KVKK und E-Commerce 2025: Cookies, Marketing, Datentransfers und Kundendaten

KVKK-Compliance im E-Commerce beschränkt sich nicht auf Registrierungsformulare oder Datenschutzhinweise. Bestellabschluss, SMS-Verifizierung, Marketingeinwilligungen, Cookies, CRM, Kundenservice, Marktplätze und SaaS-Dienste im Ausland sind Teile desselben Datenflusses.

Die 2025 veröffentlichten Beschlüsse des türkischen Datenschutzrats und aktualisierten Leitfäden machten insbesondere eine erneute Prüfung der Einwilligungsgestaltung und des Cookie-Einsatzes erforderlich.

1. SMS-Verifizierung und Marketingeinwilligung

Der Grundsatzbeschluss des türkischen Datenschutzrats vom 10. Juni 2025 mit der Nummer 2025/1072 legte wichtige Regeln für die Verwendung von SMS-Verifizierungscodes bei der Bereitstellung von Produkten oder Dienstleistungen fest.

Es ist riskant, einen Verifizierungscode für Zahlung, Registrierung oder einen ähnlichen Servicevorgang in einer einzigen Handlung mit der Einwilligung in Werbenachrichten oder andere einwilligungsbedürftige Verarbeitungen zu verbinden.

2. Servicevorgänge und Marketingeinwilligung trennen

Marketingaktivitäten, die eine ausdrückliche Einwilligung erfordern, sollten nicht als verpflichtende Voraussetzung für den Empfang von Produkten oder Dienstleistungen angeführt werden.

Der Nutzer sollte in der Lage sein, klar zu verstehen, in welche Verarbeitung er einwilligt.

3. Datenschutzinformationen sind eine gesonderte Pflicht

Die Informationspflicht besteht unabhängig von einer ausdrücklichen Einwilligung.

Nutzer müssen angemessen informiert werden über:

den Verantwortlichen,
den Verarbeitungszweck,
Übertragung,
Erhebungsmethode und Rechtsgrundlage,
die Rechte betroffener Personen

Zu diesen Punkten müssen angemessene Informationen bereitgestellt werden.

4. Cookie- und Tracking-Technologien

Der Cookie-Leitfaden 2025 der türkischen Datenschutzbehörde betont bei einwilligungsbedürftigen Cookies die Bedeutung eines aktiven Opt-ins und echter Wahlmöglichkeiten.

Es sollte auch technisch getestet werden, ob Analytics oder Ad-Skripte vor der Zustimmung funktionieren.

5. E-Commerce-Datenverzeichnis

Das Inventar muss folgende Systeme abdecken:

Website und mobile Anwendung,
Zahlungsinfrastruktur,
CRM,
E-Mail/SMS-Systeme,
Marktplatzintegrationen,
Paket- und Lieferdienste,
Analyse- und Werbetechnologien,
Kundendienst.

6. Daten-Minimierung bei der Kasse

Personenbezogene Daten, die für eine Bestellung nicht tatsächlich erforderlich sind, sollten nicht über Pflichtfelder abgefragt werden.

7. Verpflichtende Kontoerstellung

Je nach Geschäftsmodell können auch ein Bestellabschluss ohne Kundenkonto und die zusätzlichen Registrierungsdaten unter dem Gesichtspunkt der Datenminimierung geprüft werden.

8. SaaS- und Cloud-Anbieter im Ausland

Die Präsenz eines CRM-, Analytics- oder Marketing-Automatisierungsanbieters im Ausland sollte auch im Hinblick auf die persönliche Datenübermittlung bewertet werden.

Übertragungsmechanismen in Artikel 9 der KVKK müssen mit dem tatsächlichen Datenstrom gekoppelt werden.

9. Marktplatzintegrationen

Bei Datenflüssen zwischen Marktplatz, Verkäufer, Lieferdienst und Integrationsanbieter müssen Rollen und Zwecke festgelegt werden.

10. Datenaufbewahrung

Die Aufbewahrung von Bestelldaten wegen buchhalterischer oder rechtlicher Pflichten rechtfertigt nicht zugleich die unbegrenzte Speicherung eines Marketingprofils.

E-Commerce KVKK Checkliste

Sind SMS-Verifizierung und Marketingeinwilligung getrennt?
Sind Datenschutzinformationen und ausdrückliche Einwilligung getrennt?
Funktioniert Cookie-Opt-in technisch?
Sind die Datenfelder beim Bestellabschluss auf das Erforderliche reduziert?
Sind die CRM-Datenflüsse im Inventar erfasst?
Wurden im Ausland SaaS-Anbieter bewertet?
Sind die Marktplatzintegrationen dokumentiert?
Ist die Aufbewahrungsfrist festgelegt?

Der Ansatz B10

B10 Digital Agency prüft KVKK-Compliance im E-Commerce über Formulare und Dokumente hinaus auch technisch anhand der Datenflüsse in Bestellabschluss, CMP, CRM, APIs und SaaS-Diensten.

Offizielle Quellen

Fazit

Datenschutz-Compliance im E-Commerce erfordert ein Verständnis des tatsächlichen durchgängigen Datenflusses, vom Bestellabschluss bis zum CRM und vom Marketing bis zu den Integrationen.

Dieser Inhalt dient nur zur allgemeinen Information.