Datenschutz- und Compliance-Bulletin – Juli 2025
Das Datenschutzrecht ist ein sich ständig weiterentwickelnder und aktualisierter Rechtsbereich, der sich aus dem Gesetz zum Schutz personenbezogener Daten Nr. 6698 („KVKK“) und den sekundären Vorschriften zusammensetzt. Die Anwendungen in diesem Bereich beschränken sich nicht nur auf das Gesetz und die entsprechenden Verordnungen, sondern werden durch die Entscheidungen, Grundsatzbeschlüsse und Beschlusszusammenfassungen der Datenschutzbehörde („Behörde“) geprägt und konkretisiert. In diesem Zusammenhang dienen die monatlich erstellten KVKK-Bulletins als Quelle für diejenigen, die die aktuellen Entwicklungen im Bereich des Datenschutzes verfolgen möchten, und sollen die Aktualität gewährleisten und die Betroffenen informieren.
Der Schutz personenbezogener Daten ist für die Gewährleistung der Grundrechte und -freiheiten von großer Bedeutung. In diesem Zusammenhang ist es sowohl eine Verpflichtung als auch eine Notwendigkeit des Konformitätsprozesses, dass die für die Datenverarbeitung Verantwortlichen bei allen Vorgängen im Zusammenhang mit personenbezogenen Daten in Übereinstimmung mit den Rechtsvorschriften und den Grundsätzen der Redlichkeit handeln.
Im Juli 2025 wurden auf der Website der Datenschutzbehörde („Behörde“) unter der Domain www.kvkk.gov.tr drei Meldungen über Datenschutzverletzungen veröffentlicht. Darüber hinaus wurde der im Juni 2022 von der Behörde veröffentlichte „Leitfaden zu Cookie-Anwendungen” im Juli 2025 aktualisiert.
DATENVERLETZUNGSMELDUNGEN
Gemäß Artikel 12/5 des KVKK ist der für die Verarbeitung Verantwortliche verpflichtet, die betroffene Person und die Behörde unverzüglich zu benachrichtigen, wenn verarbeitete personenbezogene Daten auf rechtswidrige Weise von Dritten erlangt wurden.
Im Rahmen der genannten Bestimmung kann die Kommission, wenn sie dies für erforderlich hält, die betreffende Datenverletzung über ihre Website oder auf andere ihr geeignet erscheinende Weise öffentlich bekannt geben. Diese Regelung wurde eingeführt, um eine wirksame Verwaltung von Datenverletzungen und die rechtzeitige Unterrichtung der betroffenen Personen zu gewährleisten.
Louis Vuitton Çantacılık Ticaret Anonim Şirketi
Gemäß der Meldung der Datenverletzung, die von Louis Vuitton Çantacılık Ticaret Anonim Şirketi in seiner Eigenschaft als Datenverantwortlicher an die Kommission übermittelt wurde, begann die Verletzung am 7. Juni 2025 und wurde am 2. Juli 2025 festgestellt. Die Verletzung erfolgte durch unbefugten Zugriff auf eine Datenbank mit personenbezogenen Daten von Kunden; es wurde festgestellt, dass dies durch die Übernahme eines Dienstkontos durch den Manager eines Drittanbieters verursacht wurde.
Von der Verletzung waren Kunden und potenzielle Kunden betroffen, wobei es sich bei den betroffenen personenbezogenen Daten um Identitäts- und Kommunikationsdaten handelte. Die technischen Untersuchungen dauern noch an, und es wurde berichtet, dass 142.995 in der Türkei ansässige Personen von dieser Verletzung betroffen sind.
Bold LLC
In der Meldung der Datenverletzung, die von Bold LLC in seiner Eigenschaft als Datenverantwortlicher an die Kommission übermittelt wurde, wurde mitgeteilt, dass am 12. Juli 2025 festgestellt wurde, dass eine Funktion, die es den Nutzern im Rahmen des von dem Unternehmen in Puerto Rico angebotenen Online-Stellensuchdienstes ermöglicht, ihre Lebensläufe in Echtzeit zu überprüfen, für unbefugten Zugriff offen war. Interne Untersuchungen ergaben, dass die Sicherheitslücke am 10. März 2023 entstanden war und dass aufgrund dieser Lücke nur ein einziger unbefugter Zugriff stattgefunden hatte.
Von der Verletzung waren anonymisierte Namen, Kontaktdaten und Lebenslaufdaten betroffen. Der Umfang der in den Lebensläufen enthaltenen personenbezogenen Daten variiert je nach den Präferenzen der Nutzer. Während einige Lebensläufe nur grundlegende identifizierende Informationen wie Vor- und Nachname enthalten, können andere Kontaktdaten, Angaben zur Ausbildung und zum beruflichen Werdegang, Fotos und andere freiwillig bereitgestellte Informationen enthalten. Die technische Analyse ist noch nicht abgeschlossen, aber es wurde berichtet, dass insgesamt 3.168 Personen, darunter Nutzer und Abonnenten/Mitglieder, von der Verletzung betroffen sind.
Yatırım Finansman Menkul Değerler A.Ş
Laut der Meldung über die Datenverletzung, die der Ausschuss von Yatırım Finansman Menkul Değerler A.Ş. in seiner Eigenschaft als Datenverantwortlicher erhalten hat, ereignete sich die Verletzung am 20. Juli 2025 und wurde noch am selben Tag entdeckt. Es wurde angegeben, dass eine internationale und spezialisierte Hackergruppe einen Ransomware-Angriff auf die Server und Client-Computer des Datenverantwortlichen durchgeführt hat.
Die Anzahl der von der Verletzung betroffenen Personen, die betreffende Personengruppe und die Kategorien personenbezogener Daten sind noch nicht geklärt, und die technischen Untersuchungen in diesem Zusammenhang dauern noch an. Es wurde öffentlich bekannt gegeben, dass die betroffenen Personen in Bezug auf diesen Vorfall Informationen und Unterstützung von allen Niederlassungen des Datenverantwortlichen sowie über die Investoren-Hotline unter der Nummer 08507235959 erhalten können.
GRC LEGAL KOMMENTAR
Die im Juli 2025 dem Ausschuss gemeldeten Datenverletzungen zeigen die Vielfalt und Schwere der Cybersicherheitsrisiken, denen Unternehmen in verschiedenen Branchen ausgesetzt sind. Die Meldungen von Louis Vuitton Çantacılık Ticaret A.Ş., Bold LLC und Yatırım Finansman Menkul Değerler A.Ş. weisen auf verschiedene Verletzungsszenarien hin, die sowohl auf lokaler als auch auf internationaler Ebene die Sicherheit personenbezogener Daten gefährden.
Die von Louis Vuitton gemeldete Verletzung erfolgte durch die Übernahme des Administratorkontos eines Dienstleisters und führte zur Offenlegung der Identitäts- und Kontaktdaten einer großen Anzahl von Kunden. Dieser Fall zeigt einmal mehr, wie wichtig Sicherheitsmaßnahmen in Verträgen mit Dritten und bei Zugriffskontrollen sind.
Die bei Bold LLC erfolgte Verletzung, bei der eine im Entwicklungsprozess befindliche Softwarefunktion nach außen offen blieb, zeigt, welche Folgen die Inbetriebnahme digitaler Dienste ohne abgeschlossene Sicherheitstests haben kann. Die Verletzung ist nicht nur eine technische Schwachstelle, sondern zeigt auch, dass die unzureichende Berücksichtigung der Privatsphäre in Designprozessen ein Risiko darstellt.
Der Ransomware-Angriff auf Yatırım Finansman Menkul Değerler A.Ş. hat erneut gezeigt, dass der Finanzsektor ein ständiges Ziel für Cyber-Bedrohungen ist. Auch wenn die von der Verletzung betroffenen Personen und Datenkategorien noch nicht klar sind, zeigt die Tatsache, dass der Angriff noch am selben Tag entdeckt und unverzüglich der Kommission gemeldet wurde, wie wichtig die Wirksamkeit der Vorfallreaktionsprozesse und die effektive Umsetzung der intern festgelegten Verfahren im Falle einer Datenverletzung sind.
Zusammenfassend lässt sich sagen, dass Datensicherheit nicht nur mit technischen Maßnahmen, sondern auch mit Prozessplanung, Lieferanten-/Geschäftspartnermanagement und Krisenreaktionsstrategien als Ganzes angegangen werden muss. Unternehmen müssen nicht nur ihre internen Systeme, sondern auch externe Dienste, neue Softwarefunktionen und Netzwerkstrukturen kontinuierlich überwachen und auf dem neuesten Stand halten.
AKTUALISIERUNG DES LEITFADENS
Der „Leitfaden zu Cookie-Anwendungen” wurde aktualisiert!
Der vom Ausschuss im Juni 2022 veröffentlichte Leitfaden zu Cookie-Anwendungen („Leitfaden”) wurde im Juli 2025 aktualisiert. Der aktuelle Leitfaden dient als Orientierungshilfe für Datenverantwortliche, die personenbezogene Daten über Cookies auf Desktop- und mobilen Websites sowie über Webanwendungen verarbeiten.
Der Leitfaden enthält Erläuterungen zur Einholung der ausdrücklichen Zustimmung der Nutzer zur Verwendung von Cookies, zur Erfüllung der Informationspflicht durch die für die Datenverarbeitung Verantwortlichen, zur Klassifizierung von Cookie-Typen und zu den Grundsätzen der rechtmäßigen Verarbeitung personenbezogener Daten. Darüber hinaus werden anhand von Beispielen für gute und schlechte Praktiken, die mit Bildern illustriert sind, konkrete Empfehlungen für die Anwender gegeben.
WAS PASSIERT AKTUELL?
Balance zwischen Privatsphäre und Pressefreiheit: Der Fall eines CEOs
Eine Nachricht, die in den letzten Tagen die Öffentlichkeit beschäftigt und in der internationalen Presse viel Beachtung gefunden hat, hat die Themen Privatsphäre und Schutz personenbezogener Daten erneut in den Fokus gerückt. Die detaillierte Berichterstattung über die Privatsphäre des CEOs eines großen Unternehmens, die mit Bildern illustriert wurde, hat zu Diskussionen im Rechtsbereich geführt. Dieser Fall hat erneut das empfindliche Gleichgewicht zwischen der Pressefreiheit in öffentlich zugänglichen Bereichen und dem Schutz der Privatsphäre von Personen im Rahmen des KVKK aufgezeigt.
Die durch Artikel 28 der Verfassung garantierte Pressefreiheit ist für das Recht der Öffentlichkeit auf Information von großer Bedeutung. Diese Freiheit ist jedoch kein absolutes Recht, sondern wird durch das in Artikel 20 der Verfassung verankerte Recht auf Privatsphäre eingeschränkt. Damit Informationen über das Privatleben in einer Nachricht veröffentlicht werden dürfen, muss ein öffentliches Interesse bestehen, ein direkter Zusammenhang zwischen der öffentlichen Person und dem Nachrichtenereignis hergestellt werden können und der Inhalt dem Grundsatz der Verhältnismäßigkeit entsprechen. Selbst wenn Informationen über das Privatleben von Personen, die aufgrund ihrer beruflichen Position in der Öffentlichkeit bekannt sind, ohne deren Zustimmung und ohne Bezug zum öffentlichen Interesse veröffentlicht werden, kann dies eine Verletzung ihrer Persönlichkeitsrechte und der Datensicherheit darstellen.
In diesem Zusammenhang sind nicht nur die Medienunternehmen, sondern auch die Veranstalter von Veranstaltungen in die Pflicht genommen. Die unbefugte Aufzeichnung von Personen in öffentlichen Bereichen wie Konzerten und die Veröffentlichung dieser Aufzeichnungen kann eine Verletzung der Privatsphäre und der Sicherheit personenbezogener Daten darstellen. Aus diesem Grund müssen die Veranstalter ihrer Aufklärungspflicht nachkommen, den Teilnehmern die erforderlichen Informationen zur Verfügung stellen, Bereiche einrichten, in denen keine Aufnahmen gemacht werden dürfen, und den Medienvertretern die Aufnahmeregeln im Voraus mitteilen. Heutzutage ist es äußerst wichtig, wie diese Mitteilungen erfolgen. Es ist klar, dass die Information der Personen über die betreffenden Aktivitäten nicht bedeutet, dass sie diesen Aktivitäten zustimmen, sondern dass ihre ausdrückliche Zustimmung in einer für den jeweiligen Prozess spezifischen Weise eingeholt werden muss.
Von den Medienunternehmen wird erwartet, dass sie mit größter Sorgfalt darauf achten, dass personenbezogene Daten nur im Rahmen des öffentlichen Interesses und unter Beachtung des Grundsatzes der Verhältnismäßigkeit verarbeitet werden. In diesem Zusammenhang muss jeder Nachrichteninhalt im Rahmen des Datenschutzrechts gesondert bewertet werden, wobei der Grundsatz der Achtung der Privatsphäre Vorrang hat.
Die Krise durch schwache Passwörter: Cyberangriffe und der Konkurs eines 158 Jahre alten Unternehmens
Laut einem Bericht von BBC Türkçe wurde bei einem britischen Transportunternehmen namens KNP aufgrund unzureichender Passwortsicherheit eines Mitarbeiters auf alle Daten des Unternehmens zugegriffen, die Systeme wurden gesperrt und schließlich wurden alle Daten des Unternehmens von den Cyberangreifern gelöscht. Aufgrund dieses Verstoßes musste das Unternehmen seine Aktivitäten einstellen.
Technische und administrative Maßnahmen zur Gewährleistung der Sicherheit personenbezogener Daten gehören zu den grundlegenden Pflichten der für die Datenverarbeitung Verantwortlichen im Rahmen des KVKK. Gemäß Artikel 12 des KVKK sind die für die Datenverarbeitung Verantwortlichen verpflichtet, alle erforderlichen Sicherheitsmaßnahmen zu ergreifen, um einen unrechtmäßigen Zugriff auf die von ihnen verarbeiteten personenbezogenen Daten zu verhindern. Schwache Passwortpraktiken können einen Verstoß gegen diese Verpflichtung darstellen und für die für die Datenverarbeitung Verantwortlichen sowohl zu administrativen Sanktionen als auch zu Reputationsverlusten und sogar zur Insolvenz von Unternehmen führen. In diesem Zusammenhang sollte die Erstellung einer starken Passwortrichtlinie und deren wirksame Umsetzung durch die Mitarbeiter nicht nur als IT-Problem, sondern auch als rechtliche Verpflichtung betrachtet werden.
Ein weiterer wichtiger Punkt, der in der Meldung angesprochen wurde, ist, dass viele Unternehmen immer noch einfache Passwörter verwenden, die von den Benutzern selbst festgelegt werden und nicht regelmäßig überprüft werden. Im Rahmen des KVKK gehört die Erstellung und Aufrechterhaltung sicherer Passwortrichtlinien zu den erforderlichen administrativen Maßnahmen für die Sicherheit personenbezogener Daten. Darüber hinaus sehen internationale Informationssicherheitsstandards wie ISO 27001 die klare Definition und regelmäßige Überprüfung von Passwortverwaltungsverfahren vor. In diesem Zusammenhang ist es äußerst wichtig, Passwörter in bestimmten Abständen zu erneuern, eine Multi-Faktor-Authentifizierung zu aktivieren und die Benutzer regelmäßig in Bezug auf Passwortsicherheit zu schulen.
Zusammenfassend lässt sich sagen, dass Datenlecks aufgrund schwacher/einfacher Passwörter zeigen, dass die Verpflichtungen zum Schutz personenbezogener Daten nicht nur mit der technischen Infrastruktur, sondern auch direkt mit dem Bewusstsein der Benutzer zusammenhängen. Datenverantwortliche müssen nicht nur auf Systemebene, sondern auch auf organisatorischer Ebene eine Sicherheitskultur einführen und aufrechterhalten. Im Rahmen des KVKK sind strenge Passwortrichtlinien heute eine unaufschiebbare Notwendigkeit, um sowohl die Sicherheit personenbezogener Daten zu gewährleisten als auch Sanktionen wegen möglicher Datenverstöße zu vermeiden.