KVKK-Checkliste für Verlage

Beim KVKK (dem türkischen Datenschutzgesetz, Pendant zur DSGVO) denkt man zuerst an E-Commerce-Websites und Banken; Verlage halten sich meist für „klein und nicht betroffen”. Sehen Sie sich aber das Spektrum personenbezogener Daten an, das ein Verlag in Händen hält: Identitäts- und Kontaktdaten der Autoren, Identitäten und Begutachtungsunterlagen der Gutachter, Adressen und Bestellhistorien der Shop-Kunden, Newsletter-Abonnenten, Finanzdaten in Autorenverträgen …

Und ein Teil dieser Daten — etwa die Gutachteridentität — steht in einer heikleren Balance als gewöhnliche Kundendaten: Sie müssen geschützt und zugleich jahrelang aufbewahrt werden. Auch die Bußgeldseite ist nicht symbolisch: Stand 2026 können Geldbußen für Verstöße gegen die Datensicherheitspflichten Millionen Lira erreichen (die Beträge werden jährlich neu bewertet; aktuelle Zahlen unter kvkk.gov.tr).

Die folgenden 12 Punkte sind eine praktische Startliste, mit der ein Verlag seinen KVKK-Status fotografieren kann. Sie ersetzen keine Rechtsberatung; aber Sie haben eine konkrete Bestandsaufnahme in der Hand, bevor Sie zu Ihrer Beraterin gehen.

Datenverzeichnis und Rechtsgrundlage

1. Haben Sie eine Datenlandkarte? In welchem Prozess erheben Sie von wem welche Daten? Einreichungsformular, Gutachterpool, Bestellung, Newsletter, Kontaktformular — die Liste der erhobenen Felder pro Kanal ist der erste Schritt. Daten, die Sie nicht kennen, können Sie nicht schützen.

2. Ist die Grundlage jeder Verarbeitung klar? Jede Datenverarbeitung braucht eine Rechtsgrundlage. Beispiel: Name und Adresse für die Bestellung zu verarbeiten fällt unter „Vertragserfüllung”, eine gesonderte Einwilligung ist nicht nötig; derselben Kundin Werbe-E-Mails zu schicken verlangt aber eine ausdrückliche Einwilligung. Formulare, die beides in eine einzige Checkbox pressen, sind der häufigste Fehler.

3. Haben Sie Ihren VERBİS-Status geprüft? VERBİS ist das türkische Register der Datenverantwortlichen; die Registrierungspflicht hängt von Schwellen bei Beschäftigtenzahl und Bilanzsumme ab, und Schwellen wie Ausnahmen werden durch Beschlüsse der Datenschutzbehörde aktualisiert. Machen Sie aus der Annahme „Wir sind klein, wir fallen sicher nicht darunter” geprüftes Wissen.

Information und Einwilligung

4. Sind Ihre Datenschutzhinweise kanalbezogen? Statt eines einzigen Generaltextes: Einreichungsformular, Gutachtereinladung, Shop-Konto und Newsletter-Anmeldung brauchen jeweils eigene Hinweise — denn Zwecke und Übermittlungen unterscheiden sich.

5. Ist die ausdrückliche Einwilligung wirklich „ausdrücklich”? Vorangekreuzte Kästchen, in Nutzungsbedingungen versteckte Einwilligungen und das Design „ohne Zustimmung kommen Sie nicht weiter” gelten nicht als Einwilligung. Beim Newsletter ist das Double-Opt-in gute Praxis — aus Beweis- wie aus Höflichkeitsgründen.

6. Werden Einwilligungen dokumentiert und widerrufbar geführt? Wer hat wann welchem Text zugestimmt — und wie wird der Widerruf verarbeitet? Einwilligungsverwaltung ist kein einmaliger Akt, sondern ein versionierter Datensatz: Wird der Text aktualisiert, muss nachvollziehbar bleiben, welcher Nutzer welche Version bestätigt hat.

Verlagsspezifische Sensibilitäten

7. Stehen Gutachterdaten unter doppeltem Schutz? Die Gutachteridentität ist personenbezogenes Datum und redaktionelles Geheimnis zugleich. Die Gutachter-Autor-Wand des doppelblinden Verfahrens ist die redaktionelle Entsprechung des KVKK-Grundsatzes der Zweckbindung: Auf die Identität des Gutachters sollten nur diejenigen zugreifen, die sie sehen müssen, und die Zugriffe sollten protokolliert werden.

8. Sind Ihre Aufbewahrungsfristen definiert? Das KVKK verlangt, Daten nur so lange zu halten, wie es der Zweck erfordert, und sie danach zu löschen oder zu anonymisieren. Aber Vorsicht: Auch das Aufbewahren mancher Unterlagen ist eine Pflicht — Begutachtungsunterlagen verlangt TR Dizin (der nationale Zeitschriftenindex der Türkei) für mindestens fünf Jahre; Finanzunterlagen haben ihre eigenen gesetzlichen Fristen. Die richtige Konstruktion ist weder „alles ewig aufheben” noch „alles sofort löschen”, sondern eine definierte Frist pro Datentyp.

9. Spucken Ihre Logs personenbezogene Daten aus? Dass in technischen Aufzeichnungen (Systemlogs, Fehlerprotokollen) Namen, E-Mail-Adressen und Anschriften offen stehen, ist ein gern übersehenes Risiko. Die Maskierung personenbezogener Daten in Logs ist ein konkreter Bestandteil der „technischen Datensicherheitsmaßnahmen”.

E-Commerce und Dritte

10. Sind Kundendaten und Publikationsdaten getrennt? Das Konto Ihres Shop-Kunden darf keinerlei Berechtigung in die Publikationsprozesse tragen; Ihr E-Commerce-Operator darf nicht auf Autoren- und Gutachterdaten zugreifen. Rollentrennung ist die KVKK-Maßnahme der Zugriffsbeschränkung in Reinform.

11. Haben Sie eine Liste Ihrer Datenübermittlungen? Der Paketdienst erhält Adressen, der Zahlungsdienstleister verarbeitet Transaktionsdaten, der E-Mail-Dienst hält Adresslisten. Mit wem werden welche Daten geteilt — und stimmen Ihre Datenschutzhinweise mit dieser tatsächlichen Liste überein?

12. Sind Ihre Analytics und Cookies ehrlich? Statistikneugier rechtfertigt nicht, Tracking-Cookies als „notwendig” auszugeben. Im Cookie-Banner muss das Ablehnen so leicht sein wie das Annehmen; Analytics muss einwilligungsabhängig laufen. (Auf dieser Website halten wir es genauso.)

Die strukturelle Lösung: statt Compliance nachträglich zu flicken

Was die meisten Punkte der Liste gemeinsam haben: Sie werden nicht durch ein einmaliges „Compliance-Projekt” erfüllt, sondern durch Mechanismen, die in den Alltagsbetrieb eingebaut sind. Einwilligungs-Versionierung, rollenbasierter Zugriff, Log-Maskierung, Aufbewahrungsrichtlinien — als nachträgliche Flicken bleiben sie immer lückenhaft.

Beim Entwurf von Nasirus haben wir den Datenschutz nicht als Modul behandelt, sondern als Fundament; von der ausdrücklichen Einwilligung bis zur Zugriffsordnung ist die Entsprechung dieser Prinzipien im Produkt von Anfang an da. Die Zusammenfassung unseres Sicherheitsansatzes steht auf der Website; wenn Sie das 12-Punkte-Foto Ihrer Institution gemeinsam machen möchten, schreiben Sie uns — zur Demo ist auch Ihre Justiziarin herzlich eingeladen, die ergiebigsten Fragen kommen immer von ihr.