Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("DPA") wird zwischen İbrahim Ethem Karabıyık ("Marka Gold") und dem Juweliergeschäft, das die Marka-Gold-SaaS-Plattform nutzt (im Folgenden "Juwelier" oder "Nutzer"), geschlossen und regelt die Pflichten der Parteien nach dem türkischen Datenschutzgesetz Nr. 6698 ("KVKK") in Bezug auf personenbezogene Daten, die im Zusammenhang mit der Nutzung der Marka-Gold-Plattform verarbeitet werden. Dieser DPA ist integraler Bestandteil der Marka-Gold-Nutzungsbedingungen. Durch die Nutzung der Plattform erklären Sie sich an die Bestimmungen dieses DPA gebunden.

1. Definitionen

Die folgenden Begriffe gelten im Sinne dieses DPA:

1.1 Grundlegende KVKK-Definitionen

• Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen
• Verarbeitung: jeder Vorgang im Zusammenhang mit personenbezogenen Daten, ob automatisiert oder nicht, einschließlich Erhebung, Aufzeichnung, Speicherung, Änderung, Offenlegung und Übermittlung
• Verantwortlicher: die natürliche oder juristische Person, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt
• Betroffene Person: die natürliche Person, deren personenbezogene Daten verarbeitet werden

1.2 Vertragsspezifische Definitionen

• Plattformdaten: personenbezogene Daten, die der Juwelier und seine Mitarbeiter (Filialleiter, Verkaufsmitarbeiter usw.) bei der Registrierung und Nutzung der Marka-Gold-Plattform erzeugen
• Endkundendaten: personenbezogene Daten der eigenen Kunden des Juweliers, die vom Juwelier in die Marka-Gold-Plattform eingegeben werden
• Dienstanbieter: İbrahim Ethem Karabıyık (handelnd unter dem Handelsnamen Marka Gold)
• Unterauftragsverarbeiter: jeder Drittanbieter, den Marka Gold zur Leistungserbringung einsetzt

1.3 Verantwortlichkeitsstatus (Sole-Controller-Modell)

• Marka Gold handelt im Sinne von Art. 3/1(i) KVKK als eigenständiger Verantwortlicher in Bezug auf Plattformdaten
• Der Juwelier handelt im Sinne des KVKK als separater und eigenständiger Verantwortlicher in Bezug auf Endkundendaten
• Marka Gold legt weder die Zwecke noch die Mittel der Verarbeitung von Endkundendaten fest und nimmt an solchen Daten keine Vorgänge vor außer der Speicherung und der Bereitstellung der technischen Infrastruktur im Auftrag des Juweliers
• Die Parteien sind keine gemeinsam Verantwortlichen (joint controllers); jede Partei handelt innerhalb ihres eigenen Verantwortungsbereichs als separater Verantwortlicher

2. Geltungsbereich und Laufzeit

Der Geltungsbereich und die Laufzeit dieses DPA sind wie folgt:

2.1 Inkrafttreten und Gültigkeit

• Dieser DPA tritt am Tag der Registrierung des Juweliers für die Marka-Gold-Plattform in Kraft
• Er bleibt gültig, solange das Konto aktiv ist und die Nutzungsbedingungen in Kraft sind
• Auch nach Kontoschließung gelten die relevanten Bestimmungen weiter, soweit gesetzliche Aufbewahrungspflichten bestehen

2.2 Verarbeitete Datenkategorien

• Identitätsdaten (Vor- und Nachname)
• Kontaktdaten (Telefon, E-Mail)
• Geschäftsdaten (Handelsname, Funktion, Filiale)
• Kontosicherheit (Sitzung, IP, Gerät/Browser, bcrypt-Passwort-Hash)
• Nutzungsdaten (Anmeldezeiten, Audit-Log)
• Abrechnungsdaten

2.3 Nicht erfasste Daten

• Gesundheitsdaten, biometrische Daten oder andere besondere Kategorien gemäß Art. 6 KVKK werden nicht verarbeitet
• Zahlungskartendaten (PCI-DSS) werden direkt vom Zahlungsdienstleister erhoben und nicht bei Marka Gold gespeichert

3. Aufteilung der KVKK-Pflichten

Die wesentlichen Pflichten nach KVKK sind zwischen den Parteien wie folgt verteilt:

3.1 Informationspflicht (Art. 10 KVKK)

• Marka Gold erfüllt seine Informationspflicht in Bezug auf Plattformdaten durch seine eigene Datenschutzerklärung
• Der Juwelier ist verpflichtet, gegenüber seinen eigenen Endkunden eine separate Datenschutzinformation bereitzustellen
• Marka Gold kann Vorlagen oder Unterstützung bereitstellen; die rechtliche Verantwortung verbleibt jedoch beim Juwelier

3.2 Datensicherheitspflicht (Art. 12 KVKK)

• Marka Gold setzt für alle auf der Plattforminfrastruktur verarbeiteten Daten die in Abschnitt 5 genannten technischen und organisatorischen Maßnahmen um
• Der Juwelier ist für die Sicherheit seiner eigenen Nutzerkontoanmeldedaten (Passwörter, Sitzungen) und für Sicherheitsmaßnahmen auf seinen lokalen Geräten verantwortlich

3.3 Bearbeitung von Betroffenenanfragen (Art. 11 und 13 KVKK)

• Anfragen betroffener Personen zu Plattformdaten werden direkt von Marka Gold bearbeitet
• Anfragen betroffener Personen zu Endkundendaten werden vom Juwelier bearbeitet
• Sofern der Juwelier technische Unterstützung benötigt, leistet Marka Gold diese innerhalb einer angemessenen Frist (je nach Art der Anfrage spätestens 15 Tage)

3.4 Drittlandübermittlung (Art. 9 KVKK)

• Für Übermittlungen an EU-ansässige Unterauftragsverarbeiter wurden gemäß Beschluss Nr. 2024/959 der türkischen Datenschutzbehörde Standardvertragsklauseln (SCC) abgeschlossen
• Die zusätzlichen Garantien gemäß Beschluss Nr. 2025/1072 werden beachtet
• Im Rahmen der Grundsatzentscheidung Nr. 2026/347 werden jährliche Compliance-Prüfungen durchgeführt

4. Eigenverantwortlichkeit des Juweliers

In Bezug auf Endkundendaten erklärt und garantiert der Juwelier als eigenständiger Verantwortlicher Folgendes:

4.1 Rechtmäßigkeit

• Der Juwelier versichert, dass für jede in die Plattform eingegebene Endkundeninformation eine rechtmäßige Verarbeitungsgrundlage (Einwilligung, Vertrag, berechtigtes Interesse, gesetzliche Verpflichtung usw.) besteht
• Der Juwelier verzichtet auf die Eingabe rechtswidrig erhobener oder verarbeiteter Daten

4.2 Information und Kommunikation

• Der Juwelier informiert seine eigenen Kunden gemäß Art. 10 KVKK darüber, dass deren Daten über die Marka-Gold-Plattform verarbeitet werden
• Marka Gold hat keine Pflicht, die Erfüllung dieser Informationspflicht zu überprüfen

4.3 Betroffenenrechte

• Der Juwelier ist Hauptadressat von Lösch-, Berichtigungs-, Übertragbarkeits- und ähnlichen Anfragen seiner Endkunden
• Marka Gold leistet ausschließlich technische Unterstützung über die Plattform

4.4 Haftung

• Jegliche verwaltungsrechtliche, finanzielle und strafrechtliche Haftung, die sich aus der Eingabe rechtswidrig erhobener oder verarbeiteter Endkundendaten in die Plattform ergibt, liegt ausschließlich beim Juwelier

5. Datensicherheitsmaßnahmen (Art. 12 KVKK)

Marka Gold setzt angemessene und branchenübliche technische und organisatorische Maßnahmen um, darunter:

5.1 Technische Maßnahmen

• TLS 1.2+-Verschlüsselung für Daten während der Übertragung
• AES-256-Verschlüsselung für gespeicherte Daten (soweit anwendbar)
• Rollenbasierte Zugriffskontrolle (RBAC) und Prinzip der minimalen Berechtigung
• Multi-Faktor-Authentifizierung (MFA) für Produktionszugriffe
• Regelmäßige, geografisch getrennt aufbewahrte Backups
• Zugriffs- und Systemprotokolle (Audit-Log)
• HMAC-SHA256-basierte manipulationssichere Audit-Log-Kette

5.2 Organisatorische Maßnahmen

• Schriftliche Vertraulichkeitsverpflichtungen für Mitarbeiter
• KVKK-Sensibilisierungstrainings
• Regelmäßige Sicherheitsbewertungen und Aktualisierungen
• Notfallwiederherstellungsplan (DR) und Geschäftskontinuitätsplan

6. Meldung von Datenschutzverletzungen (72 Stunden)

Gemäß Art. 12 KVKK und einschlägigen Beschlüssen der Behörde verläuft der Meldeprozess wie folgt:

6.1 Pflicht von Marka Gold

• Marka Gold meldet dem Juwelier eine Verletzung des Schutzes personenbezogener Daten, die die Daten des Juweliers in seinen Systemen betrifft, innerhalb von 72 Stunden nach Kenntnisnahme
• Die Meldung umfasst die Art der Verletzung, die betroffenen Datenkategorien, die voraussichtlichen Folgen sowie die von Marka Gold ergriffenen oder empfohlenen Maßnahmen

6.2 Pflicht des Juweliers

• Der Juwelier ist verpflichtet, die Datenschutzbehörde und die betroffenen Personen bei Verletzungen, die Endkundendaten betreffen, selbst zu benachrichtigen
• Die Erfüllung der Pflicht durch Marka Gold befreit den Juwelier nicht von seiner eigenen Meldepflicht

7. Unterauftragsverarbeiter

Marka Gold nutzt die folgenden Unterauftragsverarbeiter für die Leistungserbringung, mit denen jeweils ein KVKK-konformer Vertrag abgeschlossen wurde:

• Amazon Web Services (AWS) — Cloud-Speicher — Frankfurt, EU
• MongoDB Atlas — Datenbank — Frankfurt oder Irland, EU
• Google (Gmail SMTP) — E-Mail-Versand — USA
• Netgsm — SMS-Versand — Türkei

7.1 Drittland-Garantien

• Für EU-basierte Unterauftragsverarbeiter wurden gemäß Beschluss Nr. 2024/959 der türkischen Datenschutzbehörde Standardvertragsklauseln (SCC) abgeschlossen
• Die zusätzlichen Garantien gemäß Beschluss Nr. 2025/1072 werden beachtet
• Die Nutzung von Gmail SMTP mit Sitz in den USA ist auf transaktionale Benachrichtigungen beschränkt

7.2 Vendor-Änderungen

• Bei Aktualisierung der Vendor-Liste gibt Marka Gold die Änderung über die Plattform bekannt
• Der Juwelier hat das Recht, einem neuen Vendor innerhalb von 30 Tagen zu widersprechen

8. Haftungsbeschränkung

Die vertragliche Haftung der Parteien unterliegt folgenden Grundsätzen:

8.1 Getrennte Haftung

• Jede Partei haftet für Bußgelder, Schadensersatz und sonstige Schäden, die aus KVKK-Verstößen innerhalb ihres eigenen Verantwortungsbereichs entstehen
• Marka Gold kann nicht für Verstöße des Juweliers in Bezug auf Endkundendaten haftbar gemacht werden

8.2 Haftungsobergrenze

• Die vertragliche Haftung von Marka Gold gegenüber dem Juwelier ist auf die jährliche Abonnementgebühr des Jahres begrenzt, in dem der jeweilige Vorfall eingetreten ist

8.3 Vorbehaltene Fälle

• In Bezug auf Schäden, die betroffenen Personen aufgrund einer Verletzung der Datensicherheitspflicht nach Art. 12 KVKK entstehen, bleiben die zwingenden Bestimmungen des KVKK vorbehalten; die vorstehende Obergrenze findet hierauf keine Anwendung
• Fälle von Vorsatz und grober Fahrlässigkeit sind ebenfalls von der Haftungsbeschränkung ausgenommen

9. Laufzeit, Kündigung und Datenvernichtung

Laufzeit, Kündigung und Datenvernichtung dieses DPA sind wie folgt:

9.1 Laufzeit

• Dieser DPA bleibt für die Dauer der Nutzungsbedingungen in Kraft
• Relevante Bestimmungen gelten weiter, soweit gesetzliche Aufbewahrungspflichten bestehen

9.2 Datenbehandlung nach Kündigung

• Marka Gold bewahrt Plattformdaten 30 Tage lang für mögliche Reaktivierungsanfragen auf
• Nach Ablauf dieser Frist werden die Daten vernichtet oder anonymisiert
• Rechnungs-/Buchhaltungsdaten gemäß der 10-jährigen Verjährungsfrist nach Art. 146 des türkischen Obligationengesetzes Nr. 6098 werden weiter aufbewahrt, sofern eine gesetzliche Aufbewahrungspflicht besteht

9.3 Datenexport

• Der Juwelier ist berechtigt, seine eigenen Endkundendaten vor der Kündigung zu exportieren
• Eine Wiederherstellung nach der Vernichtung ist nicht möglich

10. Anwendbares Recht, Gerichtsstand und Kontakt

Dieser DPA unterliegt dem Recht der Republik Türkei und für Streitigkeiten sind ausschließlich die Gerichte und Vollstreckungsbehörden von Istanbul (Çağlayan) zuständig. Grundlage der Auslegung sind das KVKK und einschlägige Beschlüsse der Datenschutzbehörde (insbesondere Nrn. 2024/959, 2025/1072 und 2026/347). Marka Gold kann diesen DPA von Zeit zu Zeit aktualisieren; wesentliche Änderungen werden über die Plattform bekannt gegeben und die fortgesetzte Nutzung der Plattform nach einer solchen Bekanntgabe gilt als Annahme der aktualisierten Bedingungen. Für Fragen, Anfragen oder Anliegen im Zusammenhang mit diesem DPA erreichen Sie uns unter folgender Adresse:

Marka Gold
İbrahim Ethem Karabıyık
Kocasinan Merkez Mah. Mahmutbey Cad. 235A
Bahçelievler, Istanbul, Türkei
E-Mail: support@markaglbl.com