KVKK-konforme Website und Cookie-Management
Wir erklären den Rahmen einer KVKK-konformen Website (KVKK ist das türkische Datenschutzgesetz, vergleichbar mit der DSGVO) mit Informationstext, Cookie-Hinweis, Einwilligung und Formularfreigaben; wir empfehlen eine rechtliche Prüfung.
Aurora YazılımRedaktionsteam
6 Min. Lesezeit
Eine KVKK-konforme Website teilt dem Besucher klar mit, welche personenbezogenen Daten sie erhebt: Sie enthält einen zugänglichen Informationstext, einen Cookie-Hinweis, der vor nicht notwendigen Cookies eine Einwilligung einholt, bei Bedarf einen gesonderten Einwilligungstext und Formulare, die nur die nötigen Felder abfragen. Daten werden über eine sichere Verbindung übertragen, Aufbewahrungsfristen werden festgelegt, und Anfragen werden beantwortet.
Warum betrifft die KVKK Websites?
Das türkische Gesetz zum Schutz personenbezogener Daten (Nr. 6698, KVKK) betrachtet jede Information als personenbezogenes Datum, die eine natürliche Person bestimmt oder bestimmbar macht. Name, Telefon, E-Mail-Adresse, IP-Adresse und mit Cookies verknüpfte Browser-Kennungen fallen unter diese Definition.
Nutzt eine Website ein Kontaktformular, ein Angebotsformular, eine Newsletter-Anmeldung, Live-Support, ein Analyse-Tool oder einen Werbe-Pixel, verarbeitet sie personenbezogene Daten. Dann ist der Websitebetreiber der Verantwortliche, und es entsteht die Pflicht, die Besucher zu informieren.
Dieser Beitrag dient der allgemeinen Information. Je nach Branche, Art der verarbeiteten Daten und Geschäftspartnern können sich die Pflichten ändern; prüfen Sie die aktuellen Vorschriften und fragen Sie Ihren Rechtsberater. Auch die Leitfäden der türkischen Datenschutzbehörde sind ein guter Ausgangspunkt. Wenn Sie eine neue Unternehmenswebsite planen, ist es am günstigsten, diese Arbeit zu erledigen, bevor das Design beginnt.
Welche personenbezogenen Daten werden erhoben?
Der erste Schritt zur Konformität ist ein Verzeichnis. Ohne schriftlich festzuhalten, welche Daten Ihre Website an welcher Stelle zu welchem Zweck erhebt, lässt sich kein korrekter Text erstellen. Die meisten Unternehmen denken nur ans Formular; doch auch im Hintergrund laufende Drittanbieter-Tools sammeln Daten.
| Erhebungsstelle | Typische Daten | Worauf Sie achten sollten |
|---|---|---|
| Kontakt- / Angebotsformular | Name, Telefon, E-Mail, Nachricht | Nur nötige Felder abfragen |
| Newsletter-Anmeldung | E-Mail-Adresse | Einwilligung zu Werbenachrichten gesondert einholen |
| Analyse-Tool | Cookie-Kennung, IP, Verhaltensdaten | Nicht notwendiges Cookie; Einwilligung nötig |
| Werbe-Pixel | Cookie-Kennung, Conversion-Daten | Darf nicht vor der Einwilligung laufen |
| Live-Support / WhatsApp | Name, Telefon, Inhalt der Korrespondenz | Im Informationstext nennen |
| Serverprotokolle | IP-Adresse, Zugriffszeit | Aufbewahrungsfrist festlegen |
Was muss der Informationstext enthalten?
Der Informationstext ist die Unterrichtung, die dem Besucher bei der Datenerhebung gegeben wird; er braucht keine Zustimmung, es genügt, dass er lesbar und zugänglich ist. Meist steht er im unteren Seitenbereich und bei jedem Formular als Link.
Der Text muss nicht in endlosem Juristendeutsch verfasst sein. Schlichte Sätze, die der Besucher versteht, schaffen Vertrauen und entsprechen dem Transparenzgrundsatz, den das Gesetz verlangt.
Die Platzierung ist mindestens so wichtig wie der Inhalt. Direkt unter dem Formular sollte ein klarer Link wie »Informationstext zur Verarbeitung Ihrer personenbezogenen Daten« stehen; er sollte in einem neuen Tab öffnen und darf nicht dazu führen, dass der Besucher seine eingegebenen Angaben verliert. Ein Text, der sich auch auf dem Smartphone bequem lesen lässt, überzeugt weit mehr als eine kleingedruckte, gedrängte Seite.
Auch das Antragsrecht der betroffenen Person muss an einen konkreten Kanal gebunden sein. Der Besucher muss wissen, wohin er schreiben kann, wenn er die Löschung oder Berichtigung seiner Daten verlangt; das Unternehmen muss diese Anträge verfolgen und innerhalb der gesetzlichen Frist beantworten können.
- Identität und Kontaktdaten des Verantwortlichen
- Zu welchem Zweck die Daten verarbeitet werden
- An wen und zu welchem Zweck die Daten übermittelt werden können
- Erhebungsmethode und Rechtsgrundlage
- Gesetzliche Rechte der betroffenen Person und Weg zur Antragstellung
Wie richtet man einen Cookie-Hinweis ein?
Cookies werden in solche unterteilt, die für den Betrieb der Website nötig sind, und solche für Analyse, Personalisierung oder Werbung. Nach dem Cookie-Leitfaden der Behörde ist für notwendige Cookies keine Einwilligung erforderlich, während andere Cookies nicht vor der Einwilligung des Besuchers ausgeführt werden dürfen.
Der häufigste Fehler ist hier, den Hinweis anzuzeigen, Analyse- und Werbecode aber schon beim Seitenaufruf zu laden. Bei korrekter Einrichtung greift dieser Code erst nach der Einwilligung; lehnt der Besucher ab, wird er gar nicht geladen.
Merkmale eines guten Cookie-Banners
- Die Optionen Akzeptieren und Ablehnen müssen gleich sichtbar sein
- Eine Auswahl nach Kategorien (Analyse, Marketing) muss möglich sein
- Keine vorab angekreuzten Kontrollkästchen
- Der Besucher muss seine Auswahl später leicht ändern können
- Das Fenster darf den Seiteninhalt nicht unbenutzbar machen
Seite zur Cookie-Richtlinie
Neben dem Cookie-Fenster gibt es eine ausführliche Seite zur Cookie-Richtlinie. Dort werden Art, Zweck, Speicherdauer und Drittanbieter der verwendeten Cookies aufgelistet; mit jedem neuen Tool wird die Liste aktualisiert.
Wann ist eine Einwilligung nötig?
Die ausdrückliche Einwilligung ist eine auf einen bestimmten Gegenstand bezogene, informierte und freiwillig erteilte Zustimmung. Gibt es keine andere im Gesetz genannte Rechtsgrundlage (etwa Vertragsabschluss, rechtliche Verpflichtung, berechtigtes Interesse), ist für die Datenverarbeitung eine ausdrückliche Einwilligung erforderlich.
Eine wichtige Regel: Die ausdrückliche Einwilligung darf nicht zur Vorbedingung einer Leistung gemacht werden. Den Besucher zu einer Werbeeinwilligung zu zwingen, damit er das Formular absenden kann, widerspricht dem Grundsatz der Freiwilligkeit. Informationstext und Einwilligungstext sollten auch nicht in einem Kästchen zusammengefasst werden.
Für Newsletter und Kampagnennachrichten gilt zusätzlich das Recht der kommerziellen elektronischen Nachrichten. Klären Sie gemeinsam mit Ihrem Rechtsberater auch, wie diese Einwilligungen eingeholt und dokumentiert werden.
Formulare und Datensicherheit
Konformität besteht nicht nur aus Texten; das Gesetz erwartet vom Verantwortlichen technische und organisatorische Maßnahmen zur Datensicherheit. Auf Seiten der Website werden die meisten dieser Maßnahmen in der Phase von Webdesign und Softwareentwicklung aufgebaut; sie nachträglich zu ergänzen ist schwierig und teuer.
Schwache Panel-Passwörter machen selbst den besten Text sinnlos. Zu den grundlegenden Maßnahmen gehören bei Administratorkonten die Gewohnheit, starke Passwörter zu erstellen, sowie die Schulung der Mitarbeitenden, Phishing-Angriffe zu erkennen, um sie gegen gefälschte E-Mails zu sensibilisieren.
- HTTPS und gültiges SSL-Zertifikat auf allen Seiten
- Datenminimierung in Formularen: Felder, die für den Zweck nicht nötig sind, werden nicht abgefragt
- Übertragung der Formulardaten über eine verschlüsselte Verbindung und Speicherung ohne unbefugten Zugriff
- Zugriff auf den Verwaltungsbereich personenbezogen und mit Zwei-Faktor-Authentifizierung beschränken
- Löschung alter Anfragen nach Ablauf der festgelegten Frist
Drittanbieter-Tools und Datenübermittlung
Die meisten Analyse-, Karten-, Video-, Chat- und Werbe-Tools senden Daten an Server im Ausland. Die Bestimmungen der KVKK zur Datenübermittlung ins Ausland wurden 2024 geändert; welcher Übermittlungsmechanismus für Sie geeignet ist, sollte eine Fachperson beurteilen.
Ein praktischer Ansatz ist, jedes Tool von der Website zu entfernen, das nicht wirklich genutzt wird. Dieser Schritt senkt den Aufwand für die Konformität und lässt die Seite zugleich schneller laden; weniger Drittanbieter-Code bedeutet weniger Datenfluss. Ein schlanker, sauberer Code ist auch für ein SEO-optimiertes Webdesign von Vorteil. Wenn Sie Werbe- und Messkonzept gemeinsam mit Ihrem Online-Marketing-Plan angehen, gleicht das beide Seiten aus.
Checkliste für die Konformität
Bei der Prüfung Ihrer bestehenden Website können Sie der folgenden Reihenfolge folgen. Jeder Schritt bildet die Grundlage für den nächsten. Für einen breiteren Sicherheitsrahmen werfen Sie auch einen Blick auf unseren Beitrag zu IT-Sicherheitsmaßnahmen.
- Listen Sie alle Stellen der Datenerhebung und alle Drittanbieter-Codes der Website auf
- Legen Sie für jede Stelle Zweck, Rechtsgrundlage und Aufbewahrungsfrist fest
- Lassen Sie Informationstext und Cookie-Richtlinie in einfacher Sprache erstellen
- Richten Sie das Cookie-Fenster so ein, dass vor der Einwilligung kein Code geladen wird
- Entfernen Sie unnötige Felder in Formularen und trennen Sie die Kontrollkästchen
- Prüfen Sie technische Maßnahmen wie HTTPS, Zugriff auf den Verwaltungsbereich und Backups
- Richten Sie für Anträge betroffener Personen einen E-Mail- oder Formularkanal ein
- Aktualisieren Sie Texte und Cookie-Liste in regelmäßigen Abständen
Häufig gestellte Fragen
01Gilt die KVKK auch für die Website eines kleinen Unternehmens?
Ja. Das Gesetz fragt nicht nach der Größe des Unternehmens, sondern danach, ob personenbezogene Daten verarbeitet werden. Schon ein Kontaktformular oder ein Analyse-Tool begründet die Informationspflicht; manche Pflichten wie die VERBİS-Registrierung (das Register der Datenverantwortlichen in der Türkei) hängen zusätzlich von bestimmten Voraussetzungen ab.
02Genügt es, einen fertigen Cookie-Text zu kopieren?
Das genügt nicht. Der Text muss die Cookies und Tools beschreiben, die auf Ihrer Website tatsächlich verwendet werden. Ein von einer anderen Website übernommener Text kann sowohl unvollständige als auch falsche Angaben enthalten.
03Darf ich Besucher aussperren, die keine Cookies akzeptieren?
Es wird erwartet, dass ein Besucher, der nicht notwendige Cookies ablehnt, die Website trotzdem nutzen kann. Die Einwilligung zur Voraussetzung für den Zugang zu machen, kann dem Grundsatz der Freiwilligkeit widersprechen; fragen Sie für Ihren Fall Ihren Rechtsberater.
04Wer sollte den Informationstext erstellen?
Der Inhalt des Textes ist eine rechtliche Bewertung, und es wird empfohlen, ihn von einem Anwalt oder einer KVKK-Beratung erstellen zu lassen. Das Softwareteam liefert dafür die Grundlage, indem es vollständig berichtet, welche Daten wo erhoben werden und welche Tools laufen.
KVKK-Konformität entsteht durch ein sauberes Verzeichnis, schlichte Texte, Cookies, die erst nach der Einwilligung laufen, und solide technische Maßnahmen. Wir von Aurora Yazılım planen bei Projekten für eine Unternehmenswebsite Cookie-Einwilligung, Formularfreigaben und die Platzierung der Texte von Anfang an und empfehlen, rechtliche Texte von einer Fachperson prüfen zu lassen. Um Ihre Website gemeinsam durchzugehen, erreichen Sie uns über unsere Kontaktseite.
