Güneş & Güneş
Rechtliche Unterstützung bei KVKK-Beratung und Compliance, Verarbeitung und Übermittlung personenbezogener Daten, Datenverletzungen, Anträgen beim Datenschutzgremium (Kurul) und Klageverfahren.
Rechtlicher Ansatz nach Ihrem Bedarf
Das KVKK regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und welche Rechte Personen an diesen Daten haben. Die rechtliche Arbeit betrachtet die tatsächlichen Abläufe, von der Erhebung der Daten bis zu ihrer Weitergabe und Vernichtung.
Als Rechtsanwaltskanzlei Güneş & Güneş beurteilen wir die Compliance-Arbeit von Einrichtungen und die Rechtsverfolgung von Einzelpersonen als getrennte Anliegen. In unserer Kanzlei mit Sitz in Antalya bestimmen wir den Umfang von Antrag, Beratung und Streitbegleitung nach der jeweiligen Akte.
Dateninventar, Datenschutzhinweis, VERBİS, Verträge und Übermittlung ins Ausland.
Compliance-Umfang ansehen 02 · PERSÖNLICHE RECHTEAntrag beim Verantwortlichen, Beschwerde beim Kurul, Schadensersatz und Klagemöglichkeiten.
Antragswege ansehen 03 · VERLETZUNG UND PRÜFUNGMeldung der Verletzung, Sicherung von Beweisen und Vorbereitung auf eine Prüfung durch den Kurul.
Ablauf bei Datenverletzungen ansehenKVKK-Beratung und Compliance
Über vorgefertigte Texte hinaus gehen wir davon aus, welche Daten von wem, zu welchem Zweck und wie lange verarbeitet werden. Die folgenden Arbeiten werden nach Bedarf und Umfang der Mandatsübernahme geplant.
Geschäftsbereiche, Datenkategorien, Verarbeitungszwecke, Rechtsgrundlagen, Empfänger und Aufbewahrungsfristen werden gemeinsam geprüft. Die Rollen von Verantwortlichem und Auftragsverarbeiter werden anhand der tatsächlichen Entscheidungs- und Handlungsbefugnisse bestimmt.
Arbeitsergebnis: Datenflusskarte, Inventar und Liste vorrangiger Maßnahmen.
Für die Prozesse von Beschäftigten, Kunden, Besuchern und Bewerbern werden passende Hinweise erstellt. Verarbeitungen, die eine ausdrückliche Einwilligung erfordern, werden gesondert bewertet; Datenschutzhinweis und Einwilligung werden nicht als Texte konzipiert, die einander ersetzen.
Arbeitsergebnis: Prozessspezifische Texte, Bereitstellungspunkte und Dokumentationsordnung.
Im Hinblick auf das Informationssystem des Verantwortlichenregisters (VERBİS) wird geprüft, ob eine Registrierungspflicht oder eine Ausnahme besteht. Zwischen Inventar, Registermeldungen sowie Aufbewahrungs- und Vernichtungsrichtlinien wird Konsistenz hergestellt.
Arbeitsergebnis: Bewertung der Pflicht sowie erforderliche Register- und Richtlinienarbeiten.
Datenbewegungen bei Cloud-, E-Mail-, Kundenbeziehungs- und Supportdiensten werden geprüft. Der anwendbare Übermittlungsmechanismus, die Rollen der Beteiligten sowie Vertrags- und Meldeerfordernisse werden gemeinsam behandelt.
Arbeitsergebnis: Übermittlungskarte, geeigneter Mechanismus und Ablaufplan.
Personalakten, Gesundheits- und biometrische Daten sowie Kamera- und Zugangsprotokolle werden bewertet. Verarbeitungsvoraussetzung, Verhältnismäßigkeit, Zugriffsbefugnisse und Aufbewahrungsordnung werden für jeden Prozess gesondert bestimmt.
Arbeitsergebnis: Rechtliche Regelungen für Personalprozesse.
Formulare, Cookies, Analyse-, Werbe- und KI-Werkzeuge werden im Hinblick auf die erhobenen Daten und die Weitergabe an Dritte geprüft. Ziel ist, dass die sichtbaren Texte mit den vom technischen Team tatsächlich umgesetzten Einstellungen und Datenflüssen übereinstimmen.
Arbeitsergebnis: Liste rechtlicher Anforderungen und Umsetzungskontrollen.
Die Pflichten von Dienstleistern in Bezug auf Weisungen, Vertraulichkeit, Sicherheit, Unterauftragnehmer und Meldung von Verletzungen werden geregelt. Prüfung, Rückgabe von Daten sowie Löschung und Vernichtung bei Ende der Geschäftsbeziehung werden im Vertrag abgebildet.
Arbeitsergebnis: Regelungen zur Datenverarbeitung, Vertragsanlagen und Verteilung der Verantwortung.
Die Beantwortung von Anträgen betroffener Personen, Auskunfts- und Unterlagenanforderungen des Kurul, Stellungnahmen und Sanktionen werden rechtlich bewertet. Beschwerden, Klagen und Schadensersatzforderungen werden auf den Wegen behandelt, die der konkrete Fall erfordert.
Arbeitsergebnis: Antrags- und Antwortakte sowie Plan zur Begleitung der Streitigkeit.
KVKK-Compliance erfordert Kontinuität. Die Veröffentlichung eines Textes oder die Eintragung in VERBİS bedeutet nicht, dass alle Datenverarbeitungstätigkeiten von selbst rechtmäßig werden. Neue Systeme, Lieferanten und Geschäftsprozesse müssen gesondert bewertet werden.
Antrag · Beschwerde · Klage
Sie haben Rechte wie zu erfahren, ob Ihre Daten verarbeitet werden, Auskunft zu verlangen, Berichtigung zu verlangen und, sobald die Voraussetzungen vorliegen, Löschung oder Vernichtung zu verlangen. Bei einem behaupteten Verstoß sind der Antrag beim Verantwortlichen, die Beschwerde beim Kurul und der Rechtsweg nicht dasselbe Verfahren. [1]
Der Adressat des Antrags, die Zeitpunkte der Kenntnisnahme und der Antwort, die vorhandenen Beweise und das gewünschte Ergebnis müssen gemeinsam bestimmt werden.
Es wird klar angegeben, um welche Daten und welche Verarbeitung es geht, wie weit die Forderung reicht und worauf sie sich stützt; das Datum, an dem der Antrag zugeht, wird festgehalten. Der Verantwortliche schließt den Antrag so schnell wie möglich ab, spätestens innerhalb von 30 Tagen.
Wurde die Forderung abgelehnt, ist die Antwort unzureichend oder wurde innerhalb von 30 Tagen nicht geantwortet, kann der Beschwerdeweg in Betracht kommen. In der Regel sind 30 Tage ab Kenntnis der Antwort und in jedem Fall die Grenze von 60 Tagen ab dem Antrag zu beachten. Ausbleibende und verspätete Antwort werden gesondert bewertet. [2]
Klagen gegen Maßnahmen des Kurul und Verwaltungsgeldbußen, Schadensersatz bei Vorliegen der Voraussetzungen sowie strafrechtliche Wege werden jeweils gesondert geprüft. Anhand der Entscheidung, des Zustellungsdatums und früherer Stellungnahmen werden die zuständige Stelle, die Antragsfrist und der mögliche Rechtsschutz bestimmt.
Eine vom Kurul verhängte Verwaltungsgeldbuße ist kein Schadensersatz, der an die betroffene Person gezahlt wird.
Der Anspruch auf Ersatz des Schadens unterliegt gesonderten rechtlichen Voraussetzungen. Auch die Gesprächsanfrage an die Kanzlei ersetzt nicht den Antrag, der beim Verantwortlichen oder beim Kurul zu stellen ist.
Datenverletzung und Prüfung durch den Kurul
Eine an den falschen Empfänger gesendete Datei, ein unbefugter Zugriff oder ein Cyberangriff kann in Bezug auf personenbezogene Daten eine gesonderte Bewertung erfordern. Die erste Aufgabe besteht darin, zu bestimmen, wann der Vorfall bekannt wurde und welche Daten er betraf.
Arbeitsweise und Verantwortung
Umfang der Arbeit, die von Ihnen benötigten Angaben und die zu teilenden Ergebnisse legen wir zu Beginn fest. Ein Compliance-Projekt und eine dringende Datenverletzung oder Klageakte werden mit unterschiedlichen Zeitplänen geführt.
Geschäftsbereiche, Systeme, Unterlagen und Vorfallhistorie werden geprüft. Fehlende Angaben und vorrangige Risiken werden bestimmt.
Maßnahme, verantwortliche Person, Zieltermin und erwartetes Ergebnis werden einander zugeordnet. Entscheidungsbedürftige Fragen werden Ihnen vorgelegt.
Texte, Verträge und Anträge werden erstellt; technische und administrative Umsetzungen werden mit den zuständigen Teams abgestimmt.
Bei der übernommenen Arbeit werden Entwicklungen, offene Maßnahmen und von Ihnen erwartete Entscheidungen in der vereinbarten Form mitgeteilt.
Unsere Kanzlei führt die rechtliche Bewertung und die übernommenen Handlungen durch. Ihre Einrichtung teilt die tatsächlichen Datenflüsse und Entscheidungsbefugnisse mit. Das technische Team setzt Zugriffs-, Aufbewahrungs-, Protokoll- und Sicherheitskontrollen um. Penetrationstests, digitale Forensik und technische Reaktion auf Vorfälle sind gesonderte Fachaufgaben; bei Bedarf wird der Umfang der Koordination gesondert festgelegt.
Der verantwortliche Rechtsanwalt oder das Team wird bei der Mandatsannahme bestimmt. Beruflichen Werdegang und Tätigkeitsbereiche können Sie auf unserer Teamseite einsehen.
Unsere Anwältinnen und Anwälte kennenlernenBewertung nach den tatsächlichen Abläufen
Die folgenden Situationen sind erläuternde Beispiele; sie sind weder Schilderungen tatsächlicher Mandantenakten noch erzielter Ergebnisse.
Identitäts- und Kontaktangaben, Kameraaufzeichnungen, Reservierungsplattformen und Treueprogramme werden gemeinsam geprüft. Die gesetzliche Meldepflicht wird vom Marketingzweck getrennt; nicht jedem Empfänger werden dieselben Daten übermittelt.
Für Gesundheitsangaben von Patienten oder Beschäftigten, Berichte und biometrische Anwendungen werden Verarbeitungsvoraussetzung und Zugriffsbefugnis bewertet. Die Sensibilität der Daten wird in Sicherheits- und Aufbewahrungsordnung abgebildet.
Der Datenaustausch von Mitgliedschafts-, Liefer-, Support-, Analyse- und Werbewerkzeugen wird bestimmt. Auch personenbezogene Daten, die an Cloud- oder KI-Anbieter übermittelt werden, werden in die Bewertung einbezogen.
Vorbereitung auf das Gespräch
Für die erste Anfrage genügen eine kurze Zusammenfassung des Themas, die Stellung der Beteiligten und gegebenenfalls eine nahende Frist. Wie detaillierte Unterlagen übermittelt werden, wird geklärt, sobald der Bedarf feststeht.
Bitte fügen Sie Ihrer ersten Nachricht keine detaillierten Angaben zu Identität, Gesundheit, Bankverbindung oder zu Dritten bei. Erforderliche Unterlagen sollten auf dem von unserer Kanzlei mitgeteilten Weg und zum Zweck der rechtlichen Bewertung übermittelt werden. Sie können den Datenschutzhinweis und unsere Erläuterungen zu Vertraulichkeit und Informationssicherheit einsehen.
Häufig gestellte Fragen
Häufig verwechselte Pflichten und die Grenzen der Anwendung. Die Voraussetzungen des konkreten Falls werden gesondert geprüft.
Nein. Die Ausnahme von der Registereintragung beseitigt für sich allein nicht alle Pflichten nach dem KVKK. Rechtsgrundlage der Verarbeitung, Datenschutzhinweis, Sicherheit und Anträge betroffener Personen werden gesondert bewertet. Der Eintragungsstatus ist anhand der aktuellen Beschlüsse des Kurul und der Merkmale der Einrichtung zu bestimmen. [4]
Nein. Zunächst werden die Verarbeitungsvoraussetzungen des Gesetzes geprüft; die ausdrückliche Einwilligung ist eine davon. Wo sie erforderlich ist, muss die Einwilligung sich auf einen bestimmten Gegenstand beziehen, informiert sein und auf freiem Willen beruhen. Der Datenschutzhinweis ist demgegenüber eine von der jeweils genutzten Verarbeitungsvoraussetzung getrennte Pflicht. Jede Verarbeitung von einer einzigen allgemeinen Zustimmung abhängig zu machen, ist kein richtiger Ansatz. [5]
Die Nutzung hängt davon ab, dass die jeweiligen Übermittlungsvoraussetzungen erfüllt sind. Zunächst wird bestimmt, welche Daten an welchen Empfänger und in welches Land übermittelt werden. Ein Angemessenheitsbeschluss, geeignete Garantien und, sofern die Voraussetzungen vorliegen, Wege der gelegentlichen Übermittlung werden bewertet. Wird ein Standardvertrag verwendet, ist die Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu) innerhalb von fünf Werktagen nach Abschluss der Unterzeichnungen zu benachrichtigen. Eine regelmäßige Übermittlung kann nicht allein mit dem Hinweis „wir haben eine Zustimmung eingeholt“ aus der Bewertung ausgenommen werden. [6]
Ja. Diese Daten gehören zu den besonderen Kategorien personenbezogener Daten. Ihre Verarbeitung wird im Rahmen der Voraussetzungen des Artikels 6 des Gesetzes und der vom Kurul festgelegten angemessenen Maßnahmen bewertet. Dass Daten am Arbeitsplatz oder in einer Anwendung erhoben werden können, bedeutet nicht, dass sie zu jedem Zweck verarbeitet werden dürfen. [7]
Der Anwendungsbereich der beiden Regelwerke ist nicht derselbe. Ob wegen eines Bezugs zur Europäischen Union, des Zielpublikums und des Datenflusses eine Prüfung nach der DSGVO nötig ist, wird gesondert bestimmt. Die rechtliche Arbeit in der Türkei und eine Prüfung ausländischen Rechts oder ein Bedarf an örtlicher Vertretung werden mit getrenntem Umfang und getrennten Verantwortlichkeiten geplant.
Grundlagen der rechtlichen Information
Dies sind allgemeine Informationen. Die Bewertung von Antrag und Klage erfolgt anhand der Unterlagen des konkreten Falls und der am Tag der Handlung geltenden Rechtsvorschriften.
Kontakt und Gespräch
Sie können den Compliance-Bedarf Ihres Unternehmens, Ihren Antrag zu personenbezogenen Daten oder Ihre bestehende Streitigkeit kurz schildern.
Wenn Sie ausführlichere Angaben machen oder Ihren Gesprächszeitpunkt nennen möchten, können Sie zur jeweiligen eigenständigen Seite wechseln.
Umfang der rechtlichen Tätigkeit, Honorar und erforderliche Bevollmächtigung werden bei der Mandatsannahme gesondert festgelegt.
Eine Nachricht an die Kanzlei begründet kein Mandatsverhältnis und bedeutet nicht, dass die Betreuung von Akte und Fristen übernommen wird. Informieren Sie sich über das Verfahren der Anfrage und der Mandatsannahme.