Wenn Ihre Website ein Kontaktformular, einen Google-Analytics-Code oder einen WhatsApp-Button hat, verarbeiten Sie personenbezogene Daten. Eine KVKK-konforme Website ist kein Luxus großer Unternehmen mehr; auch die Website eines kleinen Betriebs unterliegt denselben Regeln.
Die türkische Datenschutzbehörde hat im Juli 2025 die aktualisierte Fassung ihres Leitfadens zu Cookie-Anwendungen veröffentlicht; 2024 traten zudem wichtige Änderungen am Gesetz Nr. 6698 zu besonderen Kategorien personenbezogener Daten und zur Auslandsübermittlung in Kraft. In diesem Beitrag erklären wir Schritt für Schritt, wo eine Website KVKK-Risiken birgt, worin sich Datenschutzhinweis und ausdrückliche Einwilligung unterscheiden, wie ein korrektes Cookie-Banner aussehen sollte und was Sie technisch korrigieren müssen.
Welche personenbezogenen Daten verarbeitet eine Website?
Der erste Schritt zur KVKK-Konformität ist eine ehrliche Liste der Stellen, an denen Ihre Website Daten erhebt. Die meisten Unternehmen denken nur an das Kontaktformular; tatsächlich werden personenbezogene Daten an viel mehr Stellen verarbeitet, als man denkt:
- Formulare: Kontakt, Angebot, Termin, Bewerbung, Newsletter-Anmeldung. Name, E-Mail, Telefon und sogar umfangreiche Daten wie Lebensläufe.
- Cookies und Tracking-Codes: Google Analytics, Meta-Pixel, Google-Ads-Conversion-Tag, Heatmap-Tools. Sie erfassen Online-Kennungen und Verhaltensdaten.
- Server-Logs: IP-Adresse, Browserinformationen, Zugriffszeit. Auch die nach Gesetz Nr. 5651 gespeicherten Verkehrsdaten gehören dazu.
- Drittanbieter-Plugins: eingebettete YouTube-Videos, Google Maps, Live-Chat- und WhatsApp-Widgets, Social-Sharing-Buttons.
- Konten und E-Commerce: Kontodaten, Adresse, Bestellhistorie. Kartendaten werden meist direkt beim Zahlungsinstitut verarbeitet.
Beantworten Sie anhand dieser Liste für alle Daten drei Fragen: Warum erhebe ich sie, auf welche Rechtsgrundlage stütze ich mich und wie lange speichere ich sie? Diese Antworten bilden das Gerüst des Datenschutzhinweises und der Cookie-Richtlinie, die wir gleich erklären.
Datenschutzhinweis und ausdrückliche Einwilligung sind nicht dasselbe
Der häufigste Fehler auf Websites ist, Datenschutzhinweis und ausdrückliche Einwilligung in einer einzigen Checkbox zu bündeln. Die Formulierung „Ich habe den KVKK-Text gelesen und akzeptiere ihn“ vermischt zwei getrennte Pflichten.
Datenschutzhinweis: in jedem Fall Pflicht
Nach Artikel 10 des Gesetzes müssen Sie die Person bei der Datenerhebung informieren: über die Identität des Verantwortlichen, die Verarbeitungszwecke, an wen und zu welchem Zweck Daten übermittelt werden können, Erhebungsmethode und Rechtsgrundlage sowie die Rechte der Person nach Artikel 11. Der Hinweis ist eine Information; er verlangt keine Zustimmung. Statt einer Checkbox „gelesen, akzeptiert“ genügt daher ein gut sichtbarer Link direkt unter dem Formular.
Ausdrückliche Einwilligung: nur, wenn es keine andere Grundlage gibt
Die ausdrückliche Einwilligung ist eine auf einen bestimmten Zweck bezogene, informierte und freiwillig erteilte Zustimmung. Der Verantwortliche muss zuerst prüfen, ob eine andere Verarbeitungsgrundlage wie Vertragsanbahnung, rechtliche Verpflichtung oder berechtigtes Interesse greift; nur wenn keine passt, ist die ausdrückliche Einwilligung einzuholen. Um jemandem zu antworten, der das Angebotsformular ausgefüllt hat, braucht es keine Einwilligung; um derselben Person Werbe-E-Mails zu schicken, aber schon.
| Situation | Datenschutzhinweis | Ausdrückliche Einwilligung |
|---|---|---|
| Auf ein Kontaktformular antworten | Erforderlich | Meist nicht erforderlich |
| Newsletter und Werbe-E-Mails | Erforderlich | Separate Einwilligung erforderlich (zusammen mit İYS-Registrierung) |
| Notwendige Cookies (Sitzung, Warenkorb, Sicherheit) | Erforderlich | Nicht erforderlich |
| Werbe- und Retargeting-Cookies | Erforderlich | Erforderlich |
| Besondere Datenkategorien wie Gesundheitsdaten in einer Bewerbung | Erforderlich | Je nach Fall; mit der Änderung von 2024 wurden die Voraussetzungen erweitert |
Die ausdrückliche Einwilligung darf nicht zur Bedingung für eine Leistung gemacht werden. Kann jemand ohne Newsletter-Zustimmung das Kontaktformular nicht absenden, ist die Einwilligung nicht mehr freiwillig. Checkboxen müssen standardmäßig leer sein.
Das richtige Cookie-Banner nach dem Cookie-Leitfaden der KVKK
Der Leitfaden zu Cookie-Anwendungen der KVKK vom Juli 2025 ist der konkreteste Fahrplan für Website-Betreiber. Seine Kernbotschaft: Nicht jedes Cookie erfordert eine ausdrückliche Einwilligung, aber einwilligungspflichtige Cookies dürfen ohne Zustimmung des Nutzers nicht laufen.
Welche Cookies dürfen ohne Einwilligung verwendet werden?
Der Leitfaden ordnet Beispiele wie Sitzungs- und Formulareingabe-Cookies, Authentifizierung, nutzerbezogene Sicherheit, Lastverteilung, Oberflächeneinstellungen wie die Sprache sowie Warenkorb-Cookies anderen Verarbeitungsgrundlagen als der ausdrücklichen Einwilligung zu. Auch First-Party-Analyse-Cookies können demnach darunter fallen, sofern sie sich auf die Messung der Funktionsweise der Website beschränken, die Daten durch Maßnahmen wie IP-Maskierung reduziert werden und kein websiteübergreifendes Tracking erfolgt. Werbe-, Retargeting- und Drittanbieter-Tracking-Cookies erfordern dagegen eine ausdrückliche Einwilligung.
Wie sollte ein gutes Cookie-Management-Panel aussehen?
- Gleichwertige Buttons: Der Leitfaden nennt es als gute Praxis, im Panel beim Aufruf der Website die Buttons „Akzeptieren“, „Ablehnen“ und „Einstellungen“ in gleicher Farbe, Größe und Schrift anzuzeigen. Das Ablehnen in einem kleinen grauen Link zu verstecken, widerspricht diesem Grundsatz.
- Standardmäßig deaktiviert: Auf Einwilligung beruhende Cookie-Kategorien sollten im Einstellungsbildschirm zunächst inaktiv sein.
- Erst Einwilligung, dann Code: Werbepixel und Tracking-Tags dürfen erst geladen werden, wenn der Nutzer zugestimmt hat. Nur ein Banner anzuzeigen, während im Hintergrund alles läuft, ist nicht konform.
- Widerrufbare Einwilligung: Nutzer sollten ihre Wahl später leicht ändern können; der Leitfaden nennt ein kleines Symbol oder Banner in der Ecke der Seite als gutes Beispiel.
- Keine Cookie-Wall: „Cookie-Walls“, die den Zugang zur Website von der Annahme aller Cookies abhängig machen, können die Freiwilligkeit beeinträchtigen und gelten womöglich nicht als gültige Einwilligung.
- Einwilligungsmüdigkeit: Statt bei jedem Besuch erneut zu fragen, wird empfohlen, die Wahl in Abständen zu erneuern, die zur Lebensdauer des Cookies passen.
Die Cookie-Richtlinie ist eine separate, vom Panel aus verlinkte Seite: Dort stehen die Liste der verwendeten Cookies, ihr Zweck, ihre Dauer, ob es Erst- oder Drittanbieter-Cookies sind und wie man sie verwaltet. Der Leitfaden betont zudem, dass Formulierungen wie „Mit der Nutzung der Website akzeptieren Sie Cookies“ keine gültige Einwilligung darstellen.
Ein Cookie-Banner ist keine Dekoration, sondern ein Schalter: Ohne das „Ja“ des Nutzers darf sich die Tür nicht öffnen.
Kontaktformular, Newsletter und Einwilligungen für kommerzielle Nachrichten
Formulare sind der sichtbarste Teil eines KVKK-konformen Website-Designs und beeinträchtigen, richtig umgesetzt, die Nutzererfahrung nicht. Wir empfehlen folgenden Aufbau:
- Schritt 1 — Setzen Sie direkt unter das Formular einen kurzen Satz wie „Ihre personenbezogenen Daten werden gemäß dem Datenschutzhinweis verarbeitet.“ mit einem Link zum Text. Eine Checkbox ist nicht erforderlich.
- Schritt 2 — Brauchen Sie eine Marketing-Einwilligung, fügen Sie eine separate, leere und optionale Checkbox hinzu. Das Absenden des Formulars darf nicht davon abhängen.
- Schritt 3 — Wollen Sie kommerzielle elektronische Nachrichten versenden, denken Sie auch an die Pflichten aus dem Gesetz Nr. 6563 und dem Nachrichtenverwaltungssystem (İYS); eingeholte Einwilligungen müssen im İYS registriert werden.
- Schritt 4 — Legen Sie fest, wohin die Formulardaten gehen: E-Mail-Postfach, CRM, Google Sheets oder ein im Ausland gehostetes Formular-Tool. Das betrifft direkt das Thema Auslandsübermittlung, das wir unten erklären.
- Schritt 5 — Legen Sie eine Speicherdauer fest. Gibt es keinen Grund, Formulareinträge von vor zwei Jahren, aus denen kein Auftrag wurde, unbefristet aufzubewahren, löschen oder anonymisieren Sie sie regelmäßig.
Damit Betroffene ihre Rechte nach Artikel 11 KVKK ausüben können, müssen Sie auch einen Antragsweg anbieten. Anträge müssen spätestens innerhalb von 30 Tagen beantwortet werden; ein Antragsformular auf der Website oder eine klar genannte E-Mail-Adresse erleichtert diesen Prozess.
Änderungen von 2024: Auslandsübermittlung und ausländische Dienste
Die mit dem Gesetz Nr. 7499 eingeführten und am 1. Juni 2024 in Kraft getretenen Änderungen sind für Websites besonders beim Thema Datenübermittlung ins Ausland wichtig. Nutzen Sie im Ausland gehostetes Hosting, einen E-Mail-Dienst, ein Analyse-Tool, einen Formulardienst oder ein CRM, werden Ihre Daten möglicherweise ins Ausland übermittelt.
Nach der neuen Regelung ist eine Übermittlung möglich, wenn eine Verarbeitungsgrundlage vorliegt und entweder in ein Land mit Angemessenheitsbeschluss übermittelt wird oder geeignete Garantien wie ein von der Behörde bekanntgegebener Standardvertrag bestehen. Der Standardvertrag muss der Behörde innerhalb von fünf Werktagen nach Unterzeichnung gemeldet werden. Die früher genutzte Übermittlung auf Basis ausdrücklicher Einwilligung ist nach der Übergangsfrist am 1. September 2024 keine eigenständige Grundlage mehr; für gelegentliche Übermittlungen bleibt die ausdrückliche Einwilligung eine enge Ausnahme.
Mit derselben Änderung wurden auch die Voraussetzungen für die Verarbeitung besonderer Datenkategorien erweitert. Websites, die in Bewerbungsformularen Gesundheitsdaten abfragen oder ein Terminformular für eine Klinik gestalten, sollten das gesondert prüfen; denn für besondere Datenkategorien gelten zusätzlich die vom Datenschutzrat festgelegten Sicherheitsmaßnahmen.
Technische und organisatorische Sicherheitsmaßnahmen nach KVKK
Artikel 12 KVKK verpflichtet den Verantwortlichen, geeignete technische und organisatorische Maßnahmen zum Schutz der Daten vor rechtswidrigem Zugriff zu treffen. Für eine Website bedeutet das konkrete und messbare Schritte:
- HTTPS auf jeder Seite: Ein gültiges SSL-Zertifikat und eine dauerhafte Weiterleitung von HTTP auf HTTPS. Einzelheiten finden Sie in unserem Leitfaden zu Website-Sicherheit und SSL.
- Aktuelle Software: Regelmäßige Updates von CMS, Plugins und Bibliotheken; ungenutzte Plugins entfernen.
- Rechteverwaltung: Starkes Passwort und Zwei-Faktor-Authentifizierung für das Admin-Panel; nur die nötigen Personen erhalten Zugriff auf Formulareinträge.
- Backups und Protokollierung: Regelmäßige, verschlüsselte Backups und Protokollierung der Panel-Zugriffe.
- Plan für Datenschutzverletzungen: Wird ein Datenleck bemerkt, muss es dem Datenschutzrat so schnell wie möglich, spätestens innerhalb von 72 Stunden, gemeldet werden. Vorab festzulegen, wer was tut, spart im Krisenfall Zeit.
Diese Maßnahmen sind nicht nur für das KVKK wichtig, sondern auch für den Ruf und die Suchsichtbarkeit Ihrer Website. Eine kompromittierte Website kann sowohl das Vertrauen der Kunden als auch ihr Google-Ranking verlieren.
Ist eine VERBİS-Registrierung nötig und wie hoch sind die Bußgelder?
VERBİS (Register der Verantwortlichen) ist nicht für jedes Unternehmen Pflicht. Laut Beschlüssen des Datenschutzrats sind Verantwortliche von der Registrierung befreit, deren Haupttätigkeit nicht in der Verarbeitung besonderer Datenkategorien besteht und die jährlich weniger als 50 Beschäftigte sowie eine Jahresbilanzsumme unter 100 Millionen TL haben. Mit der Bekanntmachung vom 1. Oktober 2025 wurden zudem auch diejenigen ausgenommen, deren Haupttätigkeit die Verarbeitung besonderer Datenkategorien ist, sofern sie weniger als 10 Beschäftigte und eine Bilanzsumme unter 10 Millionen TL haben.
Die Verwaltungsbußgelder werden jedes Jahr mit dem Neubewertungssatz angepasst, und die Behörde veröffentlicht die aktuelle Tabelle auf ihrer Website. Für 2026 liegt bei Verstößen gegen die Informationspflicht die Untergrenze bei rund 85.000 TL und die Obergrenze bei rund 1,7 Millionen TL; bei Verstößen gegen Datensicherheit und VERBİS übersteigt die Obergrenze 17 Millionen TL. Die exakten Beträge entnehmen Sie bitte der offiziellen Tabelle der Behörde.
- Wurden alle Datenerhebungspunkte der Website aufgelistet?
- Gibt es unter jedem Formular einen Link zum Datenschutzhinweis?
- Ist die Marketing-Einwilligung eine separate, optionale und leere Checkbox?
- Erscheinen Akzeptieren / Ablehnen / Einstellungen im Cookie-Panel gleichwertig?
- Werden Werbe- und Tracking-Codes erst nach Einwilligung geladen?
- Wurden ausländische Dienste und die Übermittlungsgrundlage bestimmt?
- Sind Antragskanal und Notfallplan für Datenschutzverletzungen bereit?
Häufig gestellte Fragen
Ist das KVKK für die Website eines kleinen Unternehmens Pflicht?
Ja. Das KVKK gilt für alle natürlichen und juristischen Personen, die personenbezogene Daten verarbeiten. Kleine Unternehmen können von der VERBİS-Registrierung befreit sein, die Pflichten zu Information, Datensicherheit und Beantwortung von Betroffenenanfragen bleiben jedoch bestehen.
Braucht man für ein Kontaktformular eine ausdrückliche Einwilligung?
In der Regel nicht. Die Datenverarbeitung zur Beantwortung einer Anfrage gilt meist als Vertragsanbahnung oder berechtigtes Interesse; der Datenschutzhinweis genügt. Für Marketingkommunikation ist dagegen eine separate, optionale Einwilligung erforderlich.
Braucht man für Google Analytics eine Cookie-Einwilligung?
Der Cookie-Leitfaden der KVKK kann First-Party-Analysen, die nur der Messung der Website-Funktion dienen, datenreduziert sind und kein websiteübergreifendes Tracking betreiben, anderen Grundlagen als der ausdrücklichen Einwilligung zuordnen. Bei Setups mit Werbefunktionen, Retargeting oder Drittanbieter-Tracking ist dagegen eine ausdrückliche Einwilligung einzuholen.
Muss ein Cookie-Banner einen Ablehnen-Button haben?
Der Leitfaden der Behörde von 2025 nennt es als gute Praxis, die Buttons Akzeptieren, Ablehnen und Einstellungen in gleicher Größe, Farbe und Schrift anzuzeigen. Wenn das Ablehnen so einfach ist wie das Akzeptieren, ist das der sicherste Weg zu zeigen, dass die Einwilligung freiwillig erfolgt.
Darf man einen KVKK-Datenschutzhinweis aus einer Vorlage kopieren?
Das ist nicht zu empfehlen. Der Datenschutzhinweis muss beschreiben, welche Daten Sie tatsächlich zu welchem Zweck und mit welchen Diensten verarbeiten. Den Text eines anderen Unternehmens zu kopieren, kann zu einer unzutreffenden und irreführenden Information führen.
Fazit
Eine KVKK-konforme Website ist keine Website voller langer Rechtstexte, sondern eine, die weiß, was sie erhebt, nichts Unnötiges erhebt, dem Nutzer eine echte Wahl lässt und Daten sicher speichert. Dieser Ansatz stärkt auch das Vertrauen der Besucher. Für den Inhalt der Rechtstexte empfehlen wir die Zusammenarbeit mit einem Experten; auf der technischen Seite – Cookie-Panel, Formularabläufe, einwilligungsabhängiges Laden von Tags und Serversicherheit – stehen wir Ihnen mit unseren Weblösungen zur Seite. Planen Sie eine neue Website, werfen Sie auch einen Blick in unseren Leitfaden für Unternehmenswebsites – oder, für eine technische KVKK-Prüfung Ihrer bestehenden Website, kontaktieren Sie uns.