Datenschutzhinweis nach dem türkischen KVKK erstellen

Wer in der Türkei personenbezogene Daten verarbeitet, muss die betroffene Person im Moment der Erhebung informieren. Die schriftliche Form dieser Pflicht ist der Datenschutzhinweis, türkisch aydinlatma metni. Für ein Unternehmen mit Website beginnt das, sobald Name, E-Mail-Adresse, IP-Adresse oder Cookie-Daten einer Besucherin erfasst werden.

Das häufigste Problem ist nicht ein fehlender Hinweis, sondern ein von einer anderen Website kopierter Text, der die tatsächliche Tätigkeit des Unternehmens nicht beschreibt. Im Folgenden sowohl die Pflichtangaben als auch die Regeln zur Formulierung.

Einen Datenschutzhinweis zu erstellen ist oft das Erste, wozu ein Unternehmen anwaltlichen Rat einholt. Dabei ist das Gerüst in der Regelung vorgegeben; die eigentliche Arbeit besteht darin, zu ermitteln, welche Daten das Unternehmen tatsächlich zu welchem Zweck verarbeitet. Stimmt dieses Verzeichnis, schreibt sich der Text weitgehend von selbst.

Der Hinweis ist keine Einwilligung

Diese Unterscheidung trägt alles Weitere. Der Hinweis informiert, die Einwilligung erlaubt. Beide haben unterschiedliche rechtliche Funktionen und dürfen nicht vermischt werden.

Die Informationspflicht gilt in jedem Fall, unabhängig von der Rechtsgrundlage. Die ausdrückliche Einwilligung kommt nur dann ins Spiel, wenn keine andere Grundlage vorliegt.

Praktische Folge: Ein Kästchen unter dem Hinweis mit "Gelesen und akzeptiert" ist die falsche Konstruktion. Ein Hinweis wird nicht akzeptiert. Wo eine Einwilligung nötig ist, muss sie getrennt und freiwillig eingeholt werden.

Ist der Hinweis dasselbe wie eine Datenschutzerklärung?

Nicht ganz, auch wenn sich beides überschneidet. Der Begriff des KVKK lautet aydınlatma metni, also Hinweis; die Datenschutzerklärung ist das breitere Dokument aus der internationalen Praxis.

In der Praxis finden sich beide Wege. Manche Unternehmen schreiben eine einzige Datenschutzerklärung und legen die Pflichtangaben hinein. Andere erstellen kurze, kontextbezogene Hinweise und verweisen auf die ausführliche Erklärung.

Der zweite Weg funktioniert besser. Eine Bewerberin und eine Newsletter-Abonnentin brauchen nicht dieselben Informationen. Allen denselben langen Text zu zeigen schwächt die geforderte Verständlichkeit.

Die fünf Pflichtangaben

Das Rundschreiben zur Erfüllung der Informationspflicht zählt auf, was der Text enthalten muss. Fehlt eine Angabe, erfüllt der Hinweis die Pflicht nicht.

• Identität des Verantwortlichen und gegebenenfalls seines Vertreters
• Zwecke, zu denen die personenbezogenen Daten verarbeitet werden
• An wen und zu welchem Zweck die Daten übermittelt werden können
• Methode und Rechtsgrundlage der Erhebung
• Die gesetzlich vorgesehenen Rechte der betroffenen Person

Der Teil zur Identität fällt oft zu knapp aus. Firmenname, Anschrift und ein Kontaktweg gehören ausdrücklich hinein; die Besucherin muss wissen, an wen sie sich wendet.

Der Abschnitt zu Übermittlungen wird am häufigsten übersprungen. Jeder externe Dienst kann eine Übermittlung darstellen: ein Analysewerkzeug, ein E-Mail-Versender, ein Zahlungsdienstleister, ein Support-Widget. Ein Teil davon sitzt außerhalb der Türkei, was gesondert anzugeben ist.

Der Abschnitt zu Übermittlungen braucht zwei getrennte Antworten: Wer erhält die Daten, und in welchem Land werden sie verarbeitet. Der Sitz eines Dienstes und der Ort der tatsächlichen Speicherung fallen nicht immer zusammen.

Die meisten verbreiteten Werkzeuge fallen darunter. Analysewerkzeuge, Werbepixel, eingebettete Videos, Live-Chat-Widgets, Zahlungsdienstleister und E-Mail-Versender sind typische Beispiele.

Welche Drittanbieter auf Ihrer Website laufen und in welchem Land sie sitzen, lässt sich mit einem automatischen Scan ermitteln. Den Übermittlungsabschnitt anhand dieser Liste zu schreiben ist sicherer, als ihn aus dem Gedächtnis zu verfassen.

Vage Zweckangaben vermeiden

Das Rundschreiben schließt allgemeine und unbestimmte Formulierungen ausdrücklich aus. Eine Zeile wie "zur Verbesserung unserer Dienste" beschreibt für sich genommen keinen Zweck.

Je konkreter der Zweck, desto belastbarer der Text. "Zur Anlage des Bestelldatensatzes und zur Sendungsverfolgung" oder "zur Messung der Websitenutzung" sind verständlich und vertretbar.

Bei der Erfüllung der Informationspflicht ist eine verständliche, klare und einfache Sprache wesentlich.

Rundschreiben über Verfahren und Grundsätze zur Erfüllung der Informationspflicht

Jeden Erhebungskanal einzeln betrachten

Die Pflicht beschränkt sich nicht auf die Website. Wo Daten erhoben werden, gehört der Hinweis hin.

• Kontakt- und Registrierungsformulare auf der Website
• Cookies und Tracking-Werkzeuge auf der Seite
• Gespräche im Callcenter
• Bewerbungsformulare
• Videoaufzeichnungen in physischen Räumen

Die Videoüberwachung wird am häufigsten vergessen. Gibt es am Eingang von Laden, Büro oder Lager eine Kamera, muss dort ein kurzer Hinweis sichtbar sein. Ein kleines Schild mit Verweis auf den vollständigen Text genügt.

Wo er auf der Website steht

Der Text muss von dort aus erreichbar sein, wo Daten erhoben werden. Ein einzelner Link im Fußbereich, ohne Erwähnung am Formular selbst, ist schwach.

• Jedes Formular sollte einen Link zum Hinweis tragen
• Das Cookie-Banner sollte Cookie-Richtlinie und Hinweis erreichbar machen
• Der Text sollte unter einer eigenen, dauerhaften Adresse liegen
• Gültigkeitsdatum und Fassung sollten sichtbar sein

Die Angabe der Fassung fehlt auf den meisten Websites, ist aber wichtig. Im Streitfall lautet die Frage, welcher Text der Besucherin an jenem Tag angezeigt wurde.

Gehören Speicherfristen in den Text?

Auch wenn sie nicht als eigene Pflichtangabe aufgeführt sind, dient die Angabe der Speicherfrist sowohl der Transparenz als auch der Ausübung der Rechte der betroffenen Person. Wer nicht weiß, wie lange Daten aufbewahrt werden, kann eine Löschung nicht sinnvoll verlangen.

Eine Angabe in Tagen ist nicht erforderlich. Besteht eine gesetzliche Aufbewahrungspflicht, genügt der Verweis darauf; andernfalls reicht die Bindung an den Wegfall des Zwecks.

• Die gesetzliche Frist für Rechnungen und Buchhaltungsunterlagen
• Für die Dauer des Vertrags und die anschließende Verjährungsfrist
• Bis zum Ende eines Newsletter-Abonnements
• Bei Cookie-Daten die Lebensdauer des Cookies selbst

Der letzte Punkt fehlt in den meisten Texten. Cookie-Laufzeiten als Tabelle in der Cookie-Richtlinie darzustellen vervollständigt die Information und gibt der Besucherin etwas Konkretes an die Hand.

Fünf häufige Fehler

• Ein kopierter Text, der die tatsächliche Tätigkeit nicht beschreibt
• Hinweis und Einwilligung in einem einzigen Kästchen zusammengefasst
• Die eingesetzten Drittanbieter werden nirgends genannt
• Übermittlungen ins Ausland werden nicht erwähnt
• Der Text wird einmal geschrieben und jahrelang nicht angefasst

Der letzte Punkt ist der leiseste. Der Text kann am Tag der Erstellung zutreffen; dann fügt das Marketing ein Tag hinzu, die Entwicklung bindet einen Dienst an, und er veraltet unbemerkt.

Das Problem kopierter Texte ist verbreiteter, als es scheint. Dieselben Sätze finden sich wortgleich auf Dutzenden Websites. Zeigt eine Prüfung, dass der Text nicht zur tatsächlichen Tätigkeit passt, bietet seine bloße Existenz keinen Schutz.

Ein Datenschutzhinweis ist deshalb keine einmalige Aufgabe. Zu verfolgen, was tatsächlich auf der Website läuft, etwa mit geplanten Scans und Änderungsüberwachung, zeigt zugleich, wann der Text aktualisiert werden muss.

Wann er zu aktualisieren ist

Der Text ändert sich, wenn sich Ihre Verarbeitung ändert. In der Praxis sind das die Auslöser:

• Ein neues Analyse-, Werbe- oder Support-Werkzeug kommt hinzu
• Zahlungs-, E-Mail- oder Hosting-Anbieter wechseln
• Ein neues Formular oder ein neuer Erhebungspunkt entsteht
• Firmenname, Anschrift oder Kontaktdaten ändern sich
• Das Land der Datenspeicherung ändert sich

Vorlage oder von Grund auf?

Eine Vorlage zu verwenden ist nicht falsch, sondern sinnvoll. Die Pflichtangaben liegen fest, jeden Text neu zu erfinden bringt niemandem etwas. Das Problem ist nicht die Vorlage, sondern ihre ungefüllte Verwendung.

Die meisten im Netz kursierenden Texte beschreiben das Geschäft eines anderen Unternehmens. Deren Zwecke, Übermittlungen und Speicherfristen sind nicht Ihre. Ein solcher Text liegt im Ordner, erfüllt die Pflicht aber nicht.

Die richtige Konstruktion: Das Gerüst stammt aus der Vorlage, der Inhalt aus Ihrer tatsächlichen Verarbeitung. Dafür braucht es zuerst das Verzeichnis. Welche Formulare gibt es, welche Werkzeuge laufen, wohin fließen die Daten.

DILAYS verbindet diese beiden Schritte. Die Website wird gescannt, um die eingesetzten Drittanbieter zu ermitteln, anschließend werden Richtlinien und Hinweise entworfen nach Unternehmensart und gewähltem Rahmenwerk. Der KVKK-Hinweis entsteht aus einer türkischsprachigen Vorlage.

Das Ergebnis ist ein Entwurf; die rechtliche Verantwortung bleibt in jedem Fall beim Verantwortlichen. Doch es macht einen Unterschied, ob man vor einem leeren Blatt sitzt oder einen Entwurf prüft, der auf einem ermittelten Verzeichnis beruht.

Checkliste

• Sind alle fünf Pflichtangaben enthalten?
• Sind die Zwecke konkret statt allgemein?
• Sind die eingesetzten Drittanbieter benannt?
• Sind Übermittlungen ins Ausland angegeben, wo sie stattfinden?
• Sind Hinweis und Einwilligung getrennt?
• Ist der Text von jedem Erhebungspunkt aus erreichbar?
• Sind Gültigkeitsdatum und Fassung angegeben?
• Ist seit der letzten Aktualisierung ein neuer Dienst hinzugekommen?

Die meisten dieser Punkte erledigt man nicht einmalig. Wie wir Daten in unserer eigenen Infrastruktur verarbeiten und speichern, haben wir im Trust Center beschrieben; sich dieselben Fragen zu stellen ist ein guter Anfang.