Die Verordnung ruht auf den Grundsätzen der Rechtmäßigkeit, der Transparenz, der Zweckbindung und der Rechenschaftspflicht. Unternehmen außerhalb der EU können nach Artikel 3 in den Anwendungsbereich fallen und müssen dann nach Artikel 27 einen Vertreter in der Union benennen. Bei Verstößen reichen die Geldbußen bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes.
Verkauf in die EU
Türkische Unternehmen, die Personen in der Union Waren oder Dienstleistungen anbieten, fallen unmittelbar in den Anwendungsbereich — der Online-Handel eingeschlossen.
Konzerngesellschaften
Türkische Betriebe, die Daten mit einer Muttergesellschaft oder mit Beteiligungen in der EU teilen, unterliegen den Garantien für Übermittlungen.
Beobachtung des Verhaltens
Websites, die Personen in der Union über Cookies, Zählpixel oder Profilbildung nachverfolgen, fallen in den Anwendungsbereich.
- 01Rechtsgrundlage und Transparenz sicherstellen; für jede Verarbeitung eine Rechtsgrundlage und eine Information der betroffenen Person.
- 02Vertreter in der Union benennen (Artikel 27) — für erfasste Unternehmen ohne Niederlassung in der EU, vorbehaltlich der Ausnahmen.
- 03Garantien für Übermittlungen aufbauen; für Übermittlungen in Drittländer mit Instrumenten wie den Standardvertragsklauseln.
- 04Meldung von Datenschutzverletzungen vornehmen; binnen 72 Stunden an die zuständige Aufsichtsbehörde und, soweit erforderlich, an die betroffenen Personen.
Überblick
Die Datenschutz-Grundverordnung (DSGVO) unterwirft die Verarbeitung personenbezogener Daten unionsweit einheitlichen Regeln und ist der weltweite Bezugspunkt des modernen Datenschutzrechts. Rechtsgrundlage ist die Verordnung (EU) 2016/679 (ABl. L 119 vom 04.05.2016); sie gilt seit dem 25.05.2018 unmittelbar in allen Mitgliedstaaten. Für türkische Unternehmen ist sie in zweifacher Hinsicht bedeutsam: Auf Tätigkeiten, die auf den EU-Markt gerichtet sind, ist sie unmittelbar anwendbar, und im Konzern- wie im Kundenverhältnis ist sie längst zum vertraglichen Standard geworden.
Räumlicher Anwendungsbereich
Nach Artikel 3 gilt die Verordnung auch für Unternehmen ohne Niederlassung in der Union, wenn sie Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Dass eine türkischsprachige Website Bestellungen aus der EU entgegennimmt, genügt für sich genommen nicht immer; die Lieferung in die EU, Preisangaben in Euro, eine auf die EU gerichtete Werbung oder eine Nachverfolgung über Cookies sind dagegen deutliche Anzeichen dafür, dass der Anwendungsbereich eröffnet ist.
Kernpflichten eines Unternehmens außerhalb der EU
Für ein erfasstes türkisches Unternehmen stehen im Vordergrund: die Benennung eines Vertreters in der Union nach Artikel 27, die Anpassung der Datenschutzhinweise an die Sprache der DSGVO, ein Verzeichnis der Verarbeitungstätigkeiten, die Verträge mit Auftragsverarbeitern und geeignete Garantien für den Datenfluss in die Türkei. Für den Fall einer Verletzung des Schutzes personenbezogener Daten muss die Meldung binnen 72 Stunden vorbereitet sein.
Worauf es auf der türkischen Seite ankommt
Die Einhaltung des türkischen Datenschutzgesetzes (KVKK, Nr. 6698) stellt die Einhaltung der DSGVO nicht automatisch sicher; Themen wie der Vertreter, die Datenschutz-Folgenabschätzung und die Instrumente für die Übermittlung sind unterschiedlich geregelt. Beide Regelwerke in einer Ordnung aufzubauen, ist der wirtschaftlichste Weg, doppelte Kosten zu vermeiden.
Fahrplan
Am Anfang steht die Prüfung des Anwendungsbereichs; anschließend werden der Vertreter, der Satz der Hinweistexte, das Verarbeitungsverzeichnis und die Architektur der Übermittlungen in einem einzigen Projekt aufgebaut. Bei Unternehmen, die E-Commerce mit der EU betreiben, sind die Cookie- und Einwilligungsebene und die Marketingeinwilligungen die ersten Prüfpunkte. Wo daneben deutsches Recht zu klären ist — etwa das Bundesdatenschutzgesetz oder die Zuständigkeit der Aufsichtsbehörde des jeweiligen Bundeslandes —, bearbeitet unsere Partnerkanzlei activelaw (Hannover) diesen Teil; die Fragen des türkischen Rechts bearbeitet Köksal in Istanbul.
Sanktionen
Verstöße werden zweistufig geahndet: Für Verstöße gegen die Grundsätze, gegen die Rechte der betroffenen Personen und gegen die Vorschriften über Übermittlungen sind Geldbußen bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes vorgesehen, für sonstige Pflichten bis zu 10 Mio. Euro oder 2 %; maßgeblich ist jeweils der höhere Betrag. Daneben üben die nationalen Aufsichtsbehörden Abhilfebefugnisse aus, die bis zu einem Verbot der Verarbeitung reichen.
Verwandte Inhalte
Für die türkische Seite lesen Sie den KVKK-Eintrag, für die Regeln der Datenwirtschaft den Eintrag zur EU-Datenverordnung (Data Act). Die Compliance nach beiden Regelwerken bauen wir in unserem Schwerpunkt Daten in einer einzigen Ordnung auf; wer online in die EU verkauft, findet in unserem Leitfaden zum E-Commerce einen praktischen Einstieg.
Inkrafttreten & Änderungshistorie
- Fortlaufend
Rechtsprechung und aktualisierte Leitlinien
Entscheidungen des Gerichtshofs der Europäischen Union und Leitlinien des Europäischen Datenschutzausschusses prägen die Anwendung fortlaufend; im Vordergrund stehen die Übermittlungen und das berechtigte Interesse.
- Nov. 2025
Vorschlag „Digital-Omnibus (Daten)“
Änderungsvorschläge zum Begriff des personenbezogenen Datums, zu den Einwilligungs- und Cookie-Regeln und zur Meldung von Datenschutzverletzungen werden verhandelt (eine Annahme ist frühestens Ende 2026 zu erwarten; der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte äußern sich kritisch). Der Verordnungstext selbst ist unverändert.
- 25.05.2018
Anwendung begann
Die Verordnung wurde in allen Mitgliedstaaten unmittelbar anwendbar.
- 27.04.2016
Annahme
Veröffentlichung im Amtsblatt der Europäischen Union; die zweijährige Übergangsfrist begann.
Amtliche Quellen
Verordnungstext · EUR-Lex GDPRLeitlinien · Europäischer Datenschutzausschuss edpb.europa.eu
