Die DSGVO (Art. 32) und das türkische Datenschutzgesetz KVKK (Art. 12) verpflichten Unternehmen, geeignete technische und organisatorische Maßnahmen (TOM) zu treffen, um personenbezogene Daten vor unrechtmäßiger Verarbeitung und unbefugtem Zugriff zu schützen. In der Praxis müssen IT-Infrastruktur und interne Abläufe gemeinsam betrachtet werden.
Organisatorische Maßnahmen
- Verarbeitungsverzeichnis: Welche personenbezogenen Daten werden wozu, wo und wie lange gespeichert?
- Richtlinien: Lösch- und Aufbewahrungskonzept, Berechtigungsmatrix und Vertraulichkeitsverpflichtungen.
- Schulung: Mitarbeitende regelmäßig zu Datenschutz und sicherem Arbeiten schulen.
- Auftragsverarbeitung: Verträge mit Dienstleistern, die Daten im Auftrag verarbeiten.
- Registrierungspflichten: Prüfen, ob etwa in der Türkei eine VERBİS-Registrierung erforderlich ist.
Technische Maßnahmen
- Zugriffsmanagement: Zugriff nur auf benötigte Daten; Zugänge ausscheidender Mitarbeitender sofort sperren.
- Authentifizierung: Mehr-Faktor-Authentifizierung für kritische Systeme.
- Verschlüsselung: Festplattenverschlüsselung auf Laptops, HTTPS und VPN bei der Übertragung.
- Protokollierung: Nachvollziehen, wer wann auf personenbezogene Daten zugegriffen hat.
- Patch- und Schwachstellenmanagement: Systeme aktuell halten und regelmäßig scannen.
- Datensicherung: Sichere Backups mit getesteter Wiederherstellung.
- Datenminimierung: Nur nötige Daten erheben und nach Fristablauf löschen.
Bei einer Datenpanne
Nach der DSGVO ist eine Verletzung des Schutzes personenbezogener Daten grundsätzlich innerhalb von 72 Stunden der Aufsichtsbehörde zu melden; auch die türkische Datenschutzbehörde erwartet diese Frist. Betroffene sind gegebenenfalls zu informieren. Dafür braucht es vorab einen Notfallplan mit klaren Zuständigkeiten.
Datenschutz ist ein Prozess
Mit Systemen, Personal und Dienstleistern ändern sich die Risiken. Interne Audits und Sicherheitsbewertungen mindestens einmal im Jahr halten die Maßnahmen aktuell. Für rechtliche Fragen empfehlen wir die Zusammenarbeit mit Datenschutzbeauftragten oder Anwälten.
ujans unterstützt die technische Seite des Datenschutzes mit Zugriffsmanagement, Verschlüsselung, Protokollierung, Backup und Sicherheitsbewertungen.