RICHTLINIE ZUM SCHUTZ UND ZUR VERARBEITUNG PERSONENBEZOGENER DATEN

1. DEFINITIONEN

KVKK / Gesetz: Gesetz Nr. 6698 über den Schutz personenbezogener Daten.

DSGVO / Gesetz: Datenschutz-Grundverordnung.

Auftragsverarbeiter: Eine natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen auf Grundlage der vom Verantwortlichen erteilten Befugnis verarbeitet.

Verantwortlicher: Die Person, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt und den Ort verwaltet, an dem die Daten systematisch gespeichert werden (Datenverarbeitungssystem).

Unternehmen: HDS Seyahat ve Otel İşletmeleri Anonim Şirketi.

Betroffene Person: Mitarbeiter, Kunden, Geschäftspartner, Anteilseigner, Bevollmächtigte, potenzielle Kunden, Bewerber, Praktikanten, Besucher, Lieferanten, Mitarbeiter von Institutionen, mit denen das Unternehmen zusammenarbeitet, Dritte sowie alle sonstigen natürlichen Personen, deren personenbezogene Daten durch das Unternehmen und seine verbundenen Tochtergesellschaften verarbeitet werden, ohne dass die Aufzählung abschließend ist.

Ausdrückliche Einwilligung: Eine auf eine bestimmte Angelegenheit bezogene, auf Information beruhende und freiwillig abgegebene Einwilligung.

Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Besondere Kategorien personenbezogener Daten: Daten über Rasse, ethnische Herkunft, politische Meinungen, philosophische Überzeugungen, Religion, Konfession oder sonstige Überzeugungen, Aussehen und Kleidung, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherheitsmaßnahmen sowie biometrische und genetische Daten.

Verarbeitung personenbezogener Daten: Jeder Vorgang im Zusammenhang mit personenbezogenen Daten, wie Erhebung, Aufzeichnung, Speicherung, Aufbewahrung, Änderung, Neuanordnung, Offenlegung, Übermittlung, Übernahme, Zugänglichmachung, Klassifizierung oder Verhinderung der Nutzung, unabhängig davon, ob er vollständig oder teilweise automatisiert oder nicht automatisiert erfolgt, sofern er Bestandteil eines Datenverarbeitungssystems ist.

Anonymisierung personenbezogener Daten: Die Herstellung eines Zustands, in dem personenbezogene Daten auch durch Abgleich mit anderen Daten unter keinen Umständen mit einer bestimmten oder bestimmbaren natürlichen Person in Verbindung gebracht werden können.

Löschung personenbezogener Daten: Die Herstellung eines Zustands, in dem personenbezogene Daten für die betreffenden Nutzer in keiner Weise zugänglich oder wiederverwendbar sind.

Vernichtung personenbezogener Daten: Der Vorgang, durch den personenbezogene Daten für niemanden zugänglich, wiederherstellbar oder wiederverwendbar gemacht werden.

KVK-Rat / Rat: Rat für den Schutz personenbezogener Daten.

KVK-Behörde / Behörde: Behörde für den Schutz personenbezogener Daten.

2. ZWECK

Der Hauptzweck dieser Richtlinie zum Schutz und zur Verarbeitung personenbezogener Daten (die „Richtlinie“) besteht darin, die vom Unternehmen zur rechtmäßigen Verarbeitung und zum Schutz personenbezogener Daten eingeführten Systeme zu erläutern, die Verfahren und Grundsätze festzulegen, die von Personen einzuhalten sind, die aufgrund ihrer Beziehung zum Unternehmen Daten verarbeiten, und Transparenz gegenüber den betroffenen Personen zu gewährleisten.

Das Unternehmen führt seine Tätigkeiten unter Beachtung der Verfassung der Republik Türkiye, der Bestimmungen internationaler Übereinkommen, deren Vertragspartei Türkiye ist, des Gesetzes über den Schutz personenbezogener Daten („KVKK“ und/oder „Gesetz“) und der einschlägigen Rechtsvorschriften zum Schutz und zur Vertraulichkeit personenbezogener Daten durch. Das Unternehmen misst dem Schutz und der Vertraulichkeit personenbezogener Daten besondere Bedeutung bei und stellt grundlegende Menschenrechte wie die Achtung des Privatlebens und die Gedankenfreiheit in den Mittelpunkt all seiner Tätigkeiten.

3. GELTUNGSBEREICH UND ANWENDUNG

Diese Richtlinie wurde unter Berücksichtigung der geltenden Vorschriften und internationalen Standards erstellt. Das Unternehmen wendet diese Richtlinie vorrangig bei allen Verarbeitungstätigkeiten an, einschließlich der Verarbeitung, Übermittlung und Änderung von Daten.

Das Unternehmen verfügt auch über weitere Richtlinien, die sich auf den Schutz personenbezogener Daten und die Gewährleistung der Informationssicherheit in bestimmten Geschäftsaktivitäten und Prozessen beziehen. Sofern diese Richtlinie keine zusätzlichen Anforderungen enthält oder keinen höheren Schutzstandard für personenbezogene Daten verlangt, hebt sie die Datenschutzanforderungen der genannten anderen Richtlinien nicht auf. Diese Richtlinie wird, soweit angemessen, zusammen mit diesen anderen Richtlinien und Verfahren angewendet. Sofern nicht ausdrücklich anders bestimmt, gelten sämtliche im Rahmen des KVKK geregelten Aspekte auch im Rahmen der DSGVO.

Bei einem Widerspruch zwischen den geltenden Rechtsvorschriften über den Schutz und die Verarbeitung personenbezogener Daten und den Bestimmungen dieser Richtlinie haben die jeweils aktuellen gesetzlichen Vorschriften Vorrang.

4. VERARBEITUNG PERSONENBEZOGENER DATEN

a. Bei der Verarbeitung personenbezogener Daten anzuwendende Grundsätze

Die Richtlinien und Verfahren des Unternehmens werden entsprechend den in KVKK und den einschlägigen Rechtsvorschriften festgelegten Verarbeitungsgrundsätzen umgesetzt. Das Unternehmen ist sich bewusst, dass diese Grundsätze für die Ausübung der Rechte der betroffenen Personen und deren Kontrolle über ihre Daten von entscheidender Bedeutung sind, und legt sie daher bei allen Verarbeitungstätigkeiten zugrunde. Unsere Grundsätze sind:

·        Personenbezogene Daten werden rechtmäßig, nach Treu und Glauben und transparent verarbeitet.

·        Personenbezogene Daten werden nur für bestimmte, eindeutige und rechtmäßige Zwecke verarbeitet.

·        Personenbezogene Daten sind für die Zwecke, für die sie verarbeitet werden, relevant, auf das notwendige Maß beschränkt und verhältnismäßig.

·        Personenbezogene Daten sind richtig und erforderlichenfalls auf dem neuesten Stand.

·        Personenbezogene Daten werden nur für den in den einschlägigen Rechtsvorschriften vorgesehenen oder für die Verarbeitungszwecke erforderlichen Zeitraum aufbewahrt.

·        Personenbezogene Daten werden in einer Weise verarbeitet, die eine angemessene Sicherheit gewährleistet.

·        Das Unternehmen weist die Einhaltung der übrigen Grundsätze des KVKK nach.

Das Unternehmen stützt seine Datenverarbeitung auf die im KVKK vorgesehenen gesetzlichen Verarbeitungsgrundlagen und berücksichtigt nach dem Grundsatz von Treu und Glauben die angemessenen Erwartungen der betroffenen Personen. In der Kommunikation mit betroffenen Personen verwendet das Unternehmen eine klare und verständliche Sprache und ist jederzeit leicht erreichbar.

Vor Beginn einer Verarbeitung bestimmt das Unternehmen den Zweck der Verarbeitung. Daten werden nur für zusätzliche Zwecke verarbeitet, die mit dem ursprünglichen Zweck vereinbar sind. Die Vereinbarkeit jedes zusätzlichen Zwecks mit dem ursprünglichen Zweck wird anhand international anerkannter Kriterien bestimmt. Das Unternehmen informiert die betroffenen Personen unter Beachtung des Transparenzgrundsatzes über die Zwecke der Datenverarbeitung.

Das Unternehmen verarbeitet nur die für den Verarbeitungszweck erforderliche Datenmenge. Daten werden mit der für Datenschutz und Datensicherheit geeignetsten Methode erhoben. Bei seinen Verarbeitungstätigkeiten vermeidet das Unternehmen unverhältnismäßige Eingriffe in die Rechte, Interessen und Freiheiten der betroffenen Personen.

Das Unternehmen stellt bei allen Verarbeitungstätigkeiten sicher, dass die Daten aktuell sind. Unvollständige, fehlerhafte oder falsche Daten werden so schnell wie möglich gelöscht oder berichtigt. Die Aktualität der Daten wird regelmäßig überprüft.

Sobald die Zwecke der Datenverarbeitung entfallen, werden die Daten so schnell wie möglich gelöscht, vernichtet oder anonymisiert.

Das Unternehmen wendet Datensicherheit als grundlegendes Prinzip an und ergreift unter Befolgung bewährter Verfahren die erforderlichen technischen und administrativen Maßnahmen.

Das Unternehmen beachtet bei allen Verarbeitungstätigkeiten den Grundsatz der Rechenschaftspflicht.

b. Zwecke der Verarbeitung personenbezogener Daten durch das Unternehmen

·        Durchführung von Auswahl- und Einstellungsverfahren für Bewerber, Praktikanten und Studenten

·        Durchführung der Bewerbungsverfahren von Kandidaten

·        Durchführung von Beauftragungs- und Zuweisungsprozessen

·        Planung der Personalprozesse

·        Durchführung von Aufbewahrungs- und Archivierungsaktivitäten

·        Durchführung / Überwachung der Geschäftstätigkeiten

·        Durchführung von Kommunikationsaktivitäten

·        Erfüllung arbeitsvertraglicher und gesetzlicher Verpflichtungen gegenüber Mitarbeitern

·        Durchführung von Vertragsprozessen

·        Umsetzung der Vergütungspolitik

·        Durchführung von Arbeitsschutz- und Arbeitssicherheitsmaßnahmen

·        Bereitstellung von Informationen an befugte Personen, Institutionen und Organisationen

·        Durchführung von Prozessen zu Nebenleistungen und sonstigen Leistungen für Mitarbeiter

·        Durchführung von Prozessen zur Mitarbeiterzufriedenheit und -bindung

·        Durchführung der Tätigkeiten in Übereinstimmung mit den Rechtsvorschriften

·        Durchführung von Schulungsmaßnahmen

·        Durchführung von Talent- / Karriereentwicklungsmaßnahmen

·        Organisation und Veranstaltungsmanagement

·        Gewährleistung der Sicherheit der physischen Räumlichkeiten

·        Durchführung von Informationssicherheitsprozessen

·        Verwaltung von Zugriffsberechtigungen

·        Erbringung von Kundendienst- und After-Sales-Support für Waren / Dienstleistungen

·        Durchführung von Verkaufsprozessen für Waren / Dienstleistungen

·        Durchführung von Prozessen des Kundenbeziehungsmanagements

·        Durchführung von Produktions- und Betriebsprozessen für Waren / Dienstleistungen

·        Durchführung von Aktivitäten zur Kundenzufriedenheit

·        Durchführung von Beschaffungsprozessen für Waren / Dienstleistungen

·        Gewährleistung der Sicherheit der Tätigkeiten des Verantwortlichen

·        Durchführung von Prozessen des Lieferkettenmanagements

·        Durchführung von Finanz- und Buchhaltungsaufgaben

·        Bearbeitung und Nachverfolgung von Anfragen / Beschwerden

·        Durchführung von Managementaktivitäten

·        Durchführung von Prüfungs- / Ethikaktivitäten

c. Rechtsgrundlagen für die Verarbeitung personenbezogener Daten durch das Unternehmen

Bei der Verarbeitung personenbezogener Daten stützt sich das Unternehmen auf eine der in Artikel 5 KVKK genannten gesetzlichen Voraussetzungen. Die Voraussetzungen für die Verarbeitung personenbezogener Daten, also die Fälle der Rechtmäßigkeit, sind im Gesetz abschließend aufgeführt und können nicht erweitert werden. Das Unternehmen stützt sich auf folgende Rechtsgrundlagen:

·        Vorliegen der ausdrücklichen Einwilligung der betroffenen Person

·        Die Verarbeitung ist erforderlich, sofern sie unmittelbar mit der Begründung oder Erfüllung eines Vertrags zusammenhängt und sich auf personenbezogene Daten der Vertragsparteien bezieht

·        Die Verarbeitung ist zwingend erforderlich, damit der Verantwortliche seine gesetzlichen Verpflichtungen erfüllen kann

·        Die Verarbeitung ist aufgrund einer ausdrücklichen gesetzlichen Vorschrift zwingend erforderlich

·        Die Verarbeitung ist aufgrund arbeitsmedizinischer / präventivmedizinischer Betreuung am Arbeitsplatz zwingend erforderlich

·        Die Verarbeitung ist zur Begründung, Ausübung oder Wahrung eines Rechts zwingend erforderlich

·        Die Verarbeitung ist für die berechtigten Interessen des Verantwortlichen zwingend erforderlich, sofern dadurch die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden

Sofern eine andere Rechtsgrundlage besteht, stützt sich das Unternehmen nicht auf die ausdrückliche Einwilligung als Rechtsgrundlage.

d. Rechtsgrundlagen für die Verarbeitung besonderer Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten sind Daten, deren Offenlegung eine Person einer Diskriminierung aussetzen kann, wie etwa Daten über Religion, Rasse, Überzeugungen, Gesundheit und Sexualleben. Besondere Kategorien personenbezogener Daten dürfen ohne Vorliegen einer der in Artikel 6 KVKK abschließend genannten Rechtsgrundlagen nicht verarbeitet werden.

Bei der Verarbeitung besonderer Kategorien personenbezogener Daten stützt sich das Unternehmen auf folgende Rechtsgrundlagen:

·        Ausdrückliche Einwilligung der betroffenen Person

·        Ausdrücklich gesetzlich vorgesehen

·        Die Verarbeitung ist zum Schutz des Lebens oder der körperlichen Unversehrtheit der Person oder einer anderen Person zwingend erforderlich, wenn die betroffene Person aufgrund tatsächlicher Unmöglichkeit nicht in der Lage ist, ihre Einwilligung zu erteilen oder ihre Einwilligung rechtlich nicht wirksam ist

·        Die Daten wurden von der betroffenen Person selbst öffentlich gemacht und die Verarbeitung entspricht ihrer Absicht, die Daten öffentlich zu machen

·        Die Verarbeitung ist zur Begründung, Ausübung oder Wahrung eines Rechts zwingend erforderlich

·        Die Verarbeitung ist durch Personen, die einer Geheimhaltungspflicht unterliegen, oder durch befugte Institutionen und Organisationen zum Schutz der öffentlichen Gesundheit, zur Präventivmedizin, für medizinische Diagnose-, Behandlungs- und Pflegeleistungen sowie zur Planung, Verwaltung und Finanzierung von Gesundheitsleistungen erforderlich

·        Die Verarbeitung ist zur Erfüllung gesetzlicher Verpflichtungen in den Bereichen Beschäftigung, Arbeitsschutz und Arbeitssicherheit, Sozialversicherung, soziale Dienste und Sozialhilfe zwingend erforderlich

·        Die Verarbeitung erfolgt durch Stiftungen, Vereine und andere gemeinnützige Organisationen, die zu politischen, philosophischen, religiösen oder gewerkschaftlichen Zwecken gegründet wurden, im Einklang mit den für sie geltenden Rechtsvorschriften und ihren Zwecken, beschränkt auf ihre Tätigkeitsbereiche und ohne Offenlegung gegenüber Dritten, soweit sie sich auf aktuelle oder ehemalige Mitglieder oder Personen bezieht, die regelmäßig mit diesen Organisationen in Kontakt stehen

Sofern eine andere Rechtsgrundlage besteht, stützt sich das Unternehmen nicht auf die ausdrückliche Einwilligung als Rechtsgrundlage.

5. INFORMATIONSPFLICHT

Gemäß KVKK und dem Kommuniqué über die einzuhaltenden Verfahren und Grundsätze bei der Erfüllung der Informationspflicht ist das Unternehmen verpflichtet, betroffene Personen zu informieren. Werden personenbezogene Daten direkt bei der betroffenen Person erhoben, informiert das Unternehmen oder eine von ihm bevollmächtigte Person die betroffene Person zum Zeitpunkt der Erhebung. Werden personenbezogene Daten nicht bei der betroffenen Person erhoben, wird die Informationspflicht innerhalb eines angemessenen Zeitraums erfüllt; sofern die Daten zur Kommunikation mit der betroffenen Person verwendet werden, spätestens bei der ersten Kommunikation, und sofern die Daten übermittelt werden, spätestens bei der ersten Übermittlung.

Das Unternehmen informiert die betroffenen Personen mindestens über die Angaben zur juristischen Person und Anschrift des Unternehmens, die Zwecke der Verarbeitung personenbezogener Daten, die Empfänger und Zwecke möglicher Übermittlungen, die Methode und Rechtsgrundlage der Erhebung personenbezogener Daten sowie die in Artikel 11 KVKK genannten Rechte.

Ändert sich der Zweck der Verarbeitung personenbezogener Daten, wird vor der Verarbeitung für diesen Zweck eine gesonderte Informationspflicht erfüllt.

6. DATENSICHERHEIT

Das Unternehmen ist als Verantwortlicher verpflichtet, die unrechtmäßige Verarbeitung und den unbefugten Zugriff auf personenbezogene Daten zu verhindern und deren Aufbewahrung sicherzustellen. Daher hat das Unternehmen alle erforderlichen technischen und administrativen Maßnahmen zur Datensicherheit getroffen, einschließlich zusätzlicher Maßnahmen zum Schutz besonderer Kategorien personenbezogener Daten. Die Maßnahmen sind nachstehend aufgeführt.

Technische Maßnahmen

·        Autorisierungs- und Zugriffskontrollen

·        Netzwerksicherheit und Einsatz von Firewalls

·        Datenverschlüsselung

·        Antivirus- und Antimalware-Software

·        Protokollierung und Überwachung

·        Datensicherung

·        Penetrationstests

·        Datenmaskierung

·        Schutz vor Schadsoftware

·        E-Mail-Sicherheit und Einsatz eines Mail-Gateways

·        Datenmaskierung

·        Sicherheit mobiler Endgeräte (MDM)

·        Zwei-Faktor-Authentifizierung (2FA/MFA)

Administrative Maßnahmen

·        Schulung und Sensibilisierung des Personals

·        Vertraulichkeits- und Verpflichtungserklärungen

·        Dateninventar und Aufzeichnungssystem

·        Interne Richtlinien und Verfahren

·        Verfahren zum Management von Datenschutzverletzungen

·        Richtlinie zur Aufbewahrung und Vernichtung von Daten

·        Prüfung und interne Kontrolle

·        Verträge mit Dienstleistern

·        Führung und Überwachung von Protokolldateien

·        Zugriffsberechtigung und -kontrolle

7. ÜBERMITTLUNG PERSONENBEZOGENER DATEN

a. Inländische Übermittlung

Das Unternehmen übermittelt personenbezogene Daten auf Grundlage der in den Artikeln 5 und 6 KVKK genannten Voraussetzungen für die Verarbeitung an Dritte. Das Unternehmen trifft bei allen Datenübermittlungen die erforderlichen Sicherheitsmaßnahmen. Die Empfängergruppen, an die das Unternehmen Daten übermittelt, sind:

·        Lieferanten

·        Befugte Institutionen und Organisationen

·        Kunden

·        Organisationen, deren Mitglied das Unternehmen ist

b. Übermittlung ins Ausland

Gemäß Artikel 9 KVKK übermittelt das Unternehmen personenbezogene Daten ins Ausland, wenn eine der folgenden Voraussetzungen erfüllt ist:

·        Liegt eine der Voraussetzungen gemäß Artikel 5 oder 6 KVKK vor und besteht für das Land, die Sektoren innerhalb des Landes oder die internationale Organisation, in die die Übermittlung erfolgen soll, ein Angemessenheitsbeschluss, übermittelt das Unternehmen personenbezogene Daten ins Ausland.

·        Liegt kein Angemessenheitsbeschluss vor, übermittelt das Unternehmen personenbezogene Daten ins Ausland, wenn eine der nachstehenden geeigneten Garantien von den Parteien gewährleistet wird und die betroffene Person ihre Rechte auch im Bestimmungsland ausüben und wirksame Rechtsbehelfe in Anspruch nehmen kann.

·        Wenn eine Vereinbarung, die keinen Charakter eines internationalen Vertrags hat, zwischen ausländischen öffentlichen Institutionen und Organisationen oder internationalen Organisationen und öffentlichen Institutionen und Organisationen in Türkiye bzw. öffentlich-rechtlichen Berufsorganisationen besteht und der Rat die Übermittlung genehmigt.

·        Verbindliche interne Datenschutzvorschriften, die vom Rat genehmigt wurden und von Unternehmen innerhalb einer Unternehmensgruppe mit gemeinsamer wirtschaftlicher Tätigkeit einzuhalten sind.

·        Vom Rat veröffentlichte Standardvertragsklauseln, die unter anderem Datenkategorien, Zwecke der Übermittlung, Empfänger und Empfängergruppen, technische und administrative Maßnahmen des Datenempfängers sowie zusätzliche Maßnahmen für besondere Kategorien personenbezogener Daten enthalten.

·        Eine schriftliche Verpflichtungserklärung mit Bestimmungen, die einen angemessenen Schutz gewährleisten, sofern der Rat die Übermittlung genehmigt.

Liegt kein Angemessenheitsbeschluss vor und kann keine der sonstigen in Artikel 9 KVKK vorgesehenen geeigneten Garantien gewährleistet werden, übermittelt das Unternehmen personenbezogene Daten nur gelegentlich und nur dann ins Ausland, wenn einer der folgenden Fälle vorliegt:

·        Die betroffene Person wurde über die möglichen Risiken informiert und hat der Übermittlung ausdrücklich zugestimmt.

·        Die Übermittlung ist für die Erfüllung eines Vertrags zwischen der betroffenen Person und dem Verantwortlichen oder für vorvertragliche Maßnahmen erforderlich, die auf Antrag der betroffenen Person getroffen wurden.

·        Die Übermittlung ist für den Abschluss oder die Erfüllung eines Vertrags zwischen dem Verantwortlichen und einer anderen natürlichen oder juristischen Person zum Vorteil der betroffenen Person erforderlich.

·        Die Übermittlung ist aus einem wichtigen öffentlichen Interesse erforderlich.

·        Die Übermittlung personenbezogener Daten ist zur Begründung, Ausübung oder Wahrung eines Rechts erforderlich.

·        Die Übermittlung ist zum Schutz des Lebens oder der körperlichen Unversehrtheit einer Person oder einer anderen Person erforderlich, wenn die betroffene Person aufgrund tatsächlicher Unmöglichkeit nicht in der Lage ist, ihre Einwilligung zu erteilen oder ihre Einwilligung rechtlich nicht wirksam ist.

·        Die Übermittlung erfolgt aus einem Register, das der Öffentlichkeit oder Personen mit berechtigtem Interesse zugänglich ist, sofern die nach den einschlägigen Rechtsvorschriften erforderlichen Voraussetzungen für den Zugang zum Register erfüllt sind und die Person mit berechtigtem Interesse die Übermittlung beantragt.

8. INVENTAR PERSONENBEZOGENER DATEN

Das Unternehmen hat ein Dateninventar mit den gesetzlich nach KVKK vorgeschriebenen Angaben zu den verarbeiteten personenbezogenen Daten erstellt. Das Dateninventar des Unternehmens enthält:

·        Geschäftsprozesse, in denen personenbezogene Daten verwendet werden

·        Kategorie der personenbezogenen Daten

·        Verarbeitete personenbezogene Daten

·        Verarbeitete besondere Kategorien personenbezogener Daten

·        Zweck und Rechtsgrundlage der Verarbeitung

·        Inländische Empfänger personenbezogener Daten

·        Ob personenbezogene Daten ins Ausland übermittelt werden

·        Aufbewahrungsfristen personenbezogener Daten

Bei Änderungen der Verarbeitungstätigkeiten des Unternehmens wird das Inventar personenbezogener Daten aktualisiert. Das Unternehmen meldet die im Inventar enthaltenen Informationen und gegebenenfalls Aktualisierungen an das Register der Verantwortlichen. Die Informationen, die das Unternehmen der betroffenen Person im Rahmen der in Artikel 5 dieser Richtlinie genannten Informationspflicht zur Verfügung stellt, stimmen mit den im Register veröffentlichten Informationen überein.

9. ROLLEN UND VERANTWORTLICHKEITEN

Die Qualitätsabteilung ist dafür verantwortlich, betroffene Personen, deren Daten verarbeitet werden, wie Kunden, Subunternehmer und Lieferanten, über diese Richtlinie zu informieren.

Die Abteilungen Personalwesen, Informationstechnologie und Qualität sind für die Aktualisierung dieser Richtlinie verantwortlich. Die Informationstechnologie führt unter Berücksichtigung der Anforderungen der IT-Systeme des Unternehmens die erforderlichen Verbesserungen durch. Die zuständigen Abteilungen sind für die Umsetzung der Richtlinie verantwortlich.

Die zuständigen Abteilungen sind berechtigt, Aktualisierungen dieser Richtlinie zu genehmigen.

Die zuständigen Abteilungen sind dafür verantwortlich, die im Auftrag des Unternehmens Daten verarbeitenden Parteien, wie Mitarbeiter und Lieferanten, über diese Richtlinie zu informieren und durch regelmäßige Kontrollen sicherzustellen, dass diese Auftragsverarbeiter die Richtlinie anwenden.

Die zuständige Abteilung ist für die Verhängung von Sanktionen bei Verstößen aufgrund der Nichtanwendung dieser Richtlinie verantwortlich.

10. LÖSCHUNG, VERNICHTUNG UND ANONYMISIERUNG PERSONENBEZOGENER DATEN

·        Gemäß Artikel 7 KVKK und den sonstigen einschlägigen Rechtsvorschriften werden personenbezogene Daten gelöscht, vernichtet oder anonymisiert, wenn die Gründe für ihre Verarbeitung entfallen, und zwar aufgrund der Entscheidung des Unternehmens, einer regelmäßigen Überprüfung und/oder auf Antrag der betroffenen Person.

·        Das Unternehmen bewahrt personenbezogene Daten im Zusammenhang mit dem Grund ihrer Erhebung nicht länger als erforderlich auf. Sobald die Gründe für die Verarbeitung entfallen, löscht, vernichtet oder anonymisiert das Unternehmen die personenbezogenen Daten im ersten regelmäßigen Vernichtungsvorgang nach dem Zeitpunkt, zu dem die entsprechende Verpflichtung entsteht.

·        Das Unternehmen hat eine Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten erstellt, um die entsprechenden Verfahren und Grundsätze festzulegen. Diese Richtlinie wurde entsprechend dem in Artikel 8 dieser Richtlinie genannten Inventar personenbezogener Daten erstellt.

·        Bei der Löschung, Vernichtung oder Anonymisierung personenbezogener Daten handelt das Unternehmen gemäß den in Abschnitt 4/a dieser Richtlinie genannten Grundsätzen, den in Artikel 6 genannten technischen und administrativen Maßnahmen, der Richtlinie zur Aufbewahrung und Vernichtung, den einschlägigen Rechtsvorschriften und den Beschlüssen des Rates.

·        Personenbezogene Daten werden gemäß KVKK, den einschlägigen Rechtsvorschriften und der Richtlinie des Unternehmens zur Aufbewahrung und Vernichtung sicher und mit der geeignetsten Methode vernichtet. Auf Antrag der betroffenen Person wählt das Unternehmen die geeignete Methode aus und erläutert deren Begründung.

11. VERARBEITUNG PERSONENBEZOGENER DATEN IN DEN DIENSTRÄUMLICHKEITEN DES UNTERNEHMENS

In den Diensträumlichkeiten des Unternehmens werden zur Gewährleistung der Sicherheit im Einklang mit KVKK und den sonstigen einschlägigen Rechtsvorschriften personenbezogene Daten verarbeitet. Zu Sicherheitszwecken werden in den Räumlichkeiten des Unternehmens in Fluren und Ein- und Ausgängen sowie in den Geschäften Sicherheitskameras eingesetzt. Das für den Zutritt von Gästen verwendete System wurde gemäß den einschlägigen Richtlinien und Verfahren des Unternehmens festgelegt.

Auf digital aufgezeichnete und gespeicherte Aufzeichnungen über Sicherheitsmaßnahmen haben Abteilungen, die einer Vertraulichkeitspflicht unterliegen, das Managementteam des Unternehmens sowie unmittelbar der Geschäftsleitung unterstellte Führungskräfte Zugriff.

12. RECHTE DER BETROFFENEN PERSON UND AUSÜBUNG IHRER RECHTE

Natürliche Personen, deren personenbezogene Daten durch das Unternehmen verarbeitet werden, können sich hinsichtlich der Verarbeitung ihrer personenbezogenen Daten an das Unternehmen unter der Anschrift Time Plaza 2, Doğuyaka Mah. Termessos Bulvarı No:29/101-104 Muratpaşa/Antalya/Türkiye oder per E-Mail an kvkk@hds-turkiye.com wenden und folgende Rechte ausüben:

a. Rechte der betroffenen Person

·        Auskunft darüber, ob personenbezogene Daten verarbeitet werden

·        Falls personenbezogene Daten verarbeitet wurden, Auskunft über deren Art und darüber, an wen sie offengelegt wurden

·        Auskunft über den Zweck der Verarbeitung personenbezogener Daten und darüber, ob sie zweckentsprechend verwendet werden

·        Kenntnis der Dritten, an die personenbezogene Daten im Inland oder Ausland übermittelt wurden, und Verlangen, dass die betreffende Maßnahme diesen Dritten mitgeteilt wird

·        Berichtigung unvollständig oder unrichtig verarbeiteter personenbezogener Daten und Verlangen, dass die Berichtigung Dritten mitgeteilt wird

·        Verlangen der Löschung oder Vernichtung personenbezogener Daten, wenn die Gründe für die Verarbeitung entfallen, auch wenn die Daten rechtmäßig verarbeitet wurden

·        Widerspruch gegen das Entstehen eines Ergebnisses zulasten der betroffenen Person

·        Verlangen des Ersatzes des Schadens, wenn aufgrund der rechtswidrigen Verarbeitung personenbezogener Daten ein Schaden entstanden ist

b. Ausübung der Rechte

Anträge und Ersuchen im Zusammenhang mit personenbezogenen Daten können über das Antragsformular der betroffenen Person auf folgende Weise an das Unternehmen übermittelt werden:

1. Mit eigenhändiger Unterschrift und einer Kopie des Identitätsdokuments an Time Plaza 2, Doğuyaka Mah. Termessos Bulvarı No:29/101-104 Muratpaşa/Antalya/Türkiye.

2. Mit einer sicheren elektronischen Signatur oder mobilen Signatur unterzeichnet und per E-Mail an kvkk@hds-turkiye.com gesendet.

3. Mit einer sicheren elektronischen Signatur oder mobilen Signatur unterzeichnet und über eine registrierte elektronische Post (KEP) an die KEP-Adresse des Unternehmens hds@hs01.kep.tr gesendet.

4. Persönliche Antragstellung mit einem gültigen Identitätsdokument.

Im Rahmen der gesetzlichen Anforderungen an Verfahren und Grundsätze für Anträge an den Verantwortlichen müssen Antragsteller ihren Vor- und Nachnamen, bei einem schriftlichen Antrag ihre Unterschrift, als türkische Staatsangehörige ihre türkische Identifikationsnummer, als Ausländer ihre Staatsangehörigkeit sowie ihre Pass- (oder Identitäts-)nummer, ihre Wohn- oder Geschäftsanschrift für Zustellungszwecke, gegebenenfalls ihre E-Mail-Adresse und Faxnummer für Benachrichtigungen sowie den Gegenstand des Antrags angeben. Dem Antrag sind außerdem identitätsbestätigende Unterlagen sowie Informationen und Dokumente zum Gegenstand des Antrags beizufügen.

Damit der Vorgang möglichst wirksam bearbeitet werden kann, sind das Recht, das ausgeübt werden soll, sowie die Einzelheiten der beantragten Maßnahme klar und verständlich anzugeben.

Der Gegenstand des Antrags muss die antragstellende Person selbst betreffen. Wird ein Antrag im Namen einer anderen Person gestellt, muss die antragstellende Person über eine speziell dokumentierte Befugnis (Vollmacht) für die beantragte Maßnahme verfügen. Unbefugt gestellte Anträge werden nicht berücksichtigt.

c. Prüfung des Antrags

·        Anträge werden geprüft und so schnell wie möglich, spätestens jedoch innerhalb von 30 Tagen ab Eingang des Antrags beim Unternehmen beantwortet.

·        Während der Prüfung können erforderlichenfalls zusätzliche Informationen und Dokumente angefordert werden; soweit dies nach den einschlägigen Rechtsvorschriften zulässig ist, kann für die Erfüllung des Antrags eine Gebühr verlangt werden.

·        Das Unternehmen ergreift alle erforderlichen administrativen und technischen Maßnahmen, um Anträge betroffener Personen wirksam, rechtmäßig und nach Treu und Glauben zu bearbeiten und abzuschließen.

d. Ablehnung des Antrags

Ein Antrag wird abgelehnt, wenn:

·        der Antrag nicht nach dem oben genannten Verfahren gestellt wurde

·        der Antrag ein gegen die geltenden Rechtsvorschriften verstoßendes Ersuchen enthält

·        der Antrag nicht auf einem berechtigten Grund beruht oder eine missbräuchliche Ausübung eines Rechts darstellt

·        die betreffenden personenbezogenen Daten für Zwecke wie Forschung, Planung und Statistik durch Anonymisierung im Rahmen der amtlichen Statistik verarbeitet werden

·        die personenbezogenen Daten von der betroffenen Person selbst öffentlich gemacht wurden

·        einer der sonstigen in den Anwendungsbereich von Artikel 28 KVKK fallenden Fälle vorliegt

Wird ein Antrag abgelehnt, teilt das Unternehmen der betroffenen Person die Ablehnung unter Angabe der Gründe mit.

e. Beschwerderecht

Wird ein bei dem Unternehmen gestellter Antrag abgelehnt, hält die betroffene Person die Antwort des Unternehmens für unzureichend oder antwortet das Unternehmen nicht innerhalb von 30 Tagen, hat die betroffene Person das Recht, beim Rat Beschwerde einzulegen. Die Beschwerde kann innerhalb von 30 Tagen ab dem Tag, an dem die betroffene Person von der Antwort des Unternehmens Kenntnis erlangt, und in jedem Fall innerhalb von 60 Tagen ab dem Datum des Antrags eingelegt werden.

13. VERÖFFENTLICHUNG UND INKRAFTTRETEN DER RICHTLINIE

Diese Richtlinie tritt am 23.05.2025 in Kraft.

Die aktuelle Fassung dieser Richtlinie wird unter HDS Richtlinien und Verfahren veröffentlicht: https://hdsseyahat365.sharepoint.com/:f:/s/hdsturkiye/EvIrRjB7k_VEnvQi-vczjiQBAt0F0gYHuUl0m1iurpY3KA?e=O7pQLF

14. AKTUALISIERUNG DER RICHTLINIE

Diese Richtlinie wird aktualisiert, sobald sich ein Revisionsbedarf ergibt. Der Revisionsbedarf wird vom Unternehmen einmal jährlich überprüft.

Aufgehobene ältere Fassungen dieser Richtlinie werden vom Unternehmen 10 Jahre lang aufbewahrt. Richtlinien, deren Aufbewahrungsfrist abgelaufen ist, werden vom Unternehmen nach Erstellung eines entsprechenden Protok