Datenschutzrecht

Grundsätzlich müssen natürliche und juristische Personen, die personenbezogene Daten verarbeiten, sich vor Beginn der Verarbeitung im Register der Verantwortlichen (Veri Sorumluları Sicili – VERBİS) eintragen lassen (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 16 (Amtlicher Text, öffnet in neuem Tab)). Die Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) hat Ausnahmen von dieser Pflicht vorgesehen. Nach ihrem Beschluss Nr. 2025/1572 sind Verantwortliche mit weniger als 50 Beschäftigten im Jahr und einer Jahresbilanzsumme von weniger als 100 Millionen TL, deren Haupttätigkeit nicht in der Verarbeitung besonderer Kategorien personenbezogener Daten liegt, von der Registrierung ausgenommen. Für Verantwortliche, deren Haupttätigkeit in der Verarbeitung besonderer Kategorien von Daten liegt, gelten als Schwellenwerte 10 Beschäftigte und 10 Millionen TL; nach dem Beschluss Nr. 2025/2393 kommt es bei Verantwortlichen, die ihre Bücher nicht nach dem Bilanzprinzip führen, nur auf die Zahl der Beschäftigten an. Den aktuellen Stand entnehmen Sie bitte dem amtlichen Text.

Nein. Die Informationspflicht besteht darin, die betroffene Person bei der Erhebung der Daten darüber zu informieren, wer ihre Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet, an wen sie übermittelt werden können und welche Rechte sie hat (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 10 (Amtlicher Text, öffnet in neuem Tab)). Diese Pflicht ist unabhängig davon zu erfüllen, auf welche Rechtsgrundlage sich die Verarbeitung stützt, und hängt nicht von einem Antrag der Person ab. Die ausdrückliche Einwilligung ist dagegen eine auf einen bestimmten Sachverhalt bezogene, auf Information beruhende und freiwillig erklärte Einwilligung (KVKK Art. 3 (Amtlicher Text, öffnet in neuem Tab)). Beruht die Verarbeitung auf einer ausdrücklichen Einwilligung, sind die Informationspflicht und die Einholung der ausdrücklichen Einwilligung getrennt zu erfüllen (Bekanntmachung über die Verfahren und Grundsätze zur Erfüllung der Informationspflicht (Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ) Art. 5 (Amtlicher Text, öffnet in neuem Tab)).

Jede Person kann sich an den Verantwortlichen wenden, um zu erfahren, ob ihre Daten verarbeitet werden, Auskunft zu verlangen sowie die Berichtigung oder Löschung zu beantragen (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 11 (Amtlicher Text, öffnet in neuem Tab)). Der Antrag wird schriftlich oder auf anderen von der Datenschutzbehörde festgelegten Wegen gestellt. Der Verantwortliche erledigt den Antrag spätestens innerhalb von 30 Tagen und grundsätzlich unentgeltlich (KVKK Art. 13 (Amtlicher Text, öffnet in neuem Tab)). Nach der Bekanntmachung der Behörde für den Schutz personenbezogener Daten (Kişisel Verileri Koruma Kurumu) vom 1. Oktober 2026 gelten telefonisch oder persönlich erteilte Auskünfte nicht als Antwort; die Antwort ist schriftlich oder elektronisch mitzuteilen.

Wird der Antrag abgelehnt, wird die Antwort als unzureichend angesehen oder erfolgt keine fristgerechte Antwort, kann Beschwerde bei der Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) eingelegt werden (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 14 (Amtlicher Text, öffnet in neuem Tab)). Die Beschwerde ist innerhalb von 30 Tagen ab Kenntnis der Antwort, in jedem Fall aber innerhalb von 60 Tagen ab Antragstellung einzulegen. Ohne vorherigen Antrag beim Verantwortlichen ist eine Beschwerde nicht zulässig. Der Anspruch von Personen, deren Persönlichkeitsrechte verletzt wurden, auf Schadensersatz nach den allgemeinen Vorschriften bleibt unberührt.

Nein. Eine ausdrückliche Einwilligung ist unter anderem nicht erforderlich, wenn die Verarbeitung gesetzlich ausdrücklich vorgesehen ist, für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist, einer rechtlichen Verpflichtung des Verantwortlichen dient, zur Begründung oder zum Schutz eines Rechts erforderlich ist oder auf einem berechtigten Interesse beruht (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 5 (Amtlicher Text, öffnet in neuem Tab)). Das berechtigte Interesse gilt nur, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht beeinträchtigt werden. Für besondere Kategorien personenbezogener Daten gelten engere Voraussetzungen (KVKK Art. 6 (Amtlicher Text, öffnet in neuem Tab)). Unabhängig von der Rechtsgrundlage bleibt die Informationspflicht bestehen.

Gelangen Daten auf unrechtmäßigem Weg in die Hände Dritter, meldet der Verantwortliche dies so schnell wie möglich den betroffenen Personen und der Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 12 (Amtlicher Text, öffnet in neuem Tab)). Nach dem Beschluss Nr. 2019/10 der Datenschutzbehörde bedeutet „so schnell wie möglich“ 72 Stunden; die Meldung an die Behörde erfolgt spätestens 72 Stunden, nachdem die Verletzung bekannt geworden ist. Die betroffenen Personen werden nach ihrer Ermittlung innerhalb der kürzesten angemessenen Frist benachrichtigt. Bei einer Verzögerung sind die Gründe zusammen mit der Meldung anzugeben; die Verletzung und die getroffenen Maßnahmen werden dokumentiert.

Eine Übermittlung ins Ausland ist zulässig, wenn eine der Verarbeitungsvoraussetzungen vorliegt und die Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) für das Zielland einen Angemessenheitsbeschluss gefasst hat (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 9 (Amtlicher Text, öffnet in neuem Tab)). Laut der Website der Behörde (Kişisel Verileri Koruma Kurumu) gibt es bisher kein Land, für das ein Angemessenheitsbeschluss vorliegt. In diesem Fall ist eine geeignete Schutzmaßnahme erforderlich, etwa Standardverträge oder verbindliche interne Datenschutzvorschriften; ein Standardvertrag ist der Behörde innerhalb von fünf Arbeitstagen nach Unterzeichnung zu melden. Liegt auch das nicht vor, ist eine Übermittlung nur in den gesetzlich aufgezählten Ausnahmefällen zulässig; Einzelheiten regelt (Verordnung über die Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland (Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik) (Amtlicher Text, öffnet in neuem Tab)). Den aktuellen Stand entnehmen Sie bitte dem amtlichen Text.

Daten über Rasse, ethnische Herkunft, politische Meinung, weltanschauliche Überzeugung, Religion, Konfession oder sonstige Überzeugungen, Aufmachung und Kleidung, Mitgliedschaft in einem Verein, einer Stiftung oder einer Gewerkschaft, Gesundheit, Sexualleben, strafrechtliche Verurteilungen und Sicherungsmaßnahmen sowie biometrische und genetische Daten sind besondere Kategorien personenbezogener Daten (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 6 (Amtlicher Text, öffnet in neuem Tab)). Ihre Verarbeitung ist grundsätzlich untersagt. Sie dürfen in den aufgezählten Fällen verarbeitet werden, etwa bei ausdrücklicher Einwilligung, bei ausdrücklicher gesetzlicher Regelung oder bei rechtlichen Pflichten im Gesundheitswesen und im Beschäftigungsbereich. In jedem Fall müssen die von der Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) festgelegten angemessenen Maßnahmen getroffen werden.

Verstöße gegen die Pflichten zur Information, zur Datensicherheit, zur Befolgung von Beschlüssen der Datenschutzbehörde (Kişisel Verileri Koruma Kurulu), zur VERBİS-Registrierung (Register der Verantwortlichen) und zur Meldung von Standardverträgen werden mit Verwaltungsgeldbußen geahndet (Gesetz zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu – KVKK, Nr. 6698) Art. 18 (Amtlicher Text, öffnet in neuem Tab)). Die im Gesetz genannten Beträge werden nach dem türkischen Ordnungswidrigkeitengesetz (Kabahatler Kanunu, Nr. 5326) jedes Jahr um den Neubewertungssatz erhöht. Gegen Verwaltungsgeldbußen der Datenschutzbehörde kann Klage beim Verwaltungsgericht erhoben werden. Die rechtswidrige Speicherung personenbezogener Daten (Türkisches Strafgesetzbuch (Türk Ceza Kanunu – TCK, Nr. 5237) Art. 135 (Amtlicher Text, öffnet in neuem Tab)) sowie ihre rechtswidrige Weitergabe, Verbreitung oder Erlangung sind Straftaten (TCK Art. 136 (Amtlicher Text, öffnet in neuem Tab)). Den aktuellen Stand entnehmen Sie bitte dem amtlichen Text.