Richtlinie zur Vernichtung personenbezogener Daten

DATENSPEICHERUNG UND ZERSTÖRUNGSPOLITIK

Der Datenverantwortliche, die Klinik Dr. Merdan Çelik, verarbeitet, speichert und vernichtet Ihre personenbezogenen Daten gemäß der Verfassung, dem Gesetz zum Schutz personenbezogener Daten Nr. 6698 (KVKK), der Verordnung über die Löschung, Zerstörung oder Anonymisierung personenbezogener Daten und anderen relevanten Gesetzen gemäß den in dieser Richtlinie zur Datenspeicherung und Zerstörung festgelegten Grundsätzen und Vorschriften.

Diese Richtlinie soll die allgemeinen Grundsätze und Regeln zur Speicherung und Zerstörung personenbezogener Daten, die den Verarbeitungsaktivitäten gemäß KVKK unterliegen, darlegen und die Verpflichtungen erfüllen, die durch die relevanten Vorschriften festgelegt sind.

Definitionen

Eindeutige Einwilligung:
Einwilligung, die auf Information basiert und freiwillig in Bezug auf eine spezifische Angelegenheit erteilt wird.

Empfängergruppe:
Kategorien von natürlichen oder juristischen Personen, an die personenbezogene Daten vom Datenverantwortlichen übermittelt werden.

Anonymisierung:
Die Unmöglichkeit, personenbezogene Daten einer identifizierbaren oder identifizierbaren natürlichen Person zuzuordnen, selbst wenn sie mit anderen Daten kombiniert werden.

Relevanter Benutzer:
Personen, die personenbezogene Daten innerhalb der Organisation des Datenverantwortlichen verarbeiten, mit Ausnahme derjenigen, die für die technische Speicherung, den Schutz und die Sicherung von Daten verantwortlich sind oder die im Auftrag des Datenverantwortlichen handeln.

Zerstörung:
Löschung, Zerstörung oder Anonymisierung personenbezogener Daten.

Personenbezogene Daten:
Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z.B. Name, Nachname, ID-Nummer, E-Mail, Adresse, Geburtsdatum, Kreditkartennummer, Bankkontonummer).

Betroffene Person:
Die Person, deren personenbezogene Daten verarbeitet werden.

Verarbeitung personenbezogener Daten:
Jede Handlung, die an personenbezogenen Daten vorgenommen wird, wie z.B. Sammlung, Aufzeichnung, Speicherung, Änderung, Abruf, Offenlegung, Übertragung oder Löschung, sei es automatisiert oder nicht automatisiert und Teil eines Datenspeichersystems.

Besondere Kategorien personenbezogener Daten:
Daten, die sich auf Rasse, ethnische Herkunft, politische Meinung, philosophische Überzeugung, Religion, Konfession oder andere Überzeugungen, Aussehen, Mitgliedschaft in Vereinen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtliche Verurteilungen, Sicherheitsmaßnahmen, biometrische oder genetische Daten beziehen.

Periodische Zerstörung:
Wiederkehrende Lösch-, Zerstörungs- oder Anonymisierungsprozesse, die in den in dieser Richtlinie festgelegten Intervallen durchgeführt werden, wenn alle Bedingungen für die Verarbeitung personenbezogener Daten gemäß KVKK nicht mehr erfüllt sind.

AUFGEZEICHNETE UMGEBUNGEN, DIE VON DIESER RICHTLINIE ABGEDECKT SIND

Diese Richtlinie gilt für alle personenbezogenen Daten, die den Verarbeitungsaktivitäten gemäß KVKK unterliegen, unabhängig davon, ob sie in physischen oder digitalen Formaten gespeichert sind. Personenbezogene Daten, die in folgenden Umgebungen gespeichert sind, sind inbegriffen:

Klinikcomputer, E-Mail-Konten, Desktop-Computer, Mitarbeitergeräte (z.B. Mobiltelefone), Backup-Bereiche, Papierakten, Ordner, Besuchsprotokolle, CDs, DVDs, USB-Sticks, Festplatten, Drucker, Kopierer usw.

GRÜNDE FÜR DIE SPEICHERUNG UND ZERSTÖRUNG PERSONENBEZOGENER DATEN

Die folgenden Grundsätze sind für die Aktivitäten zur Verarbeitung personenbezogener Daten von wesentlicher Bedeutung:

• Einhaltung des Gesetzes und Fairness.
• Sicherstellung der Genauigkeit der Daten und Aktualisierung, wenn nötig.
• Verarbeitung zu spezifischen, klaren und legitimen Zwecken.
• Beschränkung der Datenverarbeitung auf relevante und notwendige Zwecke.
• Speicherung der Daten nur für die gesetzlich vorgeschriebene Dauer oder den Zweck der Verarbeitung.

Die Klinik speichert und verarbeitet personenbezogene Daten basierend auf den in den Artikeln 5 und 6 des KVKK festgelegten Bedingungen für die Datenverarbeitung. Wenn diese Bedingungen nicht mehr zutreffen, wird die Klinik die Daten automatisch oder auf Anfrage der betroffenen Person löschen, zerstören oder anonymisieren.

RECHTLICHE GRUNDLAGEN FÜR DIE DATENVERARBEITUNG

• Einwilligung der betroffenen Person:
  Personenbezogene Daten können mit ausdrücklicher Einwilligung verarbeitet werden.

• Gesetzliche Verpflichtung:
  Die Verarbeitung personenbezogener Daten ist ohne Einwilligung zulässig, wenn dies gesetzlich erforderlich ist.

• Schutz des Lebens oder der körperlichen Unversehrtheit:
  In Fällen, in denen die Einwilligung aufgrund physischer Unmöglichkeit nicht eingeholt werden kann, dürfen personenbezogene Daten verarbeitet werden, um das Leben oder die körperliche Unversehrtheit einer Person zu schützen.

• Vertragliche Notwendigkeit:
  Die Verarbeitung personenbezogener Daten ist notwendig, um einen Vertrag zu schließen oder zu erfüllen.

• Gesetzliche Verpflichtungen:
  Die Verarbeitung personenbezogener Daten ist erforderlich, um die rechtlichen Verpflichtungen der Klinik zu erfüllen.

• Veröffentlichte Daten:
  Daten, die von der betroffenen Person veröffentlicht wurden, können entsprechend verarbeitet werden.

• Begründung oder Schutz von Rechten:
  Die Verarbeitung personenbezogener Daten ist erforderlich, um gesetzliche Rechte auszuüben oder zu schützen.

• Legitime Interessen:
  Die Verarbeitung personenbezogener Daten ist erforderlich, wenn legitime Interessen verfolgt werden, sofern diese die grundlegenden Rechte und Freiheiten der betroffenen Person nicht beeinträchtigen.

METHODEN DER LÖSCHUNG, ZERSTÖRUNG ODER ANONYMISIERUNG

Personenbezogene Daten werden unter folgenden Umständen gelöscht, zerstört oder anonymisiert:

• Wenn die rechtliche Grundlage für die Verarbeitung geändert oder aufgehoben wird.
• Wenn der Zweck der Verarbeitung oder Speicherung nicht mehr gültig ist.
• Wenn die Datenverarbeitung ausschließlich auf Einwilligung basiert und die Einwilligung widerrufen wird.
• Wenn der maximale Aufbewahrungszeitraum ohne Begründung für eine längere Speicherung abgelaufen ist.

Die geeignete Methode (Löschung, Zerstörung oder Anonymisierung) wird basierend auf technologischen Möglichkeiten und Kostenüberlegungen durch die Klinik gewählt. Die Gründe für die ausgewählte Methode werden auf Anfrage erläutert.

TECHNISCHE UND ADMINISTRATIVE MASSNAHMEN

Die Klinik trifft die folgenden Maßnahmen zum Schutz personenbezogener Daten:

• Starke Passwörter werden für Computer und E-Mail-Konten verwendet.
• Mitarbeiter werden geschult und durch Geheimhaltungsvereinbarungen zum Datenschutz verpflichtet. Diese Verpflichtungen gelten über die Beschäftigungszeit hinaus.
• Notwendige Infrastruktur wird für die Datensicherung bereitgestellt.
• Der Zugriff auf Daten ist auf autorisiertes Personal beschränkt.
• Betroffene Personen werden vor der Datenverarbeitung informiert.
• Ein Verzeichnis der Datenverarbeitung wird geführt.

AUFBEWAHRUNGS- UND ZERSTÖRUNGSPERIODEN

Die Klinik speichert personenbezogene Daten nur für die gesetzlich vorgeschriebene Dauer oder so lange, wie es für die Zwecke der Verarbeitung erforderlich ist. Auf Anfrage wird die Klinik:

• Personenbezogene Daten löschen, zerstören oder anonymisieren, wenn alle Bedingungen für die Datenverarbeitung nicht mehr zutreffen, und die betroffene Person innerhalb von 30 Tagen informieren.
• Dritte, an die die Daten übermittelt wurden, benachrichtigen und sicherstellen, dass diese die notwendigen Maßnahmen ergreifen.
• Wenn die Bedingungen für die Datenverarbeitung weiterhin gelten, die Anfrage der betroffenen Person mit einer Begründung ablehnen und sie innerhalb von 30 Tagen informieren.

PERIODISCHE ZERSTÖRUNG

Personenbezogene Daten, die der Zerstörung unterliegen, werden im ersten periodischen Zerstörungsprozess gelöscht, zerstört oder anonymisiert, sobald die Verpflichtung zur Zerstörung besteht. Der Zerstörungsprozess erfolgt alle sechs Monate.

PROZESS | AUFBEWAHRUNGSZEITRAUM | ZERSTÖRUNGSZEITRAUM
Vertragsvorbereitung | 10 Jahre nach Vertragsende | Im ersten periodischen Zerstörungszeitraum
HR-Prozesse | 10 Jahre nach Ende der Aktivität | Im ersten periodischen Zerstörungszeitraum
Zugriff auf Hardware/Software | 5 Jahre | Im ersten periodischen Zerstörungszeitraum
Besucher- und Sitzungsteilnehmerprotokolle | 5 Jahre | Im ersten periodischen Zerstörungszeitraum
Gesundheitsdaten | Wie im relevanten Gesetz festgelegt | Im ersten periodischen Zerstörungszeitraum
Identifikationsdaten | Wie im relevanten Gesetz festgelegt | Im ersten periodischen Zerstörungszeitraum
CCTV-Aufnahmen | Mindestens 2 Monate gemäß der Verordnung über Privatkrankenhäuser | Im ersten periodischen Zerstörungszeitraum