Datenschutz- und Compliance-Bulletin – August 2025
Das Datenschutzrecht ist ein sich ständig weiterentwickelnder und aktualisierter Rechtsbereich, der sich aus dem Gesetz Nr. 6698 zum Schutz personenbezogener Daten („KVKK” oder „Gesetz”) und den sekundären Vorschriften zusammensetzt. Die Anwendungen in diesem Bereich beschränken sich nicht nur auf das Gesetz und die entsprechenden Verordnungen, sondern werden durch die Entscheidungen, Grundsatzbeschlüsse und Beschlusszusammenfassungen der Datenschutzbehörde („Behörde”) geprägt und konkretisiert. In diesem Zusammenhang dienen die monatlich erstellten KVKK-Bulletins als Quelle für diejenigen, die die aktuellen Entwicklungen im Bereich des Datenschutzes verfolgen möchten, und sollen die Aktualität gewährleisten und die Betroffenen informieren.
Im August 2025 wurden auf der Website der Datenschutzbehörde („Behörde“) unter der Domain www.kvkk.gov.tr zwei Meldungen über Datenschutzverletzungen und „Öffentliche Bekanntmachung über die Weitergabe von Schuldnerdaten durch Gläubigervertreter an die Angehörigen der betroffenen Personen über deren Telefonnummern” veröffentlicht.
DATENVERLETZUNGSMELDUNGEN
Gemäß Artikel 12/5 des KVKK ist der für die Verarbeitung Verantwortliche verpflichtet, die betroffene Person und die Behörde unverzüglich zu benachrichtigen, wenn verarbeitete personenbezogene Daten auf rechtswidrige Weise von Dritten erlangt wurden. Im Rahmen dieser Bestimmung kann die Behörde, wenn sie dies für erforderlich hält, die betreffende Datenverletzung über ihre Website oder auf andere ihr geeignet erscheinende Weise öffentlich bekannt geben. Diese Regelung wurde eingeführt, um eine wirksame Verwaltung von Datenverstößen und die rechtzeitige Unterrichtung der betroffenen Personen zu gewährleisten.
Biletal İç ve Dış Ticaret Anonim Şirketi[1]
Gemäß der Meldung eines Datenverstoßes, die von Biletal İç ve Dış Ticaret Anonim Şirketi in seiner Eigenschaft als Datenverantwortlicher an die Kommission übermittelt wurde, wurde der Verstoß am 11. August 2025 festgestellt. Die Verletzung erfolgte aufgrund eines Schreibens der Informations- und Kommunikationstechnologiebehörde und wurde durch die Arbeit der IT-Teams des Datenverantwortlichen festgestellt. Dabei wurden personenbezogene Daten einiger Kunden des Unternehmens von Cyberangreifern auf illegalen Plattformen im Internet zum Verkauf angeboten.
Von der Verletzung waren Kunden betroffen, wobei festgestellt wurde, dass es sich bei den betroffenen Kategorien personenbezogener Daten um Identitäts-, Kommunikations- und Kundentransaktionsdaten handelte und die Zahl der von der Datenverletzung betroffenen Personen bei etwa 7.800 lag.
Türkische Ärztekammer[2]
Laut der Meldung über die Datenverletzung, die der Kommission von der Türkischen Ärztekammer in ihrer Eigenschaft als Datenverantwortliche übermittelt wurde, wurde am 8. August 2025 ein Cyberangriff aus unbekannter Quelle auf das System des Datenverantwortlichen durchgeführt, wobei die Art und Weise, wie dieser Angriff durchgeführt wurde, noch nicht ermittelt werden konnte. Infolge des Cyberangriffs wurde festgestellt, dass auf die im System des Datenverantwortlichen gespeicherten Dateien zugegriffen und diese gelöscht wurden.
Es wurde festgestellt, dass die von der Verletzung betroffenen Personengruppen Mitarbeiter, Nutzer und bei Ärztekammern registrierte Mitglieder sind und dass die betroffenen Kategorien personenbezogener Daten Identität, Kommunikation, Standort, Rechtsverfahren und Transaktionssicherheit sind. Da kein Zugriff auf die Mitgliederdatenbank möglich war, konnte die Anzahl der von der Verletzung betroffenen Personen nicht genau bestimmt werden, es wird jedoch davon ausgegangen, dass wahrscheinlich 107.000 Personen betroffen sein könnten.
GRC LEGAL Kommentar: Die im August 2025 dem Ausschuss gemeldeten Datenschutzverletzungen zeigen, dass sowohl Unternehmen des privaten Sektors als auch Berufsverbände mit unterschiedlichen Cyber-Bedrohungsszenarien konfrontiert sind.
Die Verletzung bei Biletal İç ve Dış Ticaret A.Ş. zeigt, dass Cybersicherheitslücken insbesondere bei Unternehmen, die verbraucherorientierte Dienstleistungen anbieten, nicht nur eine technische Schwachstelle darstellen, sondern auch direkte zerstörerische Auswirkungen auf das Kundenvertrauen und die Markenreputation haben können und dass Cyberangriffe oft aus wirtschaftlichen Motiven durchgeführt werden.
Bei dem Angriff auf die Türkische Ärztekammer wurde durch einen Cyberangriff aus unbekannter Quelle auf die im System gespeicherten Dateien zugegriffen und diese gelöscht. Dies zeigt, dass insbesondere Berufsverbände und zivilgesellschaftliche Organisationen aufgrund der Verarbeitung großer Mengen personenbezogener Daten zum Ziel von Cyberangriffen werden können.
Zusammenfassend lässt sich sagen, dass beide Verstöße deutlich machen, wie anfällig Organisationen aus verschiedenen Branchen gegenüber Cyberbedrohungen sein können. Für verbraucherorientierte Unternehmen ist das Vertrauen der Kunden, für Berufsverbände hingegen die institutionelle Integrität und die Beziehungen zu ihren Mitgliedern ernsthaft gefährdet. Aus diesem Grund sollte die Datensicherheit nicht nur mit technischen Maßnahmen für interne Systeme, sondern auch mit einem ganzheitlichen Ansatz aus institutionellem Risikomanagement, Notfallplänen und regelmäßigen Cybersicherheitstests angegangen werden.
ÖFFENTLICHE BEKANNTMACHUNG
Am 20.08.2025 veröffentlichte die Behörde eine „Öffentliche Bekanntmachung über die Weitergabe von Schuldnerdaten durch Gläubigervertreter an die Angehörigen der Schuldner über deren Telefonnummern”.
In der Bekanntmachung wurde darauf hingewiesen, dass Beschwerden eingegangen sind, wonach Gläubigervertreter die Telefonnummern von Angehörigen der Schuldner kontaktieren und den Namen, den Nachnamen und die Schuldinformationen des Schuldners per Anruf oder SMS weitergeben.
Die Behörde hat festgestellt, dass die Einholung der Kontaktdaten von Angehörigen der Schuldner ohne deren ausdrückliche Zustimmung oder ohne gesetzliche Grundlage und die Weitergabe von Schuldnerdaten auf diese Weise gegen das Gesetz verstoßen kann. Solche Handlungen können je nach den Umständen des Einzelfalls mit einer Geldstrafe geahndet werden.
In diesem Zusammenhang hat die Behörde nachdrücklich darauf hingewiesen, dass die Vertreter der Gläubiger bei der Verarbeitung personenbezogener Daten sowohl des Schuldners als auch seiner Angehörigen im Rahmen ihrer beruflichen Tätigkeit die gesetzlichen Bestimmungen einhalten müssen.
WAS PASSIERT AKTUELL?
Der Generalrat des Verfassungsgerichts hat in seiner Entscheidung vom 20.03.2025 (Cem Özberk, B. Nr.: 2020/15944) , dass das Recht auf Schutz personenbezogener Daten, das in Artikel 20 der Verfassung garantiert ist, verletzt wurde, da der Bericht mit den Gesundheitsdaten des Antragstellers ohne dessen Zustimmung an seine Mutter weitergegeben wurde.
Der Antragsteller machte geltend, dass der während seiner Behandlung im Jahr 2010 erstellte Bericht 2016 ohne seine Zustimmung an seine Mutter weitergegeben worden sei und dass zwischen ihm und seiner Mutter eine Feindschaft/ein Interessenkonflikt bestehe. Das Gericht stellte fest, dass die Unterrichtung von Angehörigen von Patienten nur in Ausnahmefällen und unter bestimmten Voraussetzungen möglich sei und dass diese Grenzen im konkreten Fall überschritten worden seien. Es wurde festgestellt, dass nicht erörtert worden sei, ob es notwendig gewesen sei, die Unterlagen über die Behandlung des Beschwerdeführers im Jahr 2010 sechs Jahre später und ohne seine Zustimmung an einen Dritten weiterzugeben, dass kein dringender oder außergewöhnlicher Grund vorlag, der eine direkte Weitergabe der Unterlagen erforderlich gemacht hätte, und dass weniger eingreifende Alternativen nicht geprüft worden seien.
Das Gericht stellte fest, dass die Auswirkungen der betreffenden Maßnahme auf die personenbezogenen Daten und das Privatleben des Antragstellers im Rahmen der verfassungsrechtlichen Garantien nicht ausreichend berücksichtigt worden seien und dass daher die positiven Verpflichtungen zum Schutz personenbezogener Daten nicht erfüllt worden seien, und entschied auf eine Rechtsverletzung.
- Entscheidung des 14. Handelsgerichts Istanbul zum Recht der Anteilseigner auf Auskunft[3]
Die Entscheidung des 14. Handelsgerichts Istanbul vom 26.06.2025, Aktenzeichen E. 2024/501, K. 2025/517, enthält wichtige Feststellungen dazu, wie das Gleichgewicht zwischen dem Recht des Anteilseigners auf Information und Einsichtnahme und dem Schutz personenbezogener Daten und Geschäftsgeheimnissen hergestellt werden muss.
Im konkreten Fall hat ein Minderheitsgesellschafter Klage erhoben und geltend gemacht, dass sein Recht auf Auskunft gemäß Art. 437 des türkischen Handelsgesetzbuches verletzt worden sei. Zu den angeforderten Informationen gehörten die Finanzdaten des Unternehmens, die Zahlungen an Führungskräfte, Reise- und Repräsentationskosten, Dokumente zur Einhaltung des Datenschutzgesetzes (KVKK) und Investitionspläne für die nächste Periode. Das beklagte Unternehmen machte geltend, dass einige der Forderungen Geschäftsgeheimnisse darstellten und dass der Kläger bei einem Konkurrenzunternehmen tätig sei.
Das zuständige Gericht betonte, dass das Recht auf Auskunft ein grundlegendes Recht sei, das den Anteilseignern gewährt werde, damit sie die Geschäftstätigkeit des Unternehmens überwachen und ihre Rechte bewusst ausüben könnten, und dass dieses Recht im Rahmen des durch die Verfassung garantierten Eigentumsrechts zu bewerten sei.
Gemäß Art. 5/2-(f) des KVKK (Gesetz zum Schutz personenbezogener Daten) sei die Verarbeitung personenbezogener Daten zum Zwecke der „Begründung, Ausübung oder Wahrung eines Rechts” rechtmäßig; die Bereitstellung der für die Ausübung der Aktionärsrechte erforderlichen Informationen stelle einen legitimen Grund für die Datenverarbeitung dar. Gleichzeitig wurde festgestellt, dass der Schutz personenbezogener Daten nicht völlig außer Acht gelassen werden darf und dass im Rahmen des Grundsatzes der Datenminimierung nach Möglichkeit anonymisierte oder positionsbezogene Informationen bereitgestellt werden müssen.
Um die Interessen des Unternehmens zu schützen, wurde es als angemessen erachtet, die Informationsanfragen auf die letzten drei Jahre zu beschränken. Unter Berücksichtigung der Tatsache, dass der Kläger bei einem Konkurrenzunternehmen beschäftigt ist, wurde beschlossen, Informationen, die tatsächlich Geschäftsgeheimnisse darstellen und auch durch Anonymisierung nicht offengelegt werden können, aus dem Umfang der Anfrage auszuschließen. Andererseits wurde anerkannt, dass die Informationsanfragen des Unternehmens bezüglich der Einhaltung der KVKK im Einklang mit dem Grundsatz der Transparenz rechtmäßig sind.
[1] Die betreffende Datenverletzung wurde am 14. August 2025 auf der Website der Behörde veröffentlicht.
[2] Die betreffende Datenverletzung wurde am 14. August 2025 auf der Website der Behörde veröffentlicht.
[3] https://emsal.uyap.gov.tr/# (Istanbul 14 ATM, E. 2024/501 K. 2025/517 T. 26.06.2025)