I. Einführung
Der Beschluss Nr. 2026/1301 der türkischen Datenschutzbehörde vom 1. Juli 2026 wurde im Amtsblatt vom 28. Juli 2026 mit der Nummer 33323 als Grundsatzbeschluss über die Online-Weitergabe personenbezogener Daten durch Verantwortliche mit öffentlich-rechtlicher Rechtspersönlichkeit veröffentlicht. Er betrifft personenbezogene Daten, die von öffentlichen Einrichtungen, Gemeinden, besonderen Provinzverwaltungen, Universitäten und anderen Verantwortlichen mit öffentlich-rechtlicher Rechtspersönlichkeit auf Websites, in sozialen Medien und über vergleichbare Kanäle veröffentlicht werden. Der Beschluss sieht weder eine gesonderte Übergangsfrist noch eine feste Anzahl von Tagen vor. Er verlangt vielmehr, dass bestehende Veröffentlichungen „dringend“ und damit ohne Verzögerung überprüft werden.
Die Online-Veröffentlichung eines Dokuments, das personenbezogene Daten enthält, legt diese Daten offen und macht sie Dritten zugänglich. Die Behörde behandelt daher bereits die Veröffentlichung als Verarbeitung personenbezogener Daten. Allein der Umstand, dass ein Dokument mit den gesetzlichen Aufgaben einer öffentlichen Stelle zusammenhängt, rechtfertigt es nicht, das Dokument vollständig im frei zugänglichen Internet zu veröffentlichen. Jede Veröffentlichung muss auf einer Verarbeitungsvoraussetzung nach dem Gesetz Nr. 6698 über den Schutz personenbezogener Daten beruhen und zugleich den allgemeinen Verarbeitungsgrundsätzen entsprechen. Hierzu gehören insbesondere Rechtmäßigkeit und Verarbeitung nach Treu und Glauben, Richtigkeit, festgelegte und legitime Zwecke, Datenminimierung sowie die Aufbewahrung nur für den gesetzlich oder durch den Verarbeitungszweck erforderlichen Zeitraum.
Der Grundsatzbeschluss richtet sich unmittelbar an Verantwortliche mit öffentlich-rechtlicher Rechtspersönlichkeit. Er begründet weder eine allgemeine und unmittelbar geltende Veröffentlichungsregel für privatrechtliche Unternehmen noch eine eigenständige Verpflichtung privater Dienstleister. Sein Adressatenkreis ist daher auf öffentlich-rechtliche Verantwortliche begrenzt.
II. Anwendungsbereich des Beschlusses und rechtliche Einordnung der Online-Veröffentlichung
Der Grundsatzbeschluss beschränkt sich nicht auf die Überprüfung von Websites und Konten in sozialen Medien. Dieselben Maßstäbe sind auch einzuhalten, wenn personenbezogene Daten in der internen oder institutionenübergreifenden Korrespondenz, in E-Mails, Bekanntmachungen, geschlossenen elektronischen Umgebungen sowie an Anschlag- und Mitteilungstafeln weitergegeben werden. Neben der Prüfung öffentlich zugänglicher Inhalte ist daher auch die interne und zugangsbeschränkte Weitergabe gesondert zu überprüfen.
Die von der Behörde festgestellten Veröffentlichungen enthalten weit mehr als Namen und Kontaktdaten. Der Beschluss nennt die Namen der Eltern, das Alter, türkische Identitätsnummern, Adressen, Geburtsorte, Beruf, Fachgebiet, Arbeitsplatz, Amts- oder Berufsbezeichnung, Dienstjahre, Registrierungsnummer, Organisationseinheit, Daten zum Militärdienst und zur Ausbildung, Block- und Parzellenangaben zu Immobilien, die Gegenstand öffentlicher Auslosungen sind, sowie Prüfungs- oder Bewerbungsnummern, KPSS-Ergebnisse, Angaben zum Bestehen oder Nichtbestehen, richtige und falsche Antworten, Studenten- oder Kandidatennummern, Angaben zu fehlenden Unterlagen und den Status als ehemalig verurteilte Person. Die Breite dieser Beispiele zeigt, dass eine Veröffentlichungsprüfung weder auf offensichtliche Identifikatoren noch auf eine einzelne Dokumentenart begrenzt werden kann.
Eine Online-Veröffentlichung birgt ein höheres Datensicherheitsrisiko als die Weitergabe in einer stärker beschränkten Umgebung an einen kleineren Personenkreis. Der Beschluss behandelt den Zugangskanal deshalb als eigenständige Frage der rechtlichen Ausgestaltung. Kann das legitime Ziel dadurch erreicht werden, dass nur Teilnehmer oder ausschließlich die betroffene Person Zugang erhalten, ist die offene Veröffentlichung durch ein zugangskontrolliertes Verfahren zu ersetzen.
III. Verarbeitungsvoraussetzungen, Datenminimierung und Veröffentlichungsdauer
Eine Online-Veröffentlichung muss zunächst auf einer gültigen Verarbeitungsvoraussetzung beruhen. Artikel 5 des Gesetzes Nr. 6698 gilt für gewöhnliche personenbezogene Daten, während Artikel 6 besondere Kategorien personenbezogener Daten regelt. Als Beispiele nennt der Beschluss eine gesetzlich ausdrücklich vorgesehene Verarbeitung und eine Verarbeitung, die erforderlich ist, damit der Verantwortliche eine rechtliche Verpflichtung erfüllen kann. Fehlt eine gültige Verarbeitungsvoraussetzung, dürfen die personenbezogenen Daten nicht online weitergegeben werden.
Das Vorliegen einer Verarbeitungsvoraussetzung erlaubt weder automatisch die Veröffentlichung jedes in einem Dokument enthaltenen Feldes noch einen unbeschränkten Zugang zu dem Dokument. Die Daten sind auf das für den Veröffentlichungszweck erforderliche Mindestmaß zu begrenzen. Kann ein Prüfungsergebnis anhand einer individuellen Kandidatenreferenz zugeordnet werden, wäre die Veröffentlichung einer türkischen Identitätsnummer, der Wohnanschrift, der Telefonnummer, der Namen der Eltern oder sachfremder Personalangaben mit dem Verhältnismäßigkeitsgrundsatz unvereinbar. Der Zusammenhang zwischen jeder Datenkategorie und dem Zweck der Bekanntmachung muss konkret festgestellt werden; er darf nicht allein aus der verwendeten Dokumentenvorlage abgeleitet werden.
Auch die Veröffentlichungsdauer ist Teil derselben Prüfung. Nach dem Beschluss ist der Verfügbarkeitszeitraum anhand der im anwendbaren Recht vorgesehenen oder für den Verarbeitungszweck erforderlichen Dauer festzulegen; anschließend sind die zur Beendigung der Veröffentlichung erforderlichen Schritte vorzunehmen. Eine Rechtsgrundlage für die Bekanntgabe eines Prüfungs-, Auslosungs-, Ernennungs- oder Bewerbungsergebnisses zum maßgeblichen Zeitpunkt rechtfertigt es nicht automatisch, das Dokument über Jahre hinweg in einem offenen Archiv vorzuhalten. Veröffentlichungsdatum, genehmigte Verfügbarkeitsdauer und Entfernungsdatum sollten im selben Nachweis nachvollziehbar sein.
Die Prüfung von Verarbeitungsvoraussetzungen, Datenminimierung und Dauer wird durch Transparenz- und Sicherheitsanforderungen ergänzt. Nach Artikel 10 des Gesetzes Nr. 6698 und dem Kommuniqué über die Verfahren und Grundsätze zur Erfüllung der Informationspflicht muss der Verantwortliche die erforderlichen Informationen bereitstellen und deren Bereitstellung nachweisen können. Artikel 12 verlangt administrative und technische Maßnahmen, die den durch die Online-Veröffentlichung geschaffenen Zugangs- und Weiterverwendungsrisiken Rechnung tragen, sowie interne Prüfungen der Umsetzung des Gesetzes.
IV. Maßnahmen für bestehende Online-Inhalte
Nicht für jedes Dokument ist dieselbe Maßnahme angemessen. Bei bestehenden Veröffentlichungen lässt der Beschluss die Entfernung und die Schwärzung oder eine vergleichbare Anpassung als alternative Reaktionen zu, nachdem die Verarbeitungsvoraussetzung und die Einhaltung der allgemeinen Grundsätze gemeinsam geprüft worden sind. Die Vernichtung ist gesondert zu prüfen, wenn die Gründe für die Verarbeitung entfallen sind. Ein authentifizierter oder beschränkter Zugang betrifft hingegen Ergebnisse, die weiterhin verfügbar sein müssen, ohne öffentlich zugänglich zu bleiben.
Entfernung aus dem Internet
Personenbezogene Daten, für die keine gültige Verarbeitungsvoraussetzung besteht, dürfen nicht online veröffentlicht werden; eine bestehende Veröffentlichung darf nicht weiterhin öffentlich zugänglich bleiben. Liegen sowohl eine gültige Verarbeitungsvoraussetzung als auch ein fortbestehender rechtmäßiger Veröffentlichungszweck vor, betrifft der Mangel jedoch unnötige Datenfelder oder die Verhältnismäßigkeit nach den allgemeinen Grundsätzen, kann die Reaktion nicht automatisch auf eine einzige Maßnahme reduziert werden. Ob die Entfernung, die Schwärzung oder eine vergleichbare Anpassung angemessen ist, richtet sich nach der Art des Mangels, der Datenkategorie, dem Veröffentlichungszweck, der Verfügbarkeitsdauer und dem Zugangsmodell.
Durch die Entfernung wird das Dokument auf der öffentlichen Website oder im betreffenden sozialen Medium unzugänglich. Daraus folgt nicht zwingend, dass die zugrunde liegende Akte aus dem amtlichen Bestand der öffentlichen Stelle entfernt werden muss. Die weitere Speicherung ist anhand der einschlägigen Aufbewahrungspflichten gesondert zu beurteilen. Die Entfernung eines Dokuments aus dem Internet und die Vernichtung sämtlicher bei der Einrichtung vorhandener Kopien sind daher unterschiedliche Maßnahmen.
Schwärzung und inhaltliche Anpassung
Bestehen eine gültige Verarbeitungsvoraussetzung und ein fortdauernder Zweck, enthält das Dokument aber Angaben, die für diesen Zweck nicht erforderlich sind, kann eine Schwärzung oder eine vergleichbare Anpassung gewählt werden. Eine Schwärzung kann den maßgeblichen Inhalt einer Bekanntmachung erhalten und zugleich eine türkische Identitätsnummer, eine Adresse, eine Telefonnummer, eine Registrierungsnummer oder einen anderen Identifikator ganz oder im erforderlichen Umfang unkenntlich machen. Welche Felder zu schwärzen sind, bestimmt sich nach der jeweiligen Datenkategorie und dem Veröffentlichungszweck. Die Veröffentlichung sämtlicher in einer Standardvorlage enthaltener Felder ersetzt keine Verhältnismäßigkeitsprüfung.
Eine Schwärzung reicht nicht in jedem Fall aus. Lassen sich nicht erforderliche Felder nicht abtrennen, ist die Veröffentlichungsdauer abgelaufen oder ist der offene Zugang mit dem Veröffentlichungszweck unvereinbar, muss der Inhalt entfernt oder das Zugangsmodell geändert werden. Die Schwärzung ist damit eine verfügbare Interventionsform, aber kein allgemeiner Ersatz für die Entfernung.
Vernichtung
Sind die Gründe, die eine Verarbeitung erfordern, entfallen, geht die Prüfung über die Beendigung der Online-Veröffentlichung hinaus. Der Grundsatzbeschluss verweist auf Artikel 7 des Gesetzes Nr. 6698 und die Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten und verlangt die erforderlichen Vernichtungsmaßnahmen. Dabei ist auch zu prüfen, ob für die weitere Speicherung der Daten in anderen Systemen der Einrichtung noch eine Rechtsgrundlage besteht. Die Entfernung der öffentlich zugänglichen Webkopie berechtigt nicht zur unbefristeten Aufbewahrung anderer Kopien, deren Verarbeitungsgrund entfallen ist.
Authentifizierter und beschränkter Zugang
Ein Prüfungs-, Auslosungs- oder vergleichbares Ergebnis muss unter Umständen weiterhin bereitgestellt werden, ohne öffentlich zugänglich zu sein. Ist es erforderlich, dass die Teilnehmer die Ergebnisse der jeweils anderen Teilnehmer überprüfen können, kann der Zugang auf die Teilnehmer der betreffenden Aktivität beschränkt werden. Besteht kein entsprechender Überprüfungsbedarf, kann jeder Person ausschließlich Zugang zu ihrem eigenen Ergebnis gewährt werden. Als geeignete Beispiele nennt der Beschluss passende E-Government-Plattformen und Verfahren zur Identitätsprüfung mittels Zwei-Faktor-Authentifizierung. Das Zugangsmodell ist anhand der Art des Ergebnisses, des Überprüfungsbedarfs, der Datenkategorien und des vorgesehenen Nutzerkreises festzulegen.
V. Gesamtbewertung
Die Umsetzung erfordert mehr als eine einmalige Suche auf den Webdomains und Konten in sozialen Medien. Für jede Veröffentlichung sollten die zuständige Einheit, die Datenkategorien, die Verarbeitungsvoraussetzung, der Veröffentlichungszweck, der Adressatenkreis, Beginn und Ende der Veröffentlichung, der Transparenznachweis, die Maßnahme zur Schwärzung oder Entfernung sowie ihr Abschlussdatum dokumentiert werden. Derselbe Nachweis unterstützt sowohl die dringende Überprüfung bestehender Inhalte als auch eine Prüfung neuer Inhalte vor der Veröffentlichung. Da das Gebot einer Prüfung ohne Verzögerung keine feste gesetzliche Frist nach Kalendertagen festlegt, kommt es auf den Nachweis an, dass die Prüfung ohne Verzögerung eingeleitet und in einem nachvollziehbaren Verfahren durchgeführt wurde.
Der Grundsatzbeschluss verlangt außerdem ausdrücklich Schulungs- und Sensibilisierungsmaßnahmen für Beschäftigte, insbesondere für die für Websites und Plattformen sozialer Medien zuständigen Personen. Die Schulungen sollten durch eine klare Aufgabenverteilung ergänzt werden, aus der hervorgeht, wer eine Veröffentlichung genehmigen darf, welche Dokumentenfelder nicht im offenen Internet veröffentlicht werden dürfen, wie die Veröffentlichungsdauer festgelegt wird und wer eine Entscheidung über Schwärzung oder Entfernung umsetzt. Der Verantwortliche muss zudem die zur Gewährleistung der internen Umsetzung des Gesetzes erforderlichen Prüfungen durchführen oder durchführen lassen.
Die Feststellung, dass die im Beschluss vorgesehenen Maßnahmen nicht getroffen wurden, führt nicht ohne eine Untersuchung automatisch zu einer Verwaltungsgeldbuße. Die Behörde erklärt, dass sie den konkreten Fall im Rahmen ihrer Untersuchungsbefugnisse prüfen und gegen den betreffenden Verantwortlichen Maßnahmen nach Artikel 18 des Gesetzes Nr. 6698 ergreifen wird. Das Durchsetzungs- und Sanktionsrisiko hängt daher vom Inhalt und Umfang der Veröffentlichung, den Datenkategorien, der Verarbeitungsvoraussetzung, dem Zugangsmodell, der Veröffentlichungsdauer sowie den getroffenen administrativen und technischen Maßnahmen ab. Für Verantwortliche mit öffentlich-rechtlicher Rechtspersönlichkeit besteht die praktische Reaktion darin, bestehende Veröffentlichungen ohne Verzögerung zu klassifizieren und für jeden Einzelfall die Rechtsgrundlage für offenen Zugang, beschränkten Zugang, Schwärzung, Entfernung oder Vernichtung zu dokumentieren.
Diese Übersetzung dient ausschließlich Informationszwecken und kann vom Originaltext abweichen.
