Diese Seite fasst zusammen, wo sich die KI-Verordnung der Europäischen Union und das Datenschutzrecht berühren. Grundlage sind die am Ende aufgeführten Veröffentlichungen von Prof. Dr. Murat Volkan Dülger. Die zitierten Vorschriften und Entscheidungen wurden am 1. November 2026 anhand amtlicher Quellen geprüft.

KI-Verordnung und Datenschutzrecht gelten nebeneinander

Die KI-Verordnung ist die Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024. Sie ist am 1. August 2024 in Kraft getreten; ihre Vorschriften gelten gestaffelt. Ihre Regelungstechnik ist die des Produktsicherheitsrechts: KI-Systeme werden nach ihrem Risiko eingestuft, die Pflichten treffen den Anbieter, der das System entwickelt und in Verkehr bringt, und den Betreiber, der das System in eigener Verantwortung verwendet.

Die KI-Verordnung lässt die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, DSGVO) unberührt (Art. 2 Abs. 7 KI-Verordnung). Ein KI-System, das personenbezogene Daten verarbeitet, unterliegt beiden Regelwerken: Die KI-Verordnung regelt das System selbst, die DSGVO die mit ihm durchgeführte Verarbeitung. Ausnahmen bilden Art. 4a zur Verarbeitung besonderer Kategorien von Daten zur Erkennung von Verzerrungen und Art. 59 zur Verarbeitung in KI-Reallaboren.

Anwendungsbereich für Unternehmen in der Türkei

Die KI-Verordnung gilt für Anbieter, die Systeme in der Union in Verkehr bringen, unabhängig von ihrem Sitz (Art. 2 Abs. 1 Buchst. a). Anbieter und Betreiber mit Sitz in einem Drittland fallen ebenfalls darunter, wenn die vom System hervorgebrachte Ausgabe in der Union verwendet wird (Art. 2 Abs. 1 Buchst. c). Ein Unternehmen in der Türkei, das ein System nur in der Türkei verwendet und dessen Ausgabe nicht in der EU genutzt wird, unterliegt der Verordnung nicht. Unternehmen, die Systeme auf dem EU-Markt anbieten oder Kunden in der EU KI-gestützte Leistungen erbringen, deren Ausgabe dort verwendet wird, sind dagegen erfasst.

Natürliche Personen, die KI im Rahmen einer ausschließlich persönlichen und nicht beruflichen Tätigkeit verwenden, sind keine Betreiber (Art. 2 Abs. 10, Art. 3 Nr. 4).

Verbotene Praktiken

Die Verbote des Art. 5 gelten seit dem 2. Februar 2025. Mehrere betreffen unmittelbar personenbezogene Daten: der Aufbau oder die Erweiterung von Gesichtserkennungsdatenbanken durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungsaufnahmen; die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (außer aus medizinischen oder Sicherheitsgründen); die biometrische Kategorisierung, mit der auf Rasse, politische Einstellung, Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugungen, Sexualleben oder sexuelle Ausrichtung geschlossen wird; die Bewertung des Risikos, dass eine Person eine Straftat begeht, allein auf Grundlage von Profiling oder Persönlichkeitsmerkmalen; sowie die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, vorbehaltlich enger Ausnahmen.

Mit dem digitalen Omnibus kamen zwei Verbote hinzu: das Erzeugen oder Manipulieren realistischer intimer Bilder, Videos oder Tonaufnahmen einer identifizierbaren Person ohne deren ausdrückliche Einwilligung und das Erzeugen von Darstellungen sexuellen Kindesmissbrauchs. Sie gelten ab dem 2. Dezember 2026. Verstöße gegen die Verbote werden mit Geldbußen von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3).

Der Zeitplan nach dem digitalen Omnibus

Die KI-Verordnung wurde durch die Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 (digitaler Omnibus zur KI) geändert, die am 24. Juli 2026 im Amtsblatt veröffentlicht wurde und seit dem 27. Juli 2026 in Kraft ist. Die Pflichten für die in Anhang III aufgeführten Hochrisiko-Systeme gelten nun ab dem 2. Dezember 2027 statt ab dem 2. August 2026, die Pflichten für Hochrisiko-Systeme im Bereich der Produktvorschriften (Anhang I) ab dem 2. August 2028. Die Transparenzpflichten des Art. 50 gelten seit dem 2. August 2026.

Hochrisiko-Systeme und Folgenabschätzungen

Anhang III stuft bestimmte Verwendungen in den Bereichen Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Zugang zu grundlegenden öffentlichen und privaten Diensten (einschließlich Kreditwürdigkeit sowie Lebens- und Krankenversicherung), Strafverfolgung, Migration und Grenzkontrolle sowie Rechtspflege und demokratische Prozesse als hochriskant ein. In diesen Bereichen werden personenbezogene Daten in großem Umfang verarbeitet.

Zu unterscheiden sind zwei Prüfungen. Die Datenschutz-Folgenabschätzung beruht auf Art. 35 DSGVO; Betreiber von Hochrisiko-Systemen nutzen dafür die Informationen, die der Anbieter nach Art. 13 KI-Verordnung bereitstellt (Art. 26 Abs. 9). Die Grundrechte-Folgenabschätzung ist in Art. 27 KI-Verordnung geregelt und nicht für jeden Betreiber vorgeschrieben, sondern für Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, und Betreiber von Systemen zur Kreditwürdigkeitsprüfung sowie für Lebens- und Krankenversicherungen. Seit dem digitalen Omnibus kann der Betreiber in der Grundrechte-Folgenabschätzung auf die einschlägigen Abschnitte der Datenschutz-Folgenabschätzung verweisen oder diese übernehmen (Art. 27 Abs. 4).

Das türkische Gesetz Nr. 6698 über den Schutz personenbezogener Daten (KVKK) kennt keine Pflicht, die Art. 35 DSGVO entspricht. Die türkische Datenschutzbehörde hält in ihrem im November 2025 veröffentlichten Leitfaden zu generativer KI und Datenschutz fest, dass das Gesetz dies nicht vorschreibt, sieht eine Datenschutz-Folgenabschätzung aber als sinnvoll an, wenn die Verarbeitung erhebliche Folgen für das Leben der Betroffenen haben kann (Leitfaden, S. 44).

Besondere Kategorien von Daten zur Erkennung von Verzerrungen

Der digitale Omnibus hat Art. 10 Abs. 5 gestrichen und Art. 4a eingefügt. Anbieter von Hochrisiko-Systemen dürfen danach ausnahmsweise besondere Kategorien personenbezogener Daten verarbeiten, soweit dies für die Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist, und nur mit angemessenen Garantien. Erste Voraussetzung ist, dass dieser Zweck mit anderen Daten, einschließlich synthetischer oder anonymisierter Daten, nicht wirksam erreicht werden kann. Die Vorschrift gilt seit dem 27. Juli 2026.

Automatisierte Entscheidungen und das Recht auf Erläuterung

Art. 22 DSGVO gibt der betroffenen Person das Recht, keiner ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Im Urteil SCHUFA (C-634/21, 7. Dezember 2023) entschied der Gerichtshof, dass die automatisierte Ermittlung eines Wahrscheinlichkeitswerts durch eine Wirtschaftsauskunftei eine automatisierte Entscheidung im Sinne des Art. 22 ist, wenn ein Dritter diesem Wert maßgeblich folgt, um ein Vertragsverhältnis zu begründen, durchzuführen oder zu beenden.

Die KI-Verordnung fügt ein weiteres Recht hinzu. Beruht eine Entscheidung auf der Ausgabe eines Hochrisiko-Systems nach Anhang III und entfaltet sie rechtliche Wirkung oder beeinträchtigt sie die Person in ähnlicher Weise erheblich, kann diese vom Betreiber eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der Entscheidung verlangen (Art. 86). Betreiber von Systemen nach Anhang III, die Entscheidungen über natürliche Personen treffen oder dabei unterstützen, müssen diese Personen über die Verwendung des Systems informieren (Art. 26 Abs. 11).

Das türkische Gegenstück ist Art. 11 Abs. 1 Buchst. g KVKK: das Recht, einem nachteiligen Ergebnis zu widersprechen, das sich aus der ausschließlich automatisierten Analyse der verarbeiteten Daten ergibt. Der Leitfaden der Behörde versteht dieses Recht so, dass es nicht nur gegen das Ergebnis gerichtet ist, sondern auch eine erneute Prüfung der Grundlagen der Entscheidung ermöglicht (Leitfaden, S. 52).

Modelltraining und Web-Scraping

Der Europäische Datenschutzausschuss stellte in seiner Stellungnahme 28/2024 vom Dezember 2024 fest, dass mit personenbezogenen Daten trainierte Modelle nicht in jedem Fall als anonym gelten können und dies im Einzelfall zu prüfen ist. Anonym ist ein Modell nur, wenn sowohl die Wahrscheinlichkeit einer unmittelbaren Extraktion der Trainingsdaten aus dem Modell als auch die Wahrscheinlichkeit, solche Daten durch Abfragen zu erhalten, unerheblich ist. Das berechtigte Interesse als Rechtsgrundlage unterliegt nach der Stellungnahme einer dreistufigen Prüfung: Bestimmung des berechtigten Interesses, Erforderlichkeit der Verarbeitung und Abwägung mit den Rechten und Freiheiten der Betroffenen.

Nach dem Leitfaden der türkischen Behörde kann sich der Verantwortliche, wenn öffentlich geteilte Inhalte aus sozialen Medien per Web-Scraping gesammelt und zum Training eines Sprachmodells verwendet werden, nicht auf den Tatbestand der Veröffentlichung durch die betroffene Person (Art. 5 Abs. 2 Buchst. d KVKK) stützen, weil die Betroffenen die Daten nicht zum Zweck der KI-Entwicklung veröffentlicht haben. Die öffentliche Zugänglichkeit kann jedoch bei der Interessenabwägung (Art. 5 Abs. 2 Buchst. f) berücksichtigt werden (Leitfaden, S. 44). Werden generative KI-Dienste von Anbietern mit Sitz im Ausland genutzt und dabei personenbezogene Daten ins Ausland übermittelt, muss die Übermittlung Art. 9 KVKK und der Verordnung über die Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland entsprechen (Leitfaden, S. 48).

Die Lage im türkischen Recht

In der Türkei gibt es kein Gesetz, das KI unmittelbar regelt; in der Großen Nationalversammlung liegen Gesetzentwürfe vor. Der im März 2026 vorgelegte Bericht der Untersuchungskommission des Parlaments zur KI schlug die Errichtung einer türkischen KI-Behörde vor. Der KI-Aktionsplan der Türkei (2026–2030) wurde durch das Rundschreiben des Präsidenten Nr. 2026/9 in Kraft gesetzt (Amtsblatt vom 18. August 2026, Nr. 33344). Das Rahmenübereinkommen des Europarats über künstliche Intelligenz (SEV Nr. 225) wurde am 5. September 2024 in Vilnius zur Unterzeichnung aufgelegt; zum 1. November 2026 hat die Türkei es nicht unterzeichnet, und das Übereinkommen ist noch nicht in Kraft getreten.

Datenschutzfragen bei KI-Anwendungen werden daher nach dem Gesetz Nr. 6698 gelöst: Voraussetzungen der Verarbeitung (Art. 5, 6), Übermittlung ins Ausland (Art. 9), Informationspflicht (Art. 10), Rechte der betroffenen Person (Art. 11) und Datensicherheit (Art. 12). Die Empfehlungen der Behörde zum Datenschutz im Bereich der KI von 2021 und ihr Leitfaden vom November 2025 erläutern, wie diese Vorschriften auf KI anzuwenden sind.

Bewertung

Prof. Dr. Murat Volkan Dülger hat 2019 die Spannungen zwischen KI und Datenschutzrecht in vier Punkten zusammengefasst: die Neigung, möglichst viele Daten zu sammeln, die Ableitung neuer Daten aus vorhandenen, die Belastung des Grundsatzes der Zweckbindung, wenn Daten für anfangs unbekannte Zwecke verarbeitet werden, und die Zunahme automatisierter Entscheidungen. Er schlug damals vor, Risikobewertungen an den Besonderheiten von KI und Big Data auszurichten, Datenschutz von der Gestaltung an einzubauen, zur Vermeidung unnötiger Verarbeitung synthetische Daten zu nutzen und von Anfang an festzulegen, wer Verantwortlicher ist.

Die KI-Verordnung hat einen Teil dieser Vorschläge in verbindliche Regeln überführt. Art. 4a beschränkt die Verarbeitung besonderer Kategorien von Daten zur Erkennung von Verzerrungen auf Fälle, in denen synthetische oder anonymisierte Daten nicht genügen; Folgenabschätzungen sind für Hochrisiko-Systeme verpflichtend geworden. Nach Dülger liegt das Problem im türkischen Recht nicht im Fehlen von Regeln, sondern in der Unsicherheit darüber, wie nicht für KI geschaffene Regeln auf KI anzuwenden sind. Auch das Widerspruchsrecht des Art. 11 Abs. 1 Buchst. g KVKK bleibt hinter dem Schutz nach Art. 22 DSGVO und dem SCHUFA-Urteil zurück, weil es kein Recht gewährt, keiner automatisierten Entscheidung unterworfen zu werden, sondern nur ein Recht, einem nachteiligen Ergebnis zu widersprechen.

Nach Dülger sollte die Türkei nicht zwischen dem marktorientierten Modell der Vereinigten Staaten, dem staatsorientierten Modell Chinas und dem grundrechtsorientierten Modell der EU wählen, sondern einen Rahmen aus ihrer eigenen Verfassungsordnung und ihren eigenen Rechtsbegriffen heraus entwickeln. Das heißt nicht, dass die KI-Verordnung außer Betracht bleiben könnte: Wegen des Gewichts des EU-Marktes und der Zollunion wird sie auf türkische Unternehmen, die Systeme in der EU anbieten, faktisch anwendbar sein. Der erste Schritt sollte die Unterzeichnung und Ratifizierung des Rahmenübereinkommens des Europarats über künstliche Intelligenz sein, das einen grundrechtlichen Mindeststandard schafft.

Die KI-Verordnung selbst sollte nicht unverändert in das türkische Recht übernommen werden. Sie ist Binnenmarkt- und Produktsicherheitsrecht; ihr risikobasierter Ansatz macht bestimmte Grundrechtseingriffe hinnehmbar, solange Verfahrensanforderungen erfüllt sind. Zudem wurde der Text erheblich geändert, bevor er überhaupt angewendet wurde. Ihr grundrechtlicher Kern kann dem türkischen Recht dagegen als Orientierung dienen: eine enge Liste von Verboten für mit der Menschenwürde unvereinbare Verwendungen, die Grundrechte-Folgenabschätzung und ein durch einen wirksamen Rechtsbehelf gestütztes Recht auf Erläuterung. Der produktsicherheitsrechtliche Teil ist gesondert im Rahmen der Zollunion zu behandeln.

Dülgers grundsätzlicher Ansatz ist nicht, KI zu verbieten, sondern ihre kontrollierte und überprüfbare Verwendung sicherzustellen, denn eine verbotene Technologie wird oft weiter genutzt, nur ohne jede Kontrolle. Er schlägt daher vor, Verbote auf einen engen Kern zu beschränken und andere riskante Verwendungen durch Genehmigung, Auflagen, Protokollierung, Transparenz, Widerspruchsmöglichkeiten und unabhängige Aufsicht zu regeln. Auch für die biometrische Echtzeit-Gesichtserkennung in öffentlich zugänglichen Räumen schlägt er ein Genehmigungsmodell vor: Die Verwendungszwecke sind gesetzlich festzulegen, die Verwendung bedarf grundsätzlich einer richterlichen Anordnung, in Eilfällen kann sie auf Anordnung der Staatsanwaltschaft beginnen, die binnen vierundzwanzig Stunden richterlich zu bestätigen ist, und jede Verwendung ist zu protokollieren.

Die zitierten Vorschriften und Quellen und ihre Geltung für die Türkei

Die auf dieser Seite zitierten Vorschriften und Quellen sind im Folgenden mit vollständiger Bezeichnung und ihrer rechtlichen Geltung für die Türkei aufgeführt. Bei Texten, die in der Türkei nicht gelten, ist angegeben, warum sie herangezogen werden und in welchen Fällen sie Personen in der Türkei dennoch binden können.

  • Türkisches Recht: Gesetz Nr. 6698 über den Schutz personenbezogener Daten (KVKK; Amtsblatt vom 7.4.2016, Nr. 29677) und die Verordnung über die Verfahren und Grundsätze der Übermittlung personenbezogener Daten ins Ausland (Amtsblatt vom 10.7.2024, Nr. 32598). In der Türkei in Kraft und verbindlich.
  • KI-Verordnung: Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024. In der EU seit dem 1. August 2024 in Kraft. Da die Türkei kein EU-Mitglied ist, gilt sie in der Türkei nicht und bindet türkische Behörden und Gerichte nicht. Sie bindet jedoch Anbieter und Betreiber in der Türkei, die Systeme in der EU in Verkehr bringen oder in Betrieb nehmen oder deren Systemausgaben in der EU verwendet werden (Art. 2 Abs. 1 Buchst. a und c). Weil die Türkei EU-Beitrittskandidat ist und im Rahmen der Zollunion ihre technischen Produktvorschriften angleichen muss, wird die Verordnung auch als Vorbild für türkische Regelungen herangezogen.
  • Digitaler Omnibus: Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 zur Änderung der KI-Verordnung; in der EU seit dem 27. Juli 2026 in Kraft. Für die Türkei gilt dasselbe wie für die KI-Verordnung.
  • Datenschutz-Grundverordnung (DSGVO): Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016. In der EU seit dem 25. Mai 2018 anwendbar; in der Türkei nicht in Kraft. Sie bindet Unternehmen in der Türkei, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten in der EU beobachten (Art. 3 Abs. 2). Da das KVKK nach dem Vorbild des EU-Datenschutzrechts geschaffen wurde, werden DSGVO und EU-Rechtsprechung zum Vergleich herangezogen.
  • Gerichtshof der EU, SCHUFA (C-634/21, 7.12.2023): Auslegung von Art. 22 DSGVO; für die Türkei nicht verbindlich. Zum Vergleich mit Art. 11 Abs. 1 Buchst. g KVKK herangezogen.
  • Europäischer Datenschutzausschuss (EDSA; Gremium der EU-Datenschutzbehörden), Stellungnahme 28/2024, Dezember 2024: an die Aufsichtsbehörden der EU gerichtet; für die Türkei nicht verbindlich. Zum Vergleich mit dem Ansatz der türkischen Behörde herangezogen.
  • Türkische Datenschutzbehörde, Leitfaden zu generativer KI und Datenschutz (in 15 Fragen), Veröffentlichung Nr. 113, November 2025; Empfehlungen zum Datenschutz im Bereich der KI, 2021: Sie geben die Auslegung der türkischen Datenschutzbehörde wieder. Als weder Gesetz noch Verordnung sind sie nicht verbindlich, zeigen aber, wie das Gesetz in der Praxis des Datenschutzausschusses ausgelegt wird.
  • Rahmenübereinkommen des Europarats über künstliche Intelligenz und Menschenrechte, Demokratie und Rechtsstaatlichkeit (SEV Nr. 225), am 5. September 2024 zur Unterzeichnung aufgelegt: noch nicht in Kraft; von der Türkei nicht unterzeichnet. Es bindet die Türkei daher nicht. Herangezogen als erster verbindlicher völkerrechtlicher Vertrag über KI des Europarats, dessen Gründungsmitglied die Türkei ist.
  • Rundschreiben des Präsidenten Nr. 2026/9 zum KI-Aktionsplan der Türkei (2026–2030) (Amtsblatt vom 18.8.2026, Nr. 33344): in Kraft; als Rundschreiben an die öffentliche Verwaltung gerichtet, ohne unmittelbare Pflichten für Private.
  • Bericht der KI-Untersuchungskommission der Großen Nationalversammlung der Türkei (März 2026) und dort anhängige KI-Gesetzentwürfe: nicht verbindlich; herangezogen, um den Stand der Regulierungsdebatte in der Türkei zu zeigen.

Weitere Veröffentlichungen

Stand: 1. November 2026. Diese Seite dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall.