Anwalt für Datenschutz (KVKK) in Istanbul, Türkei

Diese Seite richtet sich an Unternehmen in der Türkei und an ausländische Unternehmen, die Daten von Personen in der Türkei verarbeiten. Als Anwalt für Datenschutz in der Türkei führen wir KVKK-Gap-Analysen durch, entwerfen Datenschutzhinweise, Einwilligungstexte und Löschkonzepte, betreuen Datenübermittlungen ins Ausland, VERBİS und Datenschutzverletzungen und vertreten Mandanten vor der Datenschutzbehörde und den Gerichten.

Das türkische Datenschutzrecht ist im Gesetz Nr. 6698 zum Schutz personenbezogener Daten geregelt, bekannt als KVKK. Auf den ersten Blick ähnelt es der DSGVO. Die Einzelheiten unterscheiden sich jedoch, und genau in diesen Unterschieden liegen die meisten Compliance-Lücken.

Wann Sie in der Türkei einen Anwalt für KVKK-Compliance brauchen

Die Akten, die uns begegnen, beginnen meist in einer dieser Situationen:

• Sie gründen oder erwerben ein Unternehmen in der Türkei und müssen Daten von Beschäftigten, Kunden und Lieferanten vom ersten Tag an rechtmäßig verarbeiten, oder Sie möchten wissen, was Sie bei einem Anteilskauf übernehmen.
• Sie sind ein ausländisches Unternehmen mit türkischen Nutzern oder Kunden, etwa ein Onlineshop, eine App oder ein SaaS-Anbieter, und sind unsicher, ob das KVKK für Sie gilt.
• Ihre Unternehmensgruppe hält bereits die DSGVO ein und geht davon aus, dass dieselben Dokumente auch in der Türkei funktionieren. Manche tun es. Einige nicht.
• Sie übermitteln Daten ins Ausland, etwa an eine Muttergesellschaft, einen Cloud-Anbieter oder ein außerhalb der Türkei gehostetes CRM, und müssen diese Übermittlungen an die Regeln von 2024 anpassen.
• Etwas ist schiefgegangen: eine Datenschutzverletzung, eine Beschwerde eines Kunden oder Beschäftigten oder ein Schreiben der Behörde zum Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu).

Das KVKK enthält keine ausdrückliche Regelung zum räumlichen Anwendungsbereich wie Artikel 3 DSGVO. In der Praxis betrachtet der Datenschutzrat ausländische Verantwortliche, die Daten von Personen in der Türkei verarbeiten, jedoch als von ihm erfasst, und die Registervorschriften sehen vor, dass sich ausländische Verantwortliche über einen Vertreter in der Türkei registrieren.

Was das KVKK von einem Unternehmen verlangt

Verantwortlicher und Auftragsverarbeiter

Der Verantwortliche (veri sorumlusu) entscheidet, warum und wie personenbezogene Daten verarbeitet werden, und trägt die meisten Pflichten. Ein Auftragsverarbeiter (veri işleyen) verarbeitet Daten im Auftrag des Verantwortlichen, etwa ein Lohnabrechnungsdienstleister oder ein Hosting-Unternehmen. Nach Artikel 12 haften Verantwortlicher und Auftragsverarbeiter gemeinsam für die Ergreifung der Maßnahmen zur Datensicherheit. Ihre Verträge mit Auftragsverarbeitern sollten dies festhalten.

Eine Rechtsgrundlage für jede Verarbeitungstätigkeit

Artikel 5 erlaubt die Verarbeitung mit ausdrücklicher Einwilligung (açık rıza) oder aufgrund einer der anderen aufgeführten Voraussetzungen: ausdrücklich gesetzlich vorgesehene Verarbeitung, Vertragserfüllung, eine rechtliche Verpflichtung des Verantwortlichen, von der betroffenen Person öffentlich gemachte Daten, die Begründung, Ausübung oder Verteidigung eines Rechts und das berechtigte Interesse des Verantwortlichen. Die ausdrückliche Einwilligung muss sich auf einen bestimmten Fall beziehen, auf Information beruhen und freiwillig erteilt werden. Wenn eine andere Grundlage passt, ist sie die schwächste, weil sie jederzeit widerrufen werden kann.

Besondere Kategorien nach den Änderungen von 2024

Das Gesetz Nr. 7499, in Kraft seit dem 1. Juni 2024, hat Artikel 6 über besondere Kategorien personenbezogener Daten (özel nitelikli kişisel veriler) neu gefasst, zu denen Gesundheits-, biometrische und genetische Daten, Religion, Gewerkschaftszugehörigkeit und Vorstrafen gehören. Vor der Änderung konnten sich viele Arbeitgeber für diese Daten nur auf die ausdrückliche Einwilligung stützen. Der neue Text fügt Voraussetzungen hinzu, die Artikel 9 DSGVO näherkommen, etwa rechtliche Pflichten in den Bereichen Beschäftigung, Arbeitsschutz und soziale Sicherheit sowie die Verarbeitung zu Gesundheitszwecken durch Personen, die einer Schweigepflicht unterliegen. Die zusätzlichen Sicherheitsmaßnahmen des Datenschutzrats für besondere Kategorien gelten weiterhin.

Datenschutzhinweise und Datensicherheit

Artikel 10 verpflichtet Sie, die Betroffenen bei der Erhebung ihrer Daten zu informieren: wer der Verantwortliche ist, zu welchen Zwecken, an wen und warum Daten übermittelt werden, Methode und Rechtsgrundlage der Erhebung und ihre Rechte nach Artikel 11. Artikel 12 verlangt angemessene technische und organisatorische Maßnahmen. Verantwortliche, die zur Registrierung bei VERBİS verpflichtet sind, müssen außerdem eine Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten führen.

Übermittlung personenbezogener Daten ins Ausland nach den Änderungen von 2024

Die Reform von 2024 hat Artikel 9 am stärksten verändert. Die ausdrückliche Einwilligung ist nicht mehr der allgemeine Weg für Übermittlungen ins Ausland. Die Struktur ist nun gestuft:

1. Angemessenheitsbeschluss: Eine Übermittlung ist möglich, wenn der Datenschutzrat für das Land, den Sektor oder die internationale Organisation einen Angemessenheitsbeschluss (yeterlilik kararı) erlassen hat und eine der Voraussetzungen der Artikel 5 oder 6 vorliegt.
2. Geeignete Schutzmaßnahmen: Ohne Angemessenheitsbeschluss können Sie sich auf geeignete Schutzmaßnahmen stützen, etwa vom Datenschutzrat bekannt gemachte Standardverträge, vom Datenschutzrat genehmigte verbindliche interne Datenschutzvorschriften oder eine vom Datenschutzrat genehmigte schriftliche Verpflichtungserklärung.
3. Gelegentliche Übermittlungen: Liegt keines von beiden vor, gilt eine begrenzte Liste von Ausnahmen nur für gelegentliche, nicht wiederkehrende Übermittlungen.

Standardverträge müssen in der vom Datenschutzrat veröffentlichten Form verwendet und nach Artikel 9 Abs. 4 innerhalb von fünf Arbeitstagen nach Unterzeichnung der Behörde gemeldet werden. Das Versäumen dieser Meldung kann für sich allein zu einer Verwaltungsgeldbuße führen. In der Praxis laufen die meisten Übermittlungen an Konzerngesellschaften und ausländische Dienstleister derzeit über Standardverträge; prüfen Sie daher, welches Modul zu welcher Beziehung passt.

VERBİS-Registrierung und das Register der Verantwortlichen

VERBİS ist das von der Behörde geführte Online-Register der Verantwortlichen. Die Registrierung ist keine Formalität: Sie geben Ihre Verarbeitungszwecke, Datenkategorien, Empfängergruppen, Speicherfristen, Übermittlungen ins Ausland und Sicherheitsmaßnahmen an.

Der Datenschutzrat hat einige Verantwortliche nach Beschäftigtenzahl, jährlicher Bilanzsumme und Art der Tätigkeit von der Registrierung befreit. Diese Schwellenwerte und Kategorien werden durch Beschlüsse des Datenschutzrats festgelegt und haben sich im Laufe der Zeit geändert; prüfen Sie Ihre Lage daher auf der Website der Behörde, bevor Sie von einer Befreiung ausgehen. Ein ausländischer Verantwortlicher registriert sich über einen in der Türkei ansässigen Vertreter des Verantwortlichen (veri sorumlusu temsilcisi).

Datenschutzverletzungen, Betroffenenanfragen und der Datenschutzrat

Nach Artikel 12 muss ein Verantwortlicher die betroffene Person und den Datenschutzrat so schnell wie möglich benachrichtigen, wenn Daten unrechtmäßig erlangt wurden. Der hierzu ergangene Beschluss des Datenschutzrats sieht für die Meldung an den Datenschutzrat 72 Stunden ab Kenntnis der Verletzung vor, so wie die Regel allgemein angewandt wird. Die Betroffenen sind innerhalb einer angemessenen Frist zu informieren.

Betroffene können ihre Rechte nach Artikel 11 durch einen Antrag beim Verantwortlichen geltend machen. Artikel 13 gibt Ihnen höchstens 30 Tage für die Antwort, die in der Regel gebührenfrei ist. Wird die Antwort verweigert, ist sie unzureichend oder verspätet, kann sich die Person beim Datenschutzrat beschweren.

Artikel 18 sieht Verwaltungsgeldbußen bei Verstößen gegen die Informations-, Sicherheits-, Register- und Übermittlungsmeldepflichten sowie bei Nichtbefolgung von Beschlüssen des Datenschutzrats vor. Die Beträge werden jedes Jahr neu bewertet; prüfen Sie daher bei der Risikoeinschätzung die aktuellen Zahlen. Seit der Änderung von 2024 werden Bußgelder des Datenschutzrats vor den Verwaltungsgerichten angefochten, grundsätzlich innerhalb von 60 Tagen ab Zustellung. Manche unrechtmäßige Verarbeitung ist zudem nach dem türkischen Strafgesetzbuch strafbar.

KVKK und DSGVO: die Unterschiede, auf die es ankommt

Ein DSGVO-Programm ist ein guter Ausgangspunkt. Es braucht aber trotzdem türkischsprachige Hinweise, VERBİS, türkische Übermittlungsinstrumente und türkische Speicherfristen.

Ein KVKK-Compliance-Programm Schritt für Schritt aufbauen

1. Auftakt und Umfang: Wir bestimmen die einbezogenen Gesellschaften, Abteilungen, Systeme und Datenflüsse.
2. Dateninventar: Interviews und Fragebögen mit Personal, Vertrieb, Marketing, IT und Finanzen, um jede Verarbeitungstätigkeit, ihre Rechtsgrundlage und ihre Speicherfrist zu erfassen.
3. Bericht zur Gap-Analyse: eine schriftliche, nach Risiko geordnete Liste der Lücken mit der jeweiligen Abhilfe.
4. Dokumente: Datenschutzhinweise, Einwilligungstexte dort, wo eine Einwilligung wirklich nötig ist, eine Richtlinie zur Aufbewahrung und Vernichtung, Auftragsverarbeitungsverträge und Übermittlungsverträge.
5. Registrierung und Meldungen: VERBİS-Einträge und Meldung der Standardverträge an die Behörde.
6. Verfahren für Verletzungen und Anfragen: ein internes Verfahren für Datenschutzverletzungen und Betroffenenanfragen, mit Schulung der Personen, die es anwenden werden.

Für ein kleines oder mittleres Unternehmen mit klarer Struktur dauern die ersten fünf Schritte in der Regel etwa vier bis zehn Wochen. Bei einer Gruppe mit mehreren Gesellschaften und vielen ausländischen Dienstleistern kann es länger dauern. Unsere rechtliche Checkliste zur KVKK-Compliance behandelt dieselben Themen in kürzerer Form.

Unterlagen und Informationen, die wir anfordern

• Gesellschaftsunterlagen, Organigramm und die Liste der Konzerngesellschaften.
• Aktuelle Datenschutzhinweise, Einwilligungsformulare, Website- und Cookie-Texte sowie Ihre Datenschutzrichtlinie.
• Arbeitsverträge, Personalformulare und etwaige Videoüberwachungs-, Zutrittskontroll- oder Überwachungssysteme.
• Verträge mit Dienstleistern, die personenbezogene Daten berühren, einschließlich Cloud- und IT-Anbietern.
• Wo Daten gespeichert werden und in welche Länder sie gelangen.
• Ihre IT-Sicherheitsrichtlinien und etwaige frühere Vorfälle oder Beschwerden.

Wenn Sie Ihre Datenschutzrichtlinie von Grund auf neu verfassen, ist unser Leitfaden dazu, was in die Datenschutzrichtlinie Ihres Unternehmens gehört, eine nützliche erste Lektüre.

Was unsere Kanzlei tut

• Prüfung: KVKK-Gap-Analyse, Dateninventar und ein schriftlicher Risikobericht.
• Entwürfe: Datenschutzhinweise (aydınlatma metinleri), Texte für die ausdrückliche Einwilligung, Richtlinien zur Aufbewahrung und Vernichtung, Auftragsverarbeitungsverträge, Datenübermittlungsverträge und interne Verfahren.
• Einreichungen: VERBİS-Registrierung und Aktualisierungen sowie Meldung von Standardverträgen an die Behörde.
• Reaktion auf Verletzungen: Bewertung des Vorfalls, Meldung an den Datenschutzrat und Mitteilung an die Betroffenen.
• Vertretung: Antworten auf Anfragen und Beschwerden beim Datenschutzrat sowie Klagen gegen Beschlüsse und Bußgelder des Datenschutzrats vor den Verwaltungsgerichten.
• Nachbetreuung: Aktualisierungen, wenn sich das Gesetz, die Beschlüsse des Datenschutzrats oder Ihre Verarbeitung ändern.

Mandanten im Ausland müssen nicht anreisen. Wir arbeiten aus der Ferne und, soweit Einreichungen oder Gerichtsverfahren es erfordern, auf Grundlage einer Vollmacht, die vor einem türkischen Notar oder Konsulat oder im Ausland mit Apostille unterzeichnet wird. Verwandte Arbeiten für Ihr Unternehmen fallen unter unsere Leistungen im IT-Recht und im Handelsrecht. Um Ihre Lage zu besprechen, kontaktieren Sie unser Büro.

Häufige Fehler bei der KVKK-Compliance

• Für alles eine Einwilligung einholen. Beruht die Verarbeitung auf einem Vertrag oder einer rechtlichen Verpflichtung, schafft eine zusätzliche Einwilligung Verwirrung und ein Problem, wenn sie widerrufen wird. Wählen Sie für jede Tätigkeit die richtige Grundlage.
• Hinweis und Einwilligung zusammenlegen. Der Datenschutzrat erwartet, dass sie getrennt sind. Ein einziges Kästchen „Ich habe gelesen und akzeptiere“ genügt meist keinem von beiden.
• DSGVO-Texte kopieren. Ein übersetzter EU-Hinweis verfehlt oft die Punkte des Artikels 10 oder nennt DSGVO-Grundlagen, die es im KVKK nicht gibt.
• Die Fünftagesmeldung vergessen. Wer einen Standardvertrag unterzeichnet und einfach ablegt, lässt die Übermittlung ungeschützt.
• Kein Plan für Datenschutzverletzungen. In unserer Praxis sind die belastendsten Verletzungsfälle diejenigen, in denen niemand weiß, wer über die Meldung entscheidet, und die 72 Stunden ablaufen, während alle nach einer Richtlinie suchen.

Mehr zu den Risiken für Unternehmen finden Sie in unseren Beiträgen zu Datenschutzpflichten und Haftung von Unternehmen, zum rechtlichen Umgang mit Datenschutzverletzungen und zu den wichtigsten Punkten des türkischen KVKK.

Häufig gestellte Fragen

Gilt das KVKK für ein ausländisches Unternehmen ohne Büro in der Türkei?

Das ist möglich. Das KVKK hat keine ausdrückliche Regelung zum räumlichen Anwendungsbereich, der Datenschutzrat wendet es in der Praxis aber auf ausländische Verantwortliche an, die Daten von Personen in der Türkei verarbeiten, etwa durch Online-Verkäufe an türkische Kunden. Die Registervorschriften sehen zudem vor, dass sich ausländische Verantwortliche über einen Vertreter in der Türkei registrieren.

Genügt die Einhaltung der DSGVO für das KVKK?

Für sich allein nicht. Sie deckt einen Großteil der Substanz ab, das KVKK hat aber eigene Inhalte für die Hinweise, das VERBİS-Register, türkische Übermittlungsinstrumente mit Meldepflicht und kein Recht auf Datenübertragbarkeit. Rechnen Sie mit einer Anpassung, nicht mit einem Neuanfang.

Brauchen wir eine ausdrückliche Einwilligung, um Daten an unsere Muttergesellschaft im Ausland zu übermitteln?

Seit den Änderungen von 2024 grundsätzlich nicht. Übermittlungen ins Ausland stützen sich nun auf einen Angemessenheitsbeschluss oder auf geeignete Schutzmaßnahmen wie die Standardverträge des Datenschutzrats, die der Behörde innerhalb von fünf Arbeitstagen gemeldet werden müssen. Die Einwilligung bleibt nur unter den engen Ausnahmen für gelegentliche Übermittlungen.

Muss sich jedes Unternehmen bei VERBİS registrieren?

Nein. Der Datenschutzrat hat bestimmte Verantwortliche nach Beschäftigtenzahl, jährlicher Bilanzsumme und Art der Tätigkeit befreit. Die Kriterien werden durch Beschlüsse des Datenschutzrats festgelegt und können sich ändern; prüfen Sie daher den aktuellen Beschluss auf der Website der Behörde.

Wie schnell müssen wir eine Datenschutzverletzung melden?

Das KVKK sagt „so schnell wie möglich“. Nach dem Beschluss des Datenschutzrats sollte der Datenschutzrat grundsätzlich innerhalb von 72 Stunden ab Kenntnis der Verletzung benachrichtigt werden, die Betroffenen danach innerhalb einer angemessenen Frist.

Wie viel Zeit haben wir für die Antwort auf eine Betroffenenanfrage?

Artikel 13 sieht höchstens 30 Tage ab Eingang vor, und die Antwort ist in der Regel gebührenfrei. Eine verweigerte, unvollständige oder verspätete Antwort kann zu einer Beschwerde beim Datenschutzrat führen.

Kann ein KVKK-Bußgeld angefochten werden?

Ja. Seit der Änderung von 2024 werden vom Datenschutzrat verhängte Verwaltungsgeldbußen vor den Verwaltungsgerichten angefochten, grundsätzlich innerhalb von 60 Tagen ab Zustellung. Die Bußgeldbeträge nach Artikel 18 werden jedes Jahr neu bewertet.

Brauchen wir in der Türkei einen Datenschutzbeauftragten?

Das KVKK verlangt keinen Datenschutzbeauftragten nach dem Vorbild der DSGVO. Verantwortliche, die sich bei VERBİS registrieren, benennen eine Kontaktperson, und ausländische Verantwortliche bestellen einen Vertreter des Verantwortlichen in der Türkei.