Datenschutz- und Compliance-Bulletin – Mai 2022
Das Gesetz zum Schutz personenbezogener Daten („KVKK“) und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht. Nicht nur Gesetze, Verordnungen und Bekanntmachungen, sondern auch Beschlüsse des Ausschusses, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse des Ausschusses legen zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken des Ausschusses für den Schutz personenbezogener Daten („Ausschuss“) zu informieren und auf dem neuesten Stand zu halten.
Wir sind der Meinung, dass die wichtigste Maßnahme, die der Ausschuss im Mai ergriffen hat, die am 23. Mai 2022 als Set veröffentlichten Zusammenfassungen der Beschlüsse sind. Dieses Set, das 15 Zusammenfassungen von Beschlüssen enthält, führt ziemlich radikale Regeln für die Anwendung ein. Die Details der Zusammenfassungen der Beschlüsse des Ausschusses, die wir für Sie zusammengefasst und deren wichtige Punkte wir hervorgehoben haben, finden Sie unten.
MELDUNGEN VON DATENVERLETZUNGEN
„Verpflichtungen in Bezug auf die Datensicherheit” gemäß KVKK Art. 12/5. „Wenn verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt werden, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich den Betroffenen und dem Ausschuss melden. Der Ausschuss kann diesen Sachverhalt gegebenenfalls auf seiner Website oder auf andere Weise, die er für angemessen hält, bekannt geben.“
Im Mai 2022 wurden auf der Website der Datenschutzbehörde unter der Domain www.kvkk.gov.tr drei Meldungen über Datenverstöße veröffentlicht.
Yıldız Teknoloji Geliştirme Bölgesi Teknopark A.Ş.
Die Verletzung erfolgte am 03.05.2022 durch einen Cyberangriff auf die Systeme des für die Datenverarbeitung Verantwortlichen, wodurch die Systeme außer Betrieb gesetzt wurden. Am 05.05.2022 wurde die Datenverletzung aufgrund einer Lösegeldforderung festgestellt. Die von der Verletzung betroffenen Systeme waren Argeportal, EBYS, eBA, PDKS, Logo-Software und den internen Gemeinschaftsbereich des Datenverantwortlichen. Die Kategorien der personenbezogenen Daten umfassen Identitäts-, Kommunikations-, Standort-, Personal-, Kunden-, Finanz- und Berufserfahrungsdaten. Bei den Personengruppen handelt es sich um Mitarbeiter, Nutzer und Kunden. Die Anzahl der betroffenen Personen konnte noch nicht ermittelt werden.
ZkSoftware The Advanced Biometric Solution Elektronik San. ve Tic. Ltd. Şti
Die Verletzung ereignete sich am 22.05.2022 und wurde am 23.05.2022 festgestellt, als auf die Buchhaltungssoftware auf dem Servercomputer nicht zugegriffen werden konnte. Die Dateien des Datenverantwortlichen in zwei Datenspeicherbereichen wurden mit einer Krypto-Verschlüsselung gesperrt. Die von der Verletzung betroffenen Personengruppen sind die Mitarbeiter und Kunden des Datenverantwortlichen. etwa 1000 natürliche Personen betroffen waren und die Kategorien der personenbezogenen Daten folgende waren: Identität, Kontaktdaten, Personaldaten, Kundentransaktionen (Rechnungs- und Bestelldaten zu Produkten, die Kunden in der Vergangenheit gekauft haben), Finanzen (Informationen zu Forderungen oder Verbindlichkeiten von Kunden), Marketinginformationen (Informationen zu Produkten, die Kunden gekauft haben).
Baydöner Restoranları A.Ş.
Die Verletzung erfolgte durch einen Angriff mit Schadsoftware auf den Computer des IT-Managers des für die Datenverarbeitung Verantwortlichen und die Entwendung von Webservice-Passwörtern. am 21.05.2022 stattfand und am 22.05.2022 entdeckt wurde. Die betroffenen Personengruppen sind Mitarbeiter, Nutzer und Abonnenten/Mitglieder, und es handelt sich um personenbezogene Daten wie Namen, E-Mail-Adressen, Mobiltelefonnummern, Geschlecht und Wohnort der Kunden. Die Anzahl der betroffenen Personen beträgt 505.337.
ZUSAMMENFASSUNG DER BESCHLÜSSE DER KOMMISSION
Die wichtigsten Quellen, um mit der Geschwindigkeit der Datenwelt Schritt zu halten, waren die Grundsatzbeschlüsse der Kommission und die Zusammenfassungen der Beschlüsse zu Verwaltungsstrafen. Die Gesetzgebung wurde in Übereinstimmung mit diesen Beschlüssen weitgehend gestaltet, und neben vielen Verfahren und Grundsätzen werden hier auch Begriffe und Ausdrücke verwendet, die aus der Welt der DSGVO bekannt sind. In Artikel 22 des KVKK sind die Aufgaben und Befugnisse des Ausschusses aufgeführt, und die Verbindlichkeit der Zusammenfassungen der Beschlüsse basiert auf dieser Bestimmung.
„Verstöße einer Beschäftigungsplattform, die Stellensuche und Einstellungsverfahren durchführt, gegen das Gesetz zum Schutz personenbezogener Daten” – Zusammenfassung der Entscheidung der Datenschutzbehörde vom 14.10.2021, Nr. 2021/1051
Der für die Datenverarbeitung Verantwortliche hat auf der Beschäftigungsplattform über das Mitgliedskonto der betroffenen Person Stellenbewerbungen vorgenommen, die gegen das KVKK in Bezug auf die Vertraulichkeit und Verarbeitung personenbezogener Daten von Arbeitgebern verstoßen. Der Datenverantwortliche kam der Forderung der betroffenen Person nach Auskunft/Zugang zu einer digitalen Kopie aller Informationen und Dokumente, die den Arbeitgebern im Zusammenhang mit den Bewerbungen und Vorstellungsgesprächen der betroffenen Person vorgelegt wurden, nicht nach. In der Beschwerde wurde angegeben, dass die Daten ohne Zustimmung der betroffenen Person gelöscht werden sollten. Der für die Datenverarbeitung Verantwortliche erklärte in seiner Stellungnahme, dass bestimmte personenbezogene Daten auf der Grundlage des zwischen ihnen bestehenden Dienstleistungsvertrags verarbeitet worden seien und dass die entsprechenden Informationen der betroffenen Person in diesem Zusammenhang mitgeteilt worden seien.
Es wurde festgestellt, dass die 30-tägige Frist für die Bearbeitung der Beschwerde der betroffenen Person über die Nichtgewährung des Antrags auf Zugang zu ihren personenbezogenen Daten eingehalten worden sei, und es wurde entschieden, dass keine Maßnahmen im Rahmen des Gesetzes zu ergreifen seien. Da keine über den Zweifel hinausgehenden Beweise oder Unterlagen für die Behauptung vorgelegt wurden, dass die personenbezogenen Daten der betroffenen Person ohne deren Wissen und Zustimmung an andere Arbeitgeber weitergegeben wurden, und da der Arbeitgeber erklärt hat, dass es keine Praxis gibt, die Notizen und Eindrücke über Bewerber an andere Arbeitgeber weiterzugeben, Es wurde entschieden, dass im Zusammenhang mit dieser Beschwerde der betroffenen Person keine Maßnahmen im Rahmen des Gesetzes zu ergreifen sind.
„Über die Verarbeitung personenbezogener Daten durch die Zustellung einer Pfändungsmitteilung durch den Anwalt der Bank an eine dem Schuldner nahestehende Person“ Zusammenfassung der Entscheidung der Datenschutzbehörde vom 21.10.2021, Nr. 2021/1069
Als Angehöriger des Schuldners stellte er fest, dass seine personenbezogenen Daten ohne seine ausdrückliche Zustimmung mit Dritten, die in der Mitteilung genannt waren, geteilt wurden, nachdem ihm von einem Anwalt der Bank eine Pfändungsmitteilung gemäß § 89/1 des Insolvenzgesetzes zugesandt worden war. Er wandte sich sowohl an die Bank als auch an den Anwalt der Bank. In ihrer Antwort erklärte die Bank, dass sie zur Eintreibung ihrer Forderungen personenbezogene Daten im Einklang mit dem in Artikel 4 des KVKK festgelegten Grundsatz der Zweckbindung, Begrenztheit und Verhältnismäßigkeit für rechtliche Schritte und andere rechtliche Verfahren verarbeitet habe, wobei sie sich auf die Artikel 5/2/a-c und ç des KVKK stützte. 5/2/a-c und ç des KVKK verarbeitet, wobei betont wurde, dass die Pfändungsmitteilung von der Vollstreckungsbehörde selbst erstellt und versandt wurde und der Vertragsanwalt der Bank keine Möglichkeit hatte, in die Mitteilung einzugreifen. In der Antwort des Rechtsanwalts wird hingegen darauf hingewiesen, dass die Zustellung der Pfändungsmitteilung an Dritte im Rahmen der routinemäßigen Verfahren zur Pfändung der Rechte und Forderungen des Schuldners zum Zwecke der Beitreibung der Forderungen seines Mandanten von der Vollstreckungsbehörde verlangt wurde und dass keine weiteren Maßnahmen gegen Dritte ergriffen wurden.
Da die Bank in diesem konkreten Fall nicht für die Datenverarbeitung verantwortlich ist, gibt es im Rahmen des KVKK keine Maßnahmen, die gegen sie ergriffen werden könnten. Der Anwalt ist verpflichtet, die erforderlichen Maßnahmen zur Einziehung der Forderungen der Bank, die er vertritt, zu ergreifen, und hat daher gemäß § 89/1 IİK eine Pfändungsanzeige an Dritte versandt, in der der Name, die Identitätsnummer und die Anschrift der betreffenden Person angegeben sind. Identifikationsnummer und Anschrift der betreffenden Person an Dritte zu übermitteln, um die erforderlichen Maßnahmen zur Einziehung der Forderungen der von ihm vertretenen Bank zu ergreifen, als angemessen im Sinne von Art. 5/2/e KVKK, wonach „die Verarbeitung von Daten für die Begründung, Ausübung oder Wahrung eines Rechts erforderlich ist”, angesehen. Daher wurde entschieden, dass auch in Bezug auf den Beschwerdeführer, den Rechtsanwalt, keine Maßnahmen im Rahmen des KVKK zu ergreifen sind.
„Rechtswidrige Verarbeitung personenbezogener Daten durch das Versenden von SMS-Nachrichten durch die Bank an die Mobiltelefonnummer der betroffenen Person” – Zusammenfassung der Entscheidung Nr. 2021/1104 des Datenschutzausschusses vom 02.11.2021
Die betroffene Person, die bei der Bank als Datenverantwortlicher die Löschung ihrer Daten beantragt hat, gibt an, dass die Bank weiterhin Informationsnachrichten per SMS und E-Mail versendet und dass sie sich in dieser Angelegenheit an die Bank gewandt hat. In der Antwort der Bank heißt es, dass Banken verpflichtet sind, alle Informationen und Unterlagen ihrer Kunden zehn Jahre lang aufzubewahren die zehnjährige Aufbewahrungsfrist mit dem Datum der Schließung des Kontos und der Produkte, dem letzten Transaktionsdatum, beginnt und die zehnjährige Aufbewahrungsfrist noch nicht abgelaufen ist, weshalb dem Antrag der betroffenen Person auf Löschung ihrer personenbezogenen Daten nicht stattgegeben werden kann, jedoch die erforderlichen Schritte bei der Bank unternommen wurden, um zu verhindern, dass personenbezogene Daten für sekundäre Zwecke verarbeitet werden; In Fällen, in denen die Bank gesetzlich zur Auskunft verpflichtet ist, besteht keine Verpflichtung zur vorherigen Einholung einer Zustimmung, und die Ausübung des Widerspruchsrechts durch die betroffene Person steht der Übermittlung von Mitteilungen, die gemäß den für die Bank als Dienstleister geltenden gesetzlichen Bestimmungen an die Empfänger zu senden sind, nicht entgegen.
Aufgrund der Verarbeitung der personenbezogenen Daten der betroffenen Person durch das Versenden von SMS wurde eine Verwaltungsstrafe in Höhe von 50.000 TL verhängt, und es wurde festgestellt, dass es nicht rechtswidrig ist, dass der für die Datenverarbeitung Verantwortliche dem Antrag auf Löschung nicht nachgekommen ist, da die Frist von 10 Jahren noch nicht abgelaufen ist.
„Nichtkorrektur der Kreditwürdigkeit der betroffenen Person durch die Bank und Weitergabe ihrer personenbezogenen Daten an Dritte” – Zusammenfassung der Entscheidung Nr. 2021/1107 der Datenschutzbehörde vom 02.11.2021
Obwohl die betroffene Person keine Zahlungsverzögerungen bei ihrer Kreditkarte hatte, leitete die Bank als Datenverantwortliche rechtliche Schritte ein und führte wiederholt unrechtmäßige Maßnahmen durch, die sich auf die Kreditwürdigkeit der betroffenen Person auswirkten, wodurch deren Kreditwürdigkeit herabgesetzt wurde. Aufgrund des Einspruchs wurde diese Maßnahme von der Bank korrigiert und die Bonität wieder auf ein hohes Niveau angehoben, jedoch wurde diese Maßnahme in den folgenden Monaten von der Bank mehrmals wiederholt und jedes Mal aufgrund der beharrlichen Reaktionen der betroffenen Person korrigiert. Die Finanzdaten wurden in unrechtmäßiger Weise und entgegen den Tatsachen weitergegeben, zwischen der betroffenen Person und keinem Finanzinstitut konnten Transaktionen wie Kredite, individuelle Karten usw. durchgeführt werden, das Ansehen der betroffenen Person wurde geschädigt und die an die Bank gerichteten Anträge wurden nicht beantwortet, weshalb gefordert wurde, dass gegen den Datenverantwortlichen die erforderlichen Maßnahmen ergriffen werden.
Der Datenverantwortliche sei gemäß Gesetz Nr. 5411 verpflichtet, Mitglied des Risikozentrums zu sein und dem Risikozentrum Informationen über Kredite, Kreditrisiken usw. seiner Kunden zu melden. Die Meldung der Finanzdaten der betroffenen Person durch den Datenverantwortlichen an das Risikozentrum stelle eine Übermittlung im Sinne von Art. 8 KVKK dar, und diese Übermittlung müsse auf einer der in Art. 5 KVKK genannten Verarbeitungsbedingungen beruhen. 5 genannten Verarbeitungsbedingungen beruhen muss, dass sie unter die Bestimmungen von Art. 5/2/a-ç KVKK fällt, dass jedoch gemäß Art. 4 KVKK eine aktive Sorgfaltspflicht hinsichtlich der Richtigkeit und gegebenenfalls Aktualität der personenbezogenen Daten besteht, die gilt, wenn der für die Daten Verantwortliche auf der Grundlage dieser Daten eine Schlussfolgerung in Bezug auf die betroffene Person zieht. Es wurde festgestellt, dass die betroffene Person zu verschiedenen Zeitpunkten per E-Mail mit dem für die Datenverarbeitung Verantwortlichen in Kontakt getreten ist und wiederholt die Korrektur der falsch an das Risikozentrum übermittelten Finanzdaten verlangt hat. Unter Berücksichtigung dieser Umstände hat die Kommission aufgrund des Verstoßes gegen KVKK Art. 4 die Verhängung einer Verwaltungsstrafe in Höhe von 150.000 TL beschlossen.
„Veröffentlichung der personenbezogenen Daten von Kunden, gegen die der Datenverantwortliche ein Vollstreckungsverfahren eingeleitet hat, auf einer für jedermann zugänglichen Website” – Zusammenfassung der Entscheidung Nr. 2021/1110 des Ausschusses für den Schutz personenbezogener Daten vom 02.11.2021
Es wurde festgestellt, dass die T.C.-Identifikationsnummer, Telefonnummer, Kfz-Kennzeichen und Adressdaten von Kunden, gegen die der für die Datenverarbeitung Verantwortliche, ein innerhalb einer Holding tätiges Unternehmen, ein Vollstreckungsverfahren eingeleitet hatte, auf einer Internetadresse veröffentlicht wurden, wobei das Ziel dieser Maßnahme darin bestand, dass die Personen, denen die Internetadresse mitgeteilt wurde, die dort aufgeführten Fahrzeuge, gegen die ein Beschlagnahmungsbeschluss vorlag, finden und unter der Nummer 155 melden sollten, damit diese Fahrzeuge beschlagnahmt und aus dem Verkehr gezogen werden konnten. In seiner Antwort erklärte der Datenverantwortliche, dass sein Unternehmen Gebrauchtwagen auf Raten und gegen Vorauszahlung verkaufe, dass bei Nichtzahlung rechtliche Schritte eingeleitet und Vollstreckungsverfahren eingeleitet würden und dass keine Daten an Dritte weitergegeben würden. Bei der Überprüfung der Internetadresse wurde festgestellt, dass eine solche Adresse auf den Servern nicht vorhanden ist und dass die Internetadresse keine Inhalte enthält, die die Behauptungen der betreffenden Person belegen, weshalb die Ablehnung des Antrags erforderlich sei.
Die Meldung wurde über CİMER an die Kommission weitergeleitet. Gemäß Artikel 15/1 des KVKK kann die Kommission auch ohne Beschwerde oder Meldung von Amts wegen eine Untersuchung in Angelegenheiten einleiten, die in ihren Zuständigkeitsbereich fallen. Nach der Untersuchung der Internetadresse, die Gegenstand der Untersuchung war, und vor der Übermittlung der Informations- und Dokumentenanforderung durch die Behörde an den für die Daten verantwortlichen, wurde festgestellt, dass die Internetadresse die Namen der betroffenen Personen, , die türkischen Identitätsnummern, Adressen, Kennzeichen und Modelle der Fahrzeuge, für die ein Beschlagnahmungsbeschluss erlassen wurde, sowie Informationen darüber, von welcher Anwaltskanzlei die Vollstreckungsakten verfolgt werden, festgestellt wurden. Nach der Zustellung der Anfrage der Behörde an den für die Datenverarbeitung Verantwortlichen wurde beim Versuch, auf die Internetadresse zuzugreifen, eine Warnung angezeigt, dass die Website nicht erreichbar sei. Auf der Grundlage dieser Bewertungen wurde festgestellt, dass die auf der Internetadresse befindlichen personenbezogenen Daten nicht auf einer der in Artikel 5 des KVKK 5 keine Datenverarbeitungsbedingungen erfüllen. Angesichts der Vielzahl und Bedeutung der personenbezogenen Daten sowie der Offenlegung dieser Daten im Internet und der damit verbundenen hohen Sicherheitsrisiken durch die rechtswidrige Datenverarbeitung wurde eine Verwaltungsstrafe in Höhe von 200.000 TL verhängt.
„Unrechtmäßige Erlangung der Informationen über die strafrechtliche Verurteilung der betroffenen Person durch den als Rechtsanwalt tätigen Datenverantwortlichen und Vorlage dieser Informationen in der Gerichtsakte” – Zusammenfassung der Entscheidung Nr. 2021/1111 der Datenschutzbehörde vom 02.11.2021
Im Rahmen eines Verfahrens wegen Arbeitslohnforderungen wurde die betreffende Person als Zeuge der beklagten Partei zu ihren Informationen und Beobachtungen befragt, wobei der für die Datenverarbeitung verantwortliche Rechtsanwalt die Informationen über die Verurteilung vorlegte und darauf hinwies, dass die Aussage nicht berücksichtigt werden dürfe. In der Antwort des für die Datenverarbeitung Verantwortlichen, des Rechtsanwalts, wurde dargelegt, dass die Aussage der betreffenden Person den Verlauf des Verfahrens beeinflussen würde, dass die Strafregisterdaten von jedem Rechtsanwalt anhand der türkischen Identitätsnummer der betreffenden Person eingesehen werden könnten, dass die Strafregisterdaten nicht von den Parteien unrechtmäßig beschafft worden seien, sondern aufgrund ihrer Vertretungsfunktion im Rahmen der ihnen offenstehenden Informationen erneut durch ein Justizorgan eingeholt worden seien, zumal die Strafregistereinträge der Personen für Richter und Staatsanwälte über das UYAP-System bereits zugänglich seien, sodass die Vorlage dieser Informationen durch die Parteien vor Gericht keinen Verstoß gegen das KVKK darstelle, und es wurde auf Artikel 2 des Anwaltsgesetzes verwiesen.
Es sei klar, dass die in Artikel 2 des Anwaltsgesetzes enthaltene Regelung im Gegensatz zu der in Artikel 7 des Strafregistergesetzes enthaltenen „Sonderbestimmung” eine „allgemeine Bestimmung” darstelle und Rechtsanwälten keinen automatischen Zugang zu den Strafregisterdaten der betroffenen Personen gewähre. Daher wurde festgestellt, dass die Strafregisterdaten der betroffenen Person vom für die Datenverarbeitung Verantwortlichen rechtswidrig erhoben wurden und dass die Verarbeitung personenbezogener Daten der betroffenen Person durch den für die Datenverarbeitung Verantwortlichen rechtswidrig ist. Die Tatsache, dass die Strafregisterdaten, die als personenbezogene Daten besonderer Art gelten, von vornherein rechtswidrig erhoben wurden, macht alle Verarbeitungsaktivitäten des für die Verarbeitung Verantwortlichen von Anfang an rechtswidrig, da es keinen Zweifel daran gibt, dass auf etwas Rechtswidrigem nichts Rechtmäßiges aufgebaut werden kann. Auf der Grundlage dieser Bewertungen wird gegen den für die Verarbeitung Verantwortlichen eine Verwaltungsstrafe in Höhe von 75. 000 TL verhängt, die Löschung der personenbezogenen Daten der betroffenen Person, die vom Datenverantwortlichen gespeichert wurden und für rechtswidrige Verarbeitungszwecke verwendet wurden, angeordnet und die betroffene Person daran erinnert, dass sie im Rahmen des TCK Strafanzeige erstatten kann.
„Veröffentlichung von Dokumenten, die personenbezogene Daten der betroffenen Person enthalten, auf der Website der Universität durch den Datenverantwortlichen“ – Zusammenfassung der Entscheidung Nr. 2021/1127 der Datenschutzbehörde vom 04.11.2021
Der 40-seitige Brief mit personenbezogenen Daten wurde vom TÜBİTAK-Präsidium zur Information an das YÖK-Präsidium geschickt. Anschließend wurde das betreffende Schreiben vom Rechtsberatungsdienst der YÖK-Präsidentschaft mit einem Begleitschreiben zu Informationszwecken an die Universitäten gesandt. Das mit „VERTRAULICH” gekennzeichnete Schreiben und die Dokumente wurden vom Datenverantwortlichen, der Universitätsleitung, per E-Mail an alle Mitarbeiter der Universität, sowohl akademische als auch nicht-akademische, relevante oder irrelevante, versandt. Die Dokumente wurden vom Datenverantwortlichen, dem Rektorat der Universität, auf der Website veröffentlicht. In der Antwort des Datenverantwortlichen auf die diesbezügliche Anfrage der betroffenen Person wurde angegeben, dass dies versehentlich geschehen sei. Aufgrund der Weitergabe der Dokumente, die Gegenstand eines laufenden Gerichtsverfahrens sind, an unbeteiligte Dritte sowohl per E-Mail als auch über die Website wurde im Rahmen des KVKK die Einleitung der erforderlichen Maßnahmen gegen den Datenverantwortlichen beantragt.
Da die Weitergabe der personenbezogenen Daten der betroffenen Person, die in einem Dokument enthalten sind, das Auswirkungen auf akademische Förderungen, Ernennungen und Beförderungen hat, an die Dekane der Fakultäten und über das EBYS-System der Einrichtung gemäß den Bestimmungen von Artikel 5/2/ç -e als rechtmäßig angesehen, sodass keine Maßnahmen im Rahmen des KVKK zu ergreifen sind. Damit die personenbezogenen Daten der betroffenen Person, die in den Dokumenten enthalten sind, nicht in den Arbeiten verwendet werden, die auf der Website der Universität für akademische Zwecke veröffentlicht werden, hat der Datenverantwortliche die Master- und Doktoranden sowie das akademische Personal der Universität gemäß Art. 5/2/e des KVKK verboten ist, und dass die Datenverantwortliche die Master- und Doktoranden sowie das akademische Personal der Universität darüber informieren muss, dass die betreffenden Zeitschriften nicht als Grundlage für Arbeiten herangezogen werden dürfen, was als im Einklang mit dem KVKK stehend angesehen wird, jedoch stellt die Weitergabe aller in dem Dokument enthaltenen personenbezogenen Daten, die über den Informationszweck hinausgehen, auf der Website der Universität einen Verstoß gegen die Grundsätze der Zweckbindung, der Beschränkung und der Verhältnismäßigkeit gemäß Art. Es wurde entschieden, dass die Veröffentlichung aller personenbezogenen Daten, die in Dokumenten enthalten sind, die den Zweck der Verarbeitung überschreiten, gegen die Grundsätze der Zweckbindung, Begrenztheit und Verhältnismäßigkeit gemäß Absatz 4/2/ç verstößt und dass gemäß Absatz 18/3 gegen die Verantwortlichen vorgegangen und der Ausschuss über das Ergebnis des Verfahrens informiert werden soll.
„Verarbeitung personenbezogener Daten durch den Versand von Werbe-SMS an die betroffene Person durch den für den Verkauf von Medizinprodukten Verantwortlichen“ – Zusammenfassung der Entscheidung der Datenschutzbehörde vom 11.11.2021, Nr. 2021/1153
Ein Datenverantwortlicher, der medizinische Produkte verkauft, hat eine Werbe-SMS an eine Mobiltelefonnummer gesendet. Die betroffene Person hat erklärt, dass sie keine ausdrückliche Einwilligung zur Verarbeitung ihrer personenbezogenen Daten erteilt hat, und hat beim Datenverantwortlichen einen Antrag auf Auskunft darüber, wie ihre personenbezogenen Daten erhoben wurden, sowie auf Löschung ihrer personenbezogenen Daten gestellt. In der Antwort wurde angegeben, dass außer der Telefonnummer der betreffenden Person keine weiteren Daten vorliegen, dass die Mobiltelefonnummer als Kontaktdaten eines anderen Patienten registriert ist, der dem Datenverantwortlichen diese Nummer mitgeteilt hat, dass dieser Patient seine Zustimmung zum Erhalt von Werbe- und Informationsnachrichten gegeben hat und dass die Nummer der betreffenden Person möglicherweise versehentlich angegeben wurde. Da diese Antwort des Datenverantwortlichen jedoch unzureichend war und er den Genehmigungsmechanismus ohne Überprüfung durchgeführt hatte, wurde festgestellt, dass der Datenverantwortliche in diesem Fall fahrlässig gehandelt hatte, und es wurde verlangt, dass die erforderlichen Maßnahmen ergriffen werden.
In Bezug auf die rechtswidrige Verarbeitung der personenbezogenen Daten der betroffenen Person durch das Versenden kommerzieller elektronischer Nachrichten Es wurde festgestellt, dass die betreffende Mobiltelefonnummer in den Aufzeichnungen des Datenverantwortlichen nicht als mit ihm in Verbindung stehende Daten verarbeitet wurde, dass der Vorfall, der Gegenstand der Beschwerde ist, durch die versehentliche Angabe einer falschen Nummer durch einen Kunden verursacht wurde und dass diese Umstände vom Datenverantwortlichen durch Unterlagen belegt werden können, sodass keine Maßnahmen im Rahmen des KVKK gegen den Datenverantwortlichen zu ergreifen sind. Es wurde beschlossen, den Datenverantwortlichen anzuweisen, die personenbezogenen Daten der betroffenen Person in Übereinstimmung mit Artikel 7 des Gesetzes, der die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten regelt, sowie mit der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten zu vernichten und den Ausschuss darüber zu informieren.
Wir bei GRC Legal sind der Meinung, dass dieser konkrete Fall ein gutes Beispiel dafür ist, dass die Frage gestellt werden muss, ob die von den Datenverantwortlichen veröffentlichten Kommunikationsadressen für den Versand kommerzieller elektronischer Nachrichten tatsächlich den veröffentlichten Personen gehören.
„Zugriff auf das Unternehmens-E-Mail-Konto einer betroffenen Person, die ehemalige Mitarbeiterin des für die Datenverarbeitung Verantwortlichen ist, ohne sie darüber zu informieren“ – Zusammenfassung der Entscheidung Nr. 2021/1187 des Ausschusses für den Schutz personenbezogener Daten vom 25.11.2021
Der Datenverantwortliche war ein ehemaliger Mitarbeiter des Unternehmens, und aus den in den Gerichtsakten vorgelegten Beweisverzeichnissen geht hervor, dass der Datenverantwortliche und die betroffene Person Gegenparteien waren und dass der Datenverantwortliche Zugriff auf die persönlichen Daten der betroffenen Person hatte, darunter die Inhalte der E-Mail-Korrespondenz mit ihrem Verlobten, ihre persönlichen Bankkontenauszüge und ihre Ausgabenaufzeichnungen. Der Datenverantwortliche hat keine Erklärung oder Mitteilung abgegeben, dass die den Mitarbeitern des Unternehmens zugewiesenen E-Mail-Adressen nur für geschäftliche Zwecke verwendet werden dürfen. Aufgrund der verwendeten Plattformen hat er eine Übermittlung ins Ausland gemäß Artikel 9 des KVKK vorgenommen, die jedoch nicht ordnungsgemäß durchgeführt wurde, und trotz eines Antrags gemäß Artikel 11 des KVKK wurden die personenbezogenen Daten nicht gelöscht.
Es ist klar, dass Unternehmens-E-Mail-Konten nur für geschäftliche Zwecke verwendet werden dürfen, daher muss ein Mitarbeiter, der als IT-Experte tätig ist, sich dieser Notwendigkeit bewusst sein. die Anwendung zusätzlicher Kontrollkriterien in diesem Zusammenhang würde dem normalen Lebensablauf zuwiderlaufen und es besteht keine Notwendigkeit, die betreffende Person darauf hinzuweisen, dass sie ihr Unternehmens-E-Mail-Konto nicht verwenden darf. Der Arbeitgeber kann im Rahmen seiner Verwaltungsbefugnisse grundsätzlich die Kommunikationsmittel, die er dem Arbeitnehmer zur Verfügung stellt, kontrollieren und Nutzungsbeschränkungen vorsehen. Es wurde festgestellt, dass die betreffende Person bei ihrem Ausscheiden aus dem Unternehmen ihre E-Mail-Adresse, die zwölf Jahre lang geschäftliche Informationen enthielt, vollständig gelöscht hat und dass, als die E-Mail-Adresse wiederhergestellt wurde, um auf diese Informationen zuzugreifen, die betreffende Person in völliger Verletzung ihrer Treuepflicht ungerechtfertigte Gewinne erzielt hat.
Bei seiner Entscheidung zu diesem Thema hat der Ausschuss auf mehrere Entscheidungen des Verfassungsgerichts und des Menschenrechtsgerichtshofs Bezug genommen und Kriterien genannt, an denen sich der Arbeitgeber bei der Überwachung der Kommunikation orientieren kann. Auf der Grundlage dieser Kriterien wurde entschieden, dass gegen den Datenverantwortlichen, der keine Aufklärung vorgenommen hatte, eine Verwaltungsstrafe in Höhe von 250.000 TL zu verhängen ist.
„Über die Gestaltung der Anwesenheitsliste, die die personenbezogenen Daten der Teilnehmer an einer von einer Universität angebotenen Ausbildung enthält, so dass sie für andere Teilnehmer einsehbar ist“ Zusammenfassung der Entscheidung der Datenschutzbehörde vom 02.12.2021, Nr. 2021/1214
Da das Ministerium auf den Antrag der betroffenen Person nach Ablauf der 30-tägigen Frist geantwortet hat, wird darauf hingewiesen, dass bei der Beantwortung von Anträgen die 30-tägige Frist einzuhalten ist. Wenn die Universität als Datenverantwortliche bei der Erfüllung ihrer gesetzlichen Verpflichtung zur Anwesenheitskontrolle in der Anwesenheitskontrolltabelle neben dem Vor- und Nachnamen der Personen weitere personenbezogene Daten angeben muss, die betreffenden Daten zu maskieren, die Weiterverfolgungstabelle zu überarbeiten und in die Praxis umzusetzen, die Universität als Datenverantwortliche zu instruieren, unter Berücksichtigung der Tatsache, dass es andere Einrichtungen gibt, die ähnliche Schulungen anbieten, und dass ähnliche Praktiken möglich sind, das Ministerium zu informieren, damit auch andere Bildungseinrichtungen, die Schulungen anbieten, informiert werden, während die Universität als Datenverantwortliche geschult wird, im Rahmen der Verarbeitung der personenbezogenen Daten der Kursteilnehmer „Informationspflicht des Datenverantwortlichen” gemäß Artikel 10 des KVKK und den Bestimmungen der Mitteilung über die Verfahren und Grundsätze zur Erfüllung der Informationspflicht entwickelt werden.
„Behauptung, dass unter Verwendung von Fotos der betroffenen Person und ihres Kindes, das den Status einer betroffenen Person hat, eine unwahre, die Ehre und Würde verletzende Fernsehsendung über die betroffene Person ausgestrahlt wurde” Zusammenfassung der Entscheidung Nr. 2021/1217 des Datenschutzausschusses vom 02.12.2021
In der Nachrichtensendung „Ana Haber” wurde unter Verwendung von Fotos der betroffenen Person und ihres Kindes berichtet, dass die betroffene Person aus erster Ehe einen Sohn und eine Tochter habe, seit sechs Jahren mit einer anderen Person verheiratet sei und dass ihr Sohn aus erster Ehe die betroffene Person mit einem Messer attackiert habe, wobei einer der Messerstiche das Herz der betroffenen Person getroffen habe und diese nun um ihr Leben kämpfe, während der brutale Sohn festgenommen worden sei. Es wurde festgestellt, dass die betreffende Person nichts mit dem in der Nachricht beschriebenen Vorfall zu tun hat, dass die Verwendung und Verbreitung des Fotos, das von der Facebook-Seite der betreffenden Person stammt, eindeutig rechtswidrig ist, dass trotz der Beschwerde an das Medienunternehmen die Rechtswidrigkeit nicht innerhalb der gesetzlichen Frist von 30 Tagen beseitigt wurde und dass die Beschwerdeführer nicht informiert wurden.
Da der Vorfall in der Berichterstattung in einer Weise dargestellt wurde, die den Eindruck erweckt, dass die betreffende Person in den Vorfall verwickelt ist, und da die Fotos anhand des Vorfalls und der in der Berichterstattung genannten Informationen über die betreffende Person aus öffentlichen Quellen bestätigt werden können, muss davon ausgegangen werden, dass zwischen der Form und dem Inhalt der Berichterstattung kein angemessenes Gleichgewicht besteht, d. h. dass die Berichterstattung unverhältnismäßig ist. Außerdem kann argumentiert werden, dass es hinsichtlich der Form der Nachricht nicht erforderlich war, die genannten Fotos – selbst wenn sie unscharf/verpixelt waren – auf dem Bildschirm zu zeigen, und dass die vom Datenverantwortlichen unter Verwendung der Informationen und Fotos der betroffenen Person und ihres Kindes erstellte Nachricht gemäß Art. 28/ 1/c des KVKK nicht ausgenommen werden kann. Ausgehend von diesen Bewertungen und da festgestellt wurde, dass die personenbezogenen Daten vom Datenverantwortlichen ohne jegliche Verarbeitungsbedingung verarbeitet wurden, wurde eine Verwaltungsstrafe in Höhe von 300.000 TL verhängt.
„Zugriff auf das Unternehmens-E-Mail-Konto einer ehemaligen Mitarbeiterin durch den für die Datenverarbeitung Verantwortlichen ohne Aufklärung“ – Zusammenfassung der Entscheidung Nr. 2021/1187 der Datenschutzbehörde vom 25.11.2021
Die Beschwerde der betroffenen Person lautete: „Der für die Datenverarbeitung Verantwortliche hat während der Laufzeit des Arbeitsvertrags zwischen ihnen seine Informationspflicht gemäß Artikel 10 des KVKK gegenüber der betroffenen Person nicht erfüllt“, „nach der Kündigung des Arbeitsvertrags mit dem für die Datenverarbeitung Verantwortlichen wurden Fotos und andere personenbezogene Daten der betroffenen Person weiterhin auf der Website des für die Datenverarbeitung Verantwortlichen gespeichert, die Speicherung dieser Daten auf dieser Website der ausdrücklichen Zustimmung der betroffenen Person unterliegt, diese jedoch nicht eingeholt wurde, was eine rechtswidrige Verarbeitung personenbezogener Daten darstellt” und „der Datenverantwortliche auf den Antrag der betroffenen Person gemäß Artikel 13 des KVKK nicht ausreichend reagiert hat”. Die zu prüfende Beschwerde wurde unter den drei Punkten bewertet, auf die sich die Behauptungen der betroffenen Person konzentrierten. Obwohl die betroffene Person im Rahmen der GDPR-Verpflichtungen informiert wurde, wurde der Datenverantwortliche daran erinnert, dass er hinsichtlich der in der Türkei verarbeiteten personenbezogenen Daten gemäß Artikel 10 des KVKK seiner Informationspflicht nachkommen muss. und die betroffene Person darüber informiert, dass sie sich zur Beilegung von Streitigkeiten, die sich aus dem Arbeitsverhältnis mit dem Datenverantwortlichen ergeben, an die Justizbehörden wenden muss. Die betroffenen Personen werden darüber informiert, dass sie gemäß den Artikeln 11 und 13 des KVKK 11 und 13 sowie gemäß Artikel 5 der Mitteilung über die Verfahren und Grundsätze für Anträge an den Datenverantwortlichen zu stellen, und dass der Datenverantwortliche angewiesen wird, diese Anträge wirksam, rechtmäßig und nach dem Grundsatz der Redlichkeit zu bearbeiten.
„Weitergabe personenbezogener Daten durch den Datenverantwortlichen, indem die Bank Anrufe über die Telefone der Familie der betroffenen Person tätigt“ – Zusammenfassung der Entscheidung Nr. 2021/1239 des Datenschutzausschusses vom 09.12.2021
Der Datenverantwortliche hat aufgrund des entstandenen Risikos die Schuldnerverfolgung über die im Risikozentrumssystem registrierte Telefonnummer durchgeführt. Aus den vorliegenden Informationen und Unterlagen konnte nicht festgestellt werden, dass der Datenverantwortliche personenbezogene Daten weitergegeben hat, und auf Antrag der betroffenen Person wurden innerhalb kurzer Zeit die erforderlichen Maßnahmen in Bezug auf die Anrufe ergriffen. Unter Berücksichtigung dieser Umstände wurde entschieden, dass keine Maßnahmen gemäß dem KVKK gegen den Datenverantwortlichen zu ergreifen sind, sondern dass der Datenverantwortliche daran erinnert werden soll, bei Telefonanrufen mehr Sorgfalt im Hinblick auf den Schutz personenbezogener Daten walten zu lassen und die Mitarbeiter darüber zu informieren.
„Über die Verarbeitung der E-Mail-Adresse der betroffenen Person, die als personenbezogene Daten gilt, durch ein Personalvermittlungsunternehmen zum Zwecke des Versands von E-Mails zu Werbe- und Marketingzwecken“ Zusammenfassung der Entscheidung der Datenschutzbehörde vom 09.12.2021, Nr. 2021/1243
Der Datenverantwortliche hat angegeben, dass die E-Mail-Adresse der betroffenen Person im Rahmen seiner wirtschaftlichen Aktivitäten im Zusammenhang mit Umfragen und Werbeaktivitäten erhoben und gemäß Artikel 5/2/d des KVKK verarbeitet wurde. Es wurde jedoch keine Erklärung des Datenverantwortlichen dazu abgegeben, mit welcher Methode und auf welcher Plattform oder in welchem Medium die betroffene Person ihre E-Mail-Adresse öffentlich gemacht hat, und es wurde kein Dokument beigefügt, das belegen könnte, wie die Daten im Rahmen von Umfragen und Werbeaktionen erhoben wurden. Die Erklärungen des Datenverantwortlichen dazu, wie die personenbezogenen Daten der betroffenen Person erhoben und unter welchen Verarbeitungsbedingungen sie verarbeitet wurden, entbehren jeder rechtlichen Grundlage. Der Datenverantwortliche hat ohne jegliche rechtliche Verarbeitungsbedingung im Sinne von Artikel 5 des KVKK Daten verarbeitet. Aus den Bewertungen geht hervor, dass die betroffene Person die Löschung ihrer personenbezogenen Daten beantragt hat. Da festgestellt wurde, dass der für die Datenverarbeitung Verantwortliche gegen seine Verpflichtung zur „Verhinderung der rechtswidrigen Verarbeitung personenbezogener Daten” verstoßen hat, wurde beschlossen, gegen den für die Datenverarbeitung Verantwortlichen eine Verwaltungsstrafe in Höhe von 50.000 TL zu verhängen und ihn anzuweisen, die personenbezogenen Daten der betroffenen Person zu vernichten und die Protokolle über die Vernichtung der Behörde zu übermitteln, um den Ausschuss zu informieren.
„Rechtswidrige Verarbeitung personenbezogener Daten durch Cookies, die von einem im E-Commerce-Sektor tätigen Datenverantwortlichen auf seiner Website/in seinen mobilen Anwendungen verwendet werden” – Zusammenfassung der Entscheidung Nr. 2022/229 der Datenschutzbehörde vom 10.03.2022
Der Datenverantwortliche informiert die Nutzer beim Aufrufen seiner Website in einem Pop-up-Fenster in der unteren linken Ecke der Seite mit einem Feld, das Erläuterungen enthält, und es gibt keine Anzeichen dafür, dass die betroffene Person ihre ausdrückliche Zustimmung zu den nicht unbedingt erforderlichen Cookies gegeben hat. Die Besucher der Website/mobile Anwendung müssen beim Aufrufen der Website/mobile Anwendung durch eine aktive Handlung ihre Zustimmung zur Verwendung der betreffenden Cookies geben. Daher muss gemäß dem „Opt-in”-Mechanismus, der vorsieht, dass Cookies standardmäßig nicht aktiviert sind, eine ausdrückliche Zustimmung eingeholt werden. Die Einfügung eines Links, der zur Cookie-Richtlinie führt, ist wichtig, um die Informationen zu Cookies leichter zugänglich zu machen. Daher muss der betreffende Text dahingehend aktualisiert werden, dass ein Link eingefügt wird, der direkt zu den Cookies führt. Auf der Grundlage dieser Bewertungen Da die Verarbeitung ohne Berufung auf eine der in den Artikeln 5 und 6 des KVKK genannten Bedingungen erfolgte und die personenbezogenen Daten ohne Berufung auf eines der in Artikel 9 genannten Übermittlungsverfahren übermittelt wurden und diese Punkte gegen die Bestimmungen in Artikel 12/ 1. Absatz der KVKK verstoßen, hat die Kommission eine Verwaltungsstrafe in Höhe von 800.000 TL gegen den Datenverantwortlichen verhängt.
Wenn für die Verwendung nicht obligatorischer Cookies keine andere Datenverarbeitungsbedingung als die ausdrückliche Zustimmung besteht, muss sichergestellt werden, dass die betroffenen Personen bei der Anmeldung auf der Website/in der mobilen Anwendung durch eine aktive Handlung ihre Zustimmung zur Verwendung dieser Cookies geben, und daher wurde beschlossen, dass die Cookies als Standardeinstellung nicht verwendet werden dürfen „Opt-in”-Mechanismus, der vorsieht, dass Cookies standardmäßig deaktiviert sind.