Datenschutz- und Compliance-Bulletin – September 2025
Das Datenschutzrecht ist ein sich ständig weiterentwickelnder und aktualisierter Rechtsbereich, der sich aus dem Gesetz zum Schutz personenbezogener Daten Nr. 6698 („KVKK” oder „Gesetz”) und den sekundären Vorschriften zusammensetzt. Die Anwendungen in diesem Bereich beschränken sich nicht nur auf das Gesetz und die entsprechenden Verordnungen, sondern werden durch die Entscheidungen, Grundsatzbeschlüsse und Beschlusszusammenfassungen der Datenschutzbehörde („Behörde”) geprägt und konkretisiert. In diesem Zusammenhang dienen die monatlich erstellten KVKK-Bulletins als Quelle für diejenigen, die die aktuellen Entwicklungen im Bereich des Datenschutzes verfolgen möchten, und sollen die Aktualität gewährleisten und die Betroffenen informieren.
Im September 2025 wurde auf der Website der Datenschutzbehörde („Behörde“) unter der Domain www.kvkk.gov.tr eine Meldung über eine Datenverletzung veröffentlicht.
Darüber hinaus wurde im Mittelfristigen Programm 2026-2028 („Programm”), das am 07.09.2025 im Amtsblatt Nr. 33010 veröffentlicht wurde, bekannt gegeben, dass die Arbeiten zur Angleichung des KVKK an die Datenschutz-Grundverordnung der Europäischen Union („General Data Protection Regulation”, „GDPR”) in Einklang gebracht werden soll, im dritten Quartal 2026 abgeschlossen sein werden. Das Programm sieht vor, das Gesetz mit der Verordnung der Europäischen Union über künstliche Intelligenz in Einklang zu bringen, die erforderlichen Vorschriften im Bereich der Cybersicherheit unter Berücksichtigung des Besitzstands der Europäischen Union auszuarbeiten und einen nationalen politischen Rahmen zu schaffen, um den Übergang zur Datenwirtschaft zu beschleunigen. In diesem Zusammenhang wurde angegeben, dass eine übergeordnete Gesetzgebung und Infrastruktur für die Datenverwaltung geschaffen und eine nationale Datenstrategie und ein Aktionsplan zur Gewährleistung der Datenvertraulichkeit und -sicherheit umgesetzt werden sollen.
MELDUNG VON DATENVERLETZUNGEN
Gemäß Artikel 12/5 des KVKK ist der für die Verarbeitung Verantwortliche verpflichtet, die betroffene Person und die Kommission unverzüglich zu benachrichtigen, wenn verarbeitete personenbezogene Daten auf rechtswidrige Weise von Dritten erlangt wurden.
Im Rahmen dieser Bestimmung kann die Kommission, wenn sie es für erforderlich hält, die betreffende Datenverletzung über ihre Website oder auf andere ihr geeignet erscheinende Weise öffentlich bekannt geben. Diese Regelung wurde eingeführt, um eine wirksame Verwaltung von Datenverletzungen und die rechtzeitige Unterrichtung der betroffenen Personen zu gewährleisten.
Sinch AB[1]
Gemäß der Meldung der Datenverletzung, die der Ausschuss von Sinch AB in seiner Eigenschaft als Datenverantwortlicher erhalten hat, wurde die Verletzung zwischen dem 28.08.2025 und dem 30.08.2025 durch Hacking verübt.
Von der Verletzung waren Benutzer betroffen; es wurde angegeben, dass es sich bei den offengelegten personenbezogenen Daten um Name, E-Mail-Adresse, Anschrift, die letzten 4 Ziffern der Kreditkarte, Kartentyp (Visa, Mastercard usw.) und das Ablaufdatum der Kreditkarte handelte. Die Untersuchungen zu diesem Thema dauern noch an, es wurde jedoch berichtet, dass insgesamt 716 Personen von der betreffenden Verletzung betroffen waren.
GRC LEGAL Kommentar: Die von Sinch AB gemeldete Datenverletzung unterstreicht einmal mehr die Sensibilität im Umgang mit Finanzdaten. Die Offenlegung von Kreditkartendaten (auch wenn es sich nur um begrenzte Daten wie die letzten vier Ziffern und den Kartentyp handelt) ist im Hinblick auf die Sicherheit der Nutzer und das Risiko von Finanzbetrug von entscheidender Bedeutung. Diese Situation macht es für alle Unternehmen, die Zahlungssysteme und Benutzerkontodaten verarbeiten, unerlässlich, fortschrittliche Sicherheitsmaßnahmen gegen Cyberangriffe zu ergreifen. Angesichts der Tatsache, dass international tätige Unternehmen auch Daten von Nutzern in der Türkei verarbeiten, wird einmal mehr deutlich, dass die Verpflichtungen im Rahmen des KVKK nicht nur auf lokaler, sondern auch auf globaler Ebene berücksichtigt werden müssen.
WAS GIBT ES AKTUELL NEUES?
NACHRICHTEN AUS DER TÜRKEI
Entscheidung der Ombudsstelle: „Persönliche Daten auf der Dienstkarte müssen verborgen bleiben“
Laut einer Meldung der Anadolu-Agentur vom 05.09.2025 hat die Ombudsstelle („KDK”) den Antragsteller, der die Geheimhaltung der auf seiner Mitarbeiterkarte enthaltenen personenbezogenen Daten forderte, für berechtigt befunden, sich mit der betreffenden Einrichtung in Verbindung gesetzt und die Ausstellung einer neuen Mitarbeiterkarte ohne personenbezogene Daten veranlasst.
Im konkreten Fall beantragte eine Person, die bei einer öffentlich-rechtlichen Einrichtung mit Sonderhaushalt beschäftigt war, die Erneuerung ihres verlorenen Ausweises und erklärte, dass sie sich daran störe, dass auf dem Ausweis Angaben wie der Name der Mutter, der Name des Vaters, das Geburtsdatum und der Geburtsort deutlich sichtbar seien, und beantragte, dass auf dem neuen Ausweis nur der Vorname, der Nachname, die Berufsbezeichnung, die Provinz, in der sie beschäftigt ist, und die Registrierungsnummer der Einrichtung angegeben werden sollten. Der Antrag wurde von der betreffenden Einrichtung abgelehnt. Auf Antrag des Antragstellers bei der KDK befand die Behörde den Antragsteller für berechtigt, nahm Kontakt mit der betreffenden Einrichtung auf, um der Forderung nachzukommen, und auf Initiative der KDK stellte die Einrichtung dem Antragsteller einen neuen Ausweis ohne personenbezogene Daten aus und händigte ihn ihm aus.
GRC LEGAL Kommentar: Diese Entscheidung der KDK unterstreicht einmal mehr die Bedeutung des Grundsatzes der Datenminimierung. Die Angabe von persönlichen Daten wie dem Namen der Eltern, dem vollständigen Geburtsdatum und dem Geburtsort auf ständig sichtbaren und einem hohen Verlust- oder Diebstahlrisiko ausgesetzten Ausweisen wie Personalausweisen kann im Falle eines Verlusts oder einer Einsichtnahme durch Dritte ernsthafte Risiken mit sich bringen und zu einer Datenverletzung führen. Bei der Gestaltung von Ausweisen sollten sich die Behörden auf Mindestangaben wie Vor- und Nachname, Foto, Titel/Abteilung, Name der Behörde, Personal-/Registrierungsnummer und Gültigkeitsdatum beschränken. Wenn zusätzliche Informationen erforderlich sind, sollten diese über QR/NFC mit rollenbasiertem Zugriff und nur autorisierten Personen angezeigt werden.
Cybersicherheitsgesetz erstmals angewendet: Ermittlungen wegen Entwendung und Verkauf personenbezogener Daten
Laut einer Meldung der Zeitung Hürriyet vom 15.09.2025 hat die Staatsanwaltschaft Ankara Anklage gegen siebzehn Verdächtige erhoben, weil sie die personenbezogenen Daten von Millionen von Bürgern und hochrangigen Beamten unrechtmäßig erworben und auf einer Website verkauft und weitergegeben haben sollen. Es wird berichtet, dass die Verdächtigen neben Bildern von Prominenten wie Oğuzhan Uğur und Haluk Levent auch Bilder von Präsident Tayyip Erdoğan für gefälschte Werbeanzeigen verwendet haben.
Im Anschluss an den Vorfall wurden neun Verdächtige festgenommen, gegen die wegen „Verletzung des Datenschutzes, Besitzes verbotener Geräte und Programme sowie Verstoßes gegen das Gesetz zur Cybersicherheit” Freiheitsstrafen von bis zu 15 Jahren beantragt wurden.
In der entsprechenden Anklageschrift wurde festgestellt, dass die Website Links zu schädlicher Software, gestohlene Kreditkartendaten, Versuche des unbefugten Zugriffs auf Systeme öffentlicher Einrichtungen und den Verkauf personenbezogener Daten enthielt, woraufhin eine Untersuchung eingeleitet wurde. Die Website wurde 2021 gegründet und war bis 2023 aktiv. Die IP-Standortdaten befinden sich in den Niederlanden, die Website hat 24.188 Mitglieder und auf den Geräten der Verdächtigen wurden persönliche Daten von etwa 101 Millionen Bürgern der Republik Türkei gefunden. Diese Datensätze enthalten Angaben wie türkische Identitätsnummern, Adressen, Sozialversicherungs- und Bankdaten, Fahrzeugzulassungsdaten, Grundbuchdaten sowie Angaben zu Ausbildung und Beruf.
In der Anklageschrift wird darauf hingewiesen, dass die Verdächtigen nicht nur Daten verkauft haben, sondern auch private Nachrichten, sexuell eindeutige Bilder und vertrauliche Dokumente der Opfer auf ihren Geräten gespeichert hatten; diese Inhalte wurden systematisch zu Erpressungszwecken verwendet. Darüber hinaus wurde festgestellt, dass sie durch das Eindringen in kritische Systeme öffentlicher Einrichtungen gefälschte Diplome, Meister- oder Gesellenbriefe hergestellt haben.
In der Anklageschrift wird der Begriff „Cyberspace” nicht nur als das Internet verstanden, sondern umfasst auch geschlossene Systeme, die mit dem Internet verbunden sind, und in diesem Zusammenhang wird betont, dass die unrechtmäßige Beschaffung von Daten eine Straftat darstellt.
Kommentar von GRC LEGAL: Dieser Fall ist insofern bemerkenswert, als er das erste Mal ist, dass das im März 2025 in Kraft getretene Cybersicherheitsgesetz Gegenstand einer Anklageschrift ist, und stellt einen wichtigen Meilenstein an der Schnittstelle zwischen dem Datenschutz und der Cybersicherheitsgesetzgebung dar. Während die rechtswidrige Erlangung personenbezogener Daten im Rahmen des KVKK derzeit mit schweren Strafen geahndet wird, werden solche Handlungen mit dem neuen Cybersicherheitsgesetz nun in einem breiteren Rahmen und unter Androhung höherer Strafen bewertet.
WELTWEITE NACHRICHTEN
EU-Datenschutzverordnung (EU Data Act) in Kraft getreten
Nach einer Erklärung der Europäischen Kommission ist die seit langem in Vorbereitung befindliche EU-Datenschutzverordnung („EU Data Act“), die am 28. Juni 2023 verabschiedet wurde, am 12. September 2025 in Kraft getreten. Die Verordnung zielt darauf ab, eine faire Nutzung von Daten in der digitalen Wirtschaft zu gewährleisten, den Zugang der Nutzer zu den von ihren Geräten erzeugten Daten zu erleichtern und eine transparentere Weitergabe von Daten zu ermöglichen.
Die Verordnung gilt für Daten, die über Geräte des Internets der Dinge („IoT“) wie Smart-Home-Produkte, Wearables, Industriemaschinen und vernetzte Fahrzeuge erfasst werden. Dadurch erhalten Nutzer das Recht auf direkten Zugriff auf die von ihren Geräten generierten Daten und können diese Daten auf Wunsch an Dritte weitergeben. Auch öffentliche Einrichtungen können in Ausnahmefällen auf Daten des privaten Sektors zugreifen, wodurch schnellere und effektivere Lösungen für öffentliche Dienstleistungen entwickelt werden können.
Die Kommission betont, dass die Verordnung auch Wettbewerbsvorteile für KMU schafft, unfaire Vertragsbedingungen in Bezug auf den Datenaustausch verbietet und einen leichteren Wechsel zwischen Cloud-Diensten ermöglicht. Die Verordnung enthält auch Bestimmungen zum Schutz von Geschäftsgeheimnissen und zur Verhinderung unrechtmäßiger Datenanfragen von außerhalb der Europäischen Union.
GRC LEGAL Kommentar: Die Anwendung des EU-Datenschutzgesetzes ab dem 12. September 2025 zeigt, dass die Datenwirtschaft in der Europäischen Union neu auf den Grundsätzen „Zugang für Nutzer, faire Weitergabe und Übertragbarkeit” ausgerichtet wird. Darüber hinaus führt er umfassende Vorschriften für die Nutzung von Geräte- und Industriedaten unabhängig von personenbezogenen Daten ein und übernimmt damit eine wichtige Vorreiterrolle bei der Regulierung der Datenwirtschaft und der Förderung des Wettbewerbs.
[1] Der betreffende Datenverstoß wurde am 23. September 2025 auf der Website der Behörde veröffentlicht.