ALP BULGURZahnklinik · Denizli
TR/EN/DE
Termin
Datenschutz · 06

Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten

1. Zweck und Anwendungsbereich

Der Zahnarzt Hamdi Alp Bulgur, der eine Praxis für Mund- und Zahngesundheit unter dem Handelsnamen "Alp Bulgur Diş Kliniği" (die "Praxis") betreibt, hat diese Richtlinie zur Aufbewahrung und Beseitigung personenbezogener Daten (die "Richtlinie") als Verantwortlicher erstellt. Ihr Zweck ist es, unsere Verpflichtungen aus dem Gesetz zum Schutz personenbezogener Daten Nr. 6698 (das "Gesetz") und der Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten (die "Verordnung") zu erfüllen und die Betroffenen über die Grundsätze zur Festlegung der für Verarbeitungszwecke erforderlichen maximalen Aufbewahrungsfristen und über Löschungs-, Vernichtungs- und Anonymisierungsverfahren zu informieren.

Die Richtlinie umfasst alle personenbezogenen Daten von Patienten, Verwandten, Terminanfragern, Website-Benutzern, Besuchern, Mitarbeitern, Stellenbewerbern, Mitarbeitern und Vertretern von Lieferanten und Geschäftspartnern sowie anderen natürlichen Personen. Sie gilt für ganz oder teilweise automatisierte Verarbeitung und nicht automatisierte Verarbeitung, wenn die Daten Teil eines Datenarchivierungssystems sind.

Verantwortlicher: Zahnarzt Hamdi Alp Bulgur (Zahnarztpraxis unter dem Handelsnamen „Alp Bulgur Diş Kliniği“)

Anschrift: Sırakapılar Mahallesi, Gazi Bulvarı, 1581 Sokak, No: 1, Daire: 28, Merkezefendi / Denizli

Telefon: +90 532 240 93 19 / +90 258 261 84 36

E-Mail: info@alpbulgur.com

Website: alpbulgur.com

2. Begriffsbestimmungen

Ausdrückliche Einwilligung: freiwillige, auf einen bestimmten Gegenstand bezogene und informierte Einwilligung. Befugter Nutzer: Personen, die innerhalb der Organisation des Verantwortlichen oder nach dessen Befugnissen und Weisungen Daten verarbeiten, ausgenommen die für technische Speicherung, Schutz und Sicherung zuständige Person oder Einheit. Beseitigung: Löschung, Vernichtung oder Anonymisierung. Speichermedium: jedes Medium mit ganz oder teilweise automatisiert oder als Teil eines Dateisystems nicht automatisiert verarbeiteten Daten. Personenbezogene Daten: Informationen über identifizierte oder identifizierbare natürliche Personen. Besondere Kategorien: Daten nach Artikel 6 des Gesetzes, in unserer Praxis vor allem Gesundheitsdaten. Löschung: Daten werden für befugte Nutzer unzugänglich und nicht wiederverwendbar. Vernichtung: Daten werden für jedermann unzugänglich, unwiederherstellbar und nicht wiederverwendbar. Anonymisierung: Daten können auch durch Abgleich mit anderen Daten keiner identifizierten oder identifizierbaren Person zugeordnet werden. Regelmäßige Beseitigung: von Amts wegen in den in der Richtlinie bestimmten Abständen durchgeführte Löschung, Vernichtung oder Anonymisierung, wenn sämtliche Verarbeitungsvoraussetzungen entfallen. SBYS: im Registrierungssystem des Gesundheitsministeriums registrierte Gesundheitsinformationssoftware. Datenschutzrat: Kişisel Verileri Koruma Kurulu. Betroffene Person: natürliche Person, deren Daten verarbeitet werden.

3. Grundsätze

Unsere Praxis folgt diesen Grundsätzen bei der Aufbewahrung und Beseitigung personenbezogener Daten:

  • Löschung, Vernichtung und Anonymisierung entsprechen in vollem Umfang dem Gesetz, der Verordnung, der Gesundheitsgesetzgebung, den Entscheidungen des Datenschutzrats und dieser Richtlinie.
  • Alle Löschungs-, Vernichtungs- und Anonymisierungsvorgänge werden aufgezeichnet; unbeschadet anderer gesetzlicher Verpflichtungen werden diese Aufzeichnungen mindestens drei Jahre lang aufbewahrt.
  • Sofern der Datenschutzrat nichts anderes beschließt, wählt unsere Praxis aus eigener Initiative eine geeignete Löschungs-, Vernichtungs- oder Anonymisierungsmethode zur Beseitigung aus. Für die Anfrage einer betroffenen Person wird eine geeignete Methode unter Angabe von Gründen ausgewählt.
  • Wenn alle Verarbeitungsbedingungen der Artikel 5 und 6 des Gesetzes nicht mehr gelten, werden personenbezogene Daten auf eigene Initiative oder auf Verlangen der betroffenen Person gelöscht, vernichtet oder anonymisiert.
  • Bei Gesundheitsdaten werden gesetzliche Aufbewahrungspflichten sowie das Beweisinteresse von Zahnarzt und Patient berücksichtigt. Gesetzlich aufzubewahrende Unterlagen können vor Fristablauf nicht auf Antrag gelöscht werden; dies wird der betroffenen Person mit Begründung mitgeteilt.
  • Anträge werden spätestens binnen dreißig Tagen beantwortet. Bei bereits übermittelten Daten werden die Empfänger benachrichtigt und erforderliche Maßnahmen bei ihnen veranlasst.

4. Aufzeichnungsmedien

Speicherung erfolgt in registrierter SBYS-Software und Datenbanken, digitaler Radiologie-, intraoraler Scan- und Bildgebungssoftware, Termin- und Websiteservern, dienstlichen E-Mail-Konten, Computern, Sicherungsmedien und autorisierten Cloud-Sicherungen, Buchhaltungs- und elektronischen Belegsystemen für freiberufliche Leistungen, Telefonen und Nachrichtendiensten, gegebenenfalls Kameraanlagen sowie in Patientenaufnahme-, Anamnese- und Aufklärungsformularen, Röntgenfilmen, Verträgen, Buchhaltungs- und Personalunterlagen und deren verschlossenen Schränken und Archiven.

5. Gründe für Aufbewahrung und Beseitigung

Innerhalb der Grenzen des Gesetzes und der damit verbundenen Gesetzgebung speichert unsere Praxis personenbezogene Daten, insbesondere für (i) die Bereitstellung von Mund- und Zahnpflege und die Aufbewahrung rechtmäßiger Patientenakten; (ii) die Erfüllung gesetzlicher Verpflichtungen; (iii) die Bereitstellung von Beweismitteln und die Verteidigung in Streitigkeiten; und (iv) die Planung und Erfüllung der Ansprüche der Mitarbeiter. Gründe für die Aufbewahrung sind:

  • Gesetzliche Pflicht zur Führung und Aufbewahrung von Patientenakten;
  • Erforderliche Aufbewahrung in unmittelbarem Zusammenhang mit Abschluss und Erfüllung eines Vertrags;
  • Aufbewahrung zur Begründung, Ausübung oder zum Schutz eines Rechts und zu Beweiszwecken während der Verjährungsfristen;
  • Notwendigkeit, die legitimen Interessen der Praxis zu wahren, ohne die Grundrechte und -freiheiten der betroffenen Personen zu beeinträchtigen;
  • Aufbewahrung zur Erfüllung steuer-, sozialversicherungs-, arbeitsschutz- und gesundheitsrechtlicher Pflichten;
  • Die ausdrückliche Einwilligung der betroffenen Person, wenn die Aufbewahrung auf der Einwilligung beruht.

Gemäß der Verordnung werden personenbezogene Daten auf eigene Initiative der Praxis oder auf Anfrage gelöscht, vernichtet oder anonymisiert, wenn:

  • Rechtsvorschriften, die die Grundlage für die Verarbeitung oder Aufbewahrung bilden, werden geändert oder aufgehoben;
  • Der Zweck, der die Verarbeitung oder Aufbewahrung erfordert, erlischt;
  • Die Verarbeitungsbedingungen der Artikel 5 und 6 des Gesetzes finden keine Anwendung mehr;
  • Die betroffene Person widerruft ihre Einwilligung, wenn die Verarbeitung ausschließlich auf der ausdrücklichen Zustimmung beruht;
  • Unsere Praxis akzeptiert einen Löschungs-, Vernichtungs- oder Anonymisierungsantrag gemäß Artikel 11 des Gesetzes;
  • Beschwerde beim Datenschutzrat nach Ablehnung, unzureichender oder verspäteter Antwort und Anerkennung des Begehrens durch den Rat;
  • Die maximale Aufbewahrungsfrist ist abgelaufen und keine Bedingung rechtfertigt eine längere Aufbewahrung.

6. Bestimmung der Aufbewahrungs- und Beseitigungszeiten

Folgende Kriterien werden in der Reihenfolge angewendet:

  • Wenn Rechtsvorschriften eine Aufbewahrungsfrist vorschreiben, wird diese Frist eingehalten.
  • Fehlen gesetzliche Fristen, werden die Daten nach Artikel 6 als gewöhnliche oder besondere Kategorien eingeordnet. Die angemessenen Ratsmaßnahmen gelten für besondere Kategorien. Zweck und Grundsätze des Artikels 4 werden geprüft, die Grundlage nach Artikel 5 oder 6 festgestellt und angemessene Fristen unter Berücksichtigung der für Beweise nötigen Verjährung bestimmt.
  • Für Patientenakten wurde eine Frist von zwanzig Jahren bestimmt. Berücksichtigt wurden die Aufbewahrungspflicht nach der Verordnung über private Einrichtungen für Mund- und Zahngesundheit, die Verordnung über personenbezogene Gesundheitsdaten, zivil- und strafrechtliche Verjährungsfristen des Zahnarztes sowie das Interesse des Patienten an künftigem Zugang zur Behandlungshistorie.

7. Aufbewahrungs- und Beseitigungsfristen

Personenbezogene Daten werden für die folgenden Zeiträume gespeichert. Nach Ablauf der Gültigkeitsdauer werden sie im nächsten periodischen Beseitigungszyklus, in jedem Fall jedoch innerhalb von 180 Tagen nach Ablauf, gelöscht, vernichtet oder anonymisiert.

  • Patientenakten und medizinische Unterlagen (Aufnahme- und Anamneseformulare, Befunde, Diagnose, Behandlungspläne und Maßnahmen, Aufklärungs- und Einwilligungsformulare, Verordnungen, Röntgenaufnahmen, intraorale Fotos, digitale Abformungs- und Scandaten, Labor- und Zahnersatzunterlagen): 20 Jahre ab letzter Untersuchung oder Behandlung. Nach dem Tod des Patienten werden Gesundheitsdaten mindestens 20 Jahre ab Todestag aufbewahrt.
  • Terminaufzeichnungen: Termine, die zu einer Behandlung führen, werden mit Patientenakten als Teil der Patientenakte aufbewahrt; Online-, Telefon- oder Nachrichtenterminanfragen, die nicht zu einer Behandlung führen, werden ab dem Datum der Anfrage 1 Jahr lang aufbewahrt.
  • Website Kontaktformular Nachrichten und Informationsanfragen: 1 Jahr nach Abschluss der Anfrage.
  • Ausdrückliche Einwilligungen und Aufklärungsformulare für die Nutzung von Patientenbildern für Information, Lehre oder Wissenschaft: bis zum Widerruf; danach beziehungsweise ab Nutzungsende 10 Jahre zu Beweiszwecken.
  • Andere ausdrückliche Einwilligungen (Kommunikationswünsche, Angehörigenauskunft, Versicherungsübermittlung usw.): bis zum Widerruf; danach zu Beweiszwecken für die Aufbewahrungsdauer der jeweiligen Datenkategorie.
  • Belege für freiberufliche Leistungen, Zahlungs-, Buchhaltungs- und Steuerunterlagen: 5 Jahre ab dem Kalenderjahr nach dem Bezugsjahr gemäß Steuerverfahrensgesetz Nr. 213; bei Streitigkeiten bis zum rechtskräftigen Abschluss.
  • Lieferanten-, Labor-, IT- und sonstige Verträge sowie Datenübermittlungsverpflichtungen: 10 Jahre nach Vertragsende entsprechend der allgemeinen Verjährung des türkischen Obligationengesetzes Nr. 6098.
  • Personalakten, Arbeitsverträge, Gehalts-, Urlaubs- und Anwesenheitsunterlagen: 10 Jahre nach Beendigung des Arbeitsverhältnisses (Pflichten und Verjährungsfristen nach Gesetz Nr. 5510 und Arbeitsgesetz).
  • Arbeitsmedizinische Unterlagen (Einstellungs- und regelmäßige Untersuchungsberichte, Impfnachweise): 15 Jahre ab Ende des Arbeitsverhältnisses.
  • CVs und Bewerbungsinformationen für Bewerber: 1 Jahr ab Bewerbung; bis zu 2 Jahre mit ausdrücklicher Einwilligung.
  • CCTV-Aufnahmen, bei denen Kameras in Gemeinschaftsbereichen vorhanden sind: 30 Tage ab der Aufnahme; Aufnahmen im Zusammenhang mit einem Vorfall oder Streitfall, bis der betreffende Prozess abgeschlossen ist.
  • Website- und Online-Terminzugang und Verkehrsprotokolle: 2 Jahre auf der Grundlage legitimer Interessen an der Website-Sicherheit, im Einklang mit der maximalen Frist für Hosting-Anbieter nach Gesetz Nr. 5651.
  • Daten, die durch Cookies erhalten werden: für die Zeiträume in der Cookie-Datenschutzerklärung und der Cookie-Richtlinie und in jedem Fall nicht länger als 24 Monate.
  • Anfragen der betroffenen Person, Antworten und Korrespondenz des Datenschutzrats: 3 Jahre nach Abschluss des Antrags; im Streitfall bis zum Abschluss des Streitfalls.
  • Patientenanfragen, Beschwerden und Zufriedenheitsaufzeichnungen: 3 Jahre ab Erstellung.
  • Personenbezogene Daten im Zusammenhang mit einer Straftat oder einem Rechtsstreit: für die geltende zivil- oder strafrechtliche Verjährungsfrist.
  • Daten, die nach anderen Rechtsvorschriften erhoben werden: für den gesetzlichen Zeitraum.

Besteht der Nutzungszweck fort, schreibt Sonderrecht längere Fristen vor oder verlangt die Verjährung längere Aufbewahrung, können die genannten Fristen abweichen. Es gilt die jeweils zuletzt endende Frist.

8. Periodische Beseitigung

Gemäß Artikel 11 der Verordnung werden abgelaufene Daten in sechsmonatigen Beseitigungszyklen im Juni und Dezember eines jeden Jahres mithilfe dieser Richtlinie gelöscht, vernichtet oder anonymisiert. Alle Vorgänge werden dokumentiert und die Aufzeichnungen werden unbeschadet anderer gesetzlicher Verpflichtungen mindestens drei Jahre lang aufbewahrt.

9. Lösch-, Vernichtungs- und Anonymisierungsmethoden

9.1. Löschung personenbezogener Daten

Die zu löschenden Daten und befugten Nutzer werden anhand der Berechtigungsmatrix bestimmt. Zugriffs-, Wiederherstellungs- und Wiederverwendungsrechte werden entfernt. In SBYS, Termin- und anderen Datenbanken werden Daten durch Löschbefehle für Nutzer unzugänglich; Dateien durch Betriebssystembefehle und Entzug der Zugriffsrechte gelöscht. Cloud-Sicherungen werden über den Löschbefehl des Anbieters gelöscht. Papierdaten werden durch Schwärzen, Übermalen oder Ausradieren unwiderruflich unlesbar gemacht, sodass auch technische Verfahren keine Lesbarkeit für Nutzer herstellen können.

9.2. Vernichtung personenbezogener Daten

Sämtliche Kopien werden ermittelt und mediengerecht vernichtet. Papier wird unwiderruflich geschreddert, Röntgenfilme und optische Medien physisch zerstört. Fachleute löschen Festplatten, mobile Speicher und ähnliche Medien durch Überschreiben oder Entmagnetisieren unwiederbringlich oder zerstören sie physisch. Geräte werden erst nach Vernichtung ihrer Daten entsorgt.

9.3. Anonymisierung personenbezogener Daten

Anonymisierung verhindert die Identifizierung durch Entfernung oder Veränderung aller direkten und indirekten Merkmale. Für Wissenschaft, Statistik oder Qualitätsmessung anonymisiert die Praxis Patientendaten etwa durch Variablenentfernung, Verallgemeinerung, Maskierung und Gruppierung. Nach Artikel 28 fallen anonymisierte Daten nicht unter das Gesetz; Forschung, Planung und Statistik damit erfordern keine ausdrückliche Einwilligung.

10. Technische und organisatorische Maßnahmen

Wesentliche Maßnahmen nach Artikel 12 und Beschluss Nr. 2018/10 für sichere Aufbewahrung, Schutz vor unrechtmäßiger Verarbeitung und unbefugtem Zugriff sowie gesetzeskonforme Beseitigung:

Organisatorische Maßnahmen

  • Der Zugang ist auf Mitarbeiter beschränkt, die die Daten für ihre Aufgaben benötigen, wobei Sensibilität und Bedeutung berücksichtigt werden.
  • Die Mitarbeiter werden in den Bereichen Datenschutz, Patientendatenschutz und Datensicherheit geschult und unterzeichnen die Verpflichtung zur Vertraulichkeit und zum Schutz personenbezogener Daten.
  • Datenschutzverpflichtungen werden mit Lieferanten und Verarbeitern vereinbart oder Datensicherheitsbestimmungen werden zu bestehenden Verträgen hinzugefügt.
  • Eine Bestandsaufnahme zur Verarbeitung personenbezogener Daten und eine Zugangsberechtigungsmatrix werden erstellt und aktuell gehalten; Aufbewahrungsfristen werden im Bestandsverzeichnis nachverfolgt.
  • Physische Lagerbereiche sind gegen Feuer, Überschwemmungen, Diebstahl und ähnliche Risiken geschützt. Patientenakten und -dokumente werden in verschlossenen Schränken aufbewahrt; ein unbefugter Zugriff wird verhindert.
  • Wenn verarbeitete personenbezogene Daten von anderen unrechtmäßig erhalten werden, wird der Datenschutzrat so schnell wie möglich und innerhalb von 72 Stunden und die betroffenen Personen so schnell wie möglich benachrichtigt.
  • Der Zahnarzt überprüft regelmäßig die Einhaltung der Richtlinie.

Technische Maßnahmen

  • SBYS und andere Systeme erfordern persönlichen Benutzernamen und starkes Passwort. Konten werden bei Ausscheiden oder Aufgabenwechsel unverzüglich deaktiviert.
  • Elektronische Medien und Backups, die spezielle Datenkategorien enthalten, sind kryptographisch geschützt; alle Vorgänge werden sicher protokolliert.
  • Elektronische Daten werden regelmäßig mit einem sicheren System gesichert. Backups erhalten den gleichen Schutz, und abgelaufene Daten werden auch aus Backups entfernt.
  • Aktuelle Antivirus- und Firewalls werden verwendet; Sicherheitsupdates werden regelmäßig angewendet. Der Fernzugriff auf spezielle Datenkategorien verwendet eine mindestens zweistufige Authentifizierung.
  • Besondere Kategorien werden bei E-Mail-Übermittlung verschlüsselt über dienstliche Adressen versendet; mobile Speicher, CDs und DVDs werden verschlüsselt. Zwischen räumlich getrennten Servern werden VPN oder sFTP verwendet; Papierdokumente werden im verschlossenen Umschlag als vertraulich versandt.
  • Die Vernichtung macht Daten unwiederbringlich und hinterlässt keine Spuren der Daten; der Vernichtungsvorgang selbst ist dokumentiert.

11. Zuständigkeiten und Aufgabenverteilung

Der Zahnarzt als Verantwortlicher setzt die Richtlinie um, informiert Beschäftigte, überwacht Einhaltung, Rechtsänderungen und Ratsbeschlüsse, aktualisiert sie und organisiert regelmäßige Beseitigung. Aufgaben können Beschäftigten oder Dienstleistern übertragen werden; die Verantwortung verbleibt beim Verantwortlichen. IT-Anbieter müssen Daten in ihren Systemen gemäß ihren Verpflichtungen richtlinienkonform löschen und vernichten.

12. Inkrafttreten, Verstöße und Sanktionen

  • Diese Richtlinie tritt in Kraft, wenn sie auf der Website veröffentlicht und den Mitarbeitern mitgeteilt wird. Sie ist für alle Mitarbeiter, Berater, externen Anbieter und alle Personen, die im Auftrag der Praxis personenbezogene Daten verarbeiten, verbindlich.
  • Der Zahnarzt überwacht die Compliance der Mitarbeiter. Jede Verletzung muss sofort dem Zahnarzt gemeldet werden.
  • Nach der Bewertung unterliegen Mitarbeiter, die gegen die Richtlinie verstoßen, angemessenen Maßnahmen gemäß den Arbeitsgesetzen und der Verpflichtung zum Schutz von Arbeitnehmervertraulichkeit und personenbezogenen Daten.
  • Die Praxis überprüft und aktualisiert diese Richtlinie nach Bedarf nach Gesetzesänderungen und Ratsbeschlüssen. Die aktuelle Version ist immer die Version auf unserer Website.