Datenschutz und Corporate Compliance: sichere Fahrt über das Datenmeer

1. Einleitung: Den Kompass im Datenmeer ausrichten In einer digitalisierten Wirtschaft gehören personenbezogene Daten zu den wertvollsten — und zugleich fragilsten — Vermögenswerten eines Unternehmens. Eine Kundenliste, eine Personalakte oder ein Besucherprotokoll der Website sind sämtlich Daten, die durch das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten (das „KVKK“) geschützt sind. Organisationen, die ihren Kompass in diesem Datenmeer nicht richtig ausrichten, geraten in Stürme aus Bußgeldern, Reputationsschäden und Schadensersatzansprüchen.

Datenschutz ist entgegen einer verbreiteten Annahme keine einmalige Übung im „Erstellen von Dokumenten“. Im Gegenteil: Es handelt sich um einen fortlaufend zu aktualisierenden Compliance-Prozess, der vom Aufbau eines Verarbeitungsverzeichnisses über die Erstellung von Datenschutzhinweisen und technische Sicherheitsmaßnahmen bis zum Krisenmanagement im Moment einer Datenpanne reicht. In diesem Beitrag betrachten wir die tragenden Säulen der KVKK-Compliance samt der jüngsten Gesetzesänderungen aus Unternehmenssicht.

2. Was und wen schützt das KVKK? Das KVKK definiert „personenbezogene Daten“ als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Name, Personenkennziffer, Telefonnummer, E-Mail, IP-Adresse, Standort und sogar eine Sprachaufnahme fallen darunter. Daten über Gesundheit, Religion, ethnische Herkunft, Biometrie und Genetik sowie strafrechtliche Verurteilungen sind „besondere Kategorien personenbezogener Daten“ und unterliegen einem strengeren Schutz.

Hauptadressat des Gesetzes ist der Verantwortliche: die natürliche oder juristische Person, die über Zwecke und Mittel der Verarbeitung entscheidet und für Einrichtung und Verwaltung des Datenbestands verantwortlich ist. Ein Unternehmen ist Verantwortlicher, soweit es Daten seiner Beschäftigten, Kunden, Lieferanten und Besucher verarbeitet, und damit Adressat der hier erörterten Pflichten. Externe Dienstleister, die Daten im Auftrag verarbeiten, unterliegen als Auftragsverarbeiter einem eigenen Haftungsregime.

3. Erste Säule: Verarbeitungsverzeichnis und das Register VERBİS Jeder tragfähige Compliance-Prozess beginnt mit der Antwort auf die Frage „welche Daten halte ich?“. Das Verzeichnis der Verarbeitungstätigkeiten ist die grundlegende Karte, die zeigt, welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und an wen übermittelt gehalten werden. Ohne diese Karte lässt sich weder ein zutreffender Datenschutzhinweis erstellen noch lassen sich passende Sicherheitsmaßnahmen definieren.

Verantwortliche, die bestimmte Schwellenwerte überschreiten, sind zudem verpflichtet, sich im Informationssystem des Registers der Verantwortlichen (VERBİS) einzutragen und ihre Verarbeitungstätigkeiten dort zu erklären. Das Verzeichnis aktuell und mit dem VERBİS-Eintrag konsistent zu halten, bildet im Prüfungsfall die erste Verteidigungslinie der Organisation.

4. Zweite Säule: Rechtsgrundlage und Informationspflicht Die Grundlogik des KVKK lautet: Personenbezogene Daten dürfen grundsätzlich nur verarbeitet werden, wenn mindestens eine der im Gesetz aufgeführten Verarbeitungsvoraussetzungen (Rechtsgrundlagen) vorliegt. Der Abschluss eines Vertrags, die Erfüllung einer rechtlichen Verpflichtung, ein berechtigtes Interesse oder eine ausdrückliche gesetzliche Anordnung zählen dazu. Die ausdrückliche Einwilligung ist letztes Mittel und nur heranzuziehen, wenn keine andere Rechtsgrundlage besteht; für jede Verarbeitung eine Einwilligung einzuholen ist ebenso unnötig wie fehlerhaft.

Unabhängig von der herangezogenen Grundlage muss der Verantwortliche die Informationspflicht erfüllen. Der betroffenen Person ist in klarer, verständlicher und zugänglicher Sprache mitzuteilen, wer ihre Daten zu welchem Zweck verarbeitet, an wen sie übermittelt werden können und welche Rechte ihr zustehen. Ist eine ausdrückliche Einwilligung erforderlich, muss sie freiwillig, für einen bestimmten Fall und informiert erteilt werden; Datenschutzhinweis und Einwilligungstext dürfen nicht vermengt werden.

5. Dritte Säule: Datensicherheit (technische und organisatorische Maßnahmen) Art. 12 KVKK verpflichtet den Verantwortlichen, ein angemessenes Schutzniveau sicherzustellen, um personenbezogene Daten vor unrechtmäßigem Zugriff, Offenlegung und Verlust zu schützen. Diese Pflicht steht auf zwei Beinen:

Technische Maßnahmen: Berechtigungsmatrizen und Zugriffskontrolle, starke Authentifizierung, Verschlüsselung, aktuelle Virenschutz- und Firewall-Systeme, Protokollierung, regelmäßige Backups und Penetrationstests. Organisatorische Maßnahmen: Sensibilisierungsschulungen, Verschwiegenheitsverpflichtungen, eine Aufbewahrungs- und Löschrichtlinie, mit Auftragsverarbeitern geschlossene Verträge mit Vertraulichkeits- und Sicherheitsklauseln sowie die schriftliche Festlegung von Rollen und Verantwortlichkeiten. Die von der Datenschutzbehörde veröffentlichten Leitlinien setzen dafür — insbesondere bei besonderen Datenkategorien — den Mindestrahmen.

6. Vierte Säule: Breach-Management und die 72-Stunden-Regel Trotz bester Maßnahmen sinkt das Risiko einer Datenpanne nie auf null. Entscheidend ist, im Ernstfall vorbereitet zu sein. Werden personenbezogene Daten unrechtmäßig erlangt, ist der Verantwortliche verpflichtet, die türkische Datenschutzbehörde schnellstmöglich und grundsätzlich innerhalb von 72 Stunden zu benachrichtigen. Auch die betroffenen Personen sind binnen kürzester angemessener Frist zu informieren.

Deshalb ist es entscheidend, dass jede Organisation über einen vorbereiteten Notfallplan für Datenpannen verfügt: Wer erkennt den Vorfall, wer bewertet ihn, wer entscheidet über die Meldung und wie wird der Prozess dokumentiert? Einen vordefinierten Ablauf abzuarbeiten, statt in der Krise zu improvisieren, senkt sowohl das rechtliche Risiko als auch den Reputationsschaden.

7. Der heikle Kurs: grenzüberschreitende Datenübermittlung (nach 2024) Die Verbreitung globaler Dienstleister, Cloud-Systeme und im Ausland betriebener Software hat die grenzüberschreitende Datenübermittlung zu einem der kritischsten Praxisthemen gemacht. Mit der umfassenden Änderung von Art. 9 KVKK im Jahr 2024 hat das Übermittlungsregime eine mehrstufige, am europäischen Ansatz ausgerichtete Struktur erhalten.

Nach den neuen Regeln kann eine Übermittlung ins Ausland der Reihe nach auf folgende Grundlagen gestützt werden: das Vorliegen eines von der Behörde bekannt gegebenen Angemessenheitsbeschlusses; fehlt ein solcher, geeignete Garantien, mit denen die Parteien ein angemessenes Schutzniveau sicherstellen (etwa Standardvertragsklauseln, verbindliche interne Datenschutzvorschriften oder Verpflichtungserklärungen); und schließlich das Vorliegen einer der im Gesetz aufgeführten Ausnahmefälle. Gerade für multinationale Konzerngesellschaften und Organisationen, die Leistungen aus dem Ausland beziehen, ist die richtige Wahl des Übermittlungswegs und die Anzeige der verwendeten Standardverträge an die Behörde heute fester Bestandteil der Compliance.

8. Der Preis der Nichteinhaltung: Bußgelder und weitere Risiken Verstöße gegen das KVKK werden mit erheblichen Bußgeldern geahndet; die Verletzung der Informationspflicht, fehlende Datensicherheitsmaßnahmen, eine unterlassene VERBİS-Registrierung und die Nichtbefolgung von Beschlüssen der Behörde führen zu Geldbußen, deren Höhe jährlich angepasst wird. Das Risiko beschränkt sich jedoch nicht auf Bußgelder.

Personen, deren Daten unrechtmäßig verarbeitet werden, können ihre materiellen und immateriellen Schäden gerichtlich geltend machen; schwere Verstöße können Straftatbestände des türkischen Strafgesetzbuchs erfüllen. Der vielleicht nachhaltigste Preis ist der Reputationsschaden und der Vertrauensverlust bei Kunden, sobald eine Datenpanne öffentlich wird. Vor diesem Hintergrund ist KVKK-Compliance kein Kostenposten, sondern eine Investition in die unternehmerische Nachhaltigkeit.

9. Fahrplan für Unternehmens-Compliance (Kurz-Checkliste) - Verarbeitungsverzeichnis aufbauen und regelmäßig aktualisieren. - VERBİS-Registrierung dort abschließen, wo sie erforderlich ist, und mit dem Verzeichnis konsistent halten. - Für jede Verarbeitung die Rechtsgrundlage bestimmen; Einwilligung nur dort einsetzen, wo sie wirklich erforderlich ist. - Datenschutzhinweise und, wo nötig, gesonderte Einwilligungstexte in klarer Sprache erstellen. - Technische und organisatorische Sicherheitsmaßnahmen umsetzen und dokumentieren. - Eine Aufbewahrungs- und Löschrichtlinie einführen und periodische Löschungen durchführen. - Einen Notfallplan für Datenpannen vorbereiten und die Teams schulen. - Den Weg der grenzüberschreitenden Übermittlung am Regime nach 2024 überprüfen. - Mit Auftragsverarbeitern KVKK-konforme Verträge schließen.

10. Fazit Der Schutz personenbezogener Daten ist kein statisches Ziel, sondern ein Prozess, der dauerhaft in Bewegung bleiben muss. Die Gesetzeslage ändert sich, die Technik wandelt sich, und die Spruchpraxis der Behörde entwickelt sich täglich weiter. Für eine sichere Fahrt über dieses Datenmeer muss eine Organisation ein maßgeschneidertes Compliance-Programm aufbauen, es periodisch aktualisieren und zum Teil ihrer Unternehmenskultur machen. Ein gut ausgerichteter Kompass schützt vor rechtlichen Sanktionen und stärkt zugleich das Vertrauen — Ihr wertvollstes Kapital.

_Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Für die KVKK-Compliance-Prozesse Ihres Unternehmens und das Management von Datenpannen empfehlen wir die Beratung durch eine spezialisierte Anwältin oder einen spezialisierten Anwalt._