Der Beschluss der t\u00fcrkischen Datenschutzbeh\u00f6rde vom 22. Juli 2026, Nr. 2026\/1491, wurde im t\u00fcrkischen Amtsblatt vom 13. August 2026, Nr. 33339<\/a>, ver\u00f6ffentlicht. Mit dem Beschluss wurde die Umsetzungsfrist f\u00fcr die Verifizierung der Nutzung von Kundenkarten durch Dritte bis zum 28. Februar 2027 verl\u00e4ngert.<\/p>\n Die verl\u00e4ngerte Frist war im Grundsatzbeschluss<\/a> der Beh\u00f6rde vom 11. Februar 2026, Nr. 2026\/266, vorgesehen. Der im Amtsblatt vom 28. Februar 2026, Nr. 33182, ver\u00f6ffentlichte Grundsatzbeschluss verlangt, Praktiken einzustellen, die es Dritten erm\u00f6glichen, die Mobiltelefon- oder Kundenkartennummer eines Karteninhabers w\u00e4hrend eines Einkaufs ohne Verifizierung zu verwenden. Verantwortliche m\u00fcssen geeignete Verfahren einrichten, mit denen \u00fcberpr\u00fcft wird, ob die Transaktion mit Wissen und Zustimmung des Karteninhabers erfolgt.<\/p>\n Der Grundsatzbeschluss r\u00e4umte den Verantwortlichen ab seiner Ver\u00f6ffentlichung im Amtsblatt eine sechsmonatige Frist zur Einrichtung dieser Verfahren ein, die am 28. August 2026 enden sollte. Auf entsprechende Antr\u00e4ge aus der Wirtschaft verl\u00e4ngerte der Beschluss Nr. 2026\/1491 ausschlie\u00dflich das Ende dieser Umsetzungsfrist auf den 28. Februar 2027. Die rechtliche Beurteilung, das Ziel der Verifizierung sowie die im Grundsatzbeschluss vorgesehenen technischen und organisatorischen Ma\u00dfnahmen bleiben unver\u00e4ndert.<\/p>\n Der Grundsatzbeschluss Nr. 2026\/266 befasst sich mit der Praxis, dass ein Dritter dem Kassenpersonal die Mobiltelefon- oder Kundenkartennummer eines Karteninhabers nennt und der Einkauf ohne dessen Mitwirkung dem Kundenkonto des Karteninhabers zugeordnet wird. Die Beh\u00f6rde stellte fest, dass diese Methode zur Inanspruchnahme von Rabatten und Werbeaktionen oder zum Sammeln von Punkten verwendet wurde und dass Einkaufsdaten \u2013 in manchen F\u00e4llen auch eine Rechnung \u2013 dem Karteninhaber zugeordnet werden konnten. Die Erfassung einer Transaktion, die der Karteninhaber weder selbst vorgenommen hat noch kennt, in seinem Kundenkonto ist mit dem Grundsatz, dass personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sein m\u00fcssen, nicht vereinbar.<\/p>\n Nach Auffassung der Beh\u00f6rde kann eine derart durchgef\u00fchrte Verarbeitung auf keine der Verarbeitungsvoraussetzungen nach Artikel 5 des t\u00fcrkischen Gesetzes Nr. 6698 \u00fcber den Schutz personenbezogener Daten gest\u00fctzt werden. Eine Bestimmung in der Kundenkartenvereinbarung, die die Nutzung der Karte durch Dritte untersagt, befreit den Verantwortlichen nicht von seinen Datensicherheitspflichten nach Artikel 12. Die alleinige \u00dcbertragung der Verantwortung auf den Karteninhaber kann ein Verifizierungsverfahren daher nicht ersetzen.<\/p>\n Die Verifizierungspflicht nach dem Grundsatzbeschluss beschr\u00e4nkt sich nicht auf die Einl\u00f6sung gesammelter Punkte. Sie gilt f\u00fcr die unterschiedlichen Zwecke, zu denen eine Kundenkarte w\u00e4hrend eines Einkaufs eingesetzt wird, einschlie\u00dflich der Einrichtung einer Mitgliedschaft, des Sammelns von Punkten und der Inanspruchnahme eines Rabatts oder einer Werbeaktion. Bei jeder dieser Transaktionen ist zu verifizieren, ob sie mit Wissen und Zustimmung des Karteninhabers vorgenommen wurde.<\/p>\n F\u00fcr s\u00e4mtliche Transaktionsarten muss nicht dasselbe Verifizierungsverfahren verwendet werden. Verantwortliche k\u00f6nnen abh\u00e4ngig von Art und Risiko der jeweiligen Transaktion unterschiedliche Verfahren f\u00fcr die Verifizierung einer Mitgliedschaft, das Sammeln von Punkten oder Rabatten sowie die Einl\u00f6sung von Punkten w\u00e4hlen. Im Rahmen der Umsetzung sollten zun\u00e4chst die Transaktionen und Kan\u00e4le ermittelt werden, \u00fcber die die Kundenkarte verwendet wird. Anschlie\u00dfend ist jeder Transaktion ein geeignetes Verifizierungsverfahren zuzuordnen.<\/p>\n Der Grundsatzbeschluss schreibt kein bestimmtes technisches Verfahren vor. Als bekannte Beispiele f\u00fcr Verifizierungsverfahren nennt er unter anderem per SMS \u00fcbermittelte Einmalcodes sowie Barcodes oder QR-Codes, die \u00fcber eine mobile Anwendung bereitgestellt werden. Verantwortliche k\u00f6nnen alternative Verfahren anbieten, um Unterschieden hinsichtlich Alter, Bildungsstand, wirtschaftlicher Verh\u00e4ltnisse und digitaler Kompetenz Rechnung zu tragen. Ebenso k\u00f6nnen f\u00fcr die Verifizierung der Mitgliedschaft, das Sammeln von Punkten, die Inanspruchnahme von Rabatten und die Einl\u00f6sung von Punkten je nach bestehendem Risiko unterschiedliche Kontrollen eingesetzt werden.<\/p>\n Die gew\u00e4hlten Verfahren m\u00fcssen eine nachvollziehbare Transaktionsspur schaffen, anhand derer belegt werden kann, dass ein bestimmter Einkauf mit Wissen und Zustimmung des Karteninhabers erfolgte. Kann das Kundenbindungsprogramm an einer station\u00e4ren Kasse, \u00fcber eine Website oder mobile Anwendung, \u00fcber ein Callcenter oder \u00fcber einen anderen Kanal genutzt werden, muss jeder tats\u00e4chlich f\u00fcr eine Nutzung durch Dritte anf\u00e4llige Ablauf anhand desselben Kontrollziels gepr\u00fcft werden. Eine starke Verifizierung in einem Kanal gleicht eine unbefugte Nutzung \u00fcber einen anderen Kanal mit schw\u00e4cheren Schutzma\u00dfnahmen nicht aus.<\/p>\n Die im Grundsatzbeschluss verwendete Formulierung \u201emit Wissen und Zustimmung der betroffenen Person“ bezieht sich auf die Verifizierung, ob eine Transaktion, bei der die Kundenkarte oder Mitgliedsdaten durch einen Dritten verwendet werden, mit Wissen und Zustimmung des Karteninhabers durchgef\u00fchrt wurde. Dem Kunden muss daher klar mitgeteilt werden, welcher Einkauf oder welche Kontotransaktion mit dem Code oder einem anderen Verifizierungsverfahren best\u00e4tigt wird.<\/p>\n Die Zustimmung des Karteninhabers zu einer bestimmten Transaktion darf nicht als allgemeine ausdr\u00fcckliche Einwilligung in andere Verarbeitungen personenbezogener Daten innerhalb des Kundenbindungsprogramms behandelt werden. Die Transaktionsverifizierung ersetzt nicht die ausdr\u00fcckliche Einwilligung, die f\u00fcr Marketing, Profilbildung, kommerzielle elektronische Kommunikation oder andere einwilligungspflichtige Verarbeitungsvorg\u00e4nge gesondert eingeholt werden muss. Auch der Grundsatzbeschluss<\/a> der Beh\u00f6rde vom 10. Juni 2025, Nr. 2025\/1072 (Amtsblatt vom 26. Juni 2025, Nr. 32938), stellt klar, dass rechtlich unterschiedliche Handlungen \u2013 etwa die Zustimmung zu einer Mitgliedschaftsvereinbarung, die Erteilung einer ausdr\u00fccklichen Einwilligung und die Zustimmung zu kommerzieller elektronischer Kommunikation \u2013 nicht in einem einzigen SMS-Verifizierungscode geb\u00fcndelt werden d\u00fcrfen. Dar\u00fcber hinaus muss der betroffenen Person der Zweck des Codes erl\u00e4utert werden. Jede dieser Handlungen ist \u00fcber einen gesonderten Auswahl- und Dokumentationsprozess abzuwickeln, der ihrem jeweiligen Zweck und ihren rechtlichen Voraussetzungen entspricht.<\/p>\n Ebenso wichtig wie die Funktionsf\u00e4higkeit des Verifizierungsverfahrens ist die M\u00f6glichkeit, einen Verifizierungsvorgang nachtr\u00e4glich nachvollziehbar zu erl\u00e4utern. Der Verantwortliche sollte ein verh\u00e4ltnism\u00e4\u00dfiges Dokumentationssystem einrichten, aus dem der Kanal, der Zeitpunkt und die Art der Transaktion, das verwendete Verifizierungsverfahren und dessen Ergebnis sowie etwaige Fehler- oder Ausnahmeabl\u00e4ufe hervorgehen. Anstatt den vollst\u00e4ndigen Verifizierungscode oder f\u00fcr die Transaktion nicht erforderliche personenbezogene Daten zu speichern, sollten begrenzte Nachweise aufbewahrt werden, die belegen, dass die Kontrolle erfolgreich abgeschlossen wurde und welche Regel f\u00fcr das Ergebnis ma\u00dfgeblich war.<\/p>\nII. Anwendungsbereich und Rechtsgrundlage des Grundsatzbeschlusses<\/h2>\n
Verifizierungspflichtige Transaktionen<\/h3>\n
Von der Verifizierung erfasste Transaktionen<\/h3>\n
III. Ausgestaltung des Verifizierungsverfahrens<\/h2>\n
Alternative und risikogerechte Verfahren<\/h3>\n
Abgrenzung zwischen Transaktionsverifizierung und ausdr\u00fccklicher Einwilligung<\/h3>\n
IV. Dokumentation, Vertr\u00e4ge und organisatorische Ma\u00dfnahmen<\/h2>\n
Verifizierungsnachweise und Prozessverantwortung<\/h3>\n