I. Einleitung
Der Beschluss der türkischen Datenschutzbehörde vom 22. Juli 2026, Nr. 2026/1491, wurde im türkischen Amtsblatt vom 13. August 2026, Nr. 33339, veröffentlicht. Mit dem Beschluss wurde die Umsetzungsfrist für die Verifizierung der Nutzung von Kundenkarten durch Dritte bis zum 28. Februar 2027 verlängert.
Die verlängerte Frist war im Grundsatzbeschluss der Behörde vom 11. Februar 2026, Nr. 2026/266, vorgesehen. Der im Amtsblatt vom 28. Februar 2026, Nr. 33182, veröffentlichte Grundsatzbeschluss verlangt, Praktiken einzustellen, die es Dritten ermöglichen, die Mobiltelefon- oder Kundenkartennummer eines Karteninhabers während eines Einkaufs ohne Verifizierung zu verwenden. Verantwortliche müssen geeignete Verfahren einrichten, mit denen überprüft wird, ob die Transaktion mit Wissen und Zustimmung des Karteninhabers erfolgt.
Der Grundsatzbeschluss räumte den Verantwortlichen ab seiner Veröffentlichung im Amtsblatt eine sechsmonatige Frist zur Einrichtung dieser Verfahren ein, die am 28. August 2026 enden sollte. Auf entsprechende Anträge aus der Wirtschaft verlängerte der Beschluss Nr. 2026/1491 ausschließlich das Ende dieser Umsetzungsfrist auf den 28. Februar 2027. Die rechtliche Beurteilung, das Ziel der Verifizierung sowie die im Grundsatzbeschluss vorgesehenen technischen und organisatorischen Maßnahmen bleiben unverändert.
II. Anwendungsbereich und Rechtsgrundlage des Grundsatzbeschlusses
Verifizierungspflichtige Transaktionen
Der Grundsatzbeschluss Nr. 2026/266 befasst sich mit der Praxis, dass ein Dritter dem Kassenpersonal die Mobiltelefon- oder Kundenkartennummer eines Karteninhabers nennt und der Einkauf ohne dessen Mitwirkung dem Kundenkonto des Karteninhabers zugeordnet wird. Die Behörde stellte fest, dass diese Methode zur Inanspruchnahme von Rabatten und Werbeaktionen oder zum Sammeln von Punkten verwendet wurde und dass Einkaufsdaten – in manchen Fällen auch eine Rechnung – dem Karteninhaber zugeordnet werden konnten. Die Erfassung einer Transaktion, die der Karteninhaber weder selbst vorgenommen hat noch kennt, in seinem Kundenkonto ist mit dem Grundsatz, dass personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein müssen, nicht vereinbar.
Nach Auffassung der Behörde kann eine derart durchgeführte Verarbeitung auf keine der Verarbeitungsvoraussetzungen nach Artikel 5 des türkischen Gesetzes Nr. 6698 über den Schutz personenbezogener Daten gestützt werden. Eine Bestimmung in der Kundenkartenvereinbarung, die die Nutzung der Karte durch Dritte untersagt, befreit den Verantwortlichen nicht von seinen Datensicherheitspflichten nach Artikel 12. Die alleinige Übertragung der Verantwortung auf den Karteninhaber kann ein Verifizierungsverfahren daher nicht ersetzen.
Von der Verifizierung erfasste Transaktionen
Die Verifizierungspflicht nach dem Grundsatzbeschluss beschränkt sich nicht auf die Einlösung gesammelter Punkte. Sie gilt für die unterschiedlichen Zwecke, zu denen eine Kundenkarte während eines Einkaufs eingesetzt wird, einschließlich der Einrichtung einer Mitgliedschaft, des Sammelns von Punkten und der Inanspruchnahme eines Rabatts oder einer Werbeaktion. Bei jeder dieser Transaktionen ist zu verifizieren, ob sie mit Wissen und Zustimmung des Karteninhabers vorgenommen wurde.
Für sämtliche Transaktionsarten muss nicht dasselbe Verifizierungsverfahren verwendet werden. Verantwortliche können abhängig von Art und Risiko der jeweiligen Transaktion unterschiedliche Verfahren für die Verifizierung einer Mitgliedschaft, das Sammeln von Punkten oder Rabatten sowie die Einlösung von Punkten wählen. Im Rahmen der Umsetzung sollten zunächst die Transaktionen und Kanäle ermittelt werden, über die die Kundenkarte verwendet wird. Anschließend ist jeder Transaktion ein geeignetes Verifizierungsverfahren zuzuordnen.
III. Ausgestaltung des Verifizierungsverfahrens
Alternative und risikogerechte Verfahren
Der Grundsatzbeschluss schreibt kein bestimmtes technisches Verfahren vor. Als bekannte Beispiele für Verifizierungsverfahren nennt er unter anderem per SMS übermittelte Einmalcodes sowie Barcodes oder QR-Codes, die über eine mobile Anwendung bereitgestellt werden. Verantwortliche können alternative Verfahren anbieten, um Unterschieden hinsichtlich Alter, Bildungsstand, wirtschaftlicher Verhältnisse und digitaler Kompetenz Rechnung zu tragen. Ebenso können für die Verifizierung der Mitgliedschaft, das Sammeln von Punkten, die Inanspruchnahme von Rabatten und die Einlösung von Punkten je nach bestehendem Risiko unterschiedliche Kontrollen eingesetzt werden.
Die gewählten Verfahren müssen eine nachvollziehbare Transaktionsspur schaffen, anhand derer belegt werden kann, dass ein bestimmter Einkauf mit Wissen und Zustimmung des Karteninhabers erfolgte. Kann das Kundenbindungsprogramm an einer stationären Kasse, über eine Website oder mobile Anwendung, über ein Callcenter oder über einen anderen Kanal genutzt werden, muss jeder tatsächlich für eine Nutzung durch Dritte anfällige Ablauf anhand desselben Kontrollziels geprüft werden. Eine starke Verifizierung in einem Kanal gleicht eine unbefugte Nutzung über einen anderen Kanal mit schwächeren Schutzmaßnahmen nicht aus.
Abgrenzung zwischen Transaktionsverifizierung und ausdrücklicher Einwilligung
Die im Grundsatzbeschluss verwendete Formulierung „mit Wissen und Zustimmung der betroffenen Person“ bezieht sich auf die Verifizierung, ob eine Transaktion, bei der die Kundenkarte oder Mitgliedsdaten durch einen Dritten verwendet werden, mit Wissen und Zustimmung des Karteninhabers durchgeführt wurde. Dem Kunden muss daher klar mitgeteilt werden, welcher Einkauf oder welche Kontotransaktion mit dem Code oder einem anderen Verifizierungsverfahren bestätigt wird.
Die Zustimmung des Karteninhabers zu einer bestimmten Transaktion darf nicht als allgemeine ausdrückliche Einwilligung in andere Verarbeitungen personenbezogener Daten innerhalb des Kundenbindungsprogramms behandelt werden. Die Transaktionsverifizierung ersetzt nicht die ausdrückliche Einwilligung, die für Marketing, Profilbildung, kommerzielle elektronische Kommunikation oder andere einwilligungspflichtige Verarbeitungsvorgänge gesondert eingeholt werden muss. Auch der Grundsatzbeschluss der Behörde vom 10. Juni 2025, Nr. 2025/1072 (Amtsblatt vom 26. Juni 2025, Nr. 32938), stellt klar, dass rechtlich unterschiedliche Handlungen – etwa die Zustimmung zu einer Mitgliedschaftsvereinbarung, die Erteilung einer ausdrücklichen Einwilligung und die Zustimmung zu kommerzieller elektronischer Kommunikation – nicht in einem einzigen SMS-Verifizierungscode gebündelt werden dürfen. Darüber hinaus muss der betroffenen Person der Zweck des Codes erläutert werden. Jede dieser Handlungen ist über einen gesonderten Auswahl- und Dokumentationsprozess abzuwickeln, der ihrem jeweiligen Zweck und ihren rechtlichen Voraussetzungen entspricht.
IV. Dokumentation, Verträge und organisatorische Maßnahmen
Verifizierungsnachweise und Prozessverantwortung
Ebenso wichtig wie die Funktionsfähigkeit des Verifizierungsverfahrens ist die Möglichkeit, einen Verifizierungsvorgang nachträglich nachvollziehbar zu erläutern. Der Verantwortliche sollte ein verhältnismäßiges Dokumentationssystem einrichten, aus dem der Kanal, der Zeitpunkt und die Art der Transaktion, das verwendete Verifizierungsverfahren und dessen Ergebnis sowie etwaige Fehler- oder Ausnahmeabläufe hervorgehen. Anstatt den vollständigen Verifizierungscode oder für die Transaktion nicht erforderliche personenbezogene Daten zu speichern, sollten begrenzte Nachweise aufbewahrt werden, die belegen, dass die Kontrolle erfolgreich abgeschlossen wurde und welche Regel für das Ergebnis maßgeblich war.
Der Grundsatzbeschluss Nr. 2026/266 schreibt weder ein bestimmtes Protokollformat noch eine bestimmte Aufbewahrungsfrist vor. Umfang und Dauer der Aufbewahrung sollten unter Berücksichtigung des Verarbeitungszwecks innerhalb des Kundenbindungsprogramms, des Transaktionsrisikos, der Anforderungen an das Streitfall- und Datenschutzverletzungsmanagement sowie der allgemeinen Aufbewahrungs- und Löschrichtlinie des Verantwortlichen festgelegt werden. Rechts- und Datenschutzteams sollten die einschlägigen Verarbeitungsvoraussetzungen und Nachweisanforderungen bestimmen, während die Technologieteams für die technischen Kontrollen und die operativen Teams für die Abläufe an der Kasse und im Kundenservice verantwortlich sein sollten.
Technologieanbieter und Kontrolle
Werden personenbezogene Daten nach Artikel 12 des Gesetzes Nr. 6698 im Auftrag des Verantwortlichen durch eine andere natürliche oder juristische Person verarbeitet, sind der Verantwortliche und der Auftragsverarbeiter für die Ergreifung der erforderlichen Maßnahmen gemeinsam verantwortlich. Der Einsatz externer Anbieter für die Kundenbindungsplattform, Nachrichtendienste, mobile Anwendung, das Kundenbeziehungssystem oder die Callcenter-Infrastruktur befreit den Händler daher nicht von seinen Kontroll- und Prüfungspflichten.
In Verträgen mit Dienstleistern sollten die Rollen innerhalb des Verifizierungsablaufs, Zugriffsrechte, das Änderungsmanagement, die Meldung von Sicherheitsvorfällen, der Einsatz weiterer Auftragsverarbeiter, die Bereitstellung von Aufzeichnungen und Prüfungsrechte eindeutig geregelt werden. Die Service-Level-Zusagen des technischen Anbieters sollten nicht nur die Verfügbarkeit des Systems abdecken, sondern auch Kontrollen, die eine Zuordnung der Verifizierung zum falschen Konto verhindern, sowie die Nachweise, die zur Berichtigung einer fehlerhaften Transaktion erforderlich sind.
Regelmäßige Schulungen des Kassen- und Kundenservicepersonals stellen eine eigenständige organisatorische Maßnahme dar. Die Beschäftigten sollten zwischen dem Zweck eines Codes zur Transaktionsverifizierung und dem Verfahren zur Einholung einer Marketingeinwilligung unterscheiden können. Sie sollten den Code nicht anstelle des Kunden eingeben, bei Ausnahmefällen das festgelegte Freigabeverfahren nutzen und eine Transaktion nach fehlgeschlagener Verifizierung nicht über ein anderes Konto abschließen.
V. Umsetzung bis zum 28. Februar 2027
Der Beschluss Nr. 2026/1491 ändert ausschließlich das Ende der Umsetzungsfrist. Die rechtliche Beurteilung, das Ziel der Verifizierung sowie die im Grundsatzbeschluss Nr. 2026/266 vorgesehenen technischen und organisatorischen Maßnahmen bleiben unverändert. Die Fristverlängerung bietet jedoch keine Grundlage dafür, die unverifizierte Nutzung durch Dritte dauerhaft fortzusetzen. Der zusätzliche Zeitraum sollte genutzt werden, um kanalübergreifende Systeme zu konzipieren, einzuführen und nachweisbar zu testen.
In der ersten Phase sollten sämtliche Kanäle, Transaktionsarten, Datenflüsse und Dienstleister erfasst werden, die bei der Nutzung der Kundenkarte eine Rolle spielen. Der Verantwortliche sollte feststellen, welche Transaktionen allein anhand einer Telefon- oder Kartennummer abgeschlossen werden können, welche Daten dem Konto des Karteninhabers zugeordnet werden und wer bestehende Ausnahmefälle genehmigt. Dieses Verzeichnis sollte die Entscheidung darüber unterstützen, ob risikoreichere Vorgänge wie die Einlösung von Punkten oder Änderungen am Konto und risikoärmere Abläufe wie das Sammeln von Punkten derselben Kontrolle unterliegen sollen.
In der nächsten Phase sollten die Verifizierungsoptionen, barrierearmen Alternativen und Kundeninformationen genehmigt werden. Anschließend sollten Ende-zu-Ende-Tests an der stationären Kasse, im E-Commerce, in der mobilen Anwendung und in den Supportkanälen durchgeführt werden. Die Tests sollten nicht nur erfolgreiche Transaktionen abdecken, sondern auch falsche Codes, Zeitüberschreitungen, Kunden ohne Zugriff auf das registrierte Gerät, Erstattungen, Stornierungen, Kontoberichtigungen und Dienstunterbrechungen. Danach sollten Verträge mit Dienstleistern, Arbeitsanweisungen für Beschäftigte, Verfahren für das Vorfallmanagement und Prüfungsnachweise vervollständigt werden, damit das Produktivsystem vor dem 28. Februar 2027 validiert ist.
Werden Verantwortliche dabei festgestellt, dass sie entgegen dem Gesetz Nr. 6698 weiterhin entsprechende Praktiken anwenden, ohne die im Grundsatzbeschluss festgelegten Maßnahmen zu ergreifen, werden gegen sie Maßnahmen nach Artikel 18 eingeleitet. Diese Verknüpfung mit der Durchsetzung bedeutet, dass die Umsetzungsakte mehr als bloße Richtliniendokumente enthalten sollte: Sie sollte die Funktionsfähigkeit der technischen Kontrolle, Schulungsnachweise, Testergebnisse und Prüfungsnachweise belegen.
VI. Gesamtbewertung
Die Verifizierungspflicht bei Kundenkarten ist eine Datensicherheitsmaßnahme, die verhindern soll, dass ein ohne Wissen des Karteninhabers vorgenommener Einkauf dessen Transaktionshistorie, Punkteguthaben oder auf seinen Namen ausgestellten Belegen zugeordnet wird. Die Behörde verlangt kein bestimmtes Verifizierungsinstrument und lässt alternative Verfahren für unterschiedliche Personengruppen und Transaktionsrisiken zu. Es genügt jedoch weder, einen für die Nutzung durch Dritte anfälligen Kanal ohne Verifizierung zu belassen, noch, die gesamte Verantwortung über die Mitgliedschaftsvereinbarung auf den Kunden zu übertragen.
Die bis zum 28. Februar 2027 abzuschließenden Arbeiten sollten die Trennung der Transaktionsbestätigung von Verfahren zur Einholung ausdrücklicher Einwilligungen, die Prüfung sämtlicher Nutzungskanäle, die Einrichtung verhältnismäßiger Verifizierungsnachweise, die Aktualisierung der Verträge mit Auftragsverarbeitern und die Schulung der operativen Teams umfassen. Compliance bedeutet daher, im gesamten Kundenbindungsprogramm eine rechtmäßige und prüffähige Transaktionsspur einzurichten, anstatt lediglich zum Ende der Frist eine Codeabfrage einzuführen.
Diese Übersetzung dient ausschließlich Informationszwecken und kann vom Originaltext abweichen.
