Datenschutzerklärung und Informationstext zum Schutz personenbezogener Daten

1. Identität des Verantwortlichen

Gemäß Art. 10 des türkischen Datenschutzgesetzes Nr. 6698 ("KVKK"), der Mitteilung über die bei der Erfüllung der Informationspflicht zu beachtenden Verfahren und Grundsätze sowie Art. 13 und 14 der Datenschutz-Grundverordnung der Europäischen Union ("DSGVO") ist der Verantwortliche für Ihre personenbezogenen Daten die nachstehend genannte juristische Person.

In diesem Text bezeichnen die Begriffe „DNL", „wir" und „das Unternehmen" die oben genannte juristische Person; „Sie", „Besucher" und „betroffene Person" bezeichnen die natürliche Person, deren personenbezogene Daten verarbeitet werden.

1.1. Register der Verantwortlichen (VERBİS)

Unser Unternehmen fällt unter die VERBİS-Registrierungsausnahme, die für Verantwortliche vorgesehen ist, deren Anzahl der jährlichen Beschäftigten unter 50 liegt, deren jährliche Bilanzsumme unter dem vom Ausschuss festgelegten Schwellenwert liegt und deren Hauptgeschäftstätigkeit nicht die Verarbeitung besonderer Kategorien personenbezogener Daten ist. Diese Ausnahme hebt die übrigen Pflichten des Gesetzes nicht auf; unser Unternehmen führt ein Verzeichnis der Verarbeitungstätigkeiten personenbezogener Daten und erfüllt alle in diesem Text beschriebenen Pflichten.

1.2. Datenschutzbeauftragter

Art. 37 der DSGVO verpflichtet nur in bestimmten Fällen zur Benennung eines Datenschutzbeauftragten — für öffentliche Stellen, für Verantwortliche, die eine umfangreiche regelmäßige Überwachung durchführen, und für Verantwortliche, die besondere Kategorien personenbezogener Daten in großem Umfang verarbeiten. Die Tätigkeit unseres Unternehmens fällt unter keinen dieser Fälle; das KVKK schreibt die Benennung eines Datenschutzbeauftragten ebenfalls nicht vor. Wir haben daher keinen benannten Datenschutzbeauftragten. Alle Anfragen und Fragen zu Ihren personenbezogenen Daten können über die in Abschnitt 12 beschriebenen Kanäle direkt an unser Unternehmen gerichtet werden.

2. Geltungsbereich dieses Textes

Dieser Text erläutert, wie wir Ihre personenbezogenen Daten verarbeiten, wenn Sie unsere Internetseite www.dnl.com.tr besuchen, das Kontaktformular auf der Seite nutzen, uns per E-Mail oder Telefon erreichen, sowie während der Dauer unserer bestehenden Geschäftsbeziehung.

Dieser Text wurde erstellt, um unsere Pflichten sowohl nach dem KVKK als auch nach der DSGVO gemeinsam zu erfüllen. Beide Regelwerke überschneiden sich weitgehend, weisen jedoch Unterschiede auf; an diesen Stellen wird im jeweiligen Abschnitt angegeben, welches Regelwerk zu welchem Ergebnis führt. Für in der Türkei ansässige betroffene Personen gilt das KVKK, für in der Europäischen Union befindliche betroffene Personen gilt die DSGVO. Die Anwendung der DSGVO richtet sich nach dem Aufenthaltsort der betroffenen Person; der Sitz unseres Unternehmens in der Türkei hat darauf keinen Einfluss.

Dieser Text erfasst nicht die Datenverarbeitungstätigkeiten in Bezug auf die Mitarbeiter unseres Unternehmens, Stellenbewerber und das Personal unserer Lieferanten. Für diese Gruppen wurden gesonderte Informationstexte erstellt und den betroffenen Personen direkt übermittelt.

Unsere Seite kann Links zu Internetseiten Dritter enthalten. Für die Datenverarbeitungspraktiken dieser Seiten ist unser Unternehmen nicht verantwortlich; beim Besuch dieser Seiten gelten deren eigene Datenschutzerklärungen.

3. Kategorien der verarbeiteten personenbezogenen Daten

Die folgende Tabelle zeigt die Kategorien personenbezogener Daten, die wir verarbeiten, und den Inhalt jeder Kategorie. Für einen Besucher, der unsere Seite lediglich durchsucht, beschränken sich die verarbeiteten Daten auf die ersten beiden Zeilen der Tabelle.

Keine dieser Kategorien stellt eine besondere Kategorie personenbezogener Daten im Sinne von Art. 6 KVKK und Art. 9 DSGVO dar. Dies wird in Abschnitt 14 näher erläutert.

4. Verarbeitungszwecke und Rechtsgrundlage für jeden Zweck

Die DSGVO erkennt sechs gleichrangige Rechtsgrundlagen an (Art. 6 Abs. 1): ausdrückliche Einwilligung, Erfüllung oder Vorbereitung eines Vertrags, rechtliche Verpflichtung, lebenswichtiges Interesse, öffentliche Aufgabe und berechtigtes Interesse. Das KVKK sieht in Art. 5 eine ähnliche Liste vor, zählt jedoch die Gründe außer der ausdrücklichen Einwilligung enger und akzeptiert das „berechtigte Interesse" nur unter der Bedingung, dass die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden. Die folgende Tabelle zeigt für jeden Verarbeitungszweck die Rechtsgrundlage nach beiden Regelwerken getrennt.

Für jede Verarbeitungstätigkeit, die wir auf ein berechtigtes Interesse stützen, haben wir bewertet, ob unser Interesse Ihre Grundrechte und Grundfreiheiten überwiegt. Bei dieser Bewertung haben wir berücksichtigt, ob die Daten geeignet sind, Sie zu identifizieren, wie vorhersehbar die Verarbeitung ist und welchen Nutzen sie für Sie bietet. Ihr Widerspruchsrecht gegen diese Bewertung ist in Abschnitt 11 erläutert.

5. Methode der Erhebung personenbezogener Daten

Ihre personenbezogenen Daten werden auf folgende Weise erhoben:

Automatisch: Wenn Sie die Seite besuchen, werden die technischen Informationen, die Ihr Browser mit jeder Internetanfrage sendet, von unserer Hosting-Infrastruktur erfasst. Diese Erfassung ist eine natürliche Folge der Funktionsweise des Internets und technisch erforderlich, damit die angeforderte Seite an Sie übermittelt werden kann.

Von Ihnen übermittelt: Wenn Sie das Kontaktformular ausfüllen, uns eine E-Mail senden, uns anrufen, uns über WhatsApp schreiben oder bei einer Messe eine Visitenkarte hinterlassen, übermitteln Sie Ihre Daten direkt an uns. Welche Informationen Sie über diese Kanäle teilen, liegt in Ihrem eigenen Ermessen; die Mindestinformation, die wir zur Beantwortung einer technischen Frage benötigen, ist eine Kontaktadresse, über die wir Sie erreichen können, sowie die Frage selbst.

Von Dritten: Wir können unternehmensbezogene Kontaktinformationen aus öffentlich zugänglichen Quellen (Unternehmensinternetseiten, Handelsregistereinträge, Teilnehmerlisten von Branchenmessen, berufliche Netzwerkplattformen) erhalten. Diese Informationen stellen keine personenbezogenen Daten dar, soweit sie sich ausschließlich auf juristische Personen beziehen; erhalten wir Kontaktinformationen einer natürlichen Person, verweisen wir bei unserem ersten Kontakt auf diesen Text.

6. Cookies und ähnliche Technologien

Ein Cookie ist eine kleine Textdatei, die von Ihrem Browser beim Besuch einer Internetseite auf Ihrem Gerät gespeichert wird. Neben Cookies gibt es weitere Technologien mit ähnlicher Funktion, wie lokale Speicherung (Local Storage), Sitzungsspeicherung (Session Storage) und Tracking-Pixel. Der in diesem Abschnitt verwendete Begriff „Cookie" umfasst all diese.

Die Erlaubnis zum Zugriff auf Ihr Gerät und zur Speicherung von Informationen darauf ergibt sich in der Europäischen Union nicht unmittelbar aus der DSGVO, sondern aus Art. 5 Abs. 3 der ePrivacy-Richtlinie (2002/58/EG). Danach ist für jedes Cookie, das für die Erbringung des Dienstes technisch nicht erforderlich ist, eine vorherige Einwilligung erforderlich. In der Türkei schreibt der Leitfaden der Datenschutzbehörde zu Cookie-Anwendungen vor, dass für nicht notwendige Cookies eine ausdrückliche Einwilligung einzuholen ist, die Ablehnungsoption ebenso sichtbar sein muss wie die Zustimmungsoption, und vorab angekreuzte Einwilligungsfelder nicht verwendet werden dürfen.

Die auf unserer Seite verwendeten Cookies und ähnlichen Technologien werden im Folgenden einzeln erläutert.

6.1. Notwendige Technologien (keine Einwilligung erforderlich)

Diese Einträge werden ausschließlich in Ihrem Browser gespeichert, nicht an unsere Server oder Dritte übermittelt und enthalten keine zu Ihrer Identifizierung geeigneten Informationen. Der zweite Satz von Art. 5 Abs. 3 der ePrivacy-Richtlinie befreit Speicherungen, die für die Erbringung eines vom Nutzer ausdrücklich angeforderten Dienstes unbedingt erforderlich sind, von der Einwilligungspflicht; die Speicherung der Cookie-Präferenz selbst fällt unter diese Ausnahme.

6.2. Hosting und Inhaltsbereitstellung

Unsere Seite wird auf der Infrastruktur von Vercel Inc. (USA) gehostet. Bei jeder Internetanfrage erfassen die Server von Vercel die IP-Adresse, von der die Anfrage stammt, die Adresse der angeforderten Seite, Datum und Uhrzeit der Anfrage, den Browsertyp und den Statuscode der Antwort zu Sicherheits- und Fehlerverfolgungszwecken. Diese Erfassung ist für die Erbringung des Dienstes technisch erforderlich und kann nicht an eine Einwilligung gebunden werden: Sie zu verhindern würde bedeuten, die Übermittlung der Seite an Sie zu verhindern.

Vercel führt diese Aufzeichnungen nicht für eigene Rechnung, sondern als Auftragsverarbeiter für uns. Zwischen uns besteht ein Auftragsverarbeitungsvertrag, der die Anforderungen von Art. 28 DSGVO erfüllt. Die Aufzeichnungen werden kurzfristig gespeichert und nicht zu Marketingzwecken verwendet.

Die auf der Seite verwendeten Schriftarten (Fonts) werden von unseren eigenen Servern bereitgestellt. Wir rufen Schriftarten nicht von einem externen Anbieter wie Google Fonts ab; daher wird Ihre IP-Adresse beim Laden der Seite nicht an einen Schriftartenanbieter übermittelt. Diese Entscheidung ist bewusst getroffen: Ein deutsches Gerichtsurteil (LG München I, 20.01.2022, 3 O 17493/20) stellte fest, dass die externe Einbindung von Google Fonts rechtswidrig ist, weil sie die IP-Adresse des Besuchers ohne Einwilligung in die USA übermittelt.

6.3. Besuchermessung — Plausible Analytics (keine Einwilligung erforderlich)

Um zu verstehen, welche Seiten für Besucher nützlich sind, verwenden wir Plausible Analytics, bereitgestellt von Plausible Insights OÜ (Estland).

Die Merkmale, die Plausible von anderen Messwerkzeugen unterscheiden, sind genau der Grund, warum keine Einwilligung erforderlich ist:

• Es speichert nichts auf Ihrem Gerät. Es setzt kein Cookie und verwendet keinen lokalen Speicher. Die Einwilligungspflicht nach Art. 5 Abs. 3 ePrivacy entsteht beim Zugriff auf ein Gerät oder bei der Speicherung von Informationen darauf; da bei diesem Werkzeug keines von beiden geschieht, entsteht die Pflicht nicht.
• Ihre IP-Adresse wird nicht gespeichert. Die IP-Adresse wird nur kurzzeitig verarbeitet, um das Land des Besuchs zu bestimmen, und anschließend zusammen mit den Browserinformationen unwiderruflich gehasht und verworfen. Da dem Hash ein sich täglich änderndes Salt hinzugefügt wird, erzeugt derselbe Besucher am nächsten Tag einen anderen Hash; Besucher können daher nicht über mehrere Tage hinweg verfolgt werden.
• Es findet keine seitenübergreifende Verfolgung statt. Das Werkzeug kann Sie nicht auf anderen Seiten verfolgen.
• Die Daten bleiben innerhalb der Europäischen Union. Das Hosting erfolgt in Deutschland, es findet keine Übermittlung in ein Drittland statt.
• Es wird kein persönliches Profil erstellt, keine Daten werden verkauft oder zu Werbezwecken verwendet.

Die von uns erhobenen Messdaten liegen auf folgendem Niveau: besuchte Seitenadresse, verweisende Adresse, Land, Gerätetyp, Browser, Betriebssystem und Kampagnen-Tags. Diese Daten werden aggregiert angezeigt; wer ein einzelner Besucher ist, lässt sich daraus nicht ableiten.

Plausible hat seine rechtliche Bewertung öffentlich veröffentlicht. Der Grund, warum wir für dieses Werkzeug keine Einwilligung einholen, ist, dass die Einwilligung nicht erforderlich ist — ein Werkzeug in das Einwilligungsbanner aufzunehmen, obwohl es rechtlich nicht erforderlich ist, würde das Banner für die Werkzeuge, die tatsächlich erforderlich sind, bedeutungslos machen.

6.4. Nutzungsanalyse — Microsoft Clarity (Einwilligung erforderlich)

Um auf der Seite auftretende Nutzungsprobleme erkennen zu können, verwenden wir Microsoft Clarity, bereitgestellt von Microsoft Ireland Operations Limited. Im Gegensatz zu dem im vorherigen Abschnitt beschriebenen Messwerkzeug:

• setzt dieses Werkzeug ein Cookie auf Ihrem Gerät,
• zeichnet es Ihre Mausbewegungen, Ihr Scrollen und Ihre Klicks auf,
• erstellt es eine Aufzeichnung Ihrer Sitzung (Session Replay), sodass das Verhalten eines Besuchers auf der Seite nachträglich eingesehen werden kann.

Aus diesem Grund wird das Clarity-Skript nur geladen, wenn Sie im Cookie-Banner ausdrücklich zustimmen. Wenn Sie nicht zustimmen oder das Banner nicht beantworten, wird keine zu Clarity gehörende Datei auf Ihren Browser heruntergeladen, es wird kein Cookie gesetzt und es wird keine Anfrage an die Server von Microsoft gesendet.

Clarity maskiert standardmäßig den in Textfelder eingegebenen Inhalt; der Inhalt von Formularfeldern ist in der Sitzungsaufzeichnung nicht sichtbar. Trotzdem ist eine Sitzungsaufzeichnung eine detaillierte Spur Ihres Verhaltens und bedarf daher der Einwilligung.

Microsoft kann Clarity-Daten auch für eigene Rechnung verarbeiten. Die Datenschutzerklärung von Microsoft zu diesem Werkzeug ist unter privacy.microsoft.com veröffentlicht. Microsoft Ireland Operations Limited ist in Irland niedergelassen; innerhalb der Konzernstruktur von Microsoft ist jedoch eine Übermittlung der Daten in die USA möglich. Diese Übermittlung wird in Abschnitt 8 erläutert.

Sie können Ihre Einwilligung jederzeit widerrufen, indem Sie auf den Link „Cookie-Einstellungen" am unteren Rand der Seite klicken. Nach dem Widerruf wird das Clarity-Skript ab dem nächsten Seitenaufruf nicht mehr geladen. Der Widerruf der Einwilligung berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung (Art. 7 Abs. 3 DSGVO). Die gespeicherte Präferenz ist außerdem nur 24 Stunden gültig; nach Ablauf dieser Frist wird Ihre Präferenz auch ohne eigenes Handeln erneut abgefragt, und Clarity wird bis dahin nicht geladen.

6.5. Kontaktformular — Formspree

Das Kontaktformular auf unserer Seite läuft über die Infrastruktur von Formspree Inc. (USA). Wenn Sie das Formular absenden, durchlaufen die von Ihnen eingegebenen Informationen die Server von Formspree und werden an die E-Mail-Adresse unseres Unternehmens übermittelt. Formspree handelt dabei als Auftragsverarbeiter und verwendet die Daten nicht für eigene Zwecke.

Formspree verarbeitet zum Zeitpunkt der Übermittlung Ihre IP-Adresse, um Missbrauch und automatisierte Übermittlungen zu verhindern. Formulardaten werden in der Verwaltungsoberfläche von Formspree für eine gewisse Zeit gespeichert; diese Aufzeichnungen werden regelmäßig gelöscht. Formspree ist in den USA niedergelassen; diese Übermittlung wird in Abschnitt 8 erläutert.

Wenn Sie das Formular nicht nutzen möchten, können Sie dieselbe Anfrage direkt per E-Mail an info@dnl.com.tr oder telefonisch unter +90 538 585 62 61 übermitteln. In diesem Fall durchlaufen Ihre Daten Formspree nicht.

6.6. Karte — Google Maps (Einwilligung erforderlich)

Auf unserer Kontaktseite befindet sich eine Karte, die den Standort unserer Anlage zeigt. Diese Karte gehört zum Dienst Google Maps, bereitgestellt von Google Ireland Limited, und wird nur geladen, wenn Sie auf die Schaltfläche „Karte laden" klicken.

Wenn Sie die Karte laden:

• wird Ihre IP-Adresse an Google übermittelt,
• kann Google ein Cookie auf Ihrem Gerät setzen (einschließlich des `NID`-Cookies; dieses Cookie wird von Google zur Speicherung von Nutzerpräferenzen und zur Anzeigenpersonalisierung verwendet und ist etwa sechs Monate gültig),
• kann dieser Besuch, wenn Sie in einem Google-Konto angemeldet sind, mit Ihrem Google-Konto verknüpft werden.

Aus diesem Grund ist die Karte an eine Einwilligung gebunden. Auch ohne Laden der Karte können Sie die vollständige Adresse unserer Anlage, unsere Telefonnummer und einen Link zu einem externen Kartendienst auf der Kontaktseite sehen; ohne Laden der Karte geht keine Information verloren.

Für die Datenverarbeitungspraktiken von Google können Sie die Datenschutzerklärung unter policies.google.com/privacy einsehen.

6.7. WhatsApp

Auf unserer Seite befindet sich ein Link, über den Sie uns per WhatsApp erreichen können. Das Anklicken dieses Links öffnet Ihren Browser oder die WhatsApp-Anwendung; solange Sie nicht klicken, werden keine Daten an WhatsApp übermittelt und es wird kein WhatsApp-Cookie auf Ihrem Gerät gesetzt.

Wenn Sie uns über WhatsApp schreiben, werden Ihre Nachricht und Ihre Telefonnummer über die Infrastruktur von WhatsApp Ireland Limited (Meta-Konzern) übermittelt. Nachrichteninhalte sind auf dieser Infrastruktur Ende-zu-Ende-verschlüsselt; Metadaten darüber, wer mit wem wann kommuniziert hat, werden jedoch von Meta im Rahmen seiner eigenen Datenschutzerklärung verarbeitet. Verantwortlicher für diese Verarbeitung ist Meta; unser Unternehmen hat keine Kontrolle über diese Metadaten.

WhatsApp-Korrespondenz wird auf den Geräten unseres Unternehmens gespeichert und zur Beantwortung Ihrer Anfrage verwendet. Wenn Sie diesen Kanal nicht nutzen möchten, können Sie E-Mail oder Telefon bevorzugen.

6.8. Cookies über Ihren Browser verwalten

Unabhängig von Ihrer Wahl in unserem Banner bieten alle gängigen Browser die Möglichkeit, Cookies zu blockieren und zu löschen. Im Datenschutz- oder Website-Daten-Bereich der Einstellungen Ihres Browsers können Sie sehen, welche Cookies gespeichert sind, diese einzeln oder gesammelt löschen und das Setzen neuer Cookies vollständig blockieren.

Wenn Sie alle Cookies blockieren, kann auch Ihre Cookie-Präferenz nicht gespeichert werden, sodass das Cookie-Banner bei jedem Besuch erneut erscheint. Dies ist keine Störung, sondern die natürliche Folge davon, dass Ihre Präferenz nicht gespeichert werden kann.

7. Empfänger personenbezogener Daten

Wir übermitteln Ihre personenbezogenen Daten an die folgenden Parteien, ausschließlich zu dem jeweils daneben angegebenen Zweck. An keine andere Partei außer den hier aufgeführten übermitteln wir Daten; wir verkaufen, vermieten oder offenbaren Ihre personenbezogenen Daten unter keinen Umständen zu Werbezwecken an Dritte.

Mit jeder als Auftragsverarbeiter handelnden Partei besteht ein schriftlicher Auftragsverarbeitungsvertrag, der die nach Art. 28 DSGVO erforderlichen Elemente enthält. Diese Verträge regeln Gegenstand und Dauer der Verarbeitung, das Handeln des Auftragsverarbeiters ausschließlich nach unseren Anweisungen, die Vertraulichkeitspflicht, die zu treffenden technischen und organisatorischen Maßnahmen, die Bindung der Nutzung von Unterauftragsverarbeitern an unsere Zustimmung, die Löschung der Daten nach Beendigung des Dienstes sowie unser Prüfungsrecht.

8. Übermittlung ins Ausland

Ein Teil der oben aufgeführten Anbieter ist außerhalb der Türkei niedergelassen. Ihre personenbezogenen Daten werden daher auf der Grundlage der nachstehend erläuterten rechtlichen Mechanismen ins Ausland übermittelt. Die Übermittlung wird nach beiden Regelwerken getrennt bewertet.

8.1. Übermittlung aus der Türkei ins Ausland (KVKK)

Art. 9 des KVKK wurde durch das Gesetz Nr. 7499 vom 12. März 2024 wesentlich geändert, und die neue Regelung trat am 1. Juni 2024 in Kraft. Die neue Regelung nähert sich dem Modell der Europäischen Union an und errichtet eine dreistufige Struktur für Übermittlungen: Übermittlung in Länder mit einer vom Ausschuss bekannt gegebenen Angemessenheitsentscheidung, Übermittlung auf Grundlage geeigneter Garantien (verbindliche Unternehmensregelungen, Standardvertrag, Verpflichtungserklärung, internationales Abkommen), falls keine Angemessenheitsentscheidung vorliegt, und ausnahmsweise Übermittlung, falls auch dies nicht möglich ist.

Der Ausschuss hat bisher für kein Land eine Angemessenheitsentscheidung bekannt gegeben. Unsere Übermittlungen stützen sich daher auf geeignete Garantien: Mit den betreffenden Anbietern wurde ein vom Ausschuss bekannt gegebener Standardvertrag unterzeichnet. Auf einem Standardvertrag beruhende Übermittlungen müssen dem Ausschuss innerhalb von fünf Arbeitstagen nach Unterzeichnung gemeldet werden; diese Meldung wurde vorgenommen.

8.2. Übermittlung aus der Europäischen Union in die Türkei (DSGVO)

Wenn die Daten einer in der Europäischen Union befindlichen betroffenen Person unser Unternehmen erreichen, handelt es sich um eine Übermittlung in ein Drittland: Die Europäische Kommission hat für die Türkei keine Angemessenheitsentscheidung getroffen. Die Übermittlung stützt sich daher gemäß Art. 46 Abs. 2 lit. c DSGVO auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss 2021/914 vom 4. Juni 2021).

Das Urteil des Gerichtshofs der Europäischen Union *Schrems II* (C-311/18) hat festgestellt, dass Standardvertragsklauseln allein nicht ausreichen; die übermittelnde Partei muss zusätzlich bewerten, ob die Rechtsvorschriften des Zielstaats den von diesen Klauseln gebotenen Schutz beeinträchtigen. Diese Bewertung (Transfer Impact Assessment) wurde durchgeführt. Dabei wurden die Art der übermittelten Daten — unternehmensbezogene Kontaktinformationen und Inhalte technischer Anfragen, die keine besonderen Datenkategorien enthalten — sowie die geringe Wahrscheinlichkeit berücksichtigt, dass diese Art von Daten das Interesse öffentlicher Behörden weckt. Zusätzlich zur Bewertung werden bei der Übermittlung Transportverschlüsselung, Zugriffsbeschränkung und eine Begrenzung der Speicherdauer angewendet.

8.3. Übermittlung in die USA

Vercel und Formspree sind in den USA niedergelassen. Für diese Übermittlungen besteht ein zusätzlicher Mechanismus: Die Europäische Kommission hat am 10. Juli 2023 für die USA im Rahmen des EU-US Data Privacy Framework eine Angemessenheitsentscheidung getroffen. Diese Entscheidung gilt nur für Übermittlungen an Organisationen, die dem Framework beigetreten sind und in dem vom US-Handelsministerium geführten Register aufgeführt sind.

Übermittlungen an US-Anbieter, die dem Framework nicht beigetreten sind, stützen sich auf die in Abschnitt 8.2 beschriebenen Standardvertragsklauseln und die durchgeführte Folgenabschätzung.

8.4. Ihr Recht, eine Kopie der Übermittlungsdokumente anzufordern

Sie können eine Kopie der Standardvertragsklauseln anfordern, auf denen die Übermittlung Ihrer Daten ins Ausland beruht. Wenn Sie Ihre Anfrage über die in Abschnitt 12 genannten Kanäle übermitteln, wird Ihnen eine Fassung übermittelt, aus der geschäftsgeheime wirtschaftliche Bestimmungen entfernt wurden.

9. Aufbewahrungsfristen

Wir speichern Ihre personenbezogenen Daten nicht länger, als der Verarbeitungszweck und die in den einschlägigen Rechtsvorschriften vorgesehene Höchstfrist es erfordern. Die Fristen sind in der folgenden Tabelle aufgeführt. Fällt ein Datum unter mehr als eine Zeile, gilt die längere Frist.

Personenbezogene Daten, deren Aufbewahrungsfrist abgelaufen ist, werden im Rahmen periodischer Löschzyklen gelöscht, vernichtet oder anonymisiert. Die periodische Vernichtung erfolgt gemäß Art. 11 der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten in Abständen von höchstens sechs Monaten.

Einem Löschersuchen bezüglich eines Datums kann nicht nachgekommen werden, wenn für dieses Datum eine in der obigen Tabelle aufgeführte gesetzliche Aufbewahrungspflicht fortbesteht. In einem solchen Fall beenden wir die aktive Nutzung des Datums, beschränken den Zugriff darauf und bewahren es nur zu dem von der gesetzlichen Verpflichtung erforderten Zweck weiter auf; wir teilen Ihnen diese Beschränkung schriftlich mit.

10. Datensicherheitsmaßnahmen

Art. 12 KVKK und Art. 32 DSGVO verpflichten zur Ergreifung technischer und organisatorischer Maßnahmen, die der Art und dem Risiko der Verarbeitung angemessen sind. Die von uns getroffenen Maßnahmen sind folgende:

Technische Maßnahmen: Die Seite und alle Unterseiten werden über HTTPS bereitgestellt; der gesamte Datenverkehr zwischen Ihrem Browser und unserem Server wird während der Übertragung verschlüsselt. Unsere Serverinfrastruktur wird aktuell gehalten, und Sicherheitspatches werden unverzüglich angewendet. Der Zugriff auf Verwaltungsoberflächen ist durch Mehr-Faktor-Authentifizierung geschützt. Der Zugriff auf Systeme mit personenbezogenen Daten ist auf Personal beschränkt, das diesen für seine Aufgabe benötigt, und die Berechtigungen werden regelmäßig überprüft. Zugriffsprotokolle werden geführt. Es werden Sicherungskopien erstellt, die verschlüsselt gespeichert werden. Skripte Dritter werden auf ein Minimum beschränkt; jedes neu hinzugefügte Skript wird gesondert aus datenschutzrechtlicher Sicht bewertet.

Organisatorische Maßnahmen: Ein Verzeichnis der Verarbeitungstätigkeiten personenbezogener Daten wird geführt und aktualisiert. Personal, das personenbezogene Daten verarbeitet, wird über die von ihm verarbeiteten Datenkategorien und seine Pflichten informiert. Mit jedem Auftragsverarbeiter wird ein schriftlicher Vertrag geschlossen. Eine Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten ist in Kraft und wird periodisch angewendet. Vor Einführung eines neuen Werkzeugs oder Prozesses wird eine Datenschutz-Folgenabschätzung durchgeführt.

Im Falle einer Datenschutzverletzung: Im Falle eines unrechtmäßigen Zugriffs auf, Erlangung, Veränderung, Vernichtung oder Offenlegung gegenüber Dritten von personenbezogenen Daten wird so schnell wie möglich und in jedem Fall innerhalb von 72 Stunden nach Kenntniserlangung der Verletzung dem Ausschuss für den Schutz personenbezogener Daten gemäß KVKK sowie innerhalb derselben Frist der zuständigen Aufsichtsbehörde gemäß Art. 33 DSGVO Meldung erstattet. Stellt die Verletzung ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen dar, werden auch die betroffenen Personen unverzüglich benachrichtigt (Art. 34 DSGVO). Die Meldung enthält die Art der Verletzung, die betroffenen Datenkategorien, die voraussichtlichen Folgen und die getroffenen Maßnahmen.

Keine Sicherheitsmaßnahme bietet absoluten Schutz. Aufgrund der Natur der Datenübertragung über das Internet ist eine vollständig risikofreie Übertragung nicht möglich. Wenn Sie besonders sensible Informationen übermitteln möchten, empfehlen wir, uns telefonisch statt per unverschlüsselter E-Mail zu kontaktieren.

11. Rechte der betroffenen Person

11.1. Ihre Rechte nach Art. 11 KVKK

Durch einen Antrag an den Verantwortlichen haben Sie das Recht,

• a) zu erfahren, ob Ihre personenbezogenen Daten verarbeitet werden,
• b) im Falle der Verarbeitung Informationen darüber zu verlangen,
• c) den Zweck der Verarbeitung und dessen zweckgemäße Nutzung zu erfahren,
• ç) die Dritten im In- und Ausland zu kennen, an die die Daten übermittelt werden,
• d) bei unvollständiger oder unrichtiger Verarbeitung die Berichtigung zu verlangen,
• e) im Rahmen der gesetzlich vorgesehenen Bedingungen die Löschung oder Vernichtung zu verlangen,
• f) zu verlangen, dass die nach lit. d) und e) vorgenommenen Maßnahmen den Dritten mitgeteilt werden, an die die Daten übermittelt wurden,
• g) einem ausschließlich durch automatisierte Systeme erzielten, für Sie nachteiligen Ergebnis zu widersprechen,
• ğ) bei einem durch rechtswidrige Verarbeitung entstandenen Schaden Schadensersatz zu verlangen.

11.2. Ihre zusätzlichen Rechte nach der DSGVO

Für in der Europäischen Union befindliche betroffene Personen gelten zusätzlich zu den oben genannten die folgenden Rechte. Diese Rechte sind im KVKK entweder gar nicht oder nur in eingeschränkterem Umfang vorgesehen:

Recht auf Auskunft (Art. 15): Sie können eine Kopie der verarbeiteten personenbezogenen Daten zusammen mit Informationen über die Verarbeitungszwecke, die Datenkategorien, die Empfänger, die Speicherdauer, den Umfang der Rechte, die Herkunft der Daten und eine gegebenenfalls erfolgende automatisierte Entscheidungsfindung verlangen. Die erste Kopie ist kostenlos.

Recht auf Löschung (Art. 17): Das KVKK knüpft das Löschungsersuchen an die im Gesetz vorgesehenen Voraussetzungen. Die DSGVO sieht hingegen sechs eigenständige Löschungsgründe vor; einer davon ist der Widerruf der Einwilligung in Fällen, in denen die Verarbeitung auf einer ausdrücklichen Einwilligung beruht. Das heißt, bei einer auf Einwilligung gestützten Verarbeitung entsteht das Löschungsrecht unmittelbar mit dem Widerruf Ihrer Einwilligung.

Recht auf Einschränkung der Verarbeitung (Art. 18): Wenn Sie die Richtigkeit der Daten bestreiten, die Verarbeitung für rechtswidrig halten, deren Löschung aber nicht wünschen, oder die Speicherung der Daten zur Rechtsverteidigung benötigen, können Sie anstelle der Löschung verlangen, dass die Daten lediglich gespeichert — keiner weiteren Verarbeitung unterzogen — werden. Diese Zwischenlösung besteht im KVKK nicht.

Recht auf Datenübertragbarkeit (Art. 20): Sie können verlangen, auf Grundlage Ihrer Einwilligung oder eines Vertrags automatisiert verarbeitete und von Ihnen bereitgestellte Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und deren direkte Übermittlung an einen anderen Verantwortlichen zu verlangen. Dieses Recht besteht im KVKK nicht.

Widerspruchsrecht (Art. 21): Sie können einer auf berechtigtem Interesse beruhenden Verarbeitung unter Angabe Ihrer besonderen Situation widersprechen. Im Falle Ihres Widerspruchs liegt es an uns, erneut zu bewerten und nachzuweisen, ob unser berechtigtes Interesse Ihre Rechte und Freiheiten überwiegt; können wir dies nicht nachweisen, stellen wir die Verarbeitung ein. Verarbeiten wir Ihre Daten zu Zwecken der Direktwerbung, stellen wir diese Verarbeitung auf Ihren Widerspruch hin bedingungslos ein; in diesem Fall erfolgt keine Bewertung. Das KVKK knüpft das Widerspruchsrecht nur an automatisierte Entscheidungsfindung und enthält dieses weitreichende, von der DSGVO gewährte Widerspruchsrecht nicht.

Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77): Sie können sich direkt an die Datenschutzbehörde Ihres eigenen Landes wenden. Für eine Beschwerde ist keine vorherige Kontaktaufnahme mit uns erforderlich; zur Beschleunigung der Lösung empfehlen wir jedoch, sich zunächst an uns zu wenden.

11.3. Automatisierte Entscheidungsfindung und Profiling

Wir treffen keine Entscheidung über Sie, die ausschließlich auf einer automatisierten Analyse beruht und eine Sie betreffende rechtliche Wirkung entfaltet oder Sie erheblich beeinträchtigt. Wir betreiben keine Anzeigenpersonalisierung, Kreditbewertung, automatisierte Preisgestaltung oder ähnliche Profiling-Tätigkeiten. Die auf der Seite durchgeführte Messung erzeugt aggregierte Ergebnisse über Seiten, nicht über einzelne Besucher.

12. Verfahren zur Antragstellung

Zur Ausübung Ihrer Rechte können Sie Ihren Antrag über einen der folgenden Kanäle übermitteln:

Gemäß der Mitteilung über Verfahren und Grundsätze des Antrags an den Verantwortlichen muss Ihr Antrag Folgendes enthalten: Ihren Vor- und Nachnamen, bei schriftlichem Antrag Ihre Unterschrift, falls Sie türkischer Staatsbürger sind Ihre türkische Identitätsnummer (andernfalls Ihre Staatsangehörigkeit und Passnummer), Ihre für die Zustellung maßgebliche Wohn- oder Geschäftsadresse, gegebenenfalls Ihre für die Benachrichtigung maßgebliche E-Mail-Adresse und Telefonnummer sowie den Gegenstand Ihres Anliegens. Das Beifügen von Informationen und Unterlagen zu Ihrem Anliegen ermöglicht eine schnellere Bearbeitung.

Telefonische Gespräche gelten nicht als formeller Antrag, da eine Identitätsprüfung telefonisch nicht möglich ist; der Telefonkanal dient ausschließlich der Informationseinholung über den Verfahrensstand.

Bearbeitungsfristen. Gemäß Art. 13 KVKK werden Ihre Anträge je nach ihrer Art so schnell wie möglich und in jedem Fall innerhalb von dreißig Tagen nach Eingang bei uns bearbeitet. Gemäß Art. 12 DSGVO beträgt die Frist einen Monat; bei Komplexität oder einer Vielzahl von Anträgen kann diese Frist um zwei weitere Monate verlängert werden, wobei die Verlängerung Ihnen innerhalb des ersten Monats mit Begründung mitgeteilt wird. Für in der Europäischen Union befindliche betroffene Personen gilt die kürzere der beiden Fristen.

Ihr Antrag wird kostenlos bearbeitet. Erfordert die Bearbeitung zusätzliche Kosten, kann eine vom Ausschuss festgelegte Gebühr erhoben werden; bei Anträgen im Rahmen der DSGVO kann nur für offensichtlich unbegründete oder exzessiv wiederholte Anträge eine angemessene Gebühr verlangt werden.

Vor der Beantwortung Ihres Antrags können wir zusätzliche Informationen zur Bestätigung Ihrer Identität anfordern, um sicherzustellen, dass der Antrag tatsächlich von Ihnen stammt. Dieser Schritt dient der Verhinderung einer Offenlegung Ihrer Daten an eine unbefugte Person.

Wird Ihr Antrag abgelehnt, halten Sie unsere Antwort für unzureichend oder erhalten Sie innerhalb der Frist keine Antwort, können Sie innerhalb von dreißig Tagen nach Kenntniserlangung von der Antwort und in jedem Fall innerhalb von sechzig Tagen nach dem Datum des Antrags Beschwerde beim Ausschuss für den Schutz personenbezogener Daten einlegen.

13. Daten von Kindern

Unsere Internetseite ist eine Unternehmensseite, die Informationen über technische Produkte für Industrieanlagen bereitstellt; sie richtet sich nicht an Kinder, und ihr Inhalt ist nicht geeignet, das Interesse von Kindern zu wecken. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter sechzehn Jahren.

Erfahren wir, dass eine Person unter sechzehn Jahren uns Daten übermittelt hat, löschen wir diese Daten unverzüglich. Wenn Sie glauben, dass Ihr Kind uns Daten übermittelt hat, können Sie uns über die in Abschnitt 12 genannten Kanäle kontaktieren.

14. Besondere Kategorien personenbezogener Daten

Art. 6 KVKK definiert Daten zu Rasse, ethnischer Herkunft, politischer Meinung, philosophischer Überzeugung, Religion, Konfession oder sonstigen Glaubensüberzeugungen, Erscheinungsbild und Kleidung, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtlicher Verurteilung und Sicherungsmaßnahmen sowie biometrische und genetische Daten als besondere Kategorien personenbezogener Daten. Die Verarbeitungsvoraussetzungen dieses Artikels wurden durch das Gesetz Nr. 7499 vom 12. März 2024 an die Struktur von Art. 9 DSGVO angenähert.

Wir verarbeiten keine Daten dieser Kategorie. Kein Formular auf unserer Seite fragt Informationen dieser Art ab, und unsere geschäftliche Tätigkeit erfordert keine Daten dieser Art.

Teilen Sie uns in einer Nachricht Informationen dieser Art mit — etwa die Erwähnung eines Gesundheitszustands in einer Terminanfrage —, verarbeiten wir diese Information nur für die zur Erfüllung Ihres Anliegens kürzestmögliche Dauer, speichern sie nicht und vernichten sie anschließend. Wir empfehlen, in Ihrer Korrespondenz mit uns keine Informationen dieser Art zu teilen.

15. Änderungen dieses Textes

Wir können diesen Text aufgrund von Änderungen der Rechtsvorschriften, Änderungen der von uns verwendeten Werkzeuge oder Änderungen unserer Geschäftsprozesse aktualisieren. Der aktuelle Text wird stets unter dieser Adresse veröffentlicht, mit dem Datum der letzten Aktualisierung oben angegeben.

Im Falle einer wesentlichen Änderung unserer Verarbeitungstätigkeiten — etwa die Verarbeitung einer neuen Datenkategorie, das Hinzufügen eines neuen Zwecks oder die beginnende Übermittlung von Daten an eine neue Partei — kündigen wir die Änderung zusätzlich auf unserer Internetseite an. Erweitert die Änderung eine auf Ihrer Einwilligung beruhende Verarbeitung, holen wir für den erweiterten Umfang gesondert Ihre Einwilligung ein; wir wenden Ihre bestehende Einwilligung nicht automatisch auf einen erweiterten Umfang an.

Möchten Sie eine frühere Fassung dieses Textes einsehen, können Sie diese über die in Abschnitt 12 genannten Kanäle anfordern.

16. Inkrafttreten

Dieser Text ist am 9. Oktober 2026 in Kraft getreten und gilt mit dem oben angegebenen Datum der letzten Aktualisierung.

Im Falle von Abweichungen zwischen den Sprachversionen ist die türkische Fassung maßgeblich.