KVKK vs. DSGVO: Cookie-Einwilligung im Vergleich (Leitfaden 2026)

Kurze Antwort: Ein Cookie-Banner, das für die DSGVO und § 25 TDDDG gebaut wurde, ist nach türkischem Recht nicht automatisch wirksam. Das KVKK (Gesetz Nr. 6698) macht die ausdrückliche Einwilligung zum Regelfall für alle nicht notwendigen Cookies, und der Cookie-Leitfaden der türkischen Datenschutzbehörde von 2022 lässt für Interessenabwägungen kaum Spielraum. Auch der Drittlandtransfer folgt einer eigenen Logik: Artikel 9 KVKK kennt eigene Mechanismen samt Meldepflicht, weshalb US-gehostete Analyse- und Werbe-Tags für türkischen Traffic gesondert zu prüfen sind. Für beide Märkte praktikabel ist ein geo-sensitives Banner mit zwei Verhaltensprofilen und einem gemeinsamen Protokoll.

Für viele Unternehmen im DACH-Raum ist die Türkei längst kein Nebenschauplatz: Onlineshops liefern nach Istanbul und Izmir, Maschinenbauer betreiben türkischsprachige Produktseiten, Medienhäuser und Versicherer bedienen eine große türkischsprachige Community. Fast immer läuft dieser Traffic über dieselbe Domain und damit über dasselbe Cookie-Banner, das für die DSGVO gebaut wurde. Die Annahme, damit sei die türkische Seite miterledigt, hält einer Prüfung selten stand.

Hinweis: Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Für Entscheidungen zu Ihrem konkreten Fall ziehen Sie bitte qualifizierten Rechtsrat hinzu.

Inhaltsverzeichnis

• Warum DSGVO-Konformität nicht automatisch KVKK-Konformität ist
• Die deutsche Ebene: § 25 TDDDG und die Linie der Aufsichtsbehörden
• Rechtsgrundlage: ausdrückliche Einwilligung nach KVKK
• Banner-UX: Granularität, Ablehnen-Button und Sprache
• Drittlandtransfer: Artikel 9 KVKK, US-Tags und der Weg von der EU in die Türkei
• Nachweis und Protokollierung auf beiden Seiten
• Durchsetzung: was Behörden tatsächlich beanstanden
• Vergleichstabelle
• Praxisarchitektur: ein Banner, zwei Verhaltensprofile
• Häufig gestellte Fragen
• Quellen

Warum DSGVO-Konformität nicht automatisch KVKK-Konformität ist

Das KVKK (Kişisel Verilerin Korunması Kanunu, Gesetz Nr. 6698) stammt von 2016 und orientiert sich an der Richtlinie 95/46/EG, der Vorgängerin der DSGVO. Beide Gesetze teilen dieselbe DNA, und genau deshalb werden die Unterschiede übersehen: Das Vokabular wirkt vertraut, die Details weichen dort ab, wo es für Cookies zählt.

Drei strukturelle Punkte erzeugen die Lücke:

1. Anderer Katalog an Rechtsgrundlagen. Artikel 5 KVKK ist keine Kopie von Artikel 6 DSGVO; die Entscheidungspraxis des türkischen Datenschutzausschusses liest die flexiblen Grundlagen für Tracking deutlich enger.
2. Anderes Transferregime. Artikel 9 KVKK regelt die Übermittlung ins Ausland mit eigenen Mechanismen und Meldepflichten. Eine EU-Transferakte mit Standardvertragsklauseln erfüllt das nicht.
3. Andere Aufsicht. Der türkische Ausschuss veröffentlicht eigene Leitlinien und Beschlüsse und ist nicht an Positionen des Europäischen Datenschutzausschusses gebunden.

Beide Gesetze können gleichzeitig gelten: Ein Shop mit Sitz in München unterliegt für seine EU-Besucher der DSGVO und für sein türkisches Publikum dem KVKK. Anders als Artikel 3 Absatz 2 DSGVO enthält das KVKK allerdings keine ausdrückliche Marktortregel. Der türkische Datenschutzausschuss wendet das Gesetz in seiner Entscheidungspraxis dennoch auf im Ausland ansässige Verantwortliche an, die sich an Personen in der Türkei richten, und verlangt von ihnen unter anderem die Registrierung im Verantwortlichenregister VERBİS. Auf dieser Praxis, nicht auf einer ausdrücklichen Norm, beruht die hier beschriebene Doppelgeltung. Die Türkei als bloße Variante der DSGVO zu behandeln, ist der häufigste Fehler in internationalen Consent-Setups.

Die deutsche Ebene: § 25 TDDDG und die Linie der Aufsichtsbehörden

In Deutschland beginnt die Cookie-Prüfung eine Stufe vor der DSGVO. Maßgeblich ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das im Mai 2024 aus dem bis dahin sogenannten TTDSG hervorgegangen ist. Wer noch Dokumente mit TTDSG-Verweisen pflegt, sollte sie aktualisieren; inhaltlich ist die Cookie-Vorschrift dieselbe geblieben.

Was § 25 TDDDG verlangt. Absatz 1 erlaubt das Speichern von Informationen in der Endeinrichtung des Endnutzers und den Zugriff darauf nur mit dessen Einwilligung; die Anforderungen richten sich nach der DSGVO. Absatz 2 kennt zwei Ausnahmen: die reine Nachrichtenübertragung über ein Telekommunikationsnetz und den unbedingt erforderlichen Zugriff für einen ausdrücklich gewünschten digitalen Dienst.

Zwei Konsequenzen werden dabei regelmäßig unterschätzt:

• Der Personenbezug ist irrelevant. Die Norm greift beim Zugriff auf das Endgerät, unabhängig von einer Verarbeitung personenbezogener Daten. Erfasst sind daher auch localStorage, Zählpixel, Device Fingerprinting und eingebettete SDKs.
• Berechtigtes Interesse rettet den Zugriff nicht. § 25 TDDDG kennt keine Interessenabwägung. Artikel 6 Absatz 1 Buchstabe f DSGVO kann allenfalls die anschließende Verarbeitung tragen, nie das Setzen oder Auslesen.

Was die Aufsichtsbehörden erwarten. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) hat ihre Linie in einer Orientierungshilfe für Anbieter digitaler Dienste festgehalten: gleichwertige Auswahl auf der ersten Bannerebene, keine vorangekreuzten Kästchen, kein Weitersurfen als Einwilligung sowie ein Widerruf, der so einfach ist wie die Erteilung. Ergänzend eröffnet § 26 TDDDG anerkannte Dienste zur Einwilligungsverwaltung; die Teilnahme ist freiwillig und ändert nichts an Ihrer Verantwortung.

Wer prüft. Zuständig ist die Datenschutzaufsichtsbehörde Ihres Bundeslandes. Hinzu kommt eine zivilrechtliche Ebene, die es in dieser Form in der Türkei nicht gibt: Wettbewerber und Verbände können Bannerpraktiken abmahnen, betroffene Personen Ansprüche nach Artikel 82 DSGVO geltend machen. Für DACH-Teams gilt außerdem: Österreich setzt die ePrivacy-Vorgaben im Telekommunikationsrecht um (§ 165 TKG 2021), die Schweiz regelt den Zugriff auf fremde Geräte in Artikel 45c des Fernmeldegesetzes und verlangt dort bislang nur Information und eine Widerspruchsmöglichkeit, während das revidierte Datenschutzgesetz die anschließende Verarbeitung regelt.

Rechtsgrundlage: ausdrückliche Einwilligung nach KVKK

Die EU-Seite ist zweistufig: Artikel 5 Absatz 3 der ePrivacy-Richtlinie 2002/58/EG verlangt eine Einwilligung vor dem Speichern oder Auslesen, in Deutschland umgesetzt durch § 25 TDDDG; den Maßstab liefern Artikel 4 Nummer 11 und Artikel 7 DSGVO.

Die türkische Seite arbeitet mit einem anderen Begriffspaar. Artikel 5 KVKK listet die Verarbeitungsbedingungen, Artikel 3 definiert die ausdrückliche Einwilligung (açık rıza) als Zustimmung, die sich auf einen bestimmten Sachverhalt bezieht, auf Information gestützt ist und mit freiem Willen erklärt wird. Der Leitfaden zu Cookie-Anwendungen von 2022 überträgt das auf Cookies: Analyse-, Werbe- und Social-Media-Cookies benötigen die ausdrückliche Einwilligung, bevor sie gesetzt werden, während unbedingt notwendige Cookies (Session, Warenkorb, Sicherheit, Sprachwahl) auf andere Bedingungen gestützt werden können. Scrollen oder Weitersurfen gilt nicht als Einwilligung.

Der praktische Unterschied. Planen Sie für die Türkei ein ausdrückliches Opt-in für jedes Analyse- und Marketing-Cookie ein; die dem berechtigten Interesse ähnliche Bedingung in Artikel 5 KVKK wird eng gelesen und trägt Tracking nicht. Da § 25 TDDDG ohnehin eine Einwilligung verlangt, ist ein konsequentes Consent-First-Modell der sichere gemeinsame Nenner. Eine vertiefte Darstellung finden Sie im KVKK-Leitfaden und im DSGVO-Leitfaden.

Banner-UX: Granularität, Ablehnen-Button und Sprache

Die gute Nachricht: Ein sauber gebautes Banner erfüllt große Teile der Anforderungen beider Regime gleichzeitig.

Gemeinsame Erwartungen:

• Vorabblockierung. Nicht notwendige Skripte dürfen nicht laufen, bevor der Besucher entschieden hat.
• Granulare Kategorien. „Alle akzeptieren“ allein genügt nicht; es braucht eine Auswahl pro Kategorie (notwendig, Analyse, Marketing und so weiter).
• Einfacher Widerruf. Der Widerruf muss so einfach sein wie die Erteilung, praktisch über einen dauerhaft erreichbaren Link oder ein Widget.

Was die Türkei zusätzlich betont:

• Gleichwertiges Ablehnen. Versteckte oder umständliche Ablehnen-Optionen gelten als Dark Pattern und tauchen in veröffentlichten Beschlüssen immer wieder auf.
• Türkische Sprache für türkische Besucher. Artikel 10 KVKK verlangt eine verständliche Information. Das Gesetz schreibt nicht wörtlich „auf Türkisch“ vor, aber eine Information, die das Publikum nicht lesen kann, genügt dem Maßstab nicht. Türkischer Bannertext und eine türkische Cookie-Erklärung sind daher die praktische Erwartung.
• Cookie-Walls. Den Zugang zur Website von einer Einwilligung abhängig zu machen, gilt als Beeinträchtigung der Freiwilligkeit, entsprechend der skeptischen Haltung der meisten europäischen Aufsichtsbehörden.

Was in Deutschland zusätzlich zählt: Auf der zweiten Bannerebene erwarten die Aufsichtsbehörden eine nachvollziehbare Anbieterliste inklusive Hinweis auf Drittlandübermittlungen.

Daraus folgt für DACH-Websites mit türkischem Traffic ein konkreter Schritt: Die Sprachauswahl darf nicht allein an der Browsersprache hängen, sonst bekommt ein Besucher in Izmir mit englischem Browser ein englisches Banner. Steuern Sie Sprache und Rechtsprofil getrennt.

Drittlandtransfer: Artikel 9 KVKK, US-Tags und der Weg von der EU in die Türkei

Cookie-Einwilligung und Transferrecht werden meist getrennt behandelt, doch Drittanbieter-Tags führen beides zusammen: Sobald eine Seite ein Analyse- oder Werbeskript lädt, fließen IP-Adresse, Identifier und Verhaltensdaten an Server im Ausland, häufig in den USA. Das ist auf beiden Seiten eine Übermittlung ins Ausland.

Nach KVKK erlaubte Artikel 9 die Auslandsübermittlung ursprünglich im Wesentlichen nur auf Basis ausdrücklicher Einwilligung oder einer vom Ausschuss genehmigten Verpflichtungserklärung. Das Gesetz Nr. 7499, veröffentlicht im März 2024 und seit Juni 2024 in Kraft, hat die Vorschrift überarbeitet. Das heutige Regime ähnelt in der Struktur Kapitel V DSGVO: Angemessenheitsbeschlüsse des Ausschusses, geeignete Garantien wie Standardverträge (der Behörde binnen fünf Werktagen nach Unterzeichnung anzuzeigen), verbindliche Unternehmensregelungen und genehmigte Verpflichtungserklärungen, dazu eng gefasste Ausnahmen. Die ausdrückliche Einwilligung ist damit vom Regelmechanismus zur Ausnahme geworden.

Nach DSGVO verlangt Kapitel V einen Angemessenheitsbeschluss (das EU-US Data Privacy Framework deckt zertifizierte US-Unternehmen ab) oder geeignete Garantien wie Standardvertragsklauseln samt Transferfolgenabschätzung nach dem Schrems-II-Urteil. Mehrere europäische Aufsichtsbehörden haben bestimmte Google-Analytics-Konfigurationen als problematisch bewertet.

Der Punkt, den DACH-Teams am häufigsten übersehen: Der Transfer läuft in beide Richtungen. Für die Türkei liegt kein Angemessenheitsbeschluss der Europäischen Kommission vor. Hat also eine türkische Konzerntochter Zugriff auf Ihr Analytics-Konto oder wertet eine Agentur in Ankara Ihre Kampagnendaten aus, braucht dieser Weg Garantien nach Kapitel V DSGVO. Umgekehrt braucht der Datenfluss aus türkischem Traffic zu US-Anbietern eine Grundlage nach Artikel 9 KVKK.

Dokumentieren lässt sich nur, was bekannt ist. Beginnen Sie mit einer Inventur aller Drittanbieter-Tags; ein Cookie-Scanner listet auf, welche Cookies und Drittanbieter Ihre Seiten laden. Prüfen Sie je Anbieter, ob auf beiden Seiten ein gültiger Mechanismus vorliegt, und benennen Sie ihn in Ihrer Cookie-Erklärung.

Nachweis und Protokollierung auf beiden Seiten

Beide Regime legen die Beweislast auf den Betreiber der Website.

• DSGVO: Artikel 7 Absatz 1 verlangt den Nachweis der Einwilligung, Artikel 5 Absatz 2 macht die Rechenschaftspflicht zum Dauerprinzip. Fragt eine Aufsichtsbehörde, ob dieser Besucher an diesem Tag in Werbe-Cookies eingewilligt hat, brauchen Sie eine belegbare Antwort.
• KVKK: Eine ausdrückliche Nachweisnorm wie Artikel 7 Absatz 1 DSGVO fehlt. Artikel 12 verpflichtet zur Datensicherheit, und die Behördenpraxis erwartet den Beleg, dass eine wirksame ausdrückliche Einwilligung vorlag, bevor nicht notwendige Cookies gesetzt wurden.

Ein belastbarer Nachweis erfasst typischerweise: Zeitstempel, pseudonyme Besucherkennung, Bannerversion und angezeigten Text, Sprache, Auswahl pro Kategorie, Art der Erteilung sowie spätere Widerrufe. Die Bannerversion ist kein Detail für Perfektionisten: Aufsichtsbehörden fragen im Prüfverfahren nach dem konkret angezeigten Layout, und ohne Versionierung lässt sich später nicht mehr rekonstruieren, worauf sich eine Einwilligung bezog.

Keines der beiden Gesetze legt eine Aufbewahrungsfrist fest. Bewahren Sie die Protokolle so lange auf, wie Sie die zugehörige Verarbeitung belegen müssen, halten Sie die Frist in Ihrer Cookie-Richtlinie fest und löschen Sie danach. Die Richtlinie muss außerdem beschreiben, was das Banner tatsächlich tut; ein Cookie-Richtlinien-Generator hilft, Text und reales Cookie-Inventar synchron zu halten.

Durchsetzung: was Behörden tatsächlich beanstanden

Bußgeldhöhen ändern sich und werden häufig aus dem Zusammenhang gerissen zitiert; stabil ist dagegen das Verhaltensmuster, das Sanktionen auslöst.

In der Türkei werden die Obergrenzen für Verwaltungsgeldbußen jährlich anhand des amtlichen Neubewertungssatzes fortgeschrieben. Die auf kvkk.gov.tr veröffentlichten Beschlüsse betreffen immer wieder dieselben Fehler: Werbe- oder Analyse-Cookies ohne ausdrückliche Einwilligung, versteckte Ablehnen-Optionen, unverständliche Informationstexte und Übermittlungen ins Ausland ohne gültigen Mechanismus nach Artikel 9.

In der EU liegt die Cookie-Durchsetzung in Deutschland bei den Aufsichtsbehörden der Länder; mehrere von ihnen haben systematische Website-Prüfungen durchgeführt. Die Beanstandungen spiegeln die türkische Liste wider: kein Ablehnen auf der ersten Ebene, vorangekreuzte Kästchen, Tracking vor der Entscheidung und irreführendes Design.

Vergleichstabelle

Praxisarchitektur: ein Banner, zwei Verhaltensprofile

Sie brauchen keine zwei Consent-Werkzeuge für zwei Rechtsordnungen, sondern ein Banner mit regionsabhängigem Verhalten und ein gemeinsames Protokoll dahinter:

1. Region erkennen, bevor ein nicht notwendiges Tag ausgeführt wird.
2. KVKK-Profil für die Türkei: türkischer Bannertext, ausdrückliches Opt-in pro Kategorie, gleichwertiges Ablehnen und eine Cookie-Erklärung, die Empfänger und Auslandsübermittlungen benennt.
3. DSGVO-Profil für die EU: Bannertext in der Landessprache, granulare Kategorien und Signale des Google Consent Mode v2, die bis zur Entscheidung auf „denied“ stehen.
4. Basis für alle: Vorabblockierung, ein Protokoll mit Region, Sprache und Bannerversion je Ereignis sowie regelmäßige erneute Scans, damit neue Tags das Banner nicht umgehen.

Genau dieses Modell setzt cerez.io um: ein Banner für die Cookie-Einwilligung, das türkischem Traffic KVKK-Voreinstellungen und EU-Traffic DSGVO-Voreinstellungen zuweist, dazu Cookie-Scanning und zeitgestempelte Einwilligungsprotokolle pro Domain. Das Werkzeug unterstützt die Umsetzung, misst die Wirkung und dokumentiert die Nachweise; es ersetzt weder die rechtliche Prüfung Ihres Setups noch die Verantwortung dafür.

Häufig gestellte Fragen

Verlangt das KVKK ein Cookie-Banner?

Kurze Antwort: Das Wort „Banner“ kommt im KVKK nicht vor, praktisch werden die Anforderungen aber genau so erfüllt. Nicht notwendige Cookies brauchen eine ausdrückliche Einwilligung, bevor sie gesetzt werden, und Artikel 10 verlangt die Information der betroffenen Person. Ein Banner mit granularen Kategorien und gleich sichtbarer Ablehnen-Option ist der übliche Weg, die Einwilligung einzuholen und zu belegen.

Gilt § 25 TDDDG auch für Besucher aus der Türkei?

Kurze Antwort: Das TDDDG ist deutsches Recht mit eigenem Anwendungsbereich und dient nicht dazu, türkische Anforderungen zu erfüllen. Für Besucher, die sich in der Türkei befinden, gilt nach der Praxis des türkischen Ausschusses das KVKK. Ein Banner, das nur auf § 25 TDDDG und die DSGVO ausgelegt ist, kann für türkischen Traffic also Lücken aufweisen, etwa bei Sprache, Informationstext und Transferdokumentation.

Reicht unser DSGVO-Banner für eine Website, die die Türkei adressiert?

Kurze Antwort: Nein. Ein solides DSGVO-Setup ist ein guter Ausgangspunkt, weil beide Gesetze eine informierte, freiwillige Einwilligung fordern. Das KVKK unterscheidet sich jedoch bei den Transfermechanismen nach Artikel 9 und bei der Erwartung türkischsprachiger Information. Prüfen Sie Bannertext, Tag-Inventar und Transferdokumentation für türkischen Traffic separat.

Dürfen wir Analyse-Cookies in der Türkei auf ein berechtigtes Interesse stützen?

Kurze Antwort: Verlassen Sie sich nicht darauf. Die türkische Entscheidungspraxis behandelt Analyse- und Werbe-Cookies als einwilligungsbedürftig, und die dem berechtigten Interesse ähnliche Bedingung in Artikel 5 KVKK wird eng gelesen, im Kern für Betrugsprävention und Sicherheit. Da § 25 TDDDG ohnehin keine Interessenabwägung zulässt, ist einwilligungsbasierte Analyse in beiden Märkten der sicherere Weg.

Brauchen wir zwei getrennte Einwilligungssysteme?

Kurze Antwort: Sie brauchen zwei Verhaltensprofile, nicht zwei Infrastrukturen. Ein einziges regionsabhängiges Banner zeigt Besuchern aus der Türkei türkischen Text mit KVKK-Voreinstellungen und EU-Besuchern das DSGVO-Verhalten, während jedes Ereignis in ein gemeinsames Protokoll läuft. Zwei unabhängige Consent-Tools auf einer Domain erzeugen erfahrungsgemäß mehr Lücken, als sie schließen.

Wie lange müssen Einwilligungsnachweise aufbewahrt werden?

Kurze Antwort: Weder KVKK noch DSGVO nennen eine feste Frist. Bewahren Sie die Protokolle so lange auf, wie Sie die zugehörige Verarbeitung nachweisen müssen, dokumentieren Sie die Frist in Ihrer Cookie-Richtlinie und löschen Sie anschließend. Je nach Risikoprofil und Verjährungsfragen liegen die Fristen in der Praxis zwischen einem Jahr und einigen Jahren; die Festlegung klären Sie mit Ihrer Rechtsberatung.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Volltext
• Richtlinie 2002/58/EG (ePrivacy), Volltext
• § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen
• § 26 TDDDG, Anerkannte Dienste zur Einwilligungsverwaltung
• Türkische Datenschutzbehörde (KVKK), Startseite mit Leitfäden und Beschlüssen
• Google Consent Mode, Entwicklerdokumentation

Sie bedienen Besucher in der Türkei und in der EU? Kostenlos starten und ein geo-sensitives Banner mit KVKK- und DSGVO-Profil in rund 15 Minuten einrichten, ohne Kreditkarte. Die Plandetails finden Sie auf der Preisseite.