VERBİS: Das türkische Datenschutzregister im Überblick

Wer in der Türkei personenbezogene Daten verarbeitet — als Unternehmen mit Sitz in Antalya, als ausländische Gesellschaft mit einer türkischen Niederlassung oder als Onlineshop mit türkischen Kunden — muss sich in das Verzeichnis der Verantwortlichen eingetragen haben, bevor auch nur ein Datensatz angelegt wird. Dieses Register heißt VERBİS und beruht auf dem türkischen Datenschutzgesetz KVKK (Kişisel Verilerin Korunması Kanunu). Wer die Registrierungspflicht ignoriert, riskiert ein Bußgeld von bis zu einer Million türkischen Lira.

Was ist VERBİS?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) ist ein öffentlich zugängliches Online-Register, das von der KVKK-Behörde betrieben wird. Artikel 16 des KVKK verpflichtet alle Verantwortlichen, ihr Unternehmen dort anzumelden und offenzulegen, welche Daten sie verarbeiten, zu welchem Zweck, an wen sie diese weitergeben und wie lange sie die Daten aufbewahren.

Jede Person kann das Register kostenlos einsehen. Die Transparenz ist kein Zufall — sie soll betroffenen Personen ermöglichen zu überprüfen, wie Unternehmen mit ihren Daten umgehen, und schafft damit öffentliches Vertrauen in die Datenwirtschaft.

Wer muss sich registrieren?

Registrierungspflichtig ist jeder „Verantwortliche": jede natürliche oder juristische Person, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Das trifft Unternehmen fast jeder Branche — Handel, Immobilien, Gastgewerbe, Gesundheit, Finanzdienstleistungen, Technologie — unabhängig von ihrer Größe.

Auch ausländische Unternehmen ohne physische Präsenz in der Türkei können betroffen sein, wenn sie systematisch personenbezogene Daten türkischer Personen verarbeiten. Sie müssen dann einen in der Türkei ansässigen Vertreter benennen, der die Registrierung und die laufende Kommunikation mit der Behörde stellvertretend übernimmt. Unser Artikel über das umfassende KVKK-Compliance-Rahmenwerk erklärt, in welchem Gesamtgefüge die VERBİS-Pflicht steht.

Die KVKK-Behörde kann bestimmte Verantwortliche auf Grundlage objektiver Kriterien von der Registrierungspflicht befreien — Datenmenge und -art, Sektor, Weitergabe an Dritte, Mitarbeiterzahl, Jahresbilanzsumme. Kleine Betriebe, die nur wenige Datenkategorien für interne Zwecke verarbeiten, können unter eine solche Ausnahme fallen. Im Zweifel ist die Registrierung die rechtssichere Wahl.

Was muss bei der Registrierung angegeben werden?

Artikel 16 KVKK legt fest, welche Informationen eine VERBİS-Meldung enthalten muss:

• Identität und Anschrift des Verantwortlichen; bei Unternehmen ohne Sitz in der Türkei außerdem die Daten des türkischen Vertreters
• Zwecke der Datenverarbeitung
• Kategorien der betroffenen Personen und der verarbeiteten Daten
• Empfänger oder Empfängergruppen, an die Daten übermittelt werden können
• Drittlandübermittlungen und Zielländer
• Technische und organisatorische Schutzmaßnahmen
• Maximale Aufbewahrungsfristen je Datenkategorie

Vor der eigentlichen VERBİS-Meldung ist intern eine Kişisel Veri İşleme Envanteri (Verarbeitungsübersicht) zu erstellen, die alle Verarbeitungstätigkeiten strukturiert erfasst. Die Registrierungsangaben werden aus dieser Übersicht abgeleitet. Änderungen an den gemeldeten Informationen sind binnen sieben Tagen über VERBİS nachzumelden.

Wann muss die Registrierung erfolgen?

Der Zeitpunkt ist klar: vor Beginn der Verarbeitung. Wer nachträglich in den Anwendungsbereich fällt — etwa weil das Unternehmen wächst und eine Ausnahmeschwelle überschreitet —, hat ab diesem Moment dreißig Tage Zeit, die Registrierung zu vervollständigen.

Viele ausländische Staatsangehörige, die in der Türkei ein Unternehmen gründen, schieben diesen Schritt auf. Das ist riskant: die KVKK-Behörde führt proaktive Kontrollen durch und reagiert auf Beschwerden, und das Fehlen einer VERBİS-Registrierung ist einer der einfachsten Verstöße, den Prüfer feststellen können.

Welche Folgen hat eine fehlende Registrierung?

Artikel 18 Absatz 1 Buchstabe ç KVKK bestimmt ausdrücklich, dass Verstöße gegen die VERBİS-Melde- und Registrierungspflicht ein Bußgeld zwischen 20.000 und 1.000.000 türkischen Lira nach sich ziehen können. Das Bußgeld wird gegenüber dem Verantwortlichen verhängt. Seit einer Gesetzesänderung im Jahr 2024 können Bußgelder der KVKK-Behörde vor Verwaltungsgerichten angefochten werden.

Darüber hinaus signalisiert das Fehlen eines VERBİS-Eintrags häufig, dass auch andere KVKK-Anforderungen — Betroffenenrechte, Sicherheitsmaßnahmen, Aufbewahrungsfristen — nicht erfüllt sind. Eine Beschwerde zu einem dieser Punkte kann zu einer umfassenden Prüfung führen, bei der der VERBİS-Status mit unter die Lupe genommen wird. Wer Daten in Drittstaaten übermittelt, sollte außerdem unseren Leitfaden zu grenzüberschreitenden Datentransfers lesen.

Häufig gestellte Fragen

F: Muss sich ein ausländisches Unternehmen ohne Niederlassung in der Türkei bei VERBİS registrieren?

Wenn ein ausländisches Unternehmen systematisch personenbezogene Daten von in der Türkei befindlichen Personen verarbeitet — etwa als E-Commerce-Plattform mit türkischen Kunden —, fällt es grundsätzlich in den Anwendungsbereich des KVKK. Die Registrierung erfolgt dann über einen in der Türkei ansässigen Vertreter.

F: Muss die Registrierung jährlich erneuert werden?

Nein. Der Eintrag besteht fort, solange die Verarbeitungstätigkeit andauert. Inhaltliche Änderungen sind jedoch innerhalb von sieben Tagen über VERBİS zu melden.

F: Müssen von der VERBİS-Pflicht befreite Unternehmen trotzdem eine Verarbeitungsübersicht erstellen?

Die Befreiung von der VERBİS-Registrierung hebt die übrigen KVKK-Pflichten nicht auf. Datensicherheit, Betroffenenrechte und Aufbewahrungsfristen bleiben vollumfänglich anwendbar. Unser Artikel zu Datenschutzhinweisen und ausdrücklicher Einwilligung nach KVKK zeigt, welche Transparenzpflichten neben der Registrierung ebenfalls zu beachten sind.

Wie Mona Hukuk Sie unterstützen kann

Unsere Kanzlei in Antalya berät Unternehmen mit türkischen Aktivitäten zu allen Fragen des KVKK — von der VERBİS-Registrierung über die Erstellung von Verarbeitungsübersichten bis zur Vertretung vor der Datenschutzbehörde. Wir begleiten sowohl in der Türkei ansässige Gesellschaften als auch ausländische Staatsangehörige mit türkischen Geschäftsinteressen.

Kontaktieren Sie uns unter contact@monahukuk.com oder rufen Sie +90 (242) 606 14 32 an, um einen Beratungstermin in Antalya zu vereinbaren.