Grundlagen von GDPR und KVKK

Die GDPR (Datenschutz-Grundverordnung der EU, 2018) und die türkische KVKK (Kanun No. 6698, 2016) sind die beiden Rechtsrahmen, die diese Lektion behandelt. Die KVKK wurde stark am EU-Ansatz ausgerichtet, daher stimmen die Grundprinzipien weitgehend überein.

Beide regeln, wie personenbezogene Daten verarbeitet werden, und gewähren Einzelpersonen weitreichende Rechte, die durch erhebliche Sanktionen abgesichert sind.

Beide Gesetze definieren zentrale Rollen:

• Betroffene Person (KVKK: ilgili kisi): die Person, auf die sich die Daten beziehen
• Verantwortlicher (KVKK: veri sorumlusu): legt fest, warum und wie Daten verarbeitet werden
• Auftragsverarbeiter (KVKK: veri isleyen): verarbeitet Daten im Auftrag des Verantwortlichen

Der Verantwortliche trägt die Hauptverantwortung, auch wenn die Arbeit an einen Auftragsverarbeiter ausgelagert wird.

Artikel 5 der GDPR legt Grundsätze fest, die die KVKK übernimmt:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
• Zweckbindung: Daten nur für die angegebenen Zwecke verwenden
• Datenminimierung: nur die benötigten Daten erheben
• Richtigkeit
• Speicherbegrenzung: Daten nicht länger als nötig aufbewahren
• Integrität und Vertraulichkeit (Sicherheit)
• Rechenschaftspflicht: die Einhaltung nachweisen können

Sie dürfen personenbezogene Daten nicht ohne eine Rechtsgrundlage verarbeiten. Artikel 6 der GDPR nennt sechs:

• Einwilligung
• Vertrag
• Rechtliche Verpflichtung
• Lebenswichtige Interessen
• Aufgabe im öffentlichen Interesse
• Berechtigte Interessen

Die KVKK enthält eine vergleichbare Auswahl. Die Einwilligung ist nur eine Option und oft nicht die beste, weil sie jederzeit widerrufen werden kann.

Wenn Sie sich auf eine Einwilligung stützen, muss sie:

• Freiwillig erteilt
• Spezifisch auf einen Zweck bezogen
• Informiert
• Unmissverständlich, durch eine eindeutige bestätigende Handlung

Vorab angekreuzte Kästchen, gebündelte Einwilligung und Schweigen sind keine wirksame Einwilligung. Der Widerruf der Einwilligung muss genauso einfach sein wie ihre Erteilung.

Einzelpersonen haben durchsetzbare Rechte:

• Auskunft: eine Kopie ihrer Daten
• Berichtigung: Ungenauigkeiten korrigieren
• Löschung (Recht auf Vergessenwerden)
• Einschränkung der Verarbeitung
• Datenübertragbarkeit: Daten in einem maschinenlesbaren Format erhalten
• Widerspruch, auch gegen Profiling

Anfragen müssen in der Regel innerhalb einer festgelegten Frist beantwortet werden (GDPR: ein Monat).

Rechenschaftspflicht erfordert Dokumentation. Verantwortliche führen ein Verzeichnis von Verarbeitungstätigkeiten (RoPA), in dem beschrieben wird, welche Daten verarbeitet werden, warum dies geschieht, wohin sie gelangen und wie lange sie aufbewahrt werden.

In der Türkei müssen sich Verantwortliche oberhalb bestimmter Schwellenwerte bei VERBIS, dem Register der Verantwortlichen, registrieren. Diese Verzeichnisse sind das Erste, wonach eine Aufsichtsbehörde fragt.

Die Übermittlung personenbezogener Daten außerhalb der EU/des EWR (oder aus der Türkei heraus) ist eingeschränkt. Zu den möglichen Mechanismen gehören:

• Angemessenheitsbeschlüsse (der Zielstaat bietet einen gleichwertigen Schutz)
• Standardvertragsklauseln (SCCs)
• Ausdrückliche Einwilligung für die konkrete Übermittlung

Historisch verlangte KVKK für grenzüberschreitende Übermittlungen die Genehmigung des KVKK Board oder eine ausdrückliche Einwilligung. Prüfen Sie daher vor der Übermittlung von Daten ins Ausland die aktuellen Vorschriften.

Durchsetzungsbehörden:

• EU: nationale Datenschutzaufsichtsbehörden; GDPR-Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes
• Türkei: das KVKK Board (Kurul) mit Befugnis zur Verhängung von Verwaltungsstrafen und zur Anordnung, die Verarbeitung einzustellen

Neben Geldbußen können Aufsichtsbehörden Korrekturmaßnahmen anordnen und Verstöße veröffentlichen.

Einige Organisationen müssen einen Datenschutzbeauftragten (DPO) benennen, etwa öffentliche Stellen oder Organisationen, die gemäß GDPR eine groß angelegte Überwachung oder die Verarbeitung besonderer Kategorien personenbezogener Daten durchführen.

Der DPO berät zur Compliance, überwacht deren Umsetzung und fungiert als Kontaktstelle für die Aufsichtsbehörde und betroffene Personen. Er muss unabhängig arbeiten.

Wenn ein Verantwortlicher einen Auftragsverarbeiter einsetzt (etwa einen SaaS-Anbieter, einen Cloud-Hoster oder einen Subunternehmer), ist ein schriftlicher Vertrag zur Auftragsverarbeitung (DPA) verpflichtend. Er verpflichtet den Auftragsverarbeiter zu Folgendem:

• Daten nur auf dokumentierte Weisung verarbeiten
• Vertraulichkeit und Sicherheit gewährleisten
• Unterauftragsverarbeiter nur mit Genehmigung einsetzen
• Bei Anfragen betroffener Personen und der Meldung von Datenschutzverletzungen unterstützen

Die Wahl eines nicht konformen Anbieters entbindet den Verantwortlichen nicht von seiner Rechenschaftspflicht.

Testen Sie Ihr Verständnis der Rechtsgrundlagen.

Sie haben die wichtigsten Grundlagen von GDPR und KVKK behandelt:

• Die Rollen und die Rechenschaftspflicht von Verantwortlichen und Auftragsverarbeitern
• Die Grundprinzipien, insbesondere Zweckbindung und Datenminimierung
• Die sechs Rechtsgrundlagen; eine Einwilligung muss freiwillig erteilt und widerrufbar sein
• Die Rechte betroffener Personen (Auskunft, Löschung, Datenübertragbarkeit, Widerspruch)
• RoPA/VERBIS-Verzeichnisse und eingeschränkte internationale Datenübermittlungen
• Aufsichtsbehörden, hohe Geldbußen und die Rolle des DPO

Als Nächstes: die von Ihnen gespeicherten Daten klassifizieren und minimieren.