GRC-PERSPEKTIVE: DATENSCHUTZ- UND COMPLIANCE-NEWSLETTER – JULI 2026
WAS PASSIERT IN DER TÜRKEI?
Grundsatzbeschluss zur Weitergabe personenbezogener Daten im Internet durch Datenverantwortliche mit öffentlich-rechtlicher Rechtspersönlichkeit veröffentlicht!
Der Grundsatzbeschluss über die „Weitergabe personenbezogener Daten im Internet durch Datenverantwortliche mit öffentlich-rechtlicher Rechtspersönlichkeit“ wurde im Amtsblatt vom 28. Juli 2026 veröffentlicht.
Die Datenschutzbehörde („Behörde“) hat festgelegt, dass Datenverantwortliche mit öffentlich-rechtlicher Rechtspersönlichkeit, wie beispielsweise Kommunen, Bezirksverwaltungen und Universitäten, in den auf ihren Websites veröffentlichten Dokumenten folgende Angaben nicht offenlegen dürfen: Vor- und Nachname, die türkische Identitätsnummer, die Anschrift und die Mobiltelefonnummer, den Dienstort und die Amtsbezeichnung, den Bildungsstand und den Wehrdienststatus, Angaben zu Flurstück und Parzelle, KPSS-Punkte und Prüfungsergebnisse sowie Informationen über die Stellung als Haupt- oder Ersatzkandidat enthalten; sie hat betont, dass die Veröffentlichung von Dokumenten, die personenbezogene Daten enthalten, im Internet an sich bereits eine Verarbeitung personenbezogener Daten darstellt.
In der Entscheidung wurde darauf hingewiesen, dass die Weitergabe personenbezogener Daten im Internet auf einer gültigen Voraussetzung für die Verarbeitung personenbezogener Daten gemäß Artikel 5 des Gesetzes zum Schutz personenbezogener Daten („Gesetz“) (bzw. Artikel 6 im Falle von personenbezogenen Daten besonderer Art) beruhen muss und dass es bei Fehlen dieser Voraussetzungen angemessen ist, von einer Weitergabe abzusehen. Zudem wurde betont, dass selbst bei Vorliegen einer gültigen Verarbeitungsvoraussetzung die in Artikel 4 des Gesetzes festgelegten allgemeinen Grundsätze eingehalten werden müssen. In diesem Zusammenhang wurde hervorgehoben, dass nur die erforderlichen und auf das Mindestmaß beschränkten personenbezogenen Daten weitergegeben werden dürfen, dass nicht erforderliche personenbezogene Daten durch Maskierung oder Löschung geschützt werden müssen, dass die Dauer der Weitergabe im Voraus festgelegt werden muss und dass die Weitergabe mit Ablauf dieser Frist zu beenden ist.
Der Ausschuss hat ferner daran erinnert, dass die für die Datenverarbeitung Verantwortlichen im Rahmen von Artikel 10 des Gesetzes ihrer Aufklärungspflicht gemäß den Bestimmungen der entsprechenden Bekanntmachung nachkommen müssen und dass die Beweislast für die Erfüllung dieser Pflicht beim für die Datenverarbeitung Verantwortlichen liegt. Im Rahmen von Artikel 12 des Gesetzes wurde unter Berücksichtigung des höheren Datensicherheitsrisikos im Internet darauf hingewiesen, dass die erforderlichen administrativen und technischen Maßnahmen zu ergreifen sind und dass die für die Datenverarbeitung Verantwortlichen die notwendigen Kontrollen innerhalb ihrer eigenen Organisation durchführen oder deren Durchführung sicherstellen müssen.
In der Entscheidung wurde festgestellt, dass bereits im Internet veröffentlichte Dokumente, die personenbezogene Daten enthalten, unverzüglich überprüft werden müssen, dass rechtswidrige Inhalte entfernt oder unkenntlich gemacht werden müssen und dass in Fällen, in denen der Zweck der Verarbeitung personenbezogener Daten wegfällt, Löschverfahren eingeleitet werden müssen. Zudem wurde darauf hingewiesen, dass Prüfungs- und Auslosungsergebnisse – abgesehen von Ausnahmefällen, die der konkrete Sachverhalt erfordert – so veröffentlicht werden sollten, dass nur die betroffene Person selbst auf ihr Ergebnis zugreifen kann; in diesem Zusammenhang sollten das „e-Devlet-Portal“ oder ähnliche Verfahren, die eine Zwei-Faktor-Authentifizierung ermöglichen, bevorzugt werden.
Darüber hinaus wurde betont, dass regelmäßig Schulungs- und Sensibilisierungsmaßnahmen für alle Mitarbeiter, insbesondere für das Personal, das für die Nutzung der betreffenden Plattformen verantwortlich ist, durchgeführt werden müssen. Der Ausschuss hat darauf hingewiesen, dass die genannten Grundsätze und Maßnahmen nicht nur für Veröffentlichungen auf Websites gelten, sondern auch für den Austausch personenbezogener Daten im Rahmen der internen und behördenübergreifenden Korrespondenz, in E-Mail-Nachrichten, Bekanntmachungen, geschlossenen elektronischen Umgebungen sowie auf Anschlagtafeln und Aushängen.
Abschließend hat der Ausschuss erklärt, dass im Falle der Feststellung, dass die genannten Verpflichtungen nicht erfüllt wurden, jeder konkrete Fall unter Berücksichtigung seiner eigenen Umstände bewertet wird und gegen die betreffenden für die Datenverarbeitung Verantwortlichen gemäß Artikel 18 des Gesetzes die erforderlichen Verwaltungsmaßnahmen ergriffen werden.
GRC-RECHTLICHE PERSPEKTIVE
Dieser Grundsatzbeschluss macht deutlich, dass die seit vielen Jahren von öffentlichen Einrichtungen praktizierte Veröffentlichung von Dokumenten im Internet im Hinblick auf das Datenschutzrecht neu bewertet werden muss.
Die Entscheidung betont, dass die Grundsätze der Transparenz und Rechenschaftspflicht in einem ausgewogenen Verhältnis zum Recht auf den Schutz personenbezogener Daten angewendet werden müssen, und verpflichtet öffentliche Einrichtungen dazu, ihre bestehenden Praktiken in Bezug auf Datenminimierung, Aufbewahrungsfristen und Zugriffsberechtigungen zu überprüfen. Insbesondere der Ansatz, Ausschreibungen, Prüfungsergebnisse und ähnliche Bekanntmachungen so zu gestalten, dass sie nur für die betroffenen Personen zugänglich sind, zeigt, dass das Konzept des „privacy-by-design“ im Zuge der Digitalisierung öffentlicher Dienste an Bedeutung gewinnt.
Öffentliche Bekanntmachung zur Verwendung personenbezogener Daten, die von Dritten erhoben wurden, für Werbe- und Marketingzwecke veröffentlicht!
In der Bekanntmachung wird darauf hingewiesen, dass bei der Behörde zahlreiche Beschwerden eingegangen sind, wonach für die Datenverarbeitung Verantwortliche Kontaktdaten, die sie von bestehenden Kunden oder Dritten durch Methoden wie Referenzen, Empfehlungen, Kundenvorschläge oder Markenbotschafter erhalten haben, für Werbe- und Marketingaktivitäten nutzen.
Bei den durchgeführten Untersuchungen wurde festgestellt, dass Anrufe und SMS zu Marketingzwecken getätigt bzw. versendet wurden, ohne dass die betroffenen Personen entsprechend aufgeklärt wurden und ihre ausdrückliche Einwilligung erteilt hatten.
Die Behörde hat betont, dass die Tatsache, dass personenbezogene Daten von Dritten bezogen wurden, für sich genommen keine Rechtsgrundlage für die Verarbeitung dieser Daten zu Werbe- und Marketingzwecken darstellt. In diesem Zusammenhang wurde darauf hingewiesen, dass die in Artikel 5 des Gesetzes geregelten Bedingungen für die Verarbeitung personenbezogener Daten im Hinblick auf die für Werbe- und Marketingaktivitäten zu verwendenden personenbezogenen Daten in jedem Einzelfall gesondert geprüft werden müssen.
In der Bekanntmachung wurde außerdem darauf hingewiesen, dass in Fällen, in denen personenbezogene Daten nicht direkt von der betroffenen Person erhoben wurden, die für die Datenverarbeitung Verantwortlichen gemäß der „Verordnung über die einzuhaltenden Verfahren und Grundsätze bei der Erfüllung der Informationspflicht“ innerhalb einer angemessenen Frist nach der Erhebung der personenbezogenen Daten die betroffene Person zu unterrichten sind; wenn die Daten zur Kontaktaufnahme mit der betroffenen Person verwendet werden sollen, erfolgt dies bei der ersten Kontaktaufnahme, und wenn die Daten an Dritte weitergegeben werden sollen, spätestens zum Zeitpunkt der ersten Weitergabe.
Darüber hinaus wurde festgestellt, dass in der Praxis Verhaltensweisen der betroffenen Personen – wie das Nichtbeenden des Gesprächs, das Weiteranhören der Werbebotschaft, das Anfordern von Informationen oder das Ausbleiben einer Ablehnungsantwort auf eine gesendete SMS – als ausdrückliche Einwilligung gewertet werden; es wurde jedoch ausdrücklich betont, dass solche stillschweigenden Verhaltensweisen keine gültige ausdrückliche Einwilligung im Sinne des Gesetzes darstellen.
Die Behörde hat erneut darauf hingewiesen, dass die ausdrückliche Einwilligung eine auf Informationen beruhende und aus freiem Willen abgegebene Willenserklärung zu einem bestimmten Thema sein muss und dass die Informationspflicht sowie der Prozess der Einholung der ausdrücklichen Einwilligung voneinander unabhängige Verpflichtungen darstellen.
Zusammenfassend hat die Behörde darauf hingewiesen, dass bei der Verarbeitung personenbezogener Daten, die im Rahmen von Werbe- und Marketingaktivitäten von Dritten erhoben werden, die Bestimmungen des Gesetzes und der einschlägigen Rechtsvorschriften einzuhalten sind, die Aufklärungspflicht ordnungsgemäß zu erfüllen ist und in erforderlichen Fällen zusätzlich eine ausdrückliche Einwilligung einzuholen ist; sie hat der Öffentlichkeit mitgeteilt, dass bei Feststellung von Verstößen gegen diese Verpflichtungen Sanktionen gegen die betreffenden Verantwortlichen verhängt werden können.
GRC-RECHTLICHE PERSPEKTIVE
Diese Bekanntmachung macht deutlich, dass die in Marketingaktivitäten seit langem weit verbreitete Praxis der „Erhebung von Kontaktdaten durch Empfehlungen“ im Hinblick auf das Datenschutzgesetz (KVKK) nicht automatisch als rechtskonform angesehen werden kann.
Insbesondere wurde erneut betont, dass bei der Kundenakquise kommerzielle Erwartungen und die Verpflichtungen zum Schutz personenbezogener Daten unabhängig voneinander bewertet werden müssen. Aus diesem Grund ist es wichtig, dass Unternehmen nicht nur ihre Marketingkommunikationsprozesse, sondern auch ihre Maßnahmen zur Lead-Generierung, Empfehlungsprogramme und Markenbotschafterprogramme aus datenschutzrechtlicher Perspektive erneut überprüfen.
Die Verordnung zur Änderung der Verordnung über personenbezogene Gesundheitsdaten wurde veröffentlicht!
Im Zuge der Änderungen an der Verordnung wurde die Überschrift des vierten Abschnitts in „Vertraulichkeit, Berichtigung, Neubewertung, Vernichtung und Übermittlung personenbezogener Gesundheitsdaten“ geändert, wodurch neue Regelungen zur Neubewertung personenbezogener Gesundheitsdaten in den Geltungsbereich der Verordnung aufgenommen wurden.
Gemäß den vorgenommenen Änderungen ist vorgesehen, dass die von der Generaldirektion im Rahmen von Anträgen auf Berichtigung personenbezogener Gesundheitsdaten eingeleiteten Maßnahmen auch in der Datenbank des jeweiligen Gesundheitsdienstleisters durchgeführt werden. Es wurde jedoch festgelegt, dass die Frage, ob die erforderlichen Maßnahmen in den Datenbanken anderer datenverarbeitender Institutionen und Einrichtungen durchgeführt werden, von der jeweiligen Institution oder Einrichtung im Rahmen der einschlägigen gesetzlichen Bestimmungen zu prüfen ist.
Mit dem der Verordnung hinzugefügten Artikel 13/A wird Personen die Möglichkeit eingeräumt, eine Neubewertung der in der Vergangenheit über sie gestellten Gesundheitsdiagnosen auf der Grundlage ihres aktuellen Gesundheitszustands zu beantragen. Demnach werden Diagnosen, die von einem einzelnen Arzt gestellt wurden, von einem aus drei Ärzten bestehenden Gesundheitsausschuss neu bewertet; Diagnosen, die von einem aus drei Ärzten bestehenden Gesundheitsausschuss oder einem vollbesetzten Gesundheitsausschuss gestellt wurden, werden hingegen ausschließlich von einem vollbesetzten Gesundheitsausschuss neu bewertet. Wird im Rahmen der Neubewertung festgestellt, dass die betreffende Diagnose im aktuellen Gesundheitszustand der Person nicht vorliegt, wird ein entsprechender ärztlicher Gutachtenbericht erstellt.
Zudem wurde ausdrücklich festgelegt, dass auf der Grundlage von Diagnosen, die laut einem medizinischen Gutachten im aktuellen Gesundheitszustand der Person nicht mehr vorliegen, keine Maßnahmen ergriffen werden dürfen. In diesem Zusammenhang wurde geregelt, dass insbesondere bei Einstellungsverfahren Diagnosen, die in der Vergangenheit gestellt wurden, aber laut einem medizinischen Gutachten im aktuellen Zustand nicht mehr vorliegen, nicht berücksichtigt werden dürfen; stattdessen ist das im Rahmen der Neubewertung erstellte medizinische Gutachten, das den aktuellen Zustand bescheinigt, maßgeblich.
Grundsatzbeschluss zur Verarbeitung personenbezogener Daten von Unfallopfern veröffentlicht!
Mit dem von der Behörde im Amtsblatt vom 01.07.2026 veröffentlichten Grundsatzbeschluss wurden insbesondere Feststellungen und Bewertungen zur rechtswidrigen Verarbeitung personenbezogener Daten von Opfern nach Ereignissen wie Verkehrsunfällen und Arbeitsunfällen dargelegt.
In dem Beschluss wird darauf hingewiesen, dass einige Personen und Organisationen, die unter dem Deckmantel der Schadensberatung tätig sind, sowie Personen, die sich als Rechtsanwälte ausgeben, obwohl sie tatsächlich nicht dazu befugt sind, ohne Einwilligung der Unfallopfer Kontakt zu diesen aufnehmen; dabei werden die Identitäts- und Kontaktdaten der Opfer über verschiedene Kanäle rechtswidrig beschafft.
Der Ausschuss betonte, dass solche Aktivitäten die im Anwaltsgesetz Nr. 1136 und im Versicherungsgesetz Nr. 5684 festgelegten Befugnisgrenzen verletzen könnten und dass zudem ein offensichtlicher Verstoß vorliege, wenn die nach den gesetzlichen Bestimmungen erforderlichen rechtlichen Voraussetzungen für die Verarbeitung personenbezogener Daten nicht gegeben seien. In der Grundsatzentscheidung wurde ferner darauf hingewiesen, dass Aktivitäten, die auf der Grundlage unrechtmäßig erhobener oder weitergegebener personenbezogener Daten durchgeführt werden, gemäß § 136 des türkischen Strafgesetzbuches eine Straftat darstellen können und je nach Einzelfall strafrechtliche Verfahren eingeleitet werden können.
In Bezug auf Versicherungsexperten und ähnliche befugte Akteure wurde darauf hingewiesen, dass die Verarbeitung personenbezogener Daten ausschließlich im Rahmen der gesetzlich festgelegten Aufgaben, beispielsweise zur Schadensfeststellung und zur Abwicklung von Versicherungsprozessen, erfolgen darf; eine Überschreitung dieser Grenzen führe zu einem Verstoß gegen das Datenschutzgesetz (KVKK).
Der Ausschuss hat zudem besonders betont, dass die für die Datenverarbeitung Verantwortlichen gemäß Artikel 12 des Gesetzes zur Gewährleistung der Datensicherheit verpflichtet sind; in diesem Zusammenhang sei es unerlässlich, unbefugten Zugriff zu verhindern, rollenbasierte Zugriffskontrollen einzurichten, Mitarbeiter zu schulen und die erforderlichen technischen und administrativen Maßnahmen zu ergreifen.
Schließlich wurde darauf hingewiesen, dass gegen Datenverantwortliche, die gegen diese Verpflichtungen verstoßen, gemäß Artikel 18 des Gesetzes verwaltungsrechtliche Sanktionen verhängt werden können; außerdem können die betreffenden Fälle den Justizbehörden und anderen zuständigen Stellen gemeldet werden.
GRC-RECHTLICHE PERSPEKTIVE
Die Änderung der Verordnung betrachtet nicht nur die ordnungsgemäße Aufbewahrung von Gesundheitsdaten, sondern auch die Wahrung ihrer Aktualität als wichtigen Bestandteil des Datenschutzrechts. Dieser Ansatz zielt darauf ab, dauerhafte Folgen früherer Gesundheitsdiagnosen für den Einzelnen zu verhindern, und erfordert gleichzeitig, dass Gesundheitsdienstleister und Arbeitgeber ihre Prozesse im Umgang mit Gesundheitsdaten im Einklang mit den neuen Vorschriften überprüfen.
Die Grundsatzentscheidung macht erneut deutlich, dass die Verantwortung für den Schutz personenbezogener Daten auf alle Akteure im Datenökosystem verteilt ist. In diesem Zusammenhang ist es zur Vermeidung ähnlicher Verstöße von Bedeutung, dass Organisationen ihre Prozesse zum Datenaustausch und ihre Zugriffsberechtigungen regelmäßig überprüfen und ihre technischen und administrativen Maßnahmen verstärken.
1 Million TL Verwaltungsstrafe vom Ausschuss wegen ohne ausdrückliche Einwilligung versandter Werbemitteilungen
In dem vom Ausschuss untersuchten Fall wurde festgestellt, dass ein Spar- und Finanzierungsunternehmen zu Marketingzwecken SMS-Nachrichten und Telefonanrufe an die betroffene Person gesendet hatte, wobei diese sich an die Behörde wandte und angab, dass sie diesen Kommunikationsmaßnahmen keine Zustimmung erteilt habe. Im Rahmen des Untersuchungsverfahrens erklärte das Unternehmen, dass die Telefonnummer von einem bestehenden Kunden im System gespeichert worden sei und die entsprechenden Einträge nach der Beschwerde gelöscht worden seien.
Der Ausschuss stellte fest, dass die Tatsache, dass personenbezogene Daten über Dritte beschafft wurden, für sich genommen keine Rechtsgrundlage für die Datenverarbeitung darstellt; bei Kommunikationsmaßnahmen zu Werbe- und Marketingzwecken müssen sowohl die Bestimmungen des Gesetzes als auch die Vorschriften über elektronische Handelsmitteilungen gemeinsam berücksichtigt werden. In diesem Zusammenhang wurde festgestellt, dass Marketingmaßnahmen, die ohne eine zuvor erteilte und aus freiem Willen abgegebene gültige Einwilligung des Betroffenen durchgeführt wurden, rechtswidrig sind, und es wurde beschlossen, gegen das betreffende Unternehmen eine Verwaltungsstrafe in Höhe von 1 Million TL zu verhängen.
Wichtige Entscheidung des Verfassungsgerichts zum Straftatbestand der rechtswidrigen Weitergabe oder Erlangung personenbezogener Daten
In der im Amtsblatt vom 14.07.2026 veröffentlichten Entscheidung des Verfassungsgerichts wurde der Antrag auf Aufhebung der Bestimmung, wonach die im Türkischen Strafgesetzbuch geregelte Straftat der rechtswidrigen Weitergabe oder Erlangung personenbezogener Daten von Amts wegen und ohne Beschwerdepflicht untersucht werden muss, einstimmig abgelehnt.
Im vorliegenden Fall machte das mit der Beschwerde befasste Gericht geltend, dass die Regelung verfassungswidrig sei, da die strafrechtliche Verfolgung des Verstoßes gegen die Privatsphäre zwar an eine Beschwerde gebunden sei, die strafrechtliche Verfolgung der rechtswidrigen Weitergabe oder Aneignung personenbezogener Daten jedoch von Amts wegen erfolge, was bei Handlungen ähnlicher Art zu einer unterschiedlichen Behandlung führe.
Das Verfassungsgericht betonte hingegen, dass es ein Grundprinzip des Strafverfahrens sei, die Ermittlungen von Amts wegen einzuleiten, sobald ein Verdacht auf eine Straftat bekannt werde; es erklärte, dass der Gesetzgeber über einen Ermessensspielraum verfüge, unter Berücksichtigung von Kriterien wie der Art der Straftaten, der zu schützenden Rechtsgüter und des öffentlichen Interesses festzulegen, welche Straftaten an eine Anzeige gebunden seien.
In der Entscheidung wurde ferner darauf hingewiesen, dass Handlungen wie die rechtswidrige Weitergabe oder der rechtswidrige Zugriff auf personenbezogene Daten nicht nur die individuellen Interessen des Geschädigten betreffen, sondern auch das gesellschaftliche Vertrauen in den Schutz personenbezogener Daten sowie die öffentliche Ordnung beeinträchtigen können. Aus diesem Grund wurde festgestellt, dass die Tatsache, dass die Ermittlung hinsichtlich der betreffenden Straftat nicht an eine Anzeige gebunden ist, einem legitimen Zweck dient, nämlich der Verhinderung der rechtswidrigen Verbreitung personenbezogener Daten und der Gewährleistung einer wirksamen Strafjustiz.
Aufgrund dieser Gründe hat das Verfassungsgericht entschieden, dass die beanstandete Regelung nicht gegen die Verfassung verstößt, und den Antrag auf Nichtigerklärung einstimmig zurückgewiesen.
GRC-RECHTLICHE PERSPEKTIVE
Die Entscheidung des Ausschusses zur Verhängung einer Geldbuße verdeutlicht, wie wichtig es ist, dass Unternehmen Prozesse einrichten, mit denen sie nicht nur die Einwilligungen zum Versand von Nachrichten, sondern auch die Herkunft und die rechtlichen Grundlagen der Kommunikationsdaten überprüfen können. Insbesondere vor der Verwendung von Kontaktdaten, die über Kundenempfehlungen, Empfehlungssysteme oder ähnliche Methoden erhoben wurden, für Marketingaktivitäten ist die gemeinsame Bewertung der Bedingungen für die Datenverarbeitung und der sich aus den einschlägigen Rechtsvorschriften ergebenden Verpflichtungen von entscheidender Bedeutung, um Compliance-Risiken zu minimieren.
Bei der Bewertung des Urteils des Verfassungsgerichts wird deutlich, dass der Schutz personenbezogener Daten nicht nur als individuelles Recht, sondern auch als ein Rechtsgut von Bedeutung für die öffentliche Ordnung betrachtet wird. Dieser Ansatz zeigt, dass die wirksame Untersuchung rechtswidriger Handlungen im Zusammenhang mit personenbezogenen Daten – unabhängig von einer Beschwerde des Betroffenen – als wichtiges Instrument zur Gewährleistung der Abschreckungswirkung des Datenschutzsystems und des öffentlichen Vertrauens angesehen wird.
Die Regelung zur Aufbewahrung und Vernichtung genetischer Daten im Strafprozessordnung ist in Kraft getreten!
Mit dem Gesetz, das vom Plenum der Großen Nationalversammlung der Türkei verabschiedet wurde und in der Öffentlichkeit als „12. Justizpaket“ bezeichnet wird, wurden die Bestimmungen im Strafprozessordnung zur Erfassung, Aufbewahrung, Verwendung und Vernichtung von genetischen Untersuchungsergebnissen neu geregelt.
Die Änderung erfolgte im Einklang mit der diesbezüglichen Nichtigkeitsentscheidung des Verfassungsgerichts. Gemäß der neuen Regelung werden die im Rahmen eines Strafverfahrens gewonnenen Ergebnisse genetischer Untersuchungen in einem speziellen System getrennt von den Identitätsdaten gespeichert; außerdem wird eine Kopie davon in den Ermittlungs- oder Strafverfolgungsakten aufbewahrt, um ihren Beweiswert zu wahren. Das Gesetz sieht auch klare Regeln dafür vor, unter welchen Umständen genetische Daten zu vernichten sind.
Demnach sind die erfassten Daten unverzüglich zu vernichten, wenn die Entscheidung über die Einstellung des Verfahrens rechtskräftig wird, der Einspruch zurückgewiesen wird, ein Freispruch ergeht oder die Entscheidung, dass keine Strafe zu verhängen ist, rechtskräftig wird. In allen anderen Fällen werden die Aufzeichnungen ab dem Zeitpunkt der Rechtskraft des Gerichtsurteils zwanzig Jahre lang aufbewahrt und nach Ablauf dieser Frist unter Aufsicht des Staatsanwalts durch Erstellung eines Protokolls vernichtet.
Die Regelung räumt zudem Personen, deren genetische Daten im System gespeichert sind, unter bestimmten Voraussetzungen die Möglichkeit ein, die Löschung ihrer Daten zu verlangen. Die betroffene Person kann sich an einen Richter oder ein Gericht wenden und geltend machen, dass der Zweck, der die Speicherung der Daten erforderlich machte, weggefallen ist oder dass ein berechtigter Grund vorliegt.
Andererseits wurde festgelegt, dass die im System gespeicherten genetischen Daten ausschließlich zum Zwecke der Aufdeckung der materiellen Wahrheit im Rahmen einer laufenden Ermittlung oder Strafverfolgung und auf Beschluss eines Gerichts, eines Richters oder der Staatsanwaltschaft verwendet werden dürfen. Die Verfahren und Grundsätze für die Aufbewahrung, Verwendung und Vernichtung der betreffenden Aufzeichnungen sollen durch eine gemeinsam vom Justizministerium und vom Innenministerium erlassene Verordnung festgelegt werden.
GRC-RECHTLICHE PERSPEKTIVE
Die vorgenommene Änderung zielt darauf ab, die Rechtssicherheit im Hinblick auf die in Strafverfahren verwendeten genetischen Daten zu erhöhen und die Garantien für den Schutz besonders sensibler personenbezogener Daten zu stärken. Insbesondere wird davon ausgegangen, dass die ausdrückliche Regelung der Aufbewahrungsfristen, der Vernichtungsverfahren und der den betroffenen Personen eingeräumten Rechtsbehelfsmöglichkeiten auf Gesetzesebene dazu beitragen wird, einen ausgewogeneren Rahmen zwischen dem Recht auf den Schutz personenbezogener Daten und der wirksamen Ausübung der Strafjustiz zu schaffen.
Befugnisse der Behörde für Cybersicherheit im Rahmen des Cybersicherheitsgesetzes wurden erweitert!
Durch das vom Großen Nationalrat der Türkei verabschiedete und mit der Veröffentlichung im Amtsblatt vom 31.07.2026 in Kraft getretene Gesetz Nr. 7590 zur Änderung bestimmter Gesetze und Verordnungen mit Gesetzeskraft wurden im Rahmen des Cybersicherheitsgesetzes und des Gesetzes Nr. 5651 über die Regulierung von Veröffentlichungen im Internet wesentliche Änderungen vorgenommen. Diese Änderungen erweitern den Aufgaben- und Zuständigkeitsbereich der Präsidentschaft für Cybersicherheit („SGB“) und sehen vor, dass bestimmte Befugnisse und Zuständigkeiten, die zuvor von der Behörde für Informationstechnologien und Kommunikation („BTK“) wahrgenommen wurden, nun bei der SGB zusammengefasst werden.
Hinsichtlich der Aufgaben und Befugnisse, die mit der neuen Regelung auf die SGB übertragen wurden, gilt die bestehende Rechtslage weiterhin, bis die Präsidentschaft sekundäre Rechtsvorschriften in Kraft setzt; Verweise in den einschlägigen Rechtsvorschriften auf die BTK-Präsidentschaft für Telekommunikation und Kommunikation sowie deren Entscheidungsgremien gelten entsprechend dem Umfang der Aufgabenübertragung als Verweise auf die SGB und den Präsidenten für Cybersicherheit.
Im Rahmen des Gesetzes wurde der Übergangsprozess für die Übertragung der beweglichen Vermögensgegenstände, der IT-Infrastrukturen, der Rechenzentren, der technischen Ausrüstung, der Aufzeichnungen und Unterlagen sowie der mit diesen Tätigkeiten verbundenen Rechte, Forderungen, Verbindlichkeiten und Verpflichtungen, die bei der Wahrnehmung der an die SGB übertragenen Aufgaben und Befugnisse innerhalb der BTK genutzt wurden, auf die Präsidentschaft gewahrt. Darüber hinaus bleiben auch die Bestimmungen bezüglich des Wechsels des betreffenden Personals zur Präsidentschaft weiterhin in Kraft.
Durch die Regelung wurde die Rolle der SGB bei der Verwaltung von Internet-Domainnamen, bei Vorschriften zur Internet-Infrastruktur sowie bei der Ausübung bestimmter Befugnisse im Rahmen des Gesetzes Nr. 5651 weiter gestärkt. In diesem Zusammenhang werden die Befugnisse zur Festlegung von Strategien und Richtlinien in Bezug auf Internet-Domainnamen sowie zur Regulierung in diesem Bereich von der SGB ausgeübt.
Darüber hinaus wurden durch das Gesetz Nr. 7590 Änderungen an verschiedenen Bestimmungen des Cybersicherheitsgesetzes vorgenommen, wobei insbesondere die Durchführungsbefugnisse, die Übergangsbestimmungen und die Regelungen zum Aufgabenbereich der Präsidentschaft für Cybersicherheit aktualisiert wurden. Die vorgenommenen Änderungen traten am Tag ihrer Veröffentlichung in Kraft.
GRC-RECHTLICHE PERSPEKTIVE
Die vorgenommenen Änderungen stellen einen wichtigen Schritt dar, um die Regulierungs- und Durchsetzungsbefugnisse im Bereich der Cybersicherheit in der Präsidentschaft für Cybersicherheit zu bündeln. In diesem Zusammenhang wird die Rolle der Behörde in den Bereichen elektronische Kommunikation, Internet-Infrastruktur, Domain-Verwaltung und kritische Informationssysteme gestärkt, während davon auszugehen ist, dass öffentliche Einrichtungen und Unternehmen der Privatwirtschaft ihre Anpassungsprozesse sowie ihre bestehenden technischen und administrativen Maßnahmen im Einklang mit den noch zu veröffentlichenden sekundären Rechtsvorschriften neu bewerten müssen.
Die Verordnung zur Änderung der Verordnung über kommerzielle Werbung und unlautere Geschäftspraktiken wurde veröffentlicht!
Im Amtsblatt vom 01.07.2026 wurde die Verordnung zur Änderung der Verordnung über kommerzielle Werbung und unlautere Geschäftspraktiken veröffentlicht. Mit den am 01.08.2026 in Kraft tretenden Änderungen der Verordnung wurden wichtige Regelungen in Bezug auf digitale Werbung, Social-Media-Marketing, Anwendungen künstlicher Intelligenz, Umweltangaben und Verbraucherbewertungen eingeführt.
Mit den Änderungen der Verordnung wurden zunächst die Begriffe „Umweltangabe“, „Soziale Medien“, „Social-Media-Influencer“ und „Verbraucherbewertung“ definiert; damit wurde insbesondere der rechtliche Rahmen für digitale Marketingpraktiken erweitert. Es wurde vorgeschrieben, dass Aussagen in Werbungen, die einen ökologischen Nutzen oder Nachhaltigkeitsansprüche beinhalten, von zuständigen Behörden oder unabhängigen Einrichtungen überprüft werden können; damit wurde verhindert, dass allgemeine und unbestimmte ökologische Aussagen ohne nähere Erläuterung verwendet werden.
Auch die Vorschriften für Werbung für Sonderangebote wurden neu geregelt. Demnach wurden der Zeitraum, der bei der Ermittlung des Preises vor dem Rabatt zugrunde gelegt wird, sowie die für verschiedene Vertriebskanäle anzuwendenden Methoden präzisiert; es wurde klargestellt, unter welchen Umständen Werbung für Treueprogramme und Kampagnen, die an die Erfüllung bestimmter Bedingungen geknüpft sind, den Bestimmungen für Sonderangebote unterliegt.
Im Bereich der digitalen Werbung wurden wichtige Neuerungen eingeführt. Bei Werbung, bei der künstliche Intelligenz oder ähnliche Technologien so eingesetzt werden, dass sie das wirtschaftliche Verhalten der Verbraucher beeinflussen können, muss dies nun klar und verständlich angegeben werden; außerdem wurde die Verwendung von durch künstliche Intelligenz erstellten digitalen Kopien natürlicher Personen in der Werbung verboten, wenn dadurch der Eindruck erweckt wird, diese hätten Produkte oder Dienstleistungen in einer Weise erlebt oder empfohlen, die nicht der Wahrheit entspricht.
Die Verordnung enthält zudem detaillierte Vorschriften für kommerzielle Kommunikation, die über Social-Media-Influencer erfolgt. Bei werblichen Inhalten ist die Verwendung der Begriffe „Werbung“ oder „Werbemaßnahme“ vorgeschrieben; es wurden Verfahren und Grundsätze festgelegt, nach denen der Werbecharakter für Verbraucher auf den ersten Blick erkennbar sein muss.
Darüber hinaus wurde gezielte Werbung erstmals in der Verordnung definiert, und es wurden neue Verpflichtungen in Bezug auf werbliche Aktivitäten auf der Grundlage personenbezogener Daten vorgesehen. Es ist vorgeschrieben, die Nutzer darüber zu informieren, nach welchen Kriterien die Werbung dem jeweiligen Verbraucher angezeigt wird, während Profilierungsmaßnahmen auf der Grundlage personenbezogener Daten, die sich an Kinder richten, verboten sind.
Auch die Vorschriften zu im Internet veröffentlichten Verbraucherbewertungen wurden erheblich aktualisiert. Demnach dürfen nur Bewertungen von Verbrauchern veröffentlicht werden, bei denen der Kauf des Produkts oder der Dienstleistung nachweisbar ist; außerdem wurden neue Verpflichtungen eingeführt, wonach Bewertungen nach objektiven Kriterien veröffentlicht werden müssen, keine Unterscheidung zwischen positiven und negativen Kommentaren getroffen werden darf und keine unwahren Bewertungen zu kommerziellen Zwecken erstellt werden dürfen.
GRC-RECHTLICHE PERSPEKTIVE
Die Änderungen der betreffenden Verordnung gestalten das Ökosystem der digitalen Werbung nicht nur hinsichtlich der Werbeinhalte neu, sondern auch in Bezug auf die Datennutzung, Anwendungen künstlicher Intelligenz, Kooperationen mit Influencern und die Steuerung des Online-Kundenerlebnisses. Daher ist es für Unternehmen von großer Bedeutung, ihre Marketingaktivitäten im Hinblick auf Verbraucherrecht, Datenschutz, E-Commerce und Werbegesetzgebung mit einem ganzheitlichen Compliance-Ansatz zu überprüfen und insbesondere die internen Genehmigungs- und Kontrollmechanismen für digitale Kampagnen zu aktualisieren.
WAS PASSIERT WELTWEIT?
Die Europäische Kommission hat Google im Rahmen des Gesetzes über digitale Märkte eine Geldstrafe in Höhe von insgesamt 890 Millionen Euro auferlegt!
Die Europäische Kommission hat zwei separate Untersuchungen gegen Google im Rahmen des Gesetzes über digitale Märkte (Digital Markets Act, „DMA“) abgeschlossen und entschieden, dass das Unternehmen seine Verpflichtungen in Bezug auf die Dienste Google Search und Google Play verletzt hat. In diesem Zusammenhang wurde gegen Google eine Geldbuße in Höhe von insgesamt 890 Millionen Euro verhängt, davon 460 Millionen Euro für Google Search und 430 Millionen Euro für Google Play. Bei diesen Entscheidungen handelt es sich um die ersten Geldbußen, die im Rahmen des DMA gegen Google verhängt wurden.
In der Entscheidung zu Google Search stellte die Kommission fest, dass Google seine eigenen Dienste – wie Shopping, Hotels, Verkehr und Sport – in den Suchergebnissen gegenüber Diensten von Drittanbietern bevorzugt positioniert hat. Dem Urteil zufolge hat das Unternehmen gegen die im DMA festgelegte Verpflichtung zu einer fairen, transparenten und diskriminierungsfreien Rangfolge verstoßen, indem es seinen eigenen Diensten in den Suchergebnissen eine höhere Platzierung und größere Sichtbarkeit einräumte, ohne konkurrierenden Plattformen, die ähnliche Dienste anbieten, die gleichen Bedingungen zu gewähren.
In ihrer Bewertung von Google Play kam die Kommission zu dem Schluss, dass Praktiken, die App-Entwickler daran hindern, Nutzer zu alternativen Kaufkanälen oder günstigeren Angeboten weiterzuleiten, nicht mit dem DMA vereinbar sind. Zudem wurde festgestellt, dass der Umfang und die Dauer der von Google für solche Weiterleitungsmaßnahmen (Steering) erhobenen Gebühren die im Gesetz vorgesehenen Grenzen überschreiten.
Die Kommission hat Google eine Frist von 60 Tagen eingeräumt, um den Entscheidungen nachzukommen; sie wies darauf hin, dass bei Nichtbefolgung innerhalb dieser Frist zusätzliche Geldbußen verhängt werden könnten, die auf der Grundlage des weltweiten Gesamtumsatzes des Unternehmens berechnet werden. Gleichzeitig wurde erklärt, dass die von Google vorgelegten Vorschläge zur Einhaltung der Vorschriften in Bezug auf Suchergebnisse, die Google-Play-Richtlinien sowie die Anwendungen „AI Overviews“ und „AI Mode“ weiterhin von der Kommission geprüft werden. Google hat seinerseits erklärt, dass es den Entscheidungen nicht zustimmt, und der Öffentlichkeit mitgeteilt, dass es Rechtsmittel einlegen könnte.
GRC-BEGRIFF DES MONATS
Algorithmische Transparenz (Algorithmic Transparency)
Algorithmische Transparenz bedeutet, dass den betroffenen Personen in ausreichendem Maße Informationen darüber bereitgestellt werden, welche Daten von KI-Systemen und anderen algorithmischen Entscheidungsmechanismen verwendet werden, wie diese funktionieren und wie sie sich auf Einzelpersonen auswirken. Mit der zunehmenden Verbreitung digitaler Dienste und KI-Anwendungen sind Algorithmen nicht mehr nur technische Werkzeuge, sondern haben sich zu Entscheidungsmechanismen entwickelt, die Verbraucherpräferenzen lenken, die Reihenfolge von Inhalten bestimmen und die den Einzelnen angebotenen Produkte, Dienstleistungen und Werbeanzeigen gestalten.
Die in jüngster Zeit in Kraft getretenen Vorschriften zielen weniger darauf ab, den Einsatz algorithmischer Systeme zu verbieten, als vielmehr darauf, dass diese Systeme für Verbraucher und Nutzer nachvollziehbar und kontrollierbar betrieben werden. Die eindeutige Kennzeichnung von mit künstlicher Intelligenz erstellten Werbeinhalten, die Offenlegung der Kriterien, nach denen Verbraucher im Rahmen gezielter Werbung angesprochen werden, sowie die von der Europäischen Union durchgeführten Kontrollen der algorithmischen Ranking-Praktiken digitaler Plattformen sind konkrete Beispiele für diesen Ansatz.
Algorithmische Transparenz wird nicht nur im Hinblick auf KI-Anwendungen, sondern auch in Bezug auf Werbetechnologien, E-Commerce-Plattformen, Suchmaschinen, Empfehlungssysteme und personalisierte digitale Dienste zu einem grundlegenden Compliance-Prinzip. In diesem Zusammenhang gewinnt es im Hinblick auf das Verbraucherrecht, den Schutz personenbezogener Daten und die Einhaltung digitaler Vorschriften zunehmend an Bedeutung, dass Unternehmen Mechanismen zur Erläuterung algorithmischer Entscheidungsprozesse schaffen, die rechtlichen Auswirkungen automatisierter Systeme bewerten und ihre Prozesse zur Information der Nutzer stärken.