Die Übermittlung personenbezogener Daten an Dritte und über die Grenzen der Türkei hinaus ist im türkischen Gesetz Nr. 6698 über den Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, KVKK — im Folgenden „das Gesetz“) geregelt. Das ist für internationale wie für inländische Unternehmen von besonderer Bedeutung, deren Tätigkeit über die Grenzen der Türkei hinausreicht. Unternehmen sollten ihre Abläufe daraufhin überprüfen, wo personenbezogene Daten gespeichert werden und ob die Vorschriften Anwendung finden.
Kundendaten im türkischen Bankenrecht
Das türkische Bankengesetz Nr. 5411 (Bankacılık Kanunu; den Gesetzestext finden Sie hier) sieht besondere Regeln für die Übermittlung von Kundendaten ins Ausland vor. Nach Art. 73 des Bankengesetzes werden Daten natürlicher und juristischer Personen, die nach der Begründung einer ausschließlich auf Bankgeschäfte gerichteten Kundenbeziehung mit Banken entstehen, zu Kundendaten und unterliegen den Beschränkungen des Bankengesetzes. Bei der Übermittlung von Kundendaten ins Ausland sind die Voraussetzungen des Bankengesetzes daher vorrangig vor denen des Gesetzes anzuwenden.
Übermittlung an Dritte
Für die Übermittlung personenbezogener Daten an Dritte verlangt das Gesetz im Grundsatz die ausdrückliche Einwilligung der betroffenen Person. In den folgenden Fällen ist für die Übermittlung jedoch keine ausdrückliche Einwilligung erforderlich:
- die Übermittlung ist in Gesetzen ausdrücklich vorgesehen;
- sie ist zum Schutz des Lebens oder der körperlichen Unversehrtheit der betroffenen Person (oder einer anderen Person) zwingend erforderlich, die aus tatsächlichen oder rechtlichen Gründen außerstande ist, ihre Einwilligung zu erklären;
- die Verarbeitung personenbezogener Daten der Vertragsparteien ist erforderlich und hängt unmittelbar mit dem Abschluss oder der Erfüllung eines Vertrages zusammen;
- sie ist zwingend erforderlich, damit der Verantwortliche seine rechtlichen Pflichten erfüllen kann;
- die Daten sind von der betroffenen Person selbst öffentlich gemacht worden;
- sie ist für die Begründung, Ausübung oder Verteidigung eines Rechts zwingend erforderlich, oder
- sie ist für die berechtigten Interessen des Verantwortlichen zwingend erforderlich, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden.
Darüber hinaus dürfen nach dem Gesetz personenbezogene Daten über Gesundheit und Sexualleben von Personen, die einer Geheimhaltungspflicht unterliegen, oder von zuständigen Behörden und Einrichtungen ohne die ausdrückliche Einwilligung der betroffenen Person ausschließlich zu den folgenden Zwecken verarbeitet und damit auch übermittelt werden:
- Schutz der öffentlichen Gesundheit;
- präventive Medizin;
- medizinische Diagnostik;
- Durchführung von Behandlungs- und Pflegeleistungen oder
- Planung und Steuerung der Gesundheitsleistungen und ihrer Finanzierung.
Übermittlungen aus der Türkei hinaus
Der durch das Gesetz Nr. 7499 geänderte Art. 9 stellt die Übermittlung ins Ausland auf ein dreistufiges Gefüge. Eine Übermittlung ist zunächst möglich, wenn eine der Voraussetzungen der Art. 5 und 6 vorliegt und für das Zielland, den Zielsektor oder die internationale Organisation ein Angemessenheitsbeschluss ergangen ist. Fehlt ein Angemessenheitsbeschluss, hängt die Übermittlung davon ab, dass eine der in Art. 9 Abs. 4 aufgezählten geeigneten Garantien geschaffen wird: eine Vereinbarung zwischen Behörden und öffentlichen Einrichtungen (mit Genehmigung des Ausschusses), vom Ausschuss gebilligte verbindliche interne Datenschutzvorschriften, der vom Ausschuss veröffentlichte Standardvertrag oder eine — ebenfalls genehmigungsbedürftige — schriftliche Verpflichtungserklärung. Der Standardvertrag ist der Behörde innerhalb von fünf Werktagen nach seiner Unterzeichnung anzuzeigen. Liegt weder ein Angemessenheitsbeschluss noch eine geeignete Garantie vor, ist eine Übermittlung nur in den in Art. 9 Abs. 6 genannten Fällen und nur gelegentlich zulässig. Der Ausschuss für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu — im Folgenden „der Ausschuss“) hat mit Stand Juli 2026 für kein Land, keinen Sektor und keine internationale Organisation einen Angemessenheitsbeschluss veröffentlicht; Übermittlungen ins Ausland laufen in der Praxis daher über geeignete Garantien oder über die Fälle gelegentlicher Übermittlung.
Die Kriterien für die Bestimmung von Ländern mit angemessenem Schutzniveau hat der Ausschuss in seiner Entscheidung Nr. 2019/125 dargelegt (die Entscheidung finden Sie hier). Die Entscheidung enthält ein Formular, das bei der Bestimmung solcher Länder verwendet wird. In die Bewertung fließen die folgenden Punkte ein:
- das Erfordernis der Gegenseitigkeit;
- die Vorschriften des betreffenden Landes über die Verarbeitung personenbezogener Daten und deren Anwendung;
- ob es dort eine unabhängige Datenschutzaufsicht gibt;
- die Beteiligung an internationalen Übereinkommen zum Schutz personenbezogener Daten;
- die Mitgliedschaft in internationalen Organisationen;
- die Mitgliedschaft in den globalen und regionalen Organisationen, denen die Türkei angehört, und
- das Handelsvolumen mit dem betreffenden Land.
Zwischen dem Inkrafttreten des Gesetzes am 7. April 2016 und dem Inkrafttreten des Gesetzes Nr. 7499 am 1. Juni 2024 gingen beim Ausschuss 86 Anträge auf Genehmigung einer Verpflichtungserklärung ein, von denen 10 angenommen wurden; von den im selben Zeitraum gestellten 3 Anträgen zu verbindlichen internen Datenschutzvorschriften wurde keiner angenommen (KVKK, Leitfaden zur Übermittlung ins Ausland, Januar 2025). Der Ausschuss hat mitgeteilt, dass er die erste Genehmigung am 9. Februar 2021 einem Unternehmen der Fahrzeugflottenvermietung und die zweite am 4. März 2021 einem im elektronischen Handel und in Webdiensten tätigen Unternehmen (Tochtergesellschaften von Amazon) erteilt hat.
Der Ausschuss prüft die Anträge sowohl in formeller als auch in materieller Hinsicht. Der kritischste Punkt der materiellen Prüfung ist die Feststellung, ob die Übermittlung von einem Verantwortlichen an einen anderen Verantwortlichen oder von einem Verantwortlichen an einen Auftragsverarbeiter (veri işleyen) erfolgt. Antragstellende sollten den Übermittlungsvorgang sorgfältig analysieren. Für die Bestimmung des Verhältnisses zwischen Verantwortlichem und Auftragsverarbeiter kann die Entscheidung des Ausschusses vom 30. Januar 2020, Nr. 2020/71, herangezogen werden (die Entscheidung finden Sie hier).
Bei der Erteilung einer Genehmigung hat der Ausschuss die internationalen Übereinkommen, die Gegenseitigkeit zwischen den Ländern, die vom Verantwortlichen getroffenen Maßnahmen sowie Dauer und Zweck der Verarbeitung zu würdigen.
Gelangt der Ausschuss zu der Überzeugung, dass das öffentliche Interesse oder persönliche Interessen verletzt werden, kann er die Datenübermittlung in Drittländer beschränken. Wie der Ausschuss die Kriterien für eine solche Verletzung bestimmen wird, ist noch nicht geklärt.
Verbindliche interne Datenschutzvorschriften
Die Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu — im Folgenden „die Behörde“) hat am 10. April 2020 die verbindlichen internen Datenschutzvorschriften (Bağlayıcı Unternehmen Kuralları, „BŞK“) bekannt gegeben, die den konzerninternen Datentransfer zwischen multinationalen Unternehmen ermöglichen. Verbindliche interne Datenschutzvorschriften werden definiert als Datenschutzregeln für grenzüberschreitende Übermittlungen, die es multinationalen Konzerngesellschaften, die in Ländern ohne angemessenes Schutzniveau tätig sind, ermöglichen, bei konzerninternen Übermittlungen ein angemessenes Datenschutzniveau zu gewährleisten.
Wegen der Schwierigkeiten bei der Anwendung der im Gesetz vorgesehenen Regeln zur Übermittlung ins Ausland war erwartet worden, dass die Behörde — parallel zu dem im Rahmen der DSGVO anerkannten Ansatz der verbindlichen internen Datenschutzvorschriften — neue Regelungen für konzerninterne grenzüberschreitende Übermittlungen veröffentlicht. Als Antwort auf die Bedürfnisse der Branche hat die Behörde eine alternative, auf Konzerngesellschaften zugeschnittene Methode der Übermittlung ins Ausland entwickelt, die dem Ansatz der EU zu den verbindlichen internen Datenschutzvorschriften nachgebildet ist.
Die von der Behörde vorgesehenen verbindlichen internen Datenschutzvorschriften ermöglichen es multinationalen Unternehmen, personenbezogene Daten aus der Türkei an ein Mitglied desselben Konzerns in einem Land mit niedrigem Datenschutzniveau zu übermitteln. In diesen Fällen sind die verbindlichen internen Datenschutzvorschriften als Zusage eines ordnungsgemäßen Datenschutzes bei konzerninternen grenzüberschreitenden Übermittlungen zu verstehen.
Die verbindlichen internen Datenschutzvorschriften müssen sämtliche allgemeinen Datenschutzgrundsätze und angemessene Garantien für den Schutz personenbezogener Daten innerhalb des Konzerns enthalten. Die Behörde hat auf ihrer offiziellen Website einen Leitfaden zu den erforderlichen Inhalten sowie ein Standardantragsformular veröffentlicht (die Dokumente finden Sie hier und hier).
Beim Aufbau der Übermittlungsmechanismen unterstützt Sie unsere Leistung zur Datenübermittlung ins Ausland; den aktuellen Stand der Regelungen führen wir in unserem Eintrag zum KVKK unter den Rechtsvorschriften.
