1. Parteien und Rollen
1.1. Dieser Auftragsverarbeitungsvertrag (Veri İşleme Sözleşmesi, „AVV“) ist Anlage und untrennbarer Bestandteil des Verkaufs- und Abonnementvertrags („Verkaufsvertrag“), der zwischen Sora Yazılım Teknolojileri ((wird ergänzt); Atatürk Mah. Ertuğrul Gazi Sk. Metropol İstanbul C1 Blok No: 2B İç Kapı No: 376, Ataşehir/İstanbul) („Sora Yazılım“) und dem Unternehmen, das sich bei Sora İK registriert („Kunde“), geschlossen wird.
1.2. Im Sinne des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, „Gesetz“ oder „KVKK“) gilt für die personenbezogenen Daten, die der Kunde in Sora İK hochlädt oder in Sora İK erzeugt („Personenbezogene Kundendaten“):
- Der Kunde ist Verantwortlicher (veri sorumlusu): Er ist gemäß Art. 3 Abs. 1 lit. ı KVKK die Partei, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt und für die Einrichtung und Verwaltung des Datenerfassungssystems verantwortlich ist.
- Sora Yazılım ist Auftragsverarbeiter (veri işleyen): Sora Yazılım ist gemäß Art. 3 Abs. 1 lit. ğ KVKK die Partei, die personenbezogene Daten auf Grundlage der vom Verantwortlichen erteilten Befugnis in dessen Namen verarbeitet.
1.3. Daten aus der eigenen Kundenbeziehung von Sora Yazılım (etwa Konto-, Kontakt- und Rechnungsdaten der Vertreter des Kunden) fallen nicht unter diesen AVV; für diese Daten ist Sora Yazılım Verantwortlicher, und es gilt der KVKK-Datenschutzhinweis.
1.4. In diesem AVV nicht definierte Begriffe haben die Bedeutung, die ihnen im Verkaufsvertrag und im Gesetz zukommt.
2. Gegenstand, Art, Zweck und Dauer der Verarbeitung
| Element | Beschreibung |
|---|---|
| Gegenstand | Bereitstellung der HR-Management-Software Sora İK an den Kunden im Rahmen des Verkaufsvertrags |
| Art | Erfassung, Speicherung, Anzeige und Bearbeitung der Personenbezogenen Kundendaten, ihre Verwendung in Berechnungen und Berichten, ihre Übermittlung oder ihr Export auf Verlangen des Kunden, ihre Sicherung und Löschung |
| Zweck | Ausschließlich die Nutzung des Dienstes durch den Kunden, der technische Betrieb des Dienstes, die Gewährleistung seiner Sicherheit und die Unterstützung des Kunden |
| Dauer | Die Laufzeit des Verkaufsvertrags zuzüglich der Löschfrist nach Ziffer 11 |
3. Kategorien personenbezogener Daten und Gruppen betroffener Personen
Die verarbeiteten Daten hängen von den Modulen ab, die der Kunde nutzt, und von den Angaben, die er in den Dienst eingibt. Je nach Nutzung durch den Kunden können die folgenden Daten verarbeitet werden:
| Gruppe betroffener Personen (ilgili kişi) | Kategorien personenbezogener Daten |
|---|---|
| Mitarbeitende und ehemalige Mitarbeitende des Kunden (einschließlich Praktikanten) | Identität, Kontakt, Personalakte (Position, Abteilung, Ein- und Austrittsdatum, Vertrag und Dokumente), Finanzen (Gehalt, Lohnabrechnung, Bankverbindung), Urlaub und Anwesenheit (Anwesenheitsliste, Kommen-und-Gehen-Buchungen), Leistung und Weiterbildung, Berufserfahrung, Bildaufnahmen (Foto), Transaktionssicherheit (Sitzungs- und Vorgangsprotokolle) |
| Bewerbende des Kunden | Identität, Kontakt, Lebenslauf und Berufserfahrung, Bewerbungs- und Interviewbewertungen |
| Nutzer des Dienstes beim Kunden (Führungskräfte, HR-Mitarbeitende) | Identität, Kontakt, Nutzerrolle und Berechtigungen, Transaktionssicherheit (Sitzungsprotokolle und Audit-Log) |
| Angehörige von Mitarbeitenden (sofern vom Kunden angegeben) | Identität und Kontakt (z. B. Kontaktperson für Notfälle) |
Besonders schützenswerte personenbezogene Daten (özel nitelikli kişisel veri): Je nach Nutzung durch den Kunden können Gesundheitsdaten (z. B. Urlaub auf Grundlage ärztlicher Atteste, Behinderung), die Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften (z. B. Lohnabzüge) sowie Daten über strafrechtliche Verurteilungen und Sicherungsmaßnahmen (z. B. Strafregistereintrag) verarbeitet werden. Es liegt in der Verantwortung des Kunden, dass diese Daten auf einer Verarbeitungsbedingung nach Art. 6 KVKK beruhen. Bevor der Kunde besonders schützenswerte personenbezogene Daten, die in dieser Tabelle nicht aufgeführt sind, in den Dienst hochlädt, informiert er Sora Yazılım schriftlich.
4. Verarbeitung auf Weisung und Pflichten des Kunden
4.1. Sora Yazılım verarbeitet die Personenbezogenen Kundendaten ausschließlich auf dokumentierte Weisung des Kunden. Dazu gehören der Verkaufsvertrag, dieser AVV, die Einstellungen des Kunden im Dienst, die Handlungen der Nutzer im Dienst und die schriftlichen Weisungen des Kunden.
4.2. Sora Yazılım verwendet die Personenbezogenen Kundendaten nicht für eigene Zwecke, verkauft sie nicht, verarbeitet sie nicht für Werbung oder Profiling und übermittelt sie nicht ohne Weisung des Kunden an Dritte. Entsteht eine gesetzliche Pflicht zur Übermittlung an zuständige Behörden, informiert Sora Yazılım den Kunden, soweit rechtlich zulässig, vorab.
4.3. Gelangt Sora Yazılım zu der Auffassung, dass eine Weisung gegen das Gesetz oder sonstige Rechtsvorschriften verstößt, informiert Sora Yazılım den Kunden ohne Verzögerung und kann die betreffende Verarbeitung aussetzen, bis die Weisung geklärt ist.
4.4. Der Kunde ist verantwortlich für das rechtmäßige Hochladen der Personenbezogenen Kundendaten in den Dienst, die Information der betroffenen Personen, die Einholung ausdrücklicher Einwilligungen, soweit erforderlich, die Richtigkeit der Daten und die Festlegung der Nutzerberechtigungen.
5. Vertraulichkeitspflicht
5.1. Gemäß Art. 12 Abs. 4 KVKK gibt Sora Yazılım die ihr bekannt gewordenen Personenbezogenen Kundendaten nicht entgegen den Bestimmungen des Gesetzes an andere weiter und verwendet sie nicht für andere als die Verarbeitungszwecke. Diese Pflicht besteht auch nach Vertragsende fort.
5.2. Sora Yazılım stellt sicher, dass nur Mitarbeitende auf die Personenbezogenen Kundendaten zugreifen, die dies für ihre Aufgaben benötigen, und dass diese Mitarbeitenden einer schriftlichen Vertraulichkeitspflicht unterliegen. Zugriffe auf das Kundenkonto zu Supportzwecken erfolgen nur, soweit dies auf Verlangen des Kunden oder zur Gewährleistung der Sicherheit des Dienstes erforderlich ist.
6. Unterauftragsverarbeiter
6.1. Der Kunde erteilt Sora Yazılım eine allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter einzusetzen. Dieselbe Liste wird auch auf der Seite Sicherheit veröffentlicht.
| Unterauftragsverarbeiter | Leistung | Standort |
|---|---|---|
| (wird ergänzt) | Hosting der Server, Datenbanken und Backups | (wird ergänzt) |
| (wird ergänzt) | Versand von Benachrichtigungs-E-Mails | (wird ergänzt) |
| Cloudflare, Inc. | Domainverwaltung (DNS) und Auslieferung von Mediendateien (media.sora-ik.com) | Ausland (globales Netzwerk von Cloudflare) |
| Cloudflare R2 (Cloudflare, Inc.) | Speicherung von Personaldokumenten und Datenbank-Backups | Europa (Osteuropa, Standorthinweis EEUR; die Option EU-Gerichtsbarkeit wird nicht genutzt) |
| Cloudflare Turnstile (Cloudflare, Inc.) | Bot-Prüfung in Formularen | Ausland |
6.2. Sora Yazılım schließt mit Unterauftragsverarbeitern Verträge, die Datenschutzpflichten enthalten, die nicht weniger schützend sind als die Pflichten aus diesem AVV, und haftet gegenüber dem Kunden dafür, dass die Unterauftragsverarbeiter diese Pflichten erfüllen.
6.3. Sora Yazılım informiert den Kunden mindestens 30 Tage vor dem Hinzufügen oder Austausch eines Unterauftragsverarbeiters per E-Mail und aktualisiert die Liste. Der Kunde kann innerhalb von 30 Tagen ab der Mitteilung begründet widersprechen. Einigen sich die Parteien nicht auf eine angemessene Lösung, kann der Kunde den Verkaufsvertrag kündigen, bevor die Änderung wirksam wird; in diesem Fall wird die auf die Restlaufzeit des Abonnementzeitraums entfallende Gebühr erstattet.
7. Technische und administrative Maßnahmen
7.1. Im Rahmen von Art. 12 Abs. 1 KVKK setzt Sora Yazılım im Dienst mindestens die folgenden Maßnahmen um, um die rechtswidrige Verarbeitung personenbezogener Daten und den rechtswidrigen Zugriff darauf zu verhindern und die Aufbewahrung der Daten sicherzustellen:
| Maßnahme | Umsetzung |
|---|---|
| Verschlüsselung bei der Übertragung | Der Datenverkehr des Dienstes wird mit TLS verschlüsselt; Verbindungen werden über HTTPS aufgebaut |
| Passwortsicherheit | Passwörter werden mit dem Algorithmus argon2id nicht umkehrbar gespeichert |
| Zugriffsberechtigung | Der Zugriff auf den Dienst wird nach Rollen und Berechtigungen beschränkt; der Kunde legt die Nutzerrollen selbst fest |
| Audit-Log | Verwaltungsvorgänge werden im Audit-Log protokolliert |
| Verhinderung von Missbrauch | Bei Anmelde- und Kontovorgängen gilt eine Begrenzung der Anfragen; in Formularen wird eine Bot-Prüfung eingesetzt |
| Datenminimierung in Protokollen | In Protokolldateien werden E-Mail-Adressen maskiert und Query-Strings nicht gespeichert |
| Datensicherung | Backups werden (wird ergänzt) erstellt |
| Personal | Der Zugriff ist auf das aufgabenbedingt Erforderliche beschränkt; zugreifende Mitarbeitende unterliegen einer Vertraulichkeitspflicht |
7.2. Gemäß Art. 12 Abs. 2 KVKK ist der Verantwortliche, wenn personenbezogene Daten in seinem Namen von einer anderen Person verarbeitet werden, gemeinsam mit dieser Person für die Ergreifung dieser Maßnahmen verantwortlich. Auch der Kunde ist verpflichtet, in seiner Organisation die Sicherheit der Nutzerkonten zu gewährleisten, Berechtigungen nach dem Erforderlichkeitsprinzip zu vergeben und den Zugang ausgeschiedener Mitarbeitender zu sperren.
7.3. Hinsichtlich besonders schützenswerter personenbezogener Daten arbeiten die Parteien zusammen, damit die vom Datenschutzrat (Kişisel Verileri Koruma Kurulu, Entscheidungsgremium der türkischen Datenschutzbehörde) gemäß Art. 6 Abs. 4 KVKK festgelegten angemessenen Maßnahmen getroffen werden.
8. Meldung von Datenschutzverletzungen
8.1. Stellt Sora Yazılım fest, dass Personenbezogene Kundendaten auf unrechtmäßige Weise von Dritten erlangt wurden, informiert Sora Yazılım den Kunden ohne Verzögerung. Diese Pflicht entspricht dem im Beschluss des Datenschutzrats vom 24.01.2019 Nr. 2019/10 für den Auftragsverarbeiter vorgesehenen Grundsatz, eine Verletzung dem Verantwortlichen ohne jede Verzögerung zu melden.
8.2. Die Meldung enthält, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die betroffenen Datenkategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die möglichen Folgen, die ergriffenen und empfohlenen Maßnahmen sowie die Kontaktperson bei Sora Yazılım. Können nicht alle Angaben gleichzeitig bereitgestellt werden, werden sie, ohne Verzögerungen zu verursachen, schrittweise übermittelt.
8.3. Gemäß Art. 12 Abs. 5 KVKK obliegt die Pflicht, die Verletzung den betroffenen Personen und dem Datenschutzrat zu melden, dem Kunden als Verantwortlichem. Sora Yazılım stellt die Informationen bereit, die der Kunde für diese Meldungen benötigt, und arbeitet mit dem Kunden zusammen, um die Folgen der Verletzung abzumildern. Sofern gesetzlich nicht vorgeschrieben, nimmt Sora Yazılım von sich aus keine Meldungen an betroffene Personen oder den Datenschutzrat im Namen des Kunden vor.
9. Unterstützung bei Anträgen betroffener Personen
9.1. Anträge betroffener Personen zu ihren Rechten nach Art. 11 KVKK werden vom Kunden als Verantwortlichem gemäß Art. 13 KVKK abschließend bearbeitet.
9.2. Anträge, die Sora Yazılım direkt erreichen und Personenbezogene Kundendaten betreffen, leitet Sora Yazılım ohne Verzögerung an den Kunden weiter und beantwortet sie nicht ohne Weisung des Kunden selbst.
9.3. Der Dienst ermöglicht es dem Kunden, Daten anzuzeigen, zu berichtigen, zu exportieren und zu löschen, damit er Anträge beantworten kann. Reichen die Werkzeuge des Dienstes nicht aus, leistet Sora Yazılım in angemessenem Umfang technische Unterstützung.
10. Prüfungen
10.1. Damit der Verantwortliche seine Pflicht nach Art. 12 Abs. 3 KVKK erfüllen kann, Prüfungen durchzuführen oder durchführen zu lassen, stellt Sora Yazılım auf schriftliches Verlangen des Kunden innerhalb angemessener Frist Informationen und Unterlagen bereit, die die Einhaltung dieses AVV belegen.
10.2. Reichen die Informationen und Unterlagen nicht aus, kann der Kunde selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer eine Prüfung durchführen. Die Prüfung wird mindestens 30 Tage im Voraus schriftlich angekündigt, während der Geschäftszeiten und ohne Beeinträchtigung des Betriebs des Dienstes durchgeführt, ist – sofern keine Verletzung und kein Ersuchen einer zuständigen Behörde vorliegt – auf einmal jährlich beschränkt, und ihre Kosten trägt der Kunde. Die Prüfung gewährt keinen Zugang zu Daten anderer Kunden oder zu Geschäftsgeheimnissen von Sora Yazılım.
11. Löschung und Rückgabe bei Vertragsende
11.1. Der Kunde kann die Personenbezogenen Kundendaten innerhalb von 30 Tagen nach Beendigung des Verkaufsvertrags im CSV-Format exportieren oder einen Export anfordern.
11.2. Nach Ablauf dieser Frist werden die Personenbezogenen Kundendaten aus den Produktivsystemen gelöscht. Kopien in Backups werden nach Ablauf von (wird ergänzt) mit dem Sicherungszyklus gelöscht; während dieser Zeit werden Backups ausschließlich zur Notfallwiederherstellung aufbewahrt und nicht für andere Zwecke verarbeitet.
11.3. Auf Verlangen des Kunden wird die Löschung schriftlich bestätigt. Gesetzlich aufzubewahrende Daten werden nur für die Dauer und den Zweck aufbewahrt, die diese Pflicht erfordert.
11.4. Es liegt in der Verantwortung des Kunden, Daten, die seinen eigenen gesetzlichen Aufbewahrungspflichten unterliegen, wie Personalakten der Mitarbeitenden, fristgerecht zu exportieren.
12. Übermittlung ins Ausland
12.1. Die Personenbezogenen Kundendaten werden auf Servern am Standort (wird ergänzt) gespeichert.
12.2. Da die Dateien der Personaldokumente und die Datenbank-Backups in Cloudflare R2 auf Servern außerhalb der Türkei (in Europa) gespeichert werden, werden Personenbezogene Kundendaten im Ausland verarbeitet. Diese Übermittlungen sowie die Übermittlungen an die übrigen ausländischen Unterauftragsverarbeiter nach Ziffer 6 sind Übermittlungen ins Ausland im Sinne von Art. 9 KVKK.
12.3. Übermittlungen ins Ausland erfolgen nach Maßgabe der in Art. 9 KVKK vorgesehenen Bedingungen. Wird als geeignete Garantie ein Standardvertrag verwendet, wird dieser gemäß Art. 9 Abs. 5 KVKK innerhalb von fünf Arbeitstagen nach seiner Unterzeichnung der türkischen Datenschutzbehörde (Kişisel Verileri Koruma Kurumu) gemeldet. Grundlage je Unterauftragsverarbeiter:.
12.4. Mit der Bestätigung dieses AVV weist der Kunde Sora Yazılım an, die Übermittlungen an die Unterauftragsverarbeiter nach Ziffer 6 vorzunehmen. Es liegt in der Verantwortung des Kunden, das Vorliegen der Verarbeitungsbedingung sicherzustellen, auf der die Übermittlung beruht, und die betroffenen Personen darüber zu informieren.
13. Haftung und Vorrang
13.1. Die Haftung der Parteien aus diesem AVV unterliegt den Haftungsbestimmungen des Verkaufsvertrags; zwingende Haftung aus dem Gesetz bleibt unberührt.
13.2. In Fragen des Schutzes personenbezogener Daten hat dieser AVV Vorrang vor dem Verkaufsvertrag.
14. Inkrafttreten und Änderungen
14.1. Dieser AVV wird zusammen mit dem Verkaufsvertrag im Registrierungsformular elektronisch bestätigt und tritt an dem Tag in Kraft, an dem der Verkaufsvertrag in Kraft tritt. Der AVV bleibt in Kraft, bis die Löschungen nach Ziffer 11 abgeschlossen sind.
14.2. Änderungen dieses AVV unterliegen Ziffer 16 des Verkaufsvertrags über Änderungen. Zwingende Änderungen aufgrund von Rechtsänderungen bleiben vorbehalten.
14.3. AVV-Version: 1.2.
Dieser Text ist eine Übersetzung des türkischen Originals; bei Abweichungen ist die türkische Fassung maßgeblich.