Sanktionen bei Verstößen gegen das KVKK und Entscheidungen des Ausschusses

Sanktionen

Bestimmte Verstöße gegen die türkischen Vorschriften zum Schutz personenbezogener Daten können eine Freiheitsstrafe nach sich ziehen:

• nach dem türkischen Strafgesetzbuch (Türk Ceza Kanunu) können das rechtswidrige Erlangen, Verarbeiten und Übermitteln personenbezogener Daten mit Freiheitsstrafe (von sechs Monaten bis zu vier Jahren) oder mit Geldstrafe geahndet werden;
• nach Art. 60 des türkischen Strafgesetzbuchs können gegen juristische Personen Sicherungsmaßnahmen verhängt werden, etwa der Entzug der Betriebserlaubnis sowie die Einziehung der zur Begehung der Straftat verwendeten oder durch sie erlangten Gegenstände oder der aus der Straftat gezogenen Vorteile;
• die bei Verstößen gegen das türkische Gesetz Nr. 6698 über den Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, KVKK — im Folgenden „das Gesetz“) verhängten Bußgelder werden jährlich um den Neubewertungssatz angepasst; für das Jahr 2026 bewegen sich die Beträge je nach dem einschlägigen Buchstaben des Art. 18 Abs. 1 des Gesetzes zwischen 85.437 türkischen Lira (TL) und 17.092.242 TL. Der durch das Gesetz Nr. 7499 eingefügte Art. 18 Abs. 1 lit. d sieht einen eigenen Bußgeldrahmen für den Fall vor, dass der Standardvertrag der Behörde nicht angezeigt wird;
• Personen können nach dem türkischen Zivilgesetzbuch Nr. 4721 (Türk Medeni Kanunu, in der jeweils geltenden Fassung) Schadensersatz verlangen, wenn ihre personenbezogenen Daten rechtswidrig erlangt oder verarbeitet worden sind (den Gesetzestext finden Sie hier), und
• auch sektorspezifische Regelungen sehen Bußgelder vor; so etwa die Verordnung über Verwaltungssanktionen der türkischen Behörde für Informations- und Kommunikationstechnologien (die Verordnung finden Sie hier), die für autorisierte Betreiber (Diensteanbieter, Netzbetreiber, Infrastrukturbetreiber), die Pflichten zu personenbezogenen Daten und zur Sicherheit verletzen, ein Bußgeld von bis zu 3 % ihres Nettoumsatzes des vorangegangenen Kalenderjahres vorsieht.

Entscheidungen aus der Rechtsanwendung

Der Ausschuss für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu — im Folgenden „der Ausschuss“) veröffentlicht Grundsatzentscheidungen, in denen er die wesentlichen Maßstäbe darlegt, die Verantwortliche zu beachten haben. Die Einzelheiten dieser Grundsatzentscheidungen finden sich unten unter der Überschrift „Entscheidungen des Ausschusses“. Aus den Grundsatzentscheidungen ragen die folgenden Punkte heraus:

• jede Verarbeitung muss den Voraussetzungen für die Verarbeitung personenbezogener Daten nach Art. 5 und 6 des Gesetzes entsprechen; wer personenbezogene Daten verarbeitet, hat auch die übrigen Pflichten des Gesetzes einzuhalten;
• Einrichtungen, die in Servicebereichen wie Schaltern, Kassen und Theken Leistungen erbringen, müssen sicherstellen, dass sich dort nur befugte Personen aufhalten, und die erforderlichen Maßnahmen treffen, damit die dort bedienten Personen die personenbezogenen Daten der jeweils anderen weder sehen noch hören können;
• Verantwortliche müssen alle erforderlichen technischen und organisatorischen Maßnahmen für eine angemessene Datensicherheit treffen, um unbefugte Zugriffe und den Missbrauch von Berechtigungen zu unterbinden und zu verhindern;
• Werbemaßnahmen, die auf einer rechtswidrigen Nutzung der Kontaktdaten betroffener Personen beruhen, sind einzustellen;
• es ist rechtswidrig, wenn Personen und Einrichtungen Softwareprogramme einsetzen, die auf Grundlage auf verschiedenen Wegen erlangter Daten die Abfrage personenbezogener Daten ermöglichen; solche Nutzungen werden nach dem türkischen Strafrecht verfolgt, und
• zur Überprüfung der von betroffenen Personen angegebenen Kontaktdaten sind angemessene Maßnahmen zu treffen, etwa die Zusendung eines Bestätigungscodes und/oder eines Bestätigungslinks an die Telefonnummer und/oder die E-Mail-Adresse.

Neben den genannten Grundsatzentscheidungen sind die folgenden Einzelentscheidungen des Ausschusses für das Verständnis der Praxis von Bedeutung:

• mit seiner Entscheidung Nr. 2020/559 hat der Ausschuss gegen einen Verantwortlichen, der ohne wirksame Rechtsgrundlage personenbezogene Daten ins Ausland übermittelt hatte, ein Bußgeld von 900.000 TL verhängt. Die Verteidigung des Verantwortlichen, das Übereinkommen Nr. 108 des Europarats genüge für sich genommen für eine Datenübermittlung ins Ausland zwischen seinen Vertragsparteien, hat der Ausschuss nicht gelten lassen. Die Beteiligung am Übereinkommen Nr. 108 reicht nicht aus, damit das betreffende Land als sicheres Land gilt; Übermittlungen ins Ausland, die allein auf dieses Übereinkommen gestützt werden, erfüllen die Voraussetzungen des Gesetzes nicht (die Entscheidung finden Sie hier);
• in seiner Entscheidung Nr. 2019/157 hat der Ausschuss festgehalten, dass der Bezug von E-Mail-Diensten von Anbietern, deren Server bzw. Rechenzentren außerhalb der Türkei liegen, als Datenübermittlung ins Ausland gilt. Auch Speicherdienste, die von Verantwortlichen oder Auftragsverarbeitern mit Servern im Ausland bezogen werden, müssen daher Art. 9 des Gesetzes entsprechen (die Entscheidung finden Sie hier);
• in seiner Entscheidung Nr. 2020/746 hat der Ausschuss festgehalten, dass das Recht auf Auskunft auch das Recht auf Zugang umfasst und dass das Verlangen der betroffenen Person, ihr ihre personenbezogenen Daten herauszugeben, rechtmäßig ist. Enthält die betreffende Aufzeichnung jedoch auch personenbezogene Daten anderer als der betroffenen Person, kommen die Maskierung der personenbezogenen Daten Dritter und/oder die Bereitstellung der Aufzeichnung in einer alternativen Form (etwa als Transkript oder als Aufzeichnung selbst) in Betracht (die Entscheidung finden Sie hier);
• in seiner Entscheidung Nr. 2020/494 hat der Ausschuss festgestellt, dass es rechtmäßig ist, wenn die Arbeitgeberseite in einem von der gekündigten beschäftigten Person angestrengten Verfahren auf Wiedereinstellung (işe iade davası) Kameraaufzeichnungen als Beweismittel vorlegt (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2021/115 hat der Ausschuss gegen einen Verantwortlichen, der die Telefonnummer des Bruders eines Schuldners mit der Begründung als Alternativnummer gespeichert hatte, die Bank habe zuvor über diese Nummer Kontakt aufgenommen, ein Bußgeld von 175.000 TL verhängt (die Entscheidung finden Sie hier);
• in seiner Entscheidung Nr. 2020/755 hat der Ausschuss entschieden, dass ein Verantwortlicher in der Stellung der Hausverwaltung das Gesetz nicht verletzt, wenn er bestimmte angeforderte personenbezogene Daten — darunter die Aufstellung offener Wohngeldzahlungen und die Mobilfunknummer — an die Eigentümerin oder den Eigentümer der Wohnung der betroffenen Person weitergibt; denn diese Verarbeitung ist erforderlich, damit die Rechte ausgeübt werden können, die Art. 22 des türkischen Wohnungseigentumsgesetzes Nr. 634 (Kat Mülkiyeti Kanunu) der Eigentümerseite einräumt (die Entscheidung finden Sie hier);
• in seiner Entscheidung Nr. 2021/111 hat der Ausschuss zur Kontaktaufnahme mit Angehörigen einer schuldnerischen Person wegen einer Forderung drei Bußgelder verhängt: 50.000 TL gegen die erste Rechtsanwaltskanzlei, die personenbezogene Daten ohne jede Verarbeitungsvoraussetzung verarbeitet hatte; 115.000 TL gegen das Unternehmen, das diese Daten ohne Prüfung ihrer Richtigkeit an eine weitere Kanzlei übermittelt hatte; und 100.000 TL gegen die Kanzlei, die diese Personen kontaktiert hatte, obwohl ihr bekannt war, dass die Daten der schuldnerischen Person selbst zuzuordnen waren (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/407 hat der Ausschuss gegen ein verantwortliches Krankenhaus, das Gesundheitsdaten der betroffenen Person per E-Mail nicht nur an sie selbst, sondern auch an eine dritte Person übermittelt hatte, ein Bußgeld von 100.000 TL verhängt (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/404 hat der Ausschuss gegen einen Verantwortlichen, der seiner Informationspflicht nicht ordnungsgemäß nachgekommen war, personenbezogene Daten besonderer Kategorien — darunter biometrische Daten wie Fingerabdrücke beim Betreten und Verlassen des Betriebs — ohne wirksame ausdrückliche Einwilligung verarbeitet und personenbezogene Daten ins Ausland übermittelt hatte, ein Bußgeld von insgesamt 250.000 TL verhängt (die Entscheidung finden Sie hier), und
• mit seiner Entscheidung Nr. 2020/335 hat der Ausschuss gegen einen Verantwortlichen, der die ausdrückliche Einwilligung zur Vorbedingung der Fahrzeugmietleistung gemacht und einer Kundschaft ohne Einwilligung keine Leistung erbracht hatte, ein Bußgeld von 50.000 TL verhängt (die Entscheidung finden Sie hier).

Entscheidungen des Ausschusses

Der Ausschuss veröffentlicht darüber hinaus Entscheidungen, um das Gesetz, die Ausführungsvorschriften und die Praxis klarzustellen. Herausragende Entscheidungen sind:

• Entscheidung Nr. 2018/10 zu den ausreichenden Maßnahmen, die bei der Verarbeitung personenbezogener Daten besonderer Kategorien zu treffen sind (die Entscheidung finden Sie hier): Der Ausschuss hat dargelegt, dass Verantwortliche eine gesonderte Leitlinie und ein gesondertes Verfahren für den Schutz personenbezogener Daten besonderer Kategorien festlegen müssen, und die Bedeutung der Umsetzung der zuvor im Leitfaden zur Sicherheit personenbezogener Daten festgelegten Maßnahmen betont. Entscheidung Nr. 2017/62 zur Datensicherheit in Servicebereichen (die Entscheidung finden Sie hier): Der Ausschuss hat dargelegt, dass Einrichtungen, die in Servicebereichen wie Schaltern, Kassen und Theken Leistungen erbringen, sicherstellen müssen, dass sich dort nur befugte Personen aufhalten, und die erforderlichen Maßnahmen zu treffen haben, damit die dort bedienten Personen die personenbezogenen Daten der jeweils anderen weder sehen noch hören können. Der Ausschuss hat dabei besonders auf Banken und Gesundheitseinrichtungen verwiesen. Entscheidung Nr. 2017/61 zu Telefonauskunftsdiensten (die Entscheidung finden Sie hier): Der Ausschuss hat entschieden, dass Websites und Anwendungen, die eine Abfrage über Telefonnummer oder Name ermöglichen und personenbezogene Daten ohne einen im Gesetz und in den einschlägigen Vorschriften vorgesehenen berechtigten Grund weitergeben, ihre Tätigkeit unverzüglich einzustellen haben und andernfalls mit verwaltungs- oder strafrechtlichen Sanktionen zu rechnen ist. In der Entscheidung wird betont, dass jede Verarbeitung den Voraussetzungen für die Verarbeitung personenbezogener Daten nach Art. 5 und 6 des Gesetzes entsprechen muss und dass, wer personenbezogene Daten verarbeitet, auch die übrigen Pflichten des Gesetzes einzuhalten hat.

Zu den vom Ausschuss veröffentlichten Grundsatzentscheidungen zählen die folgenden:

• Entscheidung Nr. 2018/63 zum unbefugten Zugriff auf Daten und zu deren unbefugter Nutzung (die Entscheidung finden Sie hier): Der Ausschuss hat bekannt gegeben, dass Verantwortliche alle erforderlichen technischen und organisatorischen Maßnahmen für eine angemessene Datensicherheit treffen müssen, um unbefugte Zugriffe und den Missbrauch von Berechtigungen zu unterbinden und zu verhindern.
• Entscheidung Nr. 2018/119 zu Werbemaßnahmen, die auf einer rechtswidrigen Nutzung der Kontaktdaten betroffener Personen beruhen (die Entscheidung finden Sie hier): Der Ausschuss hat bekannt gegeben, dass Werbemaßnahmen, bei denen die Kontaktdaten betroffener Personen rechtswidrig genutzt werden, einzustellen sind. Er hat klargestellt, dass auch diejenigen, die per E-Mail, SMS und Anruf werben, diese Tätigkeiten einzustellen haben und andernfalls Sanktionen zu erwarten sind.
• Entscheidung Nr. 2019/308 zu Personen und Einrichtungen, die verschiedene Softwareprogramme zur Abfrage personenbezogener Daten einsetzen (die Entscheidung finden Sie hier): Der Ausschuss hat festgestellt, dass Personen und Einrichtungen Softwareprogramme einsetzen, die auf Grundlage auf verschiedenen Wegen erlangter Daten die Abfrage personenbezogener Daten ermöglichen. Er hat dabei besonders auf Anwältinnen und Anwälte, auf Rechtsanwaltskanzleien sowie auf Personen und Einrichtungen aus dem Finanz-, Immobilien- und Versicherungssektor verwiesen. Der Ausschuss hat bekannt gegeben, dass der Einsatz solcher Softwareprogramme nicht mit Art. 12 des Gesetzes vereinbar ist und dass gegen Auftragsverarbeiter, die diese Software einsetzen, nach dem türkischen Strafrecht vorgegangen wird.
• Entscheidung Nr. 2020/966 zu den technischen und organisatorischen Maßnahmen, die Verantwortliche zur Überprüfung der von betroffenen Personen mitgeteilten Kontaktdaten zu treffen haben (die Entscheidung finden Sie hier): Der Ausschuss hat entschieden, dass die von betroffenen Personen angegebenen Kontaktdaten mit angemessenen Methoden zu überprüfen sind — etwa durch Zusendung eines Bestätigungscodes und/oder eines Bestätigungslinks an die Telefonnummer und/oder die E-Mail-Adresse —, damit personenbezogene Daten richtig und erforderlichenfalls auf dem neuesten Stand gehalten werden.
• Entscheidung Nr. 2019/125 zu den Kriterien für die Bestimmung von Ländern mit angemessenem Schutzniveau (die Entscheidung finden Sie hier): ergangen im Rahmen des Art. 9 des Gesetzes;
• Entscheidung Nr. 2019/10 zu Verfahren und Grundsätzen der Meldung von Verletzungen des Schutzes personenbezogener Daten (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2019/9 zur Bestimmung des Antragsverfahrens beim Verantwortlichen und der Fristen für die Beschwerde beim Ausschuss (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2019/225 zur Pflicht von Verantwortlichen mit Sitz außerhalb der Türkei, sich in das Register der Verantwortlichen (Veri Sorumluları Sicili — „das Register“) einzutragen (die Entscheidung finden Sie hier). Verantwortliche mit Sitz außerhalb der Türkei können zur Eintragung in VERBİS verpflichtet sein, wenn sie unmittelbar oder über Zweigniederlassungen oder Verbindungsbüros in der Türkei personenbezogene Daten verarbeiten;

Zu den Ausnahmen von der Pflicht zur Eintragung in das Register der Verantwortlichen ergingen die folgenden Entscheidungen:

• Entscheidung Nr. 2018/32 (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2018/68 (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2018/75 (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2018/87 (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2019/353 (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2020/315 (die Entscheidung finden Sie hier) und
• Entscheidung Nr. 2018/88 zu den Eintragungsfristen (die Entscheidung finden Sie hier)

Zu den Fristen für die Eintragung in das Register ergingen die folgenden Entscheidungen:

• Entscheidung Nr. 2019/265 (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2019/387 (die Entscheidung finden Sie hier);
• Entscheidung Nr. 2020/482 (die Entscheidung finden Sie hier) und
• Entscheidung Nr. 2021/238 (die Entscheidung finden Sie hier).

Die Behörde für den Schutz personenbezogener Daten veröffentlicht überdies zusammengefasste und anonymisierte Entscheidungen des Ausschusses, um die Vorschriften und die Praxis auf diesem sich entwickelnden Gebiet klarzustellen. Diese Entscheidungen geben einen Eindruck davon, wie der Ausschuss bestimmte Aspekte der Verarbeitung, der Übermittlung und von Sicherheitsverletzungen beurteilen wird. Aus ihnen ragen die folgenden Punkte heraus:

• Entscheidung Nr. 2020/481 zum Recht auf Vergessenwerden (die Entscheidung finden Sie hier): Der Ausschuss hat festgehalten, dass Suchmaschinen, die mit von Websites Dritter gesammelten Daten arbeiten, Verantwortliche sind, die eine Verarbeitung personenbezogener Daten vornehmen. Verlangen betroffene Personen die Entfernung aus den Ergebnissen einer Suchmaschine, so hat der Ausschuss dies als Unterfall des Rechts auf Vergessenwerden eingeordnet. Bei der Beurteilung solcher Verlangen ist eine Abwägung zwischen den Grundrechten und Grundfreiheiten der betroffenen Person und dem Interesse der Öffentlichkeit am Zugang zu Informationen vorzunehmen. Der Ausschuss hat für diese Abwägung eine Liste mit 13 Kriterien veröffentlicht.
• Der Ausschuss hat entschieden, dass eine Meldung der Verletzung des Schutzes personenbezogener Daten an die betroffenen Personen erst 17 Monate nach der Verletzung die angemessene Frist überschreitet und ihrerseits eine Verletzung der Datensicherheit darstellt (die Entscheidung finden Sie hier);
• wird von der betroffenen Person zusätzlich eine ausdrückliche Einwilligung eingeholt, obwohl bereits eine andere Verarbeitungsvoraussetzung vorliegt, so stellt dies auf Seiten des Verantwortlichen einen Rechtsmissbrauch dar; die ausdrückliche Einwilligung darf auch nicht zur Vorbedingung einer Leistung gemacht werden (die Entscheidung finden Sie hier);
• der Ausschuss hat entschieden, dass die Übermittlung von mehr personenbezogenen Daten an Gerichte, als angefordert wurden, gegen den Grundsatz der Datenminimierung verstößt (die Entscheidung finden Sie hier);
• der Ausschuss hat Verantwortliche verwarnt, die betroffenen Personen, die ihre Rechte ausüben wollten, nicht innerhalb von 30 Tagen geantwortet haben (die Entscheidung finden Sie hier);
• der Ausschuss hat ein Unternehmen, das personenbezogene Daten gestützt auf seine rechtlichen Pflichten zehn Jahre lang aufbewahrte, mit der Begründung verwarnt, es habe diese Daten zu Zwecken außerhalb seiner rechtlichen Pflichten verarbeitet (die Entscheidung finden Sie hier);
• der Ausschuss hat gegen einen Verantwortlichen, der die personenbezogenen Daten einer Kundin bzw. eines Kunden an eine gleichnamige andere Person versandt hatte, eine Sanktion verhängt, weil dieser Fehler auf fehlende technische und organisatorische Maßnahmen hindeute (die Entscheidung finden Sie hier);
• der Ausschuss hat entschieden, dass es eine Verletzung darstellt, ohne Rechtsgrundlage die Wohnanschrift einer beschäftigten Person in Mustervertragsunterlagen aufzunehmen, die an Dritte versandt werden (die Entscheidung finden Sie hier);
• der Ausschuss hat das Verlangen einer betroffenen Person, ihren Namen aus einem Zeitungskommentar zu entfernen, in dem er vorkam, mit der Begründung zurückgewiesen, die Pressefreiheit überwiege gegenüber dem Recht auf Achtung des Privatlebens (die Entscheidung finden Sie hier);
• der Ausschuss hat gegen einen Verantwortlichen eine Sanktion verhängt, der zusätzliche, personenbezogene Daten enthaltende Unterlagen einholte, die für die Durchführung des betreffenden Vorgangs nicht erforderlich waren (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2019/122 hat der Ausschuss angeordnet, gegen Bankbeschäftigte, die auf den Antrag einer betroffenen Person nicht geantwortet hatten, disziplinarrechtliche Bestimmungen anzuwenden, und die Bank verpflichtet, den Informationstext auf ihrer offiziellen Website an das Kommuniqué über Verfahren und Grundsätze der Erfüllung der Informationspflicht anzupassen (die Entscheidung finden Sie hier).
• mit seiner Entscheidung Nr. 2019/82 hat der Ausschuss entschieden, dass die Kundenkartenanwendung einer Supermarktkette als Marketinginstrument angelegt ist und dass es deshalb nicht mit der Tätigkeit des Verantwortlichen zusammenhängt und nicht auf das erforderliche Maß beschränkt und verhältnismäßig ist, eine Einwilligung in die Verarbeitung personenbezogener Daten besonderer Kategorien zu verlangen (die Entscheidung finden Sie hier);
• in seiner Entscheidung Nr. 2018/90 hat der Ausschuss festgehalten, dass der Verantwortliche die Informationspflicht und das Einholen der ausdrücklichen Einwilligung als getrennte Vorgänge zu erfüllen hat (die Entscheidung finden Sie hier);
• in seiner Entscheidung Nr. 2018/106 hat der Ausschuss festgehalten, dass unbekannte Personen nicht als Verantwortliche angesehen werden können (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2018/156 hat der Ausschuss entschieden, dass Anträge an die Behörde, die Gegenstände aus dem Zuständigkeitsbereich der Gerichte betreffen, nicht im Rahmen des Gesetzes beurteilt werden (die Entscheidung finden Sie hier);
• der Ausschuss hat bekannt gegeben, dass Microsoft am 8. Mai 2019 wegen einer Verletzung des Schutzes personenbezogener Daten in den Systemen des Unternehmens eine Meldung an den Ausschuss erstattet hat. Microsoft teilte mit, dass Dritte die Zugangsdaten einer für den Kundensupport verantwortlichen Person bei einem der Dienstleister unbefugt erlangt hatten. Das Unternehmen berichtete, diese Person habe unter Verstoß gegen die Richtlinien von Microsoft die Zugangsdaten des Kontos mit 13 Support-Beschäftigten geteilt. Im Ergebnis konnten Dritte zwischen dem 1. Januar 2019 und dem 28. März 2019 teilweise auf die E-Mail-Konten von Microsoft-Nutzenden zugreifen (die Bekanntmachung finden Sie hier);
• der Ausschuss hat bekannt gegeben, dass Microsoft am 29. Januar 2020 wegen einer Verletzung Meldung erstattet hat, die infolge eines Konfigurationsfehlers in den Sicherheitssystemen zur rechtswidrigen Offenlegung von Kundendatensätzen geführt hatte;
• der Ausschuss hat zwei aktuelle Entscheidungen zu biometrischen Daten vorgelegt, Nr. 2019/81 und Nr. 2019/165. Danach hat er gegen zwei verschiedene Verantwortliche, die Fitnessstudios betreiben, wegen der Verarbeitung biometrischer Daten beim Betreten und Verlassen durch die Mitglieder Verwaltungssanktionen verhängt. Der Ausschuss hat dies dahin ausgelegt, dass die von den Mitgliedern eingeholte ausdrückliche Einwilligung als Vorbedingung für die Inanspruchnahme der Leistung ausgestaltet war und diese Einwilligungen deshalb nicht als aus freiem Willen erteilt gelten können und unwirksam sind. Der Ausschuss hat außerdem entschieden, dass die Praxis der Verantwortlichen, den Mitgliedern den Fingerabdruck beim Betreten des Fitnessstudios als verpflichtenden und einzigen Weg vorzuschreiben, nicht mit dem Grundsatz der Verhältnismäßigkeit vereinbar ist, der eine möglichst weitgehende Reduzierung der erhobenen Daten verlangt. Der Ausschuss hat ferner ausdrücklich festgehalten, dass das Einholen einer ausdrücklichen Einwilligung die Erhebung von mehr personenbezogenen Daten als erforderlich nicht rechtmäßig macht und dass die Datenerhebung auf den Verarbeitungszweck beschränkt und verhältnismäßig sein muss (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2019/296 hat der Ausschuss entschieden, dass die Zurückweisung des Auskunftsverlangens einer betroffenen Person mit der Begründung, der Antrag sei nicht über eine Notarin oder einen Notar oder per E-Mail mit qualifizierter elektronischer Signatur übermittelt worden, eine Belastung darstellt, die weder im Gesetz noch im Kommuniqué über Verfahren und Grundsätze der Antragstellung beim Verantwortlichen vorgesehen ist. Dies hindert die betroffene Person daran, ihren Antrag ordnungsgemäß zu stellen, und verstößt gegen die in Art. 6 des Kommuniqués vorgesehenen Grundsätze von Recht sowie Treu und Glauben (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/13 hat der Ausschuss seine Auffassung zur Handhabung des Auskunftsrechts dargelegt (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/173 hat der Ausschuss entschieden, dass die ausdrückliche Einwilligung nicht in einen allgemeinen Informationstext aufgenommen werden darf und vor der Übermittlung personenbezogener Daten einzuholen ist. Das Einholen der Zustimmung der betroffenen Person über ein Opt-in-Feld genügt nicht, um die Voraussetzungen der ausdrücklichen Einwilligung zu erfüllen. Auf eine solche Zustimmung gestützte Übermittlungen sind rechtswidrig (die Entscheidung finden Sie hier);
• in seiner Entscheidung Nr. 2020/649 hat der Ausschuss den Unterschied zwischen der eigenhändigen und der biometrischen Unterschrift hervorgehoben. Lösungen für biometrische Unterschriften sind nicht im Rahmen eines bestimmten Standards definiert; sie weisen unterschiedliche konstruktive Merkmale auf und werden der eigenhändigen Unterschrift nicht gleichgestellt. Die Bestimmungen des türkischen Obligationengesetzes Nr. 6098 (Türk Borçlar Kanunu) zur Unterschrift sind Regelungen für die klassische und für die elektronische Signatur und erfassen die biometrische Unterschrift nicht. Da die biometrische Unterschrift zu den personenbezogenen Daten besonderer Kategorien zählt, darf sie nur verarbeitet werden, wenn eine der Voraussetzungen des durch das Gesetz Nr. 7499 geänderten Art. 6 Abs. 3 des Gesetzes vorliegt und die vom Ausschuss nach Art. 6 Abs. 4 bestimmten ausreichenden Maßnahmen getroffen werden (die Entscheidung stammt aus der Zeit vor der Änderung von 2024). Die Bestimmungen des türkischen Obligationengesetzes Nr. 6098 erfüllen dabei nicht die Voraussetzung einer „ausdrücklichen gesetzlichen Vorsehung“ (die Entscheidung finden Sie hier);
• der Ausschuss hat seine Entscheidung Nr. 2020/927 zum Verlangen einer betroffenen Person veröffentlicht, aus den Abfrageergebnissen einer Suchmaschine entfernt zu werden. Er hat entschieden, dass dieses Verlangen von dem zuständigen Gericht zu beurteilen ist und nicht in den Anwendungsbereich des Gesetzes fällt (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/93 hat der Ausschuss entschieden, dass kein Umstand vorliegt, der die Löschung oder Änderung von Gesundheitsdaten einschließlich der Daten zur psychischen Gesundheit erfordert; denn die Daten wurden vom Ministerium, das die Voraussetzung der „zuständigen Behörden und Einrichtungen“ erfüllt, und zu den Zwecken „Schutz der öffentlichen Gesundheit, präventive Medizin, medizinische Diagnostik, Durchführung von Behandlungs- und Pflegeleistungen sowie Planung, Steuerung und Finanzierung der Gesundheitsleistungen“ verarbeitet (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/508 hat der Ausschuss entschieden, dass die Verarbeitung zu einem bestimmten Zweck öffentlich gemachter personenbezogener Daten zu eben diesem Zweck das Gesetz nicht verletzt. Personenbezogene Daten, die auf Anwaltssuchportalen veröffentlicht werden, werden zu demselben Zweck verarbeitet wie bei der Union der türkischen Rechtsanwaltskammern (Türkiye Barolar Birliği), sodass diese Verarbeitung nicht rechtswidrig ist (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/667 hat der Ausschuss entschieden, dass es rechtmäßig ist, wenn ein Versicherungsunternehmen die ausdrückliche Einwilligung in die Verarbeitung personenbezogener Daten besonderer Kategorien seiner Kundschaft verlangt, weil die Erhebung dieser Daten für die Verlängerung der Versicherungspolice erforderlich ist (die Entscheidung finden Sie hier);
• der Ausschuss hat seine Entscheidung Nr. 2020/710 zur Verarbeitung personenbezogener Daten in der Zwangsvollstreckung veröffentlicht. Art. 89 des türkischen Zwangsvollstreckungs- und Insolvenzgesetzes Nr. 2004 (İcra ve İflas Kanunu; den Gesetzestext finden Sie hier) eröffnet der gläubigerischen Partei in der Zwangsvollstreckung die Möglichkeit, die Vollstreckung gegenüber Dritten fortzusetzen, die Vermögenswerte der schuldnerischen Person in Händen halten können; die Verarbeitung der Daten dieser nicht schuldnerischen Dritten verletzt in diesem Rahmen das Gesetz nicht (die Entscheidung finden Sie hier);
• der Ausschuss hat seine Entscheidung Nr. 2020/212 zum Einsatz von Überwachungskameras (CCTV) mit Ton- und Bildaufzeichnung veröffentlicht. Er hat betont, dass Verantwortliche jeden einzelnen Einsatz einer Ton- und Bildaufzeichnung gesondert am Grundsatz der Verhältnismäßigkeit zu messen haben (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/307 hat der Ausschuss die Praxis der türkischen Handelsregisterämter und den Grundsatz der Öffentlichkeit der Handelsregistereintragungen gewürdigt. Die von den Handelsregisterämtern erfassten Unterlagen enthalten personenbezogene Daten der natürlichen Personen, die als Vertretung handeln. Die Handelsregisterämter müssen die angeforderten Unterlagen und/oder Informationen deshalb nur unter Schwärzung der personenbezogene Daten enthaltenden Teile an Dritte herausgeben. Der Ausschuss hat festgehalten, dass die Handelsregisterämter hinsichtlich der bei ihnen vorhandenen personenbezogenen Daten einer Geheimhaltungspflicht unterliegen und dass sie nach dem türkischen Personenstandsgesetz Nr. 5490 (Nüfus Hizmetleri Kanunu) nicht die für die Erteilung von Personenstandsauskünften zuständige Stelle sind (die Entscheidung finden Sie hier);
• mit seiner Entscheidung Nr. 2020/507 hat der Ausschuss entschieden, dass die gesetzlichen Erbinnen und Erben einer verstorbenen Person das Recht haben, Aufzeichnungen mit personenbezogenen Gesundheitsdaten zu erhalten (die Entscheidung finden Sie hier);
• der Ausschuss hat seine Entscheidung Nr. 2020/504 zum Verlangen einer Fluggastkundin bzw. eines Fluggastkunden veröffentlicht, die Tonaufzeichnungen ihres bzw. seines Gesprächs mit dem Callcenter zu erhalten. Da die Tonaufzeichnungen neben den Daten der betreffenden Kundschaft auch personenbezogene Daten Dritter enthielten, stellte die Fluggesellschaft ein geschwärztes Transkript des Gesprächs zur Verfügung. Der Ausschuss hat festgehalten, dass das Recht auf Auskunft auch das Recht umfasst, die betreffenden Daten zu erhalten, soweit dadurch die Rechte Dritter nicht verletzt werden. Verletzen die Daten die Rechte Dritter, so ist es ein geeigneter Weg, dem Verlangen der betroffenen Person nachzukommen, indem der sie betreffende Dateninhalt mit allen Einzelheiten in einer alternativen Form, etwa als Transkript, bereitgestellt wird (die Entscheidung finden Sie hier);
• der Ausschuss hat entschieden, dass die Meldung einer Verletzung des Schutzes personenbezogener Daten dem Zweck dient, die nachteiligen Folgen, die den betroffenen Personen daraus entstehen können, rasch zu verhindern oder auf ein Mindestmaß zu begrenzen. In diesem Sinne hat der Ausschuss in seiner Entscheidung Nr. 2019/271 die Mindestangaben bestimmt, die eine Meldung einer Verletzung enthalten muss (die Entscheidung finden Sie hier) und

Der Ausschuss hat gegen die nachstehend Genannten Bußgelder verhängt:

• ein Krankenhaus, das für die personenbezogenen Daten seiner Patientinnen und Patienten kein ausreichendes Schutzniveau gewährleisten konnte (die Entscheidung finden Sie hier);
• eine Karriereplattform, die die personenbezogenen Daten einer sich bewerbenden Person ohne Rechtsgrundlage mit anderen Bewerbenden geteilt hat (die Entscheidung finden Sie hier);
• ein Unternehmen, das den Lebenslauf einer sich bewerbenden Person ohne deren Zustimmung über eine gemeinsame elektronische Plattform mit anderen Konzerngesellschaften geteilt hat (die Entscheidung finden Sie hier);
• ein technisches Servicedienstleistungsunternehmen, das die zum Schutz seiner Kundschaft erforderlichen technischen und organisatorischen Maßnahmen nicht getroffen hat; der Ausschuss hat gegen dieses Unternehmen später ein zweites Bußgeld verhängt, weil es seiner früheren Entscheidung nicht nachgekommen war (die Entscheidung Nr. 2019/52 finden Sie hier);
• eine Social-Media-Plattform (Facebook), die den rechtswidrigen Zugriff auf Bilddaten der Nutzenden nicht verhindern konnte. Diese Verletzung ging auf einen „API-Fehler“ zurück; in dessen Folge konnten Anwendungen Dritter zwölf Tage lang auf Nutzerfotos zugreifen. Das verhängte Bußgeld belief sich auf insgesamt 1,65 Mio. TL und setzte sich aus zwei Posten zusammen: Der Ausschuss verhängte zunächst 1.100.000 TL, weil nicht rechtzeitig gehandelt wurde, um die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, und sodann 550.000 TL, weil nach Feststellung des API-Fehlers keine schnellstmögliche Meldung an den Ausschuss erfolgte (die Entscheidung Nr. 2019/104 finden Sie hier);
• drei verschiedene Unternehmen aus dem Verkehrs- und dem Beherbergungssektor: Der Ausschuss verhängte gegen jedes der Verkehrsunternehmen gesondert 550.000 TL und gegen ein Hotel 1,45 Mio. TL, weil die erforderlichen technischen und organisatorischen Maßnahmen nicht getroffen und die Pflicht zur schnellstmöglichen Meldung der Verletzung an den Ausschuss und an die betroffenen Personen nicht eingehalten wurde (die Entscheidung Nr. 2019/144 finden Sie hier);
• ein Forderungsmanagementunternehmen, das einer betroffenen Person ohne deren ausdrückliche Einwilligung mehrfach Kurznachrichten zu demselben Gegenstand gesandt hat (die Entscheidung Nr. 2019/159 finden Sie hier);
• ein Verantwortlicher, der ohne ausdrückliche Einwilligung der betroffenen Person kommerzielle elektronische Nachrichten versandt hat. Der Ausschuss hat entschieden, dass der Versand einer kommerziellen elektronischen Nachricht an eine betroffene Person eine Verarbeitung darstellt und den Verarbeitungsvoraussetzungen des Art. 5 des Gesetzes entsprechen muss (die Entscheidung Nr. 2019/162 finden Sie hier);
• ein Verantwortlicher, der seiner Pflicht nicht nachgekommen ist, die rechtswidrige Verarbeitung personenbezogener Daten zu verhindern; verhängt wurde ein Bußgeld von 50.000 TL (die Entscheidung Nr. 2019/166 finden Sie hier);
• eine Social-Media-Plattform (Facebook), die den rechtswidrigen Zugriff auf Nutzerdaten nicht verhindern konnte. Diese Verletzung beruhte auf dem komplexen Zusammenwirken mehrerer Fehler in drei verschiedenen Funktionen von Facebook. Die Verletzung wurde von Facebook jedoch nicht in der im Gesetz vorgesehenen Weise ordnungsgemäß an den Ausschuss gemeldet. Der Ausschuss hat daraufhin nach Art. 15 Abs. 1 des Gesetzes von Amts wegen eine Untersuchung gegen Facebook eingeleitet. Im Ergebnis hat er gegen Facebook ein Bußgeld von 1,6 Mio. TL verhängt, weil das Unternehmen die zur Verhinderung möglicher Verletzungen erforderlichen technischen und organisatorischen Maßnahmen nicht getroffen und die Verletzung nicht an den Ausschuss gemeldet hatte (die Entscheidung Nr. 2019/269 finden Sie hier);
• ein Verantwortlicher, der keine ausreichenden technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten getroffen hat; wegen Verletzung der Pflicht zur schnellstmöglichen Meldung der Verletzung an den Ausschuss und an die betroffenen Personen wurde außerdem ein zweites Bußgeld verhängt (die Entscheidung Nr. 2019/222 finden Sie hier);
• eine Fluggesellschaft, die von einer betroffenen Person, die Benutzernamen und Passwort ihrer Mitgliedschaft im Vielfliegerprogramm ändern wollte, beide Seiten des Personalausweises verlangt hat; die auf dem Personalausweis enthaltenen Angaben zu Gesundheit und Religion (personenbezogene Daten besonderer Kategorien) wurden ohne ausdrückliche Einwilligung der betroffenen Person verarbeitet. Der Ausschuss hat außerdem entschieden, dass der Verantwortliche entgegen dem Grundsatz verarbeitet hat, wonach personenbezogene Daten mit dem Verarbeitungszweck zusammenhängen, darauf beschränkt und verhältnismäßig sein müssen (die Entscheidung Nr. 2019/294 finden Sie hier);
• ein Verantwortlicher, der von der betroffenen Person selbst öffentlich gemachte personenbezogene Daten entgegen dem Zweck dieser Öffentlichmachung verarbeitet hat (die Entscheidung Nr. 2019/331 finden Sie hier);
• eine Zeitung, die personenbezogene Daten besonderer Kategorien einer betroffenen Person ohne deren ausdrückliche Einwilligung in einem Kommentar offengelegt hat. Der Ausschuss hat entschieden, dass die personenbezogenen Daten besonderer Kategorien entgegen den Verarbeitungsvoraussetzungen offengelegt wurden, und gegen die Zeitung, die die rechtswidrige Verarbeitung personenbezogener Daten nicht verhindern konnte, ein Bußgeld verhängt (die Entscheidung Nr. 2019/372 finden Sie hier);
• eine Bank, die bei der Zustellung einer Kreditkarte im Rahmen ihrer Pflichten zur Gewährleistung des Schutzes personenbezogener Daten keine ausreichenden technischen und organisatorischen Maßnahmen getroffen und sich nicht ausreichend und angemessen darum bemüht hat, die Daten der betroffenen Person aktuell zu halten. Der Ausschuss hat entschieden, dass der Kurierdienst hinsichtlich der im Umschlag enthaltenen Daten nicht Verantwortlicher ist, wohl aber hinsichtlich der Daten, die er zur Erbringung seiner Leistung verwendet, etwa Namen der absendenden und der empfangenden Person (die Entscheidung finden Sie hier);
• ein Spieleunternehmen, das keine ausreichenden technischen und organisatorischen Maßnahmen für hinreichende Schwachstellentests getroffen hat. Der unbefugte Zugriff wurde über die Protokolldaten des Unternehmens festgestellt; das Unternehmen selbst konnte das Risiko einer möglichen Verletzung anhand der Protokolldaten jedoch nicht erkennen. Vorbeugende technische Maßnahmen wurden erst nach der Verletzung der Nutzerdaten getroffen, und eine Meldung an den Ausschuss erfolgte nicht (die Entscheidung Nr. 2020/286 finden Sie hier);
• ein Medienunternehmen, das eine förmliche anwaltliche Aufforderung zu einem Berichtigungsverlangen veröffentlicht hat, ohne die personenbezogene Daten enthaltenden Teile zu maskieren (die Entscheidung Nr. 2020/145 finden Sie hier);
• ein Autovermietungsunternehmen, das die bei einer früheren Anmietung erlangten Kreditkartendaten für die Zahlungen einer weiteren Anmietung verwendet hat. Klauseln in den Kundenverträgen, die die Verwendung der Kreditkartendaten für mögliche künftige Vorgänge ermöglichen, wurden als missbräuchliche Klauseln eingestuft; solche Klauseln genügen nicht, um die Voraussetzungen der ausdrücklichen Einwilligung zu erfüllen (die Entscheidung Nr. 2020/166 finden Sie hier);
• eine Privatschule, die zur Bewertung der Planungsfähigkeiten und der Aufmerksamkeitsprozesse ihrer Schülerinnen und Schüler das CAS-Verfahren (Cognitive Assessment System) angewandt hat, ohne die ausdrückliche Einwilligung der erziehungsberechtigten Person der betroffenen Person einzuholen. Da die Ergebnisse des CAS-Verfahrens Angaben zur kognitiven Beurteilung der Schülerinnen und Schüler enthalten, die als personenbezogene Daten besonderer Kategorien einzuordnen sind, muss der Verantwortliche seiner Informationspflicht nachkommen und die ausdrückliche Einwilligung der erziehungsberechtigten Person einholen (die Entscheidung Nr. 2020/255 finden Sie hier);
• ein Autovermietungsunternehmen, das die ausdrückliche Einwilligung seiner Kundschaft als Vorbedingung seiner Leistungen eingeholt hat (die Entscheidung Nr. 2020/335 finden Sie hier);
• ein Unternehmen, das am Arbeitsplatz ein Fingerabdruckverfahren betreibt. Der Ausschuss hat entschieden, dass personenbezogene Daten besonderer Kategorien entgegen den Verarbeitungsvoraussetzungen verarbeitet wurden, und gegen das Unternehmen wegen Verstoßes gegen die Informationspflicht und die Pflicht zum Einholen der ausdrücklichen Einwilligung ein Bußgeld verhängt (die Entscheidung Nr. 2020/404 finden Sie hier) und
• eine Bank, die wegen ihrer Forderungen mit dem Bruder ihrer schuldnerischen Person Kontakt aufgenommen hat. Der Ausschuss hat entschieden, dass personenbezogene Daten entgegen den Verarbeitungsvoraussetzungen verarbeitet wurden, und gegen die Bank wegen des Fehlens einer ausdrücklichen Einwilligung ein Bußgeld verhängt. Gegen die Anwältin bzw. den Anwalt der Bank, die bzw. der im Namen der Bank zur Einziehung der Forderungen mit dem Bruder der schuldnerischen Person Kontakt aufgenommen hatte, hat der Ausschuss dagegen kein Bußgeld verhängt; denn der Anruf erfolgte auf Grundlage der von der Bank bereitgestellten Kontaktdaten, und das Gespräch wurde in dem Augenblick beendet, in dem erkennbar wurde, dass die angerufene Person nicht die schuldnerische Person der Bank war (die Entscheidung Nr. 2021/115 finden Sie hier).

In dem folgenden Fall hat der Ausschuss die Anwendung disziplinarrechtlicher Bestimmungen angeordnet:

Eine staatliche Universität, die die Prüfungsergebnisse ihrer Studierenden im Internet veröffentlicht und damit Dritten zugänglich gemacht hat. Der Ausschuss hat festgehalten, dass die Prüfungsergebnisse von Studierenden, die vor Jahren an der Prüfung teilgenommen haben, nicht ohne jede zeitliche Begrenzung für Dritte zugänglich bleiben dürfen, und entschieden, dass der Verantwortliche dem Auskunfts- und Unterlagenverlangen des Ausschusses nicht rechtzeitig nachgekommen ist (die Entscheidung Nr. 2019/188 finden Sie hier).

Der erste Schritt zur Verringerung des Sanktionsrisikos ist die Compliance im Unternehmen: Unsere Leistung Compliance-Programm nach KVKK und DSGVO und unser Eintrag zum KVKK unter den Rechtsvorschriften geben den aktuellen Rahmen wieder.