Richtlinie zum Schutz und zur Verarbeitung personenbezogener Daten

Diese Übersetzung dient nur der Information; rechtsverbindlich ist ausschließlich der türkische Text. Türkischer Text

Kurz gefasst: Diese Richtlinie beschreibt, nach welchen Grundsätzen SHE VEC A.Ş. personenbezogene Daten verarbeitet, übermittelt, aufbewahrt und schützt; sie gilt für alle Personen, deren Daten verarbeitet werden, einschließlich Kunden, Besuchern, Geschäftspartnern, Beschäftigten und Bewerbern. Ausführliche Informationen für Sie enthält der Datenschutzhinweis.

1. Zweck und Geltungsbereich

Diese Richtlinie wurde erstellt, um sicherzustellen, dass die von SHE VEC Sağlık ve Kozmetik Ürünleri Sanayi ve Ticaret A.Ş. („Gesellschaft“) durchgeführten Tätigkeiten der Verarbeitung personenbezogener Daten im Einklang mit dem türkischen Gesetz Nr. 6698 zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, „Gesetz“) und den einschlägigen Rechtsvorschriften erfolgen.

Die Richtlinie gilt für alle natürlichen Personen, deren personenbezogene Daten von der Gesellschaft verarbeitet werden, einschließlich Kunden, potenzieller Kunden, Besucher, Vertreter von Lieferanten und Geschäftspartnern, Bewerber und Beschäftigter. Bei Widersprüchen zwischen der Richtlinie und den Rechtsvorschriften gelten die Bestimmungen der Rechtsvorschriften.

2. Begriffsbestimmungen

• Personenbezogene Daten (kişisel veri): alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.
• Besondere Kategorien personenbezogener Daten (özel nitelikli kişisel veri): Daten über Rasse, ethnische Herkunft, politische Meinung, weltanschauliche Überzeugung, Religion, Konfession, Kleidung, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherungsmaßnahmen sowie biometrische und genetische Daten.
• Betroffene Person (ilgili kişi): die natürliche Person, deren personenbezogene Daten verarbeitet werden.
• Verantwortlicher (veri sorumlusu): die Person, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt und für die Einrichtung und Verwaltung des Datenerfassungssystems verantwortlich ist.
• Auftragsverarbeiter (veri işleyen): die Person, die aufgrund der vom Verantwortlichen erteilten Befugnis personenbezogene Daten in dessen Namen verarbeitet.
• Vernichtung (imha): die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten.

3. Grundsätze der Verarbeitung personenbezogener Daten

Die Gesellschaft handelt im Einklang mit den in Artikel 4 des Gesetzes geregelten Grundsätzen:

1. Rechtmäßigkeit und Vereinbarkeit mit Treu und Glauben: Daten werden nur mit legitimen und rechtmäßigen Methoden erhoben.
2. Richtigkeit und erforderlichenfalls Aktualität: Auf Antrag der betroffenen Person werden die Daten unverzüglich berichtigt.
3. Verarbeitung für festgelegte, eindeutige und legitime Zwecke: Der Verarbeitungszweck wird im Voraus festgelegt, und die Informationspflicht wird erfüllt.
4. Zweckbezogenheit, Begrenzung und Verhältnismäßigkeit: Es werden nicht mehr Daten erhoben, als der Zweck erfordert; nicht benötigte Daten werden nicht angefordert.
5. Aufbewahrung nur für die gesetzlich vorgesehene oder für den Verarbeitungszweck erforderliche Dauer: Nach Ablauf der Frist werden die Daten vernichtet.

4. Voraussetzungen der Verarbeitung

Personenbezogene Daten werden grundsätzlich mit ausdrücklicher Einwilligung der betroffenen Person verarbeitet. Liegt eine der in Artikel 5/2 des Gesetzes genannten Voraussetzungen vor, kann die Verarbeitung ohne ausdrückliche Einwilligung erfolgen: ausdrückliche Regelung in den Gesetzen; tatsächliche Unmöglichkeit; unmittelbarer Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags; rechtliche Verpflichtung des Verantwortlichen; Veröffentlichung durch die betroffene Person selbst; Begründung, Ausübung oder Schutz eines Rechts; berechtigtes Interesse, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden.

Besondere Kategorien personenbezogener Daten werden nur verarbeitet, wenn eine der in Artikel 6 Absatz 3 des Gesetzes genannten Voraussetzungen vorliegt, und unter Ergreifung der vom Ausschuss für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) festgelegten ausreichenden Maßnahmen. Die Gesellschaft erhebt im Rahmen ihrer Tätigkeit grundsätzlich keine besonderen Kategorien personenbezogener Daten; solche Daten können nur bei Meldungen unerwünschter Wirkungen (Kosmetovigilanz) und in den sich aus den Rechtsvorschriften für Beschäftigte ergebenden Fällen verarbeitet werden.

5. Informationspflicht und ausdrückliche Einwilligung

Die Gesellschaft informiert die betroffenen Personen bei der Erhebung personenbezogener Daten gemäß Artikel 10 des Gesetzes. Die Information erfolgt über den Datenschutzhinweis auf der Website, über die Hinweise in den Bestell- und Registrierungsmasken sowie über die Vertragstexte.

Bei Tätigkeiten, die eine ausdrückliche Einwilligung erfordern, wird die Einwilligung in einer auf einen bestimmten Sachverhalt bezogenen, auf Information beruhenden und aus freiem Willen erklärten Form über ein gesondertes Bestätigungsfeld eingeholt. Der Datenschutzhinweis und der Einwilligungstext werden als getrennte Texte unter verschiedenen Überschriften gestaltet; für den Datenschutzhinweis kann von der betroffenen Person lediglich eine Rückmeldung darüber eingeholt werden, dass sie den Text gelesen und zur Kenntnis genommen hat, eine Zustimmung wird nicht verlangt. Die Einwilligung wird nicht als Voraussetzung für die Erbringung der Leistung erzwungen. Die betroffene Person kann ihre Einwilligung jederzeit widerrufen.

6. Übermittlung personenbezogener Daten

Personenbezogene Daten können im Einklang mit den Voraussetzungen von Artikel 8 des Gesetzes, nur in dem durch den Verarbeitungszweck erforderlichen Umfang und unter Vereinbarung der erforderlichen vertraglichen Garantien an Versandunternehmen, Zahlungsinstitute, IT- und Infrastrukturanbieter, Berater sowie an zuständige Behörden und öffentliche Stellen übermittelt werden.

Übermittlungen ins Ausland erfolgen im Rahmen von Artikel 9 des Gesetzes vorrangig auf Grundlage eines Angemessenheitsbeschlusses oder durch geeignete Garantien wie einen Standardvertrag, eine Verpflichtungserklärung oder verbindliche Unternehmensregeln. Übermittlungen, die fortlaufend erfolgen, werden nicht auf eine ausdrückliche Einwilligung gestützt; die ausdrückliche Einwilligung kann nur in den im Gesetz vorgesehenen Fällen gelegentlicher Übermittlung zugrunde gelegt werden. Der Ausschuss hat bislang für kein Land einen Angemessenheitsbeschluss gefasst. Wird bei fortlaufenden Übermittlungen ins Ausland (z. B. E-Commerce-Infrastruktur) der vom Ausschuss veröffentlichte Standardvertrag als geeignete Garantie verwendet, wird der Vertragstext nicht geändert, und der Vertrag wird der Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu) innerhalb von 5 Werktagen nach Abschluss der Unterzeichnung gemeldet. Mit Lieferanten, die als Auftragsverarbeiter tätig sind, werden Verträge über die Datenverarbeitung geschlossen.

7. Aufbewahrung und Vernichtung

Personenbezogene Daten werden für die Dauer aufbewahrt, die für den Zweck ihrer Verarbeitung erforderlich ist, wobei die gesetzlich vorgesehenen Verjährungs- und Aufbewahrungsfristen berücksichtigt werden. Daten, deren Aufbewahrungsfrist abgelaufen ist, werden in den periodischen Vernichtungszeiträumen oder auf Antrag der betroffenen Person gelöscht, vernichtet oder anonymisiert. Die Vernichtungsvorgänge werden dokumentiert.

8. Maßnahmen zur Datensicherheit

8.1. Technische Maßnahmen

• Gewährleistung der Netzwerk- und Anwendungssicherheit, Einsatz aktueller Sicherheitssoftware,
• verschlüsselte Übertragung der Daten (SSL/TLS) und verschlüsselte Speicherung kritischer Daten,
• Zugriffskontrolle auf Grundlage einer Berechtigungsmatrix, benutzerbezogene Berechtigungsvergabe und Protokollierung,
• regelmäßige Datensicherung, Aktualisierung und Überwachung von Schwachstellen,
• Anwendung einer Richtlinie für starke Passwörter beim Zugang zu den Systemen.

8.2. Administrative Maßnahmen

• Erstellung und laufende Aktualisierung eines Inventars personenbezogener Daten,
• Sensibilisierungsschulungen und Vertraulichkeitsverpflichtungen für Beschäftigte,
• Abschluss von Datenverarbeitungs- und Vertraulichkeitsvereinbarungen mit Lieferanten und Geschäftspartnern,
• periodische Kontrollen nach Maßgabe der Vernichtungsrichtlinie,
• Festlegung eines Reaktionsverfahrens für den Fall einer Datenschutzverletzung.

9. Meldung von Datenschutzverletzungen

Wird festgestellt, dass verarbeitete personenbezogene Daten auf unrechtmäßigem Weg von Dritten erlangt wurden, wird dies dem Ausschuss für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) so schnell wie möglich und binnen höchstens 72 Stunden gemeldet, den betroffenen Personen innerhalb einer möglichst kurzen angemessenen Frist, nachdem die von der Verletzung betroffenen Personen ermittelt wurden. Die Verträge mit Auftragsverarbeitern enthalten die Pflicht, Verletzungen der Gesellschaft unverzüglich zu melden.

10. Rechte der betroffenen Person und Antragstellung

Betroffene Personen können sich an die Gesellschaft wenden, um ihre in Artikel 11 des Gesetzes genannten Rechte auszuüben. Die Antragswege und Verfahren sind im Datenschutzhinweis ausführlich geregelt. Anträge werden spätestens innerhalb von 30 Tagen kostenlos erledigt; die Antwort erfolgt schriftlich oder elektronisch, und eine Ablehnung wird mit Begründung mitgeteilt.

11. Eintragung in VERBİS

Die Gesellschaft prüft jährlich ihre Pflicht zur Eintragung in das Registerinformationssystem für Verantwortliche (Veri Sorumluları Sicil Bilgi Sistemi, VERBİS) anhand der vom Ausschuss für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) festgelegten Ausnahmekriterien (zum Zeitpunkt der Aktualisierung dieser Richtlinie: Verantwortliche mit weniger als 50 Beschäftigten im Jahr und einer jährlichen Bilanzsumme von weniger als 100 Millionen TL, deren Haupttätigkeit nicht in der Verarbeitung besonderer Kategorien personenbezogener Daten besteht). Werden die Schwellenwerte überschritten, erfolgt die Eintragung, und die Registerdaten werden aktuell gehalten.

12. Aktualisierung der Richtlinie

Diese Richtlinie kann aufgrund von Gesetzesänderungen und Aktualisierungen der Abläufe der Gesellschaft überarbeitet werden. Die aktuelle Fassung wird unter Angabe des Datums des Inkrafttretens auf www.shevec.com veröffentlicht.

13. Kontakt

SHE VEC Sağlık ve Kozmetik Ürünleri Sanayi ve Ticaret A.Ş.
Adresse: Alaaddinbey Mah. 615. Sk. Ünlü Plaza 2 No: 2B, İç Kapı No: 1, Nilüfer / Bursa, Türkei
E-Mail: destek@shevec.com
Telefon: +90 850 304 08 32
KEP (registrierte elektronische Post): shevecsaglik@hs01.kep.tr
MERSİS-Nr. (zentrale Registernummer): 0769189526800001

Letzte Aktualisierung: 5. Oktober 2026