Zwei Regime, eine Website
Wenn Sie aus demselben Schaufenster in die Türkei und in die EU verkaufen, erfüllen Sie im Datenschutz zwei Regime zugleich: das türkische Datenschutzgesetz (KVKK, Nr. 6698) samt dem Cookie-Leitfaden der türkischen Datenschutzbehörde und die DSGVO samt ePrivacy (in Deutschland § 25 TDDDG). Die gute Nachricht: Die Regeln zeigen weitgehend in dieselbe Richtung – informieren, Einwilligung einholen, ohne Einwilligung nichts laden. Die schlechte: Eine Konfiguration, die unter dem einen Regime gerade noch durchgeht, kann unter dem anderen einen Verstoß erzeugen.
Praxishinweis
Schnelltest: Öffnen Sie Ihre Website in einem privaten Fenster und sehen Sie sich, ohne irgendetwas anzuklicken, in den Entwicklerwerkzeugen die Cookies an. Sind Einträge wie _ga oder _fbp bereits gesetzt, verstößt Ihre Einwilligungsgestaltung gegen die Vorgaben.
Bauen wir Ihre Einwilligungsebene richtig auf
Cookie-Inventar, Banner-Gestaltung, Aufklärungstext und Richtliniensatz in einem einzigen Projekt – in den drei Sprachen Türkisch, Deutsch und Englisch.
Aufklärungstext: die Informationspflicht
Nach Art. 10 KVKK sind die Identität der verantwortlichen Stelle, die Verarbeitungszwecke, der Rechtsgrund, die Empfänger, die Erhebungsmethode und die Rechte der betroffenen Person darzustellen – neben den Formularen und den Registrierungsstrecken, gestuft und leicht zugänglich. Der praktische Standard im E-Commerce ist ein Dreiklang: allgemeiner Aufklärungstext (aydınlatma metni), kurzer Hinweis unter jedem Formular und Cookie-Richtlinie. Auf Seiten der DSGVO erfüllt Art. 13 dieselbe Funktion; ein einziger Text kann beide Regime zugleich abdecken.
Cookie-Banner: die Einwilligungspflicht
Alles, was über die unbedingt erforderlichen Cookies (Sitzung, Warenkorb, Sicherheit) hinausgeht – Analytik, Marketing, Personalisierung –, ist einwilligungspflichtig. Eine wirksame Einwilligung hat drei Voraussetzungen: Sie muss vorher erteilt werden (vor dem Laden), freiwillig sein (Ablehnen ist genauso leicht wie Zustimmen) und informiert erfolgen (je Zweck und je Werkzeug). Die Formel „Mit der Nutzung dieser Website erklären Sie sich einverstanden“ ist unter beiden Regimen unwirksam.
Wie sieht das von außen aus?
Einwilligungsverstöße lassen sich technisch scannen: _ga- und _fbp-Cookies, die schon vor dem Erscheinen des Banners gesetzt werden, Gestaltungen ohne Ablehnen-Schaltfläche, Banner mit Dark Patterns, die das Ablehnen verstecken. Deshalb ist die Cookie-Gestaltung der zweite Punkt unseres Außenansicht-Scans – und sie wird in der deutschen Abmahnpraxis immer häufiger aufgegriffen.
Eine einzige Ebene für doppelte Compliance
Die von uns empfohlene Architektur: (1) ein werkzeugbezogenes Cookie-Inventar; (2) ein nach Kategorien getrenntes Einwilligungsmanagement (erforderlich / Analytik / Marketing) mit Text- und Sprachvarianten je nach Land; (3) die Aufbewahrung der Einwilligungsnachweise; (4) ein stimmiger Dreiklang aus Aufklärungstext, Cookie-Richtlinie und Datenschutzerklärung; (5) eine Auffrischung des Inventars alle drei Monate. Dieses Setup schließt zugleich Schritt 4 unseres DSGVO-Fahrplans.
Fünf häufige Fehler
(1) Ein Banner ist da, aber die Cookies laden vorher; (2) die Ablehnen-Schaltfläche versteckt sich in der zweiten Ebene; (3) der Aufklärungstext steht nur auf der Startseite; (4) es werden keine Einwilligungsnachweise geführt – die Beweislast wird vergessen; (5) dem türkischen Publikum wird ein englischer Mustertext angezeigt. Alle fünf haben dieselbe Folge: Compliance auf dem Papier, Verstoß in der Praxis.
Fazit
Die Cookie- und Hinweisebene ist das Schaufenster der Datenschutz-Compliance: Ist sie lückenhaft, wird angenommen, dass es drinnen ebenso aussieht. Eine einzige, richtig gebaute Ebene erfüllt KVKK, DSGVO und die Prüfungen der Marktplätze zugleich. Die türkische Seite (KVKK) und die unionsrechtliche Seite (DSGVO) bearbeitet Köksal; kommt es auf deutsches Recht an – etwa auf § 25 TDDDG oder auf die Abwehr einer Abmahnung –, bearbeitet dies unsere in Deutschland zugelassene Partnerkanzlei activelaw (Hannover). Für die Einrichtung sehen Sie sich unser KVKK-/DSGVO-Programm an, für die Übermittlungsdimension unseren KVKK-Eintrag in den Rechtsvorschriften.
