Richtlinie zur Aufbewahrung und Löschung personenbezogener Daten

Die von MSc. Dt. Aykut Koşun angebotenen zahnmedizinischen Leistungen werden durch AK 212 Bayrampaşa Diş Sağlığı Hizmetleri Sanayi ve Ticaret Limited Şirketi erbracht.

Diese Richtlinie zur Aufbewahrung und Löschung personenbezogener Daten legt die Verfahren und Grundsätze für die Aufbewahrung und Löschung personenbezogener Daten fest, die von AK 212 Bayrampaşa Diş Sağlığı Hizmetleri Sanayi ve Ticaret Limited Şirketi in seiner Eigenschaft als Verantwortlicher gemäß den geltenden Rechtsvorschriften verarbeitet werden.

1. Einleitung

1.1 Zweck

Diese Richtlinie zur Aufbewahrung und Löschung personenbezogener Daten („Richtlinie“) wurde im Rahmen der geltenden Rechtsvorschriften erstellt. AK 212 Bayrampaşa Diş Sağlığı Hizmetleri Sanayi ve Ticaret Limited Şirketi (nachfolgend als „Unternehmen“ bezeichnet) setzt diese Richtlinie in Übereinstimmung mit den auf nationaler Ebene geltenden grundlegenden Prinzipien zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten um.

Die Richtlinie legt den Rahmen und die Grundsätze für die nach den geltenden Rechtsvorschriften erforderlichen Löschungs-, Vernichtungs- und Anonymisierungsmaßnahmen fest.

Artikel 7 Absatz 3 des Gesetzes zum Schutz personenbezogener Daten („Gesetz“) sieht vor, dass die Verfahren und Grundsätze für die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten durch eine Verordnung geregelt werden.

Auf Grundlage dieser Bestimmung und von Artikel 22 Absatz 1 Buchstabe e des Gesetzes wurde die Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten („Verordnung“) vom Ausschuss für den Schutz personenbezogener Daten („Ausschuss“) ausgearbeitet und am 28. Oktober 2017 im Amtsblatt Nr. 30224 veröffentlicht.

Gemäß der oben genannten Verordnung besteht der Zweck dieser Richtlinie darin, in Übereinstimmung mit der Verordnung die Verfahren und Grundsätze für die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten festzulegen, die vom Unternehmen im Rahmen seiner Tätigkeiten verarbeitet werden.

1.2 Geltungsbereich

Diese Richtlinie umfasst personenbezogene Daten von Mitarbeitern des Unternehmens, Bewerbern, Besuchern, Dritten, mit denen das Unternehmen zusammenarbeitet, sowie Mitarbeitern Dritter, die im Unternehmen tätig sind.

Diese Richtlinie gilt für alle Aufzeichnungsumgebungen, in denen personenbezogene Daten, die sich im Eigentum oder unter der Verwaltung des Unternehmens befinden, verarbeitet werden, sowie für sämtliche Tätigkeiten, bei denen personenbezogene Daten verarbeitet werden.

1.3 Abkürzungen und Definitionen

Begriff	Definition
Empfängergruppe	Die Kategorie natürlicher oder juristischer Personen, an die personenbezogene Daten vom Verantwortlichen übermittelt werden.
Ausdrückliche Einwilligung	Eine auf einen bestimmten Sachverhalt bezogene, auf Information beruhende und freiwillig erteilte Einwilligung.
Anonymisierung	Die Verarbeitung personenbezogener Daten in einer Weise, dass sie unter keinen Umständen einer bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können, auch nicht durch Abgleich mit anderen Daten.
Elektronische Umgebung	Umgebungen, in denen personenbezogene Daten mithilfe elektronischer Geräte erstellt, gelesen, geändert und gespeichert werden können.
Nichtelektronische Umgebung	Alle schriftlichen, gedruckten, visuellen und ähnlichen Umgebungen, die keine elektronischen Umgebungen sind.
Betroffene Person	Die natürliche Person, deren personenbezogene Daten verarbeitet werden.
Löschung, Vernichtung oder Anonymisierung	Die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten.
Gesetz	Gesetz Nr. 6698 zum Schutz personenbezogener Daten.
Personenbezogene Daten	Alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.
Ausschuss	Ausschuss für den Schutz personenbezogener Daten.
Behörde	Behörde für den Schutz personenbezogener Daten.
Auftragsverarbeiter	Eine natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen auf Grundlage der ihr vom Verantwortlichen erteilten Befugnis verarbeitet.
Verantwortlicher	Eine natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet und für die Einrichtung und Verwaltung des Datenaufzeichnungssystems verantwortlich ist.
Verordnung	Die Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten, veröffentlicht im Amtsblatt Nr. 30224 vom 28. Oktober 2017.

2. Verantwortlichkeiten und Aufgabenverteilung

Alle Abteilungen und Mitarbeiter des Unternehmens unterstützen die zuständigen Abteilungen aktiv bei der Umsetzung der im Rahmen dieser Richtlinie getroffenen technischen und organisatorischen Maßnahmen.

Dies umfasst die Schulung und Sensibilisierung der Mitarbeiter, die kontinuierliche Überwachung, die Verhinderung des unrechtmäßigen Zugriffs auf und der unrechtmäßigen Verarbeitung von personenbezogenen Daten sowie die Gewährleistung eines angemessenen Schutzes personenbezogener Daten in allen Umgebungen, in denen sie verarbeitet werden.

Position	Abteilung	Verantwortlichkeiten
IT-Verantwortlicher	Informationstechnologie	Sicherstellung der Einhaltung der Aufbewahrungsfristen, Verwaltung der regelmäßigen Löschungs-, Vernichtungs- und Anonymisierungsprozesse sowie Durchführung der erforderlichen Prüfungen und Kontrollen.
Leitung der Buchhaltung	Buchhaltung	Überwachung der Aufbewahrungsfristen und der sich aus handels- und steuerrechtlichen Vorschriften ergebenden Verpflichtungen zur Aufbewahrung von Büchern und Unterlagen.
Leitung Personalwesen	Personalwesen	Überwachung der Aufbewahrungsfristen für Personaldaten, Durchführung regelmäßiger Löschungs-, Vernichtungs- und Anonymisierungsprozesse sowie Bearbeitung entsprechender Anträge und Anfragen.

3. Aufzeichnungsumgebungen

Personenbezogene Daten werden vom Unternehmen in den nachstehend aufgeführten elektronischen und nichtelektronischen Umgebungen rechtmäßig und sicher aufbewahrt.

Elektronische Umgebungen	Nichtelektronische Umgebungen
Server, Domain, Sicherungs-, E-Mail-, Datenbank-, Web- und Dateifreigabesysteme	Papier
Bürosoftware und Geräte zur Informationssicherheit	Manuelle Datenaufzeichnungssysteme
Mobile Geräte	Schriftliche, gedruckte und visuelle Medien
Optische Datenträger und Wechseldatenträger	Akten und Ordner
Desktop- und Laptop-Computer	Sonstige physische Aufzeichnungsumgebungen

4. Erläuterungen zur Aufbewahrung und Löschung

Das Unternehmen bewahrt die im Rahmen seiner Tätigkeiten verarbeiteten personenbezogenen Daten gemäß dem KVKK und den geltenden Rechtsvorschriften auf und löscht, vernichtet oder anonymisiert diese Daten, soweit dies erforderlich ist.

4.1 Erläuterungen zur Aufbewahrung

Personenbezogene Daten werden für den in den geltenden Rechtsvorschriften vorgeschriebenen Zeitraum oder so lange aufbewahrt, wie dies für die Zwecke erforderlich ist, für die sie verarbeitet werden, sofern die Daten für diese Zwecke relevant, auf das erforderliche Maß beschränkt und verhältnismäßig bleiben.

4.1.1 Rechtliche Gründe für die Aufbewahrung

Das Unternehmen bewahrt die im Rahmen seiner Tätigkeiten verarbeiteten personenbezogenen Daten für die in den geltenden Rechtsvorschriften vorgeschriebenen Zeiträume auf.

Steuerverfahrensgesetz Nr. 213
Grundgesetz über Gesundheitsdienste Nr. 3359
Arbeitsgesetz Nr. 4857
Gesetz Nr. 5510 über Sozialversicherung und allgemeine Krankenversicherung
Türkisches Obligationengesetz Nr. 6098
Türkisches Handelsgesetzbuch Nr. 6102
Gesetz Nr. 6331 über Arbeitsschutz und Arbeitssicherheit
Gesetz Nr. 6698 zum Schutz personenbezogener Daten
Verordnung über private Gesundheitseinrichtungen, die Leistungen im Bereich der Mund- und Zahngesundheit erbringen
Patientenrechteverordnung
Sonstige geltende Rechtsvorschriften und derzeit in Kraft befindliche untergesetzliche Regelungen

4.1.2 Verarbeitungszwecke, die eine Aufbewahrung erfordern

Verwaltung von Informationssicherheitsprozessen
Sicherstellung, dass die Tätigkeiten in Übereinstimmung mit den geltenden Rechtsvorschriften durchgeführt werden
Verwaltung von Finanz- und Buchhaltungsprozessen
Gewährleistung der Sicherheit der Räumlichkeiten
Verwaltung von Kommunikationsaktivitäten
Verwaltung von Personalprozessen
Verwaltung von Arbeitsschutz- und Arbeitssicherheitsmaßnahmen
Verwaltung der Beschaffung von Waren und Dienstleistungen
Verwaltung vertraglicher Prozesse
Bearbeitung und Nachverfolgung von Anfragen und Beschwerden
Erbringung medizinischer Diagnose-, Behandlungs- und Versorgungsleistungen
Bereitstellung von Informationen an befugte Personen, Institutionen und Organisationen
Verwaltung administrativer und betrieblicher Tätigkeiten

4.2 Gründe für die Löschung, Vernichtung oder Anonymisierung

Personenbezogene Daten werden vom Unternehmen von Amts wegen oder auf Antrag der betroffenen Person unter den folgenden Umständen gelöscht, vernichtet oder anonymisiert.

Änderung oder Aufhebung der Rechtsvorschriften, auf denen die Verarbeitung beruht
Der Zweck, der die Verarbeitung oder Aufbewahrung personenbezogener Daten erforderlich macht, entfällt
Wenn die Verarbeitung ausschließlich auf einer ausdrücklichen Einwilligung beruht und die betroffene Person ihre ausdrückliche Einwilligung widerruft
Ein Antrag der betroffenen Person auf Löschung oder Vernichtung wird angenommen
Die maximale Aufbewahrungsfrist für personenbezogene Daten läuft ab

5. Technische und organisatorische Maßnahmen

Das Unternehmen trifft die erforderlichen technischen und organisatorischen Maßnahmen, um die sichere Aufbewahrung personenbezogener Daten zu gewährleisten, eine unrechtmäßige Verarbeitung und einen unbefugten Zugriff zu verhindern und die rechtmäßige Löschung, Vernichtung oder Anonymisierung sicherzustellen.

5.1 Technische Maßnahmen

Die Netzwerk- und Anwendungssicherheit wird gewährleistet.
In den informationstechnischen Systemen werden Sicherheitsmaßnahmen umgesetzt.
Die Sicherheit der in Cloud-Umgebungen gespeicherten personenbezogenen Daten wird gewährleistet.
Firewalls werden eingesetzt.
Personenbezogene Daten werden sicher gesichert.
Kontrollen von Benutzerkonten und Berechtigungen werden durchgeführt.
Bei Bedarf werden Verschlüsselungsmethoden eingesetzt.
Es werden Maßnahmen zur Verhinderung von Datenverlust umgesetzt.

5.2 Organisatorische Maßnahmen

Zugriffsberechtigungen von Mitarbeitern, die ihre Position wechseln oder das Unternehmen verlassen, werden aufgehoben.
Vertraulichkeitsverpflichtungen werden umgesetzt.
Für physische Umgebungen, in denen personenbezogene Daten aufbewahrt werden, werden Sicherheitsmaßnahmen umgesetzt.
Physische Aufzeichnungsumgebungen werden gegen Feuer, Überschwemmungen und ähnliche externe Risiken geschützt.
Es wird darauf geachtet, dass personenbezogene Daten nur in dem vernünftigerweise erforderlichen Umfang verarbeitet werden.

6. Methoden zur Löschung, Vernichtung und Anonymisierung personenbezogener Daten

Nach Ablauf des in den geltenden Rechtsvorschriften vorgeschriebenen Zeitraums oder der für die Verarbeitungszwecke erforderlichen Aufbewahrungsfrist werden personenbezogene Daten gemäß den geltenden Rechtsvorschriften gelöscht, vernichtet oder anonymisiert.

6.1 Löschung personenbezogener Daten

Datenaufzeichnungsumgebung	Beschreibung
Physische Umgebung	Es werden Schwärzungsverfahren oder sichere Aufbewahrungsmethoden angewendet, die den Zugriff durch die betreffenden Nutzer verhindern.
Server	Die Zugriffsberechtigungen der Nutzer für Daten, deren Aufbewahrungsfrist abgelaufen ist, werden aufgehoben und die betreffenden Daten werden gelöscht.
Datenbanken	Der Zugriff auf die betreffenden Daten wird durch entsprechende Anpassung der Benutzerrollen und Berechtigungen verhindert.
Tragbare Geräte	Der Zugriff der Nutzer auf Dateien und Daten wird verhindert.

6.2 Vernichtung personenbezogener Daten

Datenaufzeichnungsumgebung	Beschreibung
Physische Umgebung	Auf Papier gespeicherte personenbezogene Daten werden durch Schreddern so vernichtet, dass eine Wiederherstellung ausgeschlossen ist.
Elektronische Umgebung	Es werden sichere physische oder softwarebasierte Vernichtungsmethoden eingesetzt, die für das jeweilige Speichermedium geeignet sind und gewährleisten, dass die Daten nicht wiederhergestellt werden können.

6.3 Anonymisierung personenbezogener Daten

Die Anonymisierung personenbezogener Daten bedeutet, dass diese Daten so verarbeitet werden, dass sie auch durch Abgleich mit anderen Daten keiner bestimmten oder bestimmbaren natürlichen Person zugeordnet werden können.

7. Aufbewahrungs- und Löschfristen

Das Unternehmen legt die Aufbewahrungsfristen für personenbezogene Daten, die im Rahmen seiner Tätigkeiten verarbeitet werden, gemäß den geltenden Rechtsvorschriften, dem Verzeichnis der Verarbeitung personenbezogener Daten und den VERBİS-Einträgen fest.

Prozess	Aufbewahrungsfrist	Löschungsfrist
Personalprozesse für Mitarbeiter	15 Jahre nach Ausscheiden des Mitarbeiters	Im ersten sechsmonatigen regelmäßigen Löschungszeitraum nach Ablauf der Aufbewahrungsfrist
Bewerbungsverfahren	1 Jahr ab dem Datum der Bewerbung	Im ersten sechsmonatigen regelmäßigen Löschungszeitraum nach Ablauf der Aufbewahrungsfrist
Vertragsverhältnisse	10 Jahre nach Beendigung des Vertrags	Im ersten sechsmonatigen regelmäßigen Löschungszeitraum nach Ablauf der Aufbewahrungsfrist
Videoüberwachungsaufzeichnungen	30 Tage ab dem Datum der Aufzeichnung	Automatisch nach Ablauf der Aufbewahrungsfrist
Buchhaltungs- und Finanzprozesse	10 Jahre ab dem Datum der Aufzeichnung	Im ersten sechsmonatigen regelmäßigen Löschungszeitraum nach Ablauf der Aufbewahrungsfrist
Patientenakten	20 Jahre ab Erstellung	Im ersten sechsmonatigen regelmäßigen Löschungszeitraum nach Ablauf der Aufbewahrungsfrist

8. Regelmäßiger Löschungszeitraum

Gemäß Artikel 11 der Verordnung hat das Unternehmen den regelmäßigen Zeitraum für die Löschung, Vernichtung oder Anonymisierung auf sechs Monate festgelegt. Dementsprechend führt das Unternehmen die entsprechenden Maßnahmen jedes Jahr im Juni und Dezember durch.

9. Veröffentlichung und Aufbewahrung der Richtlinie

Die Richtlinie wird in gedruckter und elektronischer Form veröffentlicht und kann über die Website öffentlich zugänglich gemacht werden. Eine unterzeichnete Ausfertigung wird in den entsprechenden Unterlagen des Unternehmens aufbewahrt.

10. Aktualisierungen der Richtlinie

Die Richtlinie wird bei Bedarf oder bei Änderungen der Verarbeitung personenbezogener Daten oder der geltenden Rechtsvorschriften aktualisiert.

11. Inkrafttreten der Richtlinie

Diese Richtlinie tritt am Tag ihrer Veröffentlichung in Kraft. Frühere Fassungen der Richtlinie, die nicht mehr in Kraft sind, werden gemäß den entsprechenden Dokumentations- und Aufbewahrungsverfahren des Unternehmens aufbewahrt.

Verantwortlicher