Das türkische Datenschutzrecht ist ein Rechtstext, seine Umsetzung aber weitgehend Software- und Prozessarbeit. In Unternehmenssystemen bedeutet Konformität konkrete technische Schritte.
01. Datenbestand
Konformität beginnt mit der Auflistung, welche personenbezogenen Daten in welchem System liegen. Debitorenkarten im ERP, Kontaktdaten im CRM, Adressen und Bestellhistorie im Shop; ohne Bestandsaufnahme lässt sich kein Schritt solide gehen.
02. Zweck und Rechtsgrundlage
Jedes Datenfeld braucht einen Verarbeitungszweck. Felder, die für alle Fälle erhoben werden, sind die größte Risikoquelle. Ungenutzte Felder zu entfernen, verkleinert zugleich die Angriffsfläche.
03. Zugriffsberechtigung
Wer personenbezogene Daten erreicht, muss rollenbasiert definiert sein. Eine ERP-Einrichtung, in der jeder alle Debitoren sieht, mag technisch laufen, ist aber nicht vertretbar.
04. Aufbewahrungsfristen
Unbefristete Speicherung ist die Ausnahme, nicht die Regel. Eine Aufbewahrungsrichtlinie gehört geschrieben, und ein Mechanismus zur Löschung oder Anonymisierung muss im System tatsächlich laufen.
05. Information und Einwilligung
Beim Erheben ist zu informieren. Marketingkommunikation erfordert zusätzlich ausdrückliche Einwilligung und Registrierung im nationalen System; werden beide vermischt, entsteht Sanktionsrisiko.
06. Meldung von Verletzungen
Die Frist zur Meldung an die Behörde ist kurz. Wer entscheidet, wer meldet und welche Aufzeichnungen gesammelt werden, gehört vorab schriftlich festgehalten.