Personenbezogene Daten betroffener Personen dürfen von Verantwortlichen und von Auftragsverarbeitern nur dann rechtmäßig verarbeitet werden, wenn für die Verarbeitung eine Rechtsgrundlage besteht.
Ausdrückliche Einwilligung
Liegt keine der übrigen Rechtsgrundlagen vor, dürfen personenbezogene Daten ohne die ausdrückliche Einwilligung der betroffenen Person nicht verarbeitet werden (Art. 5 Abs. 1 des türkischen Gesetzes Nr. 6698 über den Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, KVKK — im Folgenden „das Gesetz“)). Die ausdrückliche Einwilligung muss aus freiem Willen erklärt werden, sich auf einen bestimmten Gegenstand beziehen und auf einer vorherigen Information beruhen (Art. 3 des Gesetzes).
Nimmt die betroffene Person ihre ausdrückliche Einwilligung zurück und verarbeitet der Verantwortliche die Daten gleichwohl weiter, ohne sich auf eine andere Rechtsgrundlage stützen zu können, so gilt dies als eine Verarbeitung, die gegen das Gesetz und gegen Treu und Glauben verstößt.
Vertrag mit der betroffenen Person
Personenbezogene Daten der Vertragsparteien dürfen von der jeweils anderen Partei verarbeitet werden, soweit dies unmittelbar mit dem Abschluss oder der Erfüllung eines Vertrages zusammenhängt und dafür erforderlich ist; hierunter fällt etwa die Verarbeitung personenbezogener Angaben einer beschäftigten Person durch die Arbeitgeberseite zur Erfüllung des Arbeitsvertrages (Art. 5 Abs. 2 lit. c des Gesetzes).
Gesetzliche Pflichten
Ist die Verarbeitung in Gesetzen ausdrücklich vorgesehen oder zwingend erforderlich, um eine rechtliche Verpflichtung zu erfüllen, der der Verantwortliche unterliegt, so dürfen personenbezogene Daten ohne die ausdrückliche Einwilligung der betroffenen Person verarbeitet werden. So legt die Arbeitgeberseite etwa Personalakten an und bewahrt sie auf; Banken und Finanzinstitute erheben und teilen bestimmte Angaben; und Arbeitgeber melden die personenbezogenen Daten neu eingestellter Beschäftigter den Sicherheitsbehörden.
Schutz der Interessen der betroffenen Person
Personenbezogene Daten dürfen verarbeitet werden, wenn dies zum Schutz des Lebens oder der körperlichen Unversehrtheit einer Person, die aus tatsächlicher Unmöglichkeit außerstande ist, ihre Einwilligung zu erklären, oder deren Einwilligung keine rechtliche Wirksamkeit zukommt, oder zum Schutz einer anderen Person zwingend erforderlich ist. So dürfen etwa Standortdaten aus dem Mobilgerät einer vermissten Person oder Kameraaufzeichnungen verwendet werden, um diese Person aufzufinden.
Öffentliches Interesse
Das Gesetz führt das öffentliche Interesse nicht als eine der Rechtsgrundlagen für die Verarbeitung personenbezogener Daten auf. Der Ausschuss für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu) zieht das öffentliche Interesse jedoch als Kriterium heran, wenn er die Grenzen einer unabhängigen Presse und das Verhältnis zwischen dem Recht auf Achtung des Privatlebens und der Meinungsfreiheit abwägt.
Berechtigtes Interesse des Verantwortlichen
Ist die Verarbeitung für die berechtigten Interessen des Verantwortlichen zwingend erforderlich, so dürfen personenbezogene Daten ohne ausdrückliche Einwilligung verarbeitet werden, sofern die Grundrechte und Grundfreiheiten der betroffenen Person dadurch nicht beeinträchtigt werden (Art. 5 Abs. 2 lit. f des Gesetzes). In der Begründung des Gesetzes heißt es beispielsweise, die Inhaberin oder der Inhaber eines Unternehmens dürfe personenbezogene Daten der Beschäftigten verarbeiten, um Beförderungen zu regeln, Sozialleistungen festzulegen oder die Rollen zu bestimmen, die diese bei einer Umstrukturierung des Unternehmens übernehmen; jeder dieser Zwecke wird als berechtigtes Interesse des Unternehmens angesehen und als nicht geeignet, die Grundrechte und Grundfreiheiten der betroffenen Person zu beeinträchtigen.
Rechtsgrundlagen in weiteren Fällen
Nach Art. 5 des Gesetzes dürfen personenbezogene Daten außerdem in den folgenden Fällen ohne die ausdrückliche Einwilligung der betroffenen Person verarbeitet werden:
- die personenbezogenen Daten sind von der betroffenen Person selbst öffentlich gemacht worden und
- die Verarbeitung ist für die Begründung, Ausübung oder Verteidigung eines Rechts zwingend erforderlich.
Bei der Anwendung der Verarbeitungsvoraussetzungen auf den konkreten Fall gibt unsere Leistung Compliance-Programm nach KVKK und DSGVO die Richtung vor; die Entwicklung der Regelungen verfolgen wir in unserem Eintrag zum KVKK unter den Rechtsvorschriften.
