diesen Fällen werden die Daten entweder von unserem Unternehmen von Amts wegen oder auf Antrag der betroffenen Person gelöscht, vernichtet oder anonymisiert.
Sofern der Ausschuss für den Schutz personenbezogener Daten keine gegenteilige Entscheidung trifft, wählt unser Unternehmen unter Berücksichtigung der technologischen Möglichkeiten und der Umsetzungskosten von Amts wegen die geeignete Methode zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten aus. Auf Wunsch des Inhabers der personenbezogenen Daten wird die Begründung für die gewählte Methode erläutert. Bei jedem dieser Vorgänge werden die erforderlichen technischen und administrativen Maßnahmen getroffen.
Technische und administrative Maßnahmen
Unser Unternehmen trifft gemäß den Bestimmungen des Artikels 12 des DSG und der Verordnung, den oben genannten allgemeinen Grundsätzen sowie den Entscheidungen dieser Richtlinie und des Ausschusses für den Schutz personenbezogener Daten die erforderlichen technischen und administrativen Maßnahmen unter Berücksichtigung der technologischen Möglichkeiten und der Umsetzungskosten zu folgenden Punkten:
Erforderliche Software und Hardware wurden festgelegt. Starke Passwörter werden für Computer und E-Mail-Konten verwendet.
Die zu schützenden Aspekte im Hinblick auf den Schutz von Kundeninformationen wurden unseren Mitarbeitenden durch Schulungen vermittelt, und ihre Verantwortlichkeiten wurden in Arbeitsverträgen schriftlich festgehalten (Geheimhaltungsvereinbarungen). Diese Verpflichtung gilt auch nach dem Ausscheiden der betreffenden Personen weiter.
Die notwendige Infrastruktur für die Datensicherung aller Daten wurde geschaffen.
Die Mitarbeitenden, die Zugriff auf die Daten auf den Computern haben, wurden bestimmt.
Kundendateien und -informationen werden ausschließlich an die betreffenden Personen, an deren Angehörige mit schriftlicher Einwilligung, an die zuständigen öffentlichen Institutionen und Organisationen im Rahmen der gesetzlichen Bestimmungen sowie an die zuständigen Justizbehörden in gerichtlichen Verfahren weitergegeben.
Vor Beginn der Verarbeitung personenbezogener Daten erfüllt die Behörde die Informationspflicht gegenüber den betroffenen Personen.
Ein Verzeichnis der Verarbeitungstätigkeiten personenbezogener Daten wurde erstellt.
Aufbewahrungs- und Löschfristen
Unser Unternehmen bewahrt personenbezogene Daten nur für den in der geltenden Gesetzgebung vorgeschriebenen Zeitraum oder für den Zeitraum auf, der für den jeweiligen Verarbeitungszweck erforderlich ist, und vernichtet sie anschließend.
Wenn der Inhaber der personenbezogenen Daten die Löschung seiner personenbezogenen Daten durch Antrag an unser Unternehmen verlangt:
Wenn alle Voraussetzungen für die Verarbeitung personenbezogener Daten entfallen sind: Wird die Anfrage des Inhabers der personenbezogenen Daten spätestens innerhalb von dreißig Tagen abgeschlossen und der Inhaber der personenbezogenen Daten informiert; falls die personenbezogenen Daten, die Gegenstand der Anfrage sind, an Dritte übermittelt wurden, wird der Dritte benachrichtigt und sichergestellt, dass die erforderlichen Maßnahmen vor dem Dritten ergriffen werden.
Wenn nicht alle Voraussetzungen für die Verarbeitung personenbezogener Daten entfallen sind: Kann die Anfrage des Inhabers der personenbezogenen Daten unter Angabe des Grundes gemäß Absatz 3 des Artikels 13 des PDPL abgelehnt werden; die Ablehnung wird dem Inhaber der personenbezogenen Daten spätestens innerhalb von dreißig Tagen schriftlich oder digital mitgeteilt.
Zeiträume für die regelmäßige Vernichtung
Im ersten regelmäßigen Vernichtungsprozess nach dem Datum, an dem die Verpflichtung zur Vernichtung personenbezogener Daten entsteht, werden die personenbezogenen Daten vernichtet. In diesem Zusammenhang werden personenbezogene Daten, für die eine Vernichtungspflicht entsteht, innerhalb von 6 Monaten vernichtet.
PROZESSAUFBEWAHRUNGSDAUERENTSORGUNGSZEITPUNKTVertragsvorbereitung10 Jahre nach VertragsendeZum ersten regelmäßigen Vernichtungszeitpunkt nach Ablauf der AufbewahrungsfristDurchführung von Personalprozessen10 Jahre nach Beendigung der TätigkeitZum ersten regelmäßigen Vernichtungszeitpunkt nach Ablauf der AufbewahrungsfristDurchführung von Hardware- und Softwarezugriffsprozessen5 JahreZum ersten regelmäßigen Vernichtungszeitpunkt nach Ablauf der AufbewahrungsfristRegistrierung von Besuchern und Teilnehmern an Besprechungen5 JahreZum ersten regelmäßigen Vernichtungszeitpunkt nach Ablauf der AufbewahrungsfristPersonenbezogene GesundheitsdatenFür den im Gesetz festgelegten ZeitraumZum ersten regelmäßigen Vernichtungszeitpunkt nach Ablauf der AufbewahrungsfristIdentitätsdatenFür den im Gesetz festgelegten ZeitraumZum ersten regelmäßigen Vernichtungszeitpunkt nach Ablauf der AufbewahrungsfristKameraaufzeichnungenWerden mindestens 2 Monate gemäß der Verordnung für Privatkliniken aufbewahrtZum ersten regelmäßigen Vernichtungszeitpunkt nach Ablauf der Aufbewahrungsfrist
Diese Richtlinie gilt als in Kraft getreten, sobald sie auf der Website veröffentlicht wurde.