KVKK uyumlu web siteleri altı şeye ihtiyaç duyar: hukuken uygun gizlilik bildirimi, gerçek seçenek sunan çerez banner'ı, AB'de şifrelenmiş hosting, hizmet sağlayıcılarla işleme sözleşmeleri, güvenli iletişim formları ve belgelenmiş veri koruma süreçleri. Para cezaları yıllık cironun yüzde 4'üne kadar çıkabilir.
KVKK / GDPR. Pek çok site sahibini ürküten dört harf. Ve haksız da sayılmaz: cezalar ağır, kurallar karmaşık ve ihtar dalgaları bitmek bilmiyor. Ama panik yok. Bu yazıda madde madde işleyebileceğin açık, pratik bir kontrol listesi alıyorsun.
Avukat değilim ve buradakiler hukuki danışmanlığın yerini tutmaz. Ama yerel işletmeler için web siteleri yapan biri olarak tipik tuzakları ve onlardan nasıl kaçınacağını biliyorum.
2026'da KVKK uyumluluğu neden her zamankinden önemli
Genel Veri Koruma Tüzüğü 2018'den beri yürürlükte ama yaptırım her yıl daha sıkılaşıyor. 2025 ve 2026'da bilmen gereken birkaç gelişme:
- Çerez yasasının yeni adı: TTDSG, 14 Mayıs 2024'ten beri TDDDG (Telekomünikasyon ve Dijital Hizmetlerde Veri Koruma Yasası) adını taşıyor. Sadece adı değişti, § 25'teki çerez kuralı aynen geçerli
- Daha yüksek cezalar: Veri koruma otoriteleri küçük işletmelere de giderek artan oranda ceza kesiyor. 20 milyon avroya veya yıllık cironun %4'üne kadar mümkün
- İhtar dalgaları: Uzman hukuk büroları paralarını KVKK ihtarlarıyla kazanıyor. Doğru çerez banner'ı olmayan her site kolay hedef
- Yapay zeka ve veri koruma: Web sitelerinde yapay zeka destekli veri işleme için yeni kurallar geliyor
İyi haber: Aşağıdaki maddeleri uygularsan güvenli taraftasın.
Bölüm 1: Çerez iznini doğru uygulamak
Çerez banner'ı ziyaretçilerin sitende ilk gördüğü şey. Ve en sık ihtar nedeni. Doğru yapmanın yolu:
Bir çerez banner'ının içermesi gerekenler
- Hangi çerezlerin ne için yerleştirildiğine dair açık bilgi
- "Kabul et" düğmesi kadar belirgin bir "Reddet" düğmesi
- Tek tek çerez kategorilerini seçebilme: yani granüler kontrol
- Gizlilik politikasına bağlantı
- Önceden işaretli kutular yok: opt-out değil, opt-in
İzin verilmeyenler
- Dark patterns: Reddet düğmesi daha küçük veya daha az görünür olamaz
- Çerez duvarları: Sitenin erişimini çerezlerin kabul edilmesine bağlayamazsın
- Yönlendirme: "En iyi deneyim için tüm çerezleri kabul edin" gibi ifadeler sorunlu
- Önceden yükleme: Çerezler ancak izinden sonra yerleştirilebilir, öncesinde değil
Teknik olarak gerekli ve isteğe bağlı çerezler
Tüm çerezler izin gerektirmez. Teknik olarak gerekli çerezleri izinsiz yerleştirebilirsin. Bunlara şunlar dahildir:
- Sepet için oturum çerezleri
- Kullanıcı alanı için giriş çerezleri
- Dil ayarları
- Çerez izninin kendisi
Geri kalan her şey: takip, analytics, pazarlama, sosyal medya, açık izin gerektirir.
Bölüm 2: Gizlilik politikası
Her web sitesi bir gizlilik politikasına ihtiyaç duyar. Her sayfadan erişilebilir olmalı, genelde footer'da. Ve eksiksiz, güncel olmalı.
Gizlilik politikasında neler olmalı
- Sorumlunun adı ve iletişim bilgileri: adın, adres, e-posta
- Veri koruma görevlisi: Varsa veya gerekiyorsa
- Hangi verileri topluyorsun: IP adresleri, form verileri, çerezler vb.
- Yasal dayanak: Verileri neden topluyorsun (izin, sözleşme, meşru menfaat)
- Veri alıcıları: Hosting sağlayıcı, bülten aracı, analytics sağlayıcı vb.
- Saklama süresi: Veriler ne kadar saklanır?
- İlgili kişi hakları: Bilgi alma, silme, itiraz, veri taşınabilirliği
- Üçüncü ülke aktarımı: AB dışında veri işleniyor mu? Evetse hangi temelde?
Bölüm 3: Künye (Impressum)
Dar anlamda KVKK konusu değil ama aynı derecede önemli ve sık hatalı. Almanya'daki her ticari sitenin §5 DDG (eski TMG) gereği künyeye ihtiyacı var.
- Tam ad ve adres
- E-posta adresi ve telefon
- Varsa ticaret sicil ve numarası
- Varsa KDV numarası
- Düzenlemeye tabi mesleklerde meslek bilgileri
Künye her sayfadan en fazla iki tıkla erişilebilir olmalı. Footer'da bir bağlantı yeter.
Bölüm 4: İletişim formları ve e-posta
Sitendeki her iletişim formu kişisel veri işler. Dikkate alman gerekenler:
- Veri işleme uyarısı doğrudan formda, sadece gizlilik politikasında değil
- İzin onay kutusu çoğu zaman gerekmez: Verileri sadece talebi yanıtlamak için kullanıyorsan, talebin kendisi genelde hukuki dayanaktır. O zaman gizlilik politikasına iyi görünen bir yönlendirme çoğu zaman yeterli
- Şifreli iletim: Form HTTPS üzerinden çalışmalı
- Veri tasarrufu: Sadece gerçekten ihtiyaç duyduğun verileri iste. Bülten kaydında telefon zorunlu alan mı? İzin yok
- Silme süresi: Verileri ne zaman sileceğini tanımla
Bölüm 5: Hosting ve teknik gereksinimler
SSL sertifikası zorunlu
2026'da HTTPS'siz bir site sadece SEO sorunu değil, aynı zamanda veri koruma ihlali. Her veri iletimi şifreli olmalı. Çoğu hoster Let's Encrypt üzerinden ücretsiz SSL sertifikası sunar.
Sunucu konumu önemli
İdeal olarak web sunucun AB'de olmalı. AB dışında, örneğin ABD'de bir hosting sağlayıcısı kullanıyorsan, veri aktarımı için geçerli bir hukuki dayanağa ihtiyacın var. EU-US Data Privacy Framework 2023'ten beri bunun için bir dayanak sunuyor. AB Genel Mahkemesi (EuG) bunu 3 Eylül 2025'te onayladı, ancak AB Adalet Divanı'na (EuGH) itiraz mümkün.
Veri İşleme Sözleşmesi (DPA)
Senin için kişisel veri işleyen her hizmet sağlayıcıyla DPA gerekir. Bu kapsama girer:
- Hosting sağlayıcın
- E-posta pazarlama sağlayıcın
- Kişisel veri topluyorsa analytics aracın
- Sitende veri toplayan her dış araç
Ciddi sağlayıcıların çoğu sadece imzalaman gereken bir DPA hazırdır.
Bölüm 6: Google Analytics ve takip
Google Analytics, Alman web sitelerinde en çok kullanılan ve en sık yanlış yapılandırılan takip aracı.
Google Analytics 4'ü KVKK uyumlu kullanmak
- İzin al: GA4 ancak çerez izninden sonra yüklenebilir
- IP adresleri: GA4 tam IP adreslerini kaydetmez, bunun için ayrı bir ayar artık yok
- Google Signals'i devre dışı bırak: Cihazlar arası takip sağlar ve veri koruma açısından sorunlu
- Veri saklama süresini sınırla: 14 ay veya daha azına ayarla
- Google ile DPA imzala: Google Analytics ayarlarından mümkün
Google Analytics alternatifleri
Garantici davranmak istiyorsan veri koruma dostu alternatifler var:
- Matomo: Açık kaynak, kendi sunucunda çalıştırılabilir: doğru yapılandırılırsa çerez izni gerekmez
- Plausible: Hafif, çerezsiz, KVKK uyumlu, AB sunucu
- Fathom: Plausible'a benzer, kolay kullanım, AB sunucu mevcut
Bölüm 7: Sosyal medya ve dış gömüler
Sitendeki üçüncü taraflara veri gönderen her dış öğe veri koruma açısından önemlidir:
Sosyal medya düğmeleri
Facebook, Instagram vb. klasik Beğen ve Paylaş düğmeleri biri tıklamadan önce platformlara kullanıcı verisi gönderir. Çözüm: Shariff veya benzeri iki tıklamalı çözümler, yalnızca tıklamadan sonra bağlantı kurulur.
Google Maps
Google Maps gömüleri IP adresleri ve kullanım verilerini Google'a iletir. KVKK uyumlu çözüm: Maps'i ancak çerez izninden sonra yükle. Öncesinde tıklamalı statik bir yer tutucu göster.
YouTube videoları
YouTube videoları da Google'a veri iletir. YouTube'un gelişmiş veri koruma modunu (youtube-nocookie.com) kullan ve videoları yalnızca izinden sonra yükle.
Google Fonts
2022'deki ünlü LG Münih kararından sonra netleşti: Google Fonts, izinsiz olarak Google sunucularından yüklenemez. Çözüm: Google Fonts'u yerel olarak barındır. Uygulaması kolay ve ayrıca yüklenme süresini de iyileştirir.
Bölüm 8: Bülten ve e-posta pazarlama
Bülten sunuyorsan özel kurallar geçerli:
- Double opt-in: Almanya'da zorunlu. Kayıttan sonra onay e-postası gönderilmeli
- Abonelikten çıkma bağlantısı: Her e-postada çalışan bir abonelikten çıkma bağlantısı olmalı
- Kayıt tutma: İzni kanıtlayabilmelisin: zaman damgası, IP, onaylanmış e-posta
- Bağlama yasağını dolanma: Bülten kaydını bir indirme veya hizmetin koşulu yapamazsın
İşaretlenecek tam KVKK kontrol listesi
İşte pratik kontrol listen. Madde madde işle:
Temeller
- Künye eksiksiz ve her sayfadan erişilebilir
- Gizlilik politikası eksiksiz ve güncel
- SSL sertifikası aktif, tüm site HTTPS üzerinden
- Sunucu konumu AB'de veya üçüncü ülke aktarımı için geçerli yasal dayanak
Çerezler ve takip
- Çerez banner'ı eşit ağırlıkta Kabul ve Reddet düğmeleriyle
- İzinden önce çerez yok (teknik olarak gerekli olanlar hariç)
- Tek tek çerez kategorilerinin granüler seçimi mümkün
- Analytics aracı KVKK uyumlu yapılandırılmış
- Tüm veri işleyenlerle DPA imzalanmış
Formlar ve iletişim
- Her iletişim formunda veri koruma uyarısı
- İzin onay kutusu sadece gerektiği yerde (ör. bülten) ve asla önceden işaretli değil
- Veri tasarrufu: sadece gerekli alanlar
- Double opt-in ve abonelikten çıkma bağlantısı olan bülten
Dış hizmetler
- Google Fonts yerel olarak barındırılıyor
- Google Maps ancak izinden sonra yükleniyor
- YouTube videoları gelişmiş veri koruma modunda
- İki tıklamalı sosyal medya düğmeleri
Yapmazsan ne olur?
Sonuçlar gerçek ve pahalı olabilir:
- Cezalar: 20 milyon avroya veya yıllık cironun %4'üne kadar
- İhtarlar: Her ihlal için ihtar masrafları, buna ek olarak avukat masrafları
- Tazminat: Etkilenenler tazminat talep edebilir
- İtibar zararı: Kamuoyu tarafından bilinen veri koruma ihlali güveni zedeler
Pratikte bu sadece büyük şirketleri vurmuyor. Küçük işletmeler ve tek kişilik girişimler de düzenli olarak, sıklıkla hatalı çerez banner'ları veya yerel barındırılmayan Google Fonts gibi önemsiz ihlaller nedeniyle, ihtar alır.
Sonuç: KVKK bir canavar değil, bir kontrol listesidir
Evet, KVKK karmaşık. Ama onu tehdit yerine kontrol listesi olarak ele alırsan, bir öğleden sonrada uygulanabilir. Çoğu madde bir kez halledilir ve sonrasında yalnızca ara sıra güncelleme gerektirir.
Ve unutma: KVKK uyumluluğu sadece bir hukuki yükümlülük değil. Aynı zamanda müşterilerin için bir güven sinyali. Verilerle özenli davrandığını gören sana diğer alanlarda da güvenir.
Veri koruma işine engel değildir. Bir kalite işaretidir.
Stefanos Svarnas, Ludwigsburg'da Knusperholz. Web siteleri yapıyorum ve işletmelerin Google'da bulunmasını sağlıyorum. Bizzat, ajans dolambaçları olmadan.
