B2B-Besuchererkennung in der Türkei

Die Türkei ist weder EU- noch EWR-Mitglied, sodass die DSGVO dort nicht unmittelbar gilt; stattdessen wendet die Türkei ihr eigenes umfassendes Gesetz an, das KVKK — Gesetz Nr. 6698 über den Schutz personenbezogener Daten —, seit 2016 in Kraft und eng an früheres europäisches Datenschutzrecht angelehnt. Die Struktur wirkt für jeden, der mit der DSGVO gearbeitet hat, vertraut: Vor der Verarbeitung ist eine Rechtsgrundlage erforderlich, Betroffene haben Auskunfts- und Widerspruchsrechte, und ein Auftragsverarbeiter handelt strikt nach den dokumentierten Weisungen des Verantwortlichen. Das KVKK als reine Übersetzung der DSGVO zu behandeln, unterschätzt reale Unterschiede, besonders bei der Registerpflicht und den Voraussetzungen für grenzüberschreitende Übermittlungen, die eigenen türkischen Verfahrensregeln folgen statt den Angemessenheits- und Standardklausel-Mechanismen der DSGVO. Für die Besuchererkennung auf Firmenebene lautet der praktische Ausgangspunkt in der Türkei dieselbe Frage wie überall: Sind personenbezogene Daten einer identifizierbaren Person betroffen — doch die Antwort muss speziell anhand des KVKK-Vokabulars und der Kurul-Praxis dokumentiert werden, nicht anhand von DSGVO-Rechtsprechung, wenn sie einer türkischen Rechtsprüfung standhalten soll.

Für die Durchsetzung ist die Kişisel Verileri Koruma Kurumu zuständig, gemeinhin KVKK-Behörde genannt, zusammen mit ihrem Entscheidungsgremium, dem Kurul, das verbindliche Entscheidungen, veröffentlichte Leitlinien und Bußgelder bei Verstößen erlässt. Die Entscheidungen des Kurul erfüllen eine ähnliche Funktion wie DSGVO-Rechtsprechung und Leitlinien europäischer Aufsichtsbehörden andernorts: Ein türkisches Rechts- oder Compliance-Team prüft die Aussagen eines neuen Anbieters typischerweise gegen konkrete Kurul-Entscheidungen zu berechtigtem Interesse, grenzüberschreitender Übermittlung oder Registerpflicht, nicht gegen den bloßen Gesetzestext. Diese Gewohnheit führt dazu, dass ein Anbieter, der zeigen kann, wie seine Verarbeitungstätigkeit zu einer einschlägigen Kurul-Entscheidung passt, statt eine allgemeine Compliance-Aussage zu liefern, eine türkische Prüfung meist mit weniger Rückfragen durchläuft. Der Kurul zertifiziert keine Anbieter oder Produkte im Voraus, und kein Siegel ersetzt die eigene dokumentierte Bewertung des Verantwortlichen; lead.box unterstützt diese Bewertung mit einem Auftragsverarbeitungsvertrag und technischer Dokumentation, trifft die KVKK-Einordnung aber nicht anstelle des Kunden.

Das KVKK errichtet VERBİS, das Register der Datenverantwortlichen, und bestimmte in der Türkei tätige Verantwortliche müssen sich dort registrieren und die Kategorien der verarbeiteten personenbezogenen Daten sowie die Verarbeitungszwecke auf allgemeiner Ebene angeben. Ob eine bestimmte Organisation dieser Pflicht unterliegt, hängt von Kriterien ab, die der Kurul festgelegt hat, etwa Mitarbeiterzahl, jährliches Datenvolumen und die Frage, ob besondere Kategorien personenbezogener Daten verarbeitet werden, und diese Einordnung erfolgt einzelfallbezogen statt anhand eines einzigen festen Schwellenwerts. Diese Seite nennt bewusst keinen Schwellenwert und behauptet nicht, dass ein bestimmter Kunde registrierungspflichtig ist oder nicht, weil diese Bewertung dem Verantwortlichen obliegt und von Tatsachen über dessen eigene Organisation abhängt, die lead.box nicht kennt. Was lead.box beschreiben kann, ist die Verarbeitung selbst — Erkennung auf Firmenebene, ohne Werbekennungen oder Geräte-Fingerprints —, damit wer auch immer die VERBİS-Bewertung durchführt, eine genaue, konkrete Beschreibung dieser Tätigkeit zur Verfügung hat statt einer vagen Anbietercharakterisierung.

Das KVKK legt eigene Voraussetzungen für Übermittlungen personenbezogener Daten ins Ausland fest, getrennt von den Angemessenheitsbeschlüssen und Standardvertragsklauseln der DSGVO, und diese Voraussetzungen wurden durch eine im September 2024 in Kraft getretene Novelle grundlegend überarbeitet, die das frühere genehmigungsbasierte System durch eine Struktur ersetzte, die den DSGVO-Übermittlungsmechanismen näherkommt, ohne mit ihnen identisch zu sein. Nach den geänderten Regeln kann sich eine Übermittlung ins Ausland auf einen Angemessenheitsbeschluss für das Zielland, auf vom Kurul genehmigte Garantien wie an türkische Vorgaben angepasste Standardvertragsklauseln oder auf verbindliche unternehmensinterne Vorschriften stützen, mit Meldepflichten gegenüber dem Kurul je nach gewähltem Mechanismus. lead.box verarbeitet Daten mit EU-Bezug in ISO-zertifizierten EU-Rechenzentren, wodurch diese Daten an einem festgelegten, dokumentierten Ort bleiben; die Einordnung eines konkreten Datenflusses aus der Türkei heraus nach den geänderten KVKK-Übermittlungsregeln und die Wahl des passenden Garantiemechanismus bleiben jedoch eine Bewertung, die der türkische Verantwortliche für seine eigene Verarbeitungstätigkeit selbst vornehmen muss.

Das KVKK kennt eine Rechtsgrundlage des berechtigten Interesses des Verantwortlichen, die strukturell mit Art. 6 Abs. 1 lit. f DSGVO vergleichbar ist, und sie ist die Grundlage, auf die sich die meisten türkischen Organisationen für die Besuchererkennung auf Firmenebene stützen, da die Verarbeitung einem klaren geschäftlichen Zweck dient — zu erkennen, welche Organisationen einen Lieferanten recherchieren —, ohne einer einzelnen Person eine unverhältnismäßige Belastung aufzuerlegen, weil tatsächlich keine Person identifiziert wird. Wie bei den DSGVO-basierten Rahmenwerken in Nachbarmärkten wird erwartet, dass diese Grundlage dokumentiert und nicht nur behauptet wird: Ein kurzer schriftlicher Vermerk, der Zweck, betroffene Datenkategorien und den Grund erläutert, warum das Interesse nicht durch Rechte einer Person überwogen wird, ist die Art von Nachweis, die ein türkischer Compliance-Prüfer oder im Falle einer Prüfung der Kurul selbst erwarten würde. Weil die Erkennung hier eine Firma statt einer Person auflöst, fällt diese Abwägung vergleichsweise einfach aus, doch das Auslassen der Dokumentation und das bloße Vertrauen auf eine allgemeine Zusicherung des Anbieters ist die Lücke, die in einer türkischen Beschaffungsprüfung am häufigsten Rückfragen auslöst.

lead.box löst einen anonymen Website-Besuch anhand netzwerkseitiger Signale zu dem Namen der besuchenden Organisation auf, vor allem anhand des einem Geschäftsanschluss zugeordneten IP-Adressbereichs, abgeglichen mit einer gepflegten Firma-zu-Netzwerk-Datenbank; dabei wird kein Cookie, kein Geräte-Fingerprint, keine Werbekennung und kein seitenübergreifendes Profil erzeugt oder gespeichert, und es wird nicht versucht, die einzelne Mitarbeiterin oder den einzelnen Mitarbeiter hinter einem Besuch zu identifizieren. Das an einen Kunden ausgelieferte Ergebnis beschränkt sich auf den Firmennamen, einen ungefähren Standort und die während des Besuchs aufgerufenen Seiten, nicht auf Name, Funktion oder Kontaktdaten einer Person — genau diese Unterscheidung hält die Verarbeitung nach KVKK-Terminologie auf Firmenebene statt auf individueller Ebene. Ein erheblicher Teil der Besuche, insbesondere aus privaten oder mobilen Anschlüssen sowie von Organisationen ohne eigenen geschäftlichen IP-Bereich, lässt sich überhaupt nicht zu einer Firma auflösen, und lead.box ersetzt diese Besuche nicht durch Schätzungen; nicht auflösbarer Traffic bleibt schlicht unidentifiziert statt als Treffer ausgewiesen zu werden.

Türkische Exporteure und Hersteller betreiben häufig ein kompaktes Vertriebsteam, das einen festen Kreis benannter internationaler Kunden verfolgt statt einem großen Inbound-Trichter zu folgen, und die CRM-Disziplin reicht von strukturierten Salesforce- oder HubSpot-Umgebungen bis zu einfacherer, im Vertriebsbüro gepflegter Tabellenverfolgung. lead.box exportiert erkannte Firmen für diese manuelle Durchsicht als CSV- oder Excel-Dateien oder überträgt Treffer per Webhook in das jeweils genutzte CRM, sodass sich die Erkennungsebene in bestehende Gewohnheiten einfügt, statt die Einführung einer neuen Plattform zu erfordern. Für Teams, die Exportkunden überwiegend per Telefon, E-Mail und persönlichem Besuch betreuen, ist ein einfacher wöchentlicher Export, der zeigt, welche internationalen Firmen welche Produkt- oder Technikseiten angesehen haben, oft nützlicher als ein Live-Dashboard, besonders wenn das Einkaufsgremium auf der Gegenseite ein ausländisches Ingenieur- oder Beschaffungsteam ist, das Lieferanten vor der direkten Kontaktaufnahme vergleicht.

Der Einstieg erfordert das Einbinden eines einzigen JavaScript-Snippets auf der Website, wonach erkannte Firmen in der Regel bereits innerhalb der ersten Tage mit Traffic erscheinen, ohne Wartezeit, die an eine Vertragslaufzeit gebunden wäre, und ohne Beteiligung eines Hosting-Anbieters über eine Code- oder Tag-Manager-Anpassung hinaus. Die Genauigkeit folgt derselben grundlegenden Einschränkung wie überall, wo das Produkt läuft: Die Erkennung setzt voraus, dass ein Besuch aus einem Netzwerkbereich stammt, der einer bestimmten Organisation zugeordnet werden kann, und Traffic aus Mobilfunknetzen, privaten Anschlüssen oder gemeinsam genutzter Infrastruktur lässt sich häufig nicht zu einer benannten Firma auflösen — eine Einschränkung, die klar benannt statt heruntergespielt wird. Teams können Kolleginnen und Kollegen als zusätzliche Nutzer hinzufügen, Listen jederzeit als CSV, Excel oder JSON exportieren und einen Webhook einrichten, um qualifizierte Firmen ohne manuelle Neueingabe an ein CRM zu übergeben; erweist sich das Werkzeug als nicht nützlich, erfolgt die Kündigung über die Selbstbedienungsfunktion der Kontoeinstellungen statt über eine Kündigungsfrist oder ein Bindungsgespräch, passend zur risikoärmeren Art, wie viele türkische Exporteure neue Software zunächst testen möchten.