Smirni Gesundheitsdienste Tourismus Beratung Gesellschaft mit beschränkter Haftung

Richtlinie zum Schutz und zur Verarbeitung personenbezogener Daten

ABSCHNITT 1

1.1. EINLEITUNG

Der Schutz personenbezogener Daten gehört zu den grundlegenden unternehmerischen Prioritäten der Smirni Gesundheitsdienste Tourismus Beratung Gesellschaft mit beschränkter Haftung. Es wird größtmögliche Aufmerksamkeit, Sorgfalt und Sensibilität darauf verwendet, dass Datenverarbeitungstätigkeiten in Übereinstimmung mit der geltenden Gesetzgebung, den Entscheidungen des Ausschusses für den Schutz personenbezogener Daten, den einschlägigen sekundären Regelungen und verbindlichen rechtlichen Verpflichtungen durchgeführt werden.

Im Rahmen dieser Richtlinie zum Schutz und zur Verarbeitung personenbezogener Daten werden die grundlegenden Prinzipien und Grundsätze dargelegt, die bei den von der Smirni Gesundheitsdienste Tourismus Beratung Gesellschaft mit beschränkter Haftung durchgeführten Verarbeitungstätigkeiten personenbezogener Daten angewendet werden, sowie der institutionelle Ansatz hinsichtlich einer rechtmäßigen, nach Treu und Glauben erfolgenden, transparenten, verhältnismäßigen und die Datensicherheit gewährleistenden Verarbeitung personenbezogener Daten. Auf diese Weise wird bezweckt, die betroffenen Personen zu informieren, Datenverarbeitungstätigkeiten zu dokumentieren, die Datenverwaltung zu systematisieren, die Sicherheit personenbezogener Daten durch technische und administrative Kontrollmechanismen zu unterstützen und personenbezogene Daten so zu schützen, dass Grundrechte und Grundfreiheiten nicht beeinträchtigt werden.

Im Bewusstsein dieser Verantwortung werden personenbezogene Daten von Mitarbeitern, Bewerbern, im Ausland ansässigen ausländischen Patienten, Angehörigen von Patienten, Personen, die Dienstleistungen im Rahmen des Gesundheitstourismus in Anspruch nehmen, potenziellen Patienten, Lieferanten, Vertretern und Mitarbeitern von Lieferanten, Geschäftspartnern, Besuchern, Website-Nutzern, Personen, die sich über Anruf- und Kommunikationskanäle bewerben, sowie allen betroffenen Personen, mit denen im Rahmen von Gesundheitstourismus, Patientenvermittlung, internationaler Patientenkoordination, Reiseplanung, Unterkunftsorganisation, Transferprozessen, Beratungstätigkeiten, Buchhaltung, Finanzen, Personalwesen, Verwaltungsangelegenheiten, Sicherheit physischer Räumlichkeiten und IT-Prozessen Kontakt besteht, gemäß den Bestimmungen dieser Richtlinie und der geltenden Gesetzgebung verarbeitet.

In den Prozessen zum Schutz und zur Verarbeitung personenbezogener Daten werden die Grundsätze der Rechtmäßigkeit und Verarbeitung nach Treu und Glauben, der Richtigkeit und erforderlichenfalls Aktualität, der Verarbeitung zu bestimmten, eindeutigen und legitimen Zwecken, der Zweckgebundenheit, Begrenztheit und Verhältnismäßigkeit sowie der Speicherung für die in der einschlägigen Gesetzgebung vorgesehenen oder für den Verarbeitungszweck erforderlichen Dauer zugrunde gelegt. Darüber hinaus werden Transparenz, Rechenschaftspflicht, Datenminimierung, Verwaltung von Aufbewahrungsfristen, ein risikobasierter Kontrollansatz und die Nachhaltigkeit der Datensicherheit als untrennbare Bestandteile des institutionellen Managementverständnisses angesehen.

Der Tätigkeitsbereich der Smirni Gesundheitsdienste Tourismus Beratung Gesellschaft mit beschränkter Haftung İNŞ. SAN. TİC. LTD. ŞTİ. umfasst Gesundheitstourismusdienstleistungen, Patientenvermittlungs- und Koordinationsprozesse, Reise- und Unterkunftsorganisation, Transferplanung, Beratungstätigkeiten, Kundenbeziehungsmanagement, Vertriebs- und Betriebsaktivitäten, Lieferanten- und Geschäftspartnerbeziehungen, Buchhaltung, Finanzen, Personalwesen und Verwaltungsprozesse. Die Datenverarbeitungstätigkeiten gestalten sich entsprechend dieser Tätigkeitsstruktur. Daher beschränken sich die verarbeiteten personenbezogenen Daten nicht nur auf administrative Prozesse, sondern können auch im Rahmen der Planung von Gesundheitstourismusdienstleistungen, der Entgegennahme von Patientenanfragen, der Koordination von Termin- und Operationsprozessen, der Durchführung von Reservierungen, der Koordination mit inländischen und ausländischen Dienstleistern, des Abschlusses und der Erfüllung von Verträgen, der Durchführung von Zahlungs- und Inkassovorgängen, der Verwaltung von Beschaffungs- und Dienstleistungsbeziehungen, der Gewährleistung der Sicherheit physischer Räumlichkeiten, des Schutzes von Informationssystemen und der Erfüllung gesetzlicher Verpflichtungen verarbeitet werden.

Der Schutz personenbezogener Daten wird nicht nur als gesetzliche Verpflichtung, sondern zugleich als grundlegendes Governance-Thema im Hinblick auf den Schutz der Unternehmensreputation, die Gewährleistung geschäftlichen Vertrauens, die Nachhaltigkeit von Dienstleistungsbeziehungen, die Einrichtung einer überprüfbaren Datenverwaltung und die Sicherung der Grundrechte und Grundfreiheiten der betroffenen Personen betrachtet. Alle Prozesse werden entsprechend diesem Verständnis strukturiert.

1.2. ZWECK

Die Smirni Gesundheitsdienste Tourismus Beratung Gesellschaft mit beschränkter Haftung verpflichtet sich im Rahmen dieser Richtlinie, im Einklang mit der Verfassung der Republik Türkei, dem Gesetz Nr. 6698 zum Schutz personenbezogener Daten, den einschlägigen Verordnungen, Mitteilungen, Entscheidungen des Ausschusses für den Schutz personenbezogener Daten und sonstigen gesetzlichen Bestimmungen zu handeln sowie die Rechte der betroffenen Personen zu schützen.

In diesem Zusammenhang wurde ein schriftliches System zum Schutz personenbezogener Daten eingerichtet, das angewendet und kontinuierlich weiterentwickelt wird. Die Datenverwaltung wird innerhalb einer institutionellen Struktur durchgeführt. Diese Struktur umfasst die inventarbasierte Nachverfolgung von Datenverarbeitungstätigkeiten, die Zuordnung von Datenkategorien zu Verarbeitungszwecken, die Festlegung rechtlicher Grundlagen, die Planung von Aufbewahrungs- und Vernichtungsprozessen, die Kontrolle von Datenübermittlungsbeziehungen, die Verwaltung der Antragsprozesse betroffener Personen sowie die systematische Anwendung technischer und administrativer Maßnahmen zur Datensicherheit.

Mit dieser Richtlinie werden die grundlegenden Prinzipien zum Schutz und zur Verarbeitung personenbezogener Daten im Rahmen von Gesundheitstourismus- und Beratungstätigkeiten, Patientenbeziehungen, Reise- und Unterkunftsorganisation, Transfer- und Koordinationsdiensten, Finanz- und Buchhaltungsvorgängen, Personalpraktiken, Vertragsmanagement, Informationssicherheit, Sicherheit physischer Räumlichkeiten, Prüfungs- und internen Kontrolltätigkeiten sowie administrativen Prozessen geregelt.

Der Zweck der Richtlinie wurde wie folgt festgelegt:

• die rechtmäßige Durchführung der Tätigkeiten sicherzustellen,
• institutionelle Standards für das Datenmanagement zu schaffen,
• Mechanismen zur Sicherheit und Kontrolle personenbezogener Daten einzurichten,
• das Risikomanagement wirksam zu gestalten,
• die vollständige Einhaltung des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten und der einschlägigen Gesetzgebung sicherzustellen,
• die Grundrechte und Grundfreiheiten der betroffenen Personen zu schützen,
• Datenverarbeitungstätigkeiten zu standardisieren und zu dokumentieren,
• eine Kultur des Schutzes personenbezogener Daten institutionell zu verankern,
• Risiken von Datenschutzverletzungen zu verringern und im Falle einer Verletzung wirksame Reaktionsprozesse zu schaffen,
• Datenverarbeitungs- und Datenübermittlungsprozesse mit Dritten sicher zu gestalten,
• Aufbewahrungs- und Vernichtungsprozesse gesetzeskonform zu verwalten,
• inländische und internationale Datenübermittlungsprozesse gemäß der aktuellen Gesetzgebung strukturell abzusichern.

1.3. GELTUNGSBEREICH

Diese Richtlinie umfasst alle Tätigkeiten, die innerhalb der Smirni Gesundheitsdienste Tourismus Beratung Gesellschaft mit beschränkter Haftung durchgeführt werden, sowie alle personenbezogenen Datenverarbeitungsprozesse, die in Verbindung mit diesen Tätigkeiten erfolgen.

Die Bestimmungen der Richtlinie umfassen die gesamte Organisationsstruktur des Unternehmens, seine Abteilungen, Prozesse, physischen und elektronischen Archive, Informationssysteme, Software, Datenbanken, Benutzergeräte, E-Mail-Infrastruktur, Buchhaltungs- und Handelsunterlagen, Kamerasysteme, Besucherregistrierungssysteme, Personalakten, Verträge, Angebote, Reservierungen, Patienten- und Kundendatensätze, Reise- und Unterkunftsplanungsunterlagen, Patientenkoordinationsakten, Finanzunterlagen, Lieferantenbeziehungen, Website- und digitale Bewerbungskanäle sowie alle Elemente, die in Datenverarbeitungsprozesse einbezogen sind.

Diese Richtlinie gilt für Geschäftsführer, Mitarbeiter, Bewerber, Patienten, Angehörige von Patienten, Kunden, potenzielle Kunden, Lieferanten, Mitarbeiter und Vertreter von Lieferanten, Geschäftspartner, Besucher, Website-Besucher und alle natürlichen Personen, die mit dem Unternehmen in einer rechtlichen, geschäftlichen oder tatsächlichen Beziehung stehen.

Jede Handlung, die gegen das Gesetz Nr. 6698 zum Schutz personenbezogener Daten oder gegen diese Richtlinie verstößt, wird im Rahmen der einschlägigen Gesetzgebung, vertraglicher Bestimmungen, interner Regelungen und Disziplinarmechanismen bewertet. In diesem Zusammenhang gelten Handlungen von Mitarbeitern oder externen Dienstleistern, die die Datensicherheit beeinträchtigen, als geeignet, administrative, rechtliche, finanzielle und erforderlichenfalls strafrechtliche Folgen nach sich zu ziehen.

Auch Dritte, mit denen das Unternehmen Daten teilt, sind verpflichtet, den Datensicherheitsverpflichtungen entsprechend zu handeln. Zu diesem Zweck werden die notwendigen vertraglichen, administrativen und technischen Maßnahmen ergriffen. In Beziehungen mit Personen und Organisationen, die als Auftragsverarbeiter tätig sind, ist es wesentlich, dass personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen verarbeitet werden, Vertraulichkeitspflichten eingehalten werden, ein angemessenes Sicherheitsniveau gewährleistet wird, Grenzen der Datenübermittlung beachtet werden und Beziehungen zu Unterauftragsverarbeitern unter Kontrolle gehalten werden.

Die Anwendung und Aktualisierung der Richtlinie werden von der Unternehmensleitung durchgeführt; für die tägliche Umsetzung sind alle Mitarbeiter verantwortlich. Jeder Mitarbeiter ist im Rahmen seines Aufgabenbereichs dafür verantwortlich, dass personenbezogene Datenverarbeitungsprozesse gesetzeskonform durchgeführt werden, die Datensicherheit geschützt wird und verdächtige oder risikobehaftete Situationen unverzüglich gemeldet werden.

1.4. ZIEL

Das Ziel des Unternehmens besteht darin, das institutionelle Bewusstsein für den Schutz personenbezogener Daten zu erhöhen, die Kultur der Datensicherheit zu verbreiten, technische und administrative Kontrollmechanismen wirksam zu betreiben, die Rechte der betroffenen Personen zugänglich und effektiv nutzbar zu machen und die Gesetzeskonformität in eine nachhaltige Struktur zu überführen.

In dieser Hinsicht stellt diese Richtlinie einen grundlegenden institutionellen Leitfaden dar, der darauf abzielt, Datenverarbeitungstätigkeiten zu standardisieren, zu kontrollieren, zu überwachen, zu messen, zu berichten und kontinuierlich zu verbessern. Ziel ist nicht nur die Erfüllung bestehender gesetzlicher Verpflichtungen, sondern auch die dynamische Aktualisierung des Systems zum Schutz personenbezogener Daten angesichts sich verändernder technologischer Bedingungen, Digitalisierungsprozesse, Online-Bewerbungs- und Reservierungsstrukturen, internationaler Patientenströme, inländischer und internationaler Dienstleistungsnetzwerke sowie Cybersicherheitsbedrohungen.

In Übereinstimmung mit diesem Ziel wird angestrebt, Datenverarbeitungsinventare aktuell zu halten, regelmäßige Mitarbeiterschulungen durchzuführen, die Informationspflicht ordnungsgemäß zu erfüllen, Prozesse der ausdrücklichen Einwilligung rechtskonform zu gestalten, Aufbewahrungs- und Vernichtungsprozesse zu prüfen, Datenübermittlungsbeziehungen auf eine rechtliche Grundlage zu stellen, das Management von Datenschutzverletzungen funktionsfähig zu halten und Informationssicherheitsprozesse integriert mit dem Ansatz zum Schutz personenbezogener Daten durchzuführen.

ABSCHNITT 2

2.1. DEFINITIONEN UND ABKÜRZUNGEN

2.2. KLASSIFIZIERUNG DER VERARBEITETEN PERSONENBEZOGENEN DATEN

Das Unternehmen klassifiziert Datenkategorien nach Tätigkeitsbereich, Art der Geschäftsbeziehung, betroffener Personengruppe, Verarbeitungszweck, Aufbewahrungsdauer und rechtlicher Grundlage. Dadurch gewährleistet es die Kontrolle, Nachverfolgbarkeit und Prüfbarkeit der Datenverarbeitungstätigkeiten. Bei der Festlegung der Datenkategorien ist es wesentlich, keine für die Tätigkeit nicht erforderlichen Daten zu verarbeiten und nach dem Grundsatz der Verhältnismäßigkeit zu handeln.

2.3. MEDIEN, AUF DENEN PERSONENBEZOGENE DATEN VORHANDEN SIND

Elektronische Medien:
Server, Desktop- und Laptop-Computer, mobile Geräte, E-Mail-Systeme, Patienten- und Kundenregistrierungssysteme, Reservierungs- und Betriebsverfolgungssysteme, Buchhaltungs- und Finanzprogramme, Infrastrukturen für Anruf- und Kommunikationsaufzeichnungen, Datenbanken, Sicherheitskamerasysteme, tragbare Speicher, Netzwerkgeräte, Sicherungseinheiten, Cloud-Systeme, Unternehmenssoftware, Website und sonstige IT-Infrastrukturen.

Physische Medien:
Verträge, Antragsformulare, Reservierungsdokumente, Patienten- und Kundentransaktionsunterlagen, Personalakten, Besucherregister, gedruckte Dokumente, Archivschränke, Ordner, Buchhaltungsunterlagen, Gehaltsabrechnungen, Unterschriftenlisten, Personalunterlagen, Betriebsdokumente und sonstige physische Akten.

Die Medien, auf denen personenbezogene Daten vorhanden sind, werden nach Datensicherheitsstufen klassifiziert, und die Regeln für Zugriff, Aufbewahrung, Transport, Archivierung und Vernichtung dieser Medien werden gesondert festgelegt. Das Risikoniveau jedes elektronischen und physischen Mediums wird separat bewertet; insbesondere für besondere Kategorien personenbezogener Daten und Daten mit Geschäftsgeheimnischarakter werden zusätzliche Kontrollmechanismen angewendet.

2.4. ZWECKE DER VERARBEITUNG PERSONENBEZOGENER DATEN

Personenbezogene Daten werden zu folgenden Zwecken verarbeitet:

• Durchführung von Gesundheitstourismus-, Patientenvermittlungs- und Beratungsprozessen,
• Durchführung von Antrags-, Angebots-, Reservierungs- und Vertragsprozessen,
• Verwaltung von Patienten-, Kunden- und potenziellen Kundenbeziehungen,
• Planung und Durchführung von Reise-, Unterkunfts-, Transport-, Transfer- und Organisationsdienstleistungen,
• Gewährleistung der Koordination mit inländischen und ausländischen Gesundheitseinrichtungen,
• Planung und Verwaltung von Beschaffungs-, Einkaufs- und Geschäftspartnerprozessen,
• Durchführung von Betriebs-, Koordinations- und Dienstleistungserbringungsprozessen,
• Durchführung von Finanz- und Buchhaltungsvorgängen,
• Durchführung von Personal- und Mitarbeiterverwaltungsprozessen,
• Erfüllung von Arbeitsschutzprozessen,
• Erfüllung rechtlicher Verpflichtungen,
• Gewährleistung der Informationssicherheit und der Sicherheit physischer Räumlichkeiten,
• Durchführung von Prüfungs-, Berichts-, internen Kontroll- und Risikomanagementtätigkeiten,
• Bereitstellung von Informationen an befugte Institutionen und Organisationen,
• Planung, Überwachung und Weiterentwicklung der Geschäftstätigkeiten,
• Durchführung institutioneller Kommunikationsprozesse,
• Gewährleistung der Nachhaltigkeit geschäftlicher Tätigkeiten,
• Durchführung von Bewerbungs- und Einstellungsprozessen,
• Verwaltung von Mitarbeiterzufriedenheit, Leistung und Nebenleistungen.

Bei der Festlegung der Zwecke der Datenverarbeitung bewertet das Unternehmen, ob jede Datenkategorie tatsächlich erforderlich ist, vermeidet zweckfremde Datenverarbeitungstätigkeiten und informiert die betroffenen Personen ordnungsgemäß über die Zwecke der Datenverarbeitung.

ABSCHNITT 3

3.1. BEDINGUNGEN FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN

Personenbezogene Daten werden gemäß den in den Artikeln 5 und 6 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten geregelten Bedingungen für die Datenverarbeitung verarbeitet. In diesem Zusammenhang werden personenbezogene Daten auf Grundlage folgender rechtlicher Gründe verarbeitet:

• die Verarbeitung ist ausdrücklich gesetzlich vorgesehen,
• die Verarbeitung ist zwingend erforderlich zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder einer anderen Person, wenn die betroffene Person aufgrund tatsächlicher Unmöglichkeit nicht in der Lage ist, ihre Einwilligung zu erklären, oder ihrer Einwilligung keine rechtliche Gültigkeit zukommt,
• die Verarbeitung personenbezogener Daten der Vertragsparteien ist erforderlich, sofern sie unmittelbar mit dem Abschluss oder der Erfüllung eines Vertrags zusammenhängt,
• die Verarbeitung ist für die Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen zwingend erforderlich,
• die personenbezogenen Daten wurden von der betroffenen Person selbst öffentlich gemacht,
• die Datenverarbeitung ist zur Begründung, Ausübung oder zum Schutz eines Rechts zwingend erforderlich,
• die Datenverarbeitung ist für die berechtigten Interessen des Verantwortlichen zwingend erforderlich, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden,
• die ausdrückliche Einwilligung der betroffenen Person liegt vor.

Besondere Kategorien personenbezogener Daten werden im Rahmen der gesetzlich vorgesehenen Bedingungen und unter Ergreifung ausreichender technischer und administrativer Maßnahmen verarbeitet. Bei der Verarbeitung besonderer Kategorien personenbezogener Daten werden zudem die Grundsätze der Erforderlichkeit, Verhältnismäßigkeit, des begrenzten Zugriffs und der erhöhten Sicherheit beachtet.

Das Unternehmen legt bei personenbezogenen Datenverarbeitungstätigkeiten die rechtlichen Grundlagen für jede Datenkategorie gesondert fest und führt die Verarbeitungstätigkeiten in diesem Rahmen durch. Verarbeitungstätigkeiten, für die keine Verarbeitungsbedingung besteht oder deren Bedingung nachträglich entfällt, werden unverzüglich überprüft; erforderlichenfalls wird der betreffende Verarbeitungsvorgang beendet und die Daten werden gelöscht, vernichtet oder anonymisiert.

Bei Datenverarbeitungstätigkeiten, die auf ausdrücklicher Einwilligung beruhen, wird sichergestellt, dass die Einwilligung sich auf einen bestimmten Sachverhalt bezieht, auf Information beruht und aus freiem Willen erteilt wurde. Zudem wird berücksichtigt, dass die ausdrückliche Einwilligung einen Ausnahmecharakter hat, wenn keine andere rechtmäßige Bedingung für die Datenverarbeitung vorliegt.

3.2. ÜBERMITTLUNG PERSONENBEZOGENER DATEN

Die vom Unternehmen verarbeiteten personenbezogenen Daten können gemäß den Bestimmungen der einschlägigen Gesetzgebung und beschränkt auf die Zwecke der Datenverarbeitung an folgende Parteien übermittelt werden:

• befugte öffentliche Institutionen und Organisationen,
• Gerichte, Vollstreckungsämter und offizielle Behörden,
• Strafverfolgungsbehörden sowie Regulierungs- oder Aufsichtsbehörden,
• Banken und Finanzinstitute,
• Parteien, die Finanzberatungs- und Buchhaltungsdienstleistungen erbringen,
• Lieferanten und Dienstleistungsunternehmen,
• Geschäftspartner und Lösungspartner,
• Dienstleister im Bereich Informationstechnologie,
• Personen und Organisationen, von denen Rechts-, Prüfungs- und Beratungsdienstleistungen bezogen werden,
• Gesundheitseinrichtungen, Ärzte, vermittelnde Gesundheitsdienstleister und sonstige Parteien, von denen im Rahmen des Gesundheitstourismus Dienstleistungen bezogen werden,
• Fluggesellschaften, Unterkunftseinrichtungen, Transfer- und Transportdienstleister, Autovermietungen und Dienstleister, die an Organisationsprozessen beteiligt sind,
• Organisationen, die Archivierungs-, Unterstützungs- und ähnliche Dienstleistungen erbringen.

Bei der Übermittlung personenbezogener Daten wird gemäß den in den Artikeln 8 und 9 des Gesetzes geregelten Bedingungen gehandelt. Mit den Dritten, an die Daten übermittelt werden, werden die notwendigen vertraglichen, administrativen und technischen Sicherheitsmaßnahmen eingerichtet. Bei der Übermittlung von Daten ins Ausland werden im Rahmen der aktuellen Gesetzgebung Angemessenheitsbeschlüsse, geeignete Garantien, Standardverträge oder andere vom Ausschuss akzeptierte Übermittlungsmechanismen berücksichtigt.

In Übermittlungsprozessen zählen die Weitergabe nur der erforderlichen Datenmenge, die klare Festlegung des Zwecks der Datenübermittlung, die Bewertung der Datensicherheitskapazität der empfangenden Partei und die erforderlichenfalls nachweisbare Führung von Übermittlungsaufzeichnungen zu den grundlegenden Prinzipien.

3.3. AUFBEWAHRUNG UND VERNICHTUNG PERSONENBEZOGENER DATEN

Das Unternehmen bewahrt personenbezogene Daten nur für die Dauer auf, die durch die Zwecke ihrer Verarbeitung erforderlich ist, und im Rahmen der in der einschlägigen Gesetzgebung vorgesehenen Aufbewahrungsfristen. Gemäß dem Gesetz und der einschlägigen Verordnung müssen personenbezogene Daten gelöscht, vernichtet oder anonymisiert werden, wenn die Verarbeitungsgründe entfallen.

Ist in der Gesetzgebung keine ausdrückliche Aufbewahrungsfrist vorgesehen, werden personenbezogene Daten entsprechend den Unternehmenspraktiken, Handelsbräuchen, Nachweispflichten, Verjährungsfristen und rechtlichen Anforderungen für angemessene Zeiträume aufbewahrt, die mit dem Zweck ihrer Verarbeitung zusammenhängen.

Nach Ablauf der Aufbewahrungsfrist oder Wegfall der Datenverarbeitungsbedingungen werden personenbezogene Daten durch die geeignete Methode der Löschung, Vernichtung oder Anonymisierung vernichtet.

Die Vernichtungsprozesse werden im Rahmen der vom Unternehmen erstellten Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten durchgeführt, und regelmäßige periodische Vernichtungsprozesse werden umgesetzt.

Das Unternehmen bewertet bei Aufbewahrungs- und Vernichtungsprozessen die Art der Daten, das Medium, auf dem sie sich befinden, das Zugriffsrisiko, den Verarbeitungszweck, gesetzliche Verpflichtungen und mögliche Streitigkeiten gemeinsam. Bei der Vernichtung physischer Dokumente werden sichere Vernichtungsmethoden verwendet; bei der Vernichtung von Daten in elektronischen Medien werden irreversible technische Methoden eingesetzt. Bei der Vernichtung besonderer Kategorien personenbezogener Daten werden zudem strengere Sicherheitsmaßnahmen angewendet.

ABSCHNITT 4

4.1. TECHNISCHE UND ADMINISTRATIVE MASSNAHMEN

Das Unternehmen ergreift die erforderlichen technischen und administrativen Maßnahmen, um die unrechtmäßige Verarbeitung personenbezogener Daten und den unrechtmäßigen Zugriff darauf zu verhindern, die Aufbewahrung personenbezogener Daten zu gewährleisten und ein angemessenes Sicherheitsniveau sicherzustellen.

Die wichtigsten in diesem Rahmen angewendeten technischen Maßnahmen sind:

• Einrichtung von Berechtigungsmatrizen und Zugriffskontrollsystemen,
• Anwendung benutzerbasierter Autorisierungs- und Authentifizierungsmechanismen,
• Führung, Überwachung und erforderlichenfalls Prüfung von Log-Aufzeichnungen,
• Einsatz von Firewalls, Schutz vor Schadsoftware und Endpunktsicherheitssystemen,
• Erstellung und Prüfung von Datensicherungs- und Notfallwiederherstellungsplänen,
• Gewährleistung von Netzwerk- und Systemsicherheitskontrollen,
• Anwendung aktueller Software- und System-Patches,
• Sicherstellung von Zugriffskontrollen für physische Archiv- und Serverbereiche,
• Anwendung von Verschlüsselungsmethoden in Datenbanken und tragbaren Medien, soweit erforderlich,
• Durchführung regelmäßiger Sicherheitskontrollen an Kamerasystemen, Benutzergeräten und IT-Infrastrukturen,
• Anwendung präventiver Kontrollen gegen Risiken unbefugter Datenkopien, Datenlecks und Übertragungen an externe Umgebungen,
• Aufbewahrung von Sicherungskopien in sicheren Umgebungen und Führung von Zugriffsaufzeichnungen,
• Nutzung sicherer Verbindungs- und Authentifizierungsmechanismen bei Fernzugriffsprozessen.

Im Rahmen administrativer Maßnahmen wird Folgendes gewährleistet:

• regelmäßige Schulungen der Mitarbeiter zum Schutz personenbezogener Daten und zur Informationssicherheit,
• Unterzeichnung von Vertraulichkeitsvereinbarungen und Verpflichtungserklärungen,
• Erstellung und Aktualisierung von Datenverarbeitungsinventaren,
• Betrieb interner Prüfungs- und Kontrollmechanismen,
• Aufnahme von Bestimmungen zur Datensicherheit in Verträge mit Dritten,
• Überprüfung und Beendigung von Zugriffsberechtigungen bei Aufgabenwechsel oder Ausscheiden aus dem Unternehmen,
• Festlegung von Aufbewahrungs- und Zugriffsregeln für physische Dokumente, Personalakten, Besucheraufzeichnungen, Patientenakten, Reservierungsakten und ähnliche Aufzeichnungsmedien,
• Anwendung zusätzlicher Kontrollmechanismen für die Verarbeitung besonderer Kategorien personenbezogener Daten,
• Aktualisierung von Informationstexten, Texten zur ausdrücklichen Einwilligung und Antragsprozessen,
• Bekanntgabe von Meldeverfahren für Datenschutzverletzungen und Sicherheitsvorfälle an die Mitarbeiter,
• Klärung von Befugnissen und Verantwortlichkeiten im Rahmen von Stellenbeschreibungen,
• Berücksichtigung von Datensicherheitskriterien bei der Auswahl von Lieferanten und Dienstleistern.

Das Unternehmen betrachtet die ergriffenen technischen und administrativen Maßnahmen nicht als statische Struktur, sondern als dynamischen Compliance-Bereich, der im Einklang mit technologischen Entwicklungen, veränderten Risiken, Transformationen in Geschäftsprozessen und gesetzlichen Aktualisierungen kontinuierlich überprüft werden muss.

4.2. MANAGEMENT VON DATENSCHUTZVERLETZUNGEN

Das Unternehmen betreibt die notwendigen Reaktionsprozesse, wenn personenbezogene Daten unrechtmäßig erlangt, offengelegt, verloren, verändert oder unbefugtem Zugriff ausgesetzt werden.

In diesem Rahmen:

• werden bei Feststellung einer Datenschutzverletzung unverzüglich die betreffenden Einheiten und zuständigen Verantwortlichen informiert,
• werden die erforderlichen technischen und administrativen Maßnahmen getroffen, um die Auswirkungen der Verletzung zu minimieren,
• werden Umfang der Verletzung, betroffene Datenkategorien, Gruppen betroffener Personen und mögliche Folgen bewertet,
• wird erforderlichenfalls eine Meldung an den Ausschuss für den Schutz personenbezogener Daten innerhalb der gesetzlich vorgeschriebenen Frist und Form vorgenommen,
• werden erforderlichenfalls die betroffenen Personen auf geeignete Weise informiert,
• werden Korrektur- und Präventivmaßnahmen zur Verhinderung einer Wiederholung der Verletzung geplant und umgesetzt,
• wird nach dem Vorfall eine Bewertung durchgeführt und bestehende Kontrollmechanismen werden überprüft.

Die Prozesse im Zusammenhang mit Datenschutzverletzungen werden im Rahmen der vom Unternehmen erstellten Richtlinie zur Reaktion auf Datenschutzverletzungen durchgeführt.

Das Unternehmen kann eine Datenschutzverletzung nicht nur als ein Ereignis betrachten, das bereits einen Schaden verursacht hat, sondern auch als jede Schwachstelle, jeden Fehler, jeden unzulässigen Zugriff, jede Überschreitung von Befugnissen oder jeden Kontrollmangel, der eintreten könnte und die Sicherheit personenbezogener Daten gefährdet. Daher sind beim Management von Datenschutzverletzungen frühzeitige Erkennung, schnelle Berichterstattung, Klassifizierung des Vorfalls, Zuweisung von Verantwortlichkeiten und Erstellung eines Verbesserungsplans wesentlich.

ABSCHNITT 5

5.1. RECHTE DER BETROFFENEN PERSON

Betroffene Personen haben im Rahmen von Artikel 11 des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten folgende Rechte: zu erfahren, ob ihre personenbezogenen Daten verarbeitet werden; Auskunft darüber zu verlangen, wenn sie verarbeitet wurden; den Zweck der Verarbeitung und zu erfahren, ob die Daten zweckgemäß verwendet werden; die Dritten zu kennen, an die die Daten im Inland oder Ausland übermittelt wurden; die Berichtigung unvollständig oder falsch verarbeiteter Daten zu verlangen; die Löschung oder Vernichtung der Daten zu verlangen; zu verlangen, dass diese Vorgänge den Dritten mitgeteilt werden, an die die Daten übermittelt wurden; der Entstehung eines nachteiligen Ergebnisses durch ausschließlich automatisierte Analyse zu widersprechen; und Ersatz des entstandenen Schadens zu verlangen.

Das Unternehmen legt Wert darauf, die Anträge betroffener Personen innerhalb eines wirksamen, zugänglichen und überprüfbaren Systems zu bewerten und die Anfragen nicht nur formal, sondern auch inhaltlich zu prüfen und abzuschließen. In den Antragsprozessen gehören Identitätsprüfung, Klärung des Umfangs des Antrags, Einholung von Stellungnahmen der zuständigen Einheiten und Beachtung gesetzlicher Fristen zu den grundlegenden Prinzipien.

5.2. ANTRAGSVERFAHREN

Betroffene Personen können ihre Anträge bezüglich der oben genannten Rechte über die vom Unternehmen festgelegten Antragswege übermitteln.

Anträge können übermittelt werden:

• schriftlich,
• über einen Notar,
• über die im System des Unternehmens registrierte E-Mail-Adresse,
• über andere von der Gesetzgebung zugelassene Methoden.

Die Kontaktdaten, an die Anträge übermittelt werden können, lauten wie folgt:

Firmenbezeichnung: Smirni Gesundheitsdienste Tourismus Beratung Gesellschaft mit beschränkter Haftung

Adresse: Kartaltepe Mah. Saydam Sk. No:13/A Küçükçekmece / Istanbul

E-Mail: consultancy@qualitylifehealthtravel.info

Telefon: +90 538 971 49 33

Website: qualitylifehealth.com

Anträge werden innerhalb der in der Gesetzgebung vorgesehenen Fristen abgeschlossen. Sollte der Antrag zusätzliche Kosten verursachen, kann der vom Ausschuss für den Schutz personenbezogener Daten festgelegte Gebührentarif angewendet werden. Das Unternehmen erstellt seine Antwort auf den Antrag klar, verständlich, begründet und überprüfbar.

Bei der Bewertung von Anträgen wird außerdem geprüft, ob die antragstellende Person tatsächlich die betroffene Person ist, auf welche Datenverarbeitungstätigkeit sich der Antrag bezieht, ob die Erfüllung des Antrags die Rechte und Freiheiten anderer Personen verletzen würde und ob er mit den rechtlichen Verpflichtungen des Unternehmens kollidiert.

ABSCHNITT 6

6.1. INKRAFTTRETEN UND AKTUALISIERUNG

Diese Richtlinie tritt an dem Tag in Kraft, an dem sie von der Geschäftsleitung des Unternehmens genehmigt wird.

Die Richtlinie wird im Einklang mit Gesetzesänderungen, Entscheidungen des Ausschusses für den Schutz personenbezogener Daten, technologischen Entwicklungen, Änderungen in der Organisationsstruktur des Unternehmens, Aktualisierungen der Datenverarbeitungsprozesse und Risikobewertungen regelmäßig überprüft und erforderlichenfalls aktualisiert.

Das Unternehmen ist verpflichtet, die aktuelle Fassung der Richtlinie seinen Mitarbeitern und den betreffenden Parteien bekanntzugeben.

Bei Aktualisierungsprozessen werden in der Praxis auftretende Bedürfnisse, interne Prüfungsergebnisse, Erfahrungen mit Datenschutzverletzungen, Übergänge zu neuen Systemen, Änderungen in Beziehungen zu Dritten und bewährte Verfahren im Bereich des Datenschutzes berücksichtigt. Änderungen an der Richtlinie werden erforderlichenfalls auch in die entsprechenden Verfahren, Anweisungen, Vertragsanhänge und Informationstexte übernommen.

Das Unternehmen legt zugrunde, dass diese Richtlinie nicht nur eine schriftliche Regelung bleibt, sondern zu einem wirksamen Managementinstrument wird, das in der Praxis lebt, vom Personal gekannt und verinnerlicht wird und in die Geschäftsprozesse integriert ist.