Das türkische Gesetz Nr. 6698 über den Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, KVKK — im Folgenden „das Gesetz“) räumt betroffenen Personen die folgenden Rechte ein:
1. Recht auf Information
Unabhängig davon, auf welche Rechtsgrundlage die Verarbeitung gestützt wird, sind Verantwortliche verpflichtet, betroffene Personen bei der Erhebung personenbezogener Daten mindestens über die folgenden Punkte zu informieren (Art. 10 des Gesetzes):
- die Identität des Verantwortlichen und gegebenenfalls seiner Vertretung;
- zu welchem Zweck die personenbezogenen Daten verarbeitet werden;
- an wen und zu welchem Zweck die personenbezogenen Daten übermittelt werden können;
- die Methode und die Rechtsgrundlage der Erhebung personenbezogener Daten und
- die in Art. 11 des Gesetzes aufgezählten Rechte der betroffenen Person.
2. Auskunftsrecht
Betroffene Personen können vom Verantwortlichen Folgendes verlangen (Art. 11 des Gesetzes):
- zu erfahren, ob ihre personenbezogenen Daten verarbeitet werden;
- Auskunft über diese Daten und über die Verarbeitung zu erhalten, sofern personenbezogene Daten verarbeitet wurden;
- den Zweck der Verarbeitung zu erfahren und zu erfahren, ob die Daten diesem Zweck entsprechend verwendet werden;
- die Identität der natürlichen oder juristischen Personen zu erfahren, an die die personenbezogenen Daten übermittelt wurden;
- die Berichtigung, Löschung oder Vernichtung der personenbezogenen Daten zu verlangen;
- im Fall einer Übermittlung zu verlangen, dass Berichtigung, Löschung und Vernichtung den Empfängern mitgeteilt werden, an die die Daten übermittelt wurden;
- Ergebnissen zu widersprechen, die sich zu ihren Ungunsten aus einer ausschließlich automatisierten Analyse ihrer Daten ergeben, und
- Ersatz des Schadens zu verlangen, der ihnen durch eine rechtswidrige Verarbeitung ihrer personenbezogenen Daten entstanden ist.
Die Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu) hat das Kommuniqué über Verfahren und Grundsätze der Antragstellung beim Verantwortlichen (Tebliğ) veröffentlicht, das die Einzelheiten der Antragstellung regelt. Danach müssen Verantwortliche Anträge betroffener Personen innerhalb von 30 Tagen beantworten. Das Kommuniqué sieht ferner vor, dass bei Antworten von mehr als zehn Seiten eine Bearbeitungsgebühr von 1 TL je Seite erhoben werden kann und dass bei einer Antwort auf einem gesonderten Datenträger die Kosten dieses Datenträgers verlangt werden können.
Der Ausschuss für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurulu — im Folgenden „der Ausschuss“) hat seine Entscheidung Nr. 2019/9 zur Bestimmung des Antragsverfahrens beim Verantwortlichen und der Fristen für die Beschwerde beim Ausschuss veröffentlicht (die Entscheidung finden Sie hier). Mit dieser Entscheidung hat der Ausschuss die Fristen für die Beschwerde beim Ausschuss und für den Antrag beim Verantwortlichen klargestellt. Für die Berechnung der Antragsfristen gelten danach die folgenden Grundsätze:
- antwortet der Verantwortliche nicht innerhalb von 30 Tagen, kann die betroffene Person innerhalb von 60 Tagen ab dem Tag ihres Antrags beim Verantwortlichen Beschwerde beim Ausschuss erheben;
- antwortet der Verantwortliche innerhalb von 30 Tagen, kann die betroffene Person innerhalb von 30 Tagen nach dieser Antwort Beschwerde beim Ausschuss erheben, und
- antwortet der Verantwortliche erst nach Ablauf der Frist von 30 Tagen, kann die betroffene Person spätestens innerhalb von 60 Tagen ab dem Tag ihres Antrags beim Verantwortlichen Beschwerde beim Ausschuss erheben; diese Beschwerde kann unmittelbar mit Ablauf der Frist von 30 Tagen erhoben werden, unabhängig davon, ob eine Antwort des Verantwortlichen eingegangen ist.
3. Recht auf Berichtigung
Personenbezogene Daten müssen richtig und erforderlichenfalls auf dem neuesten Stand sein (Art. 4 Abs. 2 lit. b des Gesetzes). Nach diesem Grundsatz können betroffene Personen bei abweichender Handhabung vom Verantwortlichen die Berichtigung ihrer Daten verlangen.
4. Recht auf Löschung
Verantwortliche sind verpflichtet, personenbezogene Daten von Amts wegen oder auf Verlangen der betroffenen Person zu löschen, zu vernichten oder zu anonymisieren, sobald die Gründe entfallen sind, die ihre Verarbeitung erforderten (Art. 7 des Gesetzes).
5. Widerspruchs- und Ablehnungsrecht (Opt-out)
Das Gesetz räumt betroffenen Personen kein umfassendes Widerspruchsrecht ein. Beruht die Verarbeitung auf einer wirksamen Rechtsgrundlage, genügt das Widerspruchsrecht für sich genommen nicht, um die Verarbeitung zu beenden. Wird jedoch der Zweck einer Rechtsgrundlage wie des berechtigten Interesses überschritten, kann die betroffene Person ihr Widerspruchsrecht ausüben, um die über diesen Zweck hinausgehende Verarbeitung zu beenden. Darüber hinaus kann die betroffene Person ihre ausdrückliche Einwilligung jederzeit zurücknehmen und damit erreichen, dass die auf die Einwilligung gestützte Verarbeitung eingestellt wird.
Neben diesem Ansatz des Gesetzes bestehen im elektronischen Handel eigene Vorschriften, die das Widerspruchs- bzw. Ablehnungsrecht der betroffenen Personen regeln. Nach dem türkischen Gesetz Nr. 6563 über die Regelung des elektronischen Handels dürfen von Verbraucherinnen und Verbrauchern erhobene personenbezogene Daten nur mit deren Zustimmung verwendet und an Dritte weitergegeben werden. Damit personenbezogene Daten zu Werbezwecken verwendet werden dürfen, ist folglich die Zustimmung der betroffenen Person in ihrer Eigenschaft als Verbraucherin oder Verbraucher einzuholen.
Dieselben Vorschriften räumen Verbraucherinnen und Verbrauchern bzw. betroffenen Personen ein Widerspruchs- und Ablehnungsrecht (Opt-out) ein. Verantwortliche, die zugleich Diensteanbieter sind, müssen in kommerziellen elektronischen Nachrichten ihre Kontaktdaten angeben, damit die empfangenden Personen ihr Ablehnungsrecht ausüben können. Die Möglichkeit zur Ablehnung ist über denselben Kommunikationskanal anzubieten, über den die kommerzielle elektronische Nachricht empfangen wurde; sie muss einfach und unentgeltlich sein. Nach der türkischen Verordnung über kommerzielle Kommunikation und kommerzielle elektronische Nachrichten (nebst ihren Änderungen) wurde ein landesweites, zentrales Verwaltungssystem für kommerzielle elektronische Nachrichten eingerichtet. Verbraucherinnen und Verbraucher bzw. betroffene Personen können ihr Ablehnungsrecht über dieses System (oder über das System des jeweiligen Diensteanbieters) ausüben.
6. Recht auf Datenübertragbarkeit
Anders als die DSGVO räumt das Gesetz betroffenen Personen kein Recht auf Datenübertragbarkeit ein. Nach dem Gesetz können betroffene Personen nicht verlangen, dass ihre personenbezogenen Daten unmittelbar von einem Verantwortlichen an einen anderen übermittelt werden.
7. Recht, keinen automatisierten Entscheidungsprozessen unterworfen zu werden
Das Gesetz sieht kein allgemeines Recht gegenüber automatisierten Entscheidungssystemen vor. Die Grenzen der Verarbeitung und die Rechte der betroffenen Person sind im Licht der übrigen Pflichten des Gesetzes zu beurteilen, etwa des Zwecks der jeweiligen Rechtsgrundlage. Betroffene Personen haben allerdings nach Art. 11 Abs. 1 lit. g des Gesetzes das Recht, Ergebnissen zu widersprechen, die sich zu ihren Ungunsten aus einer ausschließlich automatisierten Analyse ihrer Daten ergeben. Dabei ist zu beachten, dass für die Ausübung dieses Rechts ein nachteiliges Ergebnis bereits eingetreten sein muss.
Für die Bearbeitung von Anträgen betroffener Personen auf Unternehmensseite bietet sich unsere Leistung Compliance-Programm nach KVKK und DSGVO an; den aktuellen Stand der Regelungen halten wir in unserem Eintrag zum KVKK unter den Rechtsvorschriften fest.
