Datenschutz- und Compliance-Bulletin – Januar 2025
Das Gesetz zum Schutz personenbezogener Daten („KVKK“) und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht.
Nicht nur das KVKK und die in Verbindung mit dem KVKK in Kraft getretenen sekundären Vorschriften, sondern auch die Beschlüsse, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse der Datenschutzbehörde („Kurul“) legen zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken der Kommission zu informieren und sie auf dem Laufenden zu halten.
Im Januar 2025 wurden auf der Website der Datenschutzbehörde unter der Domain www.kvkk.gov.tr eine Meldung über eine Datenverletzung, der „Leitfaden zur Übermittlung personenbezogener Daten ins Ausland” und der „Leitfaden für bewährte Praktiken im Bankensektor zum Schutz personenbezogener Daten”(„Leitfaden”) veröffentlicht.
Der Leitfaden, der in Zusammenarbeit zwischen der Behörde und der Türkischen Bankenvereinigung erstellt wurde, wurde im Rahmen der am 1. Juni 2024 in Kraft getretenen Reformen des KVKK aktualisiert. Der Leitfaden, der veröffentlicht wurde, um Banken bei der Einhaltung des KVKK und der damit verbundenen Vorschriften zu unterstützen, enthält detaillierte praktische Informationen zu Datenverarbeitungsprozessen im rechtlichen Rahmen sowie Beispiele für bewährte Verfahren zur Verbesserung der Branchenstandards. Mit diesem Leitfaden möchte der Ausschuss die Verpflichtungen der Banken klarstellen und die Einhaltung der Standards fördern.
MELDUNG VON DATENVERLETZUNGEN
Der KVKK, Artikel 12/5, mit dem Titel „Verpflichtungen in Bezug auf die Datensicherheit” besagt: „Wenn verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt werden, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich den Betroffenen und dem Ausschuss melden. Der Ausschuss kann diesen Vorfall gegebenenfalls auf seiner Website oder auf andere Weise, die er für angemessen hält, bekannt geben.”
Rektorat der Universität Trabzon
In der Meldung über die Datenverletzung, die vom Rektorat der Universität Trabzon in seiner Eigenschaft als Datenverantwortlicher an die Kommission übermittelt wurde, heißt es, dass bestimmte Daten von Mitarbeitern und Studenten des Datenverantwortlichen von Cyberangreifern auf illegalen Plattformen im Internet zum Verkauf angeboten wurden und dass die von der Verletzung betroffenen Datenkategorien zur Kategorie der Identitätsdaten gehören, darunter
Vor- und Nachname, türkische Identitätsnummer, Geburtsdatum, Namen der Eltern, Geburtsort, Kontaktdaten wie E-Mail-Adresse, Telefonnummer, persönliche Daten wie Unternehmensregisternummer, Titel und Standortdaten. In der Meldung wird angegeben, dass die Verletzung am 01.01.2025 begann und am 06.01.2025 festgestellt wurde, dass die Anzahl der von der Verletzung betroffenen Datensätze 25.357 beträgt und dass es sich bei der betroffenen Personengruppe um Mitarbeiter und Studenten des für die Datenverarbeitung Verantwortlichen handelt.
GRC LEGAL Kommentar: Datenverstöße infolge von Cyberangriffen unterstreichen einmal mehr, wie wichtig es ist, alle technischen und administrativen Maßnahmen zum Schutz personenbezogener Daten zu ergreifen. Angesichts der Tatsache, dass Cyberangreifer diese Daten auf illegalen Plattformen zum Verkauf anbieten, verstärkt sich der Eindruck, dass Daten heutzutage als neue Währung angesehen werden. Dies zeigt, dass Datensicherheit nicht nur für den Schutz der Privatsphäre von Personen, sondern auch für die Vermeidung wirtschaftlicher und sozialer Risiken von entscheidender Bedeutung ist.
ÖFFENTLICHE BEKANNTMACHUNG
Öffentliche Bekanntmachung zur Erfüllung der Informationspflicht im Rahmen von Mediationsverfahren
In der vom Ausschuss am 13.01.2025 veröffentlichten Bekanntmachung wird auf die Pflichten der Mediatoren im Rahmen der Erfüllung der Informationspflicht bei Mediationsverfahren gemäß dem Gesetz Nr. 6325 über die Mediation in Rechtsstreitigkeiten („Mediationsgesetz”) und dem KVKK eingegangen.
Gemäß dem Mediationsgesetz sind Mediatoren verpflichtet, die Parteien vor Beginn des Mediationsverfahrens über das Verfahren zu informieren. Diese Verpflichtung umfasst jedoch nur die Grundlagen der Mediationsaktivität und beinhaltet keine Informationen über die Verarbeitung personenbezogener Daten.
In diesem Zusammenhang verpflichtet das KVKK die Mediatoren, die als Datenverantwortliche fungieren, die betroffenen Personen über die Verarbeitung personenbezogener Daten zu informieren. Im Rahmen des KVKK müssen Mediatoren den Parteien Auskunft darüber geben, zu welchen Zwecken personenbezogene Daten verarbeitet werden, an wen und zu welchen Zwecken die Daten weitergegeben werden können, wie die Daten erhoben werden und welche Rechtsgrundlage dafür besteht sowie über die Rechte der betroffenen Personen. Diese Information muss zum Zeitpunkt der Erhebung der personenbezogenen Daten oder spätestens zu Beginn der Datenverarbeitung erfolgen, um eine transparente Durchführung des Datenverarbeitungsprozesses zu gewährleisten.
Da die Verantwortung für den Nachweis der Erfüllung der Informationspflicht bei den Mediatoren als Datenverantwortlichen liegt, ist es von großer Bedeutung, dass Mediatoren ihre Tätigkeiten im Bereich der Verarbeitung personenbezogener Daten in voller Übereinstimmung mit dem KVKK durchführen.
Zusammenfassend lässt sich sagen, dass Mediatoren ihre Informationspflichten gemäß dem Mediationsgesetz und dem KVKK getrennt erfüllen müssen. Um das Vertrauen und die Transparenz, die der Mediationsprozess den Parteien bietet, zu wahren, ist es unerlässlich, dass sowohl die Grundlagen der Mediationsaktivitäten als auch die erforderliche Information über die Verarbeitung personenbezogener Daten korrekt und vollständig bereitgestellt werden.
GRC LEGAL Kommentar: In der vom Ausschuss veröffentlichten öffentlichen Bekanntmachung wird darauf hingewiesen, dass Mediatoren nicht nur ihre Informationspflichten gemäß dem Mediationsgesetz, sondern auch ihre Informationspflichten gemäß dem KVKK erfüllen müssen. In diesem Zusammenhang wird deutlich, dass der Ausschuss Mediatoren als Datenverantwortliche einstuft.
Im Rahmen der entsprechenden Bekanntmachung wird zunächst die Art des Aufklärungstextes von entscheidender Bedeutung sein. Da die personenbezogenen Daten sowohl der Parteien als auch ihrer Anwälte zu den am Verfahren beteiligten Personen gehören, muss die betreffende Personengruppe korrekt identifiziert und die verarbeiteten personenbezogenen Daten müssen speziell auf das Verfahren und die Parteien zugeschnitten sein. Daher ist es unerlässlich, dass die Mediatoren nicht mit einem einzigen Entwurfstext arbeiten, sondern einen Text erstellen, der mit dem Umfang und den Grundprinzipien der Gesetzgebung im Einklang steht, und ihre Texte für jeden einzelnen Prozess entsprechend überarbeiten. Dies bedeutet in der Praxis eine erhebliche Arbeitsbelastung für die Mediatoren.
In ähnlicher Weise kann auch bei Mediationsgesprächen, die unter Verwendung von Online-Methoden wie Telekonferenzen durchgeführt werden, die Frage aufkommen, wie die Informationspflicht erfüllt werden soll. Der Mediator muss den von ihm in Übereinstimmung mit den gesetzlichen Bestimmungen erstellten Informationstext den Parteien auf andere Weise übermitteln und zur Erfüllung der Nachweispflicht darüber, dass die Information übermittelt wurde, Aufzeichnungen führen. Es ist offensichtlich, dass E-Mail, SMS usw. in Bezug auf die Zustellung und die Beweislast dem Prozess und dem Zweck dienen, aber wenn es um eine Datenverarbeitung geht, für die eine ausdrückliche Einwilligung erforderlich ist, ist davon auszugehen, dass die Einholung der Einwilligung in Online-Prozessen langsamer voranschreiten könnte. Als Folge all dieser Prozesse scheint es unvermeidlich, dass Mediatoren mit einer Vielzahl von Anträgen betroffener Personen konfrontiert werden.
Zusammenfassend lässt sich sagen, dass es in Mediationsverfahren zwingend erforderlich ist, die Parteien gemäß dem Mediationsgesetz zu informieren und gleichzeitig die erforderlichen Aufklärungsmaßnahmen im Rahmen des KVKK zu treffen. Mediatoren, die sich anders verhalten, müssen mit Verwaltungsstrafen rechnen, wenn sie ihrer Informationspflicht und/oder ihren Verpflichtungen zur Datensicherheit nicht nachkommen.