Uns wurde ein KVKK-Beratungspaket angeboten: Was gehört da rein und reicht ein Anwalt allein nicht aus?

So ein Projekt läuft meistens in drei Phasen ab. Zuerst setzt man sich mit Marketing, Buchhaltung und Vertrieb zusammen, um zu erfassen, welche Daten überhaupt gespeichert werden. Im zweiten Schritt prüft man die Rechtsgrundlage dieser Daten und passt die Texte an. Im dritten Schritt kommt ein IT-Experte und prüft Verschlüsselung sowie Zugriffsrechte der Datenbanken, auf denen die Daten liegen.

Wir haben vor zwei Jahren 60.000 TL für ein Komplettpaket bezahlt. Am nützlichsten war für uns ganz klar die Dateninventar-Tabelle. Dadurch haben wir erst gemerkt, dass Kundendaten seit 7 Jahren vergessen in einer alten Excel-Tabelle lagen, und konnten sie löschen. Ohne so eine Tabelle hängen die Texte vom Anwalt völlig in der Luft.

Wer behauptet, ein Anwalt allein reicht aus, steht dann mit Rechtfertigungsschreiben vor der Behörde, sobald die Datenbank im Netz landet. Lest euch mal die Bußgeldbeschlüsse der Kişisel Verileri Koruma Kurulu durch: Strafen gibt es nicht wegen Formulierungen in der Datenschutzerklärung, sondern wegen offener Ports und unbefugter Zugriffe.

euer anwalt war echt ehrlich, respekt... am markt gibts genug leute, die sich vorlagen ausm netz ziehen und einfach ihren kanzleistempel draufklatschen. also zu behaupten man hätte kvkk erledigt ohne die technische infrastruktur anzuschauen ist reine selbsttäuschung.

Ihre Mitarbeiterzahl liegt zwar unter 50, aber fallen Ihre Jahresbilanzsumme oder Ihr Haupttätigkeitsbereich unter die VERBİS-Registrierungspflicht? Speichern Sie zudem besondere Kategorien personenbezogener Daten wie Gesundheits- oder biometrische Daten? Diese Details bestimmen unmittelbar die Dringlichkeit der Beratung.

Statt 80.000 TL hinzublättern holt euch von der Beratungsfirma einfach nur das technische Audit und eine Vorlage fürs Inventar. Füllt das Inventar zusammen mit eurem eigenen Anwalt in 2 Wochen aus. Die technischen Lücken schließt ihr dann mit eurem Server-Provider. So kriegt ihr das zum halben Preis gelöst.

Wir haben in den ersten Jahren auch nur Texte vom Anwalt schreiben lassen. Als dann ein Kunde die Löschung seiner Daten verlangte wusste niemand, auf welchen Servern und in welchen Backups die Daten lagen. Der Jurist meinte „löschen“ aber das IT-Team wusste gar nicht wo sie suchen sollten. Da wurde uns klar, dass es ohne Inventar einfach nicht geht.

Artikel 12 des Kişisel Verilerin Korunması Kanunu verpflichtet den Datenverantwortlichen zur Ergreifung technischer und organisatorischer Maßnahmen zur Datensicherheit. Während juristische Texte die organisatorischen Maßnahmen abdecken, muss die Überprüfung der technischen Maßnahmen zwingend durch Experten mit fundierten IT-Infrastrukturkenntnissen erfolgen.

Vielen Dank, ich werde es heute testen.

Das wusste ich nicht.

Gespeichert.

Ich bin derselben Meinung. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Viel Erfolg.

Gut, dass du diesen Thread eröffnet hast. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Ein nicht getestetes Backup ist kein Backup. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Das habe ich auch erlebt.

Bei uns war es so. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Ich hoffe, das hilft dir weiter.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Viel Erfolg.

Dieses Thema ist archiviert.

Das hier Beschriebene ist genau das was wir erlebt haben. Wer bei Was ist eine KVKK-Beratung? hetzt stolpert alle an derselben Stelle.