KLARSTELLUNGSTEXT ÜBER DIE VERARBEITUNG PERSONENBEZOGENER DATEN

KVKK-Informationshinweis
GRUNDSÄTZE ZUM SCHUTZ DER PRIVATSPHÄRE UND PERSONENBEZOGENER DATEN

1. ZWECK UND GELTUNGSBEREICH

Diese Grundsätze zum Schutz der Privatsphäre und personenbezogener Daten (nachfolgend „Grundsätze“) legen die von Fine Otel Turizm İşletmecilik A.Ş. sowie allen zu ihrer Struktur gehörenden Marken wie The Land of Legends, Nickelodeon Play!, Rixos Hotels (nachfolgend „Unternehmen“) übernommenen Grundsätze zum Schutz personenbezogener Daten fest und verfolgen das Ziel, alle relevanten Gruppen betroffener Personen im Anwendungsbereich des Gesetzes zum Schutz personenbezogener Daten Nr. 6698 (nachfolgend „KVKK Nr. 6698“) zu informieren.

2. GRUNDSÄTZE ZUR VERARBEITUNG PERSONENBEZOGENER DATEN

Als Unternehmen in der Eigenschaft als Verantwortlicher verarbeiten wir Ihre personenbezogenen Daten gemäß den unten aufgeführten Grundsätzen.

2.1 Verarbeitung im Einklang mit dem Gesetz und dem Grundsatz von Treu und Glauben

Bei der Verarbeitung Ihrer personenbezogenen Daten werden die durch gesetzliche Vorschriften eingeführten Grundsätze sowie die allgemeinen Grundsätze von Vertrauen und Treu und Glauben beachtet. Im Einklang mit diesem Grundsatz berücksichtigen wir bei der Verfolgung unserer Zwecke der Datenverarbeitung Ihre Interessen und berechtigten Erwartungen, missbrauchen unsere Rechte nicht und handeln in unseren Datenverarbeitungstätigkeiten nach dem Transparenzprinzip.

2.2 Sicherstellung der Richtigkeit und erforderlichenfalls Aktualität personenbezogener Daten

Im Einklang mit diesem Grundsatz, der die Bedeutung der Richtigkeit und Aktualität personenbezogener Daten hervorhebt, werden periodische Kontrollen und Aktualisierungen durchgeführt und die erforderlichen Maßnahmen getroffen, um unter Berücksichtigung Ihrer berechtigten Interessen die Genauigkeit und Aktualität der verarbeiteten Daten sicherzustellen. In diesem Rahmen werden im Unternehmen Systeme eingerichtet, um die Richtigkeit personenbezogener Daten zu überprüfen und notwendige Korrekturen vorzunehmen. Außerdem wird die Richtigkeit der Quellen überprüft, aus denen personenbezogene Daten erhoben werden, und Anträge, die sich aus Unrichtigkeiten personenbezogener Daten ergeben, werden berücksichtigt. Daher wird dieser Grundsatz im Einklang mit Ihrem Recht auf Berichtigung Ihrer personenbezogenen Daten gemäß KVKK Nr. 6698 umgesetzt.

2.3 Verarbeitung für bestimmte, ausdrückliche und legitime Zwecke

Ihre personenbezogenen Daten werden auf der Grundlage ausdrücklicher, bestimmter und legitimer Zwecke verarbeitet. In diesem Zusammenhang stellen wir sicher, dass unsere Verarbeitungstätigkeiten für die betroffenen Personen klar verständlich sind, und bestimmen sowie erklären in Artikel 3 dieser Grundsätze ausdrücklich, auf welche Zwecke und Rechtsgrundlagen sie gestützt sind.

2.4 Zweckbindung, Datenminimierung und Verhältnismäßigkeit

Ihre personenbezogenen Daten werden in dem zur Verwirklichung der vorgesehenen Zwecke erforderlichen Umfang zweckbezogen, verhältnismäßig und auf das notwendige Maß beschränkt verarbeitet; die Verarbeitung personenbezogener Daten, die für die Erfüllung des Zwecks nicht relevant oder nicht erforderlich ist, wird vermieden. Ebenso werden im Rahmen dieses Grundsatzes keine personenbezogenen Daten für Zwecke erhoben oder verarbeitet, die derzeit nicht bestehen oder die lediglich als künftig entstehend angesehen werden.

2.5 Speicherung für die in den einschlägigen Rechtsvorschriften vorgesehenen oder für den Zweck erforderlichen Zeitraum

Ihre personenbezogenen Daten werden nur für den in den einschlägigen Rechtsvorschriften vorgesehenen oder für den Zweck, für den sie verarbeitet werden, erforderlichen Zeitraum gespeichert. Hierzu ergreift und setzt das Unternehmen die notwendigen administrativen und technischen Maßnahmen um. In diesem Rahmen wird zunächst festgestellt, ob in den einschlägigen Rechtsvorschriften eine Aufbewahrungsfrist vorgesehen ist; ist eine Frist vorgesehen, werden personenbezogene Daten entsprechend dieser Frist aufbewahrt; andernfalls werden personenbezogene Daten so lange gespeichert, wie es für den Zweck der Verarbeitung erforderlich ist. Entfällt die Notwendigkeit der betreffenden Verarbeitungsprozesse, wird der Zugriff auf Ihre personenbezogenen Daten durch nicht zuständige Abteilungen im Sinne der Löschung gemäß KVKK Nr. 6698 verhindert. Nach Ablauf der Aufbewahrungsfrist oder Wegfall der Gründe, die eine Verarbeitung erfordern, und sofern keine Rechtsgrundlage für eine längere Verarbeitung besteht, werden Ihre personenbezogenen Daten gemäß den Vorschriften zum Schutz personenbezogener Daten vernichtet oder anonymisiert.

3. VORAUSSETZUNGEN FÜR DIE VERARBEITUNG PERSONENBEZOGENER DATEN

3.1 Gesetzliche Grundlage

Im Rahmen von KVKK Nr. 6698 können Ihre personenbezogenen Daten und besonderen Kategorien personenbezogener Daten unter den nachfolgend genannten Voraussetzungen verarbeitet werden.
Regelmäßig dürfen personenbezogene Daten ohne ausdrückliche Einwilligung der betroffenen Person nicht verarbeitet werden. In Fällen, in denen die Verarbeitung personenbezogener Daten gesetzlich ausdrücklich vorgesehen ist, können Ihre personenbezogenen Daten ohne Einholung Ihrer ausdrücklichen Einwilligung verarbeitet werden.

3.2 Unmöglichkeit der Einholung einer ausdrücklichen Einwilligung aufgrund tatsächlicher Unmöglichkeit

Ihre personenbezogenen Daten können verarbeitet werden, wenn die betroffene Person aufgrund tatsächlicher Unmöglichkeit nicht in der Lage ist, ihre Einwilligung zu erklären oder ihre Einwilligung rechtlich nicht anerkannt werden kann und die Verarbeitung zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person oder einer anderen Person zwingend erforderlich ist.

3.3 Unmittelbarer Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags

Ihre personenbezogenen Daten können verarbeitet werden, wenn die Verarbeitung personenbezogener Daten der Vertragsparteien erforderlich ist, sofern die Verarbeitung unmittelbar mit dem Abschluss oder der Erfüllung dieses Vertrags zusammenhängt.

3.4 Erfüllung gesetzlicher Verpflichtungen des Unternehmens

Ihre personenbezogenen Daten können verarbeitet werden, wenn die Verarbeitung für das Unternehmen zwingend erforderlich ist, um seine gesetzlichen Verpflichtungen aus Rechtsvorschriften, Verträgen oder ähnlichen rechtlichen Pflichten, denen es unterliegt oder für die es verantwortlich ist, zu erfüllen.

3.5 Veröffentlichung der personenbezogenen Daten durch die betroffene Person

Wenn Ihre personenbezogenen Daten von Ihnen selbst öffentlich gemacht wurden, d. h. nach Ihrem Willen der Öffentlichkeit zugänglich gemacht wurden, können sie in einer Weise verarbeitet werden, die mit dem Zweck dieser Veröffentlichung verbunden und verhältnismäßig ist.

3.6 Zwingende Erforderlichkeit für die Begründung, Ausübung oder den Schutz eines Rechts

Ihre personenbezogenen Daten können verarbeitet werden, wenn die Verarbeitung für die Begründung, Ausübung oder den Schutz eines Rechts im Rahmen der Durchführung und Verwaltung von Prozessen im Zusammenhang mit den rechtlichen und kommerziellen Rechten des Unternehmens zwingend erforderlich ist.

3.7 Verarbeitung auf Grundlage eines berechtigten Interesses

Ihre personenbezogenen Daten können verarbeitet werden, wenn die Verarbeitung zur Wahrung der berechtigten Interessen des Unternehmens erforderlich ist. In Fällen, in denen auf dieser Rechtsgrundlage verarbeitet wird, bewertet unser Unternehmen die Angelegenheit unter Berücksichtigung Ihrer Grundrechte und -freiheiten und trifft eine Entscheidung auf Grundlage des Ergebnisses dieser Bewertung.

3.8 Verarbeitung auf Grundlage einer ausdrücklichen Einwilligung

Auch wenn die Verarbeitung auf Grundlage der ausdrücklichen Einwilligung die Hauptregel ist, wird auf die ausdrückliche Einwilligung nicht zurückgegriffen, wenn andere in diesem Artikel genannte Voraussetzungen vorliegen; andernfalls könnte dies einen Rechtsmissbrauch darstellen. Entsprechend werden Ihre personenbezogenen Daten, sofern keine der in diesen Grundsätzen genannten Voraussetzungen vorliegt, auf Grundlage Ihrer ausdrücklichen Einwilligung verarbeitet. Insbesondere kann – sofern nicht anders angegeben – Ihre ausdrückliche Einwilligung zum Versand kommerzieller elektronischer Nachrichten als Einwilligung für Kampagnen- und Ankündigungsmitteilungen aller Marken innerhalb des Unternehmens (The Land of Legends, Nickelodeon Play!, Rixos usw.) ausgelegt werden.

3.9 Verarbeitung besonderer Kategorien personenbezogener Daten

Besondere Kategorien personenbezogener Daten werden gemäß Artikel 6 von KVKK Nr. 6698 ausschließlich unter den folgenden Voraussetzungen verarbeitet:
a) Die betroffene Person hat ausdrücklich eingewilligt,
b) Die Verarbeitung ist in Gesetzen ausdrücklich vorgesehen,
c) Die Verarbeitung ist zwingend erforderlich, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder einer anderen Person zu schützen, sofern die betroffene Person aufgrund tatsächlicher Unmöglichkeit nicht einwilligen kann oder die Einwilligung rechtlich nicht anerkannt wird,
ç) Die Verarbeitung steht im Zusammenhang mit personenbezogenen Daten, die von der betroffenen Person öffentlich gemacht wurden, und entspricht der Absicht der Offenlegung,
d) Die Verarbeitung ist zwingend erforderlich für die Begründung, Ausübung oder den Schutz eines Rechts,
e) Die Verarbeitung ist erforderlich zum Schutz der öffentlichen Gesundheit, zur Präventivmedizin, medizinischen Diagnostik, Behandlung und Pflegeleistungen sowie zur Planung, Verwaltung und Finanzierung von Gesundheitsdienstleistungen durch zur Verschwiegenheit verpflichtete Personen oder autorisierte Institutionen und Organisationen,
f) Die Verarbeitung ist zwingend erforderlich zur Erfüllung gesetzlicher Verpflichtungen in den Bereichen Beschäftigung, Arbeitsschutz und -sicherheit, soziale Sicherheit, soziale Dienste und Sozialhilfe,
g) Die Verarbeitung steht im Zusammenhang mit aktuellen oder ehemaligen Mitgliedern und Angehörigen von Stiftungen, Vereinen und anderen gemeinnützigen Organisationen oder Einrichtungen, die zu politischen, philosophischen, religiösen oder gewerkschaftlichen Zwecken gegründet wurden, sofern die Verarbeitung im Einklang mit deren Rechtsvorschriften und Zielen steht, auf deren Tätigkeitsbereich beschränkt ist, nicht an Dritte offengelegt wird, sowie mit Personen, die in regelmäßigem Kontakt mit solchen Organisationen stehen.

4. ÜBERMITTLUNG PERSONENBEZOGENER DATEN

Ihre personenbezogenen Daten und besonderen Kategorien personenbezogener Daten können im Rahmen von Artikel 2 dieser Grundsätze zur Durchführung von Cross-Marketing-Aktivitäten, zur Verwaltung gemeinsamer Treueprogramme und zur Bereitstellung integrierter Dienstleistungen an andere Marken innerhalb des Unternehmens (Nickelodeon Play!, The Land of Legends usw.), unsere inländischen Geschäftspartner, öffentliche Institutionen und Organisationen sowie ähnliche Stellen oder an unsere Geschäftspartner im Ausland übermittelt werden. Bei derartigen Übermittlungen werden die Artikel 8 und 9 von KVKK Nr. 6698 beachtet. Soweit erforderlich, wird Ihre ausdrückliche Einwilligung eingeholt und die Übermittlung im Rahmen dieser Einwilligung vorgenommen.

5. SICHERHEIT PERSONENBEZOGENER DATEN

Um die Sicherheit personenbezogener Daten zu gewährleisten und eine unrechtmäßige Verarbeitung zu verhindern, ergreift das Unternehmen alle angemessenen administrativen und technischen Maßnahmen, um Risiken eines unbefugten Zugriffs, eines versehentlichen Datenverlusts, einer vorsätzlichen Datenlöschung oder einer Beschädigung von Daten zu verhindern.

Angemessene technische und physische Maßnahmen werden getroffen, um den Zugriff auf personenbezogene Daten durch unbefugte Personen außerhalb der Zugriffsberechtigten zu verhindern. In diesem Zusammenhang wird insbesondere das Berechtigungssystem so gestaltet, dass Personen und Systeme keinen Zugriff auf mehr personenbezogene Daten erhalten als erforderlich. Das Unternehmen führt bzw. beauftragt erforderliche Prüfungen zur Sicherstellung der Umsetzung von KVKK Nr. 6698 innerhalb seiner Organisation.

Die ergriffenen Maßnahmen sind unter anderem:

• Netzwerk- und Anwendungssicherheit werden gewährleistet.
  
  
• Für Datenübertragungen über das Netzwerk werden geschlossene Systemnetzwerke verwendet.
  
  
• Sicherheitsmaßnahmen bei Beschaffung, Entwicklung und Wartung von IT-Systemen werden umgesetzt.
  
  
• Die Sicherheit in der Cloud gespeicherter personenbezogener Daten wird gewährleistet.
  
  
• Es bestehen Disziplinarregelungen für Mitarbeitende einschließlich Bestimmungen zur Datensicherheit.
  
  
• Regelmäßige Schulungs- und Sensibilisierungsmaßnahmen zur Datensicherheit werden durchgeführt.
  
  
• Eine Berechtigungsmatrix für Mitarbeitende wurde erstellt.
  
  
• Zugriffsprotokolle werden regelmäßig geführt.
  
  
• Unternehmensrichtlinien zu Zugriff, Informationssicherheit, Nutzung, Aufbewahrung und Vernichtung wurden erstellt und umgesetzt.
  
  
• Vertraulichkeitsverpflichtungen werden unterzeichnet.
  
  
• Zugriffsberechtigungen von Mitarbeitenden, die die Rolle wechseln oder ausscheiden, werden widerrufen.
  
  
• Aktuelle Antivirussysteme werden verwendet.
  
  
• Firewalls werden eingesetzt.
  
  
• Unterzeichnete Verträge enthalten Bestimmungen zur Datensicherheit.
  
  
• Für personenbezogene Daten in Papierform werden zusätzliche Sicherheitsmaßnahmen ergriffen; relevante Dokumente werden als vertrauliche Dokumente versandt.
  
  
• Richtlinien und Verfahren zur Sicherheit personenbezogener Daten wurden festgelegt.
  
  
• Sicherheitsvorfälle im Zusammenhang mit personenbezogenen Daten werden unverzüglich gemeldet.
  
  
• Die Sicherheit personenbezogener Daten wird überwacht.
  
  
• Erforderliche Sicherheitsmaßnahmen für den Zugang zu und das Verlassen von physischen Umgebungen, die personenbezogene Daten enthalten, werden ergriffen.
  
  
• Physische Umgebungen mit personenbezogenen Daten werden gegen externe Risiken (Brand, Überschwemmung usw.) gesichert.
  
  
• Die Sicherheit der Umgebungen, die personenbezogene Daten enthalten, wird gewährleistet.
  
  
• Personenbezogene Daten werden so weit wie möglich minimiert.
  
  
• Personenbezogene Daten werden gesichert (Back-up) und auch die Sicherheit der Sicherungen wird gewährleistet.
  
  
• Systeme zur Benutzerkontenverwaltung und Berechtigungskontrolle werden implementiert und überwacht.
  
  
• Regelmäßige und/oder stichprobenartige interne Audits werden durchgeführt bzw. beauftragt.
  
  
• Protokolldaten werden so geführt, dass Eingriffe durch Nutzer verhindert werden.
  
  
• Bestehende Risiken und Bedrohungen werden identifiziert.
  
  
• Protokolle und Verfahren zur Sicherheit besonderer Kategorien personenbezogener Daten werden festgelegt und umgesetzt.
  
  
• Werden besondere Kategorien personenbezogener Daten per E-Mail versandt, erfolgt dies verschlüsselt und über KEP oder ein Unternehmens-E-Mail-Konto.
  
  
• Systeme zur Angriffserkennung und -verhinderung werden verwendet.
  
  
• Penetrationstests werden durchgeführt.
  
  
• Cybersicherheitsmaßnahmen werden ergriffen und deren Umsetzung fortlaufend überwacht.
  
  
• Besondere Kategorien personenbezogener Daten, die über tragbare Speichermedien, CDs, DVDs übertragen werden, werden verschlüsselt.
  
  
• Dienstleister, die Daten verarbeiten, werden regelmäßig hinsichtlich Datensicherheit auditiert.
  
  
• Dienstleister, die Daten verarbeiten, werden in Bezug auf Datensicherheit sensibilisiert.
  
  

6. RECHTE DER BETROFFENEN PERSON, ANTRAGSVERFAHREN UND GRUNDSÄTZE

Als betroffene Person können Sie, wenn Sie ein Begehren hinsichtlich Ihrer in Artikel 11 des Gesetzes Nr. 6698 genannten Rechte haben und – sofern Sie Bürgerin/Bürger der Europäischen Union sind – auch hinsichtlich Ihrer Rechte nach der DSGVO, wie z. B. Widerruf Ihrer ausdrücklichen Einwilligung, Auskunft über und Zugang zu Ihren Daten, Berichtigung, Löschung oder Einschränkung der Verarbeitung Ihrer personenbezogenen Daten in bestimmten Fällen, Datenübertragbarkeit unter bestimmten Voraussetzungen, Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten und ähnliche Rechte, Ihre Anträge an uns über die nachstehenden Wege richten. Hierzu können Sie das Antragsformular zum Schutz personenbezogener Daten ausfüllen, das Sie durch Anklicken herunterladen können, oder einen Antrag stellen, der die Mindestvoraussetzungen der Mitteilung über die Verfahren und Grundsätze der Antragstellung an den Verantwortlichen erfüllt.

Das Unternehmen wird Ihren Antrag abhängig von der Art Ihres Begehrens unentgeltlich so bald wie möglich, spätestens jedoch innerhalb von dreißig Tagen abschließen. Sollte die Bearbeitung jedoch zusätzliche Kosten verursachen, wird die in dem vom Datenschutzrat festgelegten Tarif bestimmte Gebühr vom Unternehmen erhoben. Wird Ihr Antrag abgelehnt, die Antwort als unzureichend erachtet oder innerhalb der vorgesehenen Frist nicht beantwortet, können Sie uns entsprechend informieren. Darüber hinaus haben Sie als betroffene Person das Recht, innerhalb von dreißig Tagen ab dem Zeitpunkt, zu dem Sie von unserer Antwort Kenntnis erlangen, und in jedem Fall innerhalb von sechzig Tagen ab ordnungsgemäßer Einreichung Ihres Antrags, bei der zuständigen Datenschutzaufsichtsbehörde Ihres Landes Beschwerde einzulegen.

‍