Verfügbar
Plattform und Integrationen
Rollen, Berechtigungen und Sicherheit
Rollenbasierte Zugriffsrechte, unternehmensweite Zwei-Faktor-Authentifizierung und ein Audit-Log: wer hat was wann geändert.
Für wen ist das Modul gedacht und welches Problem wird es lösen?
Das KVKK-Compliance-Management ist für alle Arbeitgeber geplant, die Mitarbeiter- und Bewerberdaten verarbeiten. Nützlich sein wird es vor allem in Unternehmen, die das Inventar personenbezogener Daten in einer separaten Tabelle führen, Einwilligungen in Ordnern ablegen und Datensätze mit abgelaufener Aufbewahrungsfrist nicht regelmäßig überprüfen können. So bleibt nicht aktuell, welche Daten zu welchem Zweck und wie lange gespeichert werden, Daten Ausgeschiedener bleiben unbefristet erhalten, und Anträge von Mitarbeitenden gehen im E-Mail-Postfach unter.
- HR-Leitung: wird das Inventar aktualisieren und Einwilligungsnachweise und Anträge in einer Ansicht verfolgen.
- KVKK-Verantwortliche oder Kontaktperson: werden Datensätze mit abgelaufener Aufbewahrungsfrist, Vernichtungsvorgänge und die Zieldaten der Anträge betroffener Personen verfolgen.
- Rechtsberatung: wird Inventar, Vernichtungsprotokolle und Zugriffsbericht prüfen.
Was wird das KVKK-Compliance-Management leisten?
Das Modul wird Entscheidungen des Arbeitgebers in umsetzbare und nachweisbare Datensätze überführen; die Entscheidung selbst wird es nicht treffen. Das gesamte Modul folgt demnächst; der geplante Umfang:
- Dateninventar: Für HR-Daten werden Datenkategorie, Verarbeitungszweck, Rechtsgrundlage, Aufbewahrungsfrist und Angaben zur Übermittlung nach der Richtlinie Ihres Unternehmens eingetragen; das Inventar wird sich als CSV exportieren lassen.
- Aufbewahrung und Vernichtung: Datensätze mit abgelaufener Aufbewahrungsfrist werden in festen Abständen aufgelistet; Löschung, Anonymisierung oder Vernichtung erfolgen nach Freigabe und werden protokolliert.
- Anträge betroffener Personen: Anträge werden mit Status, Antwort und Zieldatum erfasst.
- Einwilligungsnachweise: Für einwilligungsbasierte Verarbeitungen werden Erteilung und Widerruf der Einwilligung erfasst.
- Zugriffsbericht: wird aus dem bestehenden Audit-Log des Moduls Rollen, Berechtigungen und Sicherheit das Ansehen sensibler Daten zeigen.
Die Veröffentlichung von Informationstexten (aydınlatma metni) und Richtlinien als unternehmensweite Dokumente, ein Lesebericht und eine Liste derjenigen, die sie nicht gelesen haben, folgen ebenfalls demnächst in der Dokumenten- und Vertragsverwaltung. Fertige Vorlagen für Informations- oder Richtlinientexte, ein Ablauf zur Meldung von Datenschutzverletzungen und die direkte Registrierung im VERBİS gehören nicht zum geplanten Umfang.
| Thema | Arbeitgeber (Verantwortlicher, veri sorumlusu) | Sora İK (Auftragsverarbeiter, veri işleyen) | Beitrag des geplanten Moduls |
|---|---|---|---|
| Dateninventar | Erstellt es und stimmt es mit der Rechtsberatung ab | Nimmt keinen Einfluss auf den Inhalt | Erfassung und CSV-Export |
| Ausdrückliche Einwilligung | Entscheidet, ob sie erforderlich ist | Erfasst nach Weisung | Nachweis von Erteilung und Widerruf |
| Aufbewahrungsfristen | Legt die Richtlinie fest | Wendet sie nach Weisung an | Liste abgelaufener Datensätze, freigegebene Vernichtung und Protokoll |
| Anträge betroffener Personen | Prüft und beantwortet | Leitet eingehende Anträge an den Arbeitgeber weiter | Erfassung; Verfolgung von Status und Zieldatum |
| Zugriffssicherheit | Legt fest, wer worauf zugreift | Sorgt für die Sicherheit der Infrastruktur | Zugriffsbericht (rollenbasierter Zugriff und Audit-Log heute verfügbar) |
Die Pflichten von Sora İK als Auftragsverarbeiter sind auf der Seite Auftragsverarbeitungsvertrag beschrieben, Angaben zu Verschlüsselung, Datensicherung und Unterauftragsverarbeitern auf der Seite Sicherheit.
Wie wird es funktionieren?
Das geplante Modul wird die Richtlinie des Arbeitgebers in fünf Schritten umsetzbar machen.
- Inventar: Datenkategorien, Verarbeitungszwecke, Rechtsgrundlagen, Aufbewahrungsfristen und Übermittlungen werden gemeinsam mit Ihrer Rechtsberatung eingetragen.
- Aufbewahrungsfristen: Die Fristen werden nach Datenart festgelegt; Datensätze mit abgelaufener Frist werden in festen Abständen aufgelistet.
- Vernichtung: Für die aufgelisteten Datensätze werden Löschung, Anonymisierung oder Vernichtung freigegeben, und es entsteht ein Protokoll.
- Einwilligungen und Anträge: Für Verarbeitungen, die eine ausdrückliche Einwilligung erfordern, werden Einwilligungsnachweise geführt; eingehende Anträge betroffener Personen werden erfasst, und ihr Status und Zieldatum werden verfolgt.
- Prüfung der Zugriffe: Mit dem Zugriffsbericht wird regelmäßig geprüft, wer sensible Daten angesehen hat.
Örnek A.Ş.
Urlaubskalender · November
23456910111213Ayşe ÖrnekMehmet ÖrnekZeynep ÖrnekCan Örnek
- Jahresurlaub
- Sonderurlaub
- Freigabe ausstehend
Örnek A.Ş.
Lohnübersicht · Oktober
48 Mitarbeitende3 / 4
- Gehälter und LohnpostenAbgeschlossen
- LohnberechnungAbgeschlossen
- AbschlussBereit
- Abrechnungsübersicht (CSV)Ausstehend
Örnek A.Ş.
Organigramm
Geschäftsführung
Ayşe Örnek
Personal
Zeynep Örnek
Finanzen
Mehmet Örnek
Betrieb
Can Örnek
Hinweis zur Rechtslage
Die Regeln zur Anwendung des KVKK ergeben sich aus dem Gesetz, aus Verordnungen und Mitteilungen sowie aus Leitfäden und Beschlüssen des Kişisel Verileri Koruma Kurumu (türkische Datenschutzbehörde); diese Seite nennt keine Artikelnummern oder Fristen.
- Gesetz Nr. 6698 zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu)
- Kişisel Verileri Koruma Kurumu
- Informationspflicht (Aydınlatma Yükümlülüğü)
- Hinweise zur Einholung der ausdrücklichen Einwilligung (Açık Rıza Alırken Dikkat Edilecek Hususlar)
- Löschung, Vernichtung oder Anonymisierung personenbezogener Daten (Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi)
- Leitfäden der Behörde (Rehberler)
Den Text, den Sora İK für die eigene Website und die Kontodaten bereitstellt, finden Sie auf der Seite KVKK-Datenschutzhinweis. Diese Seite ist keine Rechtsberatung; wenden Sie sich für betriebsspezifische Fragen an Ihre Rechtsberatung.
Mit welchen technischen Maßnahmen trägt Sora İK heute bei?
Auch bevor das KVKK-Compliance-Management verfügbar ist, setzen die genutzten Module von Sora İK heute folgende Maßnahmen um, damit Mitarbeiterdaten nach dem Prinzip der minimalen Berechtigung verarbeitet werden:
- Rollen und Berechtigungen: Wer welche Daten sieht, wird über Rollen und unternehmenseigene Rollen beschränkt; verwaltet wird das im Modul Rollen, Berechtigungen und Sicherheit.
- Audit-Log: Jede ändernde Aktion wird mit der handelnden Person und den Namen der geänderten Felder erfasst; Werte und personenbezogene Daten werden nicht geschrieben. Gesondert protokolliert werden auch die Klartextanzeige der Identitätsnummer einer anderen Person, das Ansehen von Gehaltshistorie, Abrechnungsdetails sowie Bewerber- und Leistungsdatensätzen, Dokument-Downloads und Exporte.
- Dokumente besonderer Art: Ärztliche Atteste und Führungszeugnisse sind nur mit eigener Berechtigung sichtbar; standardmäßig haben nur Unternehmensinhaber und HR diese Berechtigung.
- Löschen von Dokumenten: Löscht ein berechtigter Nutzer ein Dokument, werden alle Versionen auch aus dem Speicher entfernt, und der Vorgang wird im Audit-Log erfasst.
- Einwilligung von Bewerbenden: Im Bewerbermanagement wird die optionale ausdrückliche Einwilligung bei der Bewerbung zusammen mit dem SHA-256-Fingerabdruck des Textes und dem Zeitpunkt der Bestätigung gespeichert.
- Identitätsnummer: erscheint nicht in Listen und nicht für Nutzer ohne Berechtigung und wird nicht in Anwendungsprotokolle geschrieben.
- Teamansicht: Führungskräfte können in der Anwesenheitsliste einen Krankheitstag nicht von bezahlter Freistellung unterscheiden; in der Benachrichtigungs-E-Mail zum Urlaub erscheint ein gesundheitlich begründeter Urlaub unter einer neutralen Bezeichnung.
- Zeiterfassung (PDKS): Biometrische Daten werden nicht verarbeitet; der Standort wird nur im Moment einer QR-Buchung zur Prüfung abgefragt, rohe Koordinaten werden nicht gespeichert; bei Kommt- und Geht-Buchungen werden IP-Adresse und Browserangaben nicht gespeichert.
- Trennung der Unternehmen: Die Daten jedes Unternehmens werden auf Datenbankebene durch Sicherheit auf Zeilenebene getrennt.
Reicht eine HR-Software allein für die KVKK-Einhaltung?
Nein. Die Verantwortung für die Einhaltung des KVKK liegt beim Verantwortlichen, der entscheidet, zu welchem Zweck und mit welchen Mitteln personenbezogene Daten verarbeitet werden; für Mitarbeiterdaten ist das der Arbeitgeber. Eine HR-Software hilft, Prozesse wie Dateninventar, ausdrückliche Einwilligung, Aufbewahrung und Vernichtung geordnet durchzuführen und zu dokumentieren. Welche Daten auf welcher Rechtsgrundlage verarbeitet werden, der Inhalt der Texte, die Festlegung der Aufbewahrungsfristen, die Pflichten im VERBİS (Veri Sorumluları Sicil Bilgi Sistemi, Register der Verantwortlichen), die Information der Mitarbeitenden und die Verwaltung des Papierarchivs bleiben jedoch Entscheidung und Verantwortung des Arbeitgebers.
Bei der Bewertung einer Software unter diesem Gesichtspunkt sollten Sie folgende Fragen stellen:
- Wird ein Auftragsverarbeitungsvertrag geschlossen, und werden die Unterauftragsverarbeiter aufgeführt?
- Wo werden die Daten gehostet, und wie werden sie gesichert?
- Lässt sich rollenbasiert beschränken, wer auf welche Daten zugreift, und ist das im Audit-Log nachvollziehbar?
- Können die Daten bei Vertragsende exportiert und gelöscht werden?
Die Antworten für Sora İK finden Sie auf den Seiten Sicherheit, Auftragsverarbeitungsvertrag und Preise. Weitere Module aus dem Bereich Compliance und Berichtswesen (Arbeitsschutz, Disziplinarakten und gesetzliche Berichte) sind auf der Seite der Kategorie Compliance und Berichtswesen aufgeführt.