Datenschutz- und Compliance-Bulletin – März 2025
Das Gesetz zum Schutz personenbezogener Daten Nr. 6698 („KVKK“) und die sekundären Rechtsvorschriften sind seit ihrem Inkrafttreten bis heute ein häufig aktualisiertes und lebendiges Recht.
Nicht nur das KVKK und die in Verbindung mit dem KVKK in Kraft getretenen sekundären Vorschriften, sondern auch die Beschlüsse, Grundsatzbeschlüsse und Zusammenfassungen der Beschlüsse der Datenschutzbehörde („Behörde“) legen zahlreiche Verfahren und Grundsätze im Bereich des Datenschutzes fest. Daher zielen unsere monatlichen Newsletter darauf ab, die Betroffenen über die Praktiken der Kommission zu informieren und sie auf dem Laufenden zu halten.
Im März 2025 wurden auf der Website der Datenschutzbehörde („Behörde”) unter der Domain www.kvkk.gov.tr drei Meldungen über Datenschutzverletzungen veröffentlicht.
MELDUNGEN ÜBER DATENSCHUTZVERLETZUNGEN
In Artikel 12/5 der KVKK mit dem Titel „Verpflichtungen in Bezug auf die Datensicherheit” heißt es: „Wenn verarbeitete personenbezogene Daten auf unrechtmäßige Weise von anderen Personen erlangt werden, muss der für die Datenverarbeitung Verantwortliche dies unverzüglich den Betroffenen und der Behörde melden. Die Behörde kann diesen Vorfall gegebenenfalls auf ihrer Website oder auf andere Weise, die sie für angemessen hält, bekannt geben.”
Anadolu Anonim Türk Sigorta Şirketi
Gemäß der Meldung einer Datenverletzung, die von Anadolu Anonim Türk Sigorta Şirketi, dem für die Datenverarbeitung Verantwortlichen, an die Kommission übermittelt wurde, ereignete sich die Verletzung zwischen dem 25.02.2025 und dem 26.02.2025 und wurde am 26.02.2025 festgestellt. innerhalb der Datenverantwortlichen eine Entwicklung vorgenommen wurde, die die automatische Übermittlung von Dokumenten zu Policen bei deren Erstellung ermöglicht, und dass diese Entwicklung am 25.02.2025 in Betrieb genommen wurde, wodurch etwa zwei Tage lang sowohl Übermittlungen zu individuellen Gesundheitsprodukten als auch zu Gruppen-Gesundheitsprodukten automatisch erfolgten, wobei die Krankheitsdaten (Krankheitsbescheinigungen) einiger Kunden, die Gruppen-Gesundheitsprodukte erworben hatten, obwohl diese in der Police nicht enthalten waren, an die Versicherungsgesellschaften dieser Kunden übermittelt wurden, wodurch es zu einer Verletzung kam. Es wurde angegeben, dass es sich bei der von der Datenverletzung betroffenen Personengruppe um Kunden handelt, dass 242 Personen von der Verletzung betroffen sind und dass die von der Verletzung betroffenen personenbezogenen Daten Vorname, Nachname, Versicherungsadresse, Policennummer und Gesundheitsdaten sind.
Turknet İletişim Hizmetleri Anonim Şirketi
Gemäß der Meldung der Datenverletzung, die von Turknet İletişim Hizmetleri Anonim Şirketi, dem für die Datenverarbeitung Verantwortlichen, an die Behörde übermittelt wurde, begann die Verletzung am 26.02.2025 und wurde am 11.03.2025 durch eine öffentlich zugängliche Beschwerde bei der BTK festgestellt. Die Verletzung erfolgte infolge eines SQL-Injection-Angriffs auf einen der Dienste des Datenverantwortlichen. Die von der Verletzung betroffene Personengruppe sind Abonnenten/Mitglieder. Bei den von der Verletzung betroffenen personenbezogenen Daten handelt es sich um Vor- und Nachname, Telefonnummer, Abonnentennummer, türkische Identitätsnummer, Turknet-Abonnementdaten, Adresse und statische IP-Daten der Kunden. Bei den ersten Untersuchungen des Datenverantwortlichen konnte anhand der entsprechenden Protokolle festgestellt werden, dass die Daten von 244.396 Nutzern offengelegt wurden. Der Datenverantwortliche setzt seine detaillierten Untersuchungen fort. Die betroffenen Personen können sich unter der Nummer 0850 288 80 80 / 0850 344 28 18 oder unter der Postanschrift „Fulya, Büyükdere Cd. Torun Center No: 80 A Blok No: 74 A 34394 Şişli/İstanbul” Informationen über die Verletzung erhalten können.
Bilfen Eğitim Kurumları Anonim Şirketi
Laut der Meldung über die Datenverletzung, die der Kommission von Bilfen Eğitim Kurumları Anonim Şirketi in seiner Eigenschaft als Datenverantwortlicher übermittelt wurde, Die Verletzung begann am 12.03.2025 und wurde am selben Tag durch eine Nachricht festgestellt, die von Cyberangreifern an die WhatsApp-Hotline des Datenverantwortlichen gesendet wurde. Die von der Verletzung betroffenen Datenkategorien sind: Identitätsdaten, Kommunikationsdaten, Transaktionssicherheitsdaten, Berufserfahrungsdaten, visuelle und akustische Aufzeichnungen sowie gesundheitsbezogene Daten, die zu den besonderen personenbezogenen Daten gehören.
Die Zahl der von der Verletzung betroffenen Personen beträgt 24.061. Bei den betroffenen Personen handelt es sich um Schüler, Eltern von Schülern und Mitarbeiter. Die betroffenen Personen können über die Website bilfen.com.tr des Datenverantwortlichen Informationen zur Datenverletzung abrufen und über die E-Mail-Adresse kvkk@bilfen.com weitere Informationen zur Datenverletzung erhalten.
Kommentar von GRC LEGAL
Der dem Ausschuss von der Anadolu Anonim Türk Sigorta Şirketi gemeldete Datenverstoß hat erneut gezeigt, wie wichtig der Schutz aller personenbezogenen Daten, insbesondere sensibler personenbezogener Daten, ist. Die Sicherheit personenbezogener Daten muss nicht nur durch technische Maßnahmen, sondern auch durch richtig konzipierte Compliance-Prozesse und wirksame Kontrollmechanismen gewährleistet werden. Insbesondere vor der Einführung neuer Entwicklungen in einer Live-Umgebung ist es von großer Bedeutung, Datenverarbeitungsszenarien umfassend zu testen und Datenaustauschprozesse sorgfältig zu überwachen.
Um solche Verstöße zu verhindern, müssen die systemischen Kontrollen verstärkt, die Mechanismen zur Zugriffsberechtigung verschärft und regelmäßige Sicherheitstests für alle Prozesse zur Verarbeitung personenbezogener Daten durchgeführt werden. Darüber hinaus tragen Schulungen zur Sensibilisierung der Mitarbeiter sowie die kontinuierliche Überprüfung prozessbasierter Kontrollen durch interne Revisionsabteilungen dazu bei, Verstöße zu verhindern, bevor sie auftreten. Der Schutz personenbezogener Daten ist nicht nur eine Compliance-Verpflichtung, sondern auch ein grundlegender Bestandteil des Unternehmensvertrauens und nachhaltiger Geschäftsprozesse.
BEKANNTMACHUNG
Bekanntmachung zur Verpflichtungserklärung
Die drei Verpflichtungserklärungsanträge, die von der VF Ege Giyim Sanayi ve Ticaret Limited Şirketi bei der Behörde eingereicht wurden und die die Übermittlung personenbezogener Daten ins Ausland betreffen, wurden vom Ausschuss gemäß Artikel 9/4-ç des KVKK geprüft und für ordnungsgemäß befunden, sodass die betreffenden Datenübermittlungen am 12.03.2025 genehmigt wurden.
LEITFADEN
Leitfaden zu den bei der Verarbeitung biometrischer Daten zu beachtenden Punkten
Der im September 2021 von der Behörde veröffentlichte „Leitfaden zu den bei der Verarbeitung biometrischer Daten zu beachtenden Punkten” („Leitfaden”) wurde im März 2025 aktualisiert.
Wie im Leitfaden dargelegt, sind biometrische Daten Daten, die durch technische Verfahren auf der Grundlage physischer, physiologischer oder verhaltensbezogener Merkmale gewonnen werden, die eine Person auf einzigartige und unverwechselbare Weise identifizieren oder ihre Identität bestätigen. Daten wie Fingerabdrücke, Gesichtserkennung, Netzhaut- und Iris-Scans, Handflächenabdrücke, Gangart, Tastaturanschlag und sogar die Fahrweise gehören zur Kategorie der biometrischen Daten. Die KVKK betrachtet biometrische Daten als „besonders sensible personenbezogene Daten” und unterwirft deren Verarbeitung strengen Vorschriften. Daher müssen bestimmte Grundsätze befolgt werden, um die rechtliche Konformität bei der Verarbeitung biometrischer Daten zu gewährleisten.
In diesem Zusammenhang dürfen die Verarbeitungsaktivitäten vor allem die Grundrechte und -freiheiten des Einzelnen nicht beeinträchtigen. Da das Recht auf Schutz personenbezogener Daten ein durch die Verfassung garantiertes Grundrecht ist, müssen auch biometrische Datenverarbeitungsprozesse im Rahmen der Rechtskonformität bewertet werden. Die Verarbeitung biometrischer Daten muss dem angestrebten Zweck angemessen sein und als geeignetes Mittel zur Erreichung dieses Zwecks ausgewählt werden.
Wenn alternative Methoden zur Verfügung stehen, wird der Prozess der biometrischen Datenverarbeitung unverhältnismäßig. So wird beispielsweise argumentiert, dass die Verwendung biometrischer Daten zur Kontrolle des Ein- und Ausgangs von Fitnessstudio-Mitgliedern nicht erforderlich ist und stattdessen Methoden wie Kartenzugangssysteme bevorzugt werden sollten, bei denen weniger personenbezogene Daten verarbeitet werden und die weniger in die Rechte der Betroffenen eingreifen. Es wird jedoch auch in Betracht gezogen, dass in Einrichtungen wie Kernkraftwerken, die ein hohes Maß an Sicherheit erfordern, Methoden wie die biometrische Identifizierung eingesetzt werden können.
An dieser Stelle muss jeder konkrete Fall einzeln geprüft werden, um festzustellen, ob die Verarbeitung biometrischer Daten mit dem Grundsatz der Verhältnismäßigkeit vereinbar ist. Die verwendete Methode muss in einem angemessenen Verhältnis zum angestrebten Ziel stehen, da andernfalls eine übermäßige Datenverarbeitung die Persönlichkeitsrechte des Einzelnen verletzen könnte.
Einer der wichtigsten Punkte, die bei der Verarbeitung biometrischer Daten zu beachten sind, ist, dass die Daten nur so lange gespeichert werden, wie es erforderlich ist. Wenn der Zweck der Datenverarbeitung wegfällt, müssen die biometrischen Daten unverzüglich vernichtet werden. Die für die Datenverarbeitung Verantwortlichen müssen den betroffenen Personen gemäß Art. 10 des KVKK in einer dem Verarbeitungszweck entsprechenden Weise Aufklärungspflichten erfüllen. In Fällen, in denen die ausdrückliche Zustimmung der betroffenen Personen erforderlich ist, muss sichergestellt werden, dass diese Zustimmung auf freiem Willen beruht und nicht unter Zwang oder Druck erteilt wird. In diesem Zusammenhang ist es beispielsweise wichtig, dass ein Arbeitnehmer, der seinem Arbeitgeber keine biometrischen Daten zur Verfügung stellen möchte, keine Sanktionen zu befürchten hat. In Fällen, in denen dem Arbeitnehmer die Möglichkeit, seine Einwilligung zu verweigern, nicht wirksam angeboten wird oder die Verweigerung der Einwilligung für den Arbeitnehmer negative Folgen haben kann, wird davon ausgegangen, dass die Einwilligung nicht auf freiem Willen beruht.
Darüber hinaus müssen technische und administrative Maßnahmen zur Sicherheit biometrischer Daten getroffen werden. Zu den technischen Maßnahmen gehören die Speicherung biometrischer Daten in Cloud-Systemen ausschließlich mit kryptografischen Verfahren, die Speicherung der ursprünglichen biometrischen Daten in einer Weise, die keine Wiederherstellung ermöglicht, und der Schutz der Systeme vor unbefugtem Zugriff. Der für die Datenverarbeitung Verantwortliche muss vor der Einrichtung des Systems und nach jeder Änderung Tests mit synthetischen (nicht echten) Daten durchführen und die für Testzwecke verwendeten biometrischen Daten spätestens nach Abschluss der Tests löschen. Es müssen Maßnahmen getroffen werden, die den Systemadministrator bei unbefugtem Zugriff alarmieren oder die biometrischen Daten automatisch löschen. Gleichzeitig müssen die Hardware und Software der biometrischen Datensysteme regelmäßig getestet, die verwendete Software auf dem neuesten Stand gehalten und vorzugsweise Open-Source-Software verwendet werden.
Im Rahmen der administrativen Maßnahmen sollten alternative Systeme für Personen bereitgestellt werden, die keine biometrischen Daten verwenden können, und es sollte ein Aktionsplan für den Fall erstellt werden, dass die biometrische Überprüfung fehlschlägt. Der Zugriff autorisierter Personen auf biometrische Datensysteme sollte kontrolliert und dokumentiert werden. Darüber hinaus sollte sichergestellt werden, dass das an der Verarbeitung biometrischer Daten beteiligte Personal spezielle Schulungen erhält, die dokumentiert werden müssen. Es sollte ein offizielles Meldeverfahren eingerichtet werden, damit die Mitarbeiter mögliche Sicherheitslücken in den Systemen und Diensten melden können. Für den Fall einer möglichen Datenverletzung sollten Notfallverfahren vorbereitet und alle betroffenen Parteien informiert werden.
Zusammenfassend lässt sich sagen, dass die Verarbeitung biometrischer Daten in Übereinstimmung mit den rechtlichen und technischen Anforderungen erfolgen muss. Die für die Datenverarbeitung Verantwortlichen sollten biometrische Daten nur dann verarbeiten, wenn dies wirklich notwendig ist, und vorrangig alternative Methoden in Betracht ziehen. Gleichzeitig sind sie verpflichtet, alle technischen und administrativen Maßnahmen zu ergreifen, die für die Gewährleistung der Datensicherheit und den Schutz der Privatsphäre erforderlich sind. Da die Vorschriften zur Verarbeitung biometrischer Daten den Schutz der Grundrechte und -freiheiten des Einzelnen zum Ziel haben, ist es von großer Bedeutung, bei diesen Prozessen mit Sensibilität vorzugehen.
AKTUELLE NACHRICHTEN
Änderungen der Datenschutzgesetzgebung: Neue Dynamiken und Workshop zur Einhaltung der Gesetzgebung
Am 14. März 2025 veranstaltete die Institution und die Vereinigung für Rechtskonformität den „Workshop zu Änderungen der Datenschutzgesetzgebung: Neue Dynamiken und Rechtskonformität” („Workshop”) an der Boğaziçi-Universität. Der Vorsitzende der Institution, Faruk Bilir, Gürdoğan Yurtsever, Vorsitzender des Verwaltungsrats der Vereinigung für Rechtskonformität, Burak Şenol, stellvertretender Vorsitzender des Verwaltungsrats der Vereinigung für Rechtskonformität, Dr. Osman Gazi Güçlütürk, Dozent an der Galatasaray-Universität, Assoc. Prof. Dr. Aslı Deniz Helvacıoğlu, Dozentin an der Boğaziçi-Universität, und KVK-Experten als Vertreter der Institution.
Die leitende Anwältin unseres Teams, Zeynep Naz Topaloğlu, Mitglied der Arbeitsgruppe für Datenschutz der Vereinigung für Rechtskonformität, stellte Fragen an die Datenschutzfachleute, während Melike İşgören, Anwältin unseres Teams und Mitglied der Arbeitsgruppe für Datenschutz der Vereinigung für Rechtskonformität, die Moderation der Veranstaltung übernahm.
Erklärungen des Vorsitzenden Faruk Bilir
Der Vorsitzende der Behörde, Faruk Bilir, gab Erklärungen zu den aktuellen Entwicklungen im Bereich des Schutzes personenbezogener Daten ab und traf wichtige Bewertungen. In diesem Zusammenhang wies er darauf hin, dass der Behörde 1932 Standardverträge vorgelegt worden seien und dass bis März 2025 drei Anträge auf Verpflichtungserklärungen zur Übermittlung personenbezogener Daten ins Ausland genehmigt worden seien. Bilir erklärte, dass die Standardvertragsprozesse im Allgemeinen reibungslos verliefen und die Meldungen fristgerecht erfolgten, und dass in diesem Zusammenhang noch keine Sanktionen verhängt worden seien. Er betonte jedoch, dass Standardverträge in türkischer und englischer Sprache abgefasst werden könnten, dass jedoch der türkische Text maßgeblich sei und beide Texte unterzeichnet werden müssten.
Bilir erklärte, dass die Anforderungen und Verpflichtungen im Leitfaden erläutert und mit Beispielen untermauert werden, und betonte, dass die Leitfäden zwar nicht unmittelbar verbindlich sind, aber die Sichtweise der Kommission widerspiegeln und daher berücksichtigt werden sollten.
Eine wichtige Feststellung war, dass die Formulierung „bei Bedarf aktuell” in Artikel 4 des KVKK den Datenverantwortlichen zwar keine Verpflichtung zu regelmäßigen Aktualisierungen auferlegt, diese Verpflichtung jedoch im Falle eines Schadens für die betroffene Person zum Tragen kommen kann. In seiner Rede ging er auch auf die Beziehungen zwischen Datenverarbeitern und Datenverantwortlichen ein und erklärte, dass Datenverarbeiter, die sich nicht an die Anweisungen und Vorschriften des Datenverantwortlichen halten, sich in Datenverantwortliche verwandeln und mit einer Geldstrafe belegt werden können. Er betonte jedoch, dass Datenverarbeiter keine Anweisungen des Datenverantwortlichen benötigen, um die Standardvertragsanzeige zu machen.
Faruk Bilir gab in seinen Erklärungen bekannt, dass der Leitfaden für E-Geld-Institute fertiggestellt sei und in den kommenden Tagen veröffentlicht werde.
Erklärungen der KVK-Experten
In der zweiten Sitzung wurden den KVK-Experten, die die Behörde auf dem Workshop vertreten haben, Fragen gestellt, die nach den Gesetzesänderungen in der Anwendung und Praxis zu Unklarheiten geführt haben und viel diskutiert wurden, und es wurden Antworten mit detaillierten Bewertungen gegeben.
Insbesondere im Zusammenhang mit Fragen zum Transfer personenbezogener Daten ins Ausland haben die KVK-Experten darauf hingewiesen, dass die ausdrückliche Einwilligung gemäß Artikel 9 des KVKK nur im Rahmen eines gelegentlichen Datentransfers verwendet werden kann und dass der Begriff „gelegentlich” einen nicht systematischen und nicht zum normalen Geschäftsablauf gehörenden Datentransfer bezeichnet. Es wurde jedoch betont, dass auch in diesen Fällen die betroffene Person über mögliche Risiken informiert werden muss.
Die Experten haben erklärt, dass eine gelegentliche Übermittlung ein- oder mehrmals erfolgen kann, jedoch nicht im Rahmen der normalen Aktivitäten liegen darf, und dass der für die Datenverarbeitung Verantwortliche diese Unterscheidung unter Berücksichtigung der Art seiner Aktivitäten treffen und den Prozess auf der Grundlage des konkreten Falls interpretieren muss.
Es wurde darauf hingewiesen, dass die Rechtsgrundlage für Standardverträge in den Artikeln 5 und 6 des KVKK zu finden ist, dass der Rechtsgrund die Datenverarbeitungsbedingung ist und dass in Standardverträgen klar angegeben werden muss, auf welcher Verarbeitungsbedingung die Übermittlung basiert. Es wurde betont, dass gemäß den Rechtsvorschriften der Europäischen Union eine Störung als Ausnahmefall zu betrachten ist und eng ausgelegt werden muss, und dass es in diesem Zusammenhang sinnvoller ist, auf geeignete Garantien zurückzugreifen.
Experten weisen darauf hin, dass die Standardvertragsmeldungen begonnen haben und der entsprechende Leitfaden im Januar 2025 veröffentlicht wurde, wobei die Parteien nur einen begrenzten Teil der Standardverträge ausfüllen müssen. Im Leitfaden wird festgelegt, dass die Parteien keine Änderungen vornehmen dürfen und dass die gemäß dem KVKK und der Verordnung über die Verfahren und Grundsätze für die Übermittlung personenbezogener Daten ins Ausland erstellten Standardverträge inhaltlich keiner besonderen Prüfung unterzogen werden, wobei das Hauptziel dieses Verfahrens die Erleichterung der Datenübermittlung ist.
Es wird darauf hingewiesen, dass bei Feststellung von Mängeln oder Fehlern in den gemeldeten Standardverträgen durch Korrespondenz mit der Partei, die die Meldung an die Behörde vorgenommen hat, Korrekturen vorgenommen werden können, während bei Ergänzungen oder Streichungen im Standardvertrag oder bei fehlenden Unterschriften der Parteien eine eingehende Prüfung durchgeführt und anschließend eine Entscheidung getroffen wird.
Die Experten weisen darauf hin, dass für jedes Dokument in einer Fremdsprache eine notariell beglaubigte Übersetzung vorgelegt werden muss, und betonen, dass die Beglaubigung offizieller Dokumente bei den Auslandsvertretungen erfolgen muss. In Ländern, mit denen ein bilaterales Abkommen besteht, ist keine Apostille erforderlich, und in diesem Fall reicht eine notariell beglaubigte Beglaubigung aus.
Ein weiterer wichtiger Punkt ist, dass es in Ländern, in die die betroffenen Personen Daten übertragen können, nicht ausreicht, nur eine Datenschutzbehörde zu haben, sondern dass auch angemessene Garantien gegeben und Rechtsbehelfe geschaffen werden müssen.
Es wurde betont, dass eine Transfer-Folgenabschätzung obligatorisch ist, wobei als Beispiel die vom Europäischen Datenschutzausschuss veröffentlichten Dokumente zu zusätzlichen Garantien herangezogen werden können. Außerdem wurde unterstrichen, dass die Unabhängigkeit der Datenschutzbehörden, die Frage, ob sie Sanktionen verhängen oder nicht, der Umfang ihrer Befugnisse und die Frage, ob die Rechte ausländischer Staatsangehöriger geschützt werden, berücksichtigt werden müssen.