Türkisches Datenschutzgesetz (KVKK): Datenschutz für Shopify-Shops
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des KVKK zu erfüllen: Die App blockiert nicht notwendige Cookies bis zur Einwilligung, scannt und kategorisiert Cookies und speichert Einwilligungsnachweise.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist das KVKK?
KVKK ist das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten (Kişisel Verilerin Korunması Kanunu), im Englischen oft PDPL genannt. Es wurde am 7. April 2016 im Amtsblatt veröffentlicht und regelt, wie personenbezogene Daten von Personen erhoben, verwendet, gespeichert und übermittelt werden dürfen. Durchgesetzt wird es von der Datenschutzbehörde (Kişisel Verileri Koruma Kurumu) und ihrem Entscheidungsgremium, dem Datenschutzrat (Kişisel Verileri Koruma Kurulu).
Das KVKK wurde nach dem Vorbild des EU-Datenschutzrechts gestaltet und teilt viele Grundgedanken mit der DSGVO. Zu seinen wichtigsten Grundsätzen gehören:
- Personenbezogene Daten dürfen nur auf einer Rechtsgrundlage verarbeitet werden, wobei die ausdrückliche Einwilligung die zentrale ist. Die ausdrückliche Einwilligung muss freiwillig, für einen bestimmten Fall und in informierter Weise erteilt werden.
- Menschen müssen bei der Erhebung ihrer Daten informiert werden, wer der Verantwortliche ist, warum die Daten verarbeitet werden, an wen sie weitergegeben werden und welche Rechte sie haben.
- Einzelpersonen haben das Recht zu erfahren, ob ihre Daten verarbeitet werden, auf Auskunft, auf Berichtigung oder Löschung und auf Widerspruch gegen bestimmte Ergebnisse automatisierter Auswertungen.
- Personenbezogene Daten müssen sicher aufbewahrt und Datenpannen dem Datenschutzrat und den betroffenen Personen gemeldet werden.
- Personenbezogene Daten dürfen nur unter den gesetzlich festgelegten Bedingungen ins Ausland übermittelt werden.
Das Gesetz Nr. 7499 hat das KVKK mit Wirkung zum 1. Juni 2024 geändert und seine Regeln für grenzüberschreitende Übermittlungen näher an die DSGVO gebracht. Übermittlungen können sich nun auf einen Angemessenheitsbeschluss stützen, auf geeignete Garantien wie die Standardverträge des Datenschutzrats (die der Behörde innerhalb von fünf Werktagen nach Unterzeichnung gemeldet werden müssen) oder verbindliche interne Datenschutzvorschriften, oder auf eng begrenzte gelegentliche Ausnahmen. Die Änderungen haben außerdem die Rechtsgrundlagen für die Verarbeitung sensibler Daten erweitert.
Für wen gilt das KVKK?
Das KVKK gilt für Personen und Organisationen, die personenbezogene Daten natürlicher Personen verarbeiten, ob automatisiert oder als Teil eines Dateisystems. Das Gesetz enthält keine ausdrückliche Regelung zur extraterritorialen Anwendung, doch die Behörde wendet es auf die Verarbeitung personenbezogener Daten von Menschen in der Türkei an. Verantwortliche mit Sitz im Ausland müssen unter Umständen einen Vertreter in der Türkei benennen und sich im Register der Verantwortlichen (VERBIS) eintragen.
Was passiert, wenn ich das KVKK nicht einhalte?
Verstöße gegen das KVKK können folgende Konsequenzen haben:
- Verwaltungsrechtliche Bußgelder: Die Bußgelder nach Artikel 18 werden jedes Jahr neu festgesetzt. Für 2026 erreichen die höchsten Bußgelder 17.092.242 TRY, etwa bei Verletzung der Pflichten zur Datensicherheit, Missachtung von Entscheidungen des Datenschutzrats oder fehlender Eintragung in VERBIS.
- Bußgelder bei mangelnder Transparenz: Wer die Informationspflicht verletzt, kann 2026 mit bis zu 1.709.200 TRY belegt werden.
- Bußgelder bei nicht gemeldeten Übermittlungen: Seit den Änderungen von 2024 ist auch bußgeldbewehrt, wenn ein für eine grenzüberschreitende Übermittlung genutzter Standardvertrag der Behörde nicht gemeldet wird.
- Entscheidungen des Datenschutzrats: Der Datenschutzrat kann einen Verantwortlichen anweisen, einen Verstoß zu beheben oder eine rechtswidrige Verarbeitung einzustellen.
- Strafrechtliche Haftung: Das rechtswidrige Speichern, Offenlegen oder Nichtlöschen personenbezogener Daten kann nach dem türkischen Strafgesetzbuch verfolgt werden.
Wann ist das KVKK in Kraft getreten?
Das KVKK trat am 7. April 2016 in Kraft, dem Tag seiner Veröffentlichung. Die Bestimmungen zu Übermittlungen, Betroffenenrechten, Beschwerden, dem Register und den Sanktionen gelten seit dem 7. Oktober 2016, sechs Monate später. Die Änderungen von 2024 traten am 1. Juni 2024 in Kraft.
Das KVKK einhalten
Wenn Ihr Onlineshop an Kunden in der Türkei verkauft, kann das KVKK für die personenbezogenen Daten gelten, die Sie von ihnen erheben, auch für Daten aus Cookies und Tracking-Tools.
Für Cookies und Tracking sind vor allem diese Punkte wichtig:
- Einwilligung: Der Cookie-Leitfaden der Behörde von 2022 verlangt eine ausdrückliche Einwilligung, bevor Cookies für Zwecke wie Werbung, Marketing und Verhaltenstracking eingesetzt werden. Unbedingt notwendige Cookies, etwa solche, die einen Warenkorb funktionsfähig halten, dürfen ohne Einwilligung verwendet werden. Die Einwilligung sollte eine aktive Entscheidung sein, vorausgefüllte Kästchen oder Weitersurfen zählen also nicht.
- Information: Teilen Sie Besuchern mit, welche Cookies Sie verwenden, wozu jedes Cookie dient, wie lange es gespeichert bleibt und ob es von Ihnen oder einem Drittanbieter gesetzt wird.
- Grenzüberschreitende Übermittlungen: Viele Analyse- und Werbe-Tools senden Daten an Server außerhalb der Türkei. Prüfen Sie, wie jeder Anbieter Übermittlungen nach dem geänderten Artikel 9 handhabt, zum Beispiel über Standardverträge.
- Anfragen von Betroffenen: Seien Sie darauf vorbereitet, Anträge auf Auskunft, Berichtigung oder Löschung personenbezogener Daten zu beantworten. Das Gesetz verlangt, dass Verantwortliche innerhalb von 30 Tagen antworten.
Damit das handhabbar bleibt, empfiehlt sich eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance. Sie zeigt ein Cookie-Banner, das nicht notwendige Cookies bis zur Einwilligung des Besuchers blockiert, scannt Ihren Shop, um Cookies automatisch zu erkennen und zu kategorisieren, und erstellt eine Cookie-Erklärung für Ihre Richtlinienseite. Sie führt Einwilligungsprotokolle als Nachweis für die Entscheidung jedes Besuchers, hilft Ihnen, Anfragen von Betroffenen zu bearbeiten, und zeigt Besuchern aus verschiedenen Ländern per Geolokalisierung regionsspezifische Banner-Einstellungen. Pandectes GDPR Compliance ist speziell für Shopify-Shops entwickelt.
Das KVKK hat eigene Definitionen und Verfahren. Lassen Sie Ihre Einrichtung daher gegebenenfalls rechtlich prüfen, besonders bei grenzüberschreitenden Übermittlungen und der Eintragung in VERBIS.