Datenschutzerklärung

1. Was ist CallGem und wer verwendet es?

CallGem ist eine Unternehmenssoftware, die auf Firmen-Telefonen von Außendienstmitarbeitern, Kundenbetreuern oder ähnlichen Rollen verwendet wird. Sie zeichnet Anrufe auf, verwaltet Geräte zentral und verfolgt den Einsatzort.

Entwickelt von: TECMONY YAZILIM BİLİŞİM VE DANIŞMANLIK HİZMETLERİ LİMİTED ŞİRKETİ (MERSİS: 0833098641200001)

Verwendet von: Die jeweilige Organisation / der Arbeitgeber. Auf dieser Seite als „die Organisation" bezeichnet.

Nach dem türkischen Datenschutzgesetz (KVKK):

• Verantwortlicher: Die Organisation, die die Software verwendet (Arbeitgeber). Die Entscheidungsbefugnis über die Daten von Mitarbeitern und Gesprächspartnern liegt bei der Organisation.
• Tecmony: Das Unternehmen, das die Software entwickelt und liefert. Tecmony greift nicht routinemäßig auf Produktionsdaten zu; außerhalb begrenzter Supportfälle agiert es nicht als Auftragsverarbeiter.

2. Wo läuft die Software?

CallGem läuft im On-Premise-Modell — die Software und Datenbank werden auf der eigenen Serverinfrastruktur der Organisation installiert. Es ist keine Cloud-SaaS-Lösung.

• Alle Anrufaufzeichnungen, Metadaten und Protokolle werden auf dem Server der Organisation gespeichert.
• Keine Produktionsdaten werden auf Tecmonys Infrastruktur oder im Ausland gespeichert.
• Daten werden innerhalb Ihrer eigenen Infrastruktur verarbeitet; keine Übertragung ins Ausland ohne Ihre ausdrückliche Anweisung.
• Sicherung, Archivierung und Wiederherstellung liegen im IT-Betriebsbereich der Organisation.

Diese Architektur ist darauf ausgelegt, KVKK-Compliance, BDDK-Vorschriften und sektorale Datenlokalisierungsanforderungen zu erfüllen.

3. Welche Daten werden verarbeitet?

Die Organisation konfiguriert, welche der folgenden Daten die Software erfasst:

Anrufdaten

• Sprachaufzeichnung des Mitarbeiteranrufs (Standard: nur Mitarbeiterseite — siehe §4)
• Anrufnummer, Richtung (eingehend/ausgehend), Start- und Endzeit, Dauer
• Zugehörige Gerätekennung

Gerätedaten (Mobile Device Management — MDM)

• Gerätemodell, Betriebssystemversion, IMEI
• Liste der installierten Anwendungen
• Online-/Offline-Status, Batteriestand, letzte Sichtungszeit

Standortdaten

• Periodische Standortpunkte während der von der Organisation definierten Arbeitszeit (Breitengrad, Längengrad, Genauigkeit, Zeitstempel)
• On-Demand-Standortabfrage (LocateNow) — auf Anfrage eines autorisierten Benutzers
• Aufenthaltserkennung innerhalb eines definierten Radius
• Bei Geräteübergaben wird jeder Standortdatensatz dem jeweiligen Nutzer dieser Periode zugeordnet

Gesprächsanalyse (optionales Modul)

• Sprache-zu-Text und Analyse des Anrufinhalts auf Anfrage
• Dieses Modul ist optional und wird nur auf schriftliche Anfrage der Organisation aktiviert

4. Aufzeichnung des Gesprächspartners — Dreischicht-Flexible Architektur

Dies ist CallGems markantester Aspekt: Wie mit der Stimme des Gesprächspartners (Kunde, Bürger, Dritter) umgegangen wird, liegt vollständig im Ermessen der Organisation. Basierend auf der rechtlichen Bewertung der Organisation wird eine von drei Schichten ausgewählt.

Schicht 1 — Gesprächspartner wird nie aufgezeichnet (unsere Standardempfehlung)

Nur die Stimme des Mitarbeiters wird aufgezeichnet. Es werden keine Sprachdaten des Gesprächspartners erzeugt; die ausdrückliche Einwilligung des Gesprächspartners kommt rechtlich nicht in Frage.

Schicht 2 — Aufzeichnung basierend auf Einwilligungsliste

Die Organisation zeichnet den Gesprächspartner nur auf, wenn mit Nummern gesprochen wird, die in ihrem eigenen Kundenverzeichnis als „Spracheinwilligung erteilt" markiert sind; in anderen Fällen wird nur die Mitarbeiterseite aufgezeichnet.

Schicht 3 — In-Call-Hinweis und Reaktion

Der Mitarbeiter kündigt zu Beginn an: „Dieses Gespräch wird aufgezeichnet". Die Software verarbeitet die Reaktion des Gesprächspartners:

• Ausdrückliche Zustimmung → Aufzeichnung läuft weiter
• Schweigen → von der Organisation definierte Konfiguration wird angewendet
• Ausdrückliche Ablehnung → Gesprächspartner-Aufzeichnung wird sofort gestoppt; der bis dahin erfasste zweite Stream wird gelöscht
• Wenn der Mitarbeiter nicht angekündigt hat → Gesprächspartner-Aufzeichnung wird nie erstellt

Failsafe — selbst die Organisation kann nicht überschreiben: Das Verhalten für „ausdrückliche Ablehnung" und „keine Ankündigung" ist auf Softwareebene festgelegt; nicht einmal ein Organisationsadministrator kann diese Schutzmaßnahmen überschreiben.

Rechtliche Auslegung obliegt der Organisation

CallGem stellt den Mechanismus und die Audit-Infrastruktur bereit. Welche Schicht auf welcher Rechtsgrundlage (KVKK-Aufklärung/ausdrückliche Einwilligung, Arbeitsvertrag, sektorale Vorschriften, BDDK usw.) angewandt wird, ist die Bewertung der Organisation in ihrer Verantwortlichen-Eigenschaft. Tecmony ist nicht Partei dieser Bewertung.

5. Wo werden Daten gespeichert? Wie lange?

• Ort: Nur auf dem eigenen Server der Organisation. Keine Produktionsdaten auf Tecmonys Infrastruktur.
• Dauer: Wird von der Organisation festgelegt. Die Software bietet konfigurierbare Aufbewahrungsparameter; die Organisation kann Dauern in Tagen oder Jahren gemäß ihrer eigenen Richtlinie definieren.
• Sicherung: Verantwortlichkeit des IT-Betriebs der Organisation.
• Löschung: Automatische Löschung am Ende der Aufbewahrung oder manuelle Löschregeln möglich.
• KVKK-Artikel-11-Anfragen: Die Software verfügt über Funktionen zur technischen Durchführung der Löschung oder Vernichtung von Datensätzen gemäß Mitarbeiter-/Gesprächspartner-Anfragen; die Auslösebefugnis liegt bei der Organisation.

6. Verschlüsselung und Sicherheit

• In Übertragung: TLS 1.3-Standard oder gleichwertige starke Verschlüsselung
• In Ruhe: Vollständige Festplattenverschlüsselung und autorisierter Zugriff
• Autorisierung: Rollenbasierte Zugriffskontrolle; authentifizierter autorisierter Benutzer
• Audit-Trail: Jeder autorisierte Zugriff — wer, wann, was — wird protokolliert
• Software-Signatur: Tecmony ist im Google Play Entwicklerverzeichnis als juristische Person mit D-U-N-S 595817447 als Unternehmens-Publisher verifiziert.

7. Tecmonys Zugang zu Daten — Ausnahmsweise und Begrenzt

Während der normalen Nutzung von CallGem greift Tecmony nicht auf die Daten der Organisation zu. Zugang ist nur in den folgenden Situationen möglich:

Zugriffsszenarien

• Software-Bugfixing
• Untersuchung von Sicherheitslücken
• Technische Intervention bei kritischem Vorfall
• Log-Analyse
• Installationsüberprüfung

Zugriffsvoraussetzungen (kumulativ erforderlich)

• Kein Zugriff ohne schriftliche Zustimmung der Organisation
• In der Zustimmung sind Support-Ticketnummer, Zugriffszweck, betroffenes System, Umfang und Dauer schriftlich angegeben
• Jede Zugriffssitzung ist auf maximal 4 Stunden begrenzt; Verlängerung erfordert neue schriftliche Zustimmung
• Zugriffssitzung erfolgt unter Aufsicht des IT-Teams der Organisation
• Kein dauerhafter Account, persistentes VPN oder unbegrenzte SSH-Berechtigung wird eingerichtet

Nach dem Zugriff

• Datensätze, Screenshots oder Logs mit Daten, die vorübergehend bei Tecmony erscheinen, werden innerhalb von maximal 24 Stunden gelöscht oder dauerhaft maskiert
• Detailliertes Audit-Log wird für die gesamte Zugriffssitzung geführt
• Tecmony darf diese Materialien nicht für Archivierung, Schulung, Produktentwicklung oder Analysezwecke verwenden

Direkter Zugang zur Produktionsumgebung

• Grundsätzlich greift Tecmony nicht direkt in die Produktionsumgebung ein
• Untersuchung erfolgt in der Vorproduktionsumgebung (PREPROD) mit anonymisierten Daten
• Nur in Ausnahmefällen, die nur mit Produktionsdaten/-skalierung lösbar sind, wird begrenzter Zugriff mit separater schriftlicher Zustimmung und Live-Aufsicht der Organisation gewährt

Datenminimierung

Die Organisation ist verpflichtet, personenbezogene Daten in Logs, Screenshots oder Dateien, die mit Tecmony geteilt werden, zu maskieren. Identifikatoren wie Personalausweisnummer, Telefonnummer, IMEI werden standardmäßig maskiert (z. B. nur die letzten 4 Ziffern von Telefonnummern sichtbar).

8. Auftragsverarbeiter und technische Abhängigkeiten

Da CallGem on-premise läuft, sind die Hosting-Anbieter (AWS, Azure, GCP usw.), die von klassischen Cloud-SaaS-Diensten verwendet werden, keine Auftragsverarbeiter für diese Software.

Die Software hat bestimmte technische Abhängigkeiten — diese sehen keine Produktionsdaten:

• Samsung Knox — Gerätesicherheit und Aufzeichnungsautorisierung
• KLM-Lizenzvalidierung — Knox-Lizenzgültigkeitsprüfung
• TLS-Zertifizierungsstellen — Zertifikatsvalidierung für verschlüsselte Kommunikation
• license.tecmony.cloud — CallGem-Softwarelizenz-Gültigkeitsprüfung

Diese Abhängigkeiten verarbeiten nur technische Metadaten; Anrufaudio, Standort, Benutzeridentität oder ähnliche personenbezogene Daten werden nicht an sie übertragen.

Falls ein neuer Auftragsverarbeiter hinzugefügt werden muss, erfolgt eine schriftliche Mitteilung mindestens 30 Tage im Voraus an die Organisation; das Recht auf begründeten Widerspruch der Organisation bleibt vorbehalten.

9. Meldung von Datenschutzverletzungen

Falls Tecmony in Systemen, Personal oder Supportprozessen unter eigener Kontrolle eine Datenschutzverletzung feststellt oder einen begründeten Verdacht hat, erfolgt eine schriftliche Vorabbenachrichtigung an die Organisation innerhalb von maximal 24 Stunden nach Kenntnisnahme. Dies unterstützt die Organisation bei der 72-Stunden-Meldepflicht an die KVKK-Behörde.

Die vollständige Benachrichtigung mit validierter technischer Bewertung und Details wird in angemessen kurzer Zeit nach der Validierung übermittelt.

Vorfälle aus der eigenen Infrastruktur, Personal oder Dritten der Organisation liegen in der Verantwortung der Organisation; Tecmony kann in solchen Fällen auf Anfrage technische Unterstützung leisten.

10. Mitarbeiterrechte

Um Ihre Rechte gemäß KVKK Artikel 11 — Information, Berichtigung, Löschung, Vernichtung, Widerspruch, Schadensersatz usw. — auszuüben, müssen Sie sich an die HR- oder KVKK-Beauftragten der Arbeitgeberorganisation wenden.

Tecmony kann Mitarbeiteranträge nicht direkt bearbeiten, da die Entscheidungsbefugnis über die Daten bei der Organisation, d. h. dem Verantwortlichen, liegt. Tecmony stellt Software-Infrastruktur und die erforderliche technische Unterstützung zur Verfügung, um von der Organisation eingegangene Anträge zu erfüllen.

11. Transparenz und Audit

• CallGem ist als Unternehmensüberwachungstool klassifiziert.
• In der Gerätestatusleiste wird eine dauerhaft aktive Benachrichtigung angezeigt — der Mitarbeiter sieht immer, dass der Überwachungsmodus aktiv ist.
• Die Organisation, die das Gerät verwaltet, kann in den Geräteeinstellungen eingesehen werden.
• Im Rahmen des mit Tecmony unterzeichneten KVKK-Datenverarbeitungsprotokolls (Limited DPA) und Service Level Agreement (SLA) hat die Organisation das Recht, Tecmonys Compliance einmal jährlich zu auditieren; ausnahmsweise Support-Zugriffsaufzeichnungen, technische Maßnahmen und Datenschutzverletzungs-Benachrichtigungsprozesse fallen in den Audit-Umfang.
• Bei Regulator-Audits (KVKK-Behörde, BDDK, MASAK) ist Tecmony verpflichtet, der Organisation technische Unterstützung zu leisten.

12. Software-Verteilung

CallGem wird nicht in mobilen App-Stores (Google Play Store, App Store) veröffentlicht. Die Verteilung erfolgt ausschließlich über den Unternehmenskanal:

• Erstinstallation: Wird durchgeführt, wenn das Gerät in das Unternehmensinventar aufgenommen wird
• Updates: Nur aus der von der Organisation festgelegten autorisierten Quelle; kein Drittanbieter-Store wird verwendet
• Gerätegarantie: CallGem verwendet keine Root-, Jailbreak- oder ähnliche Methoden; es läuft im Samsung Knox Unternehmensüberwachungsmodus, und die Geräteherstellergarantie bleibt erhalten

13. Aktualisierungen dieser Richtlinie

Diese Seite beschreibt die allgemeine Datenschutzarchitektur von CallGem. Wesentliche Änderungen werden zusammen mit dem Datum „Zuletzt aktualisiert" oben auf der Seite veröffentlicht. Für vertragliche Verpflichtungen zwischen der Organisation und Tecmony gelten der CallGem-Softwarelizenz- und Servicevertrag, das Service Level Agreement (SLA) und das Limited Data Processing Protocol (DPA); diese Seite ist beschreibend für diese vertraglichen Verpflichtungen.

Jede Organisation ist dafür verantwortlich, ihren eigenen Mitarbeiteraufklärungstext, Prozess der ausdrücklichen Einwilligung und KVKK-Compliance-Dokumentation bezüglich der CallGem-Nutzung separat zu veröffentlichen.

14. Kontakt