Das Gesetz verlangt eine Compliance-Ordnung aus Information, Rechtsgrundlage, Datensicherheit, VERBİS-Eintragung und der Bearbeitung von Anträgen betroffener Personen. Seit 2024 ruht die Übermittlung ins Ausland auf drei Säulen: dem Angemessenheitsbeschluss, geeigneten Garantien (einschließlich des Standardvertrags — binnen fünf Arbeitstagen nach Unterzeichnung dem Kurul anzuzeigen) und eng begrenzten Einzelfällen.
Wer in der Türkei Daten verarbeitet
Alle Verantwortlichen und Auftragsverarbeiter fallen in den Anwendungsbereich, ohne Unterschied zwischen inländischen und ausländischen Unternehmen.
Gruppen mit ausländischem Kapital
Türkische Beteiligungen, die Daten mit der Zentrale teilen, müssen die neuen Instrumente für die Übermittlung einrichten.
Personal- und Marketingprozesse
Beschäftigtendaten, İYS- und Marketingeinwilligungen sowie Cookies sind die am häufigsten geprüften Bereiche.
- 01Information und Verwaltung der Rechtsgrundlagen für jede Verarbeitungstätigkeit in der vorgeschriebenen Form.
- 02VERBİS-Eintragung und Verzeichnis führen; nach den Kriterien der Eintragungspflicht.
- 03Instrumente für die Übermittlung ins Ausland einrichten; einschließlich der Anzeige des Standardvertrags an den Kurul binnen fünf Arbeitstagen.
- 04Meldung von Verletzungen und Bearbeitung von Anträgen Reaktion nach der 72-Stunden-Praxis; fristgerechte Beantwortung der Anträge betroffener Personen.
Überblick
Das türkische Gesetz Nr. 6698 über den Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu, KVKK) steckt den Rahmen für die Verarbeitung personenbezogener Daten in der Türkei ab; die Aufsicht führt die türkische Datenschutzbehörde (Kişisel Verileri Koruma Kurumu). Das Gesetz ist von der DSGVO angeregt, arbeitet aber mit eigenen Einrichtungen — dem Register VERBİS und den Beschlüssen des Datenschutzausschusses (Kurul) — und mit eigenen Verfahren.
Die Änderungen von 2024
Das im März 2024 angenommene türkische Gesetz Nr. 7499 hat zwei Bereiche von Grund auf geändert. Für die Verarbeitung besonderer Kategorien personenbezogener Daten wurden neue Rechtsgrundlagen anerkannt, darunter Pflichten aus dem Arbeitsrecht. Für die Übermittlung ins Ausland trat an die Stelle der alten, in der Praxis blockierten Ordnung ein neues dreistufiges Regime: der Angemessenheitsbeschluss; geeignete Garantien — verbindliche Unternehmensregelungen, der vom Kurul bekannt gemachte Standardvertrag und eine schriftliche Verpflichtungserklärung; und eng begrenzte Einzelfälle.
Das kritischste Detail in der Praxis
Der Standardvertrag ist binnen fünf Arbeitstagen nach seiner Unterzeichnung dem Kurul anzuzeigen; das Unterlassen dieser Anzeige ist für sich genommen ein Grund für eine Verwaltungssanktion. Bei konzerninternen Datenflüssen sollten das Verzeichnis der Verträge und die Nachverfolgung der Anzeigen aus einer Hand geführt werden.
Grundgerüst der Compliance
Eine belastbare KVKK-Compliance besteht aus dem Verzeichnis der Verarbeitungstätigkeiten, einer Architektur aus Informationstexten und Einwilligungen, einer Aufbewahrungs- und Löschrichtlinie, der Eintragung in VERBİS, den Verträgen mit Auftragsverarbeitern und einem Plan für die Reaktion auf Datenschutzverletzungen. Beschäftigtendaten und die Marketingeinwilligungen über das türkische Nachrichtenverwaltungssystem İYS sind die Bereiche, aus denen die meisten Streitigkeiten erwachsen.
Gemeinsame Umsetzung mit der DSGVO
Bei Unternehmen mit Deutschlandbezug ist es am wirtschaftlichsten, die Anforderungen des KVKK und der DSGVO in einer einzigen Compliance-Ordnung zusammenzuführen und die Instrumente für die Übermittlung in beide Richtungen — von der Türkei in die EU und von der EU in die Türkei — mit demselben Vertragssatz aufzubauen. Mehmet Köksal ist als türkischer Rechtsanwalt bei der Rechtsanwaltskammer Berlin registriert (§ 206 BRAO) und berät in Deutschland, auf Deutsch, zum türkischen Recht: Verlangt Ihr deutscher Vertragspartner Zusagen, die das türkische Recht so nicht zulässt, erläutern wir ihm das auf Deutsch und schlagen eine Formulierung vor, die nach türkischem Recht auch tatsächlich einhaltbar ist. Fragen des deutschen Rechts — etwa das Bundesdatenschutzgesetz und die Zuständigkeit der Aufsichtsbehörde des jeweiligen Bundeslandes — bearbeitet unsere Partnerkanzlei activelaw (Hannover). Für Sie bleibt es ein Mandat mit einer Ansprechperson.
Sanktionen
Das Gesetz sieht für Verstöße gegen die Informationspflicht, gegen die Datensicherheit, gegen die VERBİS-Pflichten und gegen die Beschlüsse des Kurul Verwaltungsgeldbußen vor, die jedes Jahr um die türkische Neubewertungsrate fortgeschrieben werden; mit den Änderungen von 2024 ist auch die nicht fristgerechte Anzeige des Standardvertrags ein eigener Bußgeldtatbestand geworden. Der Kurul kann darüber hinaus zu Maßnahmen greifen, die von der Untersagung der Verarbeitung bis zur Veröffentlichung seiner Beschlüsse reichen.
Verwandte Inhalte
Für die EU-Seite lesen Sie diesen Eintrag zusammen mit dem DSGVO-Eintrag. Die Compliance-Ordnung behandeln wir in unserem Schwerpunkt Daten, die Reaktion auf Verletzungen und Sicherheitsvorfälle in unserem Schwerpunkt Cybersicherheit.
Inkrafttreten & Änderungshistorie
- Jan. 2025
Leitfaden zur Übermittlung ins Ausland
Die Behörde hat ihren Leitfaden zur Übermittlung personenbezogener Daten ins Ausland (Veröffentlichung Nr. 48) herausgegeben. Ein Angemessenheitsbeschluss ist bislang für kein Land ergangen; die Verwaltungsgeldbußen wurden für 2026 um die Neubewertungsrate fortgeschrieben.
- 01.09.2024
Neues Übermittlungsregime vollständig in Kraft
Der Übergang von der alten Praxis der Übermittlung mit ausdrücklicher Einwilligung zu den neuen Instrumenten war abgeschlossen.
- 12.03.2024
Änderung durch das Gesetz Nr. 7499
Neue Rechtsgrundlagen für besondere Kategorien personenbezogener Daten; das Übermittlungsregime des Artikels 9 wurde neu gefasst.
- 07.04.2016
Das Gesetz trat in Kraft
Das erste umfassende Datenschutzgesetz der Türkei wurde verkündet.
Amtliche Quellen
Gesetzestext · mevzuat.gov.tr KVKKBehörde und Leitfäden · kvkk.gov.tr kvkk.gov.trLeitfaden zur Übermittlung ins Ausland (Nr. 48) kvkk.gov.tr
