Datenschutzhinweis für Besucher nach KVKK in der Türkei: Inhalt, Ausweis, Speicherdauer

Im Pförtnerhaus einer Fabrik fragt ein Besucher, während er seinen Namen ins Buch schreibt: „Wofür sind diese Daten, und wie lange werden sie gespeichert?“ Der Pförtner zuckt mit den Schultern; an der Wand hängt ein Blatt Papier, doch niemand liest es, und der Besucher unterschreibt in Eile und geht weiter. Am nächsten Tag fragt ein anderer Besucher, warum seine Ausweisnummer notiert wird, und niemand hat eine klare Antwort. Solche Momente zeigen, dass der Hinweis keine Papierarbeit ist, sondern Teil der Gestaltung der Besucherregistrierung. Gestützt auf die amtlichen türkischen Texte, vor allem das türkische Datenschutzgesetz Nr. 6698 (KVKK), erklären wir, was ein Datenschutzhinweis für Besucher enthalten sollte und wie sich die Fragen zu Ausweis und Speicherdauer behandeln lassen.

Ein Datenschutzhinweis für Besucher erklärt einer Person, die einen Standort betritt, wer ihre personenbezogenen Daten zu welchem Zweck, wie und auf welcher Rechtsgrundlage verarbeitet, an wen sie übermittelt werden können und welche Rechte sie hat. Die Pflicht dazu ergibt sich aus Artikel 10 des türkischen Gesetzes Nr. 6698 zum Schutz personenbezogener Daten.

Wann entsteht die Informationspflicht bei der Besucherregistrierung?

Artikel 10 des Gesetzes verlangt, dass der Verantwortliche die betroffenen Personen bei der Erhebung personenbezogener Daten über bestimmte Punkte informiert. Beim Besucher ist das der Moment, in dem Name und Firma ins Buch geschrieben oder in ein digitales Formular eingegeben werden. Nach dem Kommuniqué über Verfahren und Grundsätze zur Erfüllung der Informationspflicht hängt die Information nicht von einer Anfrage der betroffenen Person ab; sie ist auch zu erteilen, wenn der Besucher nicht fragt. Dasselbe Kommuniqué legt fest, dass der Verantwortliche nachweisen muss, dass informiert wurde. Wichtig ist also nicht nur, dass der Text aushängt, sondern auch ein Nachweis, dass der Besucher informiert wurde.

Welche Punkte gehören in einen Datenschutzhinweis für Besucher?

Artikel 10 des Gesetzes und Artikel 4 des Kommuniqués nennen den Mindestinhalt der Information. Die folgende Tabelle überträgt diese Punkte auf die Besucherregistrierung; die Beispielformulierungen dienen nur zur Orientierung, den Text sollten Sie nach Ihren eigenen Abläufen schreiben.

Wie informiert man Besucher in der Praxis?

Das Kommuniqué sieht vor, dass die Information mündlich, schriftlich oder elektronisch erfolgen kann. Wichtiger als die Methode ist, dass der Besucher tatsächlich informiert wird und dies belegt werden kann. Eine umsetzbare Checkliste für den Empfang könnte so aussehen:

1. Platzieren Sie einen Kurztext dort, wo der Besucher ihn bei der Registrierung sieht; er sollte auf einen Blick lesbar sein.
2. Zeigen Sie, wie man zum vollständigen Text gelangt; das kann ein gedrucktes Exemplar oder der Volltext auf einem Bildschirm sein.
3. Bereiten Sie für das Empfangspersonal eine Notiz vor, die Zweck, Speicherdauer und Kontaktweg zusammenfasst, damit es Fragen beantworten kann.
4. Denken Sie an eine verständliche Fassung für ausländische Besucher und andere Sprachbedürfnisse.
5. Halten Sie fest, dass der Besucher informiert wurde, etwa mit einer Unterschriftszeile auf Papier oder einem Bestätigungsschritt im digitalen Eintrag.
6. Prüfen Sie den Text einmal im Jahr und bei jeder Prozessänderung, und bewahren Sie die aktuelle Fassung mit Datum auf.

Häufige Fehler im Datenschutzhinweis für Besucher

Artikel 5 des Kommuniqués enthält ausführliche Grundsätze dazu, wie zu informieren ist. In der Praxis werden diese Punkte am häufigsten übersehen:

• Einen vagen Zweck angeben: Formulierungen wie „zu verschiedenen Zwecken“ oder „bei Bedarf zu weiteren Zwecken“ erfüllen den Grundsatz des bestimmten und ausdrücklichen Zwecks aus dem Kommuniqué nicht.
• Die Rechtsgrundlage nicht nennen: Es muss klar stehen, auf welche Verarbeitungsbedingung aus Artikel 5 und 6 des Gesetzes sich die Verarbeitung stützt.
• Unverständliche Sprache verwenden: Die Information muss klar und einfach sein; an der Tür braucht der Besucher einen Text, der kurz und verständlich genug zum Lesen ist.
• Hinweis und Einwilligungstext zusammenlegen: Stützt sich die Verarbeitung auf eine ausdrückliche Einwilligung, sind Information und Einwilligung getrennt zu behandeln.
• Bereiche vermischen: Verarbeiten verschiedene Bereiche Daten zu unterschiedlichen Zwecken, ist für jeden gesondert zu informieren; Empfang und Parkplatzregistrierung haben womöglich nicht denselben Text.
• Bei Zweckänderung nicht aktualisieren: Ändert sich der Zweck der Verarbeitung, muss vor der Verarbeitung gesondert über den neuen Zweck informiert werden.

Darf man von Besuchern einen Ausweis verlangen?

Auf diese Frage gibt es keine Antwort, die für jeden Betrieb gilt. Maßstab ist der Grundsatz aus Artikel 4 des Gesetzes: Verarbeitete Daten müssen mit dem Zweck der Verarbeitung zusammenhängen, begrenzt und verhältnismäßig sein. Wird Ihr Sicherheitszweck schon durch die Prüfung von Name und Firma des Besuchers erfüllt, kann das Erheben einer Ausweisnummer oder einer Ausweiskopie diesen Maßstab überdehnen.

Der türkische Rat für den Schutz personenbezogener Daten (Datenschutzrat) hat in seinem Grundsatzbeschluss Nr. 2025/2120 vom 6. November 2025 zum Beherbergungsgewerbe festgehalten, dass ein Ausweisdokument zur Prüfung verlangt werden darf, das Anfertigen und Speichern einer Kopie aber zu einer übermäßigen Datenverarbeitung führt. Der Beschluss gilt für Beherbergungsbetriebe wie Hotels und stützt sich auf ein eigenes Gesetz; auf die Besucherregistrierung ist er nicht direkt anwendbar. Er ist dennoch hilfreich, weil er den Unterschied zwischen „Vorzeigen“ und „Kopieren“ und den Ansatz der Datenminimierung zeigt.

Wie lange werden Besucherdaten gespeichert?

Das Gesetz Nr. 6698 nennt für Besucherdaten keine bestimmte Frist. Artikel 4 des Gesetzes verlangt, Daten so lange zu speichern, wie es die einschlägigen Vorschriften vorsehen oder der Verarbeitungszweck erfordert; Artikel 7 regelt, dass Daten gelöscht, vernichtet oder anonymisiert werden, wenn die Gründe für die Verarbeitung entfallen. Haben Sie für Besucherdaten eine Aufbewahrungsfrist aus anderen Vorschriften, fragen Sie Ihre Rechtsberatung.

Die Verordnung über die Löschung, Vernichtung oder Anonymisierung personenbezogener Daten zieht folgenden Rahmen: Wer zur Eintragung in das Register der Verantwortlichen verpflichtet ist, erstellt eine Aufbewahrungs- und Löschrichtlinie. Bei Verantwortlichen mit Richtlinie wird das Intervall für die regelmäßige Löschung in der Richtlinie festgelegt und darf sechs Monate nicht überschreiten; Verantwortliche ohne Pflicht zur Richtlinie löschen binnen drei Monaten, nachdem die Löschpflicht entstanden ist. Löschvorgänge werden dokumentiert, und diese Aufzeichnungen werden, vorbehaltlich anderer rechtlicher Pflichten, mindestens drei Jahre aufbewahrt.

Lassen sich Besucherbuch und Excel für eine KVKK-orientierte Erfassung nutzen?

Papierbuch und Tabelle sind möglich, doch Information, Zugriff und Speicherfristen werden von Hand verwaltet. Im Papierbuch sieht jeder nachfolgende Besucher die Daten aller anderen auf der Seite, und eine einzelne abgelaufene Zeile lässt sich nicht löschen. In Excel hängt es von der Disziplin einzelner Personen ab, wer auf die Datei zugreift, wann abgelaufene Zeilen gelöscht werden und ob die Löschung dokumentiert wird. Besucherdaten an private Konten wie WhatsApp zu schicken, erschwert die Kontrolle aus Sicht der Datensicherheit.

Wie unterstützt das Besuchermanagement von KurumsalPortal Hinweis und Einwilligungsnachweis?

Im Modul Besuchermanagement ist die KVKK-Einwilligung ein Schritt im Registrierungsablauf: Nach der Erfassung des Besuchers wird die Einwilligung eingeholt, dann wird der Gastgeber benachrichtigt und der Zutritt eingeleitet. Da die Einwilligung zusammen mit dem Besuchsdatensatz gespeichert wird, lässt sie sich später prüfen. Die Daten liegen auf dem eigenen Server des Kunden, und wer sie sehen darf, wird über rollenbasierte Berechtigungen festgelegt; zum Berechtigungskonzept siehe die Seite Menü- & Berechtigungsverwaltung.

Das Modul sorgt dafür, dass Einwilligungen und Datensätze geordnet geführt werden; den Inhalt des Datenschutzhinweises und die Wahl der Rechtsgrundlage muss die Organisation auf Grundlage ihrer eigenen KVKK-Bewertung festlegen. Im Modul heißt dieser Schritt „KVKK-Einwilligung“; klären Sie mit Ihrer Rechtsberatung, welcher Verarbeitungsbedingung die Einwilligung in Ihrem Fall entspricht.

Um Besucherregistrierung, KVKK-Einwilligung und die Liste der anwesenden Personen in einem Ablauf zu sehen, sehen Sie sich die Seite Besuchermanagement von KurumsalPortal an.