ISO 27001 und KVKK: Ihr ISMS auf das türkische Datenschutzrecht abbilden

Ein türkischer Exporteur besteht sein ISO 27001 Überwachungsaudit ohne Befund, und kurz darauf treffen eine Betroffenenanfrage und eine Frage aus der Rechtsabteilung eines Kunden ein: Belegt das Zertifikat die KVKK-Konformität? Die ehrliche Antwort lautet nein, und genau in dieser Lücke gehen die meisten Sicherheitsteams in die Falle. Ein Informationssicherheits-Managementsystem und ein Datenschutzgesetz überschneiden sich stark, doch sie sind nicht dasselbe Instrument. Wer das Zertifikat für eine Konformitätsquittung hält, steht bei genau den Pflichten ungeschützt da, die die Norm nie verlangt hat.

Dies ist ein Abgleich, keine Einführung. Ziel ist es, Kontrollbereich für Kontrollbereich zu zeigen, wo ISO 27001:2022 Anhang A das Gewicht einer KVKK-Pflicht (das türkische Datenschutzgesetz, Nr. 6698) bereits trägt und wo das Gesetz etwas verlangt, das die Norm schlicht nicht abdeckt. Wenn Sie ein ISMS betreiben und personenbezogene Daten verarbeiten, ist dies die Landkarte, die Ihnen zeigt, was Ihr Zertifikat für Sie leistet und was es offen lässt.

Warum sich die beiden Instrumente nur teilweise decken

ISO 27001 schützt Informationswerte vor dem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit, gleich was diese Werte enthalten. Die KVKK schützt natürliche Personen, genauer ihre personenbezogenen Daten, und sie erlegt Pflichten auf, die nichts damit zu tun haben, ob Ihre Sicherheitskontrollen funktionieren: eine Rechtsgrundlage für jede Verarbeitung, Transparenz gegenüber der Person, Grenzen für die Speicherdauer und einen festgelegten Weg, damit jemand seine Rechte ausüben kann. Die Norm ist risikogetrieben und wertorientiert. Das Gesetz ist rechtegetrieben und personenorientiert.

Dieser Unterschied ist der ganze Punkt. Die Kontrolle 5.34 in Anhang A, Privatsphäre und Schutz personenbezogener Daten, weist Sie ausdrücklich an, die Anforderungen der geltenden Gesetzgebung zu ermitteln und zu erfüllen, was in der Türkei die KVKK bedeutet. Die Norm verweist also auf das Gesetz, ohne es zu enthalten. Die Zertifizierung Ihres Informationssicherheits-Managementsystems liefert Ihnen die Maschinerie, um Datenschutz gut zu betreiben. Sie erfüllt aber für sich genommen nicht die rechtlichen Pflichten, denen diese Maschinerie dienen soll.

Wo Anhang A die KVKK tatsächlich erfüllt

Auf der Sicherheitsseite der KVKK, also bei der Pflicht des Verantwortlichen nach Artikel 12, angemessene technische und organisatorische Maßnahmen zu treffen, leistet ein zertifiziertes ISMS echte und belegbare Arbeit. Das ist der stärkste Teil der Überschneidung, und hier zahlt sich Ihr Zertifikat aus.

Technische und organisatorische Maßnahmen nach Artikel 12. Die KVKK verlangt vom Verantwortlichen, unrechtmäßigen Zugriff und unrechtmäßige Verarbeitung zu verhindern und die Daten zu bewahren. Anhang A antwortet darauf direkt: Zugangssteuerung (5.15 bis 5.18), Kryptografie (8.24), Protokollierung und Überwachung (8.15, 8.16), sichere Entwicklung (8.25 bis 8.28) und Lieferantensicherheit (5.19 bis 5.22). Der Leitfaden der türkischen Datenschutzbehörde zu technischen Maßnahmen liest sich nahezu als Teilmenge von Anhang A, weshalb ein akkreditiertes 27001-Zertifikat ein überzeugender Nachweis dafür ist, dass die Sicherheitshälfte von Artikel 12 erfüllt ist.

Umgang mit Verletzungen, auf der technischen Seite. Anhang A 5.24 bis 5.28 bauen eine Fähigkeit zum Vorfallmanagement auf: Erkennung, Reaktion, Beweissicherung, Lernen. Die KVKK verpflichtet den Verantwortlichen, eine Verletzung in kürzester Zeit der Behörde und den betroffenen Personen zu melden, was die Behörde mit 72 Stunden ansetzt. Das ISMS liefert Ihnen die Erkennungs- und Bewertungskette, die eine 72-Stunden-Frist überhaupt realistisch macht. Behalten Sie diesen Gedanken, denn die Meldepflicht selbst ist keine Kontrolle aus Anhang A.

Inventar und Klassifizierung der Werte. Anhang A 5.9 bis 5.13 verlangen, dass Sie wissen, welche Informationen Sie halten und wie sensibel sie sind. Dieses Inventar ist das Rohmaterial für ein KVKK-Verarbeitungsverzeichnis, auch wenn die beiden Artefakte nicht deckungsgleich sind.

Interne Rechenschaftsmechanik. Die Klauseln des Managementsystems, also Führung, Kompetenz, internes Audit, Managementbewertung, geben der KVKK-Rechenschaftspflicht einen Ort zum Leben. Ein Gesetz, das "sei rechenschaftsfähig" sagt, braucht ein System, das planmäßig Nachweise erzeugt, und genau das leistet ein ISO 27001 System.

Wo das Zertifikat endet: KVKK-Pflichten, die Anhang A nie verlangt

Hier liegt der Teil, den Sicherheitsteams unterschätzen. Ein erheblicher Anteil der KVKK ist gar keine Sicherheitsanforderung, und kein Reifegrad bei Anhang A bringt ihn hervor. Es sind die Kontrollen, die eine Datenschutzprüfung selbst in einem gut geführten ISMS als fehlend feststellt.

Rechtsgrundlage und ausdrückliche Einwilligung

Die KVKK-Artikel 5 und 6 verlangen einen rechtmäßigen Grund für jede Verarbeitung und für besondere Kategorien personenbezogener Daten häufig eine ausdrückliche Einwilligung. Anhang A kennt keinen Begriff der Verarbeitungsgrundlage. Ihre Verschlüsselung kann makellos sein, während die Verarbeitung, die sie schützt, rechtswidrig ist, weil Sie nie eine Grundlage dafür geschaffen haben. Das ist der mit Abstand häufigste blinde Fleck.

Transparenz und die Informationspflicht

Artikel 10 verpflichtet den Verantwortlichen, die Person zum Zeitpunkt der Erhebung darüber zu informieren, wer ihre Daten verarbeitet, warum, an wen sie übermittelt werden dürfen und auf welcher Rechtsgrundlage. Das ist die Informationspflicht, die aydınlatma yükümlülüğü. Es ist eine Mitteilungspflicht gegenüber der betroffenen Person. Anhang A schützt Daten, sobald Sie sie halten, sagt aber nichts darüber, den Menschen mitzuteilen, dass Sie sie halten.

Betroffenenrechte und der Antwortweg

Artikel 11 gibt Personen das Recht zu erfahren, ob ihre Daten verarbeitet werden, Berichtigung oder Löschung zu verlangen und Widerspruch einzulegen. Der Verantwortliche muss einen Weg betreiben, um diese Anträge entgegenzunehmen und innerhalb von 30 Tagen zu beantworten. Ein ISMS sichert die Daten hinter diesem Antrag, baut aber nicht den Aufnahme- und Antwortprozess, den das Gesetz vorschreibt.

Aufbewahrungsgrenzen und Löschung

Die KVKK verlangt, dass personenbezogene Daten nur so lange aufbewahrt werden, wie der Zweck es erfordert, und danach nach einer Aufbewahrungs- und Vernichtungsrichtlinie gelöscht, vernichtet oder anonymisiert werden. Anhang A 8.10 deckt das Löschen von Informationen als Sicherheitskontrolle ab, doch der rechtliche Auslöser, also der Wegfall des Zwecks statt eines Risikos, kommt aus dem Gesetz, und die dokumentierte Aufbewahrungsrichtlinie ist ein KVKK-Artefakt, das die Norm nicht verlangt.

VERBIS-Registrierung und Drittlandübermittlung

Viele Verantwortliche müssen sich bei VERBIS registrieren, dem Register der Datenverantwortlichen der Behörde, und KVKK-Artikel 9 stellt bestimmte Bedingungen für die Übermittlung personenbezogener Daten ins Ausland. Für ein türkisches Unternehmen, das EU-Kunden bedient, beißt das Gesetz hier am härtesten, und das ist eine rein rechtliche und administrative Pflicht. Anhang A hat dafür keine Entsprechung. Deshalb steht eine eigene KVKK-Arbeit neben Ihrer Sicherheitszertifizierung, nicht in ihr.

Bei der Drittlandübermittlung zählt zudem eine jüngere Gesetzesänderung. Die Novelle von Artikel 9 aus dem Jahr 2024 führte Standardvertragsklauseln, verbindliche interne Vorschriften und angemessenheitsähnliche Wege als Grundlagen für die Übermittlung ins Ausland ein und rückt die Türkei näher an das Modell der DSGVO. Anhang A 5.14, die Informationsübertragung, verlangt von Ihnen, Daten während der Übertragung zu schützen und mit der empfangenden Partei Übertragungsregeln zu vereinbaren. Diese Kontrolle lässt Sie den Kanal verschlüsseln und einen Sicherheitsanhang unterzeichnen, sagt Ihnen aber nicht, ob die Übermittlung eine rechtmäßige KVKK-Grundlage hat, und erzeugt auch nicht die Standardvertragsklauseln, die der geänderte Artikel 9 nun erwartet. Die Sicherheitsmechanik und die rechtliche Erlaubnis sind zwei getrennte Fragen, und Ihr Zertifikat beantwortet nur die erste.

Wie Sie Ihr Zertifikat nach diesem Abgleich lesen sollten

Die praktische Schlussfolgerung lautet: ISO 27001 deckt die technischen und organisatorischen Sicherheitspflichten der KVKK überzeugend ab und die Pflichten zu Rechtsgrundlage, Transparenz, Rechten und Registrierung kaum. Ein reifes ISMS bringt Sie bei den Kontrollen, die für ein Audit zählen, vielleicht zwei Drittel des Weges, und bei den Pflichten, die für eine Prüfung der Behörde zählen, nur einen Bruchteil.

Der effiziente Weg ist, beides als ein Programm zu führen statt als zwei. Nutzen Sie die Anwendbarkeitserklärung aus Anhang A als Rückgrat und ergänzen Sie dann die rein KVKK-bezogenen Artefakte: das Verarbeitungsverzeichnis, das Register der Rechtsgrundlagen, die Informationstexte, das Verfahren für Betroffenenanträge, den Aufbewahrungsplan und die VERBIS-Meldung. Ihr internes Audit und Ihre Managementbewertung, von der Norm ohnehin verlangt, decken dann beides ab. Das ist die Integration, die aus einem Sicherheitszertifikat eine echte Datenschutzsicherheit macht, und es ist die Arbeit, deren Umfang Sie vor Ihrem nächsten Auditzyklus festlegen sollten, nicht erst nachdem eine Beschwerde eingegangen ist.