Verantwortliche müssen die Informationspflicht, die ausdrückliche Einwilligung, die Zulässigkeitsvoraussetzungen der Verarbeitung, die Datensicherheit und die grenzüberschreitende Übermittlung gemeinsam mit ihren operativen Abläufen steuern.
Grundschritte der Compliance nach KVKK und DSGVO
Dieser Beitrag fasst in einem allgemeinen Rahmen die Themen zusammen, die Unternehmen in ihrer Entscheidungsfindung berücksichtigen sollten. Die Anwendung kann je nach Branche und konkreter Transaktionsstruktur unterschiedlich ausfallen.
Praktische Folgerungen für Unternehmen
- Die einschlägigen Rechtsvorschriften und die Praxis sind stets auf dem aktuellen Stand zu bewerten.
- Vertragliche, Compliance- und operative Abläufe sind gemeinsam zu behandeln.
- Für den konkreten Sachverhalt ist eine aktenbezogene rechtliche Analyse vorzunehmen.
Prioritäten und Reihenfolge in der Praxis
Ausgangspunkt jeder Compliance-Arbeit ist das Verzeichnis der personenbezogenen Daten: Solange nicht offenliegt, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet und an wen sie übermittelt werden, lassen sich weder die Informationstexte noch die Einwilligungsarchitektur richtig aufsetzen. Nach dem Verzeichnis ist die Informationspflicht auf jedem einzelnen Erhebungskanal gesondert zu erfüllen — Website, Formular, Callcenter, Personalprozesse — und die ausdrückliche Einwilligung nur dort einzusetzen, wo keine der übrigen Verarbeitungsvoraussetzungen greift.
In Unternehmen, die sowohl auf die Türkei als auch auf die EU hin tätig sind, sollten die Pflichten aus dem türkischen Datenschutzgesetz (KVKK, Gesetz Nr. 6698) und aus der DSGVO in einer einzigen Prozessarchitektur zusammengeführt werden; werden die beiden Regime getrennt gesteuert, steigen die Kosten, und es entsteht das Risiko einer uneinheitlichen Praxis. Zu dieser Architektur gehören auch die Dokumentation der Datensicherheitsmaßnahmen, das tatsächliche Betreiben der Aufbewahrungs- und Löschfristen und ein vorab festgelegter Meldeablauf für den Fall einer Verletzung. Ein strukturiertes KVKK-/DSGVO-Compliance-Programm führt all diese Punkte in einem einzigen Kalender zusammen.
Die Vertragsebene: Auftragsverarbeiter und Übermittlungen
Stehen die Ebene des Verzeichnisses und die der Informationstexte, folgt die Vertragsebene: In die Verträge mit Lieferanten, die als Auftragsverarbeiter tätig werden — Cloud-Anbieter, Callcenter, Entgeltabrechnungs- und HR-Software, Marketingagentur —, sind Regelungen zur Datenverarbeitung aufzunehmen, die Kette der Unterauftragsverarbeiter ist sichtbar zu machen, und wo Daten ins Ausland gehen, sind die von den Rechtsvorschriften vorgesehenen Übermittlungsgarantien auszuwählen und zu dokumentieren. Für registrierungspflichtige Verantwortliche bildet dasselbe Verzeichnis die Grundlage der Meldung an das türkische Datenverantwortlichenregister VERBİS und auf Seiten der DSGVO die Grundlage des Verzeichnisses von Verarbeitungstätigkeiten — beide aus einem einzigen Verzeichnis abzuleiten, statt sie getrennt zu erzeugen, senkt zugleich die Kosten und das Risiko der Widersprüchlichkeit.
Vorbereitung auf den Ernstfall
Der Moment, in dem sich die Compliance-Arbeit wirklich bewährt, ist der Moment der Verletzung. Die kurzen Meldefristen der Rechtsvorschriften setzen voraus, dass vorab niedergeschrieben ist, wer eine Verletzung ab welcher Schwelle und in welcher Reihenfolge bewertet: technische Feststellung, rechtliche Bewertung, Meldung an die zuständige Aufsichtsbehörde und an die betroffenen Personen sowie die Dokumentation all dieser Schritte. Da derselbe Vorfall meist unter beiden Regimen zugleich zu bewerten ist, gehören die Meldeabläufe nicht in zwei getrennte Handbücher, sondern in einen einzigen Notfallplan. Auch für die fristgerechte Beantwortung von Betroffenenanfragen braucht es eine klare Zuständigkeit und eine Nachverfolgung.
Fragen für die interne Klärung
- Welche Daten werden zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet — und wird die ausdrückliche Einwilligung wirklich benötigt?
- Wird der Informationstext auf jedem Kanal angezeigt, über den Daten erhoben werden?
- Welche Lieferanten haben Zugang zu personenbezogenen Daten, und enthalten deren Verträge Datenschutzregelungen?
- Verlassen Daten das Land, und wenn ja, auf welche Garantie wird dabei gestützt?
- Werden Aufbewahrungs- und Löschfristen tatsächlich betrieben, oder stehen sie nur in der Richtlinie?
- Ist geklärt, wer in den ersten Stunden einer Verletzung entscheidet?
Die Antworten hängen von der Branche und von der konkreten Verarbeitungsstruktur ab; die geltenden Rechtsvorschriften und die Praxis der Aufsichtsbehörde sind im Einzelfall zu bewerten (Stand: Juli 2026).
Doppelte Compliance auf der deutsch-türkischen Achse
Bei türkischen Unternehmen mit Kunden, einer Niederlassung oder einer Konzerngesellschaft in Deutschland treffen beide Regime gleichzeitig auf denselben Datenfluss. Das häufigste Problem in diesen Unternehmen ist, dass zwei getrennte Dokumentensätze — einer für das KVKK, einer für die DSGVO — unabhängig voneinander weiterleben: ein Verzeichnis, zwei Textsammlungen und in der Praxis eine dritte Wirklichkeit. Eine einheitliche Prozessarchitektur schließt diese Schere. Zu den Rechtsvorschriften selbst finden Sie unseren Eintrag zur DSGVO, zu den aktuellen Entwicklungen rund um Daten unseren Schwerpunkt Daten.
Wem gehört die Compliance?
Datenschutz-Compliance verliert schon im ersten Quartal an Tempo, wenn niemand für sie verantwortlich ist. Das Modell, das in der Praxis funktioniert, sieht so aus: Eine kleine Arbeitsgruppe aus Recht, IT und den betroffenen Fachbereichen wird einer einzigen verantwortlichen Person zugeordnet, ein Termin für die jährliche Überprüfung wird im Kalender festgelegt, und in die Abläufe wird ein Prüfschritt eingebaut, der immer dann ausgelöst wird, wenn ein neues Produkt, ein neuer Kanal oder ein neuer Lieferant hinzukommt. Sobald die Compliance-Arbeit aufhört, ein Projekt zu sein, und zur Routine wird, werden ihre Kosten planbar.
