Was ist VERBİS? Ein Leitfaden für Unternehmen für 2026

VERBİS ist das Registrierungssystem, über das Verantwortliche bestimmte Angaben zu ihrer Verarbeitung personenbezogener Daten an das Register melden. Es ist kein Datenspeicher, in den einzelne personenbezogene Datensätze oder Personenlisten des Unternehmens für die Behörde hochgeladen werden.

Für die Bewertung der VERBİS-Pflichten 2026 reicht die Unternehmensgröße allein nicht aus. Jährliche Beschäftigtenzahl, Bilanz, Haupttätigkeit, Verarbeitung besonderer Kategorien personenbezogener Daten und für den Verantwortlichen geltende spezielle Ausnahmen müssen gemeinsam geprüft werden.

Welche Informationen sind in der Verbis-Mitteilung enthalten?

Nach Angaben der Behörde umfasst die Meldung Identität und Anschrift des Verantwortlichen und gegebenenfalls seines Vertreters, Verarbeitungszwecke, betroffene Personengruppen und Datenkategorien, Empfänger oder Empfängergruppen, zur Auslandsübermittlung vorgesehene personenbezogene Daten, Sicherheitsmaßnahmen und maximale Aufbewahrungsfristen.

Die VERBİS-Registrierung sollte daher nicht als reines Verwaltungsformular betrachtet werden, das unabhängig von den tatsächlichen Verarbeitungstätigkeiten erstellt werden kann.

2026 Allgemeine Ausnahmekriterien

Für Verantwortliche, deren Haupttätigkeit nicht in der Verarbeitung besonderer Kategorien personenbezogener Daten besteht, wurde das Bilanzkriterium durch den Beschluss 2023/1154 auf 100 Millionen TRY angehoben.

Bei Verantwortlichen mit Bilanzbuchführung werden die Ausnahmekriterien gemeinsam geprüft: jährlich weniger als 50 Beschäftigte und eine jährliche Bilanzsumme von weniger als 100 Millionen TRY.

Was änderte sich bei der Verarbeitung besonderer Datenkategorien als Haupttätigkeit?

Der Beschluss 2025/1572 vom 4. September 2025 befreite auch natürliche oder juristische Personen als Verantwortliche von der Registrierungspflicht, deren Haupttätigkeit die Verarbeitung besonderer Kategorien personenbezogener Daten ist, sofern sie jährlich weniger als 10 Beschäftigte und eine jährliche Bilanzsumme unter 10 Millionen TRY haben.

Diese Regelung ist insbesondere für kleinere Verantwortliche im Gesundheitswesen und ähnlichen Bereichen gesondert zu prüfen, wenn die Verarbeitung besonderer Datenkategorien ihre Haupttätigkeit ist.

Kriterium bei Buchführung ohne Bilanz

Der Beschluss 2025/2393 vom 25. Dezember 2025 stellte klar, dass bei Verantwortlichen ohne Bilanzbuchführung nur die jährliche Beschäftigtenzahl maßgeblich ist, da keine jährliche Bilanzsumme vorliegt.

Beurteilen Sie VERBİS-Pflichten daher nicht allein anhand des Umsatzes oder der umgangssprachlichen Verwendung von „Bilanz“, sondern prüfen Sie auch die Buchführungsgrundlage des Unternehmens.

Aktualisierung nach Aufzeichnung

VERBİS ist kein statischer Eintrag, der nach einmaliger Registrierung vergessen werden kann. Ändern sich Datenkategorien, Zwecke, Empfängergruppen, Auslandsübermittlungsstrukturen oder Aufbewahrungsfristen, muss die Meldung mit den tatsächlichen Prozessen abgeglichen werden.

Neue SaaS-Dienste, CRM-Migrationen, KI-Systeme, Mitarbeiteranwendungen oder ausländische Cloud-Dienste können Datenflüsse verändern.

2026 VERBIS-Checkliste

Wurde die Zahl der Beschäftigten pro Jahr korrekt berechnet?
Wurde geklärt, ob das Unternehmen eine Bilanzbuchführung nutzt?
Ist die Verarbeitung besonderer Kategorien personenbezogener Daten die Haupttätigkeit?
Kann eines der Ausnahmekriterien wirklich angewandt werden?
Ist das Dateninventar aktuell?
Werden Datenübermittlungen ins Ausland korrekt dargestellt?
Entsprechen die maximalen Aufbewahrungsfristen den tatsächlichen Systemen?
Wird die VERBIS-Benachrichtigung nach Änderungen aktualisiert?

VERBİS als laufende Kontrolle statt als statischen Registereintrag verwalten

VERBİS und das Verzeichnis personenbezogener Daten können schnell veralten, wenn sie von den tatsächlichen Betriebsabläufen getrennt werden. Neue Mitarbeiteranwendungen, CRM-Systeme, Zahlungsinfrastrukturen, Webformulare, Marketingwerkzeuge, SaaS-Dienste, Cloud-Anbieter oder KI-Anwendungen können neue Datenkategorien, Empfängergruppen oder Auslandsübermittlungen mit sich bringen. Deshalb müssen Beschaffung, Softwareentwicklung, Integration und die Einbindung neuer Lieferanten auf ihre Auswirkungen auf personenbezogene Daten geprüft werden.

In einem tragfähigen Kontrollmodell ist jede Verarbeitungstätigkeit mit einem Prozessverantwortlichen, einem Systemverantwortlichen und einer rechtlichen Bewertung verknüpft. Werden Quell- und Zielsystem, betroffene Personengruppe, Datenkategorie, Zweck, Rechtsgrundlage, Empfänger, Übermittlungsland oder -struktur, Aufbewahrungsfrist und Sicherheitsmaßnahmen gemeinsam erfasst, lässt sich die VERBİS-Meldung anhand der tatsächlichen Abläufe aktualisieren. Der Registereintrag ist dann mehr als ein Dokument, das nur bei Audits geöffnet wird.

Regelmäßige Kontrollen müssen neben neuen auch eingestellte Prozesse berücksichtigen. Nicht mehr genutzte Anwendungen, alte Benutzerkonten, Archivdateien, Protokolle, Backups und beendete Lieferantenverbindungen können Aufbewahrungs- und Zugriffsrisiken verursachen. Ein Abgleich zwischen Verzeichnis und technischen Systemen in beide Richtungen hilft, sowohl unvollständige Meldungen als auch unnötig im Register verbliebene, tatsächlich nicht mehr bestehende Verarbeitungstätigkeiten zu vermeiden.

Der Ansatz von B10 Digital Agency zu KVKK und digitaler Compliance

B10 Digital Agency versteht KVKK-Arbeit nicht nur als Dokumentenerstellung, sondern als operatives Compliance-Modell, das Datenverzeichnis, VERBİS, System- und Integrationsabbildung, internationale Datenübermittlungen, Sicherheitskontrollen und Änderungsmanagement zusammenführt.

Häufig gestellte Fragen

Werden personenbezogene Daten selbst auf VERBIS hochgeladen?

Nein. Dem Register werden Kategorien und Prozessangaben zu den Verarbeitungstätigkeiten gemeldet.

Ist jedes Unternehmen mit weniger als 50 Mitarbeitern von VERBIS befreit?

Nein. Bilanz, Haupttätigkeit, Verarbeitung besonderer Datenkategorien und weitere Kriterien müssen gemeinsam bewertet werden.

Gibt es eine Ausnahme für kleine Unternehmen, die besondere Datenkategorien verarbeiten?

Der Beschluss 2025/1572 führte eine Ausnahme für Verantwortliche ein, deren Haupttätigkeit die Verarbeitung besonderer Datenkategorien ist und die bestimmte Beschäftigten- und Bilanzkriterien erfüllen.

Sind nach der VERBİS-Registrierung Aktualisierungen nötig?

Ja. Ändern sich die der Meldung zugrunde liegenden Verarbeitungstätigkeiten, muss geprüft werden, ob der Registereintrag aktuell ist.

Offizielle Quellen

Hinweis: Dieser Inhalt dient der allgemeinen Information. Die konkreten VERBİS- und KVKK-Pflichten eines Unternehmens müssen anhand seiner Tätigkeiten und der aktuellen Rechtslage gesondert bewertet werden.

Gleichen Sie Ihren VERBİS-Eintrag mit den tatsächlichen Datenflüssen ab

Entdecken Sie den Service KVKK & digitale Compliance von B10 Digital Agency, um Datenverzeichnis, VERBİS, internationale Übermittlungen und digitale Systeme gemeinsam zu bewerten.

Beratung zu KVKK & digitaler Compliance entdecken →