Beschluss 2026/1183 des Ausschusses zum Schutz personenbezogener Daten und öffentliche Bekanntmachung vom 21.07.2026 zur Nutzung von Kontaktdaten Dritter für Werbe- und Marketingzwecke Gibt ein Kunde oder „Markenbotschafter“ dem Unternehmen die Telefonnummer eines Bekannten, ist das allein keine Rechtsgrundlage dafür, diese Person anzurufen oder ihr Werbe-SMS zu senden. Auch wenn die Person beim ersten Anruf zuhört, Fragen stellt oder das Gespräch nicht beendet, liegt darin keine wirksame ausdrückliche Einwilligung. Unerlaubte SMS und Werbeanrufe sind nicht nur nach den Regeln über kommerzielle elektronische Nachrichten riskant. Schon die Beschaffung und Nutzung der Telefonnummer kann Sanktionen nach dem türkischen Datenschutzgesetz Nr. 6698 („KVKK“) auslösen. Der Ausschuss zum Schutz personenbezogener Daten („Ausschuss“) prüfte im Beschluss vom 10.06.2026 mit der Nr. 2026/1183 das „Markenbotschafter“-Programm einer Sparfinanzierungsgesellschaft. Das Unternehmen hatte über seine Kunden Telefonnummern Dritter erlangt und für Werbung und Marketing genutzt. Der Ausschuss traf drei Feststellungen: Die Telefonnummer war ohne gültige Verarbeitungsgrundlage gespeichert worden. Über diese Nummer wurden ein Werbeanruf und ein SMS-Versand durchgeführt. Die Fortsetzung des Gesprächs galt nicht als wirksame ausdrückliche Einwilligung. Im Ergebnis verhängte der Ausschuss ein Bußgeld von TRY 1.000.000. Die rund sechs Wochen später veröffentlichte öffentliche Bekanntmachung vom 21.07.2026 beschränkte diesen Ansatz nicht auf Markenbotschafter-Programme. Sie enthält eine allgemeine Warnung für alle Branchen: Kontaktdaten, die über Referenzen, Empfehlungen, Bekanntenhinweise oder Kundenvorschläge von Dritten erlangt werden, dürfen nicht ohne Weiteres genutzt werden. In diesem Beitrag behandeln wir: das Markenbotschafter-Modell, das dem KVKK-Beschluss 2026/1183 zugrunde lag,die Maßstäbe für eine wirksame ausdrückliche Einwilligung bei unerlaubten SMS und Werbeanrufen,den Zeitpunkt der Informationspflicht bei von Dritten erlangten Kontaktdaten,den Unterschied zwischen der Einwilligung im zentralen Nachrichtensystem İYS (İleti Yönetim Sistemi) und der Verarbeitungsgrundlage nach dem KVKK sowiepraktikable Compliance-Schritte für Kundenempfehlungsprogramme Was war der Sachverhalt des KVKK-Beschlusses 2026/1183? Kunden der Sparfinanzierungsgesellschaft übermittelten dem Unternehmen über eine mobile App die Telefonnummern von Bekannten, die sich möglicherweise für das Sparfinanzierungssystem interessieren könnten. Für diese Vermittlung erhielten die „Markenbotschafter“ eine Prämie. Auch die Telefonnummer des Beschwerdeführers gelangte auf diesem Weg in das System. Anschließend rief ihn das Callcenter an, und er erhielt eine SMS mit Kampagneninhalt. Das Unternehmen machte in seiner Verteidigung geltend: Beim ersten Anruf sei informiert worden, und die betroffene Person habe durch ihren Wunsch nach weiteren Informationen eingewilligt. Sie habe während des Gesprächs Fragen zur Kampagne gestellt. Die SMS habe eine einfache Abmeldemöglichkeit enthalten. Nach dem Antrag der Person seien die Daten gelöscht und der Versand gestoppt worden. Der Ausschuss bewertete die Gesprächsaufzeichnung anders. Nach der Beschlusszusammenfassung war die Telefonnummer vor jeder Kontaktaufnahme durch einen Dritten in das System eingetragen worden. Beim ersten Anruf wurde die Person weder informiert noch auf einen Informationskanal verwiesen; stattdessen wurde die Kampagnenpräsentation fortgesetzt. Dass die betroffene Person das Gespräch fortführte und Interesse zeigte, galt nicht als ausdrückliche Willenserklärung zur Verarbeitung ihrer Daten, sondern allenfalls als stillschweigendes Interesse am Kampagneninhalt. Zudem war die Person nicht darüber informiert worden, dass das Gespräch aufgezeichnet wurde. Verteidigungen, die der Ausschuss bei unerlaubten SMS und Werbeanrufen verworfen hat Verteidigung des VerantwortlichenPosition des Ausschusses„Unser Kunde hat uns die Nummer gegeben; die Person wollte Informationen.“Die Erklärung eines Dritten schafft weder eine gültige Verarbeitungsgrundlage noch eine ausdrückliche Einwilligung für die betroffene Person.„Die Person hat das Gespräch fortgesetzt und Fragen gestellt.“Interesse an einer Kampagne oder das Nichtbeenden eines Gesprächs ist keine spezifische und informierte ausdrückliche Einwilligung in die Verarbeitung personenbezogener Daten.„Die SMS enthielt eine Abmeldemöglichkeit.“Die Abmeldemöglichkeit ersetzt nicht die anfängliche Rechtsgrundlage. Ein nachträgliches Widerspruchsrecht (Opt-out) schafft nicht rückwirkend die von Anfang an erforderliche Zustimmung (Opt-in).„Nach dem Antrag haben wir die Daten gelöscht und den Versand gestoppt.“Nachträgliches Löschen und Sperren ist ein richtiger Abhilfeschritt; es beseitigt aber nicht die frühere Verarbeitung ohne Rechtsgrundlage. Wie ergänzt die Bekanntmachung zu Daten aus Drittquellen den Beschluss? Der Beschluss datiert vom 10.06.2026, die öffentliche Bekanntmachung vom 21.07.2026. Diese Chronologie zeigt, dass die Bekanntmachung den Ansatz des Einzelfalls verallgemeinert. Die Datenschutzbehörde hat in der Bekanntmachung klargestellt: Werden Telefonnummern, E-Mail-Adressen und ähnliche Kontaktdaten über Referenzen, Empfehlungen, Markenbotschafter, Bekanntenhinweise oder Kundenvorschläge von Dritten erlangt, gibt das dem Verantwortlichen keine unmittelbare Befugnis zur Verarbeitung für Werbe- und Marketingzwecke. Der Ausschuss sagt allerdings nicht, dass jede Datenverarbeitung zu Werbe- und Marketingzwecken ausnahmslos eine ausdrückliche Einwilligung erfordert. Ob eine der übrigen Verarbeitungsgrundlagen des KVKK vorliegt, ist in jedem Einzelfall gesondert zu prüfen. In manchen Modellen besteht jedoch keine Vorbeziehung zur betroffenen Person; die Person hat sich nicht an das Unternehmen gewandt, und ihre Kontaktdaten wurden allein von einem belohnten Vermittler in das System eingetragen. In solchen Kaltakquise-Modellen ist es sehr riskant, sich auf andere Rechtsgrundlagen als die ausdrückliche Einwilligung zu stützen, allen voran auf das „berechtigte Interesse“. Im konkreten Fall kam der Ausschuss zu dem Ergebnis, dass keine gültige Verarbeitungsgrundlage vorlag. Wichtige Unterscheidung: Das Kommuniqué zur Informationspflicht erlaubt bei Daten aus Drittquellen eine „Information bei der ersten Kontaktaufnahme“. Das macht den ersten Kontakt aber nicht automatisch rechtmäßig. Die Regelung bestimmt nur den Zeitpunkt der Information; sie schafft nicht die Rechtsgrundlage, die für das Speichern der Telefonnummer und die Kontaktaufnahme erforderlich ist. Sechs Lehren aus dem Beschluss für unerlaubte SMS und Anrufe Die Datenverarbeitung beginnt vor dem ersten Anruf Schon das Eintragen der Telefonnummer durch den Markenbotschafter in die App und ihre Speicherung im Unternehmenssystem ist eine eigenständige Datenverarbeitung. Der Ansatz „erst anrufen, die Einwilligung holen wir im Gespräch ein“ heilt daher nicht rückwirkend die fehlende Rechtsgrundlage für die frühere Speicherung der Nummer und den ersten Anruf. Information ersetzt keine Verarbeitungsgrundlage Informationspflicht und Verarbeitungsgrundlage sind zwei getrennte rechtliche Anforderungen. Selbst ein vollständiger Informationstext macht die Verarbeitung nicht rechtmäßig, wenn keine Verarbeitungsgrundlage nach dem KVKK vorliegt. Bezeichnend ist, dass der Ausschuss deshalb keine gesonderte Maßnahme wegen der Informationspflicht traf: Der Kernverstoß lag darin, dass die Daten von Anfang an ohne gültige Verarbeitungsgrundlage verarbeitet wurden. Die ausdrückliche Einwilligung muss aktiv, spezifisch und informiert sein Einer Kampagne zuzuhören, Fragen zu stellen, das Gespräch nicht zu beenden oder die Abmeldeoption nicht zu nutzen bedeutet keine ausdrückliche Einwilligung in die Datenverarbeitung. Eine wirksame ausdrückliche Einwilligung setzt voraus, dass die Person vorab weiß, welche Daten zu welchen Zwecken und mit welchen Folgen verarbeitet werden, und dass sie hierzu eine eindeutige, auf diese Verarbeitung bezogene positive Erklärung abgibt. Information und Einholung der Einwilligung sind zudem getrennt durchzuführen. Die Abmeldemöglichkeit heilt den anfänglichen Rechtsverstoß nicht Ein Abmeldelink oder Widerspruchscode in der SMS ist wichtig, damit die Person die Kommunikation leicht stoppen kann. Er hilft aber nur bei der Steuerung künftiger Sendungen. Einen Werbeanruf oder SMS-Versand, der ohne rechtmäßige Grundlage erfolgt ist, legitimiert er nicht. Mit anderen Worten: Das Opt-out ersetzt nicht das erforderliche Opt-in. Die Gesprächsaufzeichnung ist eine eigene Verarbeitung Die Aufzeichnung des Verkaufsgesprächs ist getrennt von der Nutzung der Telefonnummer und dem Versand der Kampagnennachricht zu bewerten. Zweck, Rechtsgrundlage, Speicherdauer sowie Zugriffs- und Übermittlungsangaben müssen klar in der Information enthalten sein; für die Tonaufnahme muss zudem eine eigene, passende Verarbeitungsgrundlage bestehen. Eine einzige Beschwerde kann das ganze Programm auf den Prüfstand stellen Der Ausschuss stellte fest, dass seine Bewertung der Daten des Beschwerdeführers auch für die Daten aller anderen Personen gilt, die im Rahmen des Markenbotschafter-Programms auf dieselbe Weise verarbeitet wurden. Geprüft wurde also nicht ein einzelner Callcenter-Fehler, sondern das Programmdesign. Die Prämienzahlung ist für sich genommen nicht rechtswidrig. Sie zeigt aber, dass das Unternehmen Zweck und Methode der Datenerhebung systematisch festgelegt hat – und schärft damit seine Rolle als Verantwortlicher und das Unternehmensrisiko. Sind Markenbotschafter- und Kundenempfehlungsprogramme ganz verboten? Nein. Einzelne Formulierungen der Beschlusszusammenfassung könnten für sich genommen den Eindruck erwecken, personenbezogene Daten müssten grundsätzlich direkt bei der betroffenen Person erhoben werden. Liest man jedoch das Kommuniqué und die Bekanntmachung vom 21.07.2026 zusammen, ist die Datenerhebung bei Dritten nicht absolut verboten. Entscheidend ist: Im Zeitpunkt der Erhebung muss eine gültige Verarbeitungsgrundlage vorliegen, die allgemeinen Grundsätze des KVKK müssen eingehalten werden, und die Information muss nach den Fristen und Methoden des Kommuniqués erfolgen. Unternehmen sollten allerdings nicht davon ausgehen, dass sie die Rechtsgrundlage für die rein werbliche Nutzung von Drittdaten nachträglich schaffen können. Gerade in Referenz- und Empfehlungsmodellen, in denen die Person selbst nichts angefragt hat, ist das sicherste Design: Der Vermittler erhält einen teilbaren Link oder Code; die betroffene Person registriert sich aus eigenem Antrieb im System des Unternehmens. Reicht die İYS-Einwilligung für das KVKK aus? Die Verarbeitungsgrundlage nach dem KVKK und die Einwilligung in kommerzielle elektronische Nachrichten nach dem E-Commerce-Recht sind voneinander unabhängig. Eine im İYS hinterlegte Einwilligung belegt für sich genommen nicht, dass die Telefonnummer KVKK-konform erlangt wurde. Umgekehrt macht eine Verarbeitungsgrundlage nach dem KVKK die Einwilligung in kommerzielle Nachrichten nicht entbehrlich. Nach dem Recht der kommerziellen elektronischen Nachrichten darf die Einwilligung nicht dadurch eingeholt werden, dass an die elektronische Adresse des Empfängers eine kommerzielle Nachricht gesendet wird. Einen werblichen Erstanruf allein als Instrument zur Einwilligungseinholung zu nutzen, ist daher zusätzlich riskant. Die Ausnahme von der vorherigen Einwilligung für Kaufleute und Gewerbetreibende ändert schließlich nichts daran, dass die geschäftliche E-Mail-Adresse oder Telefonnummer einer natürlichen Person ein personenbezogenes Datum im Sinne des KVKK bleibt. Ausführlichere Informationen zu den Verarbeitungsgrundlagen des KVKK, den Pflichten des Verantwortlichen, dem Register VERBİS und der Datenübermittlung ins Ausland finden Sie in unserem Leitfaden zum Datenschutzrecht in der Türkei (KVKK). Wie werden Markenbotschafter-Programme KVKK-konform? Gestalten Sie das Empfehlungsmodell um: Statt dass Kunden Telefonnummern oder E-Mail-Adressen Dritter in das System eingeben, nutzen Sie Links, Einladungscodes oder Antragsformulare, die die betroffene Person aus eigenem Antrieb verwendet.Knüpfen Sie die Prämie nicht an rohe Kontaktdaten: Knüpfen Sie die Prämie nicht an das Teilen der Kontaktdaten eines Dritten, sondern an die eigenständige Registrierung der geworbenen Person oder an eine rechtskonform definierte spätere Stufe.Legen Sie die Rechtsgrundlage vor der Datenerhebung fest: Dokumentieren Sie die Verarbeitungsgrundlage nach dem KVKK für jeden Verarbeitungsschritt einzeln – einschließlich Eintrag im Kundenmanagementsystem (CRM), Erstanruf, SMS, E-Mail, Profiling und Gesprächsaufzeichnung.Trennen Sie Information und Einwilligung: Informieren Sie vorab, klar und verständlich. Stützen Sie sich auf die ausdrückliche Einwilligung, holen Sie zusätzlich eine aktive und nachweisbare positive Erklärung ein. Bauen Sie kein System auf Schweigen, Gesprächsfortsetzung oder unterbliebenem Widerspruch auf.Überprüfen Sie Callcenter-Skripte und -Aufzeichnungen: Erstellen Sie Standardtexte für Erstkontakt, Marketinginhalt, Aufzeichnungshinweis, Widerspruchsanfragen und Informationsverweise; prüfen Sie die tatsächliche Praxis stichprobenartig.Führen Sie KVKK- und İYS-Nachweise gemeinsam: Verwalten Sie je Kanal den Einwilligungs- und Widerspruchsstatus für kommerzielle Nachrichten und die KVKK-Nachweise zu Rechtsgrundlage und Information getrennt, aber koordiniert.Prüfen Sie Bestandslisten rückwirkend: Nehmen Sie Drittlisten, bei denen Quelle, Erhebungsdatum, Rechtsgrundlage oder Informations- und Einwilligungsnachweis nicht feststellbar sind, aus der Marketingnutzung; wenden Sie Aufbewahrungs- und Löschprozesse an.Beantworten Sie Betroffenenanträge fristgerecht: Da das Unternehmen den Antrag laut Beschluss innerhalb von 30 Tagen beantwortet hatte, wurde insoweit keine Sanktion verhängt. Das Antragsmanagement ist ein eigenständiges Compliance-Feld, unabhängig vom eigentlichen Verarbeitungsverstoß. Häufige Fragen zu unerlaubten SMS und Markenbotschafter-Programmen Ist es zulässig, dass ein Kunde dem Unternehmen die Telefonnummer eines Freundes gibt? Dass ein Kunde die Nummer weitergibt, berechtigt das Unternehmen nicht, diese Person zu Werbe- und Marketingzwecken anzurufen oder ihr SMS zu senden. Bevor das Unternehmen die Nummer speichert und nutzt, muss es sich auf eine gültige Verarbeitungsgrundlage nach dem KVKK stützen können. Kann die ausdrückliche Einwilligung im ersten Telefonat eingeholt werden? Eine nach ordnungsgemäßer Information erteilte ausdrückliche Einwilligung kann nur für spätere Verarbeitungen Wirkung entfalten. Sie macht die frühere Speicherung der Nummer und den ersten Anruf nicht rückwirkend rechtmäßig. Zudem darf die Einwilligung in kommerzielle Nachrichten nicht durch den Versand einer kommerziellen Nachricht eingeholt werden. Gilt es als Einwilligung, wenn die Person das Gespräch fortsetzt oder Fragen stellt? Nein. Nach Auffassung des Ausschusses sind Zuhören, Fragenstellen, das Nichtbeenden des Gesprächs oder das Nichtnutzen der Abmeldeoption keine spezifische, informierte und freiwillig erklärte ausdrückliche Einwilligung. Reicht eine im İYS hinterlegte Einwilligung für das KVKK aus? Nein. Die İYS-Einwilligung für kommerzielle Nachrichten und die Verarbeitungsgrundlage nach dem KVKK sind unterschiedliche rechtliche Anforderungen. Die Compliance ist für beide Regelwerke gesondert sicherzustellen. Wie hoch ist das KVKK-Bußgeld für unerlaubte SMS? Das Bußgeld wird nach den Umständen des Einzelfalls bemessen; es gibt keinen festen Betrag. Im Beschluss 2026/1183 verhängte der Ausschuss gegen den Verantwortlichen ein Bußgeld von TRY 1.000.000. Wann ist zu informieren, wenn die Daten von einem Dritten stammen? Die Information muss innerhalb angemessener Frist nach Erlangung der Daten erfolgen; bei Nutzung zur Kontaktaufnahme bei der ersten Kommunikation; bei einer Übermittlung spätestens bei der ersten Weitergabe. Diese Fristen ersetzen jedoch nicht die Rechtsgrundlage, die für die Erlangung der Daten und den Erstkontakt erforderlich ist. Fazit Liest man den Beschluss 2026/1183 und die Bekanntmachung vom 21.07.2026 zusammen, ist die Botschaft des Ausschusses klar: Referenz-, Empfehlungs- oder Markenbotschafter-Modelle sind kein Freiraum für die werbliche Nutzung personenbezogener Daten. Die Erklärung der Person, die die Kontaktdaten eines Dritten teilt, ersetzt nicht die Einwilligung der betroffenen Person; Interesse oder Schweigen im ersten Gespräch machen die frühere Verarbeitung nicht rechtmäßig. Der richtige Ansatz für Unternehmen ist nicht, die Einwilligung beim Erstkontakt „nachzuholen“, sondern den Datenfluss von Anfang an so zu gestalten, dass er in der Hand der betroffenen Person liegt. Zwischen einem kommerziell wirksamen Empfehlungsprogramm und KVKK-Konformität besteht kein zwingender Widerspruch. Dafür müssen aber Datenquelle, Rechtsgrundlage, Information, Einwilligung in kommerzielle Nachrichten, Gesprächsaufzeichnung und Löschprozesse in einem einzigen durchgängigen Compliance-Modell zusammengeführt werden.
