Datenschutz- und Compliance-Bulletin – März 2023
Das Gesetz zum Schutz personenbezogener Daten („KVKK“) und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht. Nicht nur Gesetze, Verordnungen und Bekanntmachungen, sondern auch Beschlüsse des Ausschusses, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse des Ausschusses legen zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken des Ausschusses für den Schutz personenbezogener Daten („Ausschuss“) zu informieren und auf dem neuesten Stand zu halten.
Im März 2023 veröffentlichte die Kommission eine öffentliche Bekanntmachung und Meldungen über Datenschutzverletzungen, darunter auch Unternehmen, die zu den derzeit beliebtesten Start-ups zählen und in ihrer Branche eine führende Position einnehmen. Außerdem wurde die lange Zeit unterbrochene Reihe der Zusammenfassungen der Beschlüsse der Kommission um einen neuen Beitrag ergänzt.
In der Märzausgabe 2023 unseres KVKK-Bulletins werden auch die Details der Entscheidung des Verfassungsgerichts vom 30.03.2023 im Amtsblatt veröffentlicht, die sich auf die Gesetzgebung zum Schutz personenbezogener Daten bezieht.
DATENVERLETZUNGSMELDUNGEN
„Verpflichtungen in Bezug auf die Datensicherheit” gemäß KVKK Art. 12/5. „Wenn verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt werden, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich der betroffenen Person und dem Ausschuss melden. Der Ausschuss kann diesen Sachverhalt gegebenenfalls auf seiner Website oder auf andere Weise, die er für angemessen hält, bekannt geben.”
Im März 2023 wurden auf der Website der Datenschutzbehörde unter der Domain www.kvkk.gov.tr fünf Meldungen über Datenschutzverletzungen veröffentlicht.
Akbank T.A.Ş
Die Datenschutzverletzung erfolgte, weil bei der Erstellung des Codes für ein Projekt, das für die Kontoeröffnung von juristischen Personen als Kunden entwickelt wurde, die E-Mail-Adresse statisch statt dynamisch geschrieben wurde. Zwischen dem 27.08.2022 und dem 18.10.2022 wurden die elektronischen Geldbörsen einiger Kunden, die zwischen diesen Daten ein Konto eröffnet hatten, fälschlicherweise an 20 juristische Personen (jeweils in unterschiedlicher Anzahl) gesendet, die ebenfalls Kunden der Bank sind, anstatt an die betreffenden Kunden. Von der Verletzung waren 5.847 Bankkunden betroffen.
Die von der Verletzung betroffenen personenbezogenen Daten umfassen innerhalb der Kategorien Identität, Kundentransaktionen und Finanzen: Vor- und Nachname, türkische Identitätsnummer, Kundennummer, Steueramt, Nummer und Datum des individuellen Bankdienstleistungsvertrags, Kontonummer, Filialname, Währungscode, IBAN, Produktname, Zinssatz, Eröffnungs- und Fälligkeitsdatum sowie Informationen zum Eröffnungsbetrag des Kontos. Die betroffenen Personen können Informationen auf der Website akbank.com und unter der Telefonnummer 4442525 einholen.
Marifet Saatçilik Kuyum. Teks. Tur. Gıda İnş. Taah. San. ve Tic. Ltd. Şti.
Es wurde berichtet, dass die Verletzung am 07.03.2023 begann und am 08.03.2023 endete und dass 1.513.947 Personen eine SMS erhielten, nachdem unbefugte Personen Zugriff auf die Informationen der Anwendung erhalten hatten, die der Datenverantwortliche zum Versenden von Nachrichten an seine Kunden verwendet.
Da der Datenverantwortliche 66.000 Kunden in der Anwendung registriert hat, wird davon ausgegangen, dass die Telefonnummern, an die die SMS gesendet wurden, von den Personen, die die Anwendung übernommen haben, in das System hochgeladen wurden. Die Verletzung wurde aufgrund von Rückmeldungen der Kunden festgestellt. Die Kommunikationsdaten waren betroffen. Die betroffenen Personen können Informationen unter der Adresse www.marifetkuyumcu.com und unter der Nummer 444 9 778 erhalten.
Sahibinden Bilgi Teknolojileri ve Paz. ve Tic.
Es wurde festgestellt, dass die Verletzung infolge eines Cyberangriffs auf den Datenverantwortlichen erfolgte und dass die von der Verletzung betroffenen personenbezogenen Daten am 27.03.2023 im Internet veröffentlicht wurden, jedoch konnte das Datum, an dem die Verletzung begann, noch nicht ermittelt werden.
Die Untersuchung ergab, dass die Daten des Sahibinden-Shops (mit Ausnahme der E-Mail-Adressen) durch Kopieren der für den Betrieb der Schnittstellen auf der Website und in der mobilen Anwendung von Sahibinden erforderlichen Webservice-Inhalte erlangt wurden. Die E-Mail-Adressdaten der Unternehmensnutzer wurden durch das Versenden von Passwort-Zurücksetzungs-Nachrichten durch böswillige Dritte aus den Ergebnissen des Passwort-Zurücksetzungsdienstes gewonnen.
Die von der Verletzung betroffenen personenbezogenen Daten umfassen im Allgemeinen Sahibinden-Shop-Informationen und E-Mail-Adressen von Unternehmensnutzern, darunter Benutzer-ID, Benutzername, Nachname, Shop-Name, Telefonnummer, E-Mail-Adresse, Datum der Kontoeröffnung, Standort, Benutzertyp, Shop-Nummer, Paketkategorie, Paketstatus, Paketlaufzeit, Shop-Produkttyp, Registrierungszeitraum, Eröffnungsdatum, Beginn der Shop-Verpflichtung. Es wurde angegeben, dass von der Verletzung sowohl Unternehmensnutzer als auch natürliche Personen, einschließlich Einzelunternehmen, betroffen sind, dass die geschätzte Anzahl der betroffenen Personen 71.422 beträgt und dass die betroffenen Personen Informationen über die E-Mail-Adresse yaziliiletisim@sahibinden.com oder über das Callcenter erhalten können.
Destek Bilgisayar ve İletişim Hizmetleri Tic. A.Ş.
Die Verletzung erfolgte durch die Verschlüsselung und Löschung von Daten auf dem vom Datenverantwortlichen genutzten Server, den Speichereinheiten und einigen Benutzergeräten sowie durch die Entnahme der im System gespeicherten Daten und die Forderung von Lösegeld. Die Datenverletzung begann am 23.03.2023 und wurde am selben Tag festgestellt.
Die Anzahl der von der Verletzung betroffenen Personen konnte aufgrund der Verschlüsselung und Sperrung noch nicht ermittelt werden. Bei den Kategorien personenbezogener Daten handelt es sich um Finanzdaten, Marketingdaten, Berufserfahrung, Bild- und Tonaufzeichnungen, und bei den Personengruppen um Mitarbeiter, Kunden und potenzielle Kunden. Die betroffenen Personen können sich über die E-Mail-Adressen www.destek.as, info@destek.as, kvk@destek.as, callcenter@destek. as (Helpdesk), die Kundendienstnummer 0312 473 51 00 und die Callcenter-Nummer 444 37 85.
Getir Perakende Lojistik A.Ş. und Bitaksi Mobil Teknoloji A.Ş.
Die Datenverantwortlichen Getir Perakende Lojistik A.Ş. („Getir“) und Bitaksi Mobil Teknoloji A.Ş. („BiTaksi“) haben in ihrer Meldung über die Datenverletzung und der Folgeanzeige zusammengefasst: In einer E-Mail, die am 11.03.2023 bei der Geschäftsleitung von Getir eingegangen ist, behauptet ein böswilliger Dritter, dass BiTaksi (ein vom Gründer von Getir gegründetes Technologieunternehmen) im Besitz bestimmter personenbezogener Daten seiner Nutzer sei, und teilt als Beispiel einige Datenzeilen mit. Am 23.03. 2023 an einen Getir-Mitarbeiter und am 25.03.2023 an die Unternehmens-E-Mail-Adresse von Getir gesendet wurden, wurden Behauptungen über eine Verletzung des Datenschutzes von Getir im Darkweb aufgestellt und Links mit angeblich personenbezogenen Daten von Getir-Kunden geteilt.
Die Inhalte im Darkweb wurden vom Interventionsteam von Getir untersucht. Es wurde festgestellt, dass die Daten in einer der Softwareprogramme, in die die Protokolle übertragen wurden, mit den Daten in den entsprechenden Darkweb-Beiträgen übereinstimmen, dass die Daten jedoch nicht mit den Daten in den Bitaksi-Systemen übereinstimmen und dass die personenbezogenen Daten der Bitaksi-Nutzer nicht verletzt wurden.
Die von der Verletzung betroffenen personenbezogenen Daten der Getir-Nutzer umfassen: Identität (Vorname, Nachname, türkische Identitätsnummer, Geschlecht), Kontaktdaten (Handynummer, E-Mail-Adresse, Lieferadresse), Konto (Getir-Kundennummer und Datum der Kontoerstellung), Kundenvorgänge (Datum und Nummer der letzten Bestellung über die Getir-App, Getir-Vertikal, über den die Bestellung aufgegeben wurde [Getir, Getir Büyük, Getir Yemek usw.], Bestellinhalt, Anzahl der stornierten Bestellungen und Gesamtzahl der Bestellungen), Sonstiges (Datum und Ort der letzten Anmeldung bei der Getir-App, Getir erteilte Kommunikationsberechtigungen). Für Kuriere, die Getir-Händler beliefern, sind dies: Identität (Vor- und Nachname), Kontaktdaten (Mobilfunknummer), visuelle und akustische Aufzeichnungen (Profilfoto), sonstige Informationen (aktuelle Standortdaten und Getir-Mitarbeiternummer) enthalten sind. Die geschätzte Anzahl der betroffenen Personen beträgt 5098, jedoch sind nicht alle betroffenen Datenkategorien für alle betroffenen Personen relevant. Die betroffenen Personen können sich bezüglich des Verstoßes per E-Mail an kisiselveriler@getir.com oder unter der Adresse Etiler Mah. Tanburi Ali Efendi Sok. Maya Residences Sitesi, T Blok, No:13 İç Kapı NO:334 Beşiktaş/İstanbul.
ÖFFENTLICHE BEKANNTMACHUNGEN
Öffentliche Bekanntmachung über personenbezogene Daten, die von politischen Parteien und unabhängigen Kandidaten im Rahmen von Wahlaktivitäten verarbeitet werden
10. März 2023, Nr. 32128, Wiederholte Veröffentlichung im Amtsblatt In Übereinstimmung mit Artikel 116 der Verfassung der Republik Türkei wurde mit dem Präsidialbeschluss Nr. 2023/121, veröffentlicht im Amtsblatt Nr. 32128 vom 10. März 2023, die Wiederholung der Parlaments- und Präsidentschaftswahlen in der Türkei beschlossen, und gemäß dem entsprechenden Präsidialbeschluss wurde der Prozess zur Organisation der Wahlen offiziell eingeleitet.
Im Rahmen der Wahlaktivitäten werden verschiedene personenbezogene Daten verarbeitet. In Artikel 3 des KVKK wird der Datenverantwortliche definiert, und in diesem Zusammenhang verarbeiten politische Parteien gemäß den einschlägigen Gesetzen, insbesondere dem Gesetz Nr. 2820, personenbezogene Daten im Rahmen von Vorgängen wie Gründung, Mitgliedschaft, Festlegung von Kandidaten für Wahlen, Wahl der zuständigen Organe und deren Meldung an die zuständigen Behörden usw. Daher gehören politische Parteien aufgrund der von ihnen durchgeführten Aktivitäten zu den Datenverantwortlichen im Sinne des KVKK, was die von ihnen verarbeiteten personenbezogenen Daten betrifft.
Bei der Verarbeitung personenbezogener Daten durch politische Parteien und unabhängige Kandidaten müssen die in Artikel 5 des KVKK unter dem Titel „Bedingungen für die Verarbeitung personenbezogener Daten” und in Artikel 6 unter dem Titel „Bedingungen für die Verarbeitung besonderer personenbezogener Daten” genannten Bedingungen für die Datenverarbeitung je nach Art der zu verarbeitenden personenbezogenen Daten eingehalten werden. Zu diesem Thema hat die Behörde einen Informationsvermerk erstellt, und es ist wichtig, dass bei der Verarbeitung personenbezogener Daten im Rahmen von Wahlprozessen die entsprechenden Bestimmungen eingehalten werden.
Öffentliche Bekanntmachung über die elektronische Übermittlung von Beschwerden, die in Vertretung eingereicht werden
In Artikel 15 des KVKK heißt es: „Der Ausschuss führt auf Beschwerde hin oder von Amts wegen, wenn er von einem Verstoß Kenntnis erlangt, die erforderlichen Untersuchungen in den in seinen Zuständigkeitsbereich fallenden Angelegenheiten durch.“ In diesem Zusammenhang werden die bei der Behörde eingegangenen Beschwerden vom Ausschuss abgeschlossen. Derzeit können Beschwerden sowohl persönlich, per Post oder per Kurier an den Ausschuss übermittelt werden als auch elektronisch über das unter www.kvkk.gov.tr verfügbare „Beschwerdeformular“.
In diesem Zusammenhang wurde das „Beschwerdemodul“-System zum 27.03.2023 aktualisiert, damit Beschwerden, die in Vertretung eingereicht werden, schneller und effektiver an die Behörde weitergeleitet und verfolgt werden können. Das Beschwerdemodul ist über einen Internetlink erreichbar.
Die oben genannten Ankündigungen wurden am 23. März und 27. März vom Ausschuss der Öffentlichkeit mit Respekt vorgelegt.
ZUSAMMENFASSUNGEN DER BESCHLÜSSE DES AUSSCHUSSES
Um mit der Geschwindigkeit der Datenwelt Schritt halten zu können, waren die wichtigsten Quellen die Grundsatzbeschlüsse des Ausschusses und die Zusammenfassungen der Beschlüsse zu Verwaltungsstrafen. Die Gesetzgebung wurde in Übereinstimmung mit diesen Entscheidungen weitgehend gestaltet, und neben vielen Verfahren und Grundsätzen wurden hier auch Begriffe und Ausdrücke aus der Welt der Europäischen Datenschutz-Grundverordnung aufgeführt. In Artikel 22 des KVKK sind die Aufgaben und Befugnisse des Ausschusses aufgeführt, und die Verbindlichkeit der Zusammenfassungen der Entscheidungen basiert auf dieser Bestimmung.
Zusammenfassung der Entscheidung Nr. 2023/134 der Datenschutzbehörde über TikTok Pte. Ltd.
In Bezug auf die TikTok-Anwendung wurde aufgrund von Beschwerden, wonach die ausdrückliche Einwilligung nicht ordnungsgemäß im Sinne der KVKK eingeholt wurde, Unregelmäßigkeiten bei der Erhebung und Speicherung personenbezogener Daten vorliegen und die Software zahlreiche Sicherheitslücken aufweist, gemäß Artikel 15/1 der KVKK eine von Amts wegen durchgeführte Untersuchung eingeleitet.
Vor der Aktualisierung der Datenschutzrichtlinie von TikTok im Januar 2021 stellte die Tatsache, dass Profile standardmäßig für alle sichtbar waren und keine Einschränkungen hinsichtlich der Interaktion bestanden, ein Risiko für den Zugriff auf die Daten von Nutzern einer sensiblen Altersgruppe dar. Außerdem wurde festgestellt, dass keine ausreichenden Maßnahmen zur Ermittlung und Minderung der Risiken für die Nutzer getroffen wurden und dass die persönlichen Daten von Kindern unter 13 Jahren, die die App nutzen, angezeigt werden und ohne die Zustimmung der Eltern Daten über Kinder gesammelt werden, was negative Folgen für die Kinder haben kann, die die App nutzen.
In der Datenschutzerklärung auf der Website von TikTok werden zwar alle in Artikel 5 des KVKK genannten Verarbeitungsbedingungen aufgeführt, es werden jedoch keine klaren Angaben dazu gemacht, welche personenbezogenen Daten zu welchem Zweck und auf Grundlage welcher Verarbeitungsbedingungen verarbeitet werden. Es wird festgestellt, dass der für die Datenverarbeitung Verantwortliche gegen die in Artikel 4 des KVKK 4 genannten Grundsätze „Verarbeitung für bestimmte, eindeutige und rechtmäßige Zwecke” und „Verarbeitung in Verbindung mit dem Verarbeitungszweck, begrenzt und angemessen” verstoßen worden sei.
Bei der Einholung der Zustimmung der Nutzer, die ein TikTok-Konto erstellen, im Abschnitt „Nutzungsbedingungen” wurde der entsprechende Text noch nicht ins Türkische übersetzt, den Nutzern wurde der Inhalt nicht in einer leicht verständlichen Form präsentiert und es besteht die Möglichkeit, dass die Nutzer die Nutzungsbedingungen akzeptieren, ohne sie vollständig zu verstehen. Bei der Erstellung eines Kontos auf der Plattform oder während der aktiven Nutzung des Kontos gab es keine Situation, in der eine ausdrückliche Einwilligung eingeholt wurde. Die Datenschutzerklärung von TikTok ist im Wesentlichen ein Text, der zur Erfüllung der Informationspflicht erstellt wurde, aber anstelle eines ausdrücklichen Einwilligungstextes verwendet wird. Daher wurde festgestellt, dass bei der Verarbeitung von Daten auf der Grundlage einer ausdrücklichen Einwilligung gemäß Artikel 5/1-f der Bekanntmachung über die Verfahren und Grundsätze zur Erfüllung der Informationspflicht die Bedingung, dass die ausdrückliche Einwilligung getrennt von der Informationspflicht erfüllt werden muss, nicht erfüllt ist. 5/1-f, wonach die Verarbeitung auf der Grundlage der ausdrücklichen Einwilligung von der Informationspflicht getrennt zu erfüllen ist, nicht erfüllt wurde, dass TikTok keine ausdrückliche Einwilligung der betroffenen Personen für die Verarbeitung unter Verwendung von Cookies zu Profilerstellungszwecken eingeholt hat, und die in diesem Zusammenhang durchgeführte Verarbeitung personenbezogener Daten ebenfalls nicht rechtskonform ist, wurde eine Verwaltungsstrafe in Höhe von 1.750.000 TL verhängt und eine Anweisung erteilt, innerhalb von einem Monat die Übersetzung ins Türkische und innerhalb von drei Monaten die Datenschutzrichtlinie anzupassen.
ENTSCHEIDUNG DES VERFASSUNGSGERICHTSHOFS
In der Entscheidung des Verfassungsgerichtshofs Nr. 2020/67 E. und 2022/139 K. („AYM-Entscheidung”), die am 30.03.2023 im Amtsblatt Nr. 32148 veröffentlicht wurde, wurden einige Bewertungen in Bezug auf personenbezogene Daten vorgenommen, auf die die Wettbewerbsbehörde im Rahmen ihrer Befugnisse zur Durchführung von Vor-Ort-Prüfungen zugreifen kann. In der AYM-Entscheidung wird festgestellt, dass entgegen den Datenschutzbestimmungen auch Daten von Unternehmen, die als juristische Personen gelten, unter das Recht auf Schutz personenbezogener Daten fallen.
Die Befugnis der Wettbewerbsbehörde, Kopien und physische Exemplare aller Daten und Dokumente von Unternehmen, die im Juni 2020 vorgelegt wurden, zu erhalten, wurde mit Stimmenmehrheit für vereinbar mit den Datenschutzbestimmungen befunden.
In der Entscheidung des Verfassungsgerichtshofs wurde über die Verfassungsbeschwerde entschieden, die mit der Begründung eingereicht worden war, dass einige Bestimmungen des Gesetzes Nr. 7246, das Änderungen des Gesetzes Nr. 4054 über den Schutz des Wettbewerbs („RKHK“) vorsieht, gegen die Verfassung verstoßen. Die Verfassungsbeschwerde wurde zurückgewiesen, ebenso wie die Forderung nach Aufhebung des Abschnitts in Artikel 9/1 des RKHK, der strukturelle und verhaltensbezogene Maßnahmen regelt, und die Forderung nach Aufhebung des Abschnitts in Artikel 15/1/a des RKHK, der die Durchführung von Vor-Ort-Prüfungen regelt. 9/1 des RKHK, der strukturelle und verhaltensbezogene Maßnahmen regelt, sowie die Aufhebung des Abschnitts in Art. 15/1/a des RKHK, der die Überprüfung vor Ort regelt, und die Aufhebung von Art. 34 des RKHK, der den Status der Mitarbeiter der Wettbewerbsbehörde regelt, sowie von Art. 6 des RKHK (vorläufig) abgelehnt.
Der Hauptgrund für den Antrag auf Aufhebung des Abschnitts in RKHK Art. 15/1/a war, dass im Rahmen des Abschnitts in RKHK Art. 15/1/a ohne Einschränkungen das Kopieren und Anfertigen von Kopien aller Arten von Dokumenten von Unternehmen ermöglicht wurde, während dieses Vorgangs keine Bedingung hinsichtlich der Anwesenheit eines Vertreters des betreffenden Unternehmens vorgesehen ist und die Regelung, die Unternehmen Zugang zu Daten über Geschäftsgeheimnisse und ihren Kundenkreis gewährt, keine Garantien hinsichtlich der Erhebung und Verarbeitung personenbezogener Daten enthält, was auch nicht mit dem Grundsatz der Bestimmtheit vereinbar und unverhältnismäßig ist.
Zur Feststellung wettbewerbswidriger Verhaltensweisen oder Handlungen auf dem Markt sieht Art. 15/ 1/a des RKHK, der die Beschlagnahme von Kopien und physischen Mustern von Büchern, Dokumenten, Aufzeichnungen und Daten vorsieht, die als Beweismittel dienen, um wettbewerbswidrige Verhaltensweisen oder Transaktionen auf dem Markt aufzudecken, entspricht den Bestimmungen des KVKK zum Schutz personenbezogener Daten, wie dem Recht auf Information, dem Recht auf Zugang, dem Recht auf Auskunft darüber, ob die Daten für den vorgesehenen Zweck verwendet werden, und dem Recht auf Gewährleistung der Datensicherheit. In Anbetracht dessen, dass Unternehmen und Unternehmensverbänden keine übermäßige Belastung auferlegt wird, wurde entschieden, dass die Bestimmung in Artikel 15/1/a des RKHK keine unverhältnismäßige Beeinträchtigung darstellt und das Recht auf Schutz personenbezogener Daten nicht unangemessen einschränkt, sodass sie nicht gegen die Verfassung verstößt.
In den Gegenstimmen zu diesem Punkt wurden wichtige Feststellungen getroffen.
Da in Art. 15/1/a RKHK die Befugnis zur Anfertigung von Kopien und physischen Abbildern personenbezogener Daten eingeräumt wird, kommt der Existenz von Garantien gegen den willkürlichen Gebrauch dieser Befugnis noch größere Bedeutung zu; es muss festgelegt werden, wie die zu prüfenden personenbezogenen Daten und Dokumente verwendet werden, wie lange sie aufbewahrt werden, ob die Betroffenen die Möglichkeit haben, gegen diese Informationen Einspruch zu erheben, ob die Informationen nach Ablauf der Frist gelöscht werden und welches Verfahren anzuwenden ist, sowie keine Regelung darüber enthalten, wie eine Kontrolle zur Verhinderung des Missbrauchs der Befugnis durchgeführt werden soll.