Datenschutzrecht in der Türkei (KVKK)

Das Gesetz zum Schutz personenbezogener Daten Nr. 6698 („Kişisel Verilerin Korunması Kanunu" – KVKK) ist seit 2016 das zentrale Regelwerk des türkischen Datenschutzrechts. Es wurde nach dem Vorbild der EU-Datenschutzrichtlinie konzipiert und mit der Reform vom März 2024 in wesentlichen Punkten – insbesondere bei besonderen Datenkategorien und der Auslandsübermittlung – an die Datenschutz-Grundverordnung (DSGVO) angenähert. Für ausländische Unternehmen mit Tochtergesellschaften, Kunden oder Datenverarbeitungen in der Türkei ist die KVKK-Compliance eine eigenständige Pflicht: DSGVO-Konformität allein genügt nicht, da die türkischen Regeln in Verfahren, Registerpflichten und Sanktionen eigene Wege gehen.

Inhaltsübersicht

• Für wen gilt die KVKK?
• Welche Grundsätze und Rechtsgrundlagen gelten?
• Was gilt für besondere Kategorien personenbezogener Daten?
• Welche Pflichten treffen den Verantwortlichen?
• Was ist VERBİS und wer muss sich registrieren?
• Wie ist die Auslandsübermittlung geregelt?
• Welche Rechte haben die Betroffenen?
• Welche Sanktionen drohen und wie funktioniert der Rechtsschutz?
• Welche Schwerpunkte setzt die aktuelle Behördenpraxis?
• Worin unterscheiden sich KVKK und DSGVO?
• Wie sieht der Compliance-Fahrplan für den Türkei-Einstieg aus?
• Wie beurteilt der Kassationshof mitarbeiterbedingte KVKK-Verstöße?
• Fazit

Für wen gilt die KVKK?

Die KVKK gilt für natürliche und juristische Personen, die personenbezogene Daten ganz oder teilweise automatisiert oder als Teil eines Dateisystems verarbeiten. Eine ausdrückliche extraterritoriale Anwendungsregel nach Art der DSGVO enthält das Gesetz nicht; die Datenschutzbehörde wendet es jedoch in ständiger Praxis auch auf ausländische Unternehmen an, deren Datenverarbeitung sich auf Personen in der Türkei auswirkt – mehrere internationale Konzerne wurden bereits mit Bußgeldern belegt. Ausländische Gruppen sollten ihre Türkei-Berührungspunkte – lokale Gesellschaften, Websites mit türkischer Ausrichtung, zentrale HR- und CRM-Systeme – daher aktiv auf KVKK-Pflichten prüfen.

Welche Grundsätze und Rechtsgrundlagen gelten?

Jede Verarbeitung muss den allgemeinen Grundsätzen genügen: Rechtmäßigkeit und Treu und Glauben, Richtigkeit und Aktualität, Zweckbindung, Erforderlichkeit und Verhältnismäßigkeit sowie begrenzte Speicherdauer. Zulässig ist die Verarbeitung nur bei Vorliegen einer Rechtsgrundlage – neben der ausdrücklichen Einwilligung insbesondere: gesetzliche Vorsehung, Erforderlichkeit für den Abschluss oder die Erfüllung eines Vertrags, rechtliche Verpflichtung des Verantwortlichen, eigene Veröffentlichung durch die betroffene Person, Erforderlichkeit zur Begründung oder Verteidigung von Rechten sowie das berechtigte Interesse des Verantwortlichen, sofern die Grundrechte der betroffenen Person nicht überwiegen. Die Einwilligung muss informiert und freiwillig sein; sie darf nicht zur Bedingung für Leistungen gemacht werden, die auch ohne sie erbracht werden könnten, und ist gegenüber den gesetzlichen Erlaubnistatbeständen subsidiär einzusetzen.

Was gilt für besondere Kategorien personenbezogener Daten?

Besondere Kategorien – Rasse und ethnische Herkunft, politische Meinung, Religion, Mitgliedschaften, Gesundheits- und Sexualdaten, strafrechtliche Daten sowie biometrische und genetische Daten – unterliegen verschärften Anforderungen. Die Reform von 2024 hat den zuvor sehr engen Katalog der Rechtsgrundlagen erweitert: Zulässig ist die Verarbeitung nunmehr unter anderem bei ausdrücklicher Einwilligung, gesetzlicher Vorsehung, zum Schutz lebenswichtiger Interessen, für Zwecke der Beschäftigung, des Arbeitsschutzes und der sozialen Sicherheit, im Gesundheitsbereich durch schweigepflichtige Stellen sowie durch Vereinigungen in Bezug auf ihre Mitglieder. Zusätzlich sind die vom Datenschutzausschuss festgelegten besonderen Sicherheitsmaßnahmen zu treffen. Für Unternehmen besonders relevant sind Gesundheitsdaten im Personalbereich und biometrische Zugangssysteme, die die Behörde nur bei strenger Erforderlichkeit akzeptiert.

Welche Pflichten treffen den Verantwortlichen?

• Aufklärungspflicht: Betroffene sind bei der Erhebung über den Verantwortlichen, die Zwecke, die Empfänger, die Erhebungsmethode und Rechtsgrundlage sowie ihre Rechte zu informieren – der türkische Pflichtenkatalog ist eigenständig; DSGVO-Datenschutzhinweise können nicht unverändert übernommen werden.
• Datensicherheit: Angemessene technische und organisatorische Maßnahmen, Verträge mit Auftragsverarbeitern, Zugriffskonzepte, Protokollierung und Schulungen.
• Meldung von Datenschutzverletzungen: Verstöße sind der Behörde unverzüglich – nach der Ausschusspraxis binnen 72 Stunden – sowie den Betroffenen mitzuteilen.
• Lösch- und Vernichtungsmanagement: Daten sind nach Wegfall des Zwecks zu löschen, zu vernichten oder zu anonymisieren; registrierungspflichtige Verantwortliche benötigen eine Speicher- und Vernichtungsrichtlinie mit periodischen Löschläufen.
• Rechenschaft und Dokumentation: Verarbeitungsinventar, Richtlinien und Einwilligungsnachweise bilden die Verteidigungslinie bei Prüfungen.

Was ist VERBİS und wer muss sich registrieren?

VERBİS ist das öffentliche Register der Datenverantwortlichen. Registrierungspflichtig sind – nach Maßgabe der vom Ausschuss festgelegten Schwellen und Ausnahmen – insbesondere Unternehmen ab einer bestimmten Mitarbeiterzahl oder Bilanzsumme, Verarbeiter besonderer Datenkategorien als Haupttätigkeit sowie ausländische Verantwortliche, die Daten von Personen in der Türkei verarbeiten. Ausländische Unternehmen müssen für die Registrierung einen Vertreter in der Türkei benennen. Die Registrierung umfasst die Meldung der Verarbeitungszwecke, Datenkategorien, Empfängergruppen, Übermittlungen und Speicherfristen auf Grundlage eines internen Verarbeitungsinventars. Die Verletzung der Registrierungspflicht ist mit empfindlichen Bußgeldern bedroht und für die Behörde leicht festzustellen – sie ist in der Praxis eine der häufigsten Sanktionsgrundlagen gegen ausländische Unternehmen.

Wie ist die Auslandsübermittlung geregelt?

Die Reform von 2024 hat das zuvor faktisch blockierte Übermittlungsregime neu geordnet und der DSGVO-Systematik angenähert. Übermittlungen ins Ausland sind zulässig auf Grundlage eines Angemessenheitsbeschlusses des Ausschusses für das Zielland, den Sektor oder die internationale Organisation; fehlt ein solcher, auf Grundlage geeigneter Garantien – praktisch vor allem der vom Ausschuss veröffentlichten Standardvertragsklauseln, die binnen fünf Werktagen nach Unterzeichnung der Behörde anzumelden sind, sowie genehmigter verbindlicher Unternehmensregelungen für Konzerne. In Ausnahmefällen bleibt eine gelegentliche Übermittlung – etwa mit ausdrücklicher Einwilligung oder zur Vertragserfüllung – möglich. Internationale Unternehmen sollten ihre Übermittlungslandkarte (Cloud-Dienste, zentrale IT-Systeme, Konzernreporting) erfassen und auf die neuen Instrumente umstellen; die versäumte Anmeldung der Standardvertragsklauseln ist eigenständig bußgeldbewehrt.

Welche Rechte haben die Betroffenen?

Betroffene können vom Verantwortlichen insbesondere Auskunft über die Verarbeitung, Berichtigung, Löschung und die Benachrichtigung von Empfängern verlangen sowie der ausschließlich automatisierten Analyse zu ihren Lasten widersprechen und Schadensersatz fordern. Anträge sind kostenfrei zu stellen und grundsätzlich innerhalb von 30 Tagen zu beantworten. Bleibt der Antrag erfolglos, kann sich die betroffene Person mit einer Beschwerde an die Datenschutzbehörde wenden. Für Unternehmen empfiehlt sich ein dokumentierter Prozess für Betroffenenanträge mit Identitätsprüfung, Fristenkontrolle und abgestimmten Antwortmustern.

Welche Sanktionen drohen und wie funktioniert der Rechtsschutz?

Aufsichtsbehörde ist die Datenschutzbehörde („Kişisel Verileri Koruma Kurumu") mit dem entscheidungsbefugten Ausschuss („Kurul"). Sie führt Prüfungen von Amts wegen und auf Beschwerde durch, veröffentlicht Leitlinien und verhängt Verwaltungsgeldbußen, deren Rahmen jährlich indexiert werden und – etwa bei Verstößen gegen Datensicherheits- und Registrierungspflichten – Millionenhöhe in Lira erreichen. Daneben bestehen Straftatbestände des türkischen Strafgesetzbuchs für die rechtswidrige Aufzeichnung, Weitergabe und Nichtlöschung von Daten. Gegen Entscheidungen des Ausschusses ist seit der Reform 2024 der Verwaltungsrechtsweg eröffnet. Zivilrechtlich kommen Schadensersatz- und Schmerzensgeldansprüche der Betroffenen hinzu.

Welche Schwerpunkte setzt die aktuelle Behördenpraxis?

Die Entscheidungspraxis des Ausschusses setzt erkennbare Schwerpunkte, an denen sich Compliance-Programme orientieren sollten: Cookies und Online-Tracking werden nach der einschlägigen Leitlinie an Einwilligungs- und Informationspflichten gemessen; biometrische Zugangs- und Zeiterfassungssysteme werden nur bei strenger Erforderlichkeit akzeptiert und waren mehrfach Gegenstand von Sanktionen; unverlangte Werbenachrichten und die Weitergabe von Kundendaten an Dritte gehören zu den häufigsten Beschwerdegegenständen. International tätige Konzerne wurden wiederholt wegen versäumter VERBİS-Registrierung und wegen Auslandsübermittlungen ohne taugliches Instrument belegt; auch die verspätete oder unterlassene Meldung von Datenpannen wird konsequent geahndet. Die veröffentlichten Ausschussentscheidungen sind damit eine wertvolle – und kostenlose – Risikolandkarte für die eigene Priorisierung.

Worin unterscheiden sich KVKK und DSGVO?

• VERBİS-Registrierung mit Türkei-Vertreter hat kein DSGVO-Pendant und wird häufig übersehen.
• Die Aufklärungspflicht folgt eigenen inhaltlichen Vorgaben; Datenschutzhinweise müssen lokalisiert werden.
• Bußgelder knüpfen an feste, indexierte Rahmen und nicht an den Konzernumsatz an; die Beträge liegen niedriger, treffen aber schneller.
• Einzelne DSGVO-Institute – etwa Datenschutz-Folgenabschätzung und Datenschutzbeauftragter – sind nicht als förmliche Pflichten übernommen, funktional aber über die Rechenschafts- und Sicherheitspflichten abgedeckt.
• Die Auslandsübermittlung verlangt trotz Annäherung eigene türkische Instrumente – EU-Standardvertragsklauseln ersetzen die türkischen nicht.

Wie sieht der Compliance-Fahrplan für den Türkei-Einstieg aus?

• Bestandsaufnahme: Datenflüsse mit Türkei-Bezug kartieren – lokale Gesellschaft, Website, HR-, CRM- und Cloud-Systeme, Konzernreporting.
• Verarbeitungsinventar erstellen und VERBİS-Pflicht prüfen; bei ausländischen Verantwortlichen Türkei-Vertreter benennen und registrieren.
• Aufklärungstexte und Einwilligungen lokalisieren – nicht übersetzen, sondern an den türkischen Pflichtenkatalog anpassen.
• Auslandsübermittlungen auf Standardvertragsklauseln oder verbindliche Unternehmensregelungen umstellen und die Anmeldefrist von fünf Werktagen prozessual absichern.
• Lösch- und Vernichtungsrichtlinie, Betroffenenantrags-Prozess (30-Tage-Frist) und Datenpannen-Meldeweg (72 Stunden) implementieren.
• Auftragsverarbeiterverträge und HR-Prozesse (Bewerbung, Überwachung, Gesundheitsdaten) KVKK-fest machen; Schulungen dokumentieren.
• Jährlicher Review anhand der aktuellen Ausschussentscheidungen und Leitlinien.

Wie beurteilt der Kassationshof mitarbeiterbedingte KVKK-Verstöße?

Datenschutzverstöße gehen in der Praxis keineswegs immer auf unmittelbares Handeln der Unternehmensleitung zurück: Auch Unachtsamkeit, unzureichende Schulung oder Verfahrensverstöße von Mitarbeitern im Tagesgeschäft können gravierende Datenpannen auslösen. Das ändert jedoch nichts an der verwaltungsrechtlichen Verantwortlichkeit des Unternehmens als Verantwortlicher nach dem Gesetz Nr. 6698: Auch wenn ein Mitarbeiter den Verstoß begangen hat, richten sich die Sanktionen der Datenschutzbehörde in aller Regel unmittelbar gegen das Unternehmen. Unternehmen müssen deshalb nicht nur technische Sicherheitsmaßnahmen treffen, sondern ihre Mitarbeiter zu einem Teil der Datenschutzkultur machen.

Aufschlussreich ist insoweit das Urteil des Kassationshofs (9. Zivilkammer, Urteil vom 20.01.2025, E. 2024/13450, K. 2025/700): Ein Mitarbeiter eines Finanzunternehmens hatte versehentlich den Kontoauszug eines anderen Kunden erstellt und an die betreffende Abteilung übermittelt; der Arbeitgeber kündigte daraufhin das Arbeitsverhältnis unter dem Sozialversicherungs-Austrittscode 49 (fristlose Kündigung wegen pflichtwidrigen Verhaltens). Im Prozess konnte der Arbeitgeber jedoch nicht nachweisen, dass der Mitarbeiter die Datensicherheitsregeln vorsätzlich verletzt hatte, zuvor abgemahnt worden war oder sich trotz Ermahnung beharrlich geweigert hatte, seine Pflichten zu erfüllen. Erstgericht, Berufungsgericht und schließlich der Kassationshof entschieden deshalb, dass die Kündigung nicht unter Code 49 fallen konnte und der Austrittscode zu berichtigen war.

Das Urteil zeigt: Nicht jeder Fehler, der zu einer Datenpanne führt, trägt für sich genommen eine fristlose Kündigung. Der Arbeitgeber muss vielmehr mit konkreten Beweisen belegen, dass er die erforderlichen Schulungen erteilt, die Datensicherheitsregeln klar kommuniziert und die nötigen Ermahnungen ausgesprochen hat – und dass der Mitarbeiter sich dennoch beharrlich verweigert hat. Dokumentierte interne KVKK-Prozesse sind damit nicht nur datenschutzrechtlich, sondern auch in arbeitsrechtlichen Streitigkeiten entscheidend.

Zugleich macht die Entscheidung eine unbequeme Wahrheit sichtbar: Bußgelder, Schadensersatzforderungen und Reputationsschäden aus mitarbeiterbedingten Datenpannen treffen überwiegend das Unternehmen. KVKK-Compliance darf sich deshalb nicht in Informationstexten und VERBİS-Eintragungen erschöpfen, sondern braucht Mitarbeiterschulungen, schriftliche interne Verfahren, Datensicherheitsrichtlinien und datenschutzbezogene Klauseln in den Arbeitsverträgen; die regelmäßige Durchführung und Dokumentation der Schulungen ist zugleich ein wichtiger Baustein der Rechenschaftspflicht.

In unseren KVKK-Compliance-Projekten beschränken wir uns dementsprechend nicht auf Informationstexte und die Gestaltung der Verarbeitungsprozesse: Wir entwickeln rollenbezogene KVKK-Schulungen, Vertraulichkeits- und Datenschutzverpflichtungen, arbeitsvertragliche Datenschutzklauseln und zusätzliche Sensibilisierungsprogramme für Personal, das mit Kundendaten, Finanzdaten oder besonderen Datenkategorien arbeitet. Dieser ganzheitliche Ansatz senkt das Risiko von Datenpannen erheblich – und versetzt Unternehmen in die Lage, im Streitfall den Nachweis der erforderlichen technischen und organisatorischen Maßnahmen zu führen.

Fazit

Die KVKK ist nach der Reform von 2024 moderner und praxistauglicher geworden, bleibt aber ein eigenständiges Regelwerk mit eigenen Registrierungs-, Informations- und Übermittlungspflichten. Für internationale Unternehmen bedeutet das: Die DSGVO-Compliance liefert die Grundlage, ersetzt die türkische Umsetzung aber nicht – erforderlich sind lokalisierte Aufklärungstexte, die Prüfung der VERBİS-Pflicht samt Vertreterbenennung und die Umstellung der Datenströme auf die neuen Übermittlungsinstrumente.

Da die Behörde aktiv prüft und auch ausländische Unternehmen sanktioniert, sollte die Türkei in globalen Datenschutzprogrammen als eigener Compliance-Baustein geführt und regelmäßig an die dynamische Ausschusspraxis angepasst werden.

Das IP/IT-Team von GEMS Schindhelm berät Unternehmen bei der KVKK-Compliance – von der Bestandsaufnahme über VERBİS-Registrierung, Aufklärungstexte und Übermittlungsinstrumente bis zur Vertretung in Verfahren vor der Datenschutzbehörde.