KVKK: Der Unterschied zwischen Datenschutzhinweis und ausdrücklicher Einwilligung

Einer der häufigsten Fehler in Onlineshops ist das Kästchen „Ich habe den Datenschutzhinweis gelesen und stimme zu“ auf der Registrierungs- oder Kassenseite. Es wird in guter Absicht gesetzt, vermischt aber zwei verschiedene Dinge. Der Datenschutzhinweis (Aydınlatma metni) informiert die Kundschaft darüber, wie ihre Daten verarbeitet werden, und erfordert keine Zustimmung. Die ausdrückliche Einwilligung (Açık rıza) ist dagegen eine gesonderte Erlaubnis für eine bestimmte Verarbeitung und wird nur bei Bedarf eingeholt.

In diesem Beitrag erklären wir den Unterschied, wann im E-Commerce was erforderlich ist, welche Fehler häufig vorkommen und wie diese Trennung im Panel von SEPETYA umgesetzt ist.

Der Unterschied in Kürze

Thema	Datenschutzhinweis	Ausdrückliche Einwilligung
Was ist das?	Information darüber, wer die Daten zu welchem Zweck, mit welchen Empfängern und auf welcher Rechtsgrundlage verarbeitet	Eine auf einen bestimmten Sachverhalt bezogene, auf Information beruhende und freiwillig erklärte Einwilligung
Rechtsgrundlage	Gesetz Nr. 6698 Art. 10; Kommuniqué über die Informationspflicht	Gesetz Nr. 6698 Art. 3 und Art. 5
Wann erforderlich?	Immer, wenn Sie personenbezogene Daten verarbeiten, unabhängig von der Rechtsgrundlage	Nur, wenn es keine andere Rechtsgrundlage für die Verarbeitung gibt; etwa bei Marketingnachrichten und nicht notwendigen Cookies
Was tut die Kundin?	Sie liest; eine Zustimmung ist nicht nötig	Sie erteilt sie aus freiem Willen – oder nicht
Wie wird es dargestellt?	Als Text oder Link; kein Zustimmungskästchen	Gesondertes, freiwilliges, nicht vorausgewähltes Kästchen oder Button

Was gehört in den Datenschutzhinweis?

Art. 10 des Gesetzes Nr. 6698 verlangt, dass der Verantwortliche die betroffenen Personen bei der Erhebung zu fünf Punkten informiert: Identität des Verantwortlichen, Zwecke der Verarbeitung, an wen und zu welchem Zweck die Daten übermittelt werden können, Erhebungsmethode und Rechtsgrundlage sowie die Rechte der betroffenen Person nach Art. 11. In Ihrem Shop sind Sie als Verkäufer der Verantwortliche.

Das Kommuniqué über die Informationspflicht (Aydınlatma Tebliği) regelt auch, wie dieser Inhalt zu formulieren ist:

• Die Information erfolgt in jedem Fall, unabhängig davon, ob die Verarbeitung auf ausdrücklicher Einwilligung oder einer anderen Verarbeitungsbedingung beruht (Kommuniqué Art. 5).
• Der Verarbeitungszweck muss bestimmt, eindeutig und legitim sein; allgemeine, vage Formulierungen („und ähnliche Zwecke“) sind unzulässig.
• Die Rechtsgrundlage wird ausdrücklich genannt: welche der Verarbeitungsbedingungen aus Art. 5 des Gesetzes herangezogen wird.
• Übermittlungszweck und Empfängergruppen (etwa Versandunternehmen, Zahlungsinstitute, E-Rechnungs-Anbieter, Infrastrukturanbieter) werden genannt.
• Die Sprache muss verständlich, klar und einfach sein; es dürfen keine unvollständigen oder irreführenden Angaben gemacht werden.
• Ändert sich der Verarbeitungszweck, wird vor dem neuen Zweck erneut informiert.
• Die Beweislast für die erfolgte Information trägt der Verantwortliche.

Wann ist eine ausdrückliche Einwilligung erforderlich?

Art. 5 des Gesetzes besagt, dass personenbezogene Daten ohne ausdrückliche Einwilligung der betroffenen Person nicht verarbeitet werden dürfen, und zählt dann die Fälle auf, in denen keine Einwilligung nötig ist. Dazu gehören die Verarbeitung von Daten der Vertragsparteien, sofern sie unmittelbar mit Abschluss oder Erfüllung eines Vertrags zusammenhängt, die Erforderlichkeit zur Erfüllung einer rechtlichen Verpflichtung und das berechtigte Interesse, sofern Grundrechte und -freiheiten nicht beeinträchtigt werden. In einem Shop sieht das so aus:

• Bestellung und Lieferung: Name, Adresse, Telefon und E-Mail werden für die Zustellung benötigt; dies beruht auf der Vertragserfüllung. Dafür holen Sie keine gesonderte Einwilligung ein, Sie informieren nur.
• Rechnung und Buchhaltung: Beruhen auf einer rechtlichen Verpflichtung.
• Marketingnachrichten: Newsletter, Kampagnen-E-Mail oder SMS sind keine für die Bestellung erforderliche Verarbeitung. Dafür braucht es eine gesonderte Erlaubnis der Kundschaft; bei kommerziellen elektronischen Nachrichten unterliegt diese Erlaubnis zusätzlich den Regeln der türkischen Verordnung über kommerzielle Kommunikation (İYS).
• Cookies: Nach dem Cookie-Leitfaden der KVKK-Behörde benötigen für den Betrieb der Website unbedingt erforderliche Cookies keine Erlaubnis; für Analyse-, Werbe- und Marketing-Cookies ist eine ausdrückliche Einwilligung nötig.

Wenn Sie unsicher sind, auf welcher Bedingung eine Verarbeitung beruht, klären Sie das mit Ihrer Rechtsberatung und schreiben Sie das Ergebnis klar in den Datenschutzhinweis.

Warum ist die Trennung wichtig?

Das Kommuniqué ist eindeutig: Beruht eine Verarbeitung auf ausdrücklicher Einwilligung, werden Informationspflicht und Einholung der Einwilligung getrennt erfüllt (Kommuniqué Art. 5). Ein Kästchen „Ich habe den Datenschutzhinweis gelesen und akzeptiere ihn“ ersetzt also für sich keine ausdrückliche Einwilligung; beides in einem Text oder einem Kästchen zusammenzufassen, verstößt ebenfalls gegen die Regel „getrennt“.

Die im Cookie-Leitfaden der KVKK-Behörde wiedergegebene Bewertung des Datenschutzrats (Beschluss Nr. 2020/173 vom 27.02.2020) erläutert diese Trennung am Beispiel einer Registrierung. Steht in einem Datenschutzhinweis „Mit dem Besuch der Website akzeptieren Sie die hier beschriebenen Praktiken“, entsteht der Eindruck, bei der Information werde zugleich eine ausdrückliche Einwilligung eingeholt. Nach Ansicht des Rats kann es als Verstoß gegen Treu und Glauben ausgelegt werden, eine ausdrückliche Einwilligung einzuholen, obwohl eine andere Rechtsgrundlage besteht; und auch bei einwilligungsbedürftigen Verarbeitungen gilt es nicht als rechtskonform, Information und Einwilligung gemeinsam zu erledigen. Die Einwilligung muss zudem per Opt-in, also durch eine bewusste Handlung der Person, erteilt werden; ein System, das die Zustimmung automatisch annimmt und nur ein späteres Widerrufen erlaubt (Opt-out), genügt nicht.

Bei kommerziellen elektronischen Nachrichten sind die Regeln noch konkreter (Verordnung über kommerzielle Kommunikation Art. 7): Die Zustimmung kann schriftlich, über ein elektronisches Kommunikationsmittel oder über İYS eingeholt werden; die zustimmende Willenserklärung darf im Zustimmungstext nicht vorausgewählt sein; die Zustimmung darf nicht zur Vorbedingung für das Angebot einer Ware oder Dienstleistung gemacht werden; eine Zustimmung darf nicht mit einer an den Empfänger gesendeten Werbenachricht angefragt werden. In einen Vertrag aufgenommene Zustimmungen müssen am Ende des Vertrags unter einer eigenen Überschrift und in mindestens 12 Punkt stehen.

Sechs häufige Fehler

1. Ein Zustimmungskästchen beim Datenschutzhinweis. Der Hinweis ist eine Information; ein Link genügt. Ein Kästchen erweckt den Eindruck, eine Zustimmung sei nötig, und vermischt sich mit der Einwilligung.
2. Alles in einem Kästchen bündeln. Werden Mitgliedschaftsvertrag, Datenschutzhinweis und Marketing-Einwilligung in einem Kästchen zusammengefasst, vermischen sich Vorgänge, die getrennt erfolgen müssen, und es wird schwerer zu zeigen, dass die Einwilligung freiwillig erteilt wurde.
3. Vorausgewählte Kästchen. Bei der Zustimmung zu kommerziellen elektronischen Nachrichten sind vorausgewählte Kästchen ausdrücklich verboten; auch die ausdrückliche Einwilligung muss durch eine aktive Handlung erteilt werden.
4. Marketing-Einwilligung zur Bestellbedingung machen. Die Zustimmung zu Werbenachrichten darf nicht als Vorbedingung für das Angebot eines Produkts verlangt werden.
5. Unbestimmte Zwecke angeben. Allgemeine Formulierungen wie „Verbesserung unserer Dienste und Marketingaktivitäten“ erfüllen die vom Kommuniqué geforderte Bestimmtheit nicht.
6. Die KVKK-Einwilligung für E-Mail und SMS als ausreichend ansehen. Für kommerzielle elektronische Nachrichten wird zusätzlich eine Zustimmung eingeholt und in İYS eingetragen (Verordnung Art. 5 und Art. 7). Einzelheiten im İYS-Leitfaden.

Was wird in Ihrem Shop an welcher Stelle gezeigt?

Stelle	Information	Einwilligung oder Erlaubnis
Registrierungsformular	Link zum Datenschutzhinweis	Freiwillige, nicht vorausgewählte Kästchen (ausdrückliche Einwilligung, Einwilligung in Werbenachrichten)
Kassenseite	Link „Informationen zur Verarbeitung Ihrer personenbezogenen Daten“	Freiwilliges, nicht vorausgewähltes zusätzliches Zustimmungskästchen (etwa für Werbenachrichten)
Newsletter-Formular und Pop-ups	Information unter dem Formular	Einwilligung in Werbenachrichten; Double-Opt-in per E-Mail
Kontaktformular	Hinweis „Die Angaben in diesem Formular werden nur zur Beantwortung Ihrer Anfrage verwendet“ und Link zum Datenschutzhinweis	Nicht erforderlich
Cookie-Banner	Link zur Cookie-Richtlinie	Gesonderte Erlaubnis für Analyse- und Marketingkategorien
Anmeldung mit Social-Media-Konto	Bei der ersten Anmeldung wird der Hinweis aus dem Registrierungsformular angezeigt	Die Zustimmungskästchen des Registrierungsformulars werden ebenfalls angezeigt

SEPETYA hält diese Trennung auch im Panel ein. Der Hinweis im Bereich „Zustimmungskästchen bei der Registrierung“ unter Onlineshop › Kundeneinstellungen lautet: Der Datenschutzhinweis ist eine Information, kein Zustimmungskästchen; die ausdrückliche Einwilligung muss ein gesondertes, freiwilliges Kästchen sein; die Kästchen werden nicht vorausgewählt angezeigt. Zusätzliche Zustimmungskästchen auf der Kassenseite werden unter Zahlungseinstellungen › Kassenseite angelegt und sind ebenfalls nicht vorausgewählt. Im Cookie-Banner werden nicht notwendige Kategorien erst geladen, wenn der Besucher zustimmt.

Erheben Sie Daten maßvoll

Das Gesetz verlangt, dass personenbezogene Daten zweckgebunden, begrenzt und verhältnismäßig sind (Art. 4). Fragen Sie auf der Kassenseite nicht jedes Feld ab, sondern nur das, was für Lieferung und Rechnung wirklich nötig ist. Unter Zahlungseinstellungen › Kassenseite in SEPETYA können Sie Telefon, türkische Identitätsnummer, Postleitzahl und Felder für Firmenrechnungen ausblenden, optional oder verpflichtend machen. Manche Zahlungsanbieter und E-Rechnungs-Integrationen verlangen eine Identitätsnummer; haben Sie keine solche Pflicht, schützt ein ausgeblendetes Feld sowohl die Kundschaft als auch Sie. Nennen Sie für jedes Pflichtfeld in den Zwecken des Datenschutzhinweises, warum es abgefragt wird.

Nachweise und Datenanfragen

Die Beweislast für die erfolgte Information trägt der Verantwortliche; bei Zustimmungen zu Werbenachrichten, die nicht über İYS eingeholt wurden, liegt der Nachweis beim Diensteanbieter. Deshalb müssen Aufzeichnungen geführt werden. SEPETYA speichert die bei der Bestellung erteilte Einwilligung in Werbenachrichten mit IP-Adresse und Browserangaben im Bestelldatensatz; bei Newsletter-Anmeldungen werden die Quelle (Registrierungsformular, Kassenschritt, Pop-up usw.) und der Zeitpunkt der Zustimmung festgehalten. Die Quelle der Einwilligungen auf der Kundenkarte ist gespeichert und wird für İYS-Uploads verwendet.

Betroffene Personen können nach Art. 11 des Gesetzes Auskunft über ihre Daten verlangen sowie Berichtigung und Löschung beantragen; Anträge werden je nach Art des Anliegens so schnell wie möglich, spätestens innerhalb von dreißig Tagen erledigt (Art. 13). Kundinnen und Kunden können aus ihrem Konto Anfragen zum Herunterladen oder Löschen ihrer Daten senden; im Panel sehen Sie diese Anfragen unter Kunden › KVKK-Anfragen, laden die Daten als JSON herunter und schließen Löschanfragen ab. Die personenbezogenen Daten einer Kundin mit Bestellungen werden nicht gelöscht, sondern anonymisiert; Bestell-, Rechnungs- und Vertragsdaten bleiben für die gesetzlichen Aufbewahrungsfristen anonymisiert erhalten. Prüfen Sie die Aufbewahrungsfristen mit Ihrer Rechtsberatung.

Checkliste

• Der Datenschutzhinweis ist über einen Link in Registrierungs-, Kassen-, Kontakt- und Newsletter-Formularen erreichbar; daneben gibt es kein Zustimmungskästchen.
• Der Text nennt Identität des Verantwortlichen, bestimmte Verarbeitungszwecke, Empfängergruppen, Erhebungsmethode, Rechtsgrundlage und die Rechte nach Art. 11.
• Die Zwecke sind konkret, nicht allgemein formuliert („Zustellung der Bestellung“, „Rechnungsstellung“, „Kampagnennachricht, sofern Sie zugestimmt haben“).
• Ausdrückliche Einwilligung und Einwilligung in Werbenachrichten sind getrennte, freiwillige, nicht vorausgewählte Kästchen; keines ist für die Bestellung Pflicht.
• Für jede Kundin, deren Marketing-Einwilligung ich habe, sind Quelle und Zeitpunkt gespeichert.
• Im Cookie-Banner sind nicht notwendige Kategorien standardmäßig deaktiviert, und die Ablehnung ist so sichtbar wie die Annahme.
• Für Datenanfragen ist eine E-Mail- oder KEP-Adresse veröffentlicht; ich beantworte Anträge innerhalb von dreißig Tagen.
• Ich habe den Text an mein Unternehmen angepasst und einer Rechtsberatung vorgelegt.

Nächster Schritt

Wie die Einwilligung bei Cookies eingerichtet wird, erklären wir im Leitfaden zur Cookie-Einwilligung, die Einwilligungsregeln für Marketingnachrichten im İYS-Leitfaden. Die übrigen Rechtsseiten, die auf der Website stehen sollten, finden Sie im Leitfaden zu den 12 Seiten.

Wenn Sie den Ablauf von Information und Einwilligung mit SEPETYA testen möchten, legen Sie Ihr Konto an; Registrierungsformular und Kassenseite können Sie mit den Augen Ihrer Kundschaft prüfen.

Dieser Beitrag ist keine Rechts- oder Steuerberatung.