Audit ist kein Tag,
es ist ein tägliches System.

Nach KVKK haben alle datenverantwortlichen Unternehmen eine Eintragungspflicht im Registerinformationssystem VERBIS. Sie greift bei mehr als 50 Mitarbeitenden pro Jahr oder Jahresbilanz über 100 Mio. TL; unterhalb davon gibt es Ausnahmen, jedoch nicht für Verarbeiter besonderer Kategorien (Gesundheit, Strafregister, Biometrie etc.). Die Eintragung ist nicht einmalig — sie ist bei Änderung der Zwecke zu aktualisieren. Versäumnis kostet 100K-1,5 Mio. TL.

Gleiche Logik, nicht identisch. KVKK trat 2016 in der Türkei, DSGVO 2018 in der EU in Kraft. Viele Grundprinzipien decken sich: Zweckbindung, Datenminimierung, Rechenschaftspflicht. Aber DSGVO ist deutlich strenger — SCCs für Drittstaaten, häufigere DSB-Pflicht, 30-Tage-Antwortfrist, 72h-Meldepflicht, Bußgelder bis 4% des weltweiten Jahresumsatzes. Türkische Firmen mit EU-Präsenz oder Verkauf an EU-Bürger müssen beide anwenden. Unsere Empfehlung: nach DSGVO designen, an KVKK angleichen — nie umgekehrt.

Wenn Sie nicht direkt in die EU verkaufen und EU-Bürger nicht beobachten, gilt DSGVO ggf. nicht direkt. Indirekt aber sehr wohl: EU-Besucher, die ein Formular ausfüllen, EU-Lieferant, dessen Daten Sie verarbeiten, EU-Mitarbeitende — alles berührt DSGVO. Außerdem fordern B2B-Kunden vertraglich oft DSGVO-konformes Niveau. Auf DSGVO-Niveau zu designen, während Sie KVKK erfüllen, erleichtert spätere Kunden-DSFAs erheblich. "Brauchen wir noch nicht" wird später meist teurer.

Ja — KVKK Art. 5/1 und DSGVO Art. 6 + ePrivacy-Richtlinie verbieten Cookies ohne informierte Einwilligung. Für unbedingt erforderliche Cookies (Session, Warenkorb) gibt es eine Ausnahme; Analyse-, Marketing- und Profiling-Cookies brauchen aktiven Opt-In. Banner, das Cookies vor Klick auf "Akzeptieren" lädt, "Weiter"-Link als angebliche Zustimmung, Tracker, die trotz Ablehnung feuern — alles Bußgeldgrund. In der Türkei wurden 2024 Dutzende Marken genau dafür sanktioniert. Korrekt: CMP + GTM-Consent-Mode + jeder Tracker nur hinter dem Consent-Gate.

Nach DSGVO ist ein DSB in drei Fällen Pflicht: öffentliche Stelle, Kerntätigkeit ist groß­flächiges systematisches Monitoring, Kerntätigkeit ist groß­flächige Verarbeitung besonderer Kategorien. Sonst empfohlen, nicht zwingend. KVKK verlangt einen "Kontaktverantwortlichen" — jedes VERBIS-eingetragene Unternehmen muss eine Kontaktperson melden. Die Rolle kann intern besetzt oder als DPO-as-a-Service eingekauft werden; wir betreuen oft Modell zwei. Kein Interessenkonflikt, strukturelle Unabhängigkeit und direkte Berichtslinie zur Geschäftsleitung sind entscheidend.

Innerhalb der EU ist Transfer frei. Außerhalb braucht es einen Transfermechanismus: Länder mit Angemessenheits­beschluss (UK, Schweiz, Japan etc.) oder unterzeichnete Standardvertrags­klauseln (SCC). Für die USA können Sie unter dem EU-US Data Privacy Framework (2023) zertifizierte Anbieter nutzen; für nicht-zertifizierte US-Anbieter SCC + Transfer Impact Assessment (TIA). Von der Türkei in die EU besteht laut KVKK Art. 9 keine "angemessene Schutz"-Entscheidung; Transfer per schriftlicher Zusicherung + Behördengenehmigung oder per ausdrücklicher Einwilligung. Korrektes Setup ist der am häufigsten übersehene Punkt im Audit.

Nach DSGVO sind 72 Stunden Meldung an die Aufsichtsbehörde Pflicht. Bei "hohem Risiko" für Betroffene zusätzlich unverzügliche Information der Betroffenen. KVKK sagt "schnellstmöglich"; in der Praxis interpretiert die Behörde 72 Stunden. Fristversäumnis bringt ein eigenes Bußgeld zusätzlich zum Vorfall — oft die Hälfte des Hauptbußgelds. Unser Runbook: Verdachtsmoment → Triage in 1h → Scope in 4h → offizieller Text in 24h → Meldung + Betroffenenmitteilung in 72h. Ohne vorbereitete Texte, Kontaktliste und Entscheidungs­baum reicht die Zeit nicht.

KVKK-Bußgelder werden jährlich an die Inflation angepasst. Für 2024: Informationspflichtverletzung 47K-940K TL, Datensicherheits­pflichtverletzung 141K-9,4 Mio. TL, Missachtung von Behördenentscheidung 235K-9,4 Mio. TL. DSGVO hat zwei Stufen: leichte Verstöße bis 2% des weltweiten Jahresumsatzes oder 10 Mio. €; schwere Verstöße bis 4% oder 20 Mio. € (je höher). Hinzu kommen Kundenabwanderung, Vertragsstrafen, Reputationsverlust — Vielfaches davon. British Airways wurde 2019 zunächst auf 183 Mio. £ taxiert, reduziert auf 20 Mio. £ — kleinere Firmen überleben das nicht.