Artikel 12/5 des Gesetzes zum Schutz personenbezogener Daten Nr. 6698 (KVKK) verpflichtet Datenverantwortliche, den Vorstand innerhalb von 72 Stunden und die betroffene Person so schnell wie möglich im Falle einer Datenschutzverletzung zu benachrichtigen.
Was ist eine Datenschutzverletzung?
Personenbezogene Daten, die von anderen auf illegale Weise erlangt wurden; Verlust, Löschung, Änderung, Offenlegung oder unbefugter Zugriff.
Häufige Beispiele
- Cyberangriff auf Unternehmensdatenbank (Ransomware, Hacking)
- Unerlaubtes Kopieren und externe Weitergabe von Mitarbeiterdaten
- Verwenden Sie „CC“ anstelle von „BCC“ beim Senden von E-Mails
- Datenleck aufgrund von USB-/Laptop-Verlust
- Offenlegung von Kundendaten aufgrund einer Sicherheitslücke auf der Website
- Falsche Zugriffsberechtigung
Meldepflicht
An den KVKK-Vorstand innerhalb von 72 Stunden
Eine Benachrichtigung erfolgt über das Formular auf der Website der Institution innerhalb von 72 Stunden nach der Erkennung der Datenschutzverletzung. Formularinhalt:
- Beginndatum und Dauer des Verstoßes
- Vom Verstoß betroffene Datenkategorien
- Anzahl der betroffenen Kontakte
- Mögliche Folgen eines Verstoßes
- Ergriffene und zu ergreifende Maßnahmen
- Kontaktdaten
Benachrichtigung an relevante Personen
Betroffene Personen werden schnellstmöglich per E-Mail, SMS, KEP oder Website-Ankündigung informiert.
Sanktionsbefugnisse des Vorstandes (KVKK Artikel 18)
- Verwaltungsstrafe: Zwischen 50.000 TL und 2.000.000 TL (jährlich aktualisiert)
- Verstoß gegen die Informationspflicht
- Nichteinhaltung von Verpflichtungen zur Datensicherheit
- Nichteinhaltung von Vorstandsbeschlüssen
- Verstoß gegen die Pflicht zur Registrierung im Register der Datenverantwortlichen
Wichtige Entscheidungen des Vorstands
Vorbereitung als Datenverantwortlicher
- Registrierung im VERBİS (Data Controllers Registry)
- Vorfallreaktionsplan
- Datenbestand
- Informationstexte und ausdrückliche Einwilligung
- Mitarbeiterschulung
- Penetrationstests und Sicherheitsaudit
- Datenverarbeitungsvereinbarungen (mit Dritten)
Rechte der betroffenen Person (KVKK Artikel 11)
- Erfahren Sie, ob Ihre Daten verarbeitet werden
- Wenn es verarbeitet wird, prüfen Sie, ob es für seinen Zweck geeignet ist
- Erfahren der Dritten, an die es übertragen wurde
- Korrektur bei unvollständiger/fehlerhafter Verarbeitung anfordern
- Antrag auf Löschung/Vernichtung
Datenhaftungspflichten können bei Fahrlässigkeit zu hohen Strafen führen. Beratung für KVKK-Compliance-Prozesse wird empfohlen.