Datenschutz- und Compliance-Bulletin – Juni 2022

Datenschutz- und Compliance-Bulletin – Juni 2022

Das Gesetz zum Schutz personenbezogener Daten („KVKK“) und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht. Nicht nur Gesetze, Verordnungen und Bekanntmachungen, sondern auch Beschlüsse des Ausschusses, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse des Ausschusses legen zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken des Ausschusses für den Schutz personenbezogener Daten („Ausschuss“) zu informieren und auf dem neuesten Stand zu halten.

Im Juni veröffentlichte die Datenschutzbehörde den Leitfaden zu Cookie-Anwendungen, den Entwurf eines Leitfadens zur Überprüfung von Treueprogrammen im Rahmen der Datenschutzgesetzgebung und Meldungen zu Datenschutzverletzungen.

MELDUNGEN ZU DATENSCHUTZVERLETZUNGEN

„Verpflichtungen in Bezug auf die Datensicherheit” gemäß KVKK Art. 12/5. „Werden verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich den Betroffenen und der Kommission melden. Die Kommission kann diesen Sachverhalt gegebenenfalls auf ihrer Website oder auf andere ihr geeignet erscheinende Weise bekannt machen.”

Im Juni 2022 wurden auf der Website der Datenschutzbehörde unter der Domain www.kvkk.gov.tr fünf Meldungen über Datenschutzverletzungen veröffentlicht.

MBtech Mühendislik ve Danışmanlık Ltd. Şti.

Der für die Datenverarbeitung Verantwortliche war Opfer eines Ransomware-Angriffs. Der Beginn der am 28.05.2022 festgestellten Verletzung wird derzeit untersucht, die Details zu den betroffenen Kategorien personenbezogener Daten werden noch ermittelt. Identität, Kommunikation, Standort, Personal, Kundentransaktionen, Finanzen, Berufserfahrung sowie visuelle und akustische Aufzeichnungen umfassen. Es wurde angegeben, dass 500 Personen betroffen sind, darunter Mitarbeiter, Nutzer und Kunden/potenzielle Kunden.

Pegasus Hava Taşımacılığı A.Ş.

• • Der für die Datenverarbeitung Verantwortliche hat mitgeteilt, dass aufgrund der aktivierten Browser-Listing-Funktion des Dienstes, der zur Erstellung von Flugplänen für Flugbesatzungen und zur erforderlichen Koordination eingerichtet wurde, ein unbefugter Zugriff auf die Systeme stattgefunden hat.

• • Die Browser-Listening-Funktion, die am 21.03.2022 im System vorhanden und aktiv war, wurde am 24.03.2022 deaktiviert, wodurch die Sicherheitslücke geschlossen wurde. Die Verletzung wurde später am 31.05.2022 durch Überwachungsinstrumente der Informationssicherheitsdienste festgestellt. In sozialen Medien und auf einigen Websites wurden Texte von Personen veröffentlicht, die sich als die Personen ausgaben, die den unbefugten Zugriff durchgeführt hatten. Aufgrund der Beiträge der unbefugten Dritten wurde Kontakt mit ihnen aufgenommen und die Vernichtung der abgerufenen personenbezogenen Daten gefordert.

• • Die von der Verletzung betroffenen personenbezogenen Daten umfassen die Kategorien Identität, Kommunikation und Standort, darunter die Vor- und Nachnamen, Telefonnummern, E-Mail-Adressen, Titel, Flugdaten aus der Vergangenheit und Flugorte von Piloten und Kabinenpersonal sowie Fotos und Unterschriften einiger dieser Mitarbeiter. Die Anzahl der betroffenen Personen konnte noch nicht ermittelt werden.

Barçın Spor Malzemeleri Ticaret ve Sanayi A.Ş.

187.930 Personenbezogene Daten von betroffenen Personen in einer Excel-Datei wurden mithilfe einer Zwischensoftware in das CSV-Format konvertiert und von Dritten abgerufen. Die Verletzung wurde durch eine Meldung auf einer Website bekannt. Von der Verletzung betroffen sind Nutzer, Kunden und potenzielle Kunden. Die Kategorien der personenbezogenen Daten umfassen Identitätsdaten (Name, Nachname, Geschlecht), Kontaktdaten (Telefonnummer, E-Mail-Adresse), Kundentransaktionen (Kunden-ID) und sonstige Informationen (Datum der Registrierung auf der Website) umfassen. Die in der Excel-Tabelle enthaltenen Kunden-IDs, die in die Hände Dritter gelangt sind, stimmen nicht mit den Kunden-IDs in unseren Systemen überein. Die Zahl der betroffenen Personen beläuft sich auf 187.930.

Tofisa Tekstil Sanayi ve Ticaret Limited Şirketi

Bei Anrufen von Kunden im Callcenter wurde mitgeteilt, dass verschiedene Anwaltskanzleien ihnen Nachrichten und Anrufe geschickt hätten, wonach die Vollstreckung der nicht abgeholten Frachtkosten beginnen würde. Bei der Überprüfung wurde festgestellt, dass es sich bei den Anrufern im Callcenter um Personen handelte, deren Daten an den Datenverarbeiter (Dolunay Kargo Lojistik Otomotiv İnşaat Sanayi ve Tic. Ltd Şti.) geteilten Personen sind. Der für die Datenverarbeitung Verantwortliche wollte mit dem Datenverarbeiter Kontakt aufnehmen, was jedoch nicht gelang. Die Vor- und Nachnamen, Telefonnummern und E-Mail-Adressen der betroffenen Personen werden an den Datenverarbeiter weitergegeben. die Namen, Nachnamen und Telefonnummern wurden rechtswidrig verwendet, die betroffenen Personen sind Kunden und potenzielle Kunden, und die Anzahl der betroffenen Personen beträgt 42.373, wobei es sich um die Anzahl der Personen handelt, für die laut den Aufzeichnungen des Datenverarbeiters keine Frachtlieferung erfolgt ist.

ARG Denizcilik İnşaat Otomotiv Sanayi ve Ticaret Ltd. Şti, İstek Gemi İnşa Bakım İnşaat Hırdavat Sanayi ve Ticaret Ltd. Şti, Safter Ulubay

Der Verstoß erfolgte durch die Sperrung des Zugriffs auf Dateien auf dem Computer, und als Ursache wurde Sabotage angegeben. am 21.06.2022 stattfand und am selben Tag entdeckt wurde, dass die Identitäts-, Kommunikations- und persönlichen Daten der Mitarbeiter des für die Datenverarbeitung Verantwortlichen von der Verletzung betroffen waren und dass die Anzahl der von der Verletzung betroffenen Personen für jeden Datenverantwortlichen auf etwa 2000 geschätzt wird.

ÖFFENTLICHE BEKANNTMACHUNG

16. Juni – Öffentliche Bekanntmachung zum „Entwurf eines Leitfadens zur Überprüfung von Treueprogrammen im Rahmen der Datenschutzgesetzgebung”

Heutzutage werden von vielen Unternehmen Treueprogramme zur Förderung der Kundenbindung eingesetzt, und im Rahmen dieser Programme werden von den für die Datenverarbeitung Verantwortlichen verschiedene personenbezogene Daten der betroffenen Personen verarbeitet. In diesem Zusammenhang wurde der von der Behörde erstellte Leitfadenentwurf zur öffentlichen Konsultation freigegeben, und bis zum 16.07.2022 werden Stellungnahmen und Bewertungen entgegengenommen.

Leitfadenentwurf zur Überprüfung von Treueprogrammen im Rahmen der Datenschutzgesetzgebung

Im Rahmen des Leitfadens werden Treueprogramme wie folgt definiert: „Durch die Verarbeitung personenbezogener Daten, die den Kunden für das Unternehmen identifizierbar oder identifizierbar machen, werden dem Kunden im Rahmen verschiedener Kriterien Punkte/Geschenke/Vorteile für seine Einkäufe gewährt. die Verfolgung der Einkaufsgewohnheiten des Kunden, die Analyse der verarbeiteten personenbezogenen Daten, um personalisierte Produkt-/Dienstleistungsangebote zu unterbreiten, sowie alle oder einige dieser Strategien, die von Unternehmen einseitig oder im Rahmen einer Programmpartnerschaft umgesetzt werden, um dem Kunden Vorteile zu verschaffen und gleichzeitig den Umsatz und die Rentabilität des durchführenden Unternehmens zu steigern”.

Im Leitfadenentwurf werden verschiedene Arten von Treueprogrammen definiert. Dazu zählen: punktebasierte Treueprogramme, gestaffelte Treueprogramme, gebührenbasierte Treueprogramme/VIP-Mitgliedschaftsprogramme, rückzahlbare Treueprogramme, wertbasierte Programme, Partnerschaftsprogramme, Spielprogramme und gemischte Programme.

Im Rahmen von Treueprogrammen verarbeitete personenbezogene Daten sind im Allgemeinen i. personenbezogene Daten, die vom Kunden aktiv und freiwillig bereitgestellt werden, ii. personenbezogene Daten, die vom Kunden passiv bereitgestellt werden (z. B. Verarbeitung der IP-Adresse bei Nutzung der mobilen Anwendung des Treueprogramms, Verarbeitung von Standortdaten), iii.

Kundendaten aus anderen Quellen (Daten, die von einem Kunden aktiv bereitgestellt werden, andere passiv gesammelte Benutzerdaten oder Daten aus nicht identifizierten Datensätzen, die durch Analyse und auf der Grundlage dieser kombinierten Daten gewonnen werden).

Unternehmen, die die im Rahmen von Treueprogrammen durchgeführten Aktivitäten durch einen Treuevertrag regeln, können sich bei Vorgängen wie der Berechnung der gesammelten Punkte, der Bereitstellung von Informationen zu den Punkten und der Erinnerung an Punkte, deren Gültigkeitsdauer abläuft, auf die Vertragserfüllung als Rechtsgrundlage berufen. Für Mitteilungen dieser Art wurde gemäß Artikel 7 der Verordnung über kommerzielle Kommunikation und kommerzielle elektronische Nachrichten 7, dass für solche Mitteilungen keine zusätzliche Zustimmung erforderlich ist.

Die Notwendigkeit, dass die Dienstleistung grundsätzlich nicht an die Bedingung der ausdrücklichen Zustimmung geknüpft ist, gilt auch für personenbezogene Daten, die im Rahmen von Treueprogrammen verarbeitet werden. Unter bestimmten Voraussetzungen kann jedoch die Forderung des für die Datenverarbeitung Verantwortlichen, dass für die Teilnahme am Treueprogramm eine ausdrückliche Zustimmung zur Datenverarbeitung erteilt werden muss, nicht als Knüpfung der Dienstleistung an die Bedingung der Zustimmung angesehen werden und als rechtmäßig gelten. Wenn im Rahmen von Treueprogrammen keine ausdrückliche Einwilligung erteilt wird, bedeutet dies nicht, dass das Produkt/die Dienstleistung nicht angeboten wird, sondern dass das Produkt/die Dienstleistung ohne zusätzlichen Vorteil angeboten wird.

Wenn Personen in einem Geschäft einkaufen und dem Personal den per SMS an ihr Mobiltelefon gesendeten Code mitteilen, wird in diesem Leitfadenentwurf wie folgt auf Meldungen über den Versand kommerzieller elektronischer Nachrichten reagiert:

• • Der Zweck der an das Mobiltelefon der Personen gesendeten SMS und die Folgen der Angabe des in dieser SMS übermittelten Codes müssen als Teil der mehrstufigen Aufklärung in der ersten Phase von den vom Datenverantwortlichen in den Geschäften bevollmächtigten Personen den betroffenen Personen in klarer und verständlicher Form mitgeteilt werden. Außerdem müssen die erforderlichen Kanäle auch in den Inhalten der betreffenden SMS bereitgestellt werden, um die Erfüllung der Informationspflicht zu gewährleisten.

• • Bei Einkäufen in Geschäften sollte bei der Bezahlung ein Bestätigungscode per SMS an die betroffenen Personen gesendet werden, um die Mitgliedschaftsvereinbarung, die Einwilligung zur Verarbeitung personenbezogener Daten, die Zustimmung zu kommerziellen elektronischen Mitteilungen usw. in einem einzigen Vorgang abzuwickeln. Die betreffenden Verarbeitungsvorgänge sollten separat angeboten werden, um eine gesonderte Einwilligung einzuholen.

• • Darüber hinaus sollte vermieden werden, dass die Einholung der ausdrücklichen Zustimmung durch die für die Datenverarbeitung Verantwortlichen und die Erfüllung der Informationspflichten zusammenfallen.

• • Im Falle einer Anwendung zur Übermittlung eines SMS-Bestätigungscodes zur Einholung der ausdrücklichen Einwilligung für den Versand kommerzieller elektronischer Nachrichten wurde auf der Website der Behörde eine öffentliche Bekanntmachung veröffentlicht, in der darauf hingewiesen wird, dass es wichtig ist, dass die für diesen Vorgang einzuholende ausdrückliche Einwilligung alle Elemente umfasst. Die für die Umsetzung des Treueprogramms verantwortlichen Datenverantwortlichen müssen diese Punkte ebenfalls beachten.

LEITFADEN ZU COOKIE-ANWENDUNGEN

Mit der aktuellen Zusammenfassung der Entscheidung des Ausschusses wurde eine Verwaltungsstrafe in Höhe von 800.000 TL für einen Verstoß aufgrund von Cookie-Anwendungen verhängt. Diese Zusammenfassung der Entscheidung und andere Signale lassen den Schluss zu, dass digitale Anwendungen und die darin enthaltenen Offenlegungen im Fokus des Ausschusses stehen.

In diesem Ökosystem, in dem Anwendungen wie E-Commerce und Online-Verkauf so beliebt sind wie nie zuvor, ist der Leitfaden zu Cookie-Anwendungen eine willkommene Nachricht für alle Akteure, die sich mit Datenschutzgesetzen befassen.

Der Leitfaden enthält Cookie-Typen und -Definitionen, zu beachtende Regeln, Cookie-Verwendungen in Szenarien, die eine ausdrückliche Zustimmung erfordern und solche, die keine erfordern, Elemente, die in der eingeholten ausdrücklichen Zustimmung enthalten sein müssen, sowie eine angemessene Aufklärung mit sehr detaillierten technischen Angaben.

Die Punkte, die wir für wichtig halten, sind im Folgenden zusammengefasst.

SZENARIEN FÜR DIE VERWENDUNG VON COOKIES IM RAHMEN DER VORAUSSETZUNG DER AUSDRÜCKLICHEN ZUSTIMMUNG

Social Plugin Tracking Cookies: Viele soziale Netzwerke bieten Social Plugin-Module an, die Website-Betreiber in ihre Websites integrieren können, um bestimmte Dienste bereitzustellen, die als „ausdrücklich von den Mitgliedern angefordert” angesehen werden können. Diese Module können für zusätzliche Zwecke wie verhaltensbasierte Werbung, Analysen oder Marktforschung verwendet werden, um Mitglieder und Nichtmitglieder mit Hilfe von Cookies von Drittanbietern zu verfolgen. Es kann nicht davon ausgegangen werden, dass diese Cookies „unbedingt erforderlich” sind, um eine vom Nutzer ausdrücklich angeforderte Funktionalität bereitzustellen. Ohne ausdrückliche Zustimmung ist es unwahrscheinlich, dass es eine rechtliche Grundlage für soziale Netzwerke gibt, um über soziale Plugins Daten über Nichtmitglieder ihrer Netzwerke zu sammeln.

Online-Cookies für verhaltensbasierte Werbung: Cookies, die für verhaltensbasierte Werbung verwendet werden, erfordern eine ausdrückliche Zustimmung. In diesem Fall umfasst die Erfordernis der ausdrücklichen Einwilligung natürlich auch Cookies, die für Werbezwecke verwendet werden, einschließlich solcher, die für die Anzeigehäufigkeit, die Finanzbuchhaltung, Werbepartnerschaften, die Erkennung von Klickbetrug, Marktforschung und -analyse, Produktentwicklung und Fehlerbehebung verwendet werden. denn es ist offensichtlich, dass keiner dieser Zwecke im Sinne von Kriterium B mit einem vom Nutzer ausdrücklich angeforderten Dienst der Informationsgesellschaft oder einer Funktionalität in Zusammenhang steht.

Cookie-Wall ist eine Anwendung, die einem Besucher die Anzeige der Inhalte einer Website verhindert, solange er nicht der Verwendung aller auf dieser Website vorhandenen Cookies zugestimmt hat. Im Rahmen der freien Einwilligung kann es vorkommen, dass Cookie-Walls die betroffene Person daran hindern, eine echte Wahl zu treffen, wenn sie ihre Einwilligung erteilt. Vorbehaltlich einer Einzelfallprüfung können den betroffenen Personen bestimmte faire Alternativen außerhalb der Cookie-Wall angeboten werden, damit sie einen Dienst in Anspruch nehmen können.

Korrekte Anwendung bei der Verwendung von Cookies

Bei der Einholung der ausdrücklichen Zustimmung im Rahmen der Verwendung von Cookies wird als gute Praxis empfohlen, dass beim Aufrufen der Website ein Cookie-Verwaltungsfeld (z. B. ein Pop-up-Fenster oder ein Banner) angezeigt wird, in dem gleich große (in Bezug auf Farbe, Größe und Schriftgröße) Schaltflächen „Akzeptieren”, „Ablehnen” und „Einstellungen” angeboten werden.

Bei der Erhebung personenbezogener Daten muss die Informationspflicht erfüllt werden, und es wurde als gute Praxis festgelegt, dass in dem genannten Cookie-Verwaltungsfeld eine Erklärung zur Verarbeitung personenbezogener Daten durch Cookies oder gegebenenfalls ein Link angebracht werden muss. In diesem Zusammenhang ist es wichtig, dass Cookies, die mit ausdrücklicher Zustimmung verarbeitet werden müssen, im Verwaltungsfeld zunächst passiv angezeigt werden.

Bei der Verwendung von Online-Werbe-Cookies ist zu beachten, dass es nicht möglich ist, die ausdrückliche Einwilligung durch Einbindung in Dokumente wie Nutzungsvereinbarungen oder Nutzungsbedingungen (bundled) einzuholen.