Personalakte nach KVKK in der Türkei: Wer darf zugreifen, wie schützt man ID und IBAN?

Ein Teamleiter bittet einen Mitarbeiter per WhatsApp um seine IBAN, weil ein Vorschuss überwiesen werden soll. Eine andere Führungskraft fragt: „Darf ich mir die Akten meines Teams ansehen?“ Und ein Mitarbeiter möchte wissen: „Was steht in meiner Akte, und wer hat sie gesehen?“ Alle drei Fragen führen zum selben Punkt: In der Türkei ist die Personalakte nicht nur ein Ordner mit Unterlagen, sondern ein Dateisystem mit personenbezogenen Daten, und dessen Regeln stehen im KVKK, dem türkischen Datenschutzgesetz (Gesetz Nr. 6698). Dieser Beitrag zeigt Schritt für Schritt, welche Daten eine Personalakte enthält, wann keine Einwilligung nötig ist, wer worauf zugreifen darf und wie sensible Felder geschützt werden.

Die KVKK-Pflicht bei der Personalakte bedeutet in der Türkei, dass der Arbeitgeber Identitäts-, Kontakt-, Lohn- und Gesundheitsdaten des Mitarbeiters rechtmäßig verarbeitet, den Mitarbeiter informiert und unbefugten Zugriff auf die Daten verhindert (Art. 4, 10 und 12 des Gesetzes Nr. 6698).

Welche personenbezogenen Daten enthält eine Personalakte?

Einwilligung nach KVKK für die Personalakte: Ist eine ausdrückliche Einwilligung nötig?

Das Gesetz geht von folgendem Grundsatz aus: Personenbezogene Daten dürfen ohne ausdrückliche Einwilligung der betroffenen Person nicht verarbeitet werden. Derselbe Artikel erlaubt die Verarbeitung ohne ausdrückliche Einwilligung jedoch, wenn eine von mehreren Bedingungen erfüllt ist. Im Arbeitsverhältnis sind vor allem diese relevant (Art. 5):

• Die Verarbeitung ist gesetzlich ausdrücklich vorgesehen.
• Die Verarbeitung von Daten der Vertragsparteien ist erforderlich, sofern sie unmittelbar mit dem Abschluss oder der Erfüllung eines Vertrags zusammenhängt.
• Sie ist erforderlich, damit der Verantwortliche seine rechtliche Verpflichtung erfüllen kann.
• Sie ist zur Begründung, Ausübung oder Verteidigung eines Rechts erforderlich.
• Sie ist für die berechtigten Interessen des Verantwortlichen erforderlich, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht verletzt werden.

Statt für jedes Dokument eine pauschale „KVKK-Einwilligung“ unterschreiben zu lassen, ist es daher solider, für jede Datengruppe festzulegen, auf welche Bedingung sie sich stützt. Für besondere Kategorien von Daten gilt eine strengere Regel: Ihre Verarbeitung ist verboten, aber möglich, wenn eine der aufgezählten Bedingungen vorliegt. Dazu gehört, dass sie zur Erfüllung rechtlicher Pflichten in den Bereichen Beschäftigung, Arbeitsschutz und soziale Sicherheit erforderlich ist; zusätzlich müssen die vom türkischen Rat für den Schutz personenbezogener Daten (Datenschutzrat) festgelegten angemessenen Maßnahmen getroffen werden (Art. 6).

Auch wenn keine Einwilligung nötig ist, muss immer informiert werden. Bei der Erhebung der Daten informiert der Arbeitgeber den Mitarbeiter über Folgendes (Art. 10):

• Die Identität des Verantwortlichen und gegebenenfalls seines Vertreters.
• Zu welchem Zweck die Daten verarbeitet werden.
• An wen und zu welchem Zweck die Daten übermittelt werden können.
• Die Methode der Datenerhebung und ihre Rechtsgrundlage.
• Die in Art. 11 genannten Rechte des Mitarbeiters.

Wer darf auf die Personalakte zugreifen?

Das Gesetz enthält keine Zugriffsliste. Grundsätzlich verlangt es, dass Daten mit dem Verarbeitungszweck zusammenhängen, begrenzt und verhältnismäßig sind (Art. 4) und dass unbefugter Zugriff verhindert wird (Art. 12). Auch das türkische Arbeitsgesetz Nr. 4857 verlangt, dass der Arbeitgeber die über den Mitarbeiter erlangten Informationen nach Treu und Glauben und rechtmäßig verwendet und keine Informationen offenlegt, an deren Geheimhaltung der Mitarbeiter ein berechtigtes Interesse hat (Art. 75). Für alle, die auf die Daten zugreifen, gilt eine Verschwiegenheitspflicht, die auch nach dem Ausscheiden aus der Funktion fortbesteht (KVKK Art. 12).

Die folgende Tabelle ist keine gesetzliche Regel, sondern ein Beispiel für Zugriffsrechte nach dem Grundsatz der Verhältnismäßigkeit. Passen Sie sie an Ihre eigene Organisation an.

Wie werden türkische ID-Nummer und IBAN eines Mitarbeiters geschützt?

Die türkische ID-Nummer und die IBAN stehen nicht auf der Liste der besonderen Kategorien von Daten in KVKK Art. 6. Sie sind aber personenbezogene Daten, und der Verantwortliche muss die technischen und organisatorischen Maßnahmen treffen, die nötig sind, um ihre rechtswidrige Verarbeitung, unbefugten Zugriff und Verlust zu verhindern (Art. 12). Für die Verletzung von Pflichten zur Datensicherheit sieht das Gesetz Verwaltungsbußgelder vor (Art. 18); da die Beträge angepasst werden, prüfen Sie den aktuellen Wert in den Bekanntmachungen der türkischen Behörde für den Schutz personenbezogener Daten.

• Maskieren Sie türkische ID-Nummer und IBAN auf Bildschirmen und in Listen; zeigen Sie den vollständigen Wert nur dort, wo er gebraucht wird.
• Binden Sie den Zugriff an Rollen und protokollieren Sie jeden Dokumentzugriff.
• Untersagen Sie, ID-Nummer und IBAN per WhatsApp oder E-Mail anzufordern; legen Sie einen sicheren Kanal fest.
• Verwenden Sie die türkische ID-Nummer nicht in Dateinamen.
• Prüfen Sie regelmäßig, wer diese Felder in freigegebenen Ordnern und auf Ausdrucken sehen kann.
• Bestimmen Sie eine verantwortliche Person, die die betroffene Person und den Datenschutzrat schnellstmöglich benachrichtigt, wenn Daten unrechtmäßig in fremde Hände gelangen (Art. 12).

Was passiert, wenn ein Mitarbeiter Auskunft oder Löschung seiner Daten verlangt?

Nach KVKK Art. 11 kann sich jede Person an den Verantwortlichen wenden und erfahren, ob ihre personenbezogenen Daten verarbeitet werden, und, falls ja, Auskunft darüber, über den Verarbeitungszweck und über die Dritten erhalten, an die sie übermittelt wurden; sie kann außerdem die Berichtigung unvollständiger oder falscher Daten verlangen. Bei einem Antrag auf Löschung oder Vernichtung entscheidet der Verantwortliche spätestens innerhalb von dreißig Tagen über den Antrag und informiert die betroffene Person, wenn sämtliche Verarbeitungsbedingungen entfallen sind; bestehen die Bedingungen fort, kann er den Antrag mit Begründung ablehnen (Art. 12 der türkischen Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten). Bei Personalunterlagen, deren gesetzliche Aufbewahrungsfrist noch läuft, ist diese Frist der Ablehnungsgrund.

KVKK-Checkliste für die Personalakte

1. Listen Sie die Datengruppen, die Sie in der Personalakte führen, in einem schriftlichen Verzeichnis auf.
2. Legen Sie für jede Datengruppe die Rechtsgrundlage fest: Gesetz, Vertrag, rechtliche Verpflichtung, berechtigtes Interesse oder ausdrückliche Einwilligung.
3. Händigen Sie den Mitarbeitern die Datenschutzinformation beim Eintritt aus und dokumentieren Sie die Übergabe.
4. Ordnen Sie besondere Kategorien von Daten (Gesundheit, Strafregister, Gewerkschaftsmitgliedschaft) einer eigenen, engeren Berechtigungsgruppe zu.
5. Erstellen Sie eine rollenbasierte Zugriffsmatrix und überprüfen Sie sie mindestens einmal im Jahr.
6. Legen Sie für Felder wie türkische ID-Nummer und IBAN Regeln zur Maskierung und zum Übermittlungskanal fest.
7. Halten Sie Aufbewahrungs- und Vernichtungsfristen in einer schriftlichen Richtlinie fest.
8. Schreiben Sie auf, wer im Fall einer Datenpanne wen innerhalb welcher Frist informiert.

Wo legen Papierakte und gemeinsamer Ordner Personaldaten offen?

Selbst ein abgeschlossener Schrank steht jedem offen, der den Schlüssel hat, und niemand weiß, wer wann etwas angesehen hat. In einem gemeinsamen Ordner können ärztliches Attest, Lohnabrechnung und IBAN-Erklärung im selben Verzeichnis liegen; wer den Ordner öffnet, sieht alles. Das Problem sind nicht gutwillige Mitarbeiter, sondern dass sich der Zugriff nicht abstufen lässt: Auch wer die Daten nicht braucht, sieht sie, und bei einem Datenleck lässt sich nicht mehr feststellen, wer zugegriffen hat.

Rollenbasierter Umfang, Maskierung und Zugriffsprotokoll in der digitalen Personalakte

YazSis KurumsalPortal enthält das Modul Digitale Personalakte & HR-Management, in dem der Zugriff auf die Personalakte berechtigungsgesteuert ist: HR, berechtigte Führungskräfte und Mitarbeiter sehen nur den Umfang, der für ihre Rolle festgelegt ist. Sensible Felder wie türkische ID-Nummer und IBAN werden maskiert. Zugriffe auf Dokumente werden im Dokumentzugriffsprotokoll erfasst, und die Plattform führt zusätzlich ein Audit-Protokoll. Details zur Festlegung von Berechtigungen finden Sie auf der Modulseite Menü- & Berechtigungsverwaltung.

Diese Kontrollen helfen Ihnen, einen KVKK-orientierten Prozess aufzubauen. Das Portal ersetzt Ihre rechtlichen Pflichten nicht: Die Datenschutzinformation zu erstellen, die Rechtsgrundlage jeder Datengruppe festzulegen und die Aufbewahrungsrichtlinie zu schreiben, bleibt Aufgabe des Unternehmens. Das System läuft auf dem eigenen Server des Kunden, und die Mitarbeiter greifen über den Browser ihres Smartphones zu, ohne eine App zu installieren.

Wenn Sie rollenbasierten Zugriff, Maskierung und Zugriffsprotokoll an einer Personalakte sehen möchten, besuchen Sie die Seite Digitale Personalakte & HR-Management.