Kundentreue nach KVKK und İYS

Was deckt dieser Leitfaden ab und was nicht?

Dieser Leitfaden erklärt in groben Zügen die Grundbegriffe, die kleine und mittlere Betriebe in der Türkei beim Aufbau eines Treueprogramms kennen sollten; er ist keine Rechtsberatung. Gesetze und Entscheidungen der türkischen Datenschutzbehörde können sich ändern, und jeder Betrieb ist anders. Lass deine Texte vor der Veröffentlichung unbedingt von einer Anwältin, einem Anwalt oder einer KVKK-Beratung prüfen.

Das Thema hat zwei Säulen: Das Gesetz Nr. 6698 über den Schutz personenbezogener Daten, kurz KVKK (türkisches Datenschutzgesetz), regelt, wie personenbezogene Daten von Kunden erhoben und verarbeitet werden. Das Gesetz Nr. 6563 zur Regelung des elektronischen Handels und die zugehörige Verordnung regeln den Versand kommerzieller elektronischer Nachrichten wie Kampagnen oder Rabatte; die Erlaubnisse dafür werden im İYS (İleti Yönetim Sistemi, das türkische Nachrichtenverwaltungssystem) registriert. In einem Treueprogramm hast du mit beidem zu tun.

Was ist der Unterschied zwischen Information und ausdrücklicher Einwilligung?

Die Information (aydınlatma) ist eine Unterrichtung und erfolgt immer; die ausdrückliche Einwilligung (açık rıza) ist dagegen die Zustimmung des Kunden zu einer bestimmten Verarbeitung und wird nur bei Bedarf eingeholt. Beides wird oft verwechselt, ist aber nicht dasselbe.

Der Informationstext erklärt dem Kunden bei der Datenerhebung:

• Wer der Verantwortliche ist (also dein Betrieb).
• Zu welchem Zweck die Daten verarbeitet werden (z. B. Verwaltung der Treuekarte, Stempel und Prämien).
• An wen und zu welchem Zweck die Daten übermittelt werden können (z. B. an deinen Softwareanbieter).
• Auf welche Weise und auf welcher Rechtsgrundlage die Daten erhoben werden.
• Welche gesetzlichen Rechte der Kunde hat und wie er sich an dich wenden kann.

Die ausdrückliche Einwilligung ist eine Zustimmung zu einem bestimmten Thema, die auf Information beruht und freiwillig erteilt wird. Im KVKK ist sie nur eine von mehreren Verarbeitungsgrundlagen; daneben gibt es etwa den Abschluss oder die Erfüllung eines Vertrags, rechtliche Pflichten oder berechtigte Interessen. Welche Verarbeitung auf welcher Grundlage beruht, solltest du mit deiner Rechtsberatung klären.

In der Praxis gibt es zwei wichtige Punkte: Halte Informationstext und Einwilligungstext getrennt. Und mach die Einwilligung nicht zur Voraussetzung für die Leistung; wer eine Leistung, die auch ohne Einwilligung möglich wäre, nur daran koppelt, um eine Zustimmung zu bekommen, stellt deren Freiwilligkeit infrage.

Was ist das İYS und warum wird die Werbeerlaubnis separat eingeholt?

Das İYS (İleti Yönetim Sistemi) ist das nationale System in der Türkei, in dem Unternehmen ihre Erlaubnisse für kommerzielle elektronische Nachrichten registrieren und in dem Bürger diese Erlaubnisse einsehen und verwalten können. Werbliche SMS, E-Mails oder Anrufe, etwa zu Kampagnen, Rabatten oder „Wir vermissen dich“, gelten als kommerzielle elektronische Nachrichten und erfordern die vorherige Zustimmung des Empfängers.

Die Werbeerlaubnis ist eine eigene Zustimmung, getrennt von der KVKK-Einwilligung. Ein Kunde kann der Datenverarbeitung für die Treuekarte zustimmen, aber keine Werbenachrichten wollen. Deshalb gehören zwei getrennte Optionen ins Formular, und das Kästchen für die Werbeerlaubnis darf nicht vorausgewählt sein.

• Dokumentiere die Werbeerlaubnis: wann, über welchen Kanal und mit welchem Text sie erteilt wurde.
• Registriere die Erlaubnisse im İYS; versende keine Nachrichten auf Grundlage einer Erlaubnis, die dort nicht registriert ist.
• Biete in jeder Nachricht einen einfachen und kostenlosen Weg zum Widerspruch.
• Hör auf, Kunden anzuschreiben, die widersprochen haben, und halte deine Liste aktuell.
• Rein informative Nachrichten (z. B. Terminerinnerungen) können anders zu bewerten sein als werbliche; kläre die Grenze mit deiner Rechtsberatung.

Auch Wallet-Benachrichtigungen solltest du unter diesem Blickwinkel betrachten. Ist eine Kampagnenmeldung auf dem Sperrbildschirm werblich, ist es vorsichtig, sie nur an Kunden mit Werbeerlaubnis zu senden.

Welche Daten sollte ein Treueprogramm erheben?

Erhebe nur die Daten, die das Programm wirklich braucht; das nennt man Datenminimierung, und es entspricht dem allgemeinen KVKK-Grundsatz, dass Daten „zweckgebunden, begrenzt und verhältnismäßig“ sein müssen. Je weniger Daten du hältst, desto weniger musst du schützen.

Für eine Treuekarte reicht in der Regel:

• Eine Kontaktangabe, um die Karte dem Kunden zuzuordnen (z. B. E-Mail).
• Der Name (optional; für eine persönliche Ansprache auf der Karte).
• Stempel-, Punkte- und Prämienverlauf.
• Der Geburtstag, wenn du ein Geburtstagsgeschenk anbietest; sonst frag gar nicht danach.

Bei Beautysalons, Spas und Tierhandlungen gibt es einen besonders heiklen Punkt: Angaben zu Allergien, Hautempfindlichkeit oder Gesundheit gelten als besondere Kategorien personenbezogener Daten und unterliegen strengeren Regeln. Solche Angaben gehören nicht ins Treueprogramm. Auch Notizen zum Haustier können zu personenbezogenen Daten werden, wenn sie mit der Identität des Halters gespeichert sind; erhebe sie nur, wenn nötig. Branchenspezifische Beispiele findest du auf den Seiten für Beautysalon, Spa und Tierhandlung.

Wie lange werden Kundendaten gespeichert und wie werden sie gelöscht?

Personenbezogene Daten werden so lange gespeichert, wie es der Verarbeitungszweck erfordert; entfällt der Zweck, müssen sie gelöscht, vernichtet oder anonymisiert werden. Schreiben Gesetze eine andere Aufbewahrungsfrist vor, gilt diese.

Ein praktischer Ansatz für Treueprogramme:

1. Lege eine Speicherfrist fest (z. B. was passiert, wenn eine Karte lange nicht genutzt wird) und nenne sie klar im Informationstext.
2. Prüfe abgelaufene Daten in regelmäßigen Abständen und lösche oder anonymisiere sie.
3. Halte Analyseangaben (z. B. Besuche pro Monat) aggregiert, ohne Personenbezug.
4. Auch Papierkarten, Hefte und Kopien können personenbezogene Daten enthalten; vernichte sie beim Umstieg auf digital sicher.

Wenn du den Wechsel von Papier zu digital planst, findest du im Ratgeber Umstieg von der Papier-Stempelkarte auf digital einen Schritt-für-Schritt-Plan.

Was tust du, wenn ein Kunde Auskunft oder Löschung verlangt?

Erfasse die Anfrage, prüfe die Identität in angemessener Weise und antworte innerhalb der gesetzlichen Frist, spätestens innerhalb von dreißig Tagen. Das KVKK gibt Betroffenen unter anderem das Recht zu erfahren, ob ihre Daten verarbeitet werden, Auskunft zu verlangen, Berichtigung, Löschung oder Vernichtung zu fordern und Widerspruch einzulegen.

• Nenne im Informationstext, über welchen Kanal Anfragen eingehen.
• Halte eingehende Anfragen, ihre Daten und deine Antwort an einer Stelle fest.
• Behandle bei einer Löschanfrage Karte, Kontaktdaten und Werbeerlaubnis gemeinsam; entferne den Kunden auch aus der Versandliste.
• Sorge dafür, dass dein Personal weiß, an wen es solche Anfragen weiterleitet.

Wer ist Verantwortlicher und wer Auftragsverarbeiter?

Der Betrieb, der das Treueprogramm einrichtet, ist der Verantwortliche (veri sorumlusu); der Softwareanbieter, der das Programm betreibt, ist in den meisten Fällen Auftragsverarbeiter (veri işleyen) im Namen des Betriebs. Der Verantwortliche entscheidet, warum und wie Daten verarbeitet werden; der Auftragsverarbeiter verarbeitet sie auf dessen Weisung und in dessen Namen.

Die Unterscheidung ist wichtig, weil Information, gegebenenfalls Einwilligung und die Beantwortung von Kundenanfragen im Kern Pflichten des Verantwortlichen sind. Der Verantwortliche kann zusammen mit dem Auftragsverarbeiter auch für die Datensicherheit haftbar gemacht werden; deshalb ist es gute Praxis, Rollen und Sicherheitsmaßnahmen schriftlich mit dem Anbieter festzulegen. Manche Betriebe müssen sich zudem im Register der Verantwortlichen (VERBİS) eintragen; das hängt von der Situation des Betriebs ab, prüfe deinen Fall.

Bei Dokun sind die Rollen genauso verteilt: Der Betrieb ist Verantwortlicher, Dokun Auftragsverarbeiter. Dokun stellt Werkzeuge bereit, damit du diese Pflichten erfüllen kannst: Informationstext und ausdrückliche Einwilligung werden protokolliert, die Werbeerlaubnis wird separat eingeholt und gespeichert, Erlaubnisse lassen sich in einem für das İYS hochladbaren Format exportieren, und Kunden können über ihre Kartenseite ihre Daten herunterladen oder deren Löschung beantragen. Die Daten liegen auf einer Infrastruktur in der EU (Irland); da dies eine Übermittlung ins Ausland ist, muss sie im Informationstext genannt und müssen die gesetzlichen Übermittlungsvoraussetzungen erfüllt werden. Details findest du auf unserer KVKK-Seite. Werkzeuge erleichtern die Arbeit, ersetzen aber keine rechtliche Prüfung.

Checkliste für KVKK- und İYS-Konformität

Hake diese Liste vor dem Start Punkt für Punkt ab; bei Unsicherheiten frag deine Rechtsberatung.

• Der Informationstext ist fertig und für Kunden zugänglich, bevor sie Daten angeben.
• Falls eine ausdrückliche Einwilligung nötig ist, wird sie getrennt vom Informationstext und nicht als Bedingung für die Leistung eingeholt.
• Die Werbeerlaubnis wird über ein eigenes, nicht vorausgewähltes Kästchen abgefragt.
• Werbeerlaubnisse werden dokumentiert und im İYS registriert.
• Jede Kampagnennachricht enthält einen einfachen, kostenlosen Widerspruchsweg.
• Es werden nur notwendige Daten erhoben; besondere Kategorien wie Gesundheitsdaten sind nicht im Programm.
• Eine Speicherfrist ist festgelegt, und abgelaufene Daten werden gelöscht oder anonymisiert.
• Für Auskunfts- und Löschanfragen gibt es einen Anfrageweg und eine Dokumentation.
• Die Rollen Verantwortlicher und Auftragsverarbeiter sind mit dem Softwareanbieter geklärt.
• Eine etwaige Übermittlung ins Ausland ist im Informationstext genannt und die Voraussetzungen sind geprüft.
• Das Personal weiß, dass Kundendaten nicht auf private Handys oder in Hefte kopiert werden.

Die Grundlagen digitaler Karten erklärt der Ratgeber Was ist eine digitale Kundenkarte?. Pakete und Funktionen findest du unter Preise.