Schutz der personenbezogenen Daten von Mitarbeitern (KVKK)

1) Einleitung: Das Gleichgewicht zwischen Regierungsrechten und Datenschutz

Das Weisungsrecht des Arbeitgebers beruht auf legitimen Zielen wie der Aufrechterhaltung der Ordnung am Arbeitsplatz, der Gewährleistung von Gesundheit und Sicherheit am Arbeitsplatz sowie der Steigerung der Kontinuität und Effizienz der Arbeitsprozesse. Die persönlichen Rechte der Arbeitnehmer hingegen werden durch das Arbeitsrecht und das Datenschutzrecht geschützt. Angesichts der Machtstellung des Arbeitgebers im Arbeitsverhältnis ist die Gewährleistung, dass Überwachungsinstrumente vorhersehbar , verhältnismäßig und transparent sind , die Grundlage für die Einhaltung der gesetzlichen Bestimmungen. Daher ist es unerlässlich, für jede Überwachungsmethode eine separate Analyse der Verhältnismäßigkeit von Mitteln, Zwecken und Zwecken durchzuführen , die Datenverarbeitungsaktivitäten mit spezifischen und legitimen Zwecken zu verknüpfen und nur so viele Datenkategorien zu verarbeiten und zu speichern, wie unbedingt erforderlich .

---

2) Konzeptueller Rahmen: Personenbezogene Daten, Daten besonderer Kategorien, Rechtsgrundlage

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu gehören Bilder von Überwachungskameras am Arbeitsplatz, Standortkoordinaten und Geschwindigkeitsdaten von Fahrzeugortungssystemen, Inhalte von Firmen-E-Mail-Konten sowie Verkehrs- und Metadaten. Besondere Kategorien personenbezogener Daten (z. B. biometrische Daten wie Gesichtserkennung und Fingerabdrücke , Gesundheits- und Gewerkschaftsdaten) unterliegen einem strengen Schutz und dürfen nur unter bestimmten Voraussetzungen verarbeitet werden. Für jede Datenverarbeitung ist eine Rechtsgrundlage erforderlich: Vertragsabschluss/-erfüllung, berechtigtes Interesse, rechtliche Verpflichtung, ausdrückliche Einwilligung usw. Da die Frage, ob eine Einwilligung als freie Willensentscheidung gilt, im Arbeitsverhältnis umstritten ist, sind in den meisten Fällen Rechtsgrundlagen wie berechtigtes Interesse oder Vertragserfüllung verlässlicher. Im Falle eines berechtigten Interesses muss jedoch eine Interessenabwägung erfolgen, und es ist schriftlich zu prüfen, ob die Grundrechte und -freiheiten des Arbeitnehmers überwiegen.

---

3) Kameraaufzeichnung am Arbeitsplatz

3.1 Zweck und Rechtsgrundlage

Videoüberwachung wird häufig für Zwecke wie Arbeitssicherheit , Überwachung von Arbeitsschutzmaßnahmen , Schutz von Eigentum , Beweissicherung nach Vorfällen und Besucherlenkung eingesetzt. In diesen Fällen kann ein berechtigtes Interesse eine starke Rechtsgrundlage darstellen. Wenn es jedoch um Sicherheit geht, untergräbt der Einsatz von Kameras zur kontinuierlichen Leistungsmessung das Verhältnismäßigkeitsprinzip und erzeugt einen übermäßigen und permanenten Überwachungsdruck auf die Beschäftigten. Ist eine Leistungsbewertung erforderlich, sollten Alternativen mit weniger Eingriff (z. B. Output-Daten, Qualitätskontrollprozesse) Vorrang haben.

3.2 Beleuchtung, Transparenz und Durchsagen am Arbeitsplatz

Vor Beginn der Videoüberwachung erhalten die Mitarbeitenden eine Informationsmitteilung . Diese muss den Verantwortlichen für die Datenverarbeitung bzw. die Kontaktperson, die Zwecke, die Rechtsgrundlage, die Kategorien der erhobenen Daten (Bild, ggf. Audio), die Aufbewahrungsfristen, die Empfängergruppen, die Rechte und das Antragsverfahren klar darlegen. Visuelle Hinweise (Piktogramme und Kurzinformationen) sind an den Eingängen zu den Überwachungsbereichen anzubringen; die detaillierte Mitteilung ist per QR-Code abrufbar. Ein Vermerk in der Personalakte, der den Erhalt der Informationsmitteilung bestätigt, dient im Bedarfsfall als Nachweis.

3.3 Positionierung, Sichtfeld und Einschränkungen des privaten Bereichs

Kameras Arbeitsbereiche überwachen Toiletten, Umkleideräume, Duschen und Stillräume . In Räumen wie Gesprächsräumen sollten Kameras nur in absolut notwendigen Fällen eingesetzt werden. In diesem Fall sollte ein möglichst enges Sichtfeld gewählt und diese Begründung im Verhältnismäßigkeitsbericht .

3.4 Sprachaufzeichnung – Biometrische Erkennung – KI-Analyse

Die gleichzeitige Aufzeichnung von Audio und Video erhöht das Risiko von Störungen; in den meisten Fällen lassen sich Sicherheitsziele auch ohne Audio erreichen . Daher sollte die Audioaufzeichnung die Ausnahme darstellen und durch eine klare und stichhaltige Begründung gestützt werden. Biometrische Lösungen wie die Gesichtserkennung unterliegen besonderen Datenschutzbestimmungen ; sie erfordern strenge technische und administrative Maßnahmen, eine ausdrückliche und separate Einwilligung sowie eine Folgenabschätzung . Soll eine KI-basierte Verhaltensanalyse (z. B. zur Analyse der Personendichte) auf Basis von Kameradaten durchgeführt werden , müssen der Zweck dieser zusätzlichen Datenverarbeitung, ihre Rechtsgrundlage und die Anonymisierungsmaßnahmen detailliert erläutert werden.

3.5 Lagerdauer, Zugang und Entsorgung

Die Aufbewahrungsfrist für Datensätze sollte anhand konkreter Risiken und Bedürfnisse festgelegt werden (z. B. 15–60 Tage, gemäß Unternehmensrichtlinien). Die Löschung/Anonymisierung sollte nach Ablauf der Frist automatisiert erfolgen. Der Zugriff sollte auf eine begrenzte Anzahl von Mitarbeitern für operative Zwecke beschränkt sein ; Zugriffsprotokolle sind zu führen; Verschlüsselung, separate Speicherung und Berechtigungsmatrizen sind zu implementieren. Falls die Weitergabe an Dritte zur Untersuchung von Vorfällen erforderlich ist, sind Datenminimierungstechniken wie Maskierung/Unkenntlichmachung auf die weitergegebene Kopie anzuwenden.

---

4) GPS-/Fahrzeugortungssysteme

4.1 Einschränkungen der Standortverfolgung von Unternehmen

GPS-Tracking im Fahrzeug- und Außendienstmanagement dient unter anderem der Routenoptimierung , der Logistiksicherheit , der Diebstahlprävention sowie dem Kraftstoff- und Zeitmanagement . Entscheidend ist, dass der Standort des Mitarbeiters nicht außerhalb der Arbeitszeit und an arbeitsfremden Orten verfolgt werden darf . Nutzt der Mitarbeiter das Fahrzeug außerhalb der Arbeitszeit, muss ein Mechanismus vorhanden sein, der die Ortung nach Arbeitsende automatisch beendet oder dem Mitarbeiter die Möglichkeit gibt, sie zu deaktivieren . Systeme, die in die Privatsphäre des Mitarbeiters eingreifen und den Eindruck einer permanenten Überwachung erwecken, stören das Gleichgewicht der berechtigten Interessen.

4.2 Beleuchtung, Datenkategorien und Häufigkeit

Die im Beleuchtungssystem verarbeiteten Daten (Breiten- und Längengrad, Geschwindigkeit, Pausen, Zeitstempel), die Aufzeichnungsfrequenz ( z. B. alle 30 Sekunden), die Speicherdauer sowie die Freigabe- und Löschprozesse müssen klar definiert sein. Unnötige Daten sollten nicht erfasst werden; beispielsweise sollten Geschwindigkeitsdaten nur dann aufgezeichnet werden, wenn sie für die jeweilige Aufgabe erforderlich sind. Bei Geräten mit hoher Positionsgenauigkeit lässt sich die Datenmenge minimieren, indem Geofencing so konfiguriert wird, dass nur der Bereich innerhalb der Arbeitsrouten erfasst wird

4.3 Zugriffsberechtigungen und Berichtswesen

Der Zugriff auf Standortdaten sollte auf die Einsatz- und Sicherheitseinheit beschränkt sein; Berichte sind der Geschäftsleitung in anonymisierter/aggregierter Form vorzulegen. Detaillierte Einzelberichte sollten nicht regelmäßig und umfassend weitergegeben werden; sie sind nur bei Bedarf und mit dokumentierter Begründung zu erstellen .

---

5) E-Mail-Überwachung und Kommunikationsverfolgung

5.1 Firmen-E-Mail, Vertraulichkeit der Kommunikation und das Gleichgewicht mit der DSGVO

Ein geschäftliches E-Mail-Konto ist ein dem Arbeitgeber gehörendes Arbeitsinstrument ; der Arbeitgeber kann daher in angemessener Weise überwachen, ob dieses Instrument für geschäftliche Zwecke genutzt wird. Diese Überwachung darf jedoch die Vertraulichkeit der Kommunikation nicht unangemessen beeinträchtigen. Anstelle einer kontinuierlichen und allgemeinen Inhaltsprüfung sollten inkrementelle und zielgerichtete Methoden wie Bedrohungsanalysen/Malware- Filter, automatisierte Metadatenprüfungen und die Erkennung wichtiger Risikofaktoren (z. B. Exporte großer Datenmengen) bevorzugt werden. Der Zugriff auf Inhalte sollte die Ausnahme sein; bei schwerwiegenden Sicherheitsbedenken sollte der Zugriff über eine Zwei-Faktor -Authentifizierung mit Berechtigung und Registrierung gewährt werden .

5.2 Beleuchtung, Nutzungsrichtlinien und Einwilligungsfragen

Mitarbeiter sollten bei Arbeitsbeginn über die Richtlinien zur Nutzung von E-Mail und Kommunikationstools informiert werden . Diese Richtlinien sollten klar festlegen, unter welchen Umständen, von wem und mit welchen Methoden die Überwachung erfolgen kann. Sich ausschließlich auf eine ausdrückliche Einwilligung zu verlassen, ist aufgrund des asymmetrischen Machtverhältnisses im Arbeitsverhältnis riskant ; eine stärkere Grundlage aus berechtigtem Interesse und Vertragserfüllung wäre angemessener. Bei speziellen Überwachungsmethoden (z. B. detaillierte Inhaltsanalyse eines privaten Geräts) kann jedoch eine separate und freiwillige Einwilligung erforderlich sein

5.3 Speicherung, Löschung und Beweismittelgröße

Für E-Mail-Konten sollte eine automatische Archivierungs- und Löschrichtlinie (z. B. 12/24/36 Monate) eingerichtet werden. Im Falle eines Rechtsstreits sollte eine Sicherungsanordnung erlassen werden, um die Löschung relevanter Ordner vorübergehend zu verhindern. Die Integrität und die Beweiskette der zu verwendenden Datensätze müssen gewahrt bleiben; ihre Beweiskraft sollte gegebenenfalls durch Hashwerte erhöht werden .

---

6) Vergleich von KVKK und DSGVO (Kritische Punkte)

6.1 Grundsätze und Rechtsgrundlage

Beide Systeme Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Aufbewahrungsbeschränkungen und Sicherheit . Die DSGVO die Einwilligunghäufig nicht berechtigte Interessen und die Vertragserfüllung Vorrang. Auch im türkischen Datenschutzgesetz (KVKK) bildet das berechtigte Interesse eine wichtige Grundlage; die Abwägung der Interessen muss jedoch konkretisiert werden.

6.2 Folgenabschätzung und Datenschutzbeauftragter

Die DSGVO schreibt eine Datenschutz-Folgenabschätzung (DSFA) für risikoreiche Vorgänge vor . Standortverfolgung, systematische Überwachung und biometrische Datenverarbeitung fallen größtenteils darunter. Das türkische Datenschutzgesetz (KVKK) sieht keine explizite DSFA-Pflicht vor; der risikobasierte Ansatz und die Logik technisch-administrativer Maßnahmen erfordern jedoch faktisch eine ähnliche Bewertung. Die DSGVO sieht die Position des Datenschutzbeauftragten (DSB) vor ; das KVKK enthält keine direkte DSB-Pflicht; in der Praxis wird diese Funktion vom Compliance-Beauftragten bzw. -Ausschuss wahrgenommen .

6.3 Auslandstransfer und vertragliche Garantien

Die DSGVO verwendet Instrumente wie „Qualifizierungsentscheidungen“, „verbindliche Unternehmensregeln“ und „Standardvertragsklauseln“. Das türkische Datenschutzgesetz (KVKK) enthält ebenfalls separate Genehmigungs- und Zusicherungsmechanismen sowie Verpflichtungsprozesse für die Datenübermittlung ins Ausland . In der Praxis sollte eine Datenstandortkarte für Cloud-E-Mail und -Speicher erstellt und die Rechtsgrundlage für die Übermittlung dokumentiert werden.

6.4 Spezielle Richtlinien für das Arbeitsleben

In der Praxis der DSGVO Mitarbeiterdaten als besonders risikoreich; lokale Richtlinien (z. B. zur Vereinbarkeit von Beruf und Familie, zur Überwachung von E-Mails und Internetnutzung sowie zur Videoüberwachung) haben zu einer detaillierten Rechtsprechung im Bereich des Arbeitslebens geführt. Auch in der Praxis der KVKK Entscheidungen und Bekanntmachungen richtungsweisende Bedeutung; es wurden zunehmend klare Standards für die Kameraplatzierung, Audioaufzeichnung, Datenschutzbestimmungen, Speicherung und Vernichtung sowie für die Offenlegungspraxis festgelegt.

---

7) Gerichtliche Kriterien und die Verwendung von Beweismitteln in Streitigkeiten

Bei der Beurteilung des Beweiswerts von Kameraaufnahmen, GPS-Protokollen oder E-Mail-Ausdrucken, die vom Arbeitgeber vorgelegt werden, berücksichtigen Gerichte zwei Aspekte gleichzeitig: (i) die ordnungsgemäße Beschaffung (Offenlegung, Verhältnismäßigkeit, Nachweiskette) und (ii) die Relevanz der Aufnahmen für den Arbeitsstreit. Nicht ordnungsgemäß erlangte Aufnahmen können Beweisbeschränkungen unterliegen oder einen geringeren Beweiswert aufweisen. ordnungsgemäßen Systemen hingegen können entscheidend sein, insbesondere in Fällen wie Diebstahl, Arbeitsunfällen, gefälschten Berichten und dem Verrat vertraulicher Informationen. Daher die Beweisstrategie vor Beginn der Überwachung festgelegt werden; die Integrität der Aufnahmen und zur Zeitstempelung sollten in den internen Verfahrensanweisungen verankert werden.

---

8) Anpassungsprogramm: Schritt-für-Schritt-Anleitung

8.1 Bestands- und Zielanalyse

• Erstellen Sie ein Inventar aller Überwachungsgeräte (CCTV, NVR, VMS; GPS-Geräte; E-Mail-Sicherheitsgateway; DLP, CASB, SIEM usw.).

• Erstellen Sie für jedes Tool eine Matrix aus Zweck, Rechtsgrundlage, Datenkategorie, Empfängergruppen und Aufbewahrungsfrist

• Prüfen Sie in Ihrem Verhältnismäßigkeitsbericht, ob alternative und weniger eingreifende Methoden möglich sind .

8.2 Beleuchtungs- und Richtlinienset

• Der allgemeine Informationstext (für Mitarbeiter) + Videoüberwachungsbeleuchtung + GPS-Beleuchtung + E-Mail-/Kontaktrichtlinie sollten separat verfasst werden.

• Richtlinien Zugriffsrechte, Prüfverfahren, Protokollverwaltung, Lösch-/Vernichtungsmechanismen und Beschwerde-/ Einspruchsmechanismen klar definieren.

• An den Eingangstoren und in den Kamerazonen werden Kurzinformationen und der Zugriff auf detaillierte Texte über QR-Codes bereitgestellt.

8.3 Technische und administrative Maßnahmen

• Zugriffskontrolle (RBAC), Multi-Faktor-Authentifizierung , Verschlüsselung , Protokollintegrität , Verwaltung privilegierter Zugriffe

• Datenmaskierung/Unschärfe, Gesichtsunschärfe, Plattenmaskierung und andere Minimierungstechniken.

• Sicherheitshärtung durch Penetrationstests und Konfigurationsprüfungen

• Schulung: Jährliche DSGVO-Schulung + Meldung von Vorfällen und Verfahren bei Datenschutzverletzungen.

8.4 Speicherung–Vernichtung–Anonymisierung

• eine Aufbewahrungs- und Vernichtungsrichtlinie und definieren Sie systembasierte Aufbewahrungsfristen (z. B. Videoüberwachung 30 Tage; GPS 30/60 Tage; E-Mail-Archiv 24/36 Monate).

• Automatische Vernichtungsauslöser ; Vernichtungsprotokolle und Systemprotokolle führen.

• , die Anonymisierung erfordern, sollten die Regeln zur De-Identifizierung angegeben werden.

8.5 Hochrisikoanalyse und -prüfung

• Führen Sie eine Folgenabschätzung für Prozesse wie biometrische Erkennung, kontinuierliche Standortverfolgung und inhaltsbasierte E-Mail-Scanning durch ; fügen Sie Risikominderungsmaßnahmen hinzu (z. B. Drosselung der Abdeckung, Reduzierung der Dauer, gröbere/anonymisierte Daten).

• Nehmen Sie in Lieferantenverträge Klauseln zur Datenverarbeitung , Listen technischer und administrativer Maßnahmen , Prüfrechte und Meldepflichten bei Verstößen auf

8.6 Anwendungs- und Rechteverwaltung

• Erstellen Sie ein Antragsverfahren , das eine Service-Level-Vereinbarung (SLA) für Zugriffs-/Bearbeitungs-/Lösch-/ Einspruchsanfragen von Mitarbeitern enthält

• Die Prüfung der berechtigten Interessen im Berufungsverfahren ist zu aktualisieren ; ihr Anwendungsbereich ist gegebenenfalls einzuschränken.

Schlussfolgerung und Empfehlungen

Kamera-, GPS- und E-Mail-Überwachung sind, bei korrekter Implementierung, Instrumente zur Verbesserung der Sicherheit am Arbeitsplatz, zur Beweissicherung nach Vorfällen und zur Unterstützung der Geschäftskontinuität. Die Rechtmäßigkeit dieser Instrumente hängt jedoch von einer sorgfältigen Definition ihres Zwecks und Anwendungsbereichs , der Gewährleistung von Transparenz und Klarheit , Verhältnismäßigkeit und Datenminimierung , der Einhaltung von Aufbewahrungs- und Löschfristen sowie eines sicheren Zugriffs ab . Ein Compliance-Programm, das die Unterschiede zwischen dem türkischen Datenschutzgesetz (KVKK) und der DSGVO berücksichtigt, berechtigte Interessen festlegt , Richtlinien in dynamische Dokumente umsetzt und technische sowie administrative Maßnahmen konkretisiert , reduziert sowohl das Risiko von Sanktionen als auch die Beweiskraft in Streitfällen.