Richtlinie zur Verarbeitung personenbezogener Daten

Geltungsbereich und Anwendung

Diese Richtlinie erläutert, wie ESG360 („ESG360“, „wir“) personenbezogene Daten im Zusammenhang mit seinen Leistungen in den Bereichen ESG-Beratung, Bewertung, Berichterstattung, Klima, Lieferkette, nachhaltige Finanzierung, Schulung und digitales Monitoring, mit seinen Geschäftsbeziehungen und mit seiner Website verarbeitet. ESG360 hat seinen Sitz in Istanbul, Türkei, und ist eine Tochtergesellschaft des Global Alliance Register („GAR“).

Sie gilt für personenbezogene Daten von Interessenten und bestehenden Kunden und deren Mitarbeitenden, von Personen, deren Angaben in den Unterlagen erscheinen, die wir für einen Kunden prüfen (zum Beispiel Beschäftigte, Lieferanten, Auftragnehmer, Gremienmitglieder und Projektbeteiligte), von Schulungsteilnehmern, Partnern, Lieferanten, Bewerbern, Website-Besuchern und sonstigen Geschäftskontakten. Für bestimmte Projekte, Unternehmen oder Rechtsordnungen können gesonderte Hinweise gelten.

Rollen und Verantwortlichkeiten

Je nach Situation handelt ESG360 als Verantwortlicher (wir entscheiden über Zwecke und Mittel der Verarbeitung, etwa bei eigenen Kundenbeziehungen, Abrechnung, Qualitätssicherung und Website) oder als Auftragsverarbeiter (wir verarbeiten personenbezogene Daten auf Weisung eines Kunden bei der Durchführung eines Auftrags, etwa wenn wir Personal-, Lieferanten- oder Standortunterlagen eines Kunden prüfen).

Sind an einem Auftrag akkreditierte oder befugte Partner beteiligt, zum Beispiel für eine unabhängige Verifizierung oder Prüfung mit Sicherheit (Assurance), ist jeder Partner für seine eigene Verarbeitung und für die von ihm getroffenen unabhängigen Beurteilungen selbst verantwortlich. ESG360 zertifiziert nicht, akkreditiert nicht und erbringt keine unabhängige Prüfung mit Sicherheit (Assurance).

Personenbezogene Daten, die wir verarbeiten

• Identifikations- und Kontaktdaten: Name, Berufsbezeichnung, Arbeitgeber, E-Mail-Adresse, Telefonnummer, Postanschrift.
• Berufliche Daten: Funktion, Qualifikationen, Schulungsteilnahme, für einen Auftrag relevante Zuständigkeiten.
• Auftragsdaten: Anfragen, Informationsanfragen und deren Vorgangsnummer, Angebote, Verträge, Korrespondenz, Arbeitsergebnisse, Besprechungsnotizen.
• Vom Kunden bereitgestellte Projektdaten: Unterlagen zu Belegschaft, Arbeitsschutz, Lieferanten, Unternehmensführung, Emissionen und Betrieb, die Personen identifizieren können und uns zur Bewertung, Due-Diligence-Prüfung oder Berichterstattung übergeben werden.
• Finanzdaten: Rechnungsangaben, Zahlungsreferenzen und steuerliche Unterlagen.
• Technische Daten: IP-Adresse, Browser- und Geräteinformationen, Sicherheitsprotokolle und Daten zur Website-Nutzung.
• Kommunikation: E-Mails, Nachrichten, Beschwerden und Rückmeldungen.

Woher die Daten stammen

Von Ihnen direkt (Formulare, E-Mail, Telefonate, Besprechungen); von Ihrem Arbeitgeber oder der Organisation, für die wir tätig sind; von Lieferanten, Unterauftragnehmern und Partnern; von GAR und Konzerngesellschaften; von Aufsichtsbehörden und öffentlichen beruflichen oder unternehmensbezogenen Quellen; sowie automatisch über unsere Website und unsere Informationssysteme.

Zwecke der Verarbeitung

• Beantwortung von Anfragen und Informationsanfragen sowie Vergabe von Vorgangsnummern und Versand von Bestätigungen.
• Erstellung von Angeboten und Erbringung von Leistungen in den Bereichen ESG-Strategie, Bewertung, Due-Diligence-Prüfung, Berichterstattung, Klima, Lieferkette, nachhaltige Finanzierung, Schulung und digitales Monitoring.
• Verwaltung von Verträgen, Rechnungsstellung sowie Lieferanten- und Partnerbeziehungen.
• Abstimmung mit akkreditierten und befugten Partnern, wenn eine unabhängige Verifizierung, Zertifizierung oder Prüfung mit Sicherheit (Assurance) erforderlich ist.
• Qualitätskontrolle, Aufbewahrung von Unterlagen, Risikomanagement, Sicherheit und Betrugsprävention.
• Erfüllung rechtlicher, steuerlicher, aufsichtsrechtlicher und berufsrechtlicher Pflichten sowie Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
• Versand von Serviceinformationen und, soweit zulässig, von Newslettern und Veranstaltungshinweisen, die Sie angefordert haben.

Rechtsgrundlagen

Je nach Zusammenhang stützen wir uns auf: die Erfüllung eines Vertrags oder vorvertragliche Maßnahmen auf Ihre Anfrage; die Erfüllung einer rechtlichen Verpflichtung; unsere berechtigten Interessen am Betrieb und Schutz unseres Geschäfts, sofern Ihre Rechte nicht überwiegen; die Begründung, Ausübung oder den Schutz eines Rechts; sowie Ihre ausdrückliche Einwilligung, wo das Recht sie verlangt (zum Beispiel für bestimmte Cookies oder Marketing-Nachrichten). Soweit wir Daten nach dem türkischen Gesetz Nr. 6698 über den Schutz personenbezogener Daten (KVKK) verarbeiten, stützen wir uns auf die Verarbeitungsvoraussetzungen der Artikel 5 und 6 dieses Gesetzes. Soweit das Datenschutzrecht der EU oder des Vereinigten Königreichs Anwendung findet, stützen wir uns auf Art. 6 DSGVO (und, soweit einschlägig, Art. 9 DSGVO) beziehungsweise die entsprechende britische Regelung. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Projekt- und Kundenunterlagen

Unterlagen, die wir von einem Kunden erhalten, können personenbezogene Daten von dessen Mitarbeitenden, Lieferanten oder Stakeholdern enthalten. Wir verwenden sie nur für den vereinbarten Auftrag, beschränken den Zugriff auf die Personen, die ihn benötigen, bitten Kunden, nur das Notwendige zu übermitteln und die Daten, soweit möglich, zu anonymisieren oder zu aggregieren. Nachweise, Arbeitspapiere und Arbeitsergebnisse können aufbewahrt werden, um zu belegen, wie Schlussfolgerungen zustande gekommen sind, um berufsrechtliche Anforderungen zu erfüllen oder weil ein Kunde oder Partner sich darauf stützen muss.

Besondere Kategorien personenbezogener Daten

Wir erheben keine besonderen Kategorien personenbezogener Daten (wie Gesundheitsdaten, Gewerkschaftszugehörigkeit oder biometrische Daten), es sei denn, ein Auftrag erfordert dies tatsächlich, zum Beispiel Unterlagen zu Arbeitsschutzvorfällen bei einer Standortbewertung. Werden solche Daten verarbeitet, wenden wir zusätzliche Schutzmaßnahmen an und verarbeiten sie nur auf rechtmäßiger Grundlage.

Weitergabe und Offenlegung

• Befugtes Personal von ESG360 und Unternehmen der GAR-Gruppe, nach dem Grundsatz „Kenntnis nur, soweit erforderlich“.
• Akkreditierte und befugte Partner, Prüfer, Verifizierer und Berater, die mit uns an einem Auftrag arbeiten.
• Dienstleister: Hosting, E-Mail und Kommunikation, Sicherheit, Newsletter-Versand, Buchhaltung sowie Rechts- und sonstige Berater.
• Behörden, Aufsichtsstellen und Gerichte, soweit das Gesetz dies verlangt oder zum Schutz von Rechten erforderlich ist.
• Ein Erwerber oder Rechtsnachfolger bei einer Umstrukturierung des Unternehmens, unter Wahrung der Vertraulichkeit.

Empfänger erhalten nur die Informationen, die sie für ihre Aufgabe benötigen, und sind durch Vertraulichkeitspflichten, vertragliche oder gesetzliche Pflichten gebunden. Wir verkaufen keine personenbezogenen Daten.

Internationale Datenübermittlungen

ESG360 hat seinen Sitz in der Türkei, und unsere Gruppe, Partner und Dienstleister sind in anderen Ländern tätig. Werden personenbezogene Daten ins Ausland übermittelt, geschieht dies gemäß den Anforderungen des KVKK (einschließlich Artikel 9) und, soweit anwendbar, der DSGVO unter Einsatz der rechtlich anerkannten Garantien, etwa Angemessenheitsbeschlüssen, Standardvertragsklauseln, Verpflichtungserklärungen oder Ihrer ausdrücklichen Einwilligung, wo diese erforderlich und wirksam ist.

Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die oben genannten Zwecke vernünftigerweise erforderlich ist und das Gesetz es verlangt. Maßgeblich sind typischerweise die Dauer des Auftrags und die damit verbundenen Verjährungsfristen, steuer- und buchführungsrechtliche Pflichten, berufliche Aufbewahrungserfordernisse und Rechtsansprüche. Aufzeichnungen zu Anfragen und Informationsanfragen werden nach dem letzten Kontakt für einen begrenzten Zeitraum aufbewahrt, sofern keine Geschäftsbeziehung folgt. Werden Daten nicht mehr benötigt, werden sie gelöscht, vernichtet oder anonymisiert.

Sicherheit und Vertraulichkeit

Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen, darunter rollenbasierte Zugriffskontrolle, Authentifizierung, Verschlüsselung bei der Übertragung, soweit verfügbar, Datensicherungen, Überwachung sowie Vertraulichkeitsverpflichtungen für Mitarbeitende und Dienstleister. Kein System ist vollständig sicher; wir überprüfen daher unsere Maßnahmen regelmäßig und bitten Kunden, keine unnötigen personenbezogenen Daten zu übermitteln.

Ihre Rechte

Nach Artikel 11 KVKK und, soweit anwendbar, nach der DSGVO können Sie von uns Auskunft darüber verlangen, ob wir Ihre personenbezogenen Daten verarbeiten, sowie Informationen dazu; über die Zwecke der Verarbeitung und ob diese erreicht werden; über die Empfänger im In- und Ausland; die Berichtigung unvollständiger oder unrichtiger Daten; die Löschung oder Vernichtung; die Benachrichtigung der Empfänger über diese Maßnahmen; Sie können einem Ergebnis widersprechen, das ausschließlich durch automatisierte Analyse zu Ihrem Nachteil zustande gekommen ist; Schadensersatz für Schäden aus unrechtmäßiger Verarbeitung verlangen; und, nach der DSGVO, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch geltend machen. Sie können Ihre Einwilligung jederzeit widerrufen.

Um ein Recht auszuüben, kontaktieren Sie uns wie unten angegeben. Gegebenenfalls müssen wir Ihre Identität überprüfen; wir antworten innerhalb der gesetzlich vorgesehenen Fristen (nach dem KVKK so bald wie möglich und in jedem Fall innerhalb von dreißig Tagen). Rechte können eingeschränkt sein, wenn wir Unterlagen von Gesetzes wegen aufbewahren müssen oder zur Verteidigung von Rechtsansprüchen.

Website, Cookies und elektronische Kommunikation

Wenn Sie unsere Website nutzen, verarbeiten wir technische Daten, um sie zu betreiben und abzusichern. Optionale Cookies und ähnliche Technologien werden nur mit Ihrer Einwilligung eingesetzt, die Sie über die Cookie-Einstellungen in der Fußzeile verwalten können. Siehe unsere Cookie-Richtlinie und die Datenschutzerklärung der Website. Newsletter können Sie jederzeit abbestellen.

Kinder

Unsere Leistungen richten sich an Organisationen und erwachsene Fachkräfte. Wir erheben im Rahmen unserer allgemeinen Leistungen nicht wissentlich personenbezogene Daten von Kindern.

Automatisierte Werkzeuge und KI

Wir können automatisierte und KI-gestützte Werkzeuge für administrative, analytische oder redaktionelle Aufgaben einsetzen. Sie unterstützen das fachliche Urteil unserer Mitarbeitenden, ersetzen es aber nicht, und wir treffen keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Einzelne ausschließlich auf automatisiertem Weg.

Beschwerden und Aufsichtsbehörden

Bitte wenden Sie sich mit Anliegen zunächst an uns. Sie haben außerdem das Recht, sich bei der türkischen Datenschutzbehörde (Kişisel Verileri Koruma Kurulu, KVKK-Behörde) oder, soweit die DSGVO gilt, bei der Aufsichtsbehörde Ihres Wohnorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu beschweren.

Aktualisierungen und Kontakt

Wir können diese Richtlinie aktualisieren; das Datum am Anfang zeigt die aktuelle Fassung an. Verwandte Dokumente: Datenschutzerklärung der Website, Cookie-Richtlinie, Allgemeine Geschäftsbedingungen.

GAR GÖZETİM MÜH. BAĞ. DEN. BEL. MÜŞ. VE EĞT. LTD. ŞTİ. (ESG360)
19 Mayıs Mahallesi, S. Ercan Caddesi, Paşa Korusu No: 18, Wohnung 6, Kazasker, Kadıköy, İstanbul, Türkiye
Telefon: +90 (216) 599 0127
Datenschutz und Datenschutzersuchen: privacy@esg360.com.tr
Steuer-ID: 3890699972, Finanzamt Erenköy, Istanbul, Türkei
Anfragen und Datenschutzersuchen: über unsere Kontaktseite oder das Formular zur Informationsanfrage, gegebenenfalls mit dem Vermerk „Datenschutzersuchen“.