ÖFFENTLICHE BEKANNTMACHUNG ÜBER DEN EINSATZ VON ÜBERWACHUNGSKAMERAS AM ARBEITSPLATZ

KVKK, die türkische Datenschutzbehörde, hat aufgrund von Meldungen und Beschwerden über den rechtswidrigen oder zweckentfremdeten Einsatz von Kamerasystemen an Arbeitsplätzen eine öffentliche Bekanntmachung herausgegeben.

In diesem Zusammenhang gehören zu den wichtigsten Punkten der Bekanntmachung, dass bei der Bewertung der Erforderlichkeit von Überwachungskameras wie folgt verfahren werden muss.

Bei der Prüfung der Notwendigkeit von Kameraüberwachungen ist streng nach dem Grundsatz der Datenminimierung zu handeln. Der Zweck der Kamerainstallation (z. B. Gewährleistung der Sicherheit am Arbeitsplatz, Unterstützung bei der Verhütung und Aufdeckung von Straftaten oder Schutz des Arbeits- und Gesundheitsschutzes der Mitarbeiter) muss klar definiert sein. Eine Nutzung für andere Zwecke, wie die Überwachung der Anwesenheit oder der Leistung der Mitarbeiter, ist unzulässig. Zwecke wie Produktivitätssteigerung, Disziplinarmaßnahmen oder allgemeine Kontrolle werden nicht als rechtmäßiger Zweck anerkannt. In privaten Bereichen (z. B. Gebetsräume, Umkleidekabinen) dürfen keine Kameras eingesetzt und die angemessene Erwartungshaltung der Mitarbeiter auf Privatsphäre darf nicht missachtet werden. Die Notwendigkeit von Kameras mit Audioaufzeichnungsfunktion ist mit besonderer Sensibilität zu prüfen. Die betroffenen Personen müssen ordnungsgemäß informiert werden, unbefugte Zugriffe auf die Aufzeichnungen sind zu verhindern und die festgelegten Speicherfristen müssen eingehalten werden. Es muss ein automatischer Löschmechanismus implementiert sein und die erforderlichen internen Unternehmensrichtlinien zu diesem Thema müssen erstellt werden.

08.06.2026

GRUNDSATZBESCHLUSS ÜBER DIE VERARBEITUNG BIOMETRISCHER DATEN ZUR ARBEITSZEITERFASSUNG

KVKK, die türkische Datenschutzbehörde, hat mit seinem Grundsatzbeschluss vom 29.04.2026 und no. 2026/921 festgestellt, dass die Verarbeitung biometrischer Daten zum Zwecke der Arbeitszeiterfassung einen Verstoß gegen das KVKK-Gesetz darstellt.

In diesem Zusammenhang stellte der Rat klar, dass: Die Verarbeitung biometrischer Daten zur Arbeitszeiterfassung auf keine der in Artikel 6 des Gesetzes genannten Verarbeitungsbedingungen gestützt werden kann. Selbst wenn eine wirksame ausdrückliche Einwilligung der betroffenen Person vorliegt, dies das Kriterium der Verhältnismäßigkeit gemäß den allgemeinen Grundsätzen in Artikel 4 des Gesetzes nicht erfüllt. Daher müssen anstelle von biometrischen Systemen alternative und mildere Methoden zur Zeiterfassung eingesetzt werden, wie beispielsweise: Schlüsselkarten- oder PIN-basierte Systeme, Traditionelle Unterschriften- und papierbasierte Anwesenheitslisten, RFID-/NFC-Ausweiskarten, Manuelle Erfassungen unter Aufsicht eines Kontrolleurs.

Es wurde ferner darauf hingewiesen, dass Verantwortliche, die entgegen diesem Beschluss Daten verarbeiten, die erforderlichen technischen und organisatorischen Maßnahmen gemäß Artikel 12 des Gesetzes nicht getroffen haben. Folglich setzen sie sich dem Risiko einer Verwaltungsgeldbuße gemäß Artikel 18 des Gesetzes aus.

02.06.2026

KVKK-BEKANNTMACHUNG ÜBER DEN ANTRAG AUF VERBINDLICHE UNTERNEHMENSREGELUNGEN (BCR)

KVKK, die türkische Datenschutzbehörde, gab in ihrer Bekanntmachung vom 21.05.2025 bekannt, dass der von Sosyo-Plus Bilgi Bilişim Teknolojileri Danışmanlık Hizmetleri A.Ş. eingereichte Antrag auf Verbindliche Unternehmensregelungen (Binding Corporate Rules – BCR) vom Rat genehmigt wurde.

Damit wurde nach den im Jahr 2024 vorgenommenen Gesetzesänderungen am KVKK-Gesetz zum ersten Mal eine Datenübermittlung in ein Drittland (ins Ausland) auf dem Wege der Genehmigung verbindlicher Unternehmensregelungen durch den Rat realisiert.

21.05.2026

BEKANNTMACHUNG ÜBER EINWILLIGUNGSERKLÄRUNGEN UND DATENSCHUTZHINWEISE

Die miteinander verflochtene und gemeinsame Bereitstellung von Datenschutzhinweisen zur Erfüllung der Informationspflicht und Einwilligungserklärungen an die betroffenen Personen stellt in der Praxis einen der am häufigsten anzutreffende Rechtsverstöße dar.

In diesem Zusammenhang wurde in der von der türkische Datenschutzbehörde herausgegebenen Bekanntmachung betont, dass es im Rahmen der Gesetzeskonformität von entscheidender Bedeutung ist, bei jedem Vorgang zur Verarbeitung personenbezogener Daten den betroffenen Personen zwingend ein Datenschutzhinweis bereitgestellt wird und, sofern ein Verarbeitungsvorgang auf der Rechtsgrundlage einer Einwilligung basiert, der Datenschutzhinweis und die Einwilligungserklärung als separate Texte unter eigenständigen Überschriften vorgelegt werden. Sollten sich beide Texte auf derselben Seite befinden, sind sie unter getrennten, untereinander angeordneten Überschriften so zu gestalten, dass für jedes Dokument eine separate Erklärung abgegeben werden kann, wobei keine Einwilligung eingeholt werden darf, wenn die Verarbeitung bereits auf anderen im Gesetz verankerten Rechtsgrundlagen beruht. Des Weiteren darf bezüglich des Datenschutzhinweises lediglich eine Bestätigung darüber eingeholt werden, dass dieser gelesen und verstanden wurde, wohingegen keine Erklärung über eine Genehmigung oder Einwilligung zum Datenschutzhinweis selbst verlangt werden darf. Schließlich müssen die Texte für jeden Verantwortlichen individuell maßgeschneidert sein, anstatt sie von anderen Verantwortlichen im Wege von „Copy-Paste“ zu übernehmen, wobei auf die Verwendung übermäßig detaillierter, komplexer sowie langer Texte zu verzichten und stattdessen eine klare, einfache und verständliche Sprache zu wählen ist. 

18.02.2026

VON DER DATENSCHUTZBEHÖRDE IM JANUAR 2024 VERÖFFENTLICHTE INHALTE

Die türkische Behörde für den Schutz personenbezogener Daten hat im Januar verschiedene Leitlinien, Informationsmitteilungen, öffentliche Bekanntmachungen und Entscheidungen veröffentlicht. Diese werden im Folgenden vorgestellt:

• Entscheidung des Vorstands über die Befreiung der juristischen Personen der lokalen Behörden von der Pflicht zur Eintragung in das Datenschutzregister: Als Ergebnis der Prüfungen und Bewertungen, die der türkische Datenschutzausschuss im Rahmen des Gesetzes Nr. 6698 und der Verordnung über das Register der für die Datenverarbeitung Verantwortlichen durchgeführt hat, wurde am 12.01.2024 beschlossen, die juristischen Personen des öffentlichen Rechts der Gemeinden von der Pflicht zur Eintragung in das Register der für die Datenverarbeitung Verantwortlichen zu befreien.

• Leitfaden zu den Identifikationsnummern der Republik Türkei: Der am 16.01.2024 veröffentlichte Leitfaden zu den Identifikationsnummern der Republik Türkei, die vor allem in den letzten Jahren häufig verarbeitet werden und die, wenn sie erlangt werden, den Zugang zu anderen personenbezogenen Daten der betroffenen Personen ermöglichen, enthält Informationen zu vielen Rechtsvorschriften, die verarbeitet werden müssen, und gibt Empfehlungen in Form von Leitlinien. In diesem Zusammenhang wird darauf hingewiesen, dass bei der Verarbeitung türkischer ID-Nummern gemäß dem Gesetz Nr. 6698 über den Schutz personenbezogener Daten und anderer Rechtsvorschriften die Methoden bevorzugt werden sollten, die das Recht der betroffenen Personen, den Schutz ihrer personenbezogenen Daten zu verlangen, am wenigsten beeinträchtigen, und dass die für die Verarbeitung Verantwortlichen die zu diesem Zweck erforderlichen technischen und administrativen Maßnahmen ergreifen sollten. Darüber hinaus enthält der Leitfaden Informationen über die Bestimmungen zur Verarbeitung der türkischen Identifikationsnummern in den Rechtsvorschriften über den elektronischen Geschäftsverkehr, den Warenverkehr, den Verkehr, die elektronische Kommunikation, den Versicherungssektor sowie über öffentliche Einrichtungen und Organisationen.

• Öffentliche Bekanntmachung über die Forderungen von im Ausland lebenden Bürgern der Republik Türkei bezüglich der Nichtübermittlung von Kontoinformationen ins Ausland: Aufgrund der Beschwerden, die bei der Finanzverwaltung und den Banken, bei denen sich die Kontoinformationen befinden, eingegangen sind, hat das Präsidium beschlossen, dass die Fragen des automatischen Datenaustauschs durch das "Multilaterale Abkommen zwischen den zuständigen Behörden über den automatischen Austausch von Informationen über Finanzkonten" geregelt werden und dass gemäß der Bestimmung in Artikel 90 der Verfassung, wonach "ordnungsgemäß in Kraft getretene internationale Abkommen Gesetzeskraft haben", die im Rahmen dieses Abkommens verarbeiteten personenbezogenen Daten unter die Verarbeitungsbedingung "Die Bestimmungen anderer Gesetze über die Übermittlung personenbezogener Daten ins Ausland bleiben vorbehalten" in Absatz (6) des Artikels 9 des Gesetzes fallen. "In diesem Zusammenhang wurde festgestellt, dass die Übermittlungen personenbezogener Daten im Rahmen der Bestimmungen des internationalen Abkommens mit dem Gesetz vereinbar sind. Dementsprechend wurde mit Beschluss vom 28.12.2023, Nr. 2023/2199, entschieden, dass keine Maßnahmen im Rahmen des Gesetzes Nr. 6698 zu ergreifen sind und dass bereits eingereichte und zukünftige Beschwerden nicht mehr geprüft werden. 

• Deepfake-Memo: Das von der Datenschutzbehörde am 19.01.2024 veröffentlichte Informationsmemo zu Deepfake befasst sich mit der Frage, was Deepfake ist, welche Art von Bedrohung es darstellt und was gegen diese Bedrohung getan werden kann. In diesem Zusammenhang stellte die Behörde fest, dass Deepfake Gefahren wie Manipulation durch die Erstellung gefälschter Stimmen und Videos, finanziellen Schaden, Cybermobbing, Diskreditierung und Betrug birgt und gab eine kurze Checkliste mit Punkten zur Erkennung. Darüber hinaus wurde in dem Informationsvermerk betont, wie wichtig es ist, reale Personen zu sensibilisieren, um sie vor Deepfake-Technologien zu schützen, und dass Institutionen und Organisationen ihre Netzwerk- und Cybersicherheitsoperationen effektiv verwalten sollten. Schließlich werden auch Maßnahmen genannt, die von Cybersicherheitsunternehmen ergriffen werden können, wie die Entwicklung von Werkzeugen zur Erkennung von Inhalten, die mit Deepfake erstellt wurden, die Einrichtung von Datenbanken, die auf Originalinhalte verweisen, die in Deepfake-Inhalten verwendet werden, und die Entwicklung von Abwehrmethoden gegen Cyberangriffe, die mit Deepfake durchgeführt werden können.

• Leitlinien für den Schutz personenbezogener Daten bei Wahlaktivitäten: Während Wahlperioden können personenbezogene Daten von betroffenen Personen aus vielen Gründen verarbeitet werden. In diesem Zusammenhang hat der Rat am 24.01.2024 einen Leitfaden veröffentlicht, der die Bedingungen für die Verarbeitung personenbezogener Daten durch den Obersten Wahlrat und die zuständigen öffentlichen Einrichtungen, politischen Parteien und unabhängigen Kandidaten festlegt. Der Leitfaden enthält Informationen über die Verarbeitung personenbezogener Daten bei Vorgängen wie der Erstellung, Aktualisierung und Streichung des Wählerverzeichnisses, der Nominierung von Kandidaten, der Veröffentlichung der endgültigen Kandidatenlisten, der Wahlpropaganda, der öffentlichen Meinungsforschung, der Stimmabgabe usw. Er informiert auch über die Pflichten der für die Verarbeitung Verantwortlichen bei diesen Vorgängen und erinnert ausführlich an die Rechte der betroffenen Personen. Am Ende des Leitfadens findet sich ein Abschnitt mit Vorschlägen und Empfehlungen des EDSB.

• 28. Januar Veranstaltung zum Tag des Datenschutzes: In seiner Rede anlässlich der Veranstaltung zum Tag des Datenschutzes, die am 28. Januar im Konferenzraum der Behörde stattfand, sagte Präsident Prof. Dr. Faruk Bilir: "Unsere Behörde setzt sich weiterhin dafür ein, dass das Recht auf Schutz personenbezogener Daten als wirksames Mittel zur Durchsetzung von Rechten erhalten bleibt. Bis heute sind 38.789 Meldungen, Beschwerden und Anträge bei der Behörde eingegangen, von denen 37.010 abgeschlossen wurden. Darüber hinaus wurden 290 von 1 317 Meldungen über Datenschutzverletzungen auf der Website der Behörde veröffentlicht. Als Ergebnis der Untersuchungen wurden Verwaltungsstrafen in Höhe von 463 Millionen 801 Tausend TL verhängt. 1080 Rechtsgutachten wurden zu Fragen erstellt, die in den Zuständigkeitsbereich der Behörde fallen. Darüber hinaus wurden 8 Unternehmen vom Verwaltungsrat als "ausreichend qualifiziert für die Übermittlung personenbezogener Daten ins Ausland" anerkannt.

02.02.2024