Tätigkeitsbericht 2025 der Datenschutzbehörde

Tätigkeitsbericht 2025 der Datenschutzbehörde

Die Datenschutzbehörde („Behörde“) hat den Tätigkeitsbericht für das Jahr 2025 („Bericht“) veröffentlicht.Der Bericht enthält bemerkenswerte Daten zu den Themen Datenübermittlung ins Ausland, Standardverträge, Melde- und Registrierungspflicht im Register der für die Datenverarbeitung Verantwortlichen („VERBİS“), Meldungen und Beschwerden, Meldungen von Datenschutzverletzungen sowie Bußgelder.

Verpflichtungserklärungen zur Datenübermittlung ins Ausland

Im Jahr 2025 wurden im Rahmen von Artikel 9 des Gesetzes zum Schutz personenbezogener Daten („Gesetz“ oder „KVKK“) 9 dem Amt vorgelegten Verpflichtungserklärungen zur Datenübermittlung ins Ausland untersucht wurden, zeigt sich, dass insgesamt 90 Verpflichtungserklärungen eingereicht wurden, von denen 89 geprüft wurden, für 13 eine Genehmigung erteilt wurde und für 76 keine Genehmigung erteilt wurde.

Bericht für das Jahr 2024, in dem von den 86 geprüften Verpflichtungserklärungen nur 10 genehmigt wurden, zeigt, dass es im Jahr 2025 zwar einen begrenzten Anstieg der Anzahl der genehmigten Verpflichtungserklärungen gab, die Genehmigungsquote des Verpflichtungserklärungsmechanismus jedoch nach wie vor recht niedrig ist.

Informationen und Bewertungen zu Standardverträgen

Im Jahr 2025 wurde die Zahl der der Behörde im Rahmen von Artikel 9 Absatz 4 Buchstabe c des Gesetzes vorgelegten Standardverträge mit 2.497 angegeben. Wenn man bedenkt, dass diese Zahl im Bericht für das Jahr 2024 bei 1.364 lag, ist ein deutlicher Anstieg bei den Meldungen von Standardverträgen zu erkennen.

Darüber hinaus wird im Bericht angegeben, dass infolge der Bewertungen der bei der Behörde eingegangenen Meldungen von Standardverträgen bei 70 Meldungen von Amts wegen eine Untersuchung eingeleitet wurde, von diesen Untersuchungen 21 abgeschlossen wurden und bei drei der abgeschlossenen Untersuchungen Verwaltungsstrafen in Höhe von insgesamt 150.000 TL verhängt wurden.

GRC LEGAL PERSPEKTIVE

Die Daten für das Jahr 2025 zeigen, dass der Mechanismus der Standardverträge bei der Übermittlung personenbezogener Daten ins Ausland von den für die Datenverarbeitung Verantwortlichen und den Auftragsverarbeitern zunehmend bevorzugt wird. Gleichzeitig wird deutlich, dass die Behörde Standardverträge nicht lediglich als formale Mitteilung betrachtet, sondern von sich aus Untersuchungen einleiten und Sanktionen verhängen kann, wenn beispielsweise Änderungen am Standardtext vorgenommen werden, gültige Unterschriften fehlen oder die Meldepflicht nicht ordnungsgemäß erfüllt wird.

In diesem Sinne sollte die Unterzeichnung eines Standardvertrags nicht als allein ausreichend angesehen werden; vielmehr muss der Vertrag auf der Grundlage des korrekten Textes abgeschlossen werden, die Unterschriften müssen vollständig sein, die Meldung an die Behörde muss fristgerecht erfolgen, und das Dateninventar, die Datenschutzerklärung sowie die Datenverarbeitungsprozesse im Zusammenhang mit der Übermittlung müssen so aktualisiert werden, dass sie diese Übermittlung unterstützen.

VERBİS-Registrierungs- und Meldepflicht

Im Bericht wird darauf hingewiesen, dass die den für die Datenverarbeitung Verantwortlichen eingeräumte Frist zur Erfüllung der Registrierungspflicht und der Meldepflicht bei VERBİS am 31. Dezember 2021 abgelaufen ist; das System steht jedoch weiterhin für den Zugriff, die Antragstellung und die Meldung zur Verfügung. Außerdem wird darauf hingewiesen, dass Datenverantwortliche, die nachträglich registrierungspflichtig werden, sich gemäß Artikel 8 der Verordnung über das Register der Datenverantwortlichen innerhalb von 30 Tagen nach Eintritt der Verpflichtung in das Register eintragen müssen.

Bei der Betrachtung der Zahlen bei VERBİS zum Stand 2025 zeigt sich, dass 249.474 VERBİS-Anträge, 9.558 Aktualisierungen von Anträgen und 96.731 telefonische Gespräche im Zusammenhang mit Anträgen verzeichnet wurden. Von den Anträgen wurden 202.507 genehmigt, 8.310 abgelehnt, während die Prüfung von 38.657 Anträgen noch andauert.

Darüber hinaus wurden im Jahr 2025 gegen 594 Datenverantwortliche, die ihrer Registrierungspflicht im Register nicht fristgerecht nachgekommen sind, Verwaltungsstrafen in Höhe von insgesamt 216.860.000 TL verhängt.

GRC-RECHTLICHE PERSPEKTIVE

Die Daten für das Jahr 2025 zeigen, dass die Compliance-Mängel in Bezug auf die VERBİS-Verpflichtungen weiterhin bestehen. Insbesondere die Verhängung von Verwaltungsstrafen in Höhe von insgesamt 216.860.000 TL gegen 594 Datenverantwortliche, die sich nicht fristgerecht registriert haben, verdeutlicht, dass die Behörde ihren Ansatz in Bezug auf Kontrollen und Sanktionen fortsetzt.

In diesem Zusammenhang ist davon auszugehen, dass die Kontroll- und Sanktionsmaßnahmen in Bezug auf die VERBİS-Verpflichtungen aktiv fortgesetzt werden, obwohl auf der Website der Behörde keine neue Mitteilung oder Bekanntmachung zu diesem Thema veröffentlicht wurde. Insbesondere die gegen Datenverantwortliche verhängten Bußgelder, die ihrer Registrierungspflicht nicht fristgerecht nachgekommen sind, zeigen, dass die VERBİS-Prozesse von der Behörde genau verfolgt werden.

Daten zu Meldungen und Beschwerden

Im Jahr 2025 gingen bei der Behörde insgesamt 12.512 Meldungen und Beschwerden ein. Davon wurden 9.315 über CİMER, 2.058 über das E-Beschwerde-Modul und 1.139 per Post eingereicht. Demnach wurden 75 % der Anträge über CİMER, 16 % über das E-Beschwerde-Modul und 9 % per Post an die Behörde übermittelt.

Bei der Betrachtung der sektoralen Verteilung zeigt sich, dass die meisten Anträge mit 1.691 Anträgen auf den Dienstleistungssektor entfallen; darauf folgen die Sektoren Medien, Banken und Finanzen, öffentlicher Sektor, Telekommunikation, Rechtsdienstleistungen und Handel.

Bei der thematischen Verteilung zeigt sich, dass sich die Anträge wie in der folgenden Tabelle darstellen.

GRC-RECHTLICHE PERSPEKTIVE

Während im Jahr 2024 8.275 Anträge bei der Behörde eingingen, stieg diese Zahl im Jahr 2025 auf 12.512. Dieser Anstieg zeigt, dass das Bewusstsein der betroffenen Personen im Bereich des Datenschutzes zugenommen hat und die Beschwerdemechanismen in Bezug auf Datenverarbeitungsprozesse intensiver genutzt werden.

Ein weiterer bemerkenswerter Punkt ist der Anstieg unter der Rubrik „rechtswidrige Weitergabe personenbezogener Daten an Dritte“. Die Zahl der Anträge, die im Jahr 2024 bei 1.389 lag, stieg im Jahr 2025 auf 2.838. Dies deutet darauf hin, dass Datenübertragungsprozesse – insbesondere die Weitergabe an Konzernunternehmen, Lieferanten und Plattformanbieter sowie die Übermittlung ins Ausland – einer strengeren Prüfung unterzogen werden könnten.

Demgegenüber ist festzustellen, dass die Beschwerden über unerwünschte SMS und Anrufe im Vergleich zu 2024 zurückgegangen sind. Dennoch bleibt dieser Bereich auch im Jahr 2025 das drittgrößte Thema, zu dem die meisten Beschwerden eingereicht wurden. Daher behalten die Themen „ausdrückliche Einwilligung“, „Aufzeichnungen des Nachrichtenverwaltungssystems“, „Widerspruchsrecht“ und die „separate Ausgestaltung von Datenverarbeitungsaktivitäten zu Marketingzwecken“ im Rahmen kommerzieller elektronischer Nachrichtenübermittlung weiterhin ihre Bedeutung.

Stand der Bearbeitung der Anträge

Im Jahr 2025 wurden zusätzlich zu den 12.512 Meldungen und Beschwerden, die bei der Behörde eingingen, insgesamt 15.578 Anträge geprüft, einschließlich 3.066 aus früheren Jahren übertragener Fälle. Von diesen Anträgen wurden 13.456 abgeschlossen, während der Bewertungsprozess für 2.122 noch andauerte.

Von den abgeschlossenen Anträgen wurden 9.183 mit der Begründung abgelehnt, dass sie die formalen Voraussetzungen nicht erfüllten, 3.384, weil sie nicht in den Geltungsbereich des Gesetzes fielen, und 667, weil kein Verstoß gegen das Gesetz vorlag; bei 140 Anträgen wurde eine Geldbuße verhängt, bei 82 Anträgen wurden dem für die Datenverarbeitung Verantwortlichen Anweisungen erteilt.

GRC LEGAL PERSPEKTIVE

Die im Bericht enthaltenen Daten zu den abgeschlossenen Verfahren zeigen, dass ein erheblicher Teil der bei der Behörde eingegangenen Anträge mit der Begründung abgelehnt wurde, dass sie die Verfahrensvoraussetzungen nicht erfüllten oder nicht in den Anwendungsbereich des Gesetzes fielen. Dies unterstreicht nicht nur die Bedeutung der ordnungsgemäßen Einreichung von Anträgen durch betroffene Personen, sondern zeigt auch, dass die Datenverantwortlichen die Bearbeitungsprozesse für Anträge sorgfältig verwalten müssen.

Die fristgerechte, klare und begründete Beantwortung von Anträgen betroffener Personen durch die für die Datenverarbeitung Verantwortlichen in einer Weise, die den in Artikel 11 des Gesetzes festgelegten Rechten entspricht, wird nicht nur als Mittel zur Verringerung des Beschwerderisikos angesehen, sondern auch als wichtiger Faktor, der bei möglichen Untersuchungen durch die Behörde den Grad der Compliance des für die Datenverarbeitung Verantwortlichen widerspiegelt.

Stand der Bearbeitung von Anträgen

Im Jahr 2025 wurden der Behörde 328 Meldungen über Datenschutzverletzungen übermittelt. Angesichts der Tatsache, dass diese Zahl im Jahr 2024 bei 289 lag, ist ein Anstieg der Meldungen über Datenschutzverletzungen zu verzeichnen. Von den im Jahr 2025 eingegangenen Meldungen über Datenschutzverletzungen wurden 296 als inländische und 32 als ausländische Fälle klassifiziert.

In dem Bericht wird außerdem daran erinnert, dass der für die Datenverarbeitung Verantwortliche bei der Meldung von Datenschutzverletzungen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntnisnahme der Verletzung, die Aufsichtsbehörde benachrichtigen muss; nach der Ermittlung der von der Verletzung betroffenen Personen muss die Benachrichtigung der betroffenen Personen ebenfalls innerhalb einer angemessenen Frist erfolgen.

GRC-RECHTLICHE PERSPEKTIVE

Der Anstieg der Meldungen über Datenschutzverletzungen zeigt, dass die Risiken der Datensicherheit in der Praxis weiterhin von Bedeutung sind. Die Höhe der im Jahr 2025 verhängten Bußgelder im Zusammenhang mit Meldungen über Datenschutzverletzungen wurde mit 90.358.500 TL angegeben, wobei dieser Posten im Vergleich zum Jahr 2024 einen wenn auch begrenzten Anstieg verzeichnete.

In diesem Zusammenhang reicht es nicht aus, dass sich Unternehmen lediglich auf technische Sicherheitsmaßnahmen konzentrieren; vielmehr müssen im Falle eines möglichen Verstoßes Prozesse wie die Feststellung des Verstoßes, interne Maßnahmen, die Meldung an die Behörde, die Benachrichtigung betroffener Personen, die Führung von Protokollen über die Maßnahmen zur Bewältigung des Vorfalls sowie die Analyse der Ursachen im Rahmen eines vorab festgelegten Verfahrens zur Bewältigung von Datenschutzverletzungen durchgeführt werden.

Verwaltungsstrafen

Im Jahr 2025 verhängte die Behörde gegen insgesamt 876 für die Datenverarbeitung Verantwortliche Verwaltungsstrafen, davon 140 aufgrund von Meldungen und Beschwerden, 142 aufgrund von Meldungen über Datenschutzverletzungen und 594 im Rahmen der VERBİS-Registrierungs- und Meldepflicht. Die Gesamtsumme der Verwaltungsstrafen wurde mit 352.510.494 TL angegeben.

Berücksichtigt man, dass sich die Gesamtsumme der Bußgelder im Jahr 2024 auf 551.139.817 TL belief, ist im Jahr 2025 ein Rückgang der Gesamtstrafsumme zu verzeichnen. Die VERBİS-Verpflichtungen blieben jedoch auch im Jahr 2025 der Posten mit dem höchsten Anteil an den gesamten Bußgeldern.

Allgemeine Bewertung

Der Tätigkeitsbericht für das Jahr 2025 zeigt, dass sich die Behörde auf drei Hauptbereiche konzentriert hat: die Überwachung von Datenübertragungsprozessen ins Ausland, die Überwachung der VERBİS-Registrierungs- und Meldepflichten sowie die Verhängung von Sanktionen im Rahmen der Datensicherheit und der Meldung von Datenschutzverletzungen.

Insbesondere der Anstieg der Meldungen zu Standardverträgen zeigt, dass sich die 2024 in Kraft getretene KVKK-Reform aktiver in der Praxis niederschlägt. Die Möglichkeit, bei fehlerhafter Verwendung von Standardverträgen oder Verstößen gegen die Meldepflicht Verwaltungssanktionen zu verhängen, macht jedoch deutlich, dass Unternehmen ihre Datenübertragungsprozesse ins Ausland nicht nur auf die Phase der Vertragsunterzeichnung beschränken dürfen.

Ab dem Jahr 2025 werden in der Kontroll- und Sanktionspraxis der Behörde VERBİS, Meldungen von Datenschutzverletzungen, rechtswidriger Datenaustausch und die Bearbeitung von Anträgen betroffener Personen als vorrangige Risikobereiche eingestuft. Daher ist es wichtig, dass die für die Datenverarbeitung Verantwortlichen die KVKK-Compliance-Prozesse nicht als statische Dokumentationsarbeit betrachten, sondern als ein aktuelles, nachvollziehbares und regelmäßig überarbeitetes Compliance-Programm.