Wie gestaltet man eine KVKK-konforme Website?

Welche Regeln gelten?

Den Kern bildet das Gesetz Nr. 6698 von 2016. Mit dem Gesetz Nr. 7499 wurden die Bestimmungen zu besonderen Kategorien personenbezogener Daten und zur Übermittlung ins Ausland geändert; die Änderungen traten am 1. Juni 2024 in Kraft. Neben dem Gesetz betreffen mehrere Verordnungen und Leitfäden der türkischen Datenschutzbehörde eine Website unmittelbar:

• Mitteilung zur Informationspflicht (2018) — Inhalt und Verfahren der Datenschutzhinweise
• Mitteilung über Anträge an den Verantwortlichen (2018) — Antragswege und Fristen
• Verordnung über Löschung, Vernichtung oder Anonymisierung (2017) — Aufbewahrung und Löschung
• Verordnung über die Übermittlung ins Ausland (2024) — Standardverträge und Meldung
• Leitfaden zu Cookie-Praktiken (Juli 2025) — Cookies und Einwilligungsbildschirme
• Leitfaden zur Datensicherheit (April 2025) — technische und organisatorische Maßnahmen
• Grundsatzbeschluss 2026/347 — Datenschutzhinweise und Einwilligungstext getrennt
• Beschluss 2019/10 — Meldung von Datenpannen binnen 72 Stunden

Es gibt auch benachbarte Regeln. Eine Website, die Newsletter oder Kampagnen-E-Mails versendet, muss zusätzlich das Gesetz Nr. 6563 zur Regelung des elektronischen Handels und die Regeln von İYS, dem türkischen System zur Verwaltung kommerzieller elektronischer Nachrichten, einhalten. Eine Website, die Bestellungen annimmt oder Verträge schließt, muss nach der E-Commerce-Verordnung von 2022 unter der Überschrift „Kontakt“ Firmenname, MERSİS-Nummer, Anschrift und KEP-Adresse (registrierte elektronische Post) angeben. Das Einwilligungserfordernis des Gesetzes über elektronische Kommunikation für den Zugriff auf Endgeräte bindet laut dem Cookie-Leitfaden der Behörde nur Betreiber elektronischer Kommunikationsdienste; für eine gewöhnliche Website ist das KVKK maßgeblich.

Ein Hinweis: Das türkische Mittelfristige Programm 2026–2028 sah vor, die Angleichung des KVKK an die EU-Datenschutz-Grundverordnung (DSGVO) im dritten Quartal 2026 abzuschließen. Mit Stand Oktober 2026 ist keine solche Änderung verabschiedet. Welche Texte eine Website in welcher Situation braucht, haben wir im Leitfaden was eine Website enthalten muss zusammengefasst.

Zuerst eine Bestandsaufnahme: Was verarbeitet Ihre Website tatsächlich?

Aus einer Vorlage kopierte Datenschutzhinweise beschreiben oft Dinge, die die Website nicht tut, und lassen weg, was sie tut. Die richtige Reihenfolge ist umgekehrt: Zuerst ermitteln Sie, was die Website tatsächlich verarbeitet, danach schreiben Sie den Text.

Zu prüfen sind: Server- und Hosting-Protokolle (IP-Adresse, Browserinformationen, aufgerufene Seite), Formulare, Analyse- und Werbe-Tags, eingebettete Videos, Karten und Social-Media-Inhalte, von fremden Servern geladene Schriften und Skripte, Chat-Widgets, Bot-Prüfung (Captcha), das Content Delivery Network und die im Browser gespeicherten Einträge: Cookies, lokaler Speicher, Sitzungsspeicher.

Für die Browserseite brauchen Sie keine technischen Kenntnisse. Öffnen Sie die Website in einem Desktop-Browser, klicken Sie mit der rechten Maustaste auf die Seite und wählen Sie „Untersuchen“. Der Reiter „Anwendung“ (Application) zeigt Cookies und Speicher, der Reiter „Netzwerk“ (Network), an welche Server die Seite Anfragen sendet. Wiederholen Sie die Prüfung, nachdem Sie ein Formular ausgefüllt haben; manche Werkzeuge laden erst nach einer Interaktion.

Der Cookie-Leitfaden der Behörde erfasst nur Cookies, die personenbezogene Daten verarbeiten; zu Techniken wie lokalem Speicher oder Pixeln gibt er keine eigene Orientierung. Die EU-Regeln sind weiter: Nach den Leitlinien 2/2023 des Europäischen Datenschutzausschusses (EDSA) fällt jeder auf dem Gerät gespeicherte Eintrag, auch der lokale Speicher, unter die ePrivacy-Regel. Beschränken Sie die Bestandsaufnahme daher nicht auf Cookies.

Datenschutzhinweise: Was gehört hinein?

Artikel 10 KVKK verlangt, dass die betroffene Person bei der Erhebung personenbezogener Daten informiert wird. Artikel 4 der Mitteilung zur Informationspflicht nennt den Mindestinhalt: die Identität des Verantwortlichen, den Zweck der Verarbeitung, an wen und zu welchem Zweck die Daten übermittelt werden dürfen, die Art der Erhebung und ihre Rechtsgrundlage sowie die Rechte der betroffenen Person nach Artikel 11.

Artikel 5 der Mitteilung legt auch fest, wie der Text zu schreiben ist: Die Rechtsgrundlage wird mit der Bezeichnung der Bedingung im Gesetz genannt, allgemeine und vage Formulierungen sind zu vermeiden, die Sprache ist einfach und verständlich, und der Text enthält keine unvollständigen, irreführenden oder falschen Angaben. Die Beweislast dafür, dass informiert wurde, trägt der Verantwortliche.

Auch der Zeitpunkt zählt. Im Beschluss 2020/173 und im Cookie-Leitfaden stellt der Datenschutzrat (Kişisel Verileri Koruma Kurulu) fest, dass die Information beim Aufrufen der Website erfolgen muss, weil die Verarbeitung mit dem Besuch beginnt. Eine komplexe „Datenschutzerklärung“, die auch andere Themen behandelt, ersetzt die Information nicht.

Ausdrückliche Einwilligung: Wann ist sie nötig, und wann sollte man sie nicht verlangen?

Der häufigste Fehler ist, für alles eine Einwilligung einzuholen. Nach dem KVKK wird keine ausdrückliche Einwilligung herangezogen, wenn eine andere Bedingung aus Artikel 5 greift, etwa die Erfüllung eines Vertrags, eine rechtliche Verpflichtung oder ein berechtigtes Interesse. Im Grundsatzbeschluss 2026/347 verlangte der Rat, Datenschutzhinweise und Einwilligungstext getrennt zu gestalten: Für eine Verarbeitung, die auf einem anderen Grund als der ausdrücklichen Einwilligung beruht, wird kein Einwilligungstext vorgelegt; es wird nur informiert, und auf Wunsch wird eine Rückmeldung eingeholt, dass der Text gelesen wurde.

Ein verpflichtendes Einwilligungskästchen ist deshalb riskant. Im Beschluss 2023/692 wurde die Einholung einer Einwilligung über ein Pflichtkästchen, obwohl eine andere Rechtsgrundlage bestand, als Verstoß gegen den Grundsatz von Treu und Glauben gewertet und ein Bußgeld von 300.000 TL verhängt. Im Beschluss 2024/1361 holte ein Kontaktformular zusätzlich die Einwilligung zur Nutzung der Daten für Werbung und Marketing ein; der Rat befand, dass diese Einwilligung sich nicht auf einen bestimmten Fall bezog und nicht freiwillig erteilt wurde.

Cookies: Hinweisbanner oder Einwilligungspanel?

Der Cookie-Leitfaden der Behörde unterscheidet Cookies nach ihrem Zweck. Cookies, die für die Übertragung der Kommunikation nötig sind, und Cookies, die für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich sind (Sitzung, Warenkorb, Sicherheit, eine vom Nutzer gewählte Oberflächeneinstellung), erfordern keine ausdrückliche Einwilligung. Werbe-, Personalisierungs- und Drittanbieter-Analyse-Cookies dagegen schon; ohne Einwilligung lässt der Leitfaden nur Erstanbieter-Analyse-Cookies zu, die allein die eigene Reichweite messen, anonyme Statistiken erzeugen und kein seitenübergreifendes Tracking betreiben.

Der Leitfaden warnt in beide Richtungen. Eine Website, die nur notwendige Cookies verwendet und dennoch um Einwilligung bittet, führt er als schlechtes Beispiel an: So zu tun, als frage man nach einer Wahl, die es nicht gibt, entspricht weder dem Gesetz noch dem Grundsatz von Treu und Glauben. Wo eine Einwilligung nötig ist, bietet die erste Ebene „Akzeptieren“, „Ablehnen“ und „Einstellungen“ in gleicher Farbe, Größe und Schrift an; einwilligungspflichtige Cookies sind beim ersten Aufruf deaktiviert; keine „Cookie-Wall“ macht die Nutzung der Website von der Einwilligung abhängig; und der Widerruf ist so einfach wie die Erteilung.

Der Rat setzt dies auch durch. Im Beschluss 2022/1358 wurde ein Bußgeld von 300.000 TL verhängt, weil für nicht notwendige Cookies keine Einwilligung eingeholt wurde. Im Beschluss 2024/1361 wurden 250.000 TL für ein nicht notwendiges Analyse-Cookie ohne Einwilligungsmechanismus beim ersten Aufruf und 15.000 TL für mangelhafte Information verhängt. Für Cookies eines Drittanbieters ist auch der Websitebetreiber verantwortlich.

Beim Vergleich der Ausgabe vom Juli 2025 mit der Ausgabe von 2022 haben wir einen wesentlichen Unterschied gefunden, im Abschnitt über die Übermittlung ins Ausland: Eine Übermittlung an einen Cookie-Anbieter im Ausland wird nicht mehr nach der ausdrücklichen Einwilligung, sondern nach den Übermittlungsregeln des Artikels 9 des Gesetzes beurteilt.

Formulare und Newsletter

Das Kontaktformular ist der Ort, an dem eine Website die meisten Daten erhebt. Fragen Sie nur die Felder ab, die Sie wirklich brauchen; ein Pflichtfeld für Telefon oder Position braucht einen eigenen Verarbeitungsgrund. Setzen Sie neben das Formular einen Link zu den Datenschutzhinweisen. Wenn Sie ein Kästchen verwenden, dann als Bestätigung „gelesen und verstanden“, nicht „ich stimme zu“; die Bestätigung zusammen mit der aktuellen Textversion zu speichern ist ein praktischer Weg, die Beweislast zu erfüllen. Da in ein Freitextfeld besondere Kategorien von Daten wie Gesundheitsangaben geraten können, fügen Sie einen Satz hinzu, der darum bittet, diese nicht zu teilen.

Newsletter und Kampagnen-E-Mails unterliegen einer eigenen Regel. Nach dem Gesetz Nr. 6563 dürfen kommerzielle elektronische Nachrichten nur mit vorheriger Einwilligung versendet werden. Nach der Durchführungsverordnung darf das Einwilligungskästchen nicht vorausgewählt sein, die Einwilligung darf keine Voraussetzung für Waren oder Dienstleistungen sein, und eine außerhalb von İYS eingeholte Einwilligung ist unwirksam, wenn sie nicht binnen drei Arbeitstagen in İYS eingetragen wird. An Kaufleute und Gewerbetreibende darf ohne Einwilligung gesendet werden, ihre Adressen müssen aber in İYS eingetragen und ihr Widerspruchsstatus dort geprüft werden.

Der Rat hat zwei weitere Hinweise gegeben. Nach dem Grundsatzbeschluss 2025/1072 werden Vertragszustimmung, Erlaubnis zur Datenverarbeitung und Einwilligung in kommerzielle Nachrichten nicht mit einer einzigen Handlung eingeholt. Laut einer Bekanntmachung vom 21. Juli 2026 bieten Kontaktdaten, die von Dritten stammen, keine unmittelbare Rechtsgrundlage für Werbung und Marketing; eine gekaufte Adressliste ist daher keine Lösung.

Drittanbieter-Werk­zeuge und Übermittlung ins Ausland

Die meisten Analyse-, Karten-, Video-, Chat-, Captcha- und Hosting-Dienste sitzen im Ausland; lädt Ihre Website diese Werkzeuge, geht mindestens die IP-Adresse des Besuchers an den Anbieter. Seit der Änderung von 2024 legt Artikel 9 des Gesetzes eine Reihenfolge fest: ein Angemessenheitsbeschluss für das Zielland; fehlt er, geeignete Garantien; fehlen beide, nur die für gelegentliche Fälle genannten Ausnahmen.

Mit Stand Oktober 2026 hat der Rat für kein Land einen Angemessenheitsbeschluss erlassen. In der Praxis ist die häufigste Garantie der vom Rat veröffentlichte Standardvertrag; nach der Unterzeichnung ist er binnen fünf Arbeitstagen der Behörde zu melden. 2026 liegt das Bußgeld für eine unterlassene Meldung zwischen 90.308 TL und 1.806.177 TL. Die Ausnahmen für gelegentliche Übermittlungen gelten, wie der Name sagt, für Einzelfälle; eine laufende Hosting-Beziehung decken sie nicht ab.

In der Gestaltung sind die Wege, Übermittlungen zu verringern, bekannt: Schriften und Skripte auf dem eigenen Server bereitstellen, Videos und Karten erst auf Klick laden, Messungen ohne Cookies und nach Möglichkeit auf dem eigenen Server einrichten. Ein Präzedenzfall aus der EU: 2022 wertete das Landgericht München I das Laden von Google Fonts vom Google-Server als unerlaubte Übermittlung der IP-Adresse des Besuchers und stellte fest, dass die Schrift vom eigenen Server der Website ausgeliefert werden kann.

Sicherheit, Aufbewahrung und Datenpannen

Artikel 12 des Gesetzes verlangt technische und organisatorische Maßnahmen für ein angemessenes Sicherheitsniveau. Der im April 2025 erneuerte Leitfaden der Behörde zur Datensicherheit stellt sie tabellarisch dar: verschlüsselte Verbindungen, Berechtigungs- und Zugriffsverwaltung, Protokollierung, Sicherungen, aktuelle Software, Penetrationstests, Verträge zwischen Verantwortlichem und Auftragsverarbeiter sowie Risikoanalyse stehen an erster Stelle.

Ein Beispiel aus dem Web: Im Beschluss 2023/1796 wurden nach einer Systemänderung auf der Website eines Unternehmens durch eine Cache-Konfiguration Name, Nachname, Mitgliedschafts- und Telefondaten von Mitgliedern für jedermann zugänglich. Der Rat stellte fest, dass die Änderung vor der Inbetriebnahme nicht ausreichend getestet worden war, und verhängte ein Bußgeld von 200.000 TL. Ein Update vor der Veröffentlichung zu testen, ist ebenfalls eine Sicherheitsmaßnahme.

Kommt es zu einer Datenpanne, verlangt der Beschluss 2019/10 des Rates die Meldung spätestens 72 Stunden nach Bekanntwerden; die Behörde hat diese Regel in einer Bekanntmachung vom 20. Januar 2026 bekräftigt. Auch die Betroffenen werden so bald wie vernünftigerweise möglich informiert.

Auch die Aufbewahrung gehört zur Gestaltung: Formularnachrichten, Serverprotokolle und Sicherungen werden nur so lange wie nötig aufbewahrt. Nach der Löschverordnung ist eine Aufbewahrungs- und Löschrichtlinie nur für Verantwortliche Pflicht, die sich bei VERBİS registrieren müssen; die Pflicht, Daten nach Ablauf der Frist zu löschen, gilt aber für alle. Der Abstand zwischen regelmäßigen Löschungen darf sechs Monate nicht überschreiten, und ein Löschantrag der betroffenen Person wird spätestens binnen 30 Tagen erledigt.

Anträge betroffener Personen

Artikel 11 des Gesetzes gibt betroffenen Personen Rechte, etwa zu erfahren, ob ihre Daten verarbeitet werden, und deren Berichtigung oder Löschung zu verlangen. Nach der Mitteilung über Anträge kann ein Antrag schriftlich, per registrierter E-Mail (KEP), mit sicherer elektronischer oder mobiler Signatur oder von der E-Mail-Adresse gestellt werden, die die betroffene Person zuvor angegeben hat und die beim Verantwortlichen gespeichert ist. Die Antwort erfolgt spätestens binnen 30 Tagen und grundsätzlich kostenlos.

Am 1. Oktober 2026 erinnerte die Behörde daran, dass eine telefonische oder persönliche Antwort nicht als die vom Gesetz verlangte Antwort gilt; sie muss schriftlich oder elektronisch erfolgen. Bleibt die Antwort aus oder ist sie unzureichend, kann sich die betroffene Person beim Rat beschweren. Auf der Website heißt das schlicht: Die Datenschutzhinweise nennen klar, wie und an welche Adresse ein Antrag gerichtet werden kann.

VERBİS und die Bußgelder 2026

Die Eintragung in VERBİS, das Register der Verantwortlichen, ist nicht für alle Pflicht. Nach einem Beschluss des Rates sind Verantwortliche mit weniger als 50 Beschäftigten im Jahr und einer Jahresbilanzsumme unter 100 Millionen TL befreit; für Verantwortliche, deren Haupttätigkeit die Verarbeitung besonderer Kategorien von Daten ist, liegen die Schwellen bei 10 Beschäftigten und 10 Millionen TL. Die Befreiung gilt nur für die Eintragung; Informations-, Sicherheits- und übrige Pflichten bestehen fort.

Die Bußgelder steigen jedes Jahr um den Neubewertungssatz; Beträge wie 5.000–100.000 TL im Gesetzestext sind nicht mehr aktuell. Für 2026 gelten:

1. Informationspflicht (Art. 10) · 85.437 – 1.709.200 TL
2. Datensicherheit (Art. 12) · 256.357 – 17.092.242 TL
3. Nichtbefolgung von Beschlüssen des Rates (Art. 15) · 427.263 – 17.092.242 TL
4. VERBİS-Eintragung und -Meldung (Art. 16) · 341.809 – 17.092.242 TL
5. Meldung von Auslandsübermittlungen (Art. 9 Abs. 5) · 90.308 – 1.806.177 TL

Wenn Ihre Besucher aus der EU kommen

Bietet eine Website Menschen in der EU mit deutschen oder englischen Inhalten Leistungen an, kann Artikel 3 Absatz 2 DSGVO greifen. Dann fallen zwei Unterschiede auf. Der erste ist die Rechtsgrundlage: In der DSGVO stehen Einwilligung, Vertrag und berechtigtes Interesse gleichrangig in derselben Liste; im KVKK ist die ausdrückliche Einwilligung die Regel, die übrigen Bedingungen sind als Ausnahmen aufgezählt. Der zweite ist der Zugriff auf das Endgerät: Artikel 5 Absatz 3 der ePrivacy-Richtlinie und in Deutschland § 25 TDDDG machen jeden auf dem Gerät gespeicherten Eintrag, nicht nur Cookies, einwilligungspflichtig, soweit er nicht unbedingt erforderlich ist. Die Orientierungshilfe der deutschen Datenschutzaufsichtsbehörden verlangt, dass Annahme und Ablehnung mit gleichwertiger Wirkung angeboten werden.

Bei Übermittlungen zählt die EU die Türkei nicht zu den Ländern mit angemessenem Schutzniveau; auch Übermittlungen aus der EU in die Türkei brauchen geeignete Garantien. Der EU-US-Datenschutzrahmen ist dagegen in Kraft: Das Gericht der EU wies die dagegen erhobene Nichtigkeitsklage am 3. September 2025 ab, ein Rechtsmittel ist anhängig.

Die große Änderung auf der Tagesordnung ist das im November 2025 von der Europäischen Kommission vorgeschlagene Paket „Digital Omnibus“. Es schlägt vor, die Cookie-Regeln in die DSGVO zu verlagern, eine Ablehnung mit einem Klick und automatische Einwilligungssignale aus dem Browser einzuführen. Mit Stand Oktober 2026 befindet sich der Vorschlag im Europäischen Parlament im Ausschussstadium, und die Position des Rates der EU belässt die Cookie-Regeln in der ePrivacy-Richtlinie. Heute gelten die oben genannten Regeln.

Was wir auf dieser Website getan haben

Auf dieser Website gibt es keinen Einwilligungsbildschirm, weil keine einwilligungspflichtige Verarbeitung stattfindet. Wir halten das als Messung fest, nicht als Behauptung:

1. Erstanbieter-Cookies · 0 — kein Cookie-Header in den Seitenantworten
2. Drittanbieter-Anfragen beim ersten Laden · 0 — Schriften und Skripte auf unserem eigenen Server
3. Analyse- und Werbe-Tags · keine
4. Bot-Prüfung (hCaptcha) · lädt erst, wenn Sie das Kontaktformular berühren

Beim Aufruf erscheint ein Hinweisbanner ohne Einwilligungssprache: Es sagt, was mit dem Besuch verarbeitet wird und warum, und verlinkt auf die Datenschutzhinweise; nach „Verstanden“ bleibt es zwölf Monate ausgeblendet und erscheint wieder, wenn sich der Text ändert. Unsere Cookie- und Browserspeicher-Richtlinie führt jeden Eintrag, den die Website im Browser speichert, mit Name, Zweck und Dauer auf. Unsere Testsuite vergleicht jeden Speicherschlüssel, den der Code schreibt, in drei Sprachen mit dieser Tabelle; schreibt der Code einen neuen Schlüssel, den die Tabelle nicht nennt, wird der Test rot.

Lesehilfen (zuletzt gelesenen Artikel und geöffnete Leitfäden markieren) sind standardmäßig aus und funktionieren nur, wenn Besucher sie einschalten; Bleistiftmarkierungen in Artikeln werden nur gespeichert, wenn Sie „Markieren“ drücken. Das Kontaktformular hat kein Pflicht-Einwilligungskästchen, sondern eine Bestätigung „Ich habe die Datenschutzhinweise gelesen und verstanden.“, die zusammen mit der aktuellen Textversion der Nachricht beigefügt wird. Wenn das Formular unseren Server passiert, wird die IP-Adresse des Besuchers nicht an den Formulardienst weitergegeben, und die Aufrufprotokolle des Servers sind abgeschaltet.

Unser Vorgehen in Kundenprojekten

In einem Projekt beginnen wir die KVKK-Arbeit mit Messen, nicht mit Texten:

1. Bestandsaufnahme — wir öffnen jeden Seitentyp und die wichtigsten Abläufe im Browser und erfassen jeden Eintrag und jede ausgehende Anfrage
2. Datenfluss — wir ermitteln Zweck, Empfänger, Land und Dauer jedes Eintrags und jeder Anfrage
3. Gestaltung — wir entfernen unnötige Verarbeitung: lokale Schriften, Einbettungen erst auf Klick, Messung ohne Cookies
4. Text — wir erstellen den technischen Inhalt der Datenschutzhinweise und der Cookie-Tabelle aus dem Gemessenen; die rechtliche Endprüfung liegt bei Ihrer Anwältin oder Ihrem Anwalt
5. Test — wir fügen dem Projekt einen Test hinzu, der den Text mit dem Verhalten der Website vergleicht

Checkliste

1. Bestandsaufnahme · Server, Formulare, Drittanbieter, Browserspeicher — auch nach dem Ausfüllen eines Formulars
2. Datenschutzhinweise · Identität, Zweck, Empfänger, Methode, Rechtsgrundlage, Rechte — beim Aufruf erreichbar
3. Einwilligung · nur für Verarbeitung, die sie braucht, in einem eigenen Text
4. Cookies · Information für notwendige, Einwilligung mit gleichwertigen Optionen für die übrigen
5. Formulare · nötige Felder, kein Pflicht-Einwilligungskästchen, Bestätigung und Textversion gespeichert
6. Newsletter · eigene Einwilligung, nicht vorausgewähltes Kästchen, İYS-Eintragung
7. Drittanbieter · Garantien und Meldung bei Auslandsübermittlungen
8. Sicherheit · verschlüsselte Verbindungen, aktuelle Software, getestete Releases, Sicherungen
9. Aufbewahrung · Fristen, Löschung, ein 72-Stunden-Plan für Datenpannen
10. Anträge · Kanal, 30 Tage, schriftliche Antwort

KVKK-Konformität ist kein Text, den man einmal schreibt und liegen lässt; sie ist ein Zustand, der neu gemessen wird, wenn sich die Website ändert. Dieser Artikel wurde nach dem Rechtsstand vom 30. Oktober 2026 geschrieben; die Bußgelder ändern sich jedes Jahr, und der EU-Prozess läuft noch. Er ist keine Rechtsberatung; bitte lassen Sie ihn für Ihre eigene Website anwaltlich prüfen. Wenn Sie gemeinsam messen möchten, was Ihre Website verarbeitet, schreiben Sie uns.