Die wichtigsten Entscheidungen des türkischen Datenschutzrats im Jahr 2026

27. Oktober 2026 · Mosturoğlu & Çopuroğlu

Das Jahr 2026 war ein Jahr, in dem die türkische Datenschutzbehörde (Kişisel Verileri Koruma Kurulu, „Datenschutzrat“) die Praxis vor allem durch Grundsatzentscheidungen geprägt hat. Der Datenschutzrat erließ allgemeingültige Entscheidungen zu zahlreichen Bereichen des täglichen Lebens – von der Verwendung biometrischer Daten im Arbeitsverhältnis und der Überwachung dienstlicher E-Mails bis hin zu Kundenkarten und Schuldnerlisten in Wohnanlagen. Im Folgenden fassen wir die wichtigsten Entscheidungen und Entwicklungen zusammen, die Verantwortliche bei ihrer Compliance-Arbeit berücksichtigen sollten.

1. Biometrische Daten zur Arbeitszeiterfassung (Grundsatzentscheidung 2026/921)

Mit Grundsatzentscheidung Nr. 2026/921 vom 29.04.2026 (Amtsblatt vom 02.06.2026, Nr. 33268) befasste sich der Datenschutzrat mit der Arbeitszeiterfassung mittels biometrischer Verfahren wie Fingerabdruck, Gesichtserkennung, Iris- oder Handflächenscan. Danach gilt:

• Da keine gesetzliche Bestimmung die biometrische Zeiterfassung ausdrücklich vorsieht, kann die Verarbeitung nicht auf den Tatbestand der „ausdrücklichen gesetzlichen Regelung“ gestützt werden.
• Wegen des Machtungleichgewichts zwischen Arbeitgeber und Arbeitnehmer gilt eine im Arbeitsverhältnis erteilte ausdrückliche Einwilligung in der Regel nicht als freiwillig und ist für sich genommen keine ausreichende Rechtsgrundlage.
• Selbst bei wirksamer Einwilligung muss die Verarbeitung den allgemeinen Grundsätzen des Art. 4 des Gesetzes, insbesondere dem Verhältnismäßigkeitsgrundsatz, entsprechen. Da weniger eingriffsintensive Methoden wie PIN- oder verschlüsselte Kartensysteme, RFID/NFC-Ausweise oder Unterschriftenlisten zur Verfügung stehen, wurde die biometrische Zeiterfassung als unverhältnismäßig eingestuft.

Eine Übergangsfrist sieht die Entscheidung nicht vor. Arbeitgeber, die biometrische Zeiterfassungssysteme einsetzen, sollten diese unverzüglich durch Alternativen ersetzen.

2. Überwachung dienstlicher E-Mail- und Kommunikationskanäle (Grundsatzentscheidung 2026/2035)

Mit Grundsatzentscheidung Nr. 2026/2035 vom 16.09.2026 (Amtsblatt vom 08.10.2026) legte der Datenschutzrat die Grundsätze für die Überwachung dienstlicher E-Mail-Konten und sonstiger Kommunikationskanäle durch Arbeitgeber fest. Die wichtigsten Punkte:

• Arbeitnehmer sind vorab und konkret über Rechtsgrundlage, Zweck, Umfang und Methode der Überwachung, die Fälle eines Zugriffs auf Inhalte sowie die Speicherdauer zu informieren. Ein allgemeiner Hinweis, dass „dienstliche E-Mails überwacht werden können“, genügt nicht.
• Für die dienstliche und private Nutzung dienstlicher Konten sind klare Regeln aufzustellen. Auch bei einem Verbot der Privatnutzung unterliegt die Überwachung dem Verhältnismäßigkeitsgrundsatz.
• Die technische Zugriffsmöglichkeit des Arbeitgebers auf ein Gerät, eine Sitzung oder ein Netzwerk berechtigt ihn nicht zum Zugriff auf private E-Mail-, Messenger- oder Social-Media-Konten des Arbeitnehmers.
• Es ist ein abgestuftes Vorgehen zu wählen; eine inhaltliche Prüfung soll die Ausnahme sein und grundsätzlich an einen konkreten Verdacht oder ein bestimmtes Ereignis anknüpfen. Eine allgemeine und fortlaufende Inhaltsprüfung ist unzulässig.
• Der Zugriff auf Überwachungsergebnisse ist auf wenige befugte Personen zu beschränken und zu protokollieren. Nach Beendigung des Arbeitsverhältnisses ist die Rechtsgrundlage für die Verarbeitung der Daten im Konto des ehemaligen Arbeitnehmers neu zu prüfen.

3. Kundenkartenprogramme (Grundsatzentscheidung 2026/266 und Fristverlängerung)

In der Grundsatzentscheidung Nr. 2026/266 vom 11.02.2026 (Amtsblatt vom 28.02.2026, Nr. 33182) stellte der Datenschutzrat fest, dass Kundenkartentransaktionen, die an der Kasse lediglich durch Nennung einer Telefon- oder Kartennummer ohne Wissen und Zustimmung des Karteninhabers erfolgen, keine Rechtsgrundlage nach Art. 5 haben und gegen die Datensicherheitspflicht nach Art. 12 verstoßen können. Betreiber von Kundenprogrammen müssen Mechanismen einführen, die bestätigen, dass Transaktionen mit Wissen und Zustimmung des Karteninhabers erfolgen.

Auf Wunsch der Branche wurde die sechsmonatige Umsetzungsfrist mit Entscheidung Nr. 2026/1491 vom 22.07.2026 (Amtsblatt vom 13.08.2026, Nr. 33339) bis zum 28.02.2027 verlängert.

4. Trennung von Datenschutzhinweisen und Einwilligungstexten (Grundsatzentscheidung 2026/347)

Mit Grundsatzentscheidung Nr. 2026/347 vom 18.02.2026 (Amtsblatt vom 24.03.2026, Nr. 33203) griff der Datenschutzrat ein in der Praxis häufiges Problem auf: Datenschutzhinweise und Einwilligungstexte sind getrennt, in einfacher Sprache und zugeschnitten auf die eigenen Verarbeitungen des Verantwortlichen zu erstellen. Für Verarbeitungen, die auf eine andere Rechtsgrundlage gestützt werden können, soll keine Einwilligung eingeholt werden. Bei Verstößen kann nach Art. 18 vorgegangen werden.

In diesem Zusammenhang veröffentlichte der Datenschutzrat im Januar 2026 eine Mitteilung zu Benachrichtigungen in mobilen Apps: Die Bündelung von Kampagnenbenachrichtigungen und betrieblich notwendigen Benachrichtigungen wie der Sendungsverfolgung in einer einzigen Einwilligung sei unzulässig, da Nutzer so zum Empfang von Werbung gezwungen würden.

5. Weitergabe von Schuldnerinformationen in Wohnanlagen (Grundsatzentscheidung 2026/348)

In der Grundsatzentscheidung Nr. 2026/348 vom 18.02.2026 (Amtsblatt vom 31.03.2026, Nr. 33210) stellte der Datenschutzrat fest, dass Verwaltungen von Wohnanlagen Informationen über Hausgeldschulden weitergeben dürfen, dies jedoch verhältnismäßig und sicher geschehen muss. Der Aushang von Schuldnerlisten in Gemeinschaftsbereichen wurde als rechtswidrig eingestuft; empfohlen werden stattdessen geschlossene E-Mail-Verteiler oder zugangsbeschränkte Messenger-Gruppen.

6. Veröffentlichung personenbezogener Daten im Internet durch öffentliche Stellen (Grundsatzentscheidung 2026/1301)

Die Grundsatzentscheidung Nr. 2026/1301 vom 01.07.2026 (Amtsblatt vom 28.07.2026, Nr. 33323) betrifft öffentlich-rechtliche Verantwortliche wie Gemeinden, Universitäten und Provinzverwaltungen. Danach müssen diese vor einer Veröffentlichung personenbezogener Daten im Internet eine gültige Rechtsgrundlage prüfen, bestehende Veröffentlichungen unverzüglich überprüfen und solche ohne Grundlage entfernen oder schwärzen sowie Daten, deren Zweck entfallen ist, löschen oder anonymisieren. Prüfungs- und Losergebnisse sollen nicht als öffentliche Sammellisten veröffentlicht, sondern über sichere Wege wie e-Devlet oder Zwei-Faktor-Authentifizierung nur der betroffenen Person angezeigt werden.

7. SMS-Bestätigungscodes (Grundsatzentscheidung 2025/1072)

In der bereits 2025 veröffentlichten, aber 2026 weiterhin maßgeblichen Grundsatzentscheidung Nr. 2025/1072 vom 10.06.2025 (Amtsblatt vom 26.06.2025, Nr. 32938) stellte der Datenschutzrat fest, dass der Versand von SMS-Bestätigungscodes bei Zahlungen, Mitgliedschaften, Reservierungen oder Kontoeröffnungen eine Verarbeitung personenbezogener Daten darstellt. Die Informationspflicht ist vor der Verarbeitung zu erfüllen; ausdrückliche Einwilligung und Einwilligung in kommerzielle elektronische Nachrichten dürfen nicht über ein einziges Kontrollkästchen eingeholt werden; SMS-Inhalte sind mit Blick auf die Verarbeitung zu gestalten.

8. Leitfaden für Rechtsanwälte

Am 22.09.2026 veröffentlichte die Datenschutzbehörde den unter Mitwirkung der Union der Türkischen Rechtsanwaltskammern erstellten „Praxisleitfaden zum Schutz personenbezogener Daten bei der beruflichen Tätigkeit von Rechtsanwälten“. Der Leitfaden behandelt die Rechtsgrundlagen anwaltlicher Datenverarbeitung, die Voraussetzungen für die Verarbeitung besonderer Kategorien personenbezogener Daten, Übermittlungen im Inland und ins Ausland sowie Maßnahmen der Datensicherheit.

Besonders bemerkenswert ist der Abschnitt zu generativer KI. Nach dem Leitfaden kann das Hochladen von Mandantenakten oder personenbezogenen Dokumenten in solche Werkzeuge – abhängig von der Infrastruktur des Anbieters und den Verarbeitungsorten – eine Übermittlung ins Ausland darstellen. Rechtsanwälten wird daher empfohlen, vorab die Nutzungsbedingungen des Werkzeugs, Speicherort und -dauer der Daten sowie deren etwaige Verwendung zum Training des Modells zu prüfen, Daten soweit möglich zu schwärzen oder zu anonymisieren und insbesondere keine besonderen Kategorien personenbezogener Daten wie Gesundheitsdaten oder Vorstrafen hochzuladen. Zudem erinnert der Leitfaden daran, dass Rechtsanwälte nach Entscheidung Nr. 2018/32 von der VERBİS-Registrierungspflicht befreit sind, betroffenen Personen und der Behörde auf Anfrage aber vollständige Auskunft über Verarbeitungszwecke und Empfänger geben können müssen.

9. Verfassungsgericht: Gesetzlichkeitsprinzip bei Bußgeldern

In seiner Entscheidung vom 27.01.2026 zur Individualbeschwerde Nr. 2020/32193 (Amtsblatt vom 16.06.2026, Nr. 33282) prüfte das türkische Verfassungsgericht ein gegen eine Versicherungsgesellschaft verhängtes Bußgeld nach dem KVKK. Die Gesellschaft hatte die betroffene Person unter Verwendung von Kontaktdaten angerufen, die diese auf einer Website öffentlich zugänglich gemacht hatte; der Datenschutzrat hatte das Bußgeld damit begründet, dass öffentlich gemachte Daten nur im Einklang mit dem Zweck der Veröffentlichung verarbeitet werden dürfen.

Das Gericht erkannte zwar eine formelle gesetzliche Grundlage an, stellte jedoch fest, dass das Gesetz keine klare Bestimmung enthält, die eine zweckwidrige Nutzung veröffentlichter Daten unmittelbar mit einer Sanktion verknüpft, sodass das Bußgeld auf einer nicht vorhersehbaren weiten Auslegung beruhte. Es stellte eine Verletzung des Grundsatzes der Gesetzlichkeit von Straftaten und Strafen fest und ordnete ein neues Verfahren an. Die Entscheidung unterstreicht, dass bei Sanktionen nach dem KVKK sowohl die verletzte Pflicht als auch die daran geknüpfte Sanktion klar und vorhersehbar bestimmt sein müssen.

10. Bußgeldrahmen für 2026

Die Bußgelder nach Art. 18 KVKK wurden für 2026 unter Anwendung des Neubewertungssatzes von 25,49 % angepasst:

• Verstoß gegen die Informationspflicht: 85.437 TL – 1.709.200 TL
• Verstoß gegen Pflichten zur Datensicherheit: 256.357 TL – 17.092.242 TL
• Nichtbefolgung von Entscheidungen des Datenschutzrats: 427.263 TL – 17.092.242 TL
• Verstoß gegen VERBİS-Registrierungs- und Meldepflichten: 341.809 TL – 17.092.242 TL
• Unterlassene Meldung von Standardverträgen für Übermittlungen ins Ausland: 90.308 TL – 1.806.377 TL

Fazit

Die Entscheidungen des Jahres 2026 zeigen, dass der Datenschutzrat der Einwilligung im Arbeitsverhältnis zurückhaltend gegenübersteht, den Verhältnismäßigkeitsgrundsatz in den Mittelpunkt stellt und großen Wert auf die Trennung von Informations- und Einwilligungsprozessen legt. Wir empfehlen Verantwortlichen, ihre Prozesse zu Beschäftigtendaten (biometrische Systeme und E-Mail-Überwachung), ihre Einwilligungsmechanismen gegenüber Kunden (SMS, Kundenprogramme, App-Benachrichtigungen) sowie ihre Datenschutzhinweise und Einwilligungstexte vor diesem Hintergrund zu überprüfen. Für Rechtsanwälte und Kanzleien ist eine interne Richtlinie zum Einsatz von KI-Werkzeugen inzwischen unverzichtbar.