KVKK-Grundsatzentscheidung: Wie weit dürfen Arbeitgeber dienstliche E-Mails kontrollieren?

Die Grundsatzentscheidung Nr. 2026/2035 der türkischen Datenschutzbehörde (KVKK) vom 16. September 2026 wurde am 8. Oktober 2026 im türkischen Amtsblatt (Resmî Gazete) Nr. 33394 veröffentlicht. Sie legt fest, unter welchen Bedingungen Arbeitgeber die dienstlichen E-Mail-Konten ihrer Beschäftigten und andere für die Arbeit genutzte Kanäle kontrollieren dürfen. Dieser Beitrag fasst die wichtigsten Grundsätze zusammen und enthält eine praktische Checkliste für Arbeitgeber. Quelle: Resmî Gazete, 8. Oktober 2026, Nr. 33394 (auf Türkisch).

Was umfasst die Entscheidung?

Es geht nicht nur um E-Mail. Die Behörde nennt auch interne Messaging-Apps, dienstliche Instant-Messaging-Konten, CRM- und Ticketsysteme sowie Chat- und Aufzeichnungsbereiche von Meeting-Plattformen als Kanäle, die je nach Einzelfall Gegenstand einer Kontrolle sein können.

Aus Sicht der Behörde ist ein dienstliches Postfach mehr als ein Kommunikationsmittel. Es enthält das berufliche, mitunter auch private Netzwerk der Beschäftigten, ihre Arbeitsmuster und ihre Korrespondenz. Seine Kontrolle ist daher eine Datenverarbeitung, bei der das Weisungsrecht des Arbeitgebers mit dem Datenschutz und dem Kommunikationsgeheimnis der Beschäftigten abgewogen werden muss.

Die wichtigsten Grundsätze

Firmengerät heißt nicht unbegrenzte Kontrolle

Dass die Arbeitsmittel dem Arbeitgeber gehören oder am Arbeitsplatz genutzt werden, verleiht ihm für sich genommen keine unbegrenzte und absolute Kontrollbefugnis. Technischer Zugriff und rechtliche Befugnis sind zweierlei: Wer technisch ein Gerät, ein Netz oder ein System verwaltet, darf deshalb noch nicht frei auf das private E-Mail-Konto, private Messenger oder Social-Media-Postfächer der Beschäftigten zugreifen.

Auch Protokolldaten sind personenbezogen

Schon die Auswertung reiner Verkehrs- und Protokolldaten, ohne den Inhalt zu öffnen, ist eine eigenständige Datenverarbeitung. Auch sie unterliegt daher den allgemeinen Grundsätzen (Art. 4), den Verarbeitungsvoraussetzungen (Art. 5 und 6), der Informationspflicht (Art. 10) und den Pflichten zur Datensicherheit (Art. 12) des Gesetzes Nr. 6698.

Dienstliche und private Nutzung

Arbeitgeber dürfen Regeln für die private Nutzung von Arbeitsmitteln aufstellen. Die Regeln müssen aber klar, verständlich und für die Beschäftigten erkennbar sein und ausdrücklich bekannt gegeben werden. Auch bei einem Verbot der Privatnutzung bleibt die Kontrolle an die Verhältnismäßigkeit gebunden. Ist private Nutzung erlaubt und lassen sich dienstliche von privaten Nachrichten trennen, darf sich die Kontrolle nur auf dienstliche Kommunikation erstrecken; private Korrespondenz bleibt außen vor. Lässt sich beides nicht trennen, ist die Kontrollbefugnis enger auszulegen. Ist ein Verstoß gegen ein Privatnutzungsverbot bereits an Nicht-Inhaltsdaten erkennbar, gilt ein zusätzlicher Blick in die Inhalte als weder erforderlich noch verhältnismäßig.

Konkrete Information im Voraus

Ob die Beschäftigten vorab informiert wurden, ist ein entscheidender Faktor für die Rechtmäßigkeit. Ein allgemeiner Satz wie „Das dienstliche E-Mail-Konto kann vom Arbeitgeber kontrolliert werden“ genügt weder der Informationsvoraussetzung noch der Informationspflicht. Nach Ansicht der Behörde muss die Datenschutzinformation über abstrakte Formulierungen hinausgehen und klar und konkret angeben:

• Rechtsgrundlage und Zweck der Verarbeitung,
• Umfang der Kontrolle,
• ob die Kontrolle über Verkehrs- und Protokolldaten oder über eine Inhaltskontrolle erfolgt,
• in welchen Fällen auf Inhalte zugegriffen werden darf,
• die Speicherdauer,
• die Rechte der Beschäftigten nach Art. 11 des Gesetzes Nr. 6698.

Wer nicht vorab und ordnungsgemäß informiert wurde, darf vernünftigerweise erwarten, dass in seine personenbezogenen Daten und seine Kommunikation nicht eingegriffen wird.

Einwilligung ist nicht die Hauptgrundlage

Wegen der Abhängigkeit und des Machtgefälles im Arbeitsverhältnis soll die ausdrückliche Einwilligung der Beschäftigten in der Regel nicht die vorrangige Rechtsgrundlage für E-Mail-Kontrollen sein. Wird dennoch auf eine Einwilligung gestützt, ist gesondert zu prüfen, ob sie freiwillig erteilt wurde. Je nach Einzelfall verweist die Behörde stattdessen auf die Erfüllung einer rechtlichen Verpflichtung (Art. 5 Abs. 2 Buchst. ç), die Begründung, Ausübung oder Verteidigung eines Rechts (Buchst. e) und das berechtigte Interesse des Verantwortlichen (Buchst. f). Auch wenn eine dieser Grundlagen greift, entsteht keine unbegrenzte Kontrollbefugnis.

Stufenweise und verhältnismäßig

Kontrollen müssen stufenweise erfolgen. Lässt sich das legitime Ziel mit einem milderen Mittel erreichen, ist ein stärkerer Eingriff unzulässig. Auf Inhalte darf nur ausnahmsweise zugegriffen werden, wenn die Auswertung der Verkehrsdaten nicht ausreicht und der Zugriff auf Inhalte unerlässlich ist. Eine Inhaltskontrolle setzt einen konkreten Verdacht voraus und bleibt auf diesen Vorwurf beschränkt; unbestimmte, allgemeine und fortlaufende Inhaltsprüfungen sind zu vermeiden. Lässt sich Missbrauch technisch verhindern, etwa durch Filtern oder Sperren, entsteht kein allgemeines Kontrollrecht.

Bei einer Inhaltskontrolle ist zu berücksichtigen, dass Text oder Anhänge besondere Kategorien personenbezogener Daten enthalten können und dass Nachrichten meist auch personenbezogene Daten der Kommunikationspartner umfassen.

Keine heimliche oder lückenlose Überwachung

Kontrollen mit heimlichen Methoden, über die die Beschäftigten nicht informiert wurden, oder mit Werkzeugen, die alle Aktivitäten unterschiedslos aufzeichnen, gelten als rechtswidrig. Auch eine ständige, ununterbrochene Überwachung ist nicht verhältnismäßig. Kontrollen müssen mit Wissen der Beschäftigten und in einem vorhersehbaren Rahmen stattfinden; die gewonnenen Daten dürfen nur so lange gespeichert werden, wie es der Zweck erfordert.

Begrenzter, protokollierter Zugriff

Der Zugriff auf die bei einer Kontrolle gewonnenen Daten ist auf wenige, eigens dafür befugte Personen zu beschränken. Die Berechtigungen sollen sich aus den Stellenbeschreibungen ergeben, Zugriffe sind zu protokollieren und die Zugriffsberechtigten zur Vertraulichkeit zu verpflichten.

Postfächer ausgeschiedener Beschäftigter

Endet das Arbeitsverhältnis, ist die Rechtsgrundlage für die Verarbeitung des Postfachs neu zu prüfen. In der Regel ist das Konto für die frühere Nutzerin oder den früheren Nutzer und für neue Zugriffe zu sperren, eingehende Nachrichten dürfen für Unbeteiligte nicht sichtbar sein, und personenbezogene Daten ohne verbleibende Rechtsgrundlage sind zu löschen. Für die Geschäftskontinuität, eine reibungslose Unternehmenskommunikation, die Verteidigung in Rechtsstreitigkeiten oder gesetzliche Pflichten können begrenzte, befristete, berechtigungsgesteuerte und protokollierte Weiterleitungen, Abwesenheitsnotizen, Archivierungen oder Aufbewahrungen im Einzelfall in Betracht kommen.

Was droht bei Verstößen?

Die Behörde kündigt an, festgestellte Verstöße im Einzelfall zu prüfen und nach Art. 18 des Gesetzes Nr. 6698 Verwaltungsmaßnahmen gegen die betreffenden Verantwortlichen zu ergreifen.

Checkliste für Arbeitgeber

1. Nutzungsrichtlinie: Legen Sie schriftlich fest, ob private Nutzung von E-Mail, Messaging, CRM, Ticket- und Meeting-Tools erlaubt ist und in welchen Grenzen. Geben Sie die Richtlinie allen Beschäftigten bekannt.
2. Eigene Datenschutzinformation zur Kontrolle: Ersetzen Sie den pauschalen Satz „kann kontrolliert werden“ durch eine Information mit Rechtsgrundlage, Zweck, Umfang, Protokoll- oder Inhaltskontrolle, Fällen des Inhaltszugriffs, Speicherdauer und Rechten nach Art. 11. Stellen Sie sie vor jeder Kontrolle zu und dokumentieren Sie das.
3. Stufenweises Prüfverfahren: Zuerst technische Maßnahmen (Filtern, Sperren), dann Protokollauswertung; Inhaltskontrolle nur bei konkretem Verdacht und beschränkt auf den Vorwurf. Halten Sie fest, wer eine Prüfung mit welcher Begründung freigegeben hat.
4. Rollenbasierter Zugriff: Beschränken Sie anhand der Stellenbeschreibungen, wer Postfachinhalte lesen und Such- bzw. eDiscovery-Werkzeuge nutzen darf. Prüfen Sie weitreichende Admin-Rechte und dauerhafte Vollzugriffsrechte (Full Access). Verpflichten Sie Zugriffsberechtigte zur Vertraulichkeit.
5. Zugriffsprotokolle: Lassen Sie in Microsoft 365 die Postfachüberwachung (Mailbox Auditing) und das Microsoft-Purview-Überwachungsprotokoll, in Google Workspace die Audit- und Prüfprotokolle der Admin-Konsole (Audit and investigation) aktiviert. Prüfen Sie regelmäßig, wer auf welches Postfach zugegriffen hat.
6. Speicherfristen: Legen Sie zweckangemessene Fristen für Protokolle, Prüfergebnisse und Archive fest, stellen Sie die Aufbewahrungsrichtlinien (Retention Policies) Ihrer Werkzeuge entsprechend ein und löschen Sie Daten nach Fristablauf.
7. Offboarding-Verfahren: Dokumentieren Sie Kontosperrung, Empfänger und Dauer von Weiterleitungen, Abwesenheitsnotizen, Archivierung und Löschung. Halten Sie Weiterleitungen und Archivzugriffe befristet und protokolliert.
8. Überwachungswerkzeuge prüfen: Erfassen Sie Software, die sämtliche Nutzeraktivitäten unterschiedslos aufzeichnet. Entfernen Sie Überwachung, die ohne Wissen der Beschäftigten oder dauerhaft läuft.

Bezug zu ISO 27001

Die Erwartungen der Entscheidung lassen sich gut mehreren Kontrollen aus Anhang A von ISO/IEC 27001:2022 zuordnen:

• 5.10 Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten: Regeln zur Privatnutzung von Arbeitsmitteln und Nutzungsrichtlinie.
• 5.15 Zugangssteuerung und 5.18 Zugangsrechte: rollenbasierter Zugriff auf Inhalts- und Protokolldaten nach Stellenbeschreibung, mit regelmäßiger Überprüfung.
• 5.34 Privatsphäre und Schutz personenbezogener Daten: Ermittlung und Erfüllung der KVKK-Anforderungen wie Information, Rechtsgrundlage und Speicherdauer.
• 6.5 Verantwortlichkeiten bei Beendigung oder Änderung der Beschäftigung: Offboarding-Verfahren und Kontosperrung.
• 8.15 Protokollierung: Aufzeichnung von Postfachzugriffen und Admin-Aktionen.

Zertifikate stellt eine akkreditierte Zertifizierungsstelle aus. Doğa Network berät und zertifiziert nicht.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung.

Wie kann Doğa Network helfen?

Unser Team unterstützt Sie bei der Prüfung von Postfachberechtigungen in Microsoft 365 und Google Workspace, beim Aktivieren von Überwachungsprotokollen, bei Aufbewahrungsrichtlinien, beim Offboarding-Verfahren und auf dem Weg zu ISO 27001. Für den rechtlichen Inhalt Ihrer Datenschutzinformation empfehlen wir die Zusammenarbeit mit Ihrer Rechtsberatung. Sie erreichen uns unter +90 850 888 3642 oder per E-Mail an hi@doga.network.

Quelle

• Resmî Gazete, 8. Oktober 2026, Nr. 33394 – KVKK-Entscheidung 2026/2035 (auf Türkisch)