Speicherung und Löschung personenbezogener Daten

Beim Einkaufen, Surfen im Internet oder Herunterladen von Apps geben wir unsere personenbezogenen Daten oft bewusst oder unbewusst weiter. Die von uns bereitgestellten Daten werden verarbeitet und entweder für Werbezwecke oder für Betrugsmethoden gegen uns verwendet. Daher ist die Speicherung und Löschung personenbezogener Daten für die persönliche Sicherheit von großer Bedeutung. Rechtsanwältin Öykü Ergün hat die Gesetze und Verordnungen zum KVKK für 12punto erläutert.

Ergüns Artikel lautet wie folgt:

Die Grundlage für die Speicherung und Löschung personenbezogener Daten bildet in erster Linie das Gesetz zum Schutz personenbezogener Daten Nr. 6698 („KVKK“), gefolgt von der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten („Verordnung“), die im Amtsblatt vom 28.10.2017 mit der Nummer 30224 veröffentlicht wurde, sowie dem Leitfaden zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten („Leitfaden“), der von der Behörde für den Schutz personenbezogener Daten („Behörde“) erstellt wurde. Im Einklang mit dieser Gesetzgebung lässt sich festlegen, wie die personenbezogenen Daten eines Arbeitnehmers gespeichert und bei Bedarf gelöscht werden müssen.

Um die Details der Löschung personenbezogener Daten festzulegen und verfahrenstechnische Einheitlichkeit zu gewährleisten, wurde die Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten im Amtsblatt vom 28.10.2017 mit der Nummer 30224 veröffentlicht.

Artikel 4 der Verordnung erläutert die Löschung personenbezogener Daten unter Verwendung der Begriffe Löschen, Vernichten oder Anonymisieren.

Die Löschung personenbezogener Daten bezeichnet den Vorgang, bei dem personenbezogene Daten für die betreffenden Nutzer in keiner Weise mehr zugänglich oder wiederverwendbar gemacht werden. Wie der Löschvorgang genau durchzuführen ist, ist in der Verordnung nicht geregelt. Es wird lediglich darauf hingewiesen, dass der für die Datenverarbeitung Verantwortliche die notwendigen technischen und administrativen Maßnahmen für den Löschvorgang ergreifen muss. Daher kann der Arbeitgeber die Daten nach der von ihm gewählten Methode löschen, sofern diese der Art der Speicherung entspricht. Wie im Leitfaden angegeben, sollte bei Daten, die in einem Cloud-System gespeichert sind, ein Löschbefehl erteilt werden; befinden sie sich auf Papier, sollten sie durch Schwärzung unkenntlich gemacht werden.

Für die Vernichtung personenbezogener Daten ist die physische Zerstörung der Dokumente oder Hardware erforderlich, auf denen sich die Daten befinden.

Die Anonymisierung personenbezogener Daten unterscheidet sich etwas von den beiden anderen Begriffen. In der Verordnung ist die Anonymisierung personenbezogener Daten als der Vorgang definiert, bei dem personenbezogene Daten selbst bei einer Verknüpfung mit anderen Daten in keiner Weise mehr mit einer identifizierten oder identifizierbaren natürlichen Person in Verbindung gebracht werden können. Laut Leitfaden ist Anonymisierung der Prozess, bei dem durch das Entfernen oder Ändern aller direkten und/oder indirekten Identifikatoren in einem Datensatz die Identifizierung der betroffenen Person verhindert wird oder die Eigenschaft, in einer Gruppe oder Menge unterscheidbar zu sein, so verloren geht, dass kein Bezug mehr zu einer natürlichen Person hergestellt werden kann. Das bedeutet, dass anonyme Daten Daten sind, deren Verbindung zur Person vollständig gekappt wurde. Die jährlich vom türkischen Statistikamt TÜIK veröffentlichten statistischen Informationen können hierfür als Beispiel dienen, ebenso wie die Ergebnisse von Studien, die in der Öffentlichkeit als Wahlumfragen bekannt sind und die politischen Präferenzen der Bevölkerung widerspiegeln.

Obwohl Artikel 7 des KVKK eine allgemeine Bestimmung zur Löschung personenbezogener Daten darstellt, gibt es in verschiedenen Gesetzen spezifische Regelungen, insbesondere für Löschfristen.

„Löschung, Vernichtung oder Anonymisierung personenbezogener Daten“

ARTIKEL 7- (1) Obwohl sie gemäß diesem Gesetz und anderen einschlägigen gesetzlichen Bestimmungen verarbeitet wurden, werden personenbezogene Daten vom Verantwortlichen von Amts wegen oder auf Antrag der betroffenen Person gelöscht, vernichtet oder anonymisiert, wenn die Gründe für ihre Verarbeitung entfallen sind.

(2) Die Bestimmungen in anderen Gesetzen zur Löschung, Vernichtung oder Anonymisierung personenbezogener Daten bleiben unberührt.

(3) Die Verfahren und Grundsätze für die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten werden durch eine Verordnung geregelt.“

Zum Beispiel: Gemäß Art. 7/1 der Verordnung über arbeitsmedizinische Dienste „bewahrt der Arbeitgeber die persönlichen Gesundheitsakten der Arbeitnehmer für mindestens 15 Jahre ab dem Datum des Ausscheidens aus dem Arbeitsverhältnis auf“; gemäß Art. 17 der Verordnung über Gesundheits- und Sicherheitsmaßnahmen bei Arbeiten mit krebserzeugenden oder erbgutverändernden Stoffen werden die aktualisierten Listen der Arbeitnehmer, die in gesundheitsgefährdenden Bereichen tätig sind, sowie Aufzeichnungen über deren Exposition und Gesundheitsüberwachung „nach Beendigung der Exposition für mindestens 40 Jahre aufbewahrt“.

In diesem Zusammenhang, und um eine allgemeinere Regelung zu treffen, besagt Artikel 86 Absatz 2 des Gesetzes über die Sozialversicherung und die allgemeine Krankenversicherung bezüglich der Aufbewahrung von Personalakten: „Arbeitgeber und Inhaber von Arbeitsstätten sind verpflichtet, die Bücher, Aufzeichnungen und Dokumente der Arbeitsstätte für einen Zeitraum von zehn Jahren ab Beginn des auf das betreffende Jahr folgenden Jahres aufzubewahren; öffentliche Verwaltungen für dreißig Jahre, und Liquidations- oder Insolvenzverwalter für die Dauer ihrer Tätigkeit. Auf Verlangen der von der Anstalt mit der Prüfung und Kontrolle beauftragten Beamten sind diese innerhalb von fünfzehn Tagen vorzulegen.“ Verstößt der Arbeitgeber gegen diese Bestimmung, wird ein Bußgeld verhängt.

Im Rahmen des Arbeitsgesetzes („İK“) können Verjährungsfristen als Maßstab für die Aufbewahrungsdauer der personenbezogenen Daten des Arbeitnehmers herangezogen werden. Insbesondere wenn man bedenkt, dass die Verjährungsfrist für Streitigkeiten zwischen Arbeitnehmer und Arbeitgeber, die nach Beendigung des Arbeitsverhältnisses entstehen und auf den in Zusatzartikel 3 des İK genannten Forderungen beruhen, 5 Jahre beträgt, ist es angemessen, die Daten des Arbeitnehmers für diesen Zeitraum aufzubewahren. Für Forderungen, die nicht in Zusatzartikel 3 des İK aufgeführt sind, gilt die allgemeine Verjährungsfrist von 10 Jahren.

Ein weiteres Problem bei der Speicherung von Arbeitnehmerdaten ist die Frage, was mit den gesammelten Daten geschieht, wenn der Einstellungsprozess nicht erfolgreich war. Hier muss von der Zweckbindung gesprochen werden. Wenn es keinen gesetzlichen Grund gibt, die Daten einer Person, die sich beworben hat, nach einer negativen Entscheidung aufzubewahren, müssen die Daten unverzüglich gelöscht werden. Es kann jedoch Gründe geben, die eine Aufbewahrung dieser Daten erfordern. Wenn beispielsweise die Person, die sich beworben hat, glaubt, diskriminiert worden zu sein, und ihre gesetzlichen Rechte wahrnehmen möchte, ist die Aufbewahrung der Daten zwingend erforderlich. In diesem Fall ist die Aufbewahrung der Daten unter Berücksichtigung der gesetzlichen Verjährungsfristen für Rechtsbehelfe zulässig.

Wenn der Einstellungsprozess erfolgreich verläuft, stellt sich die Frage, welche Daten des Arbeitnehmers während der Ausübung der Tätigkeit gespeichert werden müssen. Einige der während des Bewerbungsprozesses verarbeiteten Daten sind möglicherweise für die Tätigkeit nicht mehr relevant; in diesem Fall müssen diese Daten gelöscht werden.

Personenbezogene Daten müssen gelöscht werden, wenn die Gründe für ihre Verarbeitung entfallen sind, auch wenn sie rechtmäßig verarbeitet wurden. Dies kann von Amts wegen oder auf Wunsch der betroffenen Person geschehen. Mit dem Wegfall des Grundes für die Verarbeitung entsteht für den Verantwortlichen die Pflicht zur Löschung dieser Daten. Der Inhaber der personenbezogenen Daten kann bei Unterlassung durch den Verantwortlichen die Löschung seiner Daten verlangen.

Ein dem Recht auf Berichtigung sowie dem Recht auf Löschung, auch bekannt als Recht auf Vergessenwerden, das in den Artikeln 16 und 17 der Datenschutz-Grundverordnung der Europäischen Union geregelt ist, ähnliches Recht findet sich in den Artikeln 11/e und 7 des KVKK. Demnach löscht der Verantwortliche personenbezogene Daten von Amts wegen oder auf Antrag der betroffenen Person, wenn die Gründe für die Verarbeitung der Daten entfallen sind.

Gemäß Art. 5 der Verordnung sind Verantwortliche, die gemäß Art. 16 des KVKK zur Registrierung im Register der für die Datenverarbeitung Verantwortlichen verpflichtet sind, dazu angehalten, eine Richtlinie zur Speicherung und Löschung personenbezogener Daten gemäß ihrem Inventar zur Verarbeitung personenbezogener Daten zu erstellen. Wer zur Registrierung im Register der für die Datenverarbeitung Verantwortlichen verpflichtet ist, ist in Art. 16/2 des KVKK geregelt.

„Natürliche und juristische Personen, die personenbezogene Daten verarbeiten, müssen sich vor Beginn der Datenverarbeitung im Register der für die Datenverarbeitung Verantwortlichen registrieren lassen. Von der Registrierungspflicht im Register der für die Datenverarbeitung Verantwortlichen kann jedoch durch die Behörde eine Ausnahme gewährt werden, wobei objektive Kriterien wie Art und Anzahl der verarbeiteten personenbezogenen Daten, die gesetzliche Grundlage der Datenverarbeitung oder die Übermittlung an Dritte berücksichtigt werden.“

Artikel 6 der Verordnung regelt den Umfang der Richtlinien. Gemäß diesem Artikel können die in den Richtlinien enthaltenen Elemente wie folgt aufgelistet werden: Zweck der Erstellung der Richtlinie, die durch die Richtlinie geregelten Speichermedien, Definitionen der in der Richtlinie verwendeten rechtlichen und technischen Begriffe, Erläuterung der rechtlichen, technischen und sonstigen Gründe, die eine Speicherung und Löschung personenbezogener Daten erfordern, Maßnahmen zur sicheren Speicherung personenbezogener Daten sowie zur Verhinderung ihrer rechtswidrigen Verarbeitung und des unbefugten Zugriffs, Maßnahmen zur rechtmäßigen Löschung personenbezogener Daten, Titel, Einheiten und Aufgabenbeschreibungen der an der Speicherung und Löschung personenbezogener Daten beteiligten Personen, eine Tabelle mit den Aufbewahrungs- und Löschfristen für personenbezogene Daten, Zeiträume für die regelmäßige Löschung personenbezogener Daten sowie Informationen zu Änderungen, falls die aktuelle Richtlinie aktualisiert wurde. Es ist darauf hinzuweisen, dass die ordnungsgemäße Erstellung der Richtlinie durch den Arbeitgeber nicht bedeutet, dass er die personenbezogenen Daten gesetzeskonform löscht.

Was die für den Löschvorgang festgelegten Fristen betrifft, so muss der Arbeitgeber, der zur Erstellung einer Richtlinie zur Speicherung und Löschung personenbezogener Daten verpflichtet ist, diese Daten bei der ersten regelmäßigen Löschung nach dem Datum löschen, an dem die Pflicht zur Löschung, Vernichtung oder Anonymisierung der personenbezogenen Daten entstanden ist; das in der Richtlinie festgelegte Intervall für die regelmäßige Löschung darf sechs Monate nicht überschreiten.

Arbeitgeber, die keine Richtlinie zur Speicherung und Löschung personenbezogener Daten erstellen müssen, sind verpflichtet, diese Daten von Amts wegen innerhalb von drei Monaten ab dem Zeitpunkt zu löschen, an dem die Löschung der Daten erforderlich wird. Diese Fristen können von der Behörde für den Schutz personenbezogener Daten verkürzt werden, wenn schwerwiegende oder irreparable Schäden drohen oder eine offensichtliche Rechtswidrigkeit vorliegt.

Bei der Löschung von Daten auf Antrag der Person muss der Arbeitgeber gemäß Artikel 12 der Verordnung, wenn die betroffene Person, d. h. die Person, deren Bewerbung abgelehnt wurde oder deren Arbeitsvertrag beendet wurde, einen Antrag stellt und die Löschung ihrer Daten verlangt, diesen Antrag innerhalb von spätestens 30 Tagen bearbeiten und den Arbeitnehmer informieren. Wenn die Bedingungen für die Verarbeitung personenbezogener Daten nicht entfallen sind, kann der Arbeitgeber den Antrag des Arbeitnehmers unter Angabe von Gründen ablehnen. Die Ablehnung wird dem Arbeitnehmer innerhalb von spätestens dreißig Tagen schriftlich oder auf elektronischem Wege mitgeteilt. Es ist sinnvoll, die unten aufgeführte Entscheidung der Behörde für den Schutz personenbezogener Daten zu diesem Thema zu prüfen.

„...Nachdem die Bewerbung der betroffenen Person beim Verantwortlichen negativ beschieden wurde, wurde der Antrag auf Löschung der vom Verantwortlichen verarbeiteten personenbezogenen Daten vom Verantwortlichen zunächst teilweise akzeptiert, wobei die Verarbeitung von Vorname, Nachname und Identitätsdaten fortgesetzt wurde. Später, nach einer zweiten Anfrage der betroffenen Person im gleichen Kontext, wurde mitgeteilt, dass die Entscheidung getroffen wurde, die betreffenden Daten im Rahmen des ersten regelmäßigen Löschprozesses gemäß der Löschrichtlinie des Verantwortlichen zu löschen. Da die personenbezogenen Daten entgegen dem Antrag der betroffenen Person nicht innerhalb von 30 Tagen gemäß Artikel 12 der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten gelöscht wurden und die Verarbeitung der personenbezogenen Daten der betroffenen Person ohne eine in Artikel 5 des Gesetzes genannte Verarbeitungsbedingung fortgesetzt wurde, wurde die Auffassung vertreten, dass der Verantwortliche nicht die notwendigen technischen und administrativen Maßnahmen gemäß Artikel 12 Absatz 1 des Gesetzes ergriffen hat, um ein angemessenes Sicherheitsniveau zur Verhinderung der rechtswidrigen Verarbeitung personenbezogener Daten zu gewährleisten. Daher wurde gegen den Verantwortlichen gemäß Artikel 18 Absatz 1 Buchstabe b des Gesetzes ein Bußgeld verhängt...“ (Entscheidung vom 06.07.2021, Nr. 2021/670)

In dem Fall, der der Entscheidung zugrunde liegt, hatte ein Bewerber, dessen Bewerbung negativ beschieden wurde, den Arbeitgeber aufgefordert, seine personenbezogenen Daten zu löschen, aber der Arbeitgeber antwortete, dass er die Daten nicht sofort, sondern zum Zeitpunkt der ersten regelmäßigen Löschung löschen werde. Daraufhin entschied die Behörde für den Schutz personenbezogener Daten, dass gegen den Verantwortlichen ein Bußgeld zu verhängen sei.

Rechtsanwältin Öykü Ergün