TürkeiKVKK
Türkei KVKK – Gesetz zum Schutz personenbezogener Daten (Gesetz Nr. 6698)
Das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten, allgemein bekannt als KVKK (Kişisel Verilerin Korunması Kanunu), ist das wichtigste Datenschutzgesetz der Türkei. Es regelt die Erhebung, Nutzung, Speicherung, Offenlegung, Übermittlung und sonstige Verarbeitung personenbezogener Daten und legt Pflichten für Verantwortliche und Auftragsverarbeiter fest.
Das KVKK wurde am 24. März 2016 verabschiedet und am 7. April 2016 im Amtsblatt veröffentlicht. Der Rahmen wurde seitdem geändert, unter anderem durch wesentliche Änderungen, die 2024 in Kraft traten, insbesondere in Bezug auf besondere Kategorien personenbezogener Daten und internationale Datenübermittlungen.
Für Unternehmen, die in der Türkei Websites, mobile Anwendungen, SaaS-Plattformen, E-Commerce-Dienste oder andere digitale Produkte betreiben, kann die KVKK-Konformität Einwilligungsverwaltung, Datenschutzhinweise, die Prüfung von Verarbeitungsbedingungen, Sicherheitskontrollen, die Bearbeitung von Anfragen betroffener Personen, VERBİS-Pflichten und Garantien für internationale Übermittlungen umfassen.
Das KVKK ist der wichtigste Rechtsrahmen der Türkei zum Schutz personenbezogener Daten.
Es regelt, wie personenbezogene Daten über identifizierte oder identifizierbare Personen verarbeitet werden, und legt Anforderungen fest zu:
- Rechtmäßige und faire Verarbeitung
- Ausdrückliche Einwilligung
- Transparenz und Datenschutzhinweise
- Verarbeitung besonderer Kategorien personenbezogener Daten
- Datenminimierung und Verhältnismäßigkeit
- Datensicherheit
- Rechte der betroffenen Personen
- Inländische und internationale Datenübermittlungen
- Aufbewahrung und Löschung von Daten
- Meldung von Datenschutzverletzungen
- Register der Verantwortlichen (VERBİS)
- Verwaltungssanktionen und behördliche Aufsicht
Wichtig ist: Eine ausdrückliche Einwilligung ist nicht für jede Verarbeitungstätigkeit erforderlich. Artikel 5 sieht mehrere Fälle vor, in denen personenbezogene Daten ohne ausdrückliche Einwilligung verarbeitet werden dürfen, darunter bestimmte gesetzliche, vertragliche, lebenswichtige, der Rechtswahrung dienende und auf berechtigten Interessen beruhende Situationen.
Das KVKK auf einen Blick
| Anforderung | KVKK |
|---|---|
| Land | Türkei |
| Vollständiger Name | Gesetz Nr. 6698 zum Schutz personenbezogener Daten |
| Gebräuchlicher Name | KVKK |
| Verabschiedet | 24. März 2016 |
| Veröffentlicht | 7. April 2016 |
| Hauptaufsichtsbehörde | Behörde für den Schutz personenbezogener Daten (KVKK) |
| Zentrales Aufsichtsgremium | Ausschuss für den Schutz personenbezogener Daten |
| Ausdrückliche Einwilligung | Erforderlich, wenn keine andere gesetzliche Verarbeitungsbedingung greift |
| Besondere Kategorien von Daten | Unterliegen zusätzlichen Verarbeitungsbedingungen |
| Datenschutzhinweis | Erforderlich |
| Rechte der betroffenen Personen | Ja |
| Datensicherheit | Erforderlich |
| Meldung von Verletzungen | Erforderlich; der Ausschuss legt „kürzeste Zeit“ als spätestens 72 Stunden aus |
| VERBİS | Erforderlich für Verantwortliche, die der Registrierungspflicht unterliegen |
| Internationale Übermittlungen | Geregelt im geänderten Artikel 9 |
| Antwort auf individuelle Anfragen | In der Regel innerhalb von 30 Tagen |
| Status | In Kraft |
Der aktuelle KVKK-Rahmen definiert die ausdrückliche Einwilligung als freiwillige, spezifische und informierte Einwilligung und legt mehrere Verarbeitungsbedingungen fest, die unabhängig von einer Einwilligung gelten.
Was ist das KVKK?
Das Gesetz Nr. 6698 zum Schutz personenbezogener Daten ist das umfassende Datenschutzgesetz der Türkei.
Sein Zweck ist es, die Grundrechte und Grundfreiheiten, insbesondere das Recht auf Privatsphäre, zu schützen und zugleich die Grundsätze und Pflichten festzulegen, die für Personen und Organisationen gelten, die personenbezogene Daten verarbeiten.
Das Gesetz gilt für die ganz oder teilweise automatisierte Verarbeitung sowie für bestimmte nicht automatisierte Verarbeitungen, die Teil eines Dateisystems sind.
Das KVKK legt folgende rechtliche Rollen fest:
- Verantwortlicher (Veri Sorumlusu) – legt die Zwecke und Mittel der Verarbeitung fest.
- Auftragsverarbeiter (Veri İşleyen) – verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen.
- Betroffene Person – die Person, deren personenbezogene Daten verarbeitet werden.
- Ausschuss für den Schutz personenbezogener Daten – das regulatorische Entscheidungsgremium.
- Behörde für den Schutz personenbezogener Daten – die institutionelle Behörde, die den Rechtsrahmen trägt.
Türkei
In Kraft seit 2016
Asien und Afrika
Wer muss das KVKK einhalten?
Das KVKK gilt für Organisationen und Personen, die in seinen Anwendungsbereich fallen und personenbezogene Daten verarbeiten, die vom Gesetz erfasst werden.
Dazu können gehören:
- Türkische Unternehmen
- Arbeitgeber
- E-Commerce-Unternehmen
- Banken und Finanzinstitute
- Gesundheitseinrichtungen
- Bildungseinrichtungen
- Technologieunternehmen
- SaaS-Anbieter
- Werbe- und Marketingunternehmen
- Telekommunikationsunternehmen
- Online-Marktplätze
- Mobile Anwendungen
- Websites und digitale Plattformen
- Öffentliche Einrichtungen
- Organisationen, die Beschäftigtendaten verarbeiten
- Organisationen, die Kunden- oder Interessentendatenbanken nutzen
Auch Organisationen mit Sitz außerhalb der Türkei können je nach ihren Verarbeitungstätigkeiten und ihrer Beziehung zu türkischen betroffenen Personen Pflichten nach dem KVKK haben.
Das Gesetz definiert personenbezogene Daten weit als Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Welche Daten schützt das KVKK?
Das KVKK erfasst personenbezogene Daten, die sich auf eine identifizierte oder identifizierbare Person beziehen.
Beispiele sind:
- Name
- E-Mail-Adresse
- Telefonnummer
- Postanschrift
- Identifikationsdaten
- Kundenkontodaten
- Beschäftigtendaten
- IP-Adressen, sofern sie personenbezogene Daten darstellen
- Online-Kennungen
- Standortdaten
- Transaktionsdaten
- Gerätebezogene Daten
- Authentifizierungsdaten
- Kundendatensätze
- Marketingprofile
- Bestimmte Cookie- und Tracking-Informationen
Ob eine bestimmte technische Kennung ein personenbezogenes Datum darstellt, hängt davon ab, ob sie sich auf eine identifizierte oder identifizierbare natürliche Person bezieht.
Das KVKK legt zudem zusätzliche Anforderungen für besondere Kategorien personenbezogener Daten fest.
Verarbeitungsgrundsätze des KVKK
Artikel 4 legt grundlegende Grundsätze für die Verarbeitung personenbezogener Daten fest.
Personenbezogene Daten müssen im Einklang mit dem Gesetz und den einschlägigen Rechtsgrundsätzen verarbeitet werden, darunter:
Rechtmäßigkeit und Fairness
Die Verarbeitung muss den geltenden rechtlichen Anforderungen entsprechen und fair erfolgen.
Richtigkeit
Personenbezogene Daten sollten richtig sein und bei Bedarf auf dem neuesten Stand gehalten werden.
Zweckbindung
Daten sollten für festgelegte, eindeutige und legitime Zwecke verarbeitet werden.
Datenminimierung
Personenbezogene Daten sollten für die Zwecke, zu denen sie verarbeitet werden, erheblich, begrenzt und verhältnismäßig sein.
Speicherbegrenzung
Daten sollten für den nach geltendem Recht vorgeschriebenen Zeitraum oder für die Dauer der Zwecke, zu denen sie verarbeitet werden, aufbewahrt werden.
Diese Grundsätze sollten über den gesamten Datenlebenszyklus hinweg berücksichtigt werden, von der Erhebung und Einwilligung über Speicherung, Nutzung und Weitergabe bis zur Löschung.
Verlangt das KVKK eine ausdrückliche Einwilligung?
Manchmal.
Das KVKK wird oft als einwilligungsbasiertes Datenschutzgesetz beschrieben, doch diese Beschreibung ist unvollständig.
Artikel 5 bestimmt, dass personenbezogene Daten nicht ohne ausdrückliche Einwilligung verarbeitet werden dürfen, es sei denn, eine der gesetzlichen Bedingungen, die eine Verarbeitung ohne Einwilligung erlauben, greift.
Personenbezogene Daten dürfen unter anderem in folgenden Fällen ohne ausdrückliche Einwilligung verarbeitet werden:
- Verarbeitung, die ausdrücklich gesetzlich vorgesehen ist
- Schutz des Lebens oder der körperlichen Unversehrtheit in bestimmten Fällen
- Verarbeitung, die zum Abschluss oder zur Erfüllung eines Vertrags erforderlich ist
- Erfüllung einer rechtlichen Verpflichtung
- Von der betroffenen Person öffentlich gemachte Daten
- Begründung, Ausübung oder Schutz eines Rechts
- Berechtigte Interessen des Verantwortlichen, sofern diese die Grundrechte und Grundfreiheiten der betroffenen Person nicht verletzen
Organisationen sollten daher die passende KVKK-Verarbeitungsbedingung für jede Verarbeitungstätigkeit bestimmen, statt für jede Art der Verarbeitung personenbezogener Daten eine Einwilligung einzuholen.
Was ist eine ausdrückliche Einwilligung nach dem KVKK?
Das KVKK definiert die ausdrückliche Einwilligung als eine Einwilligung, die:
- Freiwillig erteilt
- Spezifisch
- Informiert
Die Einwilligung sollte daher eine positive und aussagekräftige Willensbekundung der betroffenen Person darstellen.
Die Einwilligungsverwaltung sollte Folgendes vermeiden:
- Vorausgewählte Einwilligungsoptionen
- Vage oder pauschale Einwilligungen
- Unklare Zwecke
- Versteckte Einwilligungsmechanismen
- Einwilligungen, die unnötig mit sachfremder Verarbeitung gebündelt sind
- Oberflächen, die eine Ablehnung unnötig erschweren
Die KVKK-Behörde hat die drei Kernelemente der ausdrücklichen Einwilligung hervorgehoben: ein bestimmter Gegenstand, Information und freie Wahl.
Widerruf der Einwilligung
Beruht die Verarbeitung auf einer ausdrücklichen Einwilligung, sollten Organisationen einen praktischen Mechanismus zur Verwaltung des Einwilligungsverhältnisses bereitstellen.
Ein Einwilligungsverwaltungssystem sollte es Organisationen ermöglichen:
- Festzuhalten, wann die Einwilligung erteilt wurde
- Festzuhalten, was die Einwilligung umfasste
- Den jeweiligen Zweck festzuhalten
- Die Wahl der Nutzerin oder des Nutzers festzuhalten
- Nachweise der Einwilligung aufzubewahren
- Änderungen der Einwilligungspräferenzen zu unterstützen
- Aufzeichnungen über Widerrufe zu führen
- Eine weitere Verarbeitung zu verhindern, wenn die Einwilligung die maßgebliche Rechtsgrundlage ist und widerrufen wurde
ConsentX kann Organisationen helfen, diese technischen Kontrollen im Betrieb umzusetzen.
Besondere Kategorien personenbezogener Daten nach dem KVKK
Das KVKK sieht zusätzlichen Schutz für besondere Kategorien personenbezogener Daten vor.
Dazu gehören Daten über:
- Rasse
- Ethnische Herkunft
- Politische Meinung
- Weltanschauliche Überzeugung
- Religion
- Religiöse Konfession oder sonstige Überzeugung
- Äußeres Erscheinungsbild
- Mitgliedschaft in Vereinen, Stiftungen oder Gewerkschaften
- Gesundheit
- Sexualleben
- Strafrechtliche Verurteilungen und Sicherungsmaßnahmen
- Biometrische Daten
- Genetische Daten
Änderungen 2024 bei besonderen Kategorien von Daten
Wesentliche Änderungen von Artikel 6 traten 2024 in Kraft.
Die bisherige Struktur wurde durch einen breiteren Katalog gesetzlicher Bedingungen ersetzt, unter denen besondere Kategorien verarbeitet werden dürfen, ohne sich ausschließlich auf die ausdrückliche Einwilligung zu stützen. Dazu gehören bestimmte gesetzliche Anforderungen, Zwecke der öffentlichen Gesundheit, arbeits- und sozialversicherungsrechtliche Pflichten, der Schutz von Rechten und weitere festgelegte Fälle.
Die Änderungen von 2024 machen es daher besonders wichtig, dass Organisationen bestehende Einwilligungsabläufe für besondere Kategorien von Daten neu bewerten.
Organisationen sollten nicht automatisch davon ausgehen, dass jede Verarbeitungstätigkeit mit sensiblen Daten denselben Einwilligungsmechanismus verwenden muss.
Verarbeitung besonderer Kategorien personenbezogener Daten
Werden besondere Kategorien von Daten verarbeitet, sollten Organisationen Folgendes bestimmen:
- Um welche Datenkategorie handelt es sich?
- Was ist der Zweck der Verarbeitung?
- Welche Bedingung nach Artikel 6 greift?
- Ist eine ausdrückliche Einwilligung erforderlich?
- Welche zusätzlichen Sicherheitsmaßnahmen gelten?
- Wer kann auf die Informationen zugreifen?
- Wie lange sollten sie aufbewahrt werden?
- Werden die Informationen an eine andere Partei übermittelt?
- Werden sie außerhalb der Türkei übermittelt?
- Welche Nachweise sollten aufbewahrt werden?
Das KVKK verlangt bei der Verarbeitung besonderer Kategorien personenbezogener Daten zudem angemessene, vom Ausschuss festgelegte Maßnahmen.
Datenschutzhinweise und Transparenz
Artikel 10 des KVKK verpflichtet Verantwortliche, betroffene Personen bei der Erlangung personenbezogener Daten zu informieren.
Die Informationen umfassen:
- Identität des Verantwortlichen
- Identität seines Vertreters, sofern zutreffend
- Zweck der Verarbeitung
- Empfänger und Zwecke von Übermittlungen
- Methode und Rechtsgrundlage der Erhebung
- Einschlägige Rechte der betroffenen Personen
Für Websites und Anwendungen sollten Datenschutzhinweise daher klar, zugänglich und in angemessener Weise mit der Stelle der Datenerhebung verknüpft sein.
Einwilligungsbanner sollten nicht als Ersatz für einen vollständigen Datenschutzhinweis behandelt werden.
Cookies und Tracking-Technologien nach dem KVKK
Das KVKK bedeutet nicht, dass jedes Cookie automatisch eine ausdrückliche Einwilligung erfordert.
Die angemessene rechtliche Behandlung hängt ab von:
- Welche Informationen das Cookie oder der Tracker erhebt
- Ob die Informationen personenbezogene Daten darstellen
- Wozu es verwendet wird
- Ob eine andere Verarbeitungsbedingung nach Artikel 5 greift
- Ob die Daten an Dritte übermittelt werden
- Ob die Tätigkeit internationale Übermittlungen umfasst
- Ob Informationen besonderer Kategorien betroffen sind
Für Analyse-, Werbe- und sonstiges nicht notwendiges Tracking sollten Organisationen die anwendbare KVKK-Verarbeitungsbedingung prüfen und, wo erforderlich, einen geeigneten Einwilligungs- oder Hinweismechanismus einrichten.
ConsentX kann Organisationen helfen, Cookies und Tracker zu erkennen und regionsspezifische Kontrollen anzuwenden.
Rechte der betroffenen Personen nach dem KVKK
Artikel 11 gewährt betroffenen Personen mehrere Rechte.
Betroffene Personen können verlangen:
- Bestätigung, ob ihre personenbezogenen Daten verarbeitet werden
- Informationen über die Verarbeitung
- Informationen über die Zwecke der Verarbeitung
- Informationen über Dritte, die ihre Daten erhalten
- Berichtigung unrichtiger oder unvollständiger Daten
- Löschung oder Vernichtung, sofern die gesetzlichen Voraussetzungen vorliegen
- Mitteilung von Berichtigungen oder Löschungen an betroffene Dritte
- Widerspruch gegen bestimmte nachteilige Ergebnisse, die ausschließlich durch automatisierte Verarbeitung entstehen
- Ersatz des Schadens, der durch rechtswidrige Verarbeitung entsteht
Anfragen betroffener Personen nach dem KVKK
Betroffene Personen können nach den im KVKK festgelegten Verfahren Anfragen an den Verantwortlichen richten.
Der Verantwortliche muss die Anfrage in der Regel so schnell wie möglich und spätestens innerhalb von 30 Tagen abschließen. Anfragen sind grundsätzlich kostenlos, wobei in den in den anwendbaren Vorschriften festgelegten Fällen eine Gebühr zulässig sein kann.
ConsentX kann operative Workflows unterstützen für:
- Eingang von Anfragen
- Workflows zur Identitätsprüfung
- Nachverfolgung von Anfragen
- Sammlung von Nachweisen
- Interne Zuweisung
- Fristenüberwachung
- Dokumentation der Antworten
- Prüfpfade
Datensicherheit nach dem KVKK
Artikel 12 verpflichtet Verantwortliche, die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um ein angemessenes Sicherheitsniveau zu gewährleisten.
Diese Maßnahmen sollen Folgendes verhindern:
- Rechtswidrige Verarbeitung
- Rechtswidrigen Zugriff
- Verlust oder Kompromittierung personenbezogener Daten
Verantwortliche müssen zudem geeignete Prüfungen zur Einhaltung der Anforderungen an die Datensicherheit durchführen oder durchführen lassen.
Wird die Verarbeitung von einem Auftragsverarbeiter durchgeführt, bleibt der Verantwortliche für angemessene Sicherheitsmaßnahmen verantwortlich.
Meldung von Datenschutzverletzungen nach dem KVKK
Werden von einem Verantwortlichen verarbeitete personenbezogene Daten von anderen rechtswidrig erlangt, muss der Verantwortliche die betroffene Person und den Ausschuss in kürzester Zeit benachrichtigen.
Der KVKK-Ausschuss hat den gesetzlichen Ausdruck „in kürzester Zeit“ als spätestens 72 Stunden nach Kenntniserlangung von der Verletzung ausgelegt. Kann die Meldung nicht innerhalb von 72 Stunden erfolgen, sollten die Gründe für die Verzögerung angegeben werden.
Organisationen sollten Folgendes vorhalten:
- Verfahren zur Erkennung von Verletzungen
- Prozesse zur Reaktion auf Vorfälle
- Dokumentation von Verletzungen
- Interne Eskalationsverfahren
- Workflows für behördliche Meldungen
- Verfahren zur Kommunikation mit betroffenen Personen
Verantwortliche und Auftragsverarbeiter
Das KVKK unterscheidet zwischen:
Verantwortlicher
Die Organisation, die die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt.
Auftragsverarbeiter
Eine Person oder Organisation, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Beispiele für Auftragsverarbeiter können sein:
- Cloud-Dienstanbieter
- Hosting-Unternehmen
- CRM-Anbieter
- E-Mail-Plattformen
- Analyseanbieter
- Anbieter von Marketingtechnologie
- Kundensupport-Plattformen
Der Verantwortliche sollte eine angemessene Aufsicht über Auftragsverarbeiter ausüben und sicherstellen, dass Sicherheits- und Datenschutzpflichten während der gesamten Verarbeitungsbeziehung berücksichtigt werden.
Internationale Datenübermittlungen nach dem KVKK
Internationale Datenübermittlungen sind ein zentraler Bereich der KVKK-Konformität.
Artikel 9 wurde 2024 grundlegend geändert und führte einen neuen Rahmen für Übermittlungen personenbezogener Daten ins Ausland ein.
Nach dem geänderten Rahmen können sich Übermittlungen unter anderem auf folgende Mechanismen stützen:
- Einen Angemessenheitsbeschluss
- Genehmigte verbindliche interne Datenschutzvorschriften
- Vom Ausschuss veröffentlichte Standardverträge
- Bestimmte genehmigte schriftliche Verpflichtungserklärungen
- Festgelegte außergewöhnliche Übermittlungsfälle
Standardverträge
Standardverträge sind eine der für internationale Übermittlungen verfügbaren Garantien.
Das Gesetz verlangt, dass der Standardvertrag der Behörde innerhalb von fünf Werktagen nach Unterzeichnung gemeldet wird.
Die KVKK-Behörde hat Musterstandardverträge für verschiedene Beziehungen zwischen Verantwortlichen und Auftragsverarbeitern veröffentlicht.
Dies ist besonders wichtig für Organisationen, die international Folgendes nutzen:
- Cloud-Infrastruktur
- SaaS-Tools
- CRM-Plattformen
- Analysedienste
- Werbetechnologie
- E-Mail-Anbieter
- Kundensupport-Systeme
Internationale Übermittlungen und Einwilligung
Die ausdrückliche Einwilligung kann einer der außergewöhnlichen Mechanismen für die Übermittlung personenbezogener Daten ins Ausland sein, doch der geänderte Rahmen von Artikel 9 macht die Einwilligung nicht zur Standardlösung für routinemäßige internationale Übermittlungen.
Wer sich auf die außergewöhnlichen Übermittlungsbedingungen stützt, muss die gesetzlichen Anforderungen und Grenzen sorgfältig prüfen.
Bei laufenden internationalen Übermittlungen sollten Organisationen in der Regel prüfen, ob ein Angemessenheitsbeschluss oder eine geeignete Garantie verfügbar ist.
VERBİS – Register der Verantwortlichen
Das KVKK richtet das Register der Verantwortlichen ein, bekannt als VERBİS.
Verantwortliche, die der Registrierungspflicht unterliegen, müssen sich registrieren und Informationen über ihre Verarbeitungstätigkeiten angeben.
Der Registrierungsrahmen kann Informationen verlangen wie:
- Identität des Verantwortlichen
- Zwecke der Verarbeitung
- Kategorien betroffener Personen
- Datenkategorien
- Empfänger
- Internationale Übermittlungen
- Sicherheitsmaßnahmen
- Maximale Speicherfristen
Das Gesetz erlaubt dem Ausschuss jedoch, Ausnahmen auf Grundlage objektiver Kriterien festzulegen.
Aktuelle VERBİS-Ausnahmen
Der KVKK-Ausschuss hat Ausnahmen anhand von Kriterien festgelegt, darunter Art und Menge der Daten, Verarbeitungstätigkeiten und organisatorische Merkmale.
Ein bedeutender Beschluss des Ausschusses aus dem Jahr 2025 erweiterte zudem den Ausnahmerahmen für bestimmte kleine Verantwortliche, deren Haupttätigkeit die Verarbeitung besonderer Kategorien personenbezogener Daten umfasst, anhand von Kriterien zur Beschäftigtenzahl und zur Bilanzsumme.
Unternehmen sollten daher ihren aktuellen VERBİS-Registrierungsstatus und die anwendbaren Ausnahmekriterien prüfen, statt sich auf ältere Beschäftigten- oder Umsatzschwellen zu verlassen, die in veralteten Compliance-Unterlagen veröffentlicht wurden.
Aufbewahrung und Löschung von Daten
Das KVKK verlangt, dass personenbezogene Daten für den in den einschlägigen Rechtsvorschriften festgelegten Zeitraum oder für den für den Verarbeitungszweck erforderlichen Zeitraum gespeichert werden.
Entfallen die Gründe für die Verarbeitung, sollten personenbezogene Daten:
- Gelöscht
- Vernichtet
- Anonymisiert
werden, je nach Fall.
Die Türkei verfügt zudem über eine eigene Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten, die Verfahren für diese Tätigkeiten festlegt.
Organisationen sollten daher dokumentierte Aufbewahrungspläne und Löschverfahren vorhalten.
Automatisierte Entscheidungsfindung
Das KVKK erkennt das Recht betroffener Personen an, einem für sie nachteiligen Ergebnis zu widersprechen, das sich aus der Analyse personenbezogener Daten ergibt, die ausschließlich durch automatisierte Systeme verarbeitet wurden.
Dies ist relevant für Unternehmen, die Folgendes nutzen:
- KI-Systeme
- Automatisiertes Profiling
- Automatisierte Kundenbewertung
- Betrugserkennung
- Recruiting-Technologie
- Personalisierungssysteme
- Automatisierte Entscheidungen über die Anspruchsberechtigung
Organisationen, die KI oder automatisierte Entscheidungssysteme einsetzen, sollten die einschlägigen KVKK-Verarbeitungsbedingungen, Transparenzpflichten, Rechte der betroffenen Personen und Sicherheitsanforderungen prüfen.
Direktmarketing nach dem KVKK
Marketingaktivitäten können mehrere Kategorien der Verarbeitung personenbezogener Daten umfassen, darunter:
- E-Mail-Adressen
- Telefonnummern
- Kundenprofile
- Kaufhistorie
- Verhaltensdaten
- Werbekennungen
- Website-Aktivität
Organisationen sollten die passende Rechtsgrundlage bestimmen und sicherstellen, dass die marketingbezogene Verarbeitung mit den Transparenz- und Verarbeitungsanforderungen des KVKK im Einklang steht.
Ist eine ausdrückliche Einwilligung erforderlich, sollte sie spezifisch, informiert und freiwillig erteilt werden.
Einwilligungsnachweise sollten ebenfalls als Beleg aufbewahrt werden.
Datenschutz durch Technikgestaltung nach dem KVKK
Auch wenn das KVKK die Terminologie der DSGVO nicht einfach übernimmt, sollten Organisationen Datenschutz- und Sicherheitsaspekte von Anfang an in Systeme und Prozesse einbeziehen.
Eine datenschutzbewusste Umsetzung kann Folgendes umfassen:
- Datenminimierung
- Zweckgebundene Erhebung
- Zugriffskontrollen
- Einwilligungsverwaltung
- Datenschutzhinweise
- Aufbewahrungskontrollen
- Workflows für Anfragen betroffener Personen
- Bewertungen von Dienstleistern
- Bewertungen internationaler Übermittlungen
- Sicherheitskontrollen
- Audit-Protokollierung
Verarbeitungsverzeichnisse und Governance
Organisationen sollten den Überblick darüber behalten:
- Welche personenbezogenen Daten sie verarbeiten
- Warum sie sie verarbeiten
- Wo sie gespeichert werden
- Wer darauf zugreifen kann
- Welche Dienstleister sie erhalten
- Ob sie die Türkei verlassen
- Wie lange sie aufbewahrt werden
- Welche rechtliche Bedingung die Verarbeitung stützt
- Ob eine ausdrückliche Einwilligung erforderlich ist
- Wie eine Einwilligung widerrufen wird
- Wie Anfragen betroffener Personen bearbeitet werden
Für Organisationen, die der VERBİS-Registrierung unterliegen, ist die Pflege genauer Verarbeitungsinformationen besonders wichtig, da die Registerangaben mit den Verarbeitungstätigkeiten der Organisation verknüpft sind.
Durchsetzung und Sanktionen nach dem KVKK
Der Ausschuss für den Schutz personenbezogener Daten ist für die behördliche Durchsetzung im Rahmen des KVKK zuständig.
Das Gesetz sieht Verwaltungsbußgelder für Verstöße vor, darunter:
- Nichterfüllung der Informationspflicht
- Nichterfüllung der Pflichten zur Datensicherheit
- Nichtbefolgung von Beschlüssen des Ausschusses
- Nichterfüllung der VERBİS-Pflichten
- Nichteinhaltung der Meldepflicht für Standardverträge bei internationalen Übermittlungen
Die Geldbeträge werden jährlich angepasst. Die Behörde veröffentlicht für jedes Kalenderjahr aktualisierte Beträge der Verwaltungsbußgelder.
Schwerwiegende Compliance-Verstöße können daher erhebliche finanzielle und betriebliche Risiken mit sich bringen.
Wer setzt das KVKK durch?
Das KVKK wird beaufsichtigt und durchgesetzt von der:
Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu)
Der Ausschuss für den Schutz personenbezogener Daten nimmt wichtige Regulierungs-, Aufsichts- und Durchsetzungsaufgaben wahr, darunter die Bearbeitung von Beschwerden, die Prüfung von Verstößen und die Verhängung von Verwaltungssanktionen.
Wie ConsentX bei der KVKK-Konformität hilft
ConsentX hilft Organisationen, zentrale Datenschutz- und Einwilligungskontrollen, die für ihre digitalen Angebote erforderlich sind, im Betrieb umzusetzen.
Erkennung von Cookies und Trackern
Erkennen Sie Cookies, Tracker und andere Technologien, die auf Ihrer Website aktiv sind.
Einwilligungsverwaltung
Holen Sie, wo erforderlich, eine ausdrückliche, zweckgebundene Einwilligung ein.
Einwilligungsnachweise
Führen Sie prüfbare Aufzeichnungen über Einwilligungsentscheidungen und Präferenzänderungen.
Vorab-Blockierung von Skripten
Verhindern Sie, dass ausgewählte nicht notwendige Technologien ausgeführt werden, bevor das erforderliche Einwilligungssignal vorliegt.
Datenschutzhinweise
Stellen Sie relevante Datenschutz- und Einwilligungsinformationen innerhalb der Nutzerführung dar.
Regionsbasierte Regeln
Wenden Sie geeignete Einwilligungserlebnisse auf Grundlage der Region der Besucher und der konfigurierten Compliance-Regeln an.
Widerruf der Einwilligung
Geben Sie Nutzern eine praktische Möglichkeit, anwendbare Einwilligungsentscheidungen zu ändern oder zu widerrufen.
DSAR-Workflows
Unterstützen Sie die operative Bearbeitung von Anfragen auf Auskunft, Berichtigung, Löschung und damit verbundenen Anfragen betroffener Personen.
Prüfnachweise
Führen Sie Aufzeichnungen, die belegen, wie Einwilligungs- und Präferenzentscheidungen erfasst und verwaltet wurden.
So erfüllen Sie das KVKK mit ConsentX
- 1
Scannen Sie Ihre Website
Nutzen Sie ConsentX, um Cookies, Skripte, Tracker und andere Technologien zu erkennen, die auf Ihrer Website aktiv sind.
So gewinnen Sie Transparenz darüber, welche datenbezogenen Technologien tatsächlich laufen.
- 2
Kategorisieren Sie Ihre Tracker
Ordnen Sie Technologien nach ihrem Zweck ein, zum Beispiel:
- Notwendig
- Analyse
- Funktional
- Werbung
- Personalisierung
- Soziale Medien
Prüfen Sie anschließend die angemessene KVKK-Behandlung für jede Kategorie.
- 3
Konfigurieren Sie Ihr Einwilligungserlebnis
Erstellen Sie eine klare Einwilligungsoberfläche für Verarbeitungstätigkeiten, bei denen die ausdrückliche Einwilligung die passende rechtliche Bedingung ist.
Die Einwilligung sollte:
- Spezifisch
- Informiert
- Freiwillig erteilt
- Eindeutig erklärt
- 4
Blockieren Sie anwendbare Tracker vor der Einwilligung
Konfigurieren Sie ConsentX so, dass anwendbare nicht notwendige Skripte nicht ausgelöst werden, bevor das erforderliche Einwilligungssignal vorliegt.
- 5
Erfassen Sie die Einwilligung
Speichern Sie Nachweise darüber:
- Was die Nutzerin oder der Nutzer ausgewählt hat
- Wann die Wahl getroffen wurde
- Welche Zwecke betroffen waren
- Welche Version der Einwilligungsoberfläche angezeigt wurde
- Ob die Präferenz später geändert wurde
- 6
Unterstützen Sie den Widerruf der Einwilligung
Ermöglichen Sie Nutzern, ihre anwendbaren Einwilligungspräferenzen erneut aufzurufen und zu ändern.
- 7
Verwalten Sie Datenanfragen
Nutzen Sie ConsentX-Workflows, um Anfragen betroffener Personen zu organisieren und die anwendbare Antwortfrist zu überwachen.
- 8
Führen Sie Prüfnachweise
Bewahren Sie geeignete Aufzeichnungen auf, die zeigen, wie Datenschutz- und Einwilligungskontrollen in Ihrer digitalen Umgebung funktionieren.
KVKK-Compliance-Checkliste
Nutzen Sie diese Checkliste als Ausgangspunkt für Ihr Compliance-Programm:
- Verarbeitungstätigkeiten mit personenbezogenen Daten identifizieren
- Verantwortliche und Auftragsverarbeiter identifizieren
- Verarbeitungszwecke erfassen
- Die anwendbare Verarbeitungsbedingung nach Artikel 5 bestimmen
- Besondere Kategorien personenbezogener Daten identifizieren
- Bedingungen nach Artikel 6 prüfen, sofern zutreffend
- Geeignete Datenschutzhinweise erstellen
- Cookie- und Tracking-Technologien überprüfen
- Bestimmen, wo eine ausdrückliche Einwilligung erforderlich ist
- Sicherstellen, dass die Einwilligung freiwillig, spezifisch und informiert erteilt wird
- Einwilligungsentscheidungen dokumentieren
- Mechanismen für den Widerruf anwendbarer Einwilligungen bereitstellen
- Verfahren für Anfragen betroffener Personen einführen
- Die 30-tägige Antwortfrist überwachen
- Geeignete Sicherheitsmaßnahmen umsetzen
- Einen Prozess zur Reaktion auf Datenschutzverletzungen vorhalten
- Internationale Übermittlungen prüfen
- Anforderungen an Standardverträge prüfen, sofern zutreffend
- Die Meldefrist von fünf Werktagen für anwendbare Standardverträge nachverfolgen
- VERBİS-Registrierungsanforderungen prüfen
- Verarbeitungsinventare pflegen
- Aufbewahrungsfristen festlegen
- Verfahren zur Löschung/Anonymisierung umsetzen
- Beziehungen zu Dienstleistern und Auftragsverarbeitern überprüfen
- Geeignete Prüfnachweise führen
- Leitlinien des KVKK-Ausschusses und regulatorische Neuerungen verfolgen
Häufig gestellte Fragen
Land unter dem KVKK
Türkei (Turkey)
Das KVKK ist der wichtigste Rechtsrahmen der Türkei zum Schutz personenbezogener Daten.
TürkiyeWeitere Datenschutzvorschriften
International tätige Organisationen müssen möglicherweise auch Folgendes prüfen:
- GDPR – Europäische Union
- UK GDPR – Vereinigtes Königreich
- CCPA/CPRA – Kalifornien
- LGPD – Brasilien
- PIPEDA – Kanada
- FADP – Schweiz
- DPDPA – Indien
- PDPA – Singapur
- PDPA – Thailand
- POPIA – Südafrika
- UAE PDPL – Vereinigte Arabische Emirate
- Qatar PDPPL – Katar
- Weitere anwendbare nationale und regionale Datenschutzgesetze
Der anwendbare Rahmen hängt von Faktoren ab wie dem Standort der Organisation, dem Aufenthaltsort der betroffenen Personen, den angebotenen Diensten, den Verarbeitungstätigkeiten und internationalen Datenübermittlungen.
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 29733
Law 18.331Warum die KVKK-Einwilligungsverwaltung wichtig ist
Für digitale Unternehmen beschränkt sich Datenschutz-Compliance nicht auf die Veröffentlichung einer Datenschutzerklärung.
Eine Website kann Dutzende Technologien umfassen, die Informationen erheben oder übertragen, darunter:
- Analysetools
- Werbepixel
- Social-Media-Skripte
- Tools zur Sitzungsaufzeichnung
- Personalisierungstechnologien
- Marketing-Tags
- Eingebettete Inhalte
- CRM-Integrationen
Ein robustes Einwilligungsverwaltungssystem hilft Organisationen, diese Technologien zu verstehen, die anwendbare Verarbeitung zu steuern und Nachweise über die Entscheidungen der Nutzer zu führen.
ConsentX kombiniert:
Cookie-Erkennung + Einwilligungsverwaltung + Vorab-Blockierung von Skripten + Einwilligungsnachweise + regionale Regeln + DSAR-Workflows
um Unternehmen dabei zu helfen, Datenschutzkontrollen in ihren digitalen Angeboten im Betrieb umzusetzen.
Machen Sie sich mit ConsentX KVKK-bereit
Schaffen Sie einen transparenteren und besser prüfbaren Ansatz für Einwilligung und Datenschutz-Compliance für Nutzer in der Türkei.
Mit ConsentX können Organisationen:
- Website-Tracker erkennen
- KVKK-konforme Einwilligungserlebnisse konfigurieren
- Anwendbare Technologien vor der Einwilligung blockieren
- Ausdrückliche Einwilligungen erfassen
- Einwilligungsnachweise führen
- Präferenzänderungen verwalten
- Anfragen betroffener Personen unterstützen
- Prüfnachweise führen
- Regionsspezifische Datenschutzregeln anwenden
ConsentX hilft, Datenschutzanforderungen in operative Kontrollen umzusetzen.