I. Einführung
Datenschutzhinweise und Erklärungen über die ausdrückliche Einwilligung werden bei Website-Registrierungen, in mobilen Anwendungen, Mitarbeiterformularen, Treueprogrammen, Patientenunterlagen und Marketingprozessen häufig in einem einzigen Text oder Kontrollkästchen zusammengefasst. Der türkische Rat für den Schutz personenbezogener Daten („Datenschutzrat“) befasste sich mit wiederkehrenden Ausprägungen dieser Praxis im Grundsatzbeschluss Nr. 2026/347 vom 18. Februar 2026, veröffentlicht im türkischen Amtsblatt Nr. 33203 vom 24. März 2026.
Die Trennung von Datenschutzhinweis und ausdrücklicher Einwilligung wurde nicht erst 2026 eingeführt. Bereits seit 2018 verlangt das Kommuniqué über die Verfahren und Grundsätze zur Erfüllung der Informationspflicht getrennte Verfahren, wenn die Verarbeitung auf einer Einwilligung beruht. Auch der Beschluss Nr. 2018/90 des Datenschutzrates unterschied zwischen der Bestätigung, einen Datenschutzhinweis gelesen zu haben, und dem Nachweis einer Einwilligung. Der Grundsatzbeschluss Nr. 2026/347 verdichtet diesen Ansatz zu konkreten Regeln für Formulare und Bildschirmansichten und verknüpft Verstöße ausdrücklich mit den Artikeln 12 und 18 des Gesetzes Nr. 6698 über den Schutz personenbezogener Daten (KVKK).
II. Unterschiedliche rechtliche Funktionen von Datenschutzhinweis und ausdrücklicher Einwilligung
Im Rahmen der Informationspflicht nach Artikel 10 ist die betroffene Person über den Verantwortlichen, die Verarbeitungszwecke, Übermittlungen, die Art und Rechtsgrundlage der Erhebung sowie ihre Rechte zu unterrichten. Die Pflicht gilt unabhängig davon, ob die Verarbeitung auf einer Einwilligung oder einem anderen gesetzlichen Verarbeitungstatbestand beruht. Der Verantwortliche muss die Information vor Beginn der Verarbeitung erteilen, ohne einen Antrag oder eine Zustimmung abzuwarten.
Die ausdrückliche Einwilligung ist nur einer von mehreren möglichen Verarbeitungstatbeständen; sie ist keine allgemeine Erlaubnis, die für jede Tätigkeit eingeholt werden müsste. Eine wirksame ausdrückliche Einwilligung muss sich auf einen bestimmten Gegenstand beziehen, in Kenntnis der Sachlage und freiwillig erteilt werden. Sie darf daher nicht als pauschale Erklärung eingesetzt werden, mit der eine zwingend erforderliche Verarbeitung vermeintlich genehmigt wird, die der Verantwortliche bereits auf eine andere Rechtsgrundlage stützt.
Werden beide Konzepte in einem Kontrollkästchen zusammengeführt, bleibt der Erklärungsgehalt unklar, weil nicht erkennbar ist, ob die Person den Erhalt der Informationen bestätigt oder einer optionalen Verarbeitung zustimmt. Wird eine nicht erforderliche Verarbeitung an eine zwingende Registrierung oder den Abschluss eines Vertrags gekoppelt, kann zudem die Freiwilligkeit der Einwilligung in Zweifel stehen. Eine tragfähige Struktur ordnet jeder Verarbeitungstätigkeit die richtige Rechtsgrundlage zu und sieht nur für solche Tätigkeiten eine gesonderte aktive Erklärung vor, die tatsächlich von einer Einwilligung abhängen.
III. Auswirkungen des Grundsatzbeschlusses auf Formulare und digitale Abläufe
Der Grundsatzbeschluss Nr. 2026/347 verlangt, dass Datenschutzhinweis und Text zur ausdrücklichen Einwilligung als getrennte Texte unter unterschiedlichen Überschriften ausgestaltet werden, sofern die Verarbeitung auf einer Einwilligung beruht. Beide können auf derselben Seite oder Bildschirmansicht erscheinen; auch bei unmittelbarer Abfolge muss jedoch jeder Text eine eigene Überschrift und einen gesonderten Erklärungsmechanismus haben. Ein einziges Kontrollkästchen mit der Erklärung „Ich habe gelesen, verstanden und akzeptiere“ gewährleistet diese Trennung nicht.
Beruht die Verarbeitung auf einem anderen Tatbestand des Gesetzes, sollte der betroffenen Person kein zusätzlicher Einwilligungstext vorgelegt werden. Daten, die etwa für das Zustandekommen oder die Abwicklung einer Bestellung erforderlich sind, haben nicht zwangsläufig dieselbe Rechtsgrundlage wie optionale Marketingmitteilungen. Die erforderliche Verarbeitung ist im Datenschutzhinweis zu erläutern. Beruht Marketing tatsächlich auf einer ausdrücklichen Einwilligung, bedarf dieser Zweck einer eigenen, spezifischen und optionalen Erklärung. Ein Einwilligungskästchen an jeder Erhebungsstelle kann die Analyse der Rechtsgrundlagen durch den Verantwortlichen eher verschleiern als stärken.
Auch jede im Zusammenhang mit einem Datenschutzhinweis verlangte Rückmeldung muss korrekt bezeichnet sein. Ein Verantwortlicher kann dokumentieren, dass der Hinweis gelesen und die Information zur Kenntnis genommen wurde; er sollte die betroffene Person jedoch weder auffordern, den Hinweis zu „genehmigen“, noch in dessen Erläuterungen „einzuwilligen“. Unterschriftsfelder auf Papier sowie Schaltflächen oder Kontrollkästchen in digitalen Oberflächen müssen diesen Unterschied abbilden. Der Nachweis der Information und die aktive Einwilligungserklärung sind sowohl im sichtbaren Nutzerablauf als auch in den zugrunde liegenden Aufzeichnungen getrennt zu halten.
Der Grundsatzbeschluss benennt außerdem die unveränderte Übernahme des Textes eines anderen Verantwortlichen als Risiko. Die Formulierungen müssen die Organisation des Verantwortlichen, die Datenkategorien, Zwecke, Rechtsgrundlagen und Übermittlungen zutreffend abbilden. Unbestimmte Gesetzesverweise, Angaben zu tatsächlich nicht stattfindenden Übermittlungen oder die Annahme, eine Richtlinie erfasse jede Tätigkeit, ergeben keinen zutreffenden, tätigkeitsspezifischen Datenschutzhinweis. Das Gebot der Klarheit und Einfachheit verlangt, die rechtlich erforderlichen Informationen auf die jeweilige Tätigkeit zu begrenzen und verständlich auszudrücken.
IV. Dokumentation, Nachweise und Compliance-Struktur
Die Überprüfung von Formularen und Bildschirmansichten sollte bei den zugrunde liegenden Datenflüssen ansetzen und sich nicht auf isolierte Änderungen an Überschriften beschränken. Ein Verantwortlicher muss für jede Erhebungsstelle feststellen, welche Daten erfasst werden, welcher Verarbeitungstatbestand den jeweiligen Zweck trägt, an wen und zu welchen Zwecken Daten übermittelt werden und welche Systeme betroffen sind. Ohne diese Übersicht können Texte formal getrennt erscheinen und dennoch nicht mit den tatsächlichen Abläufen übereinstimmen. Personalgewinnung, Kundenservice, Marketing und Produktprozesse sollten nicht automatisch in einem allgemeinen Dokument zusammengefasst werden.
Gestufte Datenschutzhinweise können auf mobilen Oberflächen sinnvoll sein, wenn die wesentlichen Informationen auf der ersten Ebene sichtbar und weiterführende Einzelheiten leicht zugänglich sind. Ein bloßer Verweis auf eine allgemeine Datenschutzrichtlinie ersetzt jedoch nicht zwangsläufig einen auf die konkrete Tätigkeit zugeschnittenen Hinweis. Der Datenschutzhinweis muss bei der Datenerhebung zugänglich sein; der gewählte Link, das Pop-up, ein Papierbeiblatt oder ein anderes Medium darf den Zugang zu den Informationen nicht erschweren.
Der Verantwortliche trägt die Nachweislast dafür, dass die Information erteilt und eine etwaige ausdrückliche Einwilligung wirksam eingeholt wurde. Daher sollten die Textfassung, das Datum und der Kanal der Bereitstellung sowie der Umfang einer etwaigen Einwilligung anhand getrennter Aufzeichnungen nachvollziehbar sein. Digitale Systeme dürfen zwei rechtlich unterschiedliche Vorgänge nicht allein deshalb in einem Datensatz zusammenführen, weil sie denselben Zeitstempel haben. Auch papiergebundene Verfahren sollten eine Empfangs- oder Kenntnisnahmebestätigung für den Hinweis von einer Einwilligungserklärung unterscheiden. Die Nachweise müssen verhältnismäßig bleiben und dürfen nicht zur Erhebung unnötiger zusätzlicher personenbezogener Daten führen.
Der Widerruf einer Einwilligung muss sich auch in den betrieblichen Abläufen niederschlagen und darf nicht nur als Aussage im Text erscheinen. Der Widerruf muss das zuständige System erreichen, damit künftige, auf dieser Einwilligung beruhende Verarbeitungen ab Eingang der Widerrufserklärung eingestellt werden. Für Verarbeitungen auf einer anderen Rechtsgrundlage oder aufgrund einer gesetzlichen Aufbewahrungspflicht ist eine gesonderte Prüfung erforderlich. Rechtlich zutreffende Formulierungen im Formular gewährleisten keine operative Compliance, wenn Marketingplattformen, CRM-Systeme, Personalverwaltungssysteme und Dienstleister die Unterscheidung nicht umsetzen können.
V. Branchenbezogene Anwendungsfälle und ausländische Unternehmen
Im E-Commerce und bei digitalen Diensten dürfen die Einrichtung eines Kontos, Bestellabwicklung, Zahlung, Lieferung und notwendige Sicherheitsprüfungen nicht gemeinsam mit optionalem Marketing oder Profiling in einem einzigen Zustimmungsmechanismus gebündelt werden. Der Datenschutzhinweis zur erforderlichen Verarbeitung und eine optionale Erklärung für einen Zweck, der auf einer Einwilligung beruht, sollten als getrennte Schritte ausgestaltet sein. Die Verweigerung der Einwilligung darf für sich genommen den Zugang zu einer Kernleistung, die nicht von dieser Einwilligung abhängt, nicht verhindern.
Treueprogramme und Formulare im Einzelhandel verwenden eine Telefonnummer oder Mitgliedskennung häufig für mehrere Zwecke, darunter Rabatte, Kontoverwaltung, Analysen und kommerzielle Kommunikation. Eine einzige weit gefasste Einwilligung, die ohne Prüfung der Rechtsgrundlage für jeden einzelnen Zweck eingeholt wird, kann die erforderliche Bestimmtheit der Einwilligung beeinträchtigen. Die kompakte Kundenoberfläche und die dahinterliegenden CRM- und Marketingsysteme sollten dieselbe Differenzierung auf Ebene der einzelnen Zwecke aufrechterhalten.
In Einstellungs- und Beschäftigungsverfahren darf eine Unterschrift, mit der das Lesen eines Datenschutzhinweises bestätigt wird, nicht mit einer von Beschäftigten oder Bewerbern verlangten Einwilligung in einer einzigen Erklärung zusammengeführt werden. Bei Gesundheits- und Patientenprozessen ist aufgrund der Art der Daten, der Zugriffsanforderungen und der einschlägigen Verarbeitungstatbestände besondere Sorgfalt geboten. Die unveränderte Verwendung eines Standardformulars in all diesen Kontexten kann rechtlich bedeutsame Unterschiede zwischen Datenkategorien und Zwecken verdecken.
Für ausländische Unternehmensgruppen mit Tätigkeit in der Türkei reicht eine globale oder an der DSGVO ausgerichtete Vorlage möglicherweise nicht aus, wenn sie ohne weitere Prüfung lediglich übersetzt wird. Die Identität des türkischen Verantwortlichen, lokale und konzerninterne Datenflüsse, die tatsächliche Struktur der Datenübermittlungen, der herangezogene Verarbeitungstatbestand nach dem KVKK und die türkischsprachige Nutzerführung sind gemeinsam zu bewerten. Ein Widerspruch zwischen der Konzernrichtlinie und dem lokalen Formular kann sowohl die Richtigkeit des Datenschutzhinweises als auch den Umfang der Einwilligung beeinträchtigen. Den türkischen Ablauf im globalen System als eigenständige rechtliche und produktbezogene Anforderung zu behandeln, ist verlässlicher, als Compliance auf eine Übersetzungsaufgabe zu reduzieren.
VI. Gesamtbewertung
Der Datenschutzrat bewertet die im Grundsatzbeschluss Nr. 2026/347 aufgeführten Anforderungen als nach Artikel 12 Absatz 1 zu treffende administrative und technische Maßnahmen, die eine rechtmäßige Verarbeitung personenbezogener Daten gewährleisten sollen. Zudem erklärt er, dass bei festgestellter Nichteinhaltung nach Artikel 18 vorgegangen werden kann. Das Thema geht daher über die Gestaltung von Formularen oder bloße redaktionelle Präferenzen hinaus.
Zwei Überschriften sind erforderlich, wenn eine Einwilligung eingesetzt wird; allein reichen sie jedoch nicht aus. Eine formale Trennung führt nicht zu wirksamer Compliance, wenn Zwecke, Datenkategorien und Rechtsgrundlagen fehlerhaft zugeordnet sind, Nutzerentscheidungen die Backend-Systeme nicht steuern oder ein Widerruf nicht umgesetzt werden kann. Teams aus Recht, Produkt, Personal, Marketing, IT und operativem Geschäft müssen von derselben Beschreibung des Datenflusses ausgehen.
Nach dem Grundsatzbeschluss Nr. 2026/347 besteht die Priorität nicht darin, jedes bestehende Formular um neue Einwilligungskästchen zu ergänzen. Vielmehr ist zu klären, welche Tätigkeiten tatsächlich auf einer ausdrücklichen Einwilligung beruhen, und der Datenschutzhinweis, die aktive Entscheidung, die Nachweisdokumentation und das Systemverhalten sind an dieser Unterscheidung auszurichten.
Diese Übersetzung dient ausschließlich Informationszwecken und kann vom Originaltext abweichen.
