Türkei KVKK-Compliance

Was ist die KVKK?

Das Gesetz zum Schutz personenbezogener Daten Nr. 6698 ist das umfassende türkische Datenschutzgesetz. Sein Zweck ist der Schutz der Grundrechte und Grundfreiheiten, insbesondere des Rechts auf Privatheit, bei gleichzeitiger Festlegung der Grundsätze und Pflichten für Personen und Organisationen, die personenbezogene Daten verarbeiten.

Das Gesetz gilt für eine ganz oder teilweise automatisierte Verarbeitung sowie für bestimmte nicht automatisierte Verarbeitungen, die Teil eines Dateisystems sind. Es begründet folgende Rollen:

• Verantwortlicher (Veri Sorumlusu) – bestimmt die Zwecke und Mittel der Verarbeitung.
• Auftragsverarbeiter (Veri İşleyen) – verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen.
• Betroffene Person – die Person, deren personenbezogene Daten verarbeitet werden.
• Ausschuss für den Schutz personenbezogener Daten – das regulatorische Entscheidungsgremium.
• Behörde für den Schutz personenbezogener Daten – die Behörde, die den Regulierungsrahmen trägt.

Die KVKK wurde am 24. März 2016 erlassen und am 7. April 2016 im Amtsblatt veröffentlicht. Der Rahmen wurde seither geändert, unter anderem durch wesentliche Änderungen, die 2024 in Kraft getreten sind und insbesondere besondere Kategorien personenbezogener Daten sowie internationale Datenübermittlungen betreffen.

Von der KVKK erfasste Organisationen

Die KVKK gilt für Organisationen und Personen, die in ihren Anwendungsbereich fallen und vom Gesetz erfasste personenbezogene Daten verarbeiten. Dazu können gehören:

• Türkische Unternehmen
• Arbeitgeber
• E-Commerce-Unternehmen
• Banken und Finanzinstitute
• Gesundheitsorganisationen
• Bildungseinrichtungen
• Technologieunternehmen
• SaaS-Anbieter
• Werbe- und Marketingunternehmen
• Telekommunikationsunternehmen
• Online-Marktplätze
• Mobile Anwendungen
• Websites und digitale Plattformen
• Öffentliche Einrichtungen
• Organisationen, die Beschäftigtendaten verarbeiten
• Organisationen, die Kunden- oder Interessentendatenbanken nutzen

Auch außerhalb der Türkei niedergelassene Organisationen können Pflichten nach der KVKK haben, je nach ihren Verarbeitungstätigkeiten und ihrer Beziehung zu betroffenen Personen in der Türkei.

Für Unternehmen, die in der Türkei Websites, mobile Anwendungen, SaaS-Plattformen, E-Commerce-Dienste oder andere digitale Produkte betreiben, kann die KVKK-Compliance Einwilligungsmanagement, Datenschutzhinweise, die Bewertung von Verarbeitungsvoraussetzungen, Sicherheitsmaßnahmen, die Bearbeitung von Betroffenenanfragen, VERBİS-Pflichten und Schutzmaßnahmen für internationale Übermittlungen umfassen.

Welche Daten schützt die KVKK?

Die KVKK erfasst personenbezogene Daten, die sich auf eine identifizierte oder identifizierbare Person beziehen. Beispiele sind:

• Name
• E-Mail-Adresse
• Telefonnummer
• Postanschrift
• Identifikationsangaben
• Kundenkontodaten
• Beschäftigtendaten
• IP-Adressen, soweit sie personenbezogene Daten darstellen
• Online-Kennungen
• Standortinformationen
• Transaktionsinformationen
• Geräteinformationen
• Authentifizierungsdaten
• Kundenunterlagen
• Marketingprofile
• Bestimmte Cookie- und Tracking-Informationen

Ob eine bestimmte technische Kennung ein personenbezogenes Datum ist, hängt davon ab, ob sie sich auf eine identifizierte oder identifizierbare natürliche Person bezieht.

Die KVKK stellt außerdem zusätzliche Anforderungen an besondere Kategorien personenbezogener Daten.

Verarbeitungsgrundsätze der KVKK

Artikel 4 legt die Grundsätze für die Verarbeitung personenbezogener Daten fest. Personenbezogene Daten müssen im Einklang mit dem Gesetz und den maßgeblichen Rechtsgrundsätzen verarbeitet werden, darunter:

• Rechtmäßigkeit und Fairness – die Verarbeitung muss den geltenden rechtlichen Anforderungen entsprechen und fair erfolgen.
• Richtigkeit – personenbezogene Daten sollten richtig und, soweit erforderlich, aktuell sein.
• Zweckbindung – Daten sollten für festgelegte, eindeutige und legitime Zwecke verarbeitet werden.
• Datenminimierung – personenbezogene Daten sollten erheblich, beschränkt und den Verarbeitungszwecken angemessen sein.
• Speicherbegrenzung – Daten sollten für den gesetzlich vorgesehenen Zeitraum oder für die Dauer des Verarbeitungszwecks aufbewahrt werden.

Diese Grundsätze sollten über den gesamten Datenlebenszyklus berücksichtigt werden – von der Erhebung und Einwilligung über Speicherung, Nutzung und Weitergabe bis zur Löschung.

Was ist eine ausdrückliche Einwilligung nach der KVKK?

Die KVKK definiert die ausdrückliche Einwilligung als Einwilligung, die freiwillig, spezifisch und informiert ist. Sie sollte daher eine positive und aussagekräftige Willensbekundung der betroffenen Person darstellen.

Das Einwilligungsmanagement sollte Folgendes vermeiden:

• Vorausgewählte Einwilligungsoptionen
• Vage oder pauschale Einwilligungen
• Unklare Zwecke
• Verborgene Einwilligungsmechanismen
• Einwilligungen, die unnötig mit unzusammenhängenden Verarbeitungen gebündelt sind
• Oberflächen, die eine Ablehnung unnötig erschweren

Die KVKK-Behörde hat die drei Kernelemente der ausdrücklichen Einwilligung betont: einen bestimmten Gegenstand, Information und freie Wahl.

Widerruf der Einwilligung

Beruht die Verarbeitung auf einer ausdrücklichen Einwilligung, sollten Organisationen einen praktikablen Mechanismus zur Verwaltung dieser Einwilligungsbeziehung bereitstellen. Ein Einwilligungsmanagementsystem sollte es ermöglichen:

• Festzuhalten, wann die Einwilligung erteilt wurde
• Festzuhalten, was die Einwilligung umfasste
• Den betreffenden Zweck festzuhalten
• Die Auswahl der Nutzerin oder des Nutzers festzuhalten
• Nachweise der Einwilligung vorzuhalten
• Änderungen der Einwilligungspräferenzen zu unterstützen
• Aufzeichnungen über Widerrufe zu führen
• Eine weitere Verarbeitung zu verhindern, wenn die Einwilligung die maßgebliche Rechtsgrundlage ist und widerrufen wurde

ConsentX kann Organisationen helfen, diese technischen Kontrollen umzusetzen.

Besondere Kategorien personenbezogener Daten nach der KVKK

Die KVKK sieht zusätzlichen Schutz für besondere Kategorien personenbezogener Daten vor. Dazu gehören Daten über:

• Rasse
• Ethnische Herkunft
• Politische Meinung
• Philosophische Überzeugung
• Religion
• Religiöse Glaubensrichtung oder andere Überzeugung
• Erscheinungsbild
• Mitgliedschaft in Vereinigungen, Stiftungen oder Gewerkschaften
• Gesundheit
• Sexualleben
• Strafrechtliche Verurteilungen und Sicherungsmaßnahmen
• Biometrische Daten
• Genetische Daten

Wesentliche Änderungen des Artikels 6 sind 2024 in Kraft getreten. Die frühere Struktur wurde durch einen breiteren Satz gesetzlicher Voraussetzungen ersetzt, unter denen besondere Kategorien verarbeitet werden dürfen, ohne ausschließlich auf die ausdrückliche Einwilligung zu setzen. Dazu gehören bestimmte gesetzliche Anforderungen, Zwecke der öffentlichen Gesundheit, arbeits- und sozialversicherungsrechtliche Pflichten, der Schutz von Rechten und weitere benannte Umstände.

Die Änderungen von 2024 machen es daher besonders wichtig, bestehende Einwilligungsabläufe für besondere Datenkategorien zu überprüfen, statt anzunehmen, jede Verarbeitung sensibler Daten müsse denselben Einwilligungsmechanismus nutzen.

Verarbeitung besonderer Kategorien personenbezogener Daten

Werden besondere Datenkategorien verarbeitet, sollten Organisationen bestimmen:

• Welche Datenkategorie ist betroffen?
• Was ist der Zweck der Verarbeitung?
• Welche Voraussetzung des Artikels 6 greift?
• Ist eine ausdrückliche Einwilligung erforderlich?
• Welche zusätzlichen Sicherheitsmaßnahmen gelten?
• Wer darf auf die Informationen zugreifen?
• Wie lange sollten sie aufbewahrt werden?
• Werden die Informationen an eine andere Partei übermittelt?
• Werden sie außerhalb der Türkei übermittelt?
• Welche Nachweise sollten aufbewahrt werden?

Die KVKK verlangt außerdem angemessene, vom Ausschuss festgelegte Maßnahmen bei der Verarbeitung besonderer Kategorien personenbezogener Daten.

Datenschutzhinweise und Transparenz

Artikel 10 der KVKK verpflichtet Verantwortliche, betroffene Personen bei der Erhebung personenbezogener Daten zu informieren. Die Information umfasst:

• Identität des Verantwortlichen
• Identität seines Vertreters, soweit einschlägig
• Zweck der Verarbeitung
• Empfänger und Zwecke von Übermittlungen
• Methode und Rechtsgrundlage der Erhebung
• Einschlägige Rechte betroffener Personen

Für Websites und Anwendungen sollten Datenschutzhinweise daher klar, zugänglich und in geeigneter Weise mit dem Erhebungspunkt verbunden sein.

Einwilligungsbanner sollten nicht als Ersatz für einen vollständigen Datenschutzhinweis behandelt werden.

Cookies und Tracking-Technologien nach der KVKK

Die KVKK bedeutet nicht, dass jedes Cookie automatisch eine ausdrückliche Einwilligung erfordert. Die zutreffende rechtliche Behandlung hängt davon ab:

• Welche Informationen das Cookie oder der Tracker erhebt
• Ob die Informationen personenbezogene Daten darstellen
• Warum es eingesetzt wird
• Ob eine andere Voraussetzung des Artikels 5 greift
• Ob die Daten an Dritte übermittelt werden
• Ob die Tätigkeit internationale Übermittlungen umfasst
• Ob besondere Datenkategorien betroffen sind

Für Analyse, Werbung und anderes nicht notwendiges Tracking sollten Organisationen die anwendbare KVKK-Voraussetzung prüfen und, wo erforderlich, einen geeigneten Einwilligungs- oder Hinweismechanismus umsetzen.

ConsentX kann Organisationen helfen, Cookies und Tracker zu erkennen und regionsspezifische Kontrollen anzuwenden.

Rechte betroffener Personen nach der KVKK

Artikel 11 gewährt betroffenen Personen mehrere Rechte. Sie können verlangen:

• Bestätigung, ob ihre personenbezogenen Daten verarbeitet werden
• Informationen über die Verarbeitung
• Informationen über die Verarbeitungszwecke
• Informationen über Dritte, die ihre Daten erhalten
• Berichtigung unrichtiger oder unvollständiger Daten
• Löschung oder Vernichtung, wenn die gesetzlichen Voraussetzungen vorliegen
• Mitteilung von Berichtigungen oder Löschungen an betreffende Dritte
• Widerspruch gegen bestimmte nachteilige Ergebnisse, die ausschließlich durch automatisierte Verarbeitung entstehen
• Ersatz des Schadens, der durch eine unrechtmäßige Verarbeitung entstanden ist

Betroffenenanfragen nach der KVKK

Betroffene Personen können Anfragen nach den in der KVKK festgelegten Verfahren an den Verantwortlichen richten. Dieser muss die Anfrage grundsätzlich so schnell wie möglich und innerhalb von höchstens 30 Tagen abschließen. Anfragen sind in der Regel kostenfrei; in den von den geltenden Regeln bestimmten Fällen kann ein Entgelt zulässig sein.

ConsentX kann operative Abläufe unterstützen für:

• Eingang der Anfrage
• Abläufe zur Identitätsprüfung
• Nachverfolgung der Anfrage
• Sammlung von Nachweisen
• Interne Zuweisung
• Fristenüberwachung
• Dokumentation der Antwort
• Prüfpfade

Datensicherheit nach der KVKK

Artikel 12 verpflichtet Verantwortliche, die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um ein angemessenes Sicherheitsniveau zu gewährleisten. Diese Maßnahmen sollen verhindern:

• Unrechtmäßige Verarbeitung
• Unrechtmäßigen Zugriff
• Verlust oder Beeinträchtigung personenbezogener Daten

Verantwortliche müssen außerdem geeignete Prüfungen zur Einhaltung der Datensicherheitsanforderungen durchführen oder veranlassen.

Wird die Verarbeitung von einem Auftragsverarbeiter durchgeführt, bleibt der Verantwortliche für angemessene Sicherheitsmaßnahmen verantwortlich.

Meldung von Datenschutzverletzungen nach der KVKK

Werden von einem Verantwortlichen verarbeitete personenbezogene Daten unrechtmäßig von anderen erlangt, muss der Verantwortliche die betroffene Person und den Ausschuss innerhalb der kürzesten Zeit unterrichten. Der KVKK-Ausschuss legt die gesetzliche Formulierung „kürzeste Zeit“ als spätestens 72 Stunden nach Kenntnis der Verletzung aus. Kann die Meldung nicht innerhalb von 72 Stunden erfolgen, sind die Gründe für die Verzögerung anzugeben.

Organisationen sollten vorhalten:

• Verfahren zur Erkennung von Verletzungen
• Prozesse zur Reaktion auf Vorfälle
• Dokumentation von Verletzungen
• Interne Eskalationsverfahren
• Abläufe für die Meldung an die Aufsichtsbehörde
• Verfahren zur Kommunikation mit betroffenen Personen

Verantwortliche und Auftragsverarbeiter

Die KVKK unterscheidet zwischen dem Verantwortlichen, also der Organisation, die Zwecke und Mittel der Verarbeitung personenbezogener Daten bestimmt, und dem Auftragsverarbeiter, also einer Person oder Organisation, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Beispiele für Auftragsverarbeiter können sein:

• Cloud-Dienstleister
• Hosting-Unternehmen
• CRM-Anbieter
• E-Mail-Plattformen
• Analyseanbieter
• Anbieter von Marketingtechnologie
• Kundensupport-Plattformen

Der Verantwortliche sollte Auftragsverarbeiter angemessen steuern und sicherstellen, dass Sicherheits- und Datenschutzpflichten über die gesamte Verarbeitungsbeziehung hinweg beachtet werden.

Internationale Datenübermittlungen nach der KVKK

Internationale Datenübermittlungen sind ein zentraler Bereich der KVKK-Compliance. Artikel 9 wurde 2024 wesentlich geändert und hat einen neuen Rahmen für Übermittlungen personenbezogener Daten ins Ausland eingeführt. Nach dem geänderten Rahmen können Übermittlungen auf folgende Mechanismen gestützt werden:

• Eine Angemessenheitsentscheidung
• Genehmigte verbindliche interne Vorschriften
• Vom Ausschuss veröffentlichte Standardverträge
• Bestimmte genehmigte schriftliche Verpflichtungen
• Benannte außergewöhnliche Übermittlungsumstände

Standardverträge sind eine der verfügbaren Schutzmaßnahmen für internationale Übermittlungen. Das Gesetz verlangt, den Standardvertrag innerhalb von fünf Werktagen nach Unterzeichnung der Behörde anzuzeigen; die KVKK-Behörde hat Musterstandardverträge für unterschiedliche Verantwortlichen- und Auftragsverarbeiter-Konstellationen veröffentlicht.

Das ist besonders wichtig für Organisationen, die international Folgendes nutzen:

• Cloud-Infrastruktur
• SaaS-Werkzeuge
• CRM-Plattformen
• Analysedienste
• Werbetechnologie
• E-Mail-Anbieter
• Kundensupport-Systeme

Internationale Übermittlungen und Einwilligung

Die ausdrückliche Einwilligung kann einer der außergewöhnlichen Mechanismen für die Übermittlung personenbezogener Daten ins Ausland sein, doch der geänderte Rahmen des Artikels 9 macht die Einwilligung nicht zur Standardlösung für regelmäßige internationale Übermittlungen.

Wer sich auf die außergewöhnlichen Übermittlungsvoraussetzungen stützt, muss die gesetzlichen Anforderungen und Grenzen sorgfältig prüfen. Für laufende internationale Übermittlungen sollten Organisationen in der Regel prüfen, ob eine Angemessenheitsentscheidung oder eine geeignete Schutzmaßnahme verfügbar ist.

VERBİS – das Register der Verantwortlichen

Die KVKK richtet das Register der Verantwortlichen ein, bekannt als VERBİS. Verantwortliche, die der Registrierungspflicht unterliegen, müssen sich registrieren und Informationen über ihre Verarbeitungstätigkeiten angeben. Der Registrierungsrahmen kann folgende Angaben verlangen:

• Identität des Verantwortlichen
• Verarbeitungszwecke
• Kategorien betroffener Personen
• Datenkategorien
• Empfänger
• Internationale Übermittlungen
• Sicherheitsmaßnahmen
• Maximale Speicherfristen

Das Gesetz erlaubt dem Ausschuss jedoch, Ausnahmen anhand objektiver Kriterien festzulegen. Der KVKK-Ausschuss hat Ausnahmen eingeführt, die unter anderem an Art und Menge der Daten, die Verarbeitungstätigkeiten und Merkmale der Organisation anknüpfen.

Eine bedeutende Entscheidung des Ausschusses aus dem Jahr 2025 hat den Ausnahmerahmen zudem für bestimmte kleine Verantwortliche erweitert, deren Haupttätigkeit in der Verarbeitung besonderer Kategorien personenbezogener Daten besteht, anhand von Kriterien zur Beschäftigtenzahl und zur Bilanz.

Unternehmen sollten daher ihren aktuellen VERBİS-Registrierungsstatus und die geltenden Ausnahmekriterien prüfen, statt sich auf ältere Beschäftigten- oder Umsatzschwellen aus veralteten Compliance-Materialien zu verlassen.

Aufbewahrung und Löschung von Daten

Die KVKK verlangt, personenbezogene Daten für den gesetzlich festgelegten Zeitraum oder für die Dauer des Verarbeitungszwecks zu speichern. Entfallen die Gründe, die die Verarbeitung erforderten, sollten personenbezogene Daten gelöscht, vernichtet oder anonymisiert werden, je nachdem was einschlägig ist.

Die Türkei hat außerdem eine eigene Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten, die Verfahren für diese Vorgänge festlegt. Organisationen sollten daher dokumentierte Aufbewahrungsplänen und Löschverfahren vorhalten, die abdecken:

• Gesetzlich festgelegte Aufbewahrungsfristen
• Aufbewahrungsfristen, die an den Verarbeitungszweck gebunden sind
• Löschverfahren
• Vernichtungsverfahren
• Anonymisierungsverfahren
• Regelmäßige Überprüfung gespeicherter Daten
• Nachweise, dass die Löschung durchgeführt wurde

Automatisierte Entscheidungsfindung

Die KVKK anerkennt das Recht betroffener Personen, einem für sie nachteiligen Ergebnis zu widersprechen, das aus der Analyse personenbezogener Daten ausschließlich durch automatisierte Systeme entsteht. Das ist relevant für Unternehmen, die Folgendes einsetzen:

• KI-Systeme
• Automatisiertes Profiling
• Automatisiertes Kunden-Scoring
• Betrugserkennung
• Recruiting-Technologie
• Personalisierungssysteme
• Automatisierte Eignungsentscheidungen

Organisationen, die KI oder automatisierte Entscheidungssysteme nutzen, sollten die maßgeblichen KVKK-Verarbeitungsvoraussetzungen, Transparenzpflichten, Betroffenenrechte und Sicherheitsanforderungen prüfen.

Direktwerbung nach der KVKK

Marketingtätigkeiten können mehrere Kategorien der Verarbeitung personenbezogener Daten umfassen, darunter:

• E-Mail-Adressen
• Telefonnummern
• Kundenprofile
• Kaufhistorie
• Verhaltensinformationen
• Werbekennungen
• Website-Aktivität

Organisationen sollten die passende Rechtsgrundlage bestimmen und sicherstellen, dass marketingbezogene Verarbeitungen den Transparenz- und Verarbeitungsanforderungen der KVKK entsprechen.

Ist eine ausdrückliche Einwilligung erforderlich, sollte sie spezifisch, informiert und freiwillig sein, und Einwilligungsnachweise sollten als Beweis vorgehalten werden.

Privacy by Design nach der KVKK

Auch wenn die KVKK die Begriffe der DSGVO nicht einfach übernimmt, sollten Organisationen Datenschutz- und Sicherheitsaspekte von Anfang an in Systeme und Prozesse einbauen. Eine datenschutzbewusste Umsetzung kann umfassen:

• Datenminimierung
• Zweckbezogene Erhebung
• Zugriffskontrollen
• Einwilligungsmanagement
• Datenschutzhinweise
• Aufbewahrungskontrollen
• Abläufe für Betroffenenanfragen
• Bewertung von Dienstleistern
• Bewertung internationaler Übermittlungen
• Sicherheitsmaßnahmen
• Audit-Protokollierung

Verarbeitungsverzeichnisse und Governance

Organisationen sollten Überblick darüber behalten:

• Welche personenbezogenen Daten sie verarbeiten
• Warum sie sie verarbeiten
• Wo sie gespeichert werden
• Wer darauf zugreifen kann
• Welche Dienstleister sie erhalten
• Ob sie die Türkei verlassen
• Wie lange sie aufbewahrt werden
• Welche gesetzliche Voraussetzung die Verarbeitung stützt
• Ob eine ausdrückliche Einwilligung erforderlich ist
• Wie die Einwilligung widerrufen wird
• Wie Betroffenenanfragen bearbeitet werden

Für Organisationen, die der VERBİS-Registrierung unterliegen, ist die Pflege korrekter Verarbeitungsangaben besonders wichtig, weil die Registerangaben mit den Verarbeitungstätigkeiten der Organisation verknüpft sind.

Wer vollzieht die KVKK?

Die KVKK wird von der Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu) beaufsichtigt und durchgesetzt.

Der Ausschuss für den Schutz personenbezogener Daten nimmt wichtige regulatorische, aufsichtsrechtliche und durchsetzende Aufgaben wahr, darunter die Bearbeitung von Beschwerden, die Prüfung von Verstößen und die Verhängung von Verwaltungssanktionen.

Warum Einwilligungsmanagement für die KVKK wichtig ist

Für digitale Unternehmen erschöpft sich Datenschutz-Compliance nicht in der Veröffentlichung einer Datenschutzerklärung. Eine Website kann dutzende Technologien einsetzen, die Informationen erheben oder übertragen, darunter:

• Analysewerkzeuge
• Werbepixel
• Social-Media-Skripte
• Werkzeuge zur Sitzungsaufzeichnung
• Personalisierungstechnologien
• Marketing-Tags
• Eingebettete Inhalte
• CRM-Integrationen

Ein belastbares Einwilligungsmanagementsystem hilft Organisationen, diese Technologien zu verstehen, die betreffende Verarbeitung zu steuern und Nachweise über die Entscheidungen der Nutzerinnen und Nutzer zu führen.

ConsentX verbindet Cookie-Erkennung, Einwilligungsmanagement, vorheriges Skript-Blocking, Einwilligungsnachweise, regionale Regeln und DSAR-Abläufe, damit Unternehmen Datenschutzkontrollen über ihre digitalen Angebote hinweg umsetzen können.

Checkliste zur KVKK-Compliance

Nutzen Sie diese Checkliste als Ausgangspunkt für Ihr Compliance-Programm:

• Verarbeitungstätigkeiten mit personenbezogenen Daten erfassen
• Verantwortliche und Auftragsverarbeiter bestimmen
• Verarbeitungszwecke kartieren
• Die anwendbare Voraussetzung des Artikels 5 bestimmen
• Besondere Kategorien personenbezogener Daten identifizieren
• Voraussetzungen des Artikels 6 prüfen, soweit einschlägig
• Angemessene Datenschutzhinweise vorbereiten
• Cookie- und Tracking-Technologien überprüfen
• Bestimmen, wo eine ausdrückliche Einwilligung erforderlich ist
• Sicherstellen, dass die Einwilligung freiwillig, spezifisch und informiert ist
• Einwilligungsentscheidungen dokumentieren
• Mechanismen für den Widerruf der Einwilligung bereitstellen
• Verfahren für Betroffenenanfragen einführen
• Die 30-Tage-Frist für Antworten überwachen
• Angemessene Sicherheitsmaßnahmen umsetzen
• Einen Prozess zur Reaktion auf Datenschutzverletzungen vorhalten
• Internationale Übermittlungen bewerten
• Anforderungen an Standardverträge prüfen, soweit einschlägig
• Die Fünf-Werktage-Anzeigepflicht für einschlägige Standardverträge im Blick behalten
• VERBİS-Registrierungsanforderungen bewerten
• Verarbeitungsverzeichnisse pflegen
• Aufbewahrungsfristen festlegen
• Verfahren zur Löschung und Anonymisierung umsetzen
• Beziehungen zu Dienstleistern und Auftragsverarbeitern überprüfen
• Angemessene Prüfnachweise vorhalten
• Leitlinien des KVKK-Ausschusses und regulatorische Entwicklungen verfolgen