Datenschutz- und Compliance-Bulletin – November 2025
Das Datenschutzrecht ist ein sich ständig weiterentwickelnder und aktualisierter Rechtsbereich, der sich aus dem Gesetz zum Schutz personenbezogener Daten Nr. 6698 („KVKK“) und den sekundären Vorschriften zusammensetzt. Die Anwendungen in diesem Bereich beschränken sich nicht nur auf das Gesetz und die entsprechenden Verordnungen, sondern werden durch die Entscheidungen, Grundsatzbeschlüsse und Beschlusszusammenfassungen der Datenschutzbehörde („Behörde“) geprägt und konkretisiert.
In diesem Zusammenhang dienen die monatlich erstellten KVKK-Bulletins als Quelle für diejenigen, die die aktuellen Entwicklungen im Bereich des Datenschutzes verfolgen möchten, und sollen die Aktualität gewährleisten und die Betroffenen informieren.
Der Schutz personenbezogener Daten ist für die Gewährleistung der Grundrechte und -freiheiten von großer Bedeutung. In diesem Zusammenhang ist es sowohl eine Verpflichtung als auch eine Notwendigkeit des Konformitätsprozesses, dass die für die Datenverarbeitung Verantwortlichen bei allen Vorgängen im Zusammenhang mit personenbezogenen Daten in Übereinstimmung mit den Rechtsvorschriften und den Grundsätzen der Fairness handeln.
Im November veröffentlichte die Datenschutzbehörde („Behörde“) auf ihrer Website www.kvkk.gov.tr eine „Bekanntmachung über die Genehmigung der Übermittlung personenbezogener Daten ins Ausland durch eine Vereinbarung ohne internationalen Vertragscharakter“, die für die Datenübermittlung ins Ausland von großer Bedeutung ist. Darüber hinaus wurde einer der kritischsten Themenbereiche an der Schnittstelle zwischen Technologie und Recht, der „Leitfaden zu produktiver künstlicher Intelligenz und zum Schutz personenbezogener Daten (15 Fragen)”, der Öffentlichkeit vorgestellt.
Entwicklungen in der Türkei
Leitfaden zu produktiver künstlicher Intelligenz und zum Schutz personenbezogener Daten veröffentlicht!
Am 24. November 2025 veröffentlichte die Behörde einen umfassenden Leitfaden, der sich ausführlich mit den Auswirkungen von Systemen der produktiven künstlichen Intelligenz („ÜYZ”) auf das Recht zum Schutz personenbezogener Daten befasst, die im Zentrum der digitalen Transformation und Innovation stehen.
Dieser vom Institut erstellte Leitfaden entstand aus der Notwendigkeit, neben den Möglichkeiten, die künstliche Intelligenztechnologien bieten, auch die damit verbundenen ethischen, rechtlichen und sozialen Risiken zu bewerten. Das Hauptziel des Leitfadens besteht darin, einen Ansatz zu fördern, der die Privatsphäre von Personen bei der Entwicklung und Nutzung von PAI-Systemen respektiert, und den Akteuren, die als Datenverantwortliche für die Verarbeitung personenbezogener Daten während des gesamten Lebenszyklus dieser Systeme zuständig sind, eine Orientierungshilfe zu geben.
Der Leitfaden weist auf die grundlegenden Modelle hin, die auf den großen Datenmengen basieren, die der Inhaltserstellung von ÜYZ-Systemen zugrunde liegen, und betont, dass es von großer Bedeutung ist, diese Systeme mit einem Ansatz zu entwickeln und anzuwenden, der die Menschenrechte und Grundfreiheiten achtet, transparent und kontrollierbar ist und den Menschen in den Mittelpunkt stellt.
Darüber hinaus enthält der Leitfaden wichtige Empfehlungen für Personen, die ÜYZ-Systeme nutzen. Um die Datensicherheit zu gewährleisten, sollten Nutzer bei der Bereitstellung personenbezogener Daten wie Name, Vorname, Adresse, Telefonnummer und Identitätsdaten für diese Systeme vorsichtig sein und die Weitergabe von Informationen über ihr Privatleben vermeiden. Schließlich wird empfohlen, die Berechtigungen für die Weitergabe personenbezogener Daten zu überprüfen und die Richtlinien der ÜYZ-Systeme zur Datenerhebung und -speicherung sorgfältig zu prüfen.
Kommentar von GRC LEGAL
Der von der Behörde veröffentlichte „Leitfaden zum Schutz personenbezogener Daten und zur produktiven künstlichen Intelligenz” ist von entscheidender Bedeutung, da er einen konkreten Compliance-Rahmen bietet, den Datenverantwortliche im sich schnell entwickelnden Technologiebereich seit langem benötigen.
Der Leitfaden betont eindeutig, dass KI-Systeme von Anfang an gemäß dem Grundsatz „Privacy by Design” (Datenschutz durch Technikgestaltung) entwickelt und verwaltet werden müssen, und erinnert daran, dass dies nicht nur eine gesetzliche Verpflichtung, sondern auch ein grundlegender Bestandteil von Ethik und Rechenschaftspflicht ist.
Insbesondere die Notwendigkeit, die Rechtsgrundlage für die Verarbeitung personenbezogener Daten in verschiedenen Phasen, wie z. B. beim Training und Betrieb eines KI-Modells, separat in Übereinstimmung mit dem KVKK festzulegen, ist einer der wichtigsten Aspekte, die in der Praxis sorgfältig zu beachten sind. In diesem Zusammenhang müssen die für die Datenverarbeitung Verantwortlichen umfassende Folgenabschätzungen und Risikobewertungen durchführen, um proaktiv die Risiken einer algorithmischen Diskriminierung und eines Verstoßes gegen den Grundsatz der Datenminimierung, die sich aus den Ergebnissen der KI ergeben können, zu bewältigen.
Der Leitfaden betont außerdem, dass aufgrund der Komplexität der ÜYZ-Prozesse die Verpflichtung zur Transparenz und Aufklärung noch sorgfältiger erfüllt werden muss. Es ist von großer Bedeutung, den betroffenen Personen klare und verständliche Informationen darüber zu geben, ob die Daten zu Entwicklungszwecken verwendet werden, welche Datenkategorien verarbeitet werden und welche Standardeinstellungen das System hat. Schließlich müssen unverzüglich wirksame Mechanismen eingerichtet werden, die es den Nutzern ermöglichen, ihre Widerspruchsrechte leicht auszuüben.
Bekanntmachung über die Genehmigung der Übermittlung personenbezogener Daten ins Ausland im Rahmen eines Abkommens, das keinen internationalen Vertragscharakter hat, veröffentlicht!
Der Ausschuss hat im Rahmen seiner Bewertung gemäß Artikel 9/4-a des Gesetzes und Artikel 11 der Verordnung über die Verfahren und Grundsätze für die Übermittlung personenbezogener Daten ins Ausland festgestellt, dass Die zwischen der Migrationsbehörde des Innenministeriums und dem Hohen Flüchtlingskommissar der Vereinten Nationen unterzeichnete Vereinbarung über die Übermittlung personenbezogener Daten ins Ausland, die als „Vereinbarung ohne Charakter eines internationalen Vertrags” bezeichnet wird, kann gemäß dem betreffenden Artikel als Grundlage für die Übermittlung angesehen werden, wie am 21.10.2025 beschlossen wurde.
Kommentar von GRC LEGAL
Die betreffende Genehmigung stellt ein wichtiges Beispiel für die Praxis der Datenübermittlung auf der Grundlage von Texten dar, die zwar den Charakter einer internationalen Zusammenarbeit haben, aber nicht den Status eines klassischen internationalen Abkommens besitzen. In diesem Zusammenhang stützt sich die Bewertung des Ausschusses auf die rechtliche Grundlage der Übertragung, die Verteilung der Verpflichtungen zwischen den Parteien, die Verpflichtungen zur Datensicherheit und die Garantien für den Übertragungsprozess. Die Entscheidung ist insbesondere insofern von Bedeutung, als sie Klarheit darüber schafft, wie die Übertragung personenbezogener Daten im Rahmen der operativen Zusammenarbeit zwischen öffentlichen Einrichtungen und internationalen Organisationen rechtlich begründet werden kann.
Die von der Präfektur Istanbul im Rahmen der Lebensmittelsicherheit eingeführte Verpflichtung zur 24-Stunden-Audio- und Videoaufzeichnung in Unternehmen
Nach den Vergiftungsfällen in Istanbul wurde im Rahmen der unter dem Vorsitz des Istanbuler Gouverneurs Davut Gül abgehaltenen „Lebensmittelsicherheitskonferenz” eine wichtige Regelung für alle Unternehmen in der Stadt beschlossen.
Mit dieser Entscheidung wurde die Verpflichtung eingeführt, in Unternehmen 24 Stunden lang ununterbrochen Ton- und Bildaufzeichnungen zu machen und diese Aufzeichnungen 30 Tage lang aufzubewahren. Diese vom Gouverneursamt Istanbul getroffene und voraussichtlich rasch umzusetzende Regelung hat die Schnittstelle zwischen administrativen Maßnahmen zum Schutz der öffentlichen Gesundheit und den verfassungsrechtlichen und gesetzlichen Grundsätzen zum Schutz personenbezogener Daten in den Fokus gerückt.
Obwohl die Provinzverwaltung befugt ist, zum Zwecke der Aufrechterhaltung der öffentlichen Ordnung im Bereich der Lebensmittelsicherheit regulatorische Maßnahmen zu ergreifen, hat der Umfang der eingeführten Verpflichtungen einen neuen Diskussionsbereich geschaffen, der im Hinblick auf die in der Datenschutzgesetzgebung wichtigen Grundsätze der Verhältnismäßigkeit, der Datenminimierung und der Zweckbindung bewertet werden muss.
Kommentar von GRC LEGAL
Umfassende Verpflichtungen wie die 24-stündige Audio- und Videoaufzeichnung in Unternehmen stehen einerseits im Zusammenhang mit dem Ziel der öffentlichen Behörden, die Lebensmittelsicherheit zu gewährleisten, führen andererseits jedoch zu neuen Diskussionen darüber, wie diese Maßnahmen mit den grundlegenden Datenschutzprinzipien wie Verhältnismäßigkeit, Datenminimierung und Privatsphäre in Einklang gebracht werden können. An dieser Stelle sei daran erinnert, dass die Datenverantwortlichen auch nach Inkrafttreten der Verordnung weiterhin verpflichtet sind, die in Artikel 4 des KVKK festgelegten Grundsätze einzuhalten, insbesondere die Zweckbindung, die Verhältnismäßigkeit und das Verbot der Aufzeichnung privater Bereiche.
In der kommenden Zeit wird es sowohl in der Verwaltungspraxis als auch in der Rechtslehre zu beobachten sein, wie ein Gleichgewicht zwischen Gründen der öffentlichen Gesundheit und den verfassungsrechtlichen Garantien zum Schutz personenbezogener Daten hergestellt wird und wie sich dieses Gleichgewicht in der Praxis niederschlägt.
Entwicklungen weltweit
Meta wegen Datenschutzverletzung in Spanien zu 479 Millionen Euro Schadenersatz verurteilt
Ein spanisches Gericht hat Meta wegen der Verwendung von Nutzerdaten für personalisierte Werbezwecke ohne deren ausdrückliche Zustimmung zu einer Schadenersatzzahlung in Höhe von insgesamt 479 Millionen Euro an 87 digitale Medienunternehmen verurteilt. In der Entscheidung wurde festgestellt, dass Meta das Nutzerverhalten mithilfe von Werbetechnologien verfolgt, diese Daten zur Erstellung detaillierter Profile verarbeitet und den betroffenen Personen keine ausreichenden Kontrollinstrumente für die Verwendung ihrer Daten zur Verfügung stellt. Das Gericht entschied, dass diese Praktiken sowohl gegen die spanischen Datenschutzgesetze als auch gegen die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union verstoßen.
Kommentar von GRC LEGAL
Mit dieser Entscheidung wird erneut die Bedeutung der Transparenz bei der Verarbeitung von Nutzerdaten zu kommerziellen Zwecken, der Notwendigkeit der Einholung einer ausdrücklichen Einwilligung und der Datenminimierung bei gezielten Werbemaßnahmen betont. Insbesondere die umfangreichen Datenverarbeitungsaktivitäten großer Technologieunternehmen im Rahmen ihrer verhaltensorientierten Werbemodelle werden von den europäischen Ländern zunehmend strenger kontrolliert.
Die genannte Entscheidung zeigt, dass Datenschutzbehörden weltweit dazu neigen, Wettbewerbsrecht, Verbraucherrechte und den Schutz personenbezogener Daten gemeinsam zu bewerten und umfassendere Sanktionen zu verhängen. In diesem Zusammenhang ist es von entscheidender Bedeutung, dass die für die Datenverarbeitung Verantwortlichen bei der Gestaltung ihrer gezielten Werbemaßnahmen die Compliance-Risiken in Bezug auf Einwilligungsmanagement, Transparenz der Profilerstellung, Kontrollmechanismen für Nutzer und Datenaustauschprozesse mit Dritten erneut überprüfen.
Entscheidung von LinkedIn zur Verarbeitung von Nutzerdaten im Rahmen des Trainings künstlicher Intelligenz
Das führende soziale Netzwerk der Geschäftswelt, LinkedIn, hat angekündigt, ab dem 3. November 2025 personenbezogene Daten, einschließlich Nutzerprofile, Beiträge, Lebensläufe und öffentlich zugängliche Aktivitäten auf der Plattform, zum Trainieren und Entwickeln von KI-Modellen zu verwenden. Der auffälligste Aspekt dieser Maßnahme ist, dass die entsprechende Einstellung standardmäßig aktiviert ist (Opt-in), sofern sie nicht manuell von den Nutzern deaktiviert wird.
LinkedIn hat erklärt, dass diese Standardeinstellung im rechtlichen Rahmen, insbesondere in Regionen, in denen Vorschriften der Europäischen Union und ähnliche Vorschriften gelten, unter dem Gesichtspunkt des „berechtigten Interesses” bewertet wird. Selbst wenn Nutzer von ihrem Widerspruchsrecht Gebrauch machen, gilt diese Maßnahme nur für Daten, die nach dem Datum des Widerspruchs erhoben werden, während zuvor erhobene Daten weiterhin in der KI-Trainingsumgebung verbleiben.
Kommentar von GRC LEGAL
Diese Entscheidung führt zu wichtigen Diskussionen hinsichtlich der Grundsätze der Datenminimierung und Transparenz, die zu den Grundprinzipien des Datenschutzrechts gehören, sowie hinsichtlich der in der DSGVO und ähnlichen Rechtsvorschriften vorgesehenen wirksamen Widerspruchsmechanismen. Es wird davon ausgegangen, dass die globalen Datenschutzbehörden in der kommenden Zeit prüfen werden, auf welcher Rechtsgrundlage die für das Training von KI-Systemen verwendeten Daten beruhen, inwieweit die für die Datenverarbeitung Verantwortlichen in diesem Prozess eine Risikobewertung hinsichtlich der Grundrechte und -freiheiten der betroffenen Personen vornehmen und wie die Grenzen der Verpflichtung zur Löschung von Daten im Falle eines Widerspruchs festgelegt werden.