Ein Teil Ihrer Mitarbeitenden nutzt KI-Chatbots sehr wahrscheinlich schon heute: für Angebotstexte, Vertragszusammenfassungen oder den Feinschliff von Kunden-E-Mails. In den Texten, die dabei eingefügt werden, stecken oft personenbezogene Daten und Geschäftsinformationen. Ein Verbot hilft meist wenig; die Nutzung wird nur unsichtbar. Das sieht auch die türkische Datenschutzbehörde so: In ihrem im März 2026 veröffentlichten Dokument zum Einsatz generativer KI am Arbeitsplatz schreibt sie, dass rein verbietende Ansätze in der Praxis kaum funktionieren dürften und ein Ansatz aus Anleitung und Sensibilisierung besser geeignet ist.
Der bessere Weg ist ein interner Assistent, der mit den eigenen Dokumenten und Berechtigungsregeln des Unternehmens arbeitet und von Anfang an mit Blick auf den Datenschutz aufgebaut wird. Ist Ihr Unternehmen in der Türkei tätig, etwa über eine Tochtergesellschaft oder eine Niederlassung, unterliegt die Verarbeitung personenbezogener Daten dort dem türkischen Datenschutzgesetz Nr. 6698, kurz KVKK. Dieser Artikel zeigt die Fragen, die Sie vor dem Aufbau klären sollten, drei grundlegende Betriebsmodelle, einen Schritt-für-Schritt-Plan und, falls Ihre Unternehmensgruppe bereits nach der DSGVO arbeitet, die wichtigsten Unterschiede.
Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung; Stand: 18. Oktober 2026. Prüfen Sie Ihre eigenen Datenflüsse gemeinsam mit Ihrer Rechtsberatung.
Was leistet ein interner KI-Assistent?
Anders als ein allgemeiner Chatbot stützt ein interner Assistent seine Antworten auf die Quellen Ihres Unternehmens: Verfahrensanweisungen, Produktdokumentation, Angebotsvorlagen, Support-Tickets, ERP-Berichte. Kommt eine Frage, sucht er die passenden Dokumente, erzeugt die Antwort daraus und zeigt, auf welches Dokument er sich stützt. Dieses Verfahren heißt Retrieval-Augmented Generation (RAG) und macht die Antwort überprüfbar.
Unternehmensassistent
Wie viele Tage im Voraus muss ich meinen Jahresurlaub beantragen?
Laut Urlaubsrichtlinie müssen Sie Ihren Antrag auf Jahresurlaub mindestens 10 Arbeitstage vorher über das Urlaubsformular im HR-Portal bei Ihrer Führungskraft einreichen.
- Urlaubsrichtlinie, Abschnitt 2.1
- HR-FAQ, S. 4
Ein gut aufgebauter Assistent sieht nur, was die fragende Person sehen darf. Wer keinen Zugriff auf Personalakten hat, kommt auch über den Assistenten nicht an diese Akten.
Typische Einsatzbereiche:
- Vertrieb: Angebotsentwürfe aus früheren Angeboten und Produktunterlagen erstellen.
- Support: Kundenfragen schnell und mit Quellenangabe aus der Produktdokumentation beantworten.
- Personalabteilung und neue Mitarbeitende: Regeln zu Urlaub, Spesen und Einkauf nachfragen.
- Geschäftsführung: periodische Zusammenfassungen und Erklärungen zu Abweichungen aus ERP-Daten erhalten.
Diese Fragen sollten Sie aus Sicht des KVKK zuerst klären
Welche personenbezogenen Daten verarbeitet der Assistent?
Enthalten Ihre Dokumente Namen von Mitarbeitenden, Kontaktdaten von Kunden oder E-Mail-Korrespondenz, verarbeitet der Assistent personenbezogene Daten. Legen Sie schriftlich fest, welche Datenkategorien welcher Personen zu welchem Zweck verarbeitet werden. Gibt es bereits ein Verzeichnis Ihrer personenbezogenen Daten (Dateninventar), ist es ein guter Anfang, den Assistenten dort aufzunehmen. Da das KVKK verlangt, dass personenbezogene Daten für den Verarbeitungszweck erheblich, darauf begrenzt und verhältnismäßig sind (in DSGVO-Begriffen: Datenminimierung), ist es am sichersten, personenbezogene Daten, die der Assistent für seine Aufgabe nicht braucht, gar nicht erst einzubeziehen.
Wo werden die Daten verarbeitet, und verlassen sie die Türkei?
Viele cloudbasierte Dienste für große Sprachmodelle laufen in Rechenzentren im Ausland. Der im November 2025 veröffentlichte Leitfaden der Behörde zu generativer KI stellt klar: Werden personenbezogene Daten über Systeme übermittelt, die über im Ausland ansässige Anbieter genutzt werden, muss das Artikel 9 des Gesetzes und der Verordnung über Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland (im Folgenden: Übermittlungsverordnung) entsprechen. Nach dem Leitfaden der Behörde zur Übermittlung ins Ausland kann auch die Speicherung in einer Cloud im Ausland als Übermittlung gelten.
Artikel 9, geändert durch das Gesetz Nr. 7499 und seit dem 1. Juni 2024 in Kraft, knüpft Übermittlungen an folgende Wege, in dieser Reihenfolge:
Angemessenheitsbeschluss Noch keiner
Ein Beschluss des Datenschutzrats (Kurul), des Entscheidungsgremiums der Behörde, für das Zielland oder einen Sektor. Laut Website der Behörde wurde bisher kein solcher Beschluss gefasst.
- sonst
Geeignete Garantien Für regelmäßige Datenflüsse
Ein vom Datenschutzrat veröffentlichter Standardvertrag, vom Datenschutzrat genehmigte verbindliche interne Datenschutzvorschriften (innerhalb einer Unternehmensgruppe) oder eine schriftliche Verpflichtungserklärung mit Genehmigung des Datenschutzrats. Der Standardvertrag wird unverändert verwendet und innerhalb von fünf Arbeitstagen nach der Unterzeichnung der Behörde gemeldet.
- sonst
Gelegentliche Übermittlung Nicht für regelmäßige Datenflüsse
Abschließend aufgezählte Ausnahmen für nicht regelmäßige Übermittlungen, die einmal oder wenige Male stattfinden. Seit dem 1. September 2024 kann die ausdrückliche Einwilligung nur noch in diesen Fällen Grundlage einer Übermittlung sein.
Die Übermittlungsverordnung behandelt fortlaufende Übermittlungen im Rahmen der gewöhnlichen Geschäftstätigkeit nicht als gelegentlich; der Datenfluss eines täglich genutzten Assistenten ist daher ebenfalls nicht gelegentlich. Es braucht also entweder eine Garantie wie einen Standardvertrag, oder die Verarbeitung personenbezogener Daten muss in der Türkei erfolgen. Verarbeitet der Dienst Daten in Ihrem Auftrag, ist von den vier Standardvertragstypen der Behörde in der Regel der Vertrag „Verantwortlicher an Auftragsverarbeiter“ einschlägig. Wie der Leitfaden der Behörde zu generativer KI betont, bestimmen nicht allein die Formulierungen im Vertrag die Rollen, sondern die tatsächliche Kontrolle über die Daten.
Was macht der Anbieter mit den Daten?
Prüfen Sie im Unternehmensvertrag, ob eingegebene Texte zum Training des Modells verwendet werden, wie lange sie gespeichert werden und in welchen Ländern sie verarbeitet werden. Im Sinne des KVKK ist der Anbieter in der Regel Auftragsverarbeiter; auch der Datensicherheitsleitfaden der Behörde empfiehlt, dieses Verhältnis mit einem schriftlichen Vertrag zu regeln. Zwischen kostenlosen Einzelkonten und Unternehmensversionen unterscheiden sich diese Bedingungen oft.
Sind Mitarbeitende und Kunden informiert?
Artikel 10 des KVKK begründet eine Informationspflicht: Betroffene müssen erfahren, zu welchem Zweck ihre personenbezogenen Daten verarbeitet werden, an wen sie übermittelt werden können und welche Rechte sie haben. Schafft der Assistent einen neuen Verarbeitungszweck oder eine neue Übermittlung, aktualisieren Sie Ihre Datenschutzhinweise.
Reichen die Sicherheitsmaßnahmen aus?
Artikel 12 des Gesetzes verlangt technische und organisatorische Maßnahmen, die ein angemessenes Sicherheitsniveau gewährleisten, um die unrechtmäßige Verarbeitung personenbezogener Daten und den unrechtmäßigen Zugriff darauf zu verhindern und die Daten zu sichern. Lassen Sie die Arbeit von einem Dienstleister erledigen, sind Sie für diese Maßnahmen gemeinsam mit ihm verantwortlich. Kommt es zu einer Datenpanne, ist sie nach Auslegung des Datenschutzrats unverzüglich und spätestens innerhalb von 72 Stunden nach Kenntnisnahme dem Datenschutzrat zu melden.
Der Leitfaden der Behörde zu generativer KI nennt dafür Beispielmaßnahmen: Datenschutz durch Technikgestaltung, Datenschutz-Folgenabschätzung, Schutz vor Angriffen wie Prompt Injection, Protokollierung und Schulung der Mitarbeitenden. Das ist keine verbindliche Liste, sondern eine Auswahl von Beispielen. Die Gestaltungsgrundsätze weiter unten zeigen, wie diese Maßnahmen in einem Assistenten praktisch aussehen.
KVKK und DSGVO: Was ist bei einem KI-Assistenten anders?
Das KVKK wurde weitgehend nach dem Vorbild der EU-Datenschutzrichtlinie von 1995 (Richtlinie 95/46/EG) gestaltet, und die Änderungen von 2024 haben die Regeln zu besonderen Kategorien personenbezogener Daten und zur Übermittlung ins Ausland näher an die DSGVO herangeführt. Arbeitet Ihre Unternehmensgruppe bereits nach der DSGVO, wird Ihnen daher vieles vertraut sein. Für einen KI-Assistenten zählen vor allem diese Unterschiede:
| Thema | DSGVO | KVKK |
|---|---|---|
| Übermittlung zwischen der EU und der Türkei | Für die Türkei gibt es keinen Angemessenheitsbeschluss der EU; Übermittlungen aus der EU in die Türkei brauchen Garantien wie die EU-Standardvertragsklauseln | Laut Website der Behörde hat der türkische Datenschutzrat bisher für kein Land einen Angemessenheitsbeschluss gefasst; Übermittlungen aus der Türkei brauchen z. B. den eigenen Standardvertrag des KVKK, unverändert verwendet und der Behörde gemeldet |
| Ausdrückliche Einwilligung als Grundlage einer Übermittlung | Ausnahme für bestimmte Fälle (Art. 49), laut EDSA eng auszulegen | Seit dem 1. September 2024 nur bei gelegentlichen Übermittlungen |
| Datenschutz-Folgenabschätzung (DSFA) | Pflicht bei Verarbeitungen mit hohem Risiko (Art. 35) | Keine gesetzliche Pflicht; der Leitfaden der Behörde zu generativer KI nennt sie unter den empfohlenen Maßnahmen |
| Meldung von Datenpannen | Unverzüglich und möglichst binnen 72 Stunden; entfällt, wenn die Verletzung voraussichtlich zu keinem Risiko für die Betroffenen führt (Art. 33) | Unverzüglich, spätestens binnen 72 Stunden (Auslegung des Datenschutzrats); das Gesetz kennt keine Risikoschwelle |
In der Praxis heißt das: Ihre EU-Standardvertragsklauseln decken Daten, die die Türkei verlassen, nicht ab: Setzen Sie auf Standardverträge, verlangt das KVKK seine eigenen. Auch ein Fernzugriff aus dem Ausland kann als Übermittlung gelten (siehe Betriebsmodelle unten). Dieser Artikel behandelt das türkische Recht. Ist auf die Verarbeitung auch die DSGVO anwendbar (Art. 3 regelt ihren räumlichen Anwendungsbereich, etwa bei einer Niederlassung in der EU), gilt sie parallel, und je nach Einsatz kann auch die KI-Verordnung der EU greifen.
Drei Betriebsmodelle
| Modell | Kontrolle über die Daten | Aufbau und Kosten | Geeignet für |
|---|---|---|---|
| Cloud-Modelldienst mit Unternehmensvertrag | Abhängig von den Zusagen des Anbieters; werden personenbezogene Daten übermittelt, gelten die Regeln für Übermittlungen ins Ausland | Am schnellsten; Abrechnung nach Nutzung | Wenige personenbezogene Daten oder Daten, die sich vor dem Senden maskieren lassen |
| Modell in einem Rechenzentrum in der Türkei | Höher; die Daten bleiben in der Türkei (die KVKK-Regeln für Übermittlungen an Dritte im Inland gelten trotzdem) | Mittel; Server und Einrichtung nötig | Aufgaben mit vielen personenbezogenen Daten oder strengen Vertragsbedingungen |
| Open-Source-Modell auf eigenen Servern | Am höchsten; die Daten verlassen das Unternehmen nicht | Hardware, Einrichtung und Wartung nötig | Sensible Daten (Gesundheit, Finanzen, öffentlicher Sektor) und Organisationen, die volle Kontrolle wollen |
Ein einzelnes Modell ist nicht zwingend. In vielen Unternehmen bewährt sich eine Mischform: Fragen mit personenbezogenen Daten laufen über das Modell auf eigenen Servern, allgemeine Aufgaben ohne personenbezogene Daten über den Cloud-Dienst.
Auch beim Hosting in der Türkei ist ein Punkt wichtig: Nach der Übermittlungsverordnung gilt es ebenfalls als Übermittlung, wenn Daten für einen Verantwortlichen oder Auftragsverarbeiter im Ausland zugänglich gemacht werden. Klären Sie im Vertrag, von wo aus das Support-Team oder die Unterauftragnehmer des Anbieters auf die Daten zugreifen können. Dasselbe gilt innerhalb Ihrer Gruppe: Kann die IT einer Muttergesellschaft im Ausland per Fernzugriff auf die Daten des Assistenten zugreifen, auch nur zur Ansicht für Support oder Fehlersuche, kann auch das als Übermittlung gelten.
Gestaltungsgrundsätze für einen sicheren Assistenten
Bis eine Frage beantwortet ist, durchläuft sie im Assistenten mehrere Schritte; in diese Schritte sind die Sicherheitsmaßnahmen eingebaut.
Frage
Die Mitarbeiterin oder der Mitarbeiter stellt die Frage in natürlicher Sprache.
Berechtigungsprüfung
Aus dem Benutzerverzeichnis des Unternehmens wird ermittelt, auf welche Dokumente die Person zugreifen darf.
Dokumentensuche
Passende Abschnitte werden nur in diesen Dokumenten gesucht.
Maskierung
Felder wie die türkische Identitätsnummer, Telefonnummern und IBANs werden ausgeblendet, bevor sie das Modell erreichen.
Antwort und Protokoll
Das Modell erzeugt die Antwort aus diesen Abschnitten und nennt die Quelle; Frage und verwendete Dokumente werden protokolliert.
- Berechtigungen auf Dokumentebene: Der Assistent arbeitet mit den Dokumenten, auf die die fragende Person ohnehin zugreifen darf; die Berechtigungen kommen aus dem Benutzerverzeichnis des Unternehmens (z. B. Active Directory oder Google Workspace).
- Maskierung: Felder wie die türkische Identitätsnummer, Telefonnummern und IBANs werden maskiert, bevor sie an das Modell gehen.
- Protokollierung und Aufbewahrungsfrist: Wer wann was gefragt hat und welche Dokumente verwendet wurden, wird protokolliert; wie lange die Protokolle aufbewahrt werden, wird vorab festgelegt.
- Schutz vor Prompt Injection: In Dokumenten oder E-Mails versteckte Anweisungen können den Assistenten in die Irre führen. Die Aktionen des Assistenten werden begrenzt; kritische Vorgänge wie Zahlungen oder das Löschen von Datensätzen erfordern eine menschliche Freigabe.
- Quellen nennen und „Ich weiß es nicht“ sagen: Jede Antwort zeigt das Dokument, auf dem sie beruht; steht die Antwort nicht in den Dokumenten, erfindet der Assistent nichts, sondern sagt, dass er es nicht weiß.
Schritt-für-Schritt-Plan
- Mit einem einzigen Anwendungsfall beginnen. Wählen Sie ein messbares Ziel, zum Beispiel die Zeit, die das Support-Team für die Beantwortung von Produktfragen braucht.
- Dateninventar und Klassifizierung. Listen Sie die Dokumente auf, die der Assistent nutzen soll; markieren Sie, welche personenbezogene Daten enthalten und wer darauf zugreifen kann.
- Rechtlicher Rahmen. Klären Sie Datenschutzhinweise, Übermittlungsweg und Anbietervertrag mit Ihrer Rechtsberatung.
- Architektur und Aufbau. Legen Sie Modell und Betriebsmodell fest; binden Sie Dokumentensuche und Berechtigungen an das Benutzerverzeichnis des Unternehmens an.
- Pilotphase. Testen Sie den Assistenten einige Wochen mit einem Team; messen Sie Genauigkeit, Nutzung und Rückmeldungen.
- Einführung und Schulung. Erklären Sie den Mitarbeitenden, was der Assistent kann und was nicht und welche Informationen nicht eingegeben werden dürfen.
Wir unterstützen Sie bei jedem dieser Schritte: von der Analyse der Anwendungsfälle über Aufbau und Integration bis zur Schulung des Teams. Details finden Sie bei unseren KI-Lösungen; für die Umsetzung des KVKK und die Sicherheit der Infrastruktur gehören auch unsere Cybersicherheitsleistungen zu diesem Prozess.
Häufige Fragen
Wir halten die DSGVO bereits ein. Deckt das auch das KVKK ab?
Nicht automatisch. Die Grundsätze ähneln sich, und vieles aus Ihrer DSGVO-Dokumentation lässt sich wiederverwenden, aber das KVKK hat eigene Regeln. Für einen KI-Assistenten ist einer der wichtigsten Unterschiede die Übermittlung ins Ausland: Setzen Sie auf Standardverträge, verlangt das KVKK seine eigenen, vom Datenschutzrat veröffentlichten Standardverträge, die unverändert verwendet und der Behörde gemeldet werden. Die EU-Standardvertragsklauseln ersetzen sie nicht.
Verstößt es gegen das KVKK, wenn Mitarbeitende ChatGPT nutzen?
Entscheidend ist nicht das Werkzeug, sondern welche Daten unter welchen Bedingungen verarbeitet werden. Eine Nutzung ohne personenbezogene Daten, etwa um die Sprache eines allgemeinen Textes zu verbessern, ist risikoarm. Werden dagegen Daten von Kunden oder Mitarbeitenden über Einzelkonten geteilt, kann das sowohl bei der Übermittlung ins Ausland als auch bei der Sicherheit Probleme verursachen. Auch das Arbeitsplatz-Dokument der Behörde empfiehlt, eine klare Unternehmensrichtlinie aufzustellen, festzulegen, welche Werkzeuge für welche Aufgaben genutzt werden dürfen, den Zugang über Firmengeräte und rollenbasierte Ansätze zu begrenzen und die Mitarbeitenden zu informieren und zu schulen.
Sind Open-Source-Modelle gut genug?
Für die meisten Unternehmensaufgaben wie das Zusammenfassen von Dokumenten, Fragen und Antworten mit Quellenangabe und Klassifizierung: ja. Bei Aufgaben, die mehrstufiges Schlussfolgern erfordern, liegen große kommerzielle Modelle noch vorn. Deshalb ist eine Mischform oft die ausgewogenste Lösung.
Wie lange dauert der Aufbau?
Das hängt vom Umfang ab. Ein Pilot mit einem Team und einer begrenzten Dokumentenmenge kann in wenigen Wochen laufen; die unternehmensweite Einführung mit Berechtigungen und Schulungen dauert länger.
Quellen
- Gesetz Nr. 6698 zum Schutz personenbezogener Daten, englische Übersetzung (KVKK)
- Gesetz Nr. 6698, amtlicher türkischer Text (mevzuat.gov.tr)
- Verordnung über Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland (Amtsblatt, 10. Juli 2024; auf Türkisch)
- KVKK: Übermittlung ins Ausland und Stand der Angemessenheitsbeschlüsse (auf Türkisch)
- KVKK: Standardverträge (auf Türkisch)
- KVKK: Leitfaden zur Übermittlung personenbezogener Daten ins Ausland (Januar 2025; auf Türkisch)
- KVKK: Generative KI und Schutz personenbezogener Daten, Leitfaden in 15 Fragen (November 2025; auf Türkisch)
- KVKK: Einsatz generativer KI-Werkzeuge am Arbeitsplatz (März 2026; auf Türkisch)
- KVKK: Empfehlungen zum Schutz personenbezogener Daten im Bereich KI (auf Türkisch)
- KVKK: Leitfaden zur Datensicherheit, technische und organisatorische Maßnahmen (auf Türkisch)
- KVKK: Meldung von Datenpannen (auf Türkisch)
- DSGVO, Verordnung (EU) 2016/679 (EUR-Lex)
- Europäische Kommission: Angemessenheitsbeschlüsse (auf Englisch)