Datenschutz (KVKK) in der Türkei

Der Schutz personenbezogener Daten in der Türkei ist im Gesetz Nr. 6698 über den Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, KVKK) geregelt, das 2016 in Kraft trat. Das Gesetz ist eng an europäische Standards angelehnt und hat sich durch die Änderungen vom März 2024 der Datenschutz-Grundverordnung (DSGVO) der EU weiter angenähert. Für jedes Unternehmen, das in der Türkei tätig ist oder den türkischen Markt betritt, ist die KVKK-Compliance heute eine Grundvoraussetzung und kein nachträglicher Gedanke: Sie prägt von Anfang an, wie Sie einstellen, verkaufen, werben und Ihre IT-Systeme betreiben.

Der Rahmen im Überblick

Das KVKK wird vom Rat der Datenschutzbehörde (Kişisel Verileri Koruma Kurulu, im Folgenden Board) durchgesetzt, dem Beschlussorgan der Behörde für den Schutz personenbezogener Daten. Das Board erlässt verbindliche Beschlüsse, untersucht Beschwerden, veröffentlicht Leitlinien und verhängt Bußgelder. Öffentlichkeit ist in der Praxis von Bedeutung: Das Board gibt die Beschlüsse bekannt, die es für erforderlich hält (Art. 23 Abs. 5), und kann eine Datenpanne auf seiner Website veröffentlichen (Art. 12 Abs. 5); ein Compliance-Versagen kann daher ebenso ein Reputationsereignis wie ein finanzielles sein.

Das Gesetz beruht auf einer vertrauten Reihe von Begriffsbestimmungen:

• Verantwortlicher: die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung entscheidet und für die Einrichtung und Führung des Dateisystems verantwortlich ist. Die VERBIS-Verordnung erfasst ausdrücklich auch Verantwortliche ohne Niederlassung in der Türkei.
• Auftragsverarbeiter: eine natürliche oder juristische Person, die personenbezogene Daten im Namen des Verantwortlichen aufgrund der von diesem erteilten Befugnis verarbeitet.
• Verarbeitung: nahezu jeder Vorgang im Zusammenhang mit personenbezogenen Daten, einschließlich Erhebung, Aufzeichnung, Speicherung, Veränderung, Offenlegung und Übermittlung.

Was das für Sie bedeutet

Wenn Sie an türkische Verbraucher verkaufen, Beschäftigte in der Türkei einstellen oder eine Website oder App betreiben, die Daten von Nutzern im Land erhebt, sind Sie mit hoher Wahrscheinlichkeit Verantwortlicher im Sinne des KVKK, auch wenn sich Ihre Server und Ihr Hauptsitz im Ausland befinden. Praktisch lautet die erste Compliance-Frage selten „Gilt das Gesetz?”, sondern „Wo liegen unsere Lücken, und wie stark sind wir exponiert?”

Rechtmäßigkeitsgrundlagen der Verarbeitung

Personenbezogene Daten dürfen grundsätzlich nur mit der ausdrücklichen Einwilligung der betroffenen Person verarbeitet werden. Art. 3 definiert die ausdrückliche Einwilligung als eine Einwilligung, die sich auf einen bestimmten Gegenstand bezieht, auf Information beruht und aus freiem Willen erteilt wird. Ein vorangekreuztes Kästchen oder eine pauschale Klausel „Ich stimme allem zu” in den Nutzungsbedingungen lässt sich mit dieser Definition kaum vereinbaren.

Das KVKK nennt sodann bestimmte Ausnahmen, in denen die Verarbeitung ohne Einwilligung rechtmäßig ist, etwa wenn sie

• ausdrücklich gesetzlich vorgesehen ist;
• erforderlich ist, um Daten der Parteien eines Vertrags zu verarbeiten, soweit dies unmittelbar mit dem Abschluss oder der Erfüllung des Vertrags zusammenhängt;
• zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen erforderlich ist;
• erforderlich ist, um das Leben oder die körperliche Unversehrtheit einer Person oder eines anderen zu schützen, wenn diese Person aus tatsächlichen Gründen ihre Einwilligung nicht erklären kann oder ihre Einwilligung rechtlich unwirksam ist; oder
• für die berechtigten Interessen des Verantwortlichen erforderlich ist, sofern die Grundrechte der betroffenen Person nicht beeinträchtigt werden.

Besondere Kategorien von Daten (Art. 6 Abs. 1 nennt Rasse, ethnische Herkunft, politische Meinung, philosophische Überzeugung, Religion, Konfession oder andere Überzeugungen, Kleidung, Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherungsmaßnahmen sowie biometrische und genetische Daten) dürfen nicht verarbeitet werden, sofern nicht eine der Grundlagen des Art. 6 Abs. 3 in der Fassung mit Wirkung vom 1. Juni 2024 eingreift: zum Beispiel die ausdrückliche Einwilligung, eine ausdrückliche Gesetzesbestimmung, von der betroffenen Person im Einklang mit dieser Absicht öffentlich gemachte Daten, die Begründung, Ausübung oder Verteidigung eines Rechts, Zwecke der Gesundheitsversorgung durch Personen, die einer Verschwiegenheitspflicht unterliegen, oder rechtliche Verpflichtungen im Arbeitsverhältnis, im Arbeitsschutz und in der sozialen Sicherheit. Auch die vom Board festgelegten angemessenen Maßnahmen müssen getroffen werden (Art. 6 Abs. 4). Da die Hürde höher liegt, verlangt die Verarbeitung solcher Daten (etwa in Personalakten oder im Gesundheitswesen) besondere Sorgfalt.

Ein häufiger und kostspieliger Fehler ist es, die ausdrückliche Einwilligung als Auffanggrundlage zu behandeln. Eine Einwilligung, die in einen Vertrag eingebettet oder zur Bedingung einer Leistung gemacht wird, lässt sich kaum mit dem Erfordernis vereinbaren, dass sie aus freiem Willen erteilt wird; und wenn diese Einwilligung scheitert, fehlt einer Verarbeitung, die sich allein auf sie stützte, die Rechtsgrundlage.

Rechte der betroffenen Person

Das KVKK gewährt Einzelpersonen einen umfassenden Katalog von Rechten. Eine betroffene Person kann

• erfahren, ob ihre personenbezogenen Daten verarbeitet werden, und hierüber Auskunft verlangen;
• den Zweck der Verarbeitung erfahren und wissen, ob die Daten entsprechend verwendet werden;
• die Dritten kennen, an die Daten im In- oder Ausland übermittelt werden;
• die Berichtigung unrichtiger Daten sowie die Löschung oder Vernichtung verlangen, wenn die Gründe für die Verarbeitung entfallen sind;
• verlangen, dass Berichtigungen und Löschungen den Dritten mitgeteilt werden, die die Daten erhalten haben;
• einem nachteiligen Ergebnis widersprechen, das ausschließlich durch automatisierte Analyse entstanden ist; und
• Ersatz des Schadens verlangen, der durch unrechtmäßige Verarbeitung entstanden ist.

Verantwortliche müssen solche Anträge so bald wie möglich, spätestens binnen 30 Tagen, abschließend bearbeiten (Art. 13 Abs. 2). Wird der Antrag abgelehnt, ist die Antwort unzureichend oder kommt keine Antwort rechtzeitig, kann sich die betroffene Person binnen 30 Tagen nach Kenntnis der Antwort, in jedem Fall aber binnen 60 Tagen nach dem Antrag, beim Board beschweren; der Antrag beim Verantwortlichen muss vorausgehen (Art. 14). In der Praxis bedeutet das: Sie benötigen ein funktionierendes Eingangsverfahren (eine überwachte Kontaktstelle, eine Antwortvorlage und einen internen Verantwortlichen), bevor der erste Antrag eingeht, nicht danach.

VERBIS-Registrierung

Art. 16 Abs. 2 verpflichtet Verantwortliche, sich vor Beginn der Verarbeitung bei VERBIS (Veri Sorumluları Sicili), dem Register der Verantwortlichen, einzutragen. Die Registrierung beschreibt in groben Zügen, welche Daten Sie verarbeiten, zu welchen Zwecken, mit wem Sie sie teilen und welche Sicherheitsmaßnahmen Sie anwenden. Das Board kann Kategorien von Verantwortlichen nach objektiven Kriterien befreien; die Registerverordnung (Art. 16) nennt sie, darunter Art und Zahl der Daten, Zweck und Sektor der Verarbeitung sowie die jährliche Beschäftigtenzahl oder die jährliche Bilanzsumme des Verantwortlichen. Ob eine Befreiung greift, sollte anhand der aktuellen Beschlüsse des Board geprüft und nicht unterstellt werden.

Ausländische Verantwortliche ohne Niederlassung in der Türkei haben einen zusätzlichen Schritt: Nach der Registerverordnung (Art. 5 Abs. 1 Bst. b) müssen sie sich vor Beginn der Verarbeitung über einen Vertreter des Verantwortlichen registrieren, eine in der Türkei niedergelassene juristische Person oder einen türkischen Staatsangehörigen. Da das Register öffentlich ist (Art. 16 Abs. 1), lässt sich ein fehlender Eintrag leicht feststellen, und ein Verstoß gegen die Registrierungs- und Meldepflicht zieht ein eigenes Bußgeld nach sich (Art. 18 Abs. 1 Bst. ç).

Grenzüberschreitende Datenübermittlung nach der Reform von 2024

Die Übermittlung personenbezogener Daten ins Ausland war historisch der restriktivste Teil des KVKK und über Jahre die größte Schwierigkeit für internationale Konzerne mit gemeinsamen Personal-, CRM- oder Cloud-Systemen. Das Gesetz Nr. 7499 vom März 2024 hat Art. 9 mit Wirkung vom 1. Juni 2024 neu gefasst (die alte, auf Einwilligung gestützte Regel konnte bis zum 1. September 2024 daneben weiter angewandt werden). Die Wege des Angemessenheitsbeschlusses und der geeigneten Schutzvorkehrungen setzen zusätzlich eine der Verarbeitungsgrundlagen der Art. 5 oder 6 voraus, und Daten dürfen nun aus der Türkei übermittelt werden durch

• einen Angemessenheitsbeschluss des Board für das Zielland, Sektoren in diesem Land oder eine internationale Organisation;
• geeignete Schutzvorkehrungen, etwa den vom Board bekanntgegebenen Standardvertrag, vom Board genehmigte verbindliche Unternehmensregeln oder eine schriftliche Verpflichtung mit Erlaubnis des Board, sofern die betroffene Person im Zielland ihre Rechte ausüben und wirksame Rechtsbehelfe einlegen kann; oder
• bestimmte Ausnahmegründe, darunter die ausdrückliche Einwilligung der betroffenen Person nach Aufklärung über die möglichen Risiken, für gelegentliche Übermittlungen.

Ein Standardvertrag muss der Behörde binnen fünf Werktagen nach der Unterzeichnung gemeldet werden (Art. 9 Abs. 5); unterbleibt dies, droht ein eigenes Bußgeld (Art. 18 Abs. 1 Bst. d). Diese Änderung gibt internationalen Konzernen praktische Mechanismen nach dem Vorbild der DSGVO, die das türkische Recht zuvor nicht kannte; sie schützen Sie aber nur, wenn die Unterlagen tatsächlich vorhanden und rechtzeitig eingereicht sind.

Übermittelt Ihr Konzern Daten türkischer Beschäftigter oder Kunden an eine Muttergesellschaft, einen Cloud-Anbieter oder ein Shared-Service-Center im Ausland, benötigt die Übermittlung eine dokumentierte Rechtsgrundlage nach dem KVKK. Sie allein auf eine konzernweite DSGVO-Richtlinie zu stützen, genügt nicht.

KVKK und DSGVO im Vergleich

Für Konzerne, die bereits ein DSGVO-Programm betreiben, lässt sich der türkische Arbeitsumfang am schnellsten bestimmen, indem man sieht, wo die Regelungen auseinanderlaufen:

Die praktische Schlussfolgerung: Ein DSGVO-konformer Konzern braucht in der Regel eine gezielte lokale Ergänzung (türkischsprachige Hinweise, VERBIS und eingereichte Übermittlungsunterlagen) statt eines neu aufgebauten Programms.

Durchsetzung und Sanktionen

Verstöße haben reale Folgen. Art. 18 KVKK sieht Rahmen für Bußgelder vor, wenn die Informationspflicht nicht erfüllt wird, gegen die Pflichten zur Datensicherheit verstoßen wird, Beschlüsse des Board nicht umgesetzt werden, gegen die Registrierungs- und Meldepflichten bei VERBIS verstoßen wird und ein Standardvertrag nicht gemeldet wird. Nach Art. 17 Abs. 7 des Ordnungswidrigkeitengesetzes erhöhen sich die Beträge zu Beginn jedes Jahres um den nach dem Steuerverfahrensgesetz bekanntgegebenen Neubewertungssatz, sodass die im KVKK abgedruckten Zahlen nicht die aktuellen sind. Seit dem 1. Juni 2024 werden Bußgelder des Board vor den Verwaltungsgerichten angefochten (Art. 18 Abs. 3); Anträge, die an diesem Tag bereits bei den Strafrichterämtern des Friedens (sulh ceza hakimlikleri) anhängig waren, verbleiben dort (vorläufiger Art. 3).

Davon getrennt stellt das türkische Strafgesetzbuch (Art. 135-140, angewandt über Art. 17 KVKK) die unrechtmäßige Aufzeichnung personenbezogener Daten (Art. 135), ihre unrechtmäßige Weitergabe, Verbreitung oder Beschaffung (Art. 136) und ihre Nichtvernichtung nach Ablauf der gesetzlichen Fristen (Art. 138) unter Strafe. Art. 17 Abs. 2 KVKK fügt hinzu, dass die Nichtlöschung oder Nichtanonymisierung von Daten entgegen Art. 7 nach Art. 138 bestraft wird. Diese Straftaten werden ohne Strafantrag verfolgt (Art. 139), können Einzelpersonen im Unternehmen persönlich haftbar machen und erlauben Sicherungsmaßnahmen gegen die juristische Person (Art. 140). Betroffene Personen können zudem nach den allgemeinen Regeln Schadensersatzklagen erheben (Art. 14 Abs. 3).

Da viele Beschlüsse des Board veröffentlicht werden, übersteigen die praktischen Kosten eines schweren Versagens oft das Bußgeld selbst: Künftige Geschäftspartner, Investoren und Kunden können es einsehen.

Eröffnet das Board eine Untersuchung, auf Beschwerde oder von Amts wegen, sobald es von einem behaupteten Verstoß erfährt (Art. 15 Abs. 1), kommt es sehr auf die Qualität Ihrer schriftlichen Antwort an. Der Verantwortliche muss die vom Board verlangten Auskünfte und Unterlagen binnen 15 Tagen übersenden und, soweit erforderlich, eine Prüfung vor Ort zulassen (Art. 15 Abs. 3). Eine verspätete, unvollständige oder nicht durch Belege (Einwilligungsprotokolle, Hinweise, Sicherheitsrichtlinien) gestützte Antwort schwächt die Akte. Hier zahlt sich die Vorbereitung vor einem Vorfall am unmittelbarsten aus.

Wie Compliance in der Praxis aussieht

Unternehmen, die in der Türkei tätig sind, sollten

• ihre Verarbeitungstätigkeiten erfassen und zutreffende Verzeichnisse führen;
• konforme Datenschutzhinweise (aydınlatma metni) bereitstellen und, wo erforderlich, wirksame ausdrückliche Einwilligungen einholen;
• ihren VERBIS-Eintrag vervollständigen und aktuell halten;
• Übermittlungsmechanismen einrichten, bevor Daten ins Ausland gehen;
• technische und organisatorische Sicherheitsmaßnahmen und einen Notfallplan für Datenpannen umsetzen; und
• ihre Mitarbeiter schulen, damit Compliance verankert ist und nicht nur reagiert.

Wir beraten Mandanten über den gesamten Lebenszyklus, von Lückenanalysen und der Erstellung von Richtlinien über VERBIS-Anmeldungen, Übermittlungsverträge und Meldungen von Datenpannen bis zur Vertretung vor dem Board. Häufig wird angenommen, ein Unternehmen, das im Wesentlichen DSGVO-konform ist, sei damit auch in der Türkei konform; oft trifft das nicht zu, wegen VERBIS, der Einwilligung als Regelgrundlage und der örtlichen Meldevorschriften. Frühzeitige, strukturierte Compliance ist weit weniger kostspielig, als nachträglich auf eine Untersuchung zu reagieren.

Verwandte Rechtsgebiete und Ratgeber

• Immobilienrecht: Prüfung des Grundbuchs, Immobilienerwerb durch Ausländer und Übertragungen beim Grundbuchamt (TKGM).
• Geistiges Eigentum und gewerblicher Rechtsschutz: Durchsetzung von Marken-, Patent- und Urheberrechten vor TÜRKPATENT und den Gerichten für geistiges Eigentum.
• Schutz personenbezogener Daten (KVKK/DSGVO): VERBİS-Registrierung, Erfassung des Datenbestands und Einhaltung der Vorgaben für grenzüberschreitende Datenübermittlungen.
• Rechtsangelegenheiten in Istanbul für ausländische Mandanten und Unternehmen (auf Englisch): Umfassende handels- und zivilrechtliche Vertretung vor den Istanbuler Gerichten.