Süha Hukuk & Danışmanlık
Termin vereinbaren

Tätigkeitsbereiche

IT- und Internetrecht

Bei Rechtsverletzungen über das Internet laufen zwei getrennte Verfahren gleichzeitig: der Antrag auf Entfernung des Inhalts und das Ermittlungsverfahren zur strafrechtlichen Seite der Tat. Unsere Kanzlei führt diese beiden Verfahren gemeinsam und bereitet darüber hinaus die Maßnahmen von Unternehmen zur Einhaltung der Vorschriften über personenbezogene Daten und Cybersicherheit vor.

Im Folgenden finden Sie Informationen dazu, wie das Verfahren zur Entfernung von Inhalten und zur Zugangssperre abläuft, welche ersten Schritte bei Computerstraftaten zu unternehmen sind und welche Pflichten Unternehmen nach dem Datenschutzgesetz (KVKK) haben, sowie Antworten auf häufig gestellte Fragen.

Wie läuft das Verfahren zur Entfernung von Inhalten und zur Zugangssperre ab?

  • Verletzung von Persönlichkeitsrechten (Türkisches Zivilgesetzbuch (TMK) Art. 24–25). Da Art. 9 des Gesetzes Nr. 5651 vom Verfassungsgericht aufgehoben wurde, steht für Inhalte, die Ehre und Ansehen verletzen, der Weg zum Friedensstrafrichter (sulh ceza hâkimliği) nicht mehr offen. Für die Entfernung des Inhalts wird Klage beim Zivilgericht erster Instanz (asliye hukuk mahkemesi) erhoben; würde der Verbleib des Inhalts bis zum Ende des Verfahrens einen erheblichen Schaden verursachen, werden die Zugangssperre oder die Entfernung des Inhalts als einstweilige Verfügung (ihtiyati tedbir) beantragt (Zivilprozessgesetz (HMK) Art. 389).
  • Verletzung der Privatsphäre (Gesetz Nr. 5651 Art. 9/A). Bei Inhalten, die die Privatsphäre verletzen, wird ein Antrag bei der Direktion für Cybersicherheit (Siber Güvenlik Başkanlığı) gestellt; die Zugangsanbieter setzen die Sperre spätestens innerhalb von vier Stunden um. Der Antragsteller legt den Antrag innerhalb von 24 Stunden dem Friedensstrafrichter zur Bestätigung vor; der Richter entscheidet innerhalb von 48 Stunden, ergeht keine Entscheidung, entfällt die Sperre von selbst. Dieser Weg steht für Angriffe auf Ehre oder Ansehen nicht zur Verfügung.
  • Umsetzung der Entscheidung. Die Sperre gilt nur für die in der Entscheidung genannte Adresse (URL). Ein Anbieter sozialer Netzwerke, der einen von einem Richter oder Gericht als rechtswidrig festgestellten Inhalt nicht innerhalb von 24 Stunden nach Zustellung der Entscheidung entfernt oder sperrt, haftet unmittelbar für den entstandenen Schaden (Gesetz Nr. 5651 Zusatzartikel 4).
  • Antrag an die Plattform. Ein Anbieter sozialer Netzwerke mit mehr als einer Million täglichen Zugriffen aus der Türkei beantwortet Anträge auf Entfernung von Inhalten innerhalb von 48 Stunden mit Begründung (Gesetz Nr. 5651 Zusatzartikel 4).
  • Suchmaschinenergebnisse. Bei Nachrichtenarchiven oder älteren Inhalten kann zusätzlich die Entfernung von Links aus den Suchergebnissen beantragt werden. Einzelheiten finden Sie in unserem Beitrag Recht auf Vergessenwerden: Entfernung aus den Google-Suchergebnissen (auf Türkisch).
  • Strafrechtliche Ermittlungen. Unabhängig von der Entfernung des Inhalts wird bei der Oberstaatsanwaltschaft Strafantrag gestellt, sofern die Tat eine Straftat darstellt. Bei der Beleidigung beträgt die Antragsfrist nach Art. 73 des Türkischen Strafgesetzbuchs (TCK) sechs Monate ab Kenntnis von Tat und Täter, in jedem Fall jedoch zwei Jahre ab der Tat.
  • Schadensersatz. Die in ihren Persönlichkeitsrechten verletzte Person kann zudem Klage auf Ersatz des materiellen und immateriellen Schadens erheben; diese Klage wird vor den Zivilgerichten verhandelt.

Welche ersten Schritte sind bei Kontoübernahme und Internetbetrug zu unternehmen?

Bei Straftaten, die mittels Informationstechnik begangen werden, können digitale Spuren binnen kurzer Zeit gelöscht und überwiesenes Geld rasch auf andere Konten verschoben werden. Deshalb ebnen die Schritte, die Sie in den ersten Stunden nach Bemerken des Vorfalls unternehmen, den Weg sowohl für die Ermittlungen als auch für den Ausgleich des Schadens.

  • Sichern Sie Beweise. Bildschirmfotos, Linkadressen (URL), Benutzernamen, Datums- und Zeitangaben, Korrespondenz und Transaktionsbelege sind unverändert aufzubewahren. Nach Möglichkeit sollten die Inhalte vor ihrer Löschung durch einen Notar festgestellt werden.
  • Benachrichtigen Sie unverzüglich die Bank. Die Karte oder das Konto sollte gesperrt werden, und nicht autorisierten Transaktionen sollte schriftlich widersprochen werden. Der Zeitpunkt der Meldung ist für die Beurteilung der Haftung der Bank von Bedeutung.
  • Wenden Sie sich an die Plattform. Die Verfahren des sozialen Netzwerks oder des E-Mail-Anbieters zur Kontowiederherstellung und zur Meldung von Missbrauch sollten genutzt werden.
  • Stellen Sie Strafantrag. In dem bei der Oberstaatsanwaltschaft einzureichenden Strafantrag sollte die Feststellung der IP-Protokolle, der Teilnehmerdaten und der Bewegungen auf den Konten, auf die das Geld überwiesen wurde, beantragt werden.
  • Prüfen Sie vermögenssichernde Maßnahmen. In Bezug auf die Konten, auf die das Geld überwiesen wurde, kommen Maßnahmen wie Beschlagnahme oder Arrest (ihtiyati haciz) in Betracht. Zu den Fristen beim Arrest können Sie unseren Beitrag Arrest: Voraussetzungen und Ausschlussfristen (auf Türkisch) lesen.

Bei unbefugter Verwendung von Bank- oder Kreditkartendaten wird zusätzlich geprüft, ob die Bank die erforderlichen Sicherheitsvorkehrungen getroffen hat. Diese Prüfung kann je nach Streitwert vor der Verbraucherschiedsstelle (tüketici hakem heyeti) oder dem Verbrauchergericht vorgenommen werden.

Wie wird die Einhaltung des KVKK in Unternehmen aufgebaut?

Das Datenschutzgesetz Nr. 6698 (Gesetz zum Schutz personenbezogener Daten) erlegt jeder natürlichen und juristischen Person, die personenbezogene Daten verarbeitet, Pflichten auf. Die Umsetzung ist keine einmalige Erstellung von Dokumenten; sie beginnt mit einer Bestandsaufnahme der Datenflüsse im Unternehmen und wird fortgeschrieben, sobald sich die Geschäftsprozesse ändern.

Grundlegende Pflichten

  • Informationspflicht. Bei der Erhebung der Daten wird der betroffenen Person mitgeteilt, zu welchem Zweck und auf welcher Rechtsgrundlage die Daten verarbeitet werden (Art. 10).
  • Rechtsgrundlage. Für jede Verarbeitungstätigkeit wird eine der gesetzlichen Verarbeitungsvoraussetzungen bestimmt; eine ausdrückliche Einwilligung wird nur eingeholt, wenn keine andere Rechtsgrundlage vorliegt (Art. 5–6).
  • Datensicherheit. Es werden technische und organisatorische Maßnahmen getroffen, um die rechtswidrige Verarbeitung von Daten und den unbefugten Zugriff darauf zu verhindern (Art. 12).
  • Anträge betroffener Personen. Anträge der betroffenen Personen werden spätestens innerhalb von dreißig Tagen beschieden (Art. 13).
  • VERBİS-Registrierung. Verantwortliche, die in den durch das Gesetz und durch Beschlüsse der Datenschutzbehörde (Kurul) bestimmten Anwendungsbereich fallen, lassen sich in das Register der Verantwortlichen eintragen (Art. 16).
  • Übermittlung ins Ausland. Seit dem 1. Juni 2024 stützt sich die Übermittlung ins Ausland in erster Linie auf einen Angemessenheitsbeschluss und, wenn ein solcher fehlt, auf geeignete Garantien wie Standardverträge oder verbindliche unternehmensinterne Vorschriften. Ein Standardvertrag ist der Datenschutzbehörde (Kurum) innerhalb von fünf Arbeitstagen nach seiner Unterzeichnung mitzuteilen (Art. 9).

Bei einer Datenschutzverletzung

Werden die verarbeiteten personenbezogenen Daten auf rechtswidrigem Wege von Dritten erlangt, teilt der Verantwortliche dies der betroffenen Person und der Datenschutzbehörde schnellstmöglich mit (Art. 12/5). Die Datenschutzbehörde hat beschlossen, dass diese Meldung spätestens innerhalb von zweiundsiebzig Stunden ab Kenntnis der Verletzung zu erstatten ist.

Beschwerdeweg der betroffenen Person

Die betroffene Person wendet sich zunächst an den Verantwortlichen. Wird der Antrag abgelehnt, die Antwort als unzureichend angesehen oder nicht fristgerecht geantwortet, kann innerhalb von dreißig Tagen ab Kenntnis der Antwort und in jedem Fall innerhalb von sechzig Tagen ab Antragstellung Beschwerde bei der Datenschutzbehörde eingelegt werden (Art. 14).

Was bedeutet das Cybersicherheitsgesetz für Unternehmen?

Das am 19. März 2025 in Kraft getretene Cybersicherheitsgesetz Nr. 7545 hat öffentlichen Einrichtungen sowie natürlichen und juristischen Personen, die im Cyberraum tätig sind, neue Pflichten auferlegt. Dazu gehören die Einhaltung der vom Präsidium für Cybersicherheit festgelegten Richtlinien und Standards, die Meldung von Cybervorfällen und Sicherheitslücken sowie die unverzügliche Vorlage angeforderter Informationen und Unterlagen. Das Gesetz regelt für Verstöße gegen diese Pflichten zudem Verwaltungsgeldbußen sowie Straftatbestände, die Freiheitsstrafen vorsehen.

Insbesondere für Unternehmen, die in den organisierten Industriezonen in Gebze, Dilovası und Sakarya produzieren und deren Lieferketten an digitale Systeme angebunden sind, ist es wichtig, die KVKK-Konformität und die Pflichten zur Cybersicherheit in einem einheitlichen internen Regelwerk zu behandeln und die Abläufe zur Reaktion auf Vorfälle und zur Meldung vorab schriftlich festzulegen.

Welche Tätigkeiten übernehmen wir?

  • Vorbereitung von Klagen zum Schutz der Persönlichkeitsrechte mit Antrag auf einstweilige Verfügung sowie von Anträgen auf Zugangssperre wegen Verletzung der Privatsphäre für Inhalte in sozialen Netzwerken und auf Websites
  • Begleitung von Anträgen bei der Direktion für Cybersicherheit und bei Anbietern sozialer Netzwerke
  • Abfassung von Strafanträgen und Begleitung des Ermittlungsverfahrens bei Beleidigung, Verleumdung und Bedrohung über das Internet
  • Vertretung von Geschädigten in Verfahren wegen Kontoübernahme, Phishing und qualifiziertem Betrug
  • Erstellung von Dokumenten zur Einhaltung des Datenschutzrechts wie Datenschutzhinweisen, Einwilligungserklärungen, Dateninventaren sowie Richtlinien zur Aufbewahrung und Vernichtung
  • Begleitung von Meldungen von Datenschutzverletzungen und von Beschwerden bei der Datenschutzbehörde
  • Anträge auf Entfernung von Links aus Suchmaschinenergebnissen (Recht auf Vergessenwerden)
  • Erstellung und Prüfung von Softwarelizenzverträgen, Service-Level-Vereinbarungen und Geheimhaltungsvereinbarungen

Von uns betreute Verfahrensarten

  • Straftaten gegen Informationssysteme: unbefugter Zugang zum System, Behinderung und Störung des Systems, Löschung oder Veränderung von Daten (TCK Art. 243–244)
  • Straftaten im Zusammenhang mit Zahlungsmitteln: Missbrauch von Bank- oder Kreditkarten, Besitz verbotener Geräte und Programme (TCK Art. 245, 245/A)
  • Betrug unter Verwendung eines Informationssystems als Tatmittel: Verfahren wegen Phishing, gefälschter Websites und gefälschter Anlageplattformen (TCK Art. 158/1-f)
  • Verletzungen von Persönlichkeitsrechten über das Internet: Beleidigung, Verleumdung, Bedrohung, Verletzung der Privatsphäre (TCK Art. 125, 267, 106, 134)
  • Verstöße im Zusammenhang mit personenbezogenen Daten: rechtswidrige Weitergabe oder Erlangung von Daten, Meldungen von Datenschutzverletzungen, Beschwerden bei der Datenschutzbehörde (TCK Art. 135–136; Gesetz Nr. 6698)
  • Digitale Handelsstreitigkeiten: Streitigkeiten um Domainnamen, Forderungen aus Software- und Lizenzverträgen, Streitigkeiten im Onlinehandel. Zur Rechteinhaberschaft an Software können Sie unseren Beitrag Arbeitnehmererfindungen und Urheberrechtskonflikte bei Software (auf Türkisch) lesen.

Zur strafprozessualen Seite von Computerstraftaten können Sie auch unsere Seite Strafrecht und zu Software- und Markenrechten unsere Seite Gewerblicher Rechtsschutz und Urheberrecht aufrufen.

Vor welchen Stellen werden IT-rechtliche Streitigkeiten auf der anatolischen Seite Istanbuls, in Kocaeli und in Sakarya geführt?

Im IT-Recht verläuft das Verfahren nicht vor einer einzigen Stelle; Anträge auf Entfernung von Inhalten, strafrechtliche Ermittlungen und verwaltungsrechtliche Beschwerden werden bei unterschiedlichen Institutionen eingereicht. Die örtliche Zuständigkeit richtet sich grundsätzlich nach dem Wohnsitz des Geschädigten oder nach dem Tatort.

Anatolische (asiatische) Seite Istanbuls

Klagen zum Schutz der Persönlichkeitsrechte und Anträge auf einstweilige Verfügung werden vor den Zivilgerichten erster Instanz im Justizgebäude Istanbul Anadolu und im Justizgebäude Istanbul verhandelt; die Bestätigung von Sperren wegen Verletzung der Privatsphäre erfolgt durch die Friedensstrafrichter, Strafanzeigen werden bei den Oberstaatsanwaltschaften gestellt. Anträge an die Datenschutzbehörde und die Direktion für Cybersicherheit können dagegen unabhängig vom Wohnsitz eingereicht werden.

Kocaeli und Sakarya

Für Klagen und Anträge aus diesen Regionen sind die Zivilgerichte erster Instanz, die Friedensstrafrichter und die Oberstaatsanwaltschaften in den Justizgebäuden Kocaeli, Gebze und Sakarya zuständig. Für Unternehmen, die in den organisierten Industriezonen in Gebze, Dilovası und Sakarya tätig sind, werden die Maßnahmen zur Einhaltung von KVKK und Cybersicherheitsvorgaben anhand von Gesprächen vor Ort ausgearbeitet, die sich an den internen Abläufen des jeweiligen Unternehmens orientieren.

Beiträge zum Thema (auf Türkisch)

Um uns Informationen zu einem Verfahren zur Entfernung von Inhalten, zu einer Computerstraftat oder zu Ihrem KVKK-Umsetzungsprozess auf der anatolischen Seite Istanbuls, in Kocaeli oder in Sakarya zu übermitteln, können Sie unsere Kontaktseite nutzen oder einen Termin in unserer Kanzlei in Kadıköy vereinbaren.

Die Informationen auf dieser Seite sind allgemeiner Natur und ersetzen keine rechtliche Beurteilung eines konkreten Streitfalls.

Häufig gestellte Fragen

Zunächst kann ein Antrag an die Plattform gestellt werden; der Anbieter sozialer Netzwerke antwortet innerhalb von 48 Stunden mit Begründung (Gesetz Nr. 5651 Zusatzartikel 4). Wird der Inhalt nicht entfernt, wird Klage beim Zivilgericht erster Instanz erhoben und die Sperrung des Inhalts bis zum Ende des Verfahrens als einstweilige Verfügung beantragt (TMK Art. 24–25; HMK Art. 389). Verletzt der Inhalt die Privatsphäre, steht zusätzlich der Antrag bei der Direktion für Cybersicherheit offen (Gesetz Nr. 5651 Art. 9/A). Die Sicherung des Inhalts durch notarielle oder elektronische Feststellung vor der Antragstellung schützt die Beweise für den Fall, dass der Inhalt später gelöscht wird.

Eine Sperre wegen Verletzung der Privatsphäre wird spätestens innerhalb von vier Stunden umgesetzt; der Antrag wird innerhalb von 24 Stunden dem Friedensstrafrichter zur Bestätigung vorgelegt, der innerhalb von 48 Stunden entscheidet (Gesetz Nr. 5651 Art. 9/A). Ein Anbieter sozialer Netzwerke, der einen von einem Richter oder Gericht als rechtswidrig festgestellten Inhalt nicht innerhalb von 24 Stunden nach Zustellung der Entscheidung entfernt, haftet für den entstandenen Schaden. Die Umsetzung beschränkt sich auf die in der Entscheidung genannten Adressen; wurde derselbe Inhalt unter anderen Adressen erneut veröffentlicht, ist für jede ein gesonderter Antrag erforderlich.

Zunächst wird versucht, den Zugang über die mit dem Konto verknüpfte E-Mail-Adresse und Telefonnummer wiederherzustellen, und der eigene Meldekanal der Plattform wird genutzt. Anschließend wird bei der Oberstaatsanwaltschaft Strafantrag gestellt; dem Antrag werden Nachweise, dass das Konto Ihnen gehört, Benachrichtigungs-E-Mails zum Zeitpunkt der Übernahme und gegebenenfalls Nachrichteninhalte beigefügt. Wurden über das Konto Nachrichten an Dritte versandt, ist auch dies gesondert anzugeben.

Sobald die Transaktion bemerkt wird, wird die Bank schriftlich benachrichtigt, und die Transaktionsaufzeichnungen werden angefordert. Noch am selben Tag wird bei der Oberstaatsanwaltschaft Strafantrag gestellt und beantragt, die Konten, auf die das Geld überwiesen wurde, zu sperren; eine frühe Antragstellung ist entscheidend dafür, dass das Geld aufgehalten werden kann, bevor es das Konto verlässt. Wird ein Verschulden der Bank geltend gemacht, kann zusätzlich die Verbraucherschiedsstelle oder das Verbrauchergericht angerufen werden.

Die Umsetzung stützt sich in der Regel auf ein Dateninventar, Datenschutzhinweise, Einwilligungserklärungen, eine Richtlinie zur Aufbewahrung und Vernichtung personenbezogener Daten, die Benennung einer Kontaktperson und gegebenenfalls die Registrierung bei VERBİS. Daten von Beschäftigten, Kunden und Lieferanten werden jeweils gesondert behandelt; werden Daten ins Ausland übermittelt, sind die Voraussetzungen der Übermittlung zusätzlich zu prüfen.

Der Verantwortliche meldet die Verletzung der Datenschutzbehörde spätestens innerhalb von zweiundsiebzig Stunden ab Kenntnis. Auch die von der Verletzung betroffenen Personen werden innerhalb der kürzesten angemessenen Frist informiert. Eine nicht fristgerechte Meldung kann eine Verwaltungsgeldbuße nach sich ziehen.

Im Rahmen des Rechts auf Vergessenwerden kann verlangt werden, dass Links, die bei einer Suche nach Vor- und Nachnamen erscheinen, aus den Ergebnissen entfernt werden. Der Antrag wird zunächst an die Suchmaschine gerichtet; wird er abgelehnt oder bleibt er unbeantwortet, steht der Beschwerdeweg zur Datenschutzbehörde offen. Bei der Beurteilung werden die Aktualität der Information, das öffentliche Interesse und die Frage, ob die Person eine öffentliche Rolle einnimmt, gemeinsam berücksichtigt.

Die Beleidigung ist grundsätzlich ein Antragsdelikt; die Antragsfrist beträgt sechs Monate ab Kenntnis von Tat und Täter, in jedem Fall jedoch zwei Jahre ab der Tat (TCK Art. 73). Die Versäumung dieser Frist beendet die Strafverfolgung; dagegen unterliegen der Antrag auf Entfernung des Inhalts und die Schadensersatzklage eigenen Fristen und Verfahrensregeln.

Das am 19. März 2025 in Kraft getretene Cybersicherheitsgesetz Nr. 7545 hat natürlichen und juristischen Personen, die im Cyberraum tätig sind, die Pflichten auferlegt, die vom Präsidium für Cybersicherheit festgelegten Richtlinien und Standards einzuhalten, Cybervorfälle und Sicherheitslücken zu melden sowie angeforderte Informationen und Unterlagen vorzulegen. Für Verstöße gegen diese Pflichten sind zudem Verwaltungsgeldbußen sowie Straftatbestände geregelt, die Freiheitsstrafen vorsehen.

← Alle Rechtsgebiete