KVKK-Compliance in der Türkei: Rechtsleitfaden für Unternehmen und Investoren

Personenbezogene Daten sind zu einem der wertvollsten und sensibelsten Vermögenswerte moderner Unternehmen geworden. Kundendatenbanken, Personalakten, Lieferantenunterlagen, Videoaufnahmen (CCTV), Website-Analysen, Zahlungsinformationen, Gesundheitsdaten, Marketinglisten, Anrufaufzeichnungen, Cloud-Systeme und grenzüberschreitende Reporting-Flüsse betreffen alle personenbezogene Daten.

In der Türkei wird die Verarbeitung personenbezogener Daten hauptsächlich durch das Gesetz zum Schutz personenbezogener Daten geregelt, gemeinhin als KVKK bekannt.

Für viele Unternehmen begann die KVKK-Compliance als Dokumentationsprojekt: Datenschutzhinweise, Einwilligungsformulare, Richtlinien und Registereinträge. Dieser Ansatz reicht nicht mehr aus. Datenschutz-Compliance ist heute eine Frage auf Vorstandsebene, operativ und vertraglich.

Ein Unternehmen muss verstehen:

welche personenbezogenen Daten es erhebt;
warum es diese Daten erhebt;
welche Rechtsgrundlage gilt;
wer Zugang zu den Daten hat;
wo die Daten gespeichert werden;
ob die Daten ins Ausland übermittelt werden;
wie lange die Daten aufbewahrt werden;
wie die betroffenen Personen informiert werden;
wie Anfragen bearbeitet werden;
wie Dienstleister kontrolliert werden;
was im Fall einer Datenpanne geschieht.

Dieser Leitfaden erläutert die wesentlichen rechtlichen Fragen, die Unternehmen, Investoren und international tätige Firmen bei einer Tätigkeit in der Türkei berücksichtigen sollten.

1. KVKK-Compliance betrifft nicht nur Technologieunternehmen

Ein häufiger Irrtum ist die Annahme, das Datenschutzrecht betreffe nur Technologieplattformen, Softwareunternehmen oder E-Commerce-Betriebe.

In der Praxis verarbeitet nahezu jedes Unternehmen personenbezogene Daten.

Ein Unternehmen kann personenbezogene Daten verarbeiten, wenn es Mitarbeiter einstellt, Lohnunterlagen führt, Kundeninformationen erhebt, Marketingnachrichten versendet, Anrufe aufzeichnet, Videoüberwachung (CCTV) nutzt, Besucher verwaltet, eine Website betreibt, Cookies einsetzt, mit Dienstleistern arbeitet, Verträge speichert, Rechnungen verarbeitet, Lieferantenkontakte führt, Cloud-Software nutzt, an eine ausländische Muttergesellschaft berichtet, Bewerbungen verwaltet, interne Untersuchungen durchführt oder Treue- oder Mitgliedschaftsprogramme betreibt.

Aus diesem Grund ist KVKK-Compliance für Industrieunternehmen, Anwaltskanzleien, Kliniken, Hotels, Schulen, Immobilienentwickler, Finanzunternehmen, Logistikunternehmen, Einzelhändler, Agenturen, Familienunternehmen und ausländische Investoren relevant.

Die Frage ist nicht, ob ein Unternehmen personenbezogene Daten verarbeitet. Die Frage ist, ob es weiß, wie und warum es das tut.

2. Der erste Schritt: Data Mapping

Ein Unternehmen kann das KVKK nicht einhalten, wenn es seine eigenen Datenflüsse nicht kennt.

Vor der Erstellung von Dokumenten sollte das Unternehmen seine Verarbeitungstätigkeiten erfassen.

Eine praktische Datenlandkarte sollte die Kategorien betroffener Personen, die Kategorien personenbezogener Daten, die Verarbeitungszwecke, die Rechtsgrundlagen, die Erhebungsmethoden, die Speicherorte, die internen Zugriffsrechte, die Empfänger Dritter, die Auslandsübermittlungen, die Aufbewahrungsfristen, die Sicherheitsmaßnahmen sowie die Lösch- oder Anonymisierungsprozesse benennen.

Betroffene Personen können Mitarbeiter, Bewerber, Kunden, potenzielle Kunden, Lieferanten, Besucher, Gesellschafter, Geschäftsführer, Auftragnehmer, Website-Nutzer, Patienten oder Mandanten, Veranstaltungsteilnehmer, Familienangehörige von Mitarbeitern und Notfallkontakte umfassen.

Der Zweck des Data Mapping ist keine Bürokratie. Es geht um Transparenz.

Ohne Transparenz können Datenschutzhinweise unzutreffend, Einwilligungsformulare überflüssig oder fehlerhaft, Dienstleisterverträge unvollständig und die Reaktion auf Datenpannen chaotisch sein.

3. Datenschutzhinweise und die Informationspflicht

Eine der zentralen Pflichten nach türkischem Datenschutzrecht ist die Pflicht, betroffene Personen zu informieren. Dies wird üblicherweise durch Datenschutzhinweise erfüllt.

Ein Datenschutzhinweis sollte in klarer und zugänglicher Weise die Identität des Verantwortlichen, die Verarbeitungszwecke, die Rechtsgrundlage der Verarbeitung, die Empfänger oder Empfängergruppen, die Erhebungsmethode, die Rechte der betroffenen Person und die Art und Weise, wie betroffene Personen ihre Rechte ausüben können, erläutern.

Die türkische Datenschutzbehörde betont, dass betroffene Personen informiert werden sollten, wann immer ihre personenbezogenen Daten verarbeitet werden, auch wenn die Verarbeitung auf einer ausdrücklichen Einwilligung oder einer anderen Rechtsgrundlage beruht.

Ein Datenschutzhinweis sollte kein generisches, aus einem anderen Unternehmen kopiertes Dokument sein. Unterschiedliche Verarbeitungskontexte erfordern in der Regel unterschiedliche Hinweise – etwa einen Hinweis für Mitarbeiter, für Bewerber, für Kunden, für die Website, für die Videoüberwachung, für Besucher, für Lieferantenkontakte, für Marketing und für Veranstaltungsteilnehmer.

Ein Unternehmen sollte zudem sicherstellen, dass der Datenschutzhinweis zum richtigen Zeitpunkt bereitgestellt wird. Ein in der Fußzeile einer Website versteckter Hinweis kann für persönlich, über Beschäftigungsprozesse oder über ein physisches Besuchersystem erhobene Daten unzureichend sein.

4. Die ausdrückliche Einwilligung ist nicht immer die richtige Rechtsgrundlage

Viele Unternehmen nehmen an, sie müssten für jede Verarbeitung eine Einwilligung einholen. Das ist nicht immer richtig.

Nach dem KVKK ist die ausdrückliche Einwilligung eine mögliche Rechtsgrundlage, aber nicht die einzige. Bestimmte Verarbeitungstätigkeiten können je nach Umständen auf anderen Rechtsgrundlagen beruhen.

Eine übermäßige Nutzung der Einwilligung kann Probleme schaffen. Sagt ein Unternehmen, die Verarbeitung beruhe auf Einwilligung, kann die betroffene Person sie aber realistisch nicht verweigern, ist die Einwilligung angreifbar. Dies ist besonders im Arbeitsverhältnis bedeutsam, wo das Ungleichgewicht zwischen Arbeitgeber und Arbeitnehmer die Wirksamkeit der Einwilligung beeinträchtigen kann.

Die Behörde definiert die ausdrückliche Einwilligung als eine auf einen bestimmten Gegenstand bezogene, auf Information beruhende und mit freiem Willen erklärte Einwilligung.

Ein Unternehmen sollte daher fragen: Ist eine ausdrückliche Einwilligung wirklich nötig? Gibt es eine andere Rechtsgrundlage? Ist die Einwilligung spezifisch? Ist die betroffene Person ordnungsgemäß informiert? Kann die Person ohne negative Folgen ablehnen? Wird die Einwilligung dokumentiert? Kann sie widerrufen werden? Was geschieht nach dem Widerruf?

Die Einwilligung sollte nicht als dekorative Unterschriftszeile verwendet werden. Sie sollte rechtlich erforderlich, ordnungsgemäß eingeholt und operativ beachtet sein.

5. VERBIS-Registrierung und Datenverzeichnis

Bestimmte Verantwortliche müssen sich gegebenenfalls im Register der Verantwortlichen registrieren, gemeinhin als VERBIS bekannt.

Die VERBIS-Registrierung sollte auf einem Verzeichnis der Verarbeitungstätigkeiten beruhen. Die Behörde hat erklärt, dass registrierungspflichtige Verantwortliche ein Verzeichnis der Verarbeitungstätigkeiten erstellen müssen und die VERBIS-Einträge darauf beruhen sollten.

Eine schwache VERBIS-Registrierung kann Risiken schaffen, wenn sie die tatsächlichen Verarbeitungstätigkeiten nicht abbildet.

Unternehmen sollten prüfen, ob sie registrierungspflichtig sind, ob eine Ausnahme gilt, ob das Datenverzeichnis vollständig ist, ob die VERBIS-Einträge der tatsächlichen Praxis entsprechen, ob Änderungen aktualisiert wurden, ob die Aufbewahrungsfristen realistisch sind, ob die Empfängergruppen zutreffend benannt sind und ob die Angaben zur Auslandsübermittlung korrekt sind.

VERBIS sollte nicht als einmaliges Formular behandelt werden. Geschäftsänderungen können Aktualisierungen erfordern. Neue Software, neue HR-Prozesse, neue Marketingpraktiken, neue Dienstleister oder internationale Reporting-Flüsse können das Datenverzeichnis allesamt beeinflussen.

6. Beschäftigtendaten und Personalwesen

Beschäftigungsdaten gehören zu den sensibelsten Bereichen der KVKK-Compliance.

Arbeitgeber verarbeiten eine breite Palette personenbezogener Daten, darunter Identitätsangaben, Kontaktdaten, Lohndaten, Bankverbindungen, Sozialversicherungsdaten, Leistungsbeurteilungen, Disziplinarunterlagen, Gesundheitsberichte, in begrenzten Fällen Führungszeugnisse, Urlaubsdaten, Notfallkontaktdaten, Familienangaben, in einigen Betrieben biometrische Daten, Videoaufnahmen (CCTV), Zugriffsprotokolle sowie Daten zur E-Mail- und Gerätenutzung.

Beschäftigtendaten sollten wegen des Machtungleichgewichts im Arbeitsverhältnis mit besonderer Sorgfalt verarbeitet werden.

Zentrale Themen sind Datenschutzhinweise für Mitarbeiter, die Aufbewahrung von Beschäftigungsunterlagen, der Zugriff auf Personalakten, die Verarbeitung von Gesundheitsdaten, die Überwachung von Arbeitsgeräten, Videoüberwachung am Arbeitsplatz, interne Untersuchungen, Disziplinarverfahren, Werkzeuge für Remote-Arbeit, die Übermittlung von Beschäftigtendaten an Konzerngesellschaften, die Datenweitergabe an Lohnabrechnungsdienstleister und die Löschung nach Beendigung.

Arbeitgeber sollten es vermeiden, übermäßig Daten zu erheben, nur weil diese später nützlich sein könnten. Personenbezogene Daten sollten auf das Erforderliche, Rechtmäßige und Verhältnismäßige beschränkt sein.

7. Besondere Kategorien personenbezogener Daten

Bestimmte Kategorien personenbezogener Daten bedürfen eines höheren Schutzes. Sensible Daten können je nach anwendbarem Recht Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit, Angaben zu strafrechtlichen Verurteilungen und andere besondere Kategorien umfassen.

Unternehmen können sensiblen Daten in arbeitsmedizinischen Berichten, in Arbeitssicherheitsprozessen, in Schwerbehindertenunterlagen, in biometrischen Zutrittssystemen, in Gesundheitsdiensten, in Versicherungsprozessen, in Mitarbeiter-Benefit-Programmen, in internen Untersuchungen, in Prozessakten und in Diversity- oder Inklusionsinitiativen begegnen.

Die Verarbeitung sensibler Daten ohne geeignete Rechtsgrundlage und Schutzvorkehrungen kann erhebliche Risiken schaffen.

Unternehmen sollten bestimmen, warum sensible Daten erhoben werden, ob die Erhebung notwendig ist, wer Zugang hat, ob besondere Sicherheitsmaßnahmen gelten, ob die Daten an Dritte weitergegeben werden, ob sie ins Ausland übermittelt werden, wie lange sie aufbewahrt werden und wie sie gelöscht werden.

Sensible Daten sollten niemals wie gewöhnliche Verwaltungsinformationen behandelt werden.

8. Marketing, CRM und kommerzielle Kommunikation

Marketing ist eine häufige Quelle von Datenschutzrisiken.

Unternehmen können personenbezogene Daten für Newsletter, Werbe-E-Mails, SMS-Kampagnen, Kundensegmentierung, CRM-Systeme, Retargeting, Social-Media-Werbung, Treueprogramme, Veranstaltungseinladungen, Leadgenerierung, Callcenter-Nachfassen und Geschäftsentwicklung erheben und nutzen.

Marketingdaten sollten zusammen mit Einwilligung, Datenschutzhinweisen, Regeln zur elektronischen kommerziellen Kommunikation, Cookie-Praktiken und CRM-Zugriffsrechten geprüft werden.

Unternehmen sollten berücksichtigen, wie Marketingkontakte erhoben werden, ob eine Einwilligung erforderlich ist, ob Opt-out-Mechanismen funktionieren, ob Kundenlisten rechtmäßig erlangt wurden, ob gekaufte Datenbanken genutzt werden, ob Konzerngesellschaften Marketingdaten teilen, ob Marketingdienstleister Daten verarbeiten und ob Einwilligungsnachweise geführt werden.

Ein Geschäftsentwicklungsteam sollte informelle Kontaktlisten nicht ohne rechtliche Prüfung verwenden. Dies ist besonders relevant für Unternehmen, die in der Türkei, der EU, dem Vereinigten Königreich oder dem Nahen Osten tätig sind, wo unterschiedliche Datenschutz- und Marketingregeln zusammenwirken können.

9. Website, Cookies und Analyse

Eine Unternehmenswebsite kann mehr personenbezogene Daten erheben als erwartet. Daten können über Kontaktformulare, Newsletter-Formulare, Bewerbungsformulare, Cookies, Analyse-Tools, eingebettete Karten, Chat-Widgets, Social-Media-Pixel, Terminbuchungssysteme, herunterladbare Inhalte, IP-Protokolle und Sicherheits-Tools erhoben werden.

Eine Website sollte über angemessene Datenschutz- und Cookie-Dokumente verfügen.

Unternehmen sollten fragen: Welche Cookies werden verwendet? Sind Analyse-Tools aktiv? Sind Marketing-Pixel installiert? Werden Daten außerhalb der Türkei übermittelt? Ist für bestimmte Cookies eine Nutzereinwilligung erforderlich? Ist das Cookie-Banner zutreffend? Stimmt die Datenschutzerklärung mit den tatsächlichen Tools überein? Werden Formularübermittlungen sicher gespeichert? Wer erhält Website-Anfragen? Sind Drittanbieter-Plugins konform?

Eine Website-Datenschutzerklärung sollte nicht bloß erklären, dass Daten geschützt werden. Sie sollte die tatsächliche technische Struktur der Website abbilden.

10. Verwaltung von Dienstleistern und Auftragsverarbeitern

Die meisten Unternehmen verarbeiten Daten nicht allein. Sie nutzen Dienstleister wie Lohnabrechnungsdienstleister, Steuerberater, IT-Dienstleister, Cloud-Hosting-Unternehmen, CRM-Plattformen, Marketingagenturen, Callcenter, Sicherheitsunternehmen, Recruiting-Plattformen, Zahlungsdienstleister, Logistikdienstleister, Softwareanbieter und externe Berater.

Jede Dienstleisterbeziehung kann Datenschutzpflichten begründen.

Unternehmen sollten prüfen, welche personenbezogenen Daten geteilt werden, warum der Dienstleister sie erhält, ob der Dienstleister als Auftragsverarbeiter oder eigenständig Verantwortlicher handelt, ob ein Auftragsverarbeitungsvertrag erforderlich ist, ob der Dienstleister Unterauftragsverarbeiter einsetzt, ob Daten ins Ausland übermittelt werden, welche Sicherheitsmaßnahmen gelten, wie die Meldung von Datenpannen funktioniert und wie Daten nach Beendigung zurückgegeben oder gelöscht werden.

Dienstleisterverträge sollten sich nicht auf Preis und Leistungsumfang beschränken. Datenschutzklauseln sind heute unverzichtbar.

11. Datenübermittlungen ins Ausland

Die Datenübermittlung ins Ausland ist eines der wichtigsten Compliance-Themen für international tätige Unternehmen in der Türkei.

Viele Unternehmen übermitteln personenbezogene Daten ins Ausland über das Reporting an eine ausländische Muttergesellschaft, globale HR-Systeme, Cloud-Speicher, CRM-Plattformen, E-Mail-Hosting, Buchhaltungssysteme, internationale Dienstleister, Konzerndatenbanken, Zugriffe für technischen Support, Marketing-Tools und ausländische Server.

Die türkische Datenschutzbehörde hat nach Gesetzesänderungen einen Leitfaden zur Übermittlung personenbezogener Daten ins Ausland veröffentlicht; Unternehmen sollten den anwendbaren Übermittlungsmechanismus sorgfältig prüfen.

Unternehmen sollten nicht annehmen, dass die Nutzung eines globalen Softwareanbieters automatisch konform ist.

Sie sollten feststellen, welche Daten die Türkei verlassen, welches Land sie empfängt, wer sie empfängt, welcher Übermittlungsmechanismus gilt, ob Standardverträge erforderlich sind, ob eine Meldung an die Behörde erforderlich ist, ob sensible Daten betroffen sind, ob die betroffenen Personen informiert werden und ob die Dienstleisterverträge den türkischen Anforderungen entsprechen.

Für ausländische Investoren ist dies besonders wichtig, da Konzern-Reporting und zentralisierte Systeme verbreitet sind.

12. Datenpannen und Reaktion auf Vorfälle

Eine Datenpanne kann den unbefugten Zugriff, die Offenlegung, den Verlust, die Veränderung, die Vernichtung oder die unrechtmäßige Verarbeitung personenbezogener Daten umfassen.

Beispiele sind ein Ransomware-Angriff, ein verlorener Laptop, eine an den falschen Empfänger gesendete E-Mail, der unbefugte Zugriff durch einen Mitarbeiter, eine gehackte Kundendatenbank, eine gestohlene Personalakte, ein fehlkonfigurierter Cloud-Ordner, eine Datenpanne beim Dienstleister, ein Phishing-Vorfall, offengelegte Website-Formulardaten und durchgesickerte medizinische oder finanzielle Unterlagen.

Ein Unternehmen sollte nicht auf eine Datenpanne warten, um einen Reaktionsplan zu erstellen.

Ein praktischer Reaktionsplan sollte festlegen, wer interne Meldungen erhält, wer den Vorfall bewertet, wer Beweise sichert, wer IT- und Sicherheitsdienstleister kontaktiert, wer entscheidet, ob eine Meldung erforderlich ist, wer mit den betroffenen Personen kommuniziert, wer die Geschäftsleitung informiert, wer das Anwaltsgeheimnis und die Dokumentation verwaltet, wer mit Medien- oder Reputationsfragen umgeht und wie Abhilfemaßnahmen festgehalten werden.

Bei einer Datenpanne kommt es auf das Timing an. Verwirrung in den ersten 24–48 Stunden kann rechtlichen und reputativen Schaden anrichten.

13. Verantwortung von Vorstand und Geschäftsleitung

KVKK-Compliance sollte nicht vollständig an nachrangiges Personal oder externe Berater delegiert werden. Die Geschäftsleitung sollte das Risikoprofil des Unternehmens verstehen.

Die Geschäftsleitung sollte regelmäßig fragen: Wissen wir, welche personenbezogenen Daten wir verarbeiten? Sind unsere Datenschutzhinweise zutreffend? Stützen wir uns richtig auf Einwilligung? Müssen wir uns bei VERBIS registrieren? Ist unser Datenverzeichnis aktuell? Übermitteln wir Daten ins Ausland? Sind Dienstleister vertraglich kontrolliert? Haben wir einen Reaktionsplan für Datenpannen? Werden Mitarbeiter geschult? Werden Aufbewahrungsfristen angewandt? Löschen wir Daten, wenn sie nicht mehr benötigt werden? Sind HR und IT mit den rechtlichen Anforderungen abgestimmt?

Datenschutz ist nicht nur eine Frage rechtlicher Compliance. Es ist eine Frage von Governance, Risiko und Reputation.

14. M&A, Investitionen und Due Diligence

KVKK-Compliance wird bei Fusionen, Übernahmen und Investitionen zunehmend relevant.

Ein Käufer oder Investor sollte prüfen, ob das Zielunternehmen Datenschutzhinweise hat, erforderliche Einwilligungen eingeholt hat, über ein Datenverzeichnis verfügt, bei VERBIS registriert ist, sofern erforderlich, Dienstleisterverträge hat, Daten ins Ausland übermittelt, Datenpannen erlitten hat, Beschwerden erhalten hat, sensible Daten verarbeitet, Marketingdatenbanken nutzt, sich auf Kundendaten als Vermögenswert stützt, Praktiken zur Mitarbeiterüberwachung hat, über Cookie- und Website-Compliance-Dokumente verfügt und Lösch- und Aufbewahrungsrichtlinien hat.

Datenschutzfragen können Bewertung, Garantien, Freistellungen, Vollzugsbedingungen, Post-Closing-Integration, die Nutzbarkeit der Kundendatenbank, die Migration von Dienstleistern, die IT-Restrukturierung und das Konzern-Reporting beeinflussen.

Für Unternehmen, deren wirtschaftlicher Wert von Kundendaten, Softwareplattformen, Gesundheitsdaten, Marketingdatenbanken oder Nutzerkonten abhängt, kann eine KVKK-Due-Diligence entscheidend sein.

15. Datenaufbewahrung und Löschung

Eine häufige Compliance-Schwäche ist die unbefristete Aufbewahrung von Daten. Unternehmen behalten Dokumente oft, weil Speicher günstig ist, Löschen unbequem ist oder niemand weiß, wer zuständig ist. Eine übermäßige Aufbewahrung schafft jedoch rechtliche und Sicherheitsrisiken.

Eine Aufbewahrungsrichtlinie sollte die Aufbewahrungsfrist je Datenkategorie, die Rechtsgrundlage der Aufbewahrung, die zuständige Abteilung, die Löschmethode, gegebenenfalls die Anonymisierungsmethode, Archivregeln, Ausnahmen für Litigation Holds, den Ansatz zur Löschung von Backups und einen regelmäßigen Überprüfungsprozess festlegen.

Unterschiedliche Datenarten erfordern eine unterschiedliche Aufbewahrungslogik. So sollten Beschäftigungsunterlagen, Buchhaltungsdokumente, Videoaufnahmen (CCTV), Marketingeinwilligungen, Besucherprotokolle, Verträge und Prozessakten nicht alle unter einer einheitlichen Frist aufbewahrt werden.

Datenaufbewahrung betrifft nicht nur das Löschen. Es geht um eine disziplinierte Informations-Governance.

16. Interne Richtlinien und Schulungen

Dokumente allein schaffen keine Compliance. Mitarbeiter müssen verstehen, wie sie im Arbeitsalltag mit personenbezogenen Daten umgehen.

Schulungen sollten abdecken, was personenbezogene Daten sind, die grundlegenden KVKK-Prinzipien, Vertraulichkeit, E-Mail-Fehler, sichere Dokumentenfreigabe, Passwort- und Zugriffskontrollen, Phishing-Bewusstsein, die Sensibilität von HR-Daten, den Umgang mit Kundendaten, Anfragen betroffener Personen, die Meldung von Datenpannen, die Nutzung persönlicher Geräte, Remote-Arbeit, die Weitergabe an Dienstleister sowie Social-Media- und Marketingdaten.

Richtlinien sollten praktisch und nicht bloß formal sein. Nützliche interne Richtlinien können eine Datenschutzrichtlinie, eine Aufbewahrungs- und Löschrichtlinie, eine Informationssicherheitsrichtlinie, ein Verfahren zur Reaktion auf Datenpannen, eine Mitarbeiter-Datenschutzrichtlinie, eine Videoüberwachungsrichtlinie, eine Clean-Desk-Richtlinie, eine Nutzungsrichtlinie und ein Verfahren zur Dienstleisterverwaltung umfassen.

Ein Unternehmen mit perfekten Richtlinien, aber ohne Schulung bleibt verwundbar.

17. Häufige Fehler bei der KVKK-Compliance

Häufige Fehler sind: Datenschutzhinweise aus einem anderen Unternehmen zu kopieren; die Einwilligung als Lösung für alles zu behandeln; Datenflüsse nicht zu erfassen; Beschäftigtendaten zu ignorieren; VERBIS-Einträge nicht zu aktualisieren; ausländische Cloud-Tools ohne Übermittlungsanalyse zu nutzen; übermäßig Dokumente von Mitarbeitern oder Kunden zu erheben; Daten unbefristet aufzubewahren; Dienstleister nicht vertraglich zu kontrollieren; Cookies und Tracking-Tools zu ignorieren; Mitarbeiter nicht zu schulen; keinen Reaktionsplan für Datenpannen zu haben; Anfragen betroffener Personen nicht zu dokumentieren; das KVKK als einmaliges Projekt zu behandeln; und rechtlichen Rat erst nach einer Beschwerde oder Datenpanne hinzuzuziehen.

Viele Compliance-Versäumnisse beruhen nicht auf bösem Willen. Sie beruhen auf fehlender Struktur.

18. Praktische KVKK-Compliance-Checkliste

In der Türkei tätige Unternehmen sollten die folgenden Fragen berücksichtigen:

Haben wir unsere Verarbeitungstätigkeiten erfasst?
Kennen wir alle Kategorien personenbezogener Daten, die wir verarbeiten?
Sind unsere Datenschutzhinweise zutreffend und zugänglich?
Stützen wir uns nur dort auf die ausdrückliche Einwilligung, wo es angemessen ist?
Werden Einwilligungsnachweise ordnungsgemäß geführt?
Müssen wir uns bei VERBIS registrieren?
Ist unser Datenverzeichnis aktuell?
Sind die Prozesse für Beschäftigtendaten konform?
Verarbeiten wir besondere Kategorien personenbezogener Daten?
Werden Marketing- und CRM-Praktiken geprüft?
Werden Website-Cookies und Analyse-Tools bewertet?
Enthalten Dienstleisterverträge Datenschutzklauseln?
Übermitteln wir Daten ins Ausland?
Wurden die Mechanismen für Auslandsübermittlungen geprüft?
Haben wir einen Reaktionsplan für Datenpannen?
Werden Mitarbeiter geschult?
Sind Aufbewahrungsfristen festgelegt?
Löschen oder anonymisieren wir Daten, wenn erforderlich?
Werden Anfragen betroffener Personen ordnungsgemäß bearbeitet?
Ist sich die Geschäftsleitung der Datenschutzrisiken des Unternehmens bewusst?
Wird die Compliance nach geschäftlichen oder technologischen Änderungen überprüft?

Häufig gestellte Fragen

Was ist das KVKK?

KVKK ist die gebräuchliche Abkürzung für das türkische Gesetz zum Schutz personenbezogener Daten. Es regelt die Verarbeitung personenbezogener Daten und begründet Pflichten für Verantwortliche und in der Praxis für viele in der Türkei tätige Unternehmen.

Braucht jedes Unternehmen KVKK-Compliance?

Die meisten Unternehmen verarbeiten personenbezogene Daten und müssen daher die KVKK-Pflichten berücksichtigen. Der Umfang der Compliance hängt von Tätigkeit, Größe, Datenkategorien, Systemen, Dienstleistern und Übermittlungen ab.

Reicht ein Datenschutzhinweis aus?

Nein. Ein Datenschutzhinweis ist wichtig, aber nur ein Teil der Compliance. Unternehmen benötigen außerdem rechtmäßige Verarbeitungsgrundlagen, ein Data Mapping, Dienstleisterkontrollen, Aufbewahrungsregeln, Sicherheitsmaßnahmen und Verfahren zur Reaktion auf Datenpannen.

Ist eine ausdrückliche Einwilligung immer erforderlich?

Nein. Die ausdrückliche Einwilligung ist eine Rechtsgrundlage, aber nicht immer notwendig oder angemessen. Unternehmen sollten für jede Verarbeitung die richtige Rechtsgrundlage bestimmen.

Was ist VERBIS?

VERBIS ist das Register der Verantwortlichen. Bestimmte Verantwortliche müssen sich gegebenenfalls registrieren und Angaben auf Grundlage ihres Verzeichnisses der Verarbeitungstätigkeiten führen.

Dürfen türkische Unternehmen ausländische Cloud-Dienste nutzen?

Möglicherweise ja, aber die Regeln zur Datenübermittlung ins Ausland sind zu prüfen. Das Unternehmen sollte feststellen, welche Daten übermittelt werden, wohin sie übermittelt werden und welcher Rechtsmechanismus gilt.

Was sollte ein Unternehmen nach einer Datenpanne tun?

Das Unternehmen sollte umgehend Beweise sichern, den Vorfall bewerten, Rechts- und Technikteams einbinden, Meldepflichten bestimmen, Abhilfemaßnahmen ergreifen und alle Schritte dokumentieren.

Ist das KVKK bei Unternehmensübernahmen relevant?

Ja. Datenschutz-Compliance kann Bewertung, Garantien, Freistellungen, die Nutzbarkeit der Kundendatenbank und die Post-Closing-Integration beeinflussen.

Fazit

KVKK-Compliance ist keine Formalität. Sie ist eine operative Disziplin.

Unternehmen in der Türkei müssen ihre Datenflüsse verstehen, Einzelpersonen ordnungsgemäß informieren, sich auf die richtigen Rechtsgrundlagen stützen, personenbezogene Daten schützen, Dienstleister steuern, internationale Übermittlungen bewerten und sich auf mögliche Datenpannen vorbereiten.

Eine starke Compliance-Struktur verhindert kein Geschäft. Sie macht das Geschäft verlässlicher, prüfbar und widerstandsfähiger.

Für internationale Investoren wie für türkische Unternehmen sollte der Schutz personenbezogener Daten in Corporate Governance, Verträge, Beschäftigungsprozesse, IT-Systeme und Risikomanagement integriert werden.

Unternehmen, die Datenschutz als lebendiges Compliance-Programm behandeln, sind besser aufgestellt als jene, die ihn als einmal erstellten und vergessenen Ordner voller Dokumente betrachten.

Wie Terziolu & Partners unterstützen kann

Terziolu & Partners berät Unternehmen, Investoren, Unternehmer und Privatmandanten in gesellschafts-, handels-, aufsichts- und grenzüberschreitenden Angelegenheiten mit Bezug zur Türkei. Unsere Arbeit kann die Prüfung von KVKK-Compliance-Strukturen; die Erstellung von Datenschutzhinweisen und internen Richtlinien; die Bewertung von Verarbeitungstätigkeiten; die Beratung zu VERBIS und zum Datenverzeichnis; die Überprüfung von Prozessen für Beschäftigtendaten; die Beratung zur Marketing- und CRM-Compliance; die Prüfung von Dienstleister- und Auftragsverarbeitungsverträgen; die Beratung zu Auslandsübermittlungen; die Unterstützung bei der Reaktion auf Datenpannen; die Durchführung einer Datenschutz-Due-Diligence in Transaktionen; und die Abstimmung mit IT-, Cybersicherheits- und internationalen Beratern umfassen, wo erforderlich.

Besprechen Sie eine Angelegenheit zu KVKK-Compliance, Datenschutz oder Auslandsübermittlung mit unserem Team.

Dieser Artikel dient nur der allgemeinen Information und stellt keine Rechtsberatung dar. Datenschutzpflichten können je nach Tätigkeit, Datenkategorien, Rechtsgrundlage, Branche, Systemen, Dienstleistern, Übermittlungsmechanismen, Sicherheitsmaßnahmen, betroffenen Personen und Zeitpunkt der Beratung variieren. Allein auf Grundlage dieser Veröffentlichung sollten keine Maßnahmen ergriffen oder unterlassen werden. Vor der Umsetzung einer KVKK-Compliance-, Auslandsübermittlungs-, Verarbeitungs-, Dienstleistermanagement- oder Reaktionsmaßnahme sollte spezifischer rechtlicher und technischer Rat eingeholt werden. Die Übermittlung einer Anfrage an Terziolu & Partners begründet kein Mandatsverhältnis, sofern und solange das Mandat nicht schriftlich förmlich angenommen wurde.