Wie schreibt man Datenschutzhinweise für eine Website? Ein Gerüst, Abschnitt für Abschnitt.
Datenschutzhinweise beschreiben, welche personenbezogenen Daten die Website in wessen Namen, zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet, an wen sie sie übermittelt und welche Rechte der Besucher hat. Die Mitteilung über Verfahren und Grundsätze zur Erfüllung der Informationspflicht nennt fünf Mindestangaben; ein guter Text stellt sie entsprechend der Verarbeitung dar, die die Website tatsächlich vornimmt, in einfacher Sprache und bevor die Verarbeitung beginnt.
Den Text zu kopieren, den man am Ende einer Suche nach „Muster für Datenschutzhinweise“ findet, ist verlockend, aber riskant: Im Grundsatzbeschluss 2026/347 schrieb der Datenschutzrat (Kişisel Verileri Koruma Kurulu), dass der Text eines anderen Verantwortlichen nicht unverändert übernommen werden darf und der Text entsprechend der eigenen Tätigkeit zu erstellen ist. Dieser Leitfaden liefert keine Vorlage zum Ausfüllen, sondern ein Gerüst, Abschnitt für Abschnitt, und zeigt, woher jeder Abschnitt stammt. Die Angaben hier sind keine Rechtsberatung; lassen Sie die endgültige Fassung des Textes von einer Anwältin oder einem Anwalt prüfen.
Für wen sind Datenschutzhinweise Pflicht?
Für alle, die personenbezogene Daten verarbeiten. Artikel 10 des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK) verlangt, dass die betroffene Person bei der Erhebung der Daten informiert wird; die Mitteilung zur Informationspflicht sagt, dass dies bei jeder Verarbeitung geschieht, ob sie auf ausdrücklicher Einwilligung oder auf einer anderen Verarbeitungsbedingung beruht, und nicht von einem Antrag der betroffenen Person abhängt. Die Befreiung von der Eintragung in das Register der Verantwortlichen (VERBİS) hebt diese Pflicht nicht auf.
Auf einer Website beginnt die Verarbeitung lange vor dem Kontaktformular, mit der ersten Anfrage: Der Server sieht die IP-Adresse des Besuchers, Cookies und Browsereinträge kommen ins Spiel. Deshalb verlangt der Leitfaden der Datenschutzbehörde zu Cookie-Praktiken, dass die Information beim Aufrufen der Website erfolgt. Die Beweislast dafür, dass informiert wurde, trägt ebenfalls der Verantwortliche.
Welche Abschnitte gehören in den Text?
Artikel 4 der Mitteilung nennt den Mindestinhalt: die Identität des Verantwortlichen und gegebenenfalls seines Vertreters, den Zweck der Verarbeitung, an wen und zu welchem Zweck die Daten übermittelt werden können, die Methode und die Rechtsgrundlage der Erhebung sowie die Rechte der betroffenen Person nach Artikel 11. Für eine Website hält es den Text konkret, dies in folgendes Gerüst zu übersetzen:
- Verantwortlicher · Identität und Kontaktdaten; gegebenenfalls Vertreter
- Welche Daten · was die Website tatsächlich erhebt: Formularfelder, Serverprotokolle, Cookies
- Zweck · für jede Datengruppe ein bestimmter und eindeutiger Zweck
- Rechtsgrundlage · mit der Bezeichnung der Bedingung in Artikel 5 oder 6 des Gesetzes
- Erhebungsmethode · automatisiert (Server, Cookie) oder nicht automatisiert (Formular)
- Übermittlung · Empfängergruppen und Zweck der Übermittlung; bei Übermittlung ins Ausland wohin und auf welcher Grundlage
- Aufbewahrung · wie lange die Daten gespeichert werden und was nach Ablauf der Frist geschieht
- Rechte und Antrag · die Rechte nach Artikel 11 und der Antragsweg
Die Zeilen „Welche Daten“ und „Aufbewahrung“ stehen nicht in der Mindestliste der Mitteilung; sie binden den Text aber an das tatsächliche Verhalten der Website und beantworten die erste Frage des Besuchers. Die Einzelheiten zu Cookies können in einem eigenen Abschnitt oder auf einer eigenen Seite stehen: Wie erstellt man eine Cookie-Richtlinie.
Wie wird die Rechtsgrundlage formuliert?
Nach der Mitteilung wird die Rechtsgrundlage klar angegeben: Es wird gesagt, auf welche der Bedingungen in Artikel 5 und 6 des Gesetzes sich die Verarbeitung der Daten stützt. Auch der Zweck muss bestimmt, eindeutig und legitim sein; allgemeine und vage Formulierungen und Sätze, die den Eindruck erwecken, die Daten würden später auch für andere Zwecke verarbeitet, werden vermieden. „Ihre personenbezogenen Daten werden gemäß den geltenden Vorschriften verarbeitet“ ist deshalb keine Rechtsgrundlage.
Artikel 5 des Gesetzes zählt die Bedingungen außer der ausdrücklichen Einwilligung auf: ausdrückliche Vorsehung in Gesetzen, unmittelbarer Zusammenhang mit dem Abschluss oder der Erfüllung eines Vertrags, rechtliche Verpflichtung des Verantwortlichen, Veröffentlichung der Daten durch die betroffene Person selbst, Begründung, Ausübung oder Schutz eines Rechts sowie das berechtigte Interesse des Verantwortlichen, sofern die Grundrechte und Grundfreiheiten der betroffenen Person nicht verletzt werden. Im Text ist das Satzmuster für jede Datengruppe dasselbe: welche Daten, zu welchem Zweck, auf welche Bedingung gestützt. Welche Bedingung zu Ihrer Verarbeitung passt, ist dagegen eine rechtliche Bewertung.
Warum muss der Einwilligungstext getrennt sein?
Im Grundsatzbeschluss 2026/347 verlangte der Rat, dass bei einer Verarbeitung auf Grundlage der ausdrücklichen Einwilligung Datenschutzhinweise und Einwilligungstext als getrennte Texte unter verschiedenen Überschriften gestaltet werden; stehen sie auf derselben Seite, dann untereinander und mit einer eigenen Erklärung für jeden. Stützt sich die Verarbeitung auf eine andere Verarbeitungsbedingung, wird nur informiert, und es wird kein zusätzlicher Einwilligungstext vorgelegt. Der Rat hält es für angemessen, eine Rückmeldung darüber einzuholen, dass die Datenschutzhinweise gelesen wurden; eine Zustimmung oder Einwilligung zu den Aussagen in den Datenschutzhinweisen zu verlangen, hält er dagegen nicht für angemessen.
Warum diese Unterscheidung wichtig ist, zeigt der Beschluss 2023/692. Im Terminformular auf der Website einer Gesundheitseinrichtung ließ sich kein Termin vereinbaren, ohne das Kästchen für die ausdrückliche Einwilligung zu Werbezwecken anzukreuzen. Der Rat wertete es als irreführend und als Rechtsmissbrauch, sich auf die ausdrückliche Einwilligung zu stützen, obwohl andere Verarbeitungsbedingungen bestanden, verhängte ein Bußgeld von 300.000 TL und verlangte, die Formulierung „ich stimme zu“ aus dem Text zu entfernen.
Was sollte das Kästchen im Formular sagen?
Wenn Sie ein Kästchen verwenden, sollte es bestätigen, dass die Datenschutzhinweise gelesen wurden, und keine Einwilligung verlangen: etwa „Ich habe die Datenschutzhinweise gelesen und verstanden.“ Die Bestätigung zusammen mit der zu diesem Zeitpunkt gültigen Textversion zu speichern, ist ein praktischer Weg, die Beweislast zu erfüllen. Eine Erlaubnis für Marketing oder Newsletter sollte ein eigenes Kästchen und eine eigene Handlung sein; sie sollte nicht an das Absenden des Kontaktformulars gekoppelt werden. Im Beschluss 2024/1361 befand der Rat, dass die im Formular eingeholte Zustimmung zur Nutzung für Marketingzwecke sich nicht auf einen bestimmten Fall bezog und nicht aus freiem Willen erteilt wurde; im Grundsatzbeschluss 2025/1072 verlangte er zudem, unterschiedliche Zustimmungen nicht mit einer einzigen Handlung einzuholen.
Wie wird die Übermittlung ins Ausland beschrieben?
Sitzt Ihr Hosting-, Formular-, E-Mail- oder Analysedienst im Ausland, werden Daten ins Ausland übermittelt. Seit 2024 legt Artikel 9 des Gesetzes eine Reihenfolge fest: ein Angemessenheitsbeschluss; fehlt er, geeignete Garantien; fehlen beide, nur gelegentliche Fälle. Laut der Seite der Behörde hat der Rat noch für kein Land einen Angemessenheitsbeschluss erlassen; die in der Praxis verwendete Garantie ist der Standardvertrag, der nach der Unterzeichnung binnen fünf Arbeitstagen der Behörde gemeldet wird.
Im Text werden Empfängergruppe, Zweck der Übermittlung und Grundlage klar angegeben. Auch das Umgekehrte gilt: Nach dem Beschluss 2026/347 sollen keine Formulierungen verwendet werden, die den Eindruck einer Übermittlung erwecken, wenn keine Übermittlung ins Ausland stattfindet.
Wie wird der Abschnitt zu Rechten und Anträgen formuliert?
Nach dem Grundsatzbeschluss ist es nicht nötig, Artikel 11 des Gesetzes vollständig in den Text zu kopieren; eine kurze Formulierung wie „Ihre Rechte nach Artikel 11 des Gesetzes“ genügt. Wirklich wichtig ist, wie ein Antrag gestellt wird. Nach der Mitteilung über Verfahren und Grundsätze für Anträge an den Verantwortlichen kann ein Antrag schriftlich, per registrierter elektronischer Post (KEP), mit sicherer elektronischer Signatur, mit mobiler Signatur, über die E-Mail-Adresse, die die betroffene Person zuvor angegeben hat und die im System des Verantwortlichen gespeichert ist, oder über eine zu diesem Zweck entwickelte Software gestellt werden.
Die Antwort erfolgt spätestens binnen 30 Tagen und grundsätzlich kostenlos; bei einer schriftlichen Antwort kann für jede Seite über zehn Seiten hinaus 1 TL erhoben werden. Am 1. Oktober 2026 erinnerte die Behörde daran, dass eine telefonische oder persönliche Antwort nicht als die vom Gesetz verlangte Antwort gilt und die Antwort schriftlich oder elektronisch erfolgen muss.
Was ist der gemeinsame Fehler der sanktionierten Websites?
Drei Beschlüsse zeigen dasselbe: Text und Verhalten der Website gingen auseinander. Im Beschluss 2022/1358 war für zahlreiche Cookies nicht informiert und für nicht notwendige Cookies keine Einwilligung eingeholt worden (300.000 TL). Im Beschluss 2023/692 war die Einwilligung zur Vorbedingung für die Dienstleistung gemacht worden (300.000 TL). Im Beschluss 2024/1361 wurde ein nicht unbedingt erforderliches Analyse-Cookie beim ersten Aufruf ohne Einwilligung verwendet, und im Formular wurde eine Marketingzustimmung eingeholt (250.000 TL und 15.000 TL für mangelhafte Information). 2026 liegt das Bußgeld für einen Verstoß gegen die Informationspflicht zwischen 85.437 TL und 1.709.200 TL.
Wann wird der Text aktualisiert?
Nach der Mitteilung wird bei einer Änderung des Verarbeitungszwecks vor der Verarbeitung eigens über den neuen Zweck informiert. In der Praxis sollte der Text auch aktualisiert werden, wenn ein neues Feld ins Formular, ein neues Werkzeug auf die Website oder ein neuer Dienstleister hinzukommt. Das Aktualisierungsdatum am Anfang des Textes sagt dem Besucher und Ihnen, welche Fassung gilt. Wie wir den Text mit dem Verhalten der Website deckungsgleich halten, beschreiben wir in unserem Artikel zur KVKK-konformen Website.
Wenn Sie gemeinsam mit uns ermitteln möchten, welche Daten Ihre Website tatsächlich verarbeitet, schreiben Sie uns; die rechtliche Endprüfung des Textes bleibt bei Ihrer Anwältin oder Ihrem Anwalt.
Wenn Sie die Antworten auf diese Fragen auf Ihrer eigenen Website sehen möchten: Corporate Webdesign liefert Design, Code und technisches SEO aus einer Hand, mit einem messbaren Budget.