Almanya’dan Gelen Otel Misafirinin Türkiye’de Yüz Tanıma Verilerini Sildirmesi: KVKK 6, 11, 13 ve 14

Kısa ve net cevap: Türkiye’de konaklayan bir kişinin yüzü, yalnızca fotoğraf olarak kaydedildiği için her durumda biyometrik veri sayılmaz. Ancak görüntüden kişiyi benzersiz tanımaya veya doğrulamaya yönelik yüz şablonu çıkarılıyorsa 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m. 6 kapsamındaki özel nitelikli biyometrik veri söz konusudur. Otelin bu veriyi işlemesi için m. 6/3’te sayılan işleme şartlarından biri ve m. 4’teki ölçülülük, amaçla sınırlılık ve saklama ilkeleri bulunmalıdır. Kişi, m. 11 ve 13 uyarınca otelin veri sorumlusuna başvurup işleme sebebini, aktarımları ve şartları oluşmuşsa silme veya yok etmeyi isteyebilir. Veri sorumlusu başvuruyu en geç 30 gün içinde sonuçlandırır. Yanıtın yetersizliği, ret veya yanıtsızlık hâlinde m. 14’teki 30/60 günlük şikâyet süreleri değerlendirilir. Otelin konuk kimliğini bildirme yükümlülüğü, sınırsız yüz tanıma şablonu toplama izni değildir.

Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor

İnceleme tarihi: 30 Ekim 2026. Kapsam: Almanya’da yaşayan Türk vatandaşı, çifte vatandaş veya Alman misafirin Türkiye’deki bir otelde yüz tanıma teknolojisi nedeniyle kişisel veri başvurusu yapması. İnceleme, otelin gerçekten biyometrik eşleştirme yapıp yapmadığının belgelenmesini esas alır; herhangi bir otel hakkında somut ihlal tespiti içermez.

Kısa özet

1. Almanya’da ikamet eden misafirin Türkiye’deki verileri hakkında uygulanacak hukuk
2. Yüz fotoğrafı ve biyometrik yüz şablonu neden ayrı tutulmalıdır?
3. Otelin yüz tanıma işleyebilmesi için KVKK 6/3’teki koşullar
4. Açık rızanın konaklama şartı hâline getirilmesi ve ölçülülük
5. Otelin kimlik bildirme yükümlülüğü ile biyometrik kaydın ayrımı
6. KVKK 10 kapsamındaki aydınlatma metni nasıl değerlendirilir?
7. Yüz şablonunun otel zincirine ve yurt dışına aktarımı
8. Veri silme, yok etme ve anonimleştirme taleplerinin sınırları
9. Otelden hangi kayıt ve teknik bilgiler talep edilir?
10. Almanya’dan veri sorumlusuna başvurunun usulü
11. Otelin 30 günlük yanıt süresi ve Kurula 30/60 günlük şikâyet
12. Veri ihlali, ceza başvurusu ve tazminatın ayrı yollar oluşu
13. Dava ve şikâyette delil zinciri ile ispat planı
14. Adım adım örnek dosya kontrolü ve sık yapılan hatalar
15. Resmî mevzuat ve sitedeki tamamlayıcı bağlantılar

1. Almanya’da ikamet eden misafirin Türkiye’deki verileri hakkında uygulanacak hukuk

Türkiye’de faaliyet gösteren otelin kişisel veri işlemesi bakımından başlangıç noktası 6698 sayılı KVKK’dır. Başvurucunun Frankfurt’ta, Berlin’de veya Münih’te yaşaması; Türk vatandaşı, Alman vatandaşı ya da her iki ülkenin vatandaşı olması, Türkiye’deki veri sorumlusunun KVKK’dan kaynaklanan yükümlülüklerini ortadan kaldırmaz. Kişisel verinin hangi teknik işlemle elde edildiği ve hangi kuruluş tarafından hangi amaçla işlendiği belirlenir. Konu yalnız yabancı ülkedeki ikamete bakılarak Alman hukukuna bırakılmaz.

İki hukuk düzeninin aynı olayla ilgilenmesi mümkündür. Örneğin Almanya’da bulunan rezervasyon sistemi, Türkiye’deki otel işletmecisi ve uluslararası zincirin merkezî kimlik platformu farklı veri sorumluları veya veri işleyenler olabilir. Bu rollerin belirlenmesiyle veri sorumlusuna yapılacak Türk hukuku başvurusu, olası başka ülke başvurularından ayrılır. KVKK m. 3 kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar; biyometrik görüntü şablonları da bunun özel kategorisidir.

Somut başvuruda ilk belge konaklama sözleşmesi veya rezervasyon numarası değil, kimlik tespiti için hangi bilginin alındığını gösteren kayıt ve aydınlatma metnidir. Rezervasyonu bir Alman tur operatörü üzerinden yaptırmak, verinin yalnız tur operatöründe bulunduğu anlamına gelmez. Otelin kendi güvenlik, giriş kartı veya mobil uygulama altyapısı ayrı veri işleme faaliyeti yaratabilir. Başvurucu, hangi işletmeden ne istediğini hukuken ve teknik bakımdan ayırmalıdır.

2. Yüz fotoğrafı ve biyometrik yüz şablonu neden ayrı tutulmalıdır?

Bir konuk giriş sırasında fotoğraflanmışsa bu görüntü kişisel veridir; fakat her yüz görüntüsü otomatik biçimde biyometrik veri değildir. Bir kameranın genel güvenlik kaydı alması ile yüzün belirli noktalarını matematiksel olarak işleyip kişiyi diğerlerinden ayıran bir kalıp üretmesi arasında teknik ve hukuki fark vardır. Otelde yalnız kapalı devre kamera görüntüsü bulunması ile otomatik yüz eşleştirme yapılıp yapılmadığı araştırılmalıdır. İşlenen verinin adı ‘fotoğraf’, ‘face ID’, ‘yüz haritası’ veya ‘güvenlik kaydı’ olsa da hukuki nitelik teknik işlevine göre saptanır.

KVKK m. 6/1 biyometrik verileri özel nitelikli kişisel veriler arasında sayar. Kurumun biyometrik veri rehberi de kişiyi benzersiz biçimde tanıma veya doğrulamaya elverişli teknik işlemeyi öne çıkarır. Bir yüz şablonunun fotoğraf yerine sayısal vektör olarak tutulması, özel nitelikli veri sınıflandırmasını tek başına ortadan kaldırmaz. Türkiye’de 2026 yılında açıklanan biyometrik mesai takibi ilke kararı hakkında Kurum duyurusu da verinin matematiksel koda dönüştürülmesinin biyometrik niteliği gidermediğini açıklar. Ancak mesai takibine ilişkin ilke kararının sonucu otellerin tüm teknolojilerine otomatik ve aynı gerekçeyle uygulanmaz; her faaliyetin amacı ve hukuki temeli ayrıca değerlendirilir.

Dosyada kartlı giriş, resepsiyon fotoğrafı, pasaport okuyucu, yüz eşleştirme kamerası ve mobil check-in birbirinden ayrılmalıdır. Bir sistemin pazarlama metninde ‘biyometrik’ sözcüğünün geçmesi tek başına ispat değildir; kullanıcı arayüzü, cihaz işlevi, sözleşme, saklama kayıtları ve veri sorumlusunun yanıtı birlikte ele alınır. Buna karşılık otelin ‘biz fotoğraf saklamıyoruz’ açıklaması da yüz şablonu işlenmediğini kanıtlamaz.

3. Otelin yüz tanıma işleyebilmesi için KVKK 6/3’teki koşullar

KVKK m. 6/2, 2024 değişikliğiyle yürürlükten kaldırılmıştır. Güncel hukuki değerlendirme m. 6/3 ve 6/4 üzerinden yapılmalıdır. M. 6/3’teki kural, özel nitelikli kişisel verilerin işlenmesinin yasak olduğu; ancak kanunun gösterdiği hallerde işlenebileceği yönündedir. Bunlar arasında ilgili kişinin açık rızası, kanunda açıkça öngörülmesi, belirli zorunluluk halleri ve maddede sınırlı sayılan diğer sebepler bulunur. Otel işletmecisinin ‘güvenli hizmet veriyorum’ demesi, kendiliğinden yeni bir özel nitelikli veri işleme şartı yaratmaz.

İşleme şartı bulunduğunu ileri süren otel, bunu hangi veri için, hangi işlevle ve hangi amaçla değerlendirdiğini göstermelidir. Yüz eşleştirme yalnız odanın kapısını açmak için mi yapılıyor, yoksa restoran, havuz ve bina girişlerinde merkezi izleme mi sağlıyor? Bu faaliyetlerin tek ‘misafir güvenliği’ etiketi altında birleştirilmesi KVKK m. 4 çerçevesindeki belirli, açık ve meşru amaç ile amaçla bağlantılı, sınırlı ve ölçülü olma denetimini ortadan kaldırmaz.

KVKK m. 6/4, özel nitelikli kişisel verilerin işlenmesinde Kurulun belirlediği yeterli önlemlerin alınmasını arar. Şablonların şifrelenmesi, erişim yetkilerinin sınırlandırılması veya silme prosedürleri önemlidir; fakat teknik tedbir tek başına hukuki işleme şartının yerine geçmez. Öte yandan geçerli hukuki sebep bulunsa bile teknik güvenlik önlemlerinin ihmal edilmesi ayrıca ihlal oluşturabilir. Bu iki denetim ayrı yapılmalıdır.

4. Açık rızanın konaklama şartı hâline getirilmesi ve ölçülülük

Biyometrik veri için açık rızaya dayanılıyorsa bunun belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir beyan olması gerekir. Önceden işaretlenmiş kutu, konaklama sözleşmesinin tamamına yayılmış belirsiz kabul veya hiçbir alternatif sunulmayan zorunlu yüz taraması, özgür irade ve ölçülülük yönünden sorun yaratır. Otel yönetimi bir kontrol listesiyle asıl hizmetin yüz tanıma olmaksızın sunulup sunulamayacağını değerlendirmelidir.

Kurumun biyometrik veri rehberinde bir ürün veya hizmetin sunumunun açık rıza verilmesi şartına bağlanmaması gerektiği vurgulanır. Bu ilke, otelde ‘sisteme yüzünüzü kaydetmezseniz rezervasyonunuz yanar’ açıklaması yapıldığı iddiasında doğrudan incelenmesi gereken ölçüttür. Otelin manyetik kart veya resepsiyon görevlisiyle kontrol gibi alternatif yönteminin bulunması, biyometrik verinin neden zorunlu sayıldığının sorgulanmasını gerektirir. Alternatifin varlığı tek başına her sonucu belirlemez; ancak gereklilik ve ölçülülük incelemesinin maddi unsurudur.

Açık rıza metni birden çok işleme amacını aynı kutuda topluyorsa örneğin otel kapı kilidi için yüz verisi, müşteri sadakat programı ve üçüncü taraf pazarlama aktarımı ayrışmalıdır. Bunların her birinin amacı, süresi ve alıcısı farklıdır. Rıza yokluğunun kanuni işleme sebebiyle ikame edildiği ileri sürülüyorsa hangi maddeye dayanıldığı yazılı açıklanmalıdır. Yabancı dilde metin sunulması da bilgilendirilmiş onam açısından ayrıca değerlendirilir.

5. Otelin kimlik bildirme yükümlülüğü ile biyometrik kaydın ayrımı

Konaklama tesislerinin konuk kimliğini belirli şartlarda kaydetme ve ilgili kolluk sistemlerine bildirme yükümlülükleri vardır. Ancak kimlik bildirimi için gerekli temel kayıt ile yüzün otomatik tanınmasına yönelik biyometrik şablon aynı veri değildir. Bir otel, kimliği bildirme mecburiyetini ileri sürerek yüz şablonunu sınırsız süre saklayabileceği sonucuna ulaşamaz. Kanuni yükümlülüğün kapsamı, toplanan veri türü ve saklama süresi arasında bağlantı kurulmalıdır.

Bu ayrım 2025 tarihli KVKK Kurulunun 2025/2120 sayılı turizm ve otelcilik ilke kararı bakımından önemlidir. Karar, Türkiye’de konaklayanlardan T.C. kimlik belgesi fotokopisi alınması uygulamasına son verilmesini ve önceki fotokopiler yönünden imha yükümlülüğünü ele alır. Karar doğrudan yüz tanıma verileri hakkında verilmiş değildir. Yüz biyometrisiyle ilgili incelemelerde bu karar, konaklamada veri minimizasyonunu gösteren ayrı bir örnek olarak gösterilebilir; onun yerine biyometri hakkında verilmiş bir karar varmış gibi sunulmamalıdır.

Konuk yabancı pasaportla giriş yapmışsa T.C. kimlik fotokopisine ilişkin kararın lafzını pasaport için kendiliğinden aynı yaptırım kararı gibi uygulamak da doğru değildir. Her belge, otelin kanuni kimlik bildirim görevleri ve veri koruma ilkeleri çerçevesinde ayrıca incelenir. Bu makalenin uyuşmazlığı özellikle benzersiz yüz tanıma şablonuna ilişkindir; pasaport fotokopisi ve kamera kayıtlarının hukuki dayanağı başka başlıklar altında değerlendirilir.

6. KVKK 10 kapsamındaki aydınlatma metni nasıl değerlendirilir?

KVKK m. 10, veri sorumlusunun ilgili kişiyi veri sorumlusunun kimliği, işleme amacı, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebep ile m. 11’deki hakları hakkında aydınlatmasını düzenler. Resepsiyonda gösterilen QR kodunun açılması veya ekrandaki ‘kabul ediyorum’ yazısı bulunması, bu unsurların eksiksiz açıklandığının tek başına kanıtı değildir. Metnin hangi tarihte ve hangi dilde sunulduğu belirlenmelidir.

Bir Alman misafire İngilizce ya da Almanca metin gösterilmesi kural olarak iletişimi kolaylaştırabilir; buna karşılık metindeki hukuki kapsamın Türk mevzuatına uygunluğu başka sorudur. Aydınlatma bildirimiyle açık rıza da birbirine karıştırılmamalıdır. Birinde veri sorumlusu açıklama yapmakla yükümlüdür; diğerinde belirli işleme için gerekli ise ilgili kişinin iradesine dayanır. Bunlar aynı elektronik ekranda yer alsa bile içerikleri ayrı denetlenir.

Aydınlatma metninin ‘güvenlik için verileriniz işlenir’ şeklinde tek satırlık olması, biyometrik verinin nerede tutulduğu, sistemin üçüncü taraf sağlayıcısı, başka otellerle eşleştirme yapılıp yapılmadığı ve ne zaman silindiği gibi dosya unsurlarını açıklamamaktadır. Başvuruda bu belirsizlikler ayrı sorular hâline getirilmelidir. İşletmecinin ticari unvanı ile uygulamayı sağlayan teknoloji şirketi arasındaki veri sorumlusu/veri işleyen rolü ortaya konulmalıdır.

7. Yüz şablonunun otel zincirine ve yurt dışına aktarımı

Bir otel, tanımlama verisini yalnız kendi binasında tutabilir veya yabancı merkezli bir bulut hizmetinde işleyebilir. Her durumda veri akış haritasında hangi şirketin veri sorumlusu olduğu, hangi verinin kimin sistemine ulaştığı ve hangi sunucuda tutulduğu belirlenmelidir. Türkiye’deki otelden Almanya’daki bir şirket merkezine veri gönderilmiş olması, GDPR gibi başka bir düzenlemenin de gündeme gelebileceği anlamına gelse de Türkiye’deki veri aktarımının KVKK boyutu yok olmaz.

KVKK m. 8 ülke içi aktarımları, m. 9 ise yurt dışına aktarımları düzenler. M. 9 da 2024’te değiştirilmiştir. Bu nedenle ‘yurt dışına aktarım için mutlaka tek yöntem açık rıza’ veya ‘yabancı zincir otelde aktarım tamamen serbest’ şeklindeki eski formüller kullanılmamalıdır. Somut veri hareketi bakımından güncel aktarım rejimi ve kullanılabilecek güvence mekanizmaları ayrıca belirlenmelidir.

Misafir m. 11 kapsamında verilerinin aktarıldığı üçüncü kişileri öğrenme hakkını kullanabilir. Veri sorumlusunun yanıtında ‘iş ortaklarımız’ gibi yalnız soyut grup adı bulunması, başvurucunun aktarımın gerçek kapsamını değerlendirmesini zorlaştırır. Ancak ilgili kişinin her zaman sistemin bütün ticari sırlarını, ağ mimarisini veya diğer konukların kayıtlarını alma hakkı bulunduğu da iddia edilmemelidir. İstenen bilginin konusu kendi kişisel verisinin işlenmesidir.

8. Veri silme, yok etme ve anonimleştirme taleplerinin sınırları

KVKK m. 7, kişisel veriler hukuka uygun işlenmiş olsa dahi işlenmesini gerektiren sebepler ortadan kalktığında veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi ya da anonim hâle getirilmesi esasını düzenler. KVKK m. 11/1-e ilgili kişinin m. 7 çerçevesinde silme veya yok etmeyi isteme hakkını verir. Bu iki madde birlikte uygulanır; ‘istediğim anda otelin bütün kayıtları kesinlikle silinir’ biçiminde koşulsuz sonuç çıkarılmaz.

Silinmesi istenen veri unsurunu açık tanımlamak gerekir: Otelin kart sistemi için oluşturulan yüz eşleştirme şablonu mu, profil fotoğrafı mı, güvenlik kamerasının zaman damgalı görüntüsü mü, yoksa pasaport bilgi kaydı mı? Farklı kayıtların kanuni saklama dayanağı bulunabilir. Yüz şablonunu saklama sebebi kalmadığında bunun silinmesi, otelin hukuken zorunlu kimlik kayıtlarını da aynı anda silmesini gerektirmeyebilir. Bu fark talebin kısmen kabul edilmesiyle de sonuçlanabilir.

Bir veri sorumlusu ‘silme’ işlemi gerçekleştirdiğini belirttiğinde hangi sistemlerdeki kayıtların silindiği, yedeklerdeki sürecin nasıl yönetildiği ve veri işleyenlere bildirim yapılıp yapılmadığı önemlidir. Başvurucunun yüz verisini bütün dünyadaki sunuculardan kendisinin teknik olarak takip etmesi beklenmez; veri sorumlusu, m. 12 kapsamındaki veri güvenliği ve ilgili yönetmelik yükümlülükleri bakımından kendi sistemini yönetir. Bununla birlikte somut silme işleminin tamamlandığına dair doğrulama, soyut müşteri memnuniyeti mesajından ayrılmalıdır.

9. Otelden hangi kayıt ve teknik bilgiler talep edilir?

Başvuru için temel dosyada konaklama tarihi, otelin doğru ticari unvanı, rezervasyon numarası ve biyometrik uygulamayla karşılaşılan işlem sırası bulunmalıdır. Konu, ‘yüzüme ilişkin bütün bilgileri verin’ şeklinde belirsiz bırakılmamalı; özel nitelikli biyometrik veri işlenip işlenmediğinin açıklanması, işleme amacı, hukuki sebebi, alıcılar, saklama ve imha usulü ayrı maddelerde sorulmalıdır. Otelin kullandığı uygulamanın adı, resepsiyondaki aydınlatma metni ve rıza ekranının görüntüsü mümkünse tarih bilgisiyle saklanmalıdır.

Misafir, otelde yüz tanıma kaydı yaptırmayı reddettiyse ‘ret sonrası hangi alternatif sunulduğu’ not edilmelidir. Reddetmeye rağmen konaklamanın engellendiği ileri sürülüyorsa rezervasyon ücretinin kesilip kesilmediği ve otelle yapılan yazışmalar korunur. Teknik işleme yapıldığını gösteren kayıt yoksa sırf çalışan sözlü olarak ‘yüz tanıma sistemimiz var’ dediği için kesin veri ihlali sonucuna gidilmez; veri sorumlusunun yanıtı ve gerekirse Kurul incelemesi beklenir.

Konukla ilgisi olmayan başka kişilerin fotoğraflarını veya kimliklerini delil diye toplamak yeni bir kişisel veri sorunu yaratır. E-posta, otel uygulaması kaydı, otelin ilgili sayfasının tarihli görüntüsü ve kendisine verilen belgeler yeterli kapsamda saklanır. İç yazışmaların hukuka aykırı yöntemlerle temin edilmesi önerilmez. Başvurunun doğru işletmeye yapılması da önemlidir; aynı markanın birden fazla tüzel kişi veya franchise işletmesi bulunabilir.

10. Almanya’dan veri sorumlusuna başvurunun usulü

KVKK m. 13, ilgili kişinin Kanun’un uygulanmasıyla ilgili taleplerini veri sorumlusuna iletmesini düzenler. Başvurunun Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca uygun kanaldan yapılması gerekir. Almanya’daki misafir Türkiye’ye sırf başvuru mektubu göndermek için seyahat etmek zorunda olduğu sonucuna ulaşılmaz; tebliğde kabul edilen yazılı ve elektronik yöntemlerin başvurucu açısından hangisinin kullanılacağı belirlenir.

Başvuruda kimlik doğrulaması veri güvenliği gerekçesiyle talep edilebilir; buna karşılık otelin şikâyeti incelemek için yeniden yüz şablonu oluşturulmasını zorunlu tutması ayrı bir kişisel veri işleme problemidir. Başvurucunun kimliğinin kanıtlanmasıyla biyometrik sistemin yeniden kullanılması aynı zorunluluk değildir. Yetkili vekil aracılığıyla başvuru yapılacaksa temsil belgesi ve kapsamı sunulmalıdır.

Bir e-posta adresinin müşteri hizmetlerine ait olması, her hâlükârda kanunun öngördüğü başvuru kanalıyla eşdeğer olduğu anlamına gelmez. Tebliğdeki başvuru yöntemine göre belgenin güvenilir biçimde karşı tarafa ulaştığının ispatı saklanmalıdır. Gönderim ve alındı tarihi, 30 günlük yanıt süresinin hesaplanmasında belirleyicidir. Almanya’daki adresin ve kullanılan dilin başvurucuyu veya otelin ticari kimliğini belirsizleştirmesine izin verilmemelidir.

11. Otelin 30 günlük yanıt süresi ve Kurula 30/60 günlük şikâyet

KVKK m. 13/2 veri sorumlusuna iletilen talebin en kısa sürede ve en geç 30 gün içinde sonuçlandırılmasını gerektirir. Veri sorumlusu talebi kabul edebilir veya gerekçesini açıklayarak reddedebilir; yanıtını yazılı ya da elektronik ortamda bildirir. Otelden alınan ‘başvurunuz kaydedildi’ şeklindeki otomatik cevap, esasa ilişkin kesin yanıtla aynı şey değildir. Süreyi başvurunun uygun usulle iletildiği tarih üzerinden hesaplamak gerekir.

KVKK m. 14/1, başvurunun reddi, cevabın yetersizliği veya süresinde cevap verilmemesi durumunda Kurula şikâyeti düzenler. Kanundaki iki sınır birlikte okunur: veri sorumlusunun cevabını öğrenmeden itibaren 30 gün ve her hâlde veri sorumlusuna başvuru tarihinden itibaren 60 gün. İkinci sınır, ilk 30 günlük sürenin üstüne otomatik olarak eklenecek yeni ve sınırsız 60 gün değildir. Kurumun resmî Şikâyet Hakkı sayfası da süreyi açıkça böyle anlatır.

KVKK m. 14/2 uyarınca m. 13’teki veri sorumlusuna başvuru yolu tüketilmeden Kurula şikâyet yapılamaz. Veri sorumlusu makul ve gerekçeli yanıt sunduğunda uyuşmazlığın nasıl devam edeceği yeni bir inceleme konusudur. Başvurucunun Almanya’da bulunması m. 14’teki şikâyet takvimini otomatik uzatmaz. Özellikle yazışmanın Almanya’dan gönderildiği dosyalarda teslim ve cevabı öğrenme tarihi ispatına dikkat edilmelidir.

12. Veri ihlali, ceza başvurusu ve tazminatın ayrı yollar oluşu

Biyometrik verinin hukuka aykırı işlenmesi, verinin yetkisiz kişilerin eline geçmesi ve konukla otel arasındaki sözleşmeden doğan bedel uyuşmazlığı birbirinden ayrı hukuki olaylardır. Kurula yapılacak şikâyet, tüm bu meselelerin tek başvuruda aynı hukuki sonuçla çözüleceği anlamına gelmez. KVKK m. 12 veri güvenliğini, m. 15 Kurulun incelemesini, m. 18 idari yaptırımlara ilişkin hükümleri içerir. İlgili kişi bakımından ayrıca m. 14/3 genel hükümlere göre tazminat hakkını saklı tutar.

Somut olayda bir yüz şablonunun yetkisiz üçüncü kişiyle paylaşıldığı ileri sürülüyorsa erişim yetkisi, olay tarihi, kullanıcı uyarısı ve işletmenin ihlal bildirimleri kayda alınır. Buna karşılık otelin biyometrik sistem kullandığı bilgisi, mutlaka üçüncü kişiye veri sızdığı anlamına gelmez. İdari başvuruda gerçek işleme faaliyetinin hukuki sebebi sorgulanabilir; veri sızıntısı iddiası ise ayrıca delil gerektirir.

Konaklama bedelinin iadesi veya ayıplı hizmet iddiası gündeme geliyorsa bunlar 6502 sayılı Kanun ve somut sözleşme yönünden ayrı incelenmelidir. Kişisel veri başvurusunun sonuçlanması, tüketici uyuşmazlığında otomatik bedel iadesi kararı oluşturmaz. Aynı şekilde Kurulun idari para cezası vermesi ilgili kişiye doğrudan aynı tutarda tazminat ödeneceği anlamına gelmez. Talep ve merci ayrımının korunması, yargısal süreçte hatalı beklentiyi azaltır.

13. Dava ve şikâyette delil zinciri ile ispat planı

Yüz tanıma verisinin varlığını değerlendiren dosyada teknik belge, somut zaman ve ilgili kişinin kimliği birlikte okunmalıdır. Otelin personeli tarafından imzalanmamış kısa bir açıklama, gerçek veri akışına ilişkin kesin kanıt sayılmamalıdır. Öte yandan ilgili kişi kendi verisinin nasıl işlendiğini dışarıdan tam olarak görmeyebilir; bu nedenle KVKK m. 11 kapsamındaki bilgi edinme hakları önemlidir. Talep cevabından sonra eksik kalan hususlar, Kurulun inceleme yetkisiyle bağlantılı biçimde ortaya konulabilir.

Misafirin elindeki konaklama faturası, check-in mesajı, mobil uygulama ekranı ve veri aydınlatma metni bir sıra içerisinde korunmalıdır. Ekran görüntülerinin tarih ve bağlamı kaybolmamalıdır; metin sonradan değişirse eski sürümle yeni sürüm ayrılır. Alenileştirilmiş otel politikaları, gerçek kaydın işlenip işlenmediğini tek başına göstermeyebilir. Biyometrik şablonun verinin saklanma biçimi nedeniyle görünmüyor oluşu ise yokluğunu kesin olarak ispatlamaz.

Kişiye ait sağlık, pasaport veya aile kayıtları gibi ek hassas belgelerin gereksiz paylaşılması bu davanın delil değerini artırmaz. Başvurunun asgari verilerle ve güvenli kanaldan yürütülmesi gerekir. Vekâletname gerekiyorsa ilgili işlemle sınırlı temsil yetkisi gösterilir. Dava açılacaksa ceza hukuku, haksız fiil ve kişisel veri hukuku talepleri birbirine karıştırılmadan talep sonucu belirlenir.

14. Adım adım örnek dosya kontrolü ve sık yapılan hatalar

İlk aşamada otelin ticari unvanı ve Türkiye’deki işletmecisi belirlenir. İkinci aşamada cihazın yalnız fotoğraf mı kaydettiği yoksa benzersiz yüz eşleştirme şablonu mu oluşturduğu sorulur. Üçüncü aşamada KVKK m. 6/3 işleme şartı ve m. 4 ölçülülük incelenir. Dördüncü aşamada m. 10 aydınlatmasının içeriği; beşinci aşamada yurt dışına aktarım, saklama ve imha rejimi dosyalanır. Son aşamada veri sorumlusuna süreyi ve somut talebi gösteren başvuru yapılır.

Sık hatalardan biri, genel bir müşteri memnuniyeti talebiyle KVKK başvurusu arasında ayrım yapmamaktır. Bir diğer hata, otelin verdiği ‘veriniz bizde değil’ cevabından sonra veri işleyen şirketin kim olduğunun hiç sorulmamasıdır. Üçüncü hata, kişinin yalnız QR kodu ekranını saklayıp işleme tarihini, rezervasyonunu ve veri sorumlusunun unvanını kaybetmesidir. Dördüncü hata ise Kurul şikâyetine geçerken 30/60 günlük süreyi yanlış toplamaktır.

Hukuka uygun yürütülen bir kimlik bildirme görevi ile ayrıca kurulan biyometrik profilin işleme hukuku birbirinden ayrılarak incelenir. Dosya, gereksiz genellemeler yerine hangi veri — hangi amaç — hangi hukuki sebep — hangi süre — hangi alıcı sorularına dayanmalıdır. Böyle kurulan inceleme, hem otelin kanuni savunmasının hem ilgili kişinin silme ve bilgi edinme hakkının denetlenebilir olmasını sağlar.

15. Resmî mevzuat ve tamamlayıcı site içi bağlantılar

Resmî kaynaklar:

• 6698 sayılı KVKK: Kişisel veriler, özel nitelikli veriler ve başvuru hükümleri — özellikle m. 3, 4, 6, 7, 8, 9, 10, 11, 12, 13 ve 14.
• KVKK Kurumu: Özel Nitelikli Kişisel Veriler — biyometrik veri ve kanuni işlem şartları.
• KVKK Kurumu: Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber — 2024 değişikliği ve kapsam.
• KVKK Kurulu: 2025/2120 sayılı turizm ve otelcilik ilke kararı — kimlik fotokopisi ile biyometri ayrımı.
• KVKK Kurumu: Şikâyet Hakkı — veri sorumlusuna başvuru ve 30/60 günlük takvim.
• KVKK Kurumu: Biyometrik mesai takibine ilişkin 2026/921 sayılı karar açıklaması — biyometrik veri sınıflandırması; otellere ilişkin doğrudan karar değildir.

Sitedeki tamamlayıcı ve farklı alt sorunları inceleyen yazılar:

• Otelde kimlik fotokopisi alınması ve KVKK 2025/2120.
• İşyerinde parmak izi ve yüz tanıma ile mesai takibi: 2026/921.
• Yurt dışındaki otelin Türkiye’de veri ihlali bildirimi.
• Yurt dışındaki müvekkiller için hukuki bilgilendirme.

Sık sorulan 12 soru

1. Almanya’dan gelen otel misafirinin KVKK hakkı var mı?

Evet. Türkiye’de veri işleyen işletmenin hukuki yükümlülükleri, ilgili kişinin Almanya’da ikamet etmesi nedeniyle ortadan kalkmaz. Hangi işletmenin veri sorumlusu olduğu ve hangi veri işleme faaliyeti yürüttüğü belirlenir.

2. Otelin çektiği her yüz fotoğrafı özel nitelikli biyometrik veri mi?

Hayır. Benzersiz kimlik doğrulama veya tanımaya yönelik teknik işleme bulunup bulunmadığı araştırılır. Sıradan fotoğraf yine kişisel veri olabilir; biyometrik şablon ise KVKK m. 6 bakımından ayrıca değerlendirilir.

3. Yüz şablonunun sayısal koda çevrilmesi KVKK 6’yı devre dışı bırakır mı?

Hayır. Teknik dönüşümün veri işleme niteliğine ve kişinin benzersiz tanınmasına yarayıp yaramadığına bakılır. 2026/921 sayılı ilke kararına ilişkin Kurum açıklaması da matematiksel kodun tek başına biyometrik niteliği kaldırmadığını belirtir.

4. Otel konaklama için yüz tanıma iznini zorunlu tutabilir mi?

Yalnızca ‘otel güvenliği’ gerekçesiyle otomatik ve koşulsuz biçimde değil. KVKK m. 6/3’te işleme şartı ve m. 4 kapsamında gereklilik/ölçülülük denetlenir. Açık rıza kullanılıyorsa özgür irade ve alternatif yöntem sorusu ayrıca incelenir.

5. Otel kimlik bildirmek zorunda olduğu için yüz şablonunu saklayabilir mi?

Kimlik bildirimiyle biyometrik eşleştirme aynı veri işleme faaliyeti değildir. Kanuni bildirim yükümlülüğünün kapsamı ayrı, yüz şablonunun işleme ve saklama gerekçesi ayrı değerlendirilir.

6. 2025/2120 sayılı Kurul kararı otellerde yüz tanımayı mı yasakladı?

Hayır. Söz konusu ilke kararı özellikle konaklama yerlerinde T.C. kimlik belgesi fotokopisi alınması ve bu belgelerin imhasıyla ilgilidir. Yüz tanıma sorunu özel nitelikli veri işleme kurallarıyla ayrıca incelenir.

7. Verilerimi otelden sildirmeyi her durumda isteyebilir miyim?

KVKK m. 11/1-e uyarınca m. 7 kapsamındaki koşullar gerçekleştiğinde silme veya yok etmeyi talep edebilirsiniz. İşlemeyi gerektiren sebeplerin ortadan kalkması ve ayrı saklama yükümlülükleri somut kayıt bazında incelenir.

8. Otelden veri kaydının yurt dışına gönderilip gönderilmediğini sorabilir miyim?

KVKK m. 11 kapsamında verilerinizin aktarıldığı üçüncü kişiler ve işleme faaliyetinin kapsamı hakkında bilgi isteyebilirsiniz. Yurt dışı aktarım koşulları m. 9 çerçevesinde ayrıca ele alınır.

9. Almanya’dan e-postayla başvuru yapmak yeterli midir?

Başvuru, KVKK m. 13 ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun yöntemde yapılmalıdır. Rastgele müşteri hizmetleri adresine iletilen her e-postanın tek başına uygun başvuru sayıldığı varsayılmaz.

10. Otel kaç gün içinde yanıt vermelidir?

KVKK m. 13/2’ye göre talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırmalıdır. Otomatik alındı mesajı, tüm taleplerin gerekçeli olarak karşılandığı anlamına gelmez.

11. Kurula şikâyet süresi Almanya’da yaşadığım için uzar mı?

Hayır, ikamet tek başına süreyi uzatmaz. KVKK m. 14 çerçevesinde reddi/yetersiz cevabı öğrenmeden 30 gün, veri sorumlusuna başvuru tarihinden itibaren en geç 60 gün sınırları birlikte uygulanır.

12. Kurula şikâyet edersem otel otomatik tazminat öder mi?

Hayır. İdari şikâyet ile şahsi tazminat talebi ayrı hukuki yollardır. KVKK m. 14/3, kişilik hakkı ihlal edilenlerin genel hükümlere göre tazminat haklarını saklı tutar.

Sonuç ve belge kontrolü

Almanya’daki bir misafir için mesele yalnız otelin yüz tanıma kullanması değildir: hangi verinin biyometrik şablon olduğu, KVKK 6/3 kapsamında işleme şartı bulunup bulunmadığı, KVKK 4 çerçevesinde ölçülülük, KVKK 10 kapsamındaki aydınlatma, KVKK 11 kapsamındaki bilgi ve silme talebi, KVKK 13–14 kapsamındaki başvuru ve şikâyet süreleri tek tek değerlendirilmelidir. Üçüncü kişilerin verileri toplanmadan ve yetkisiz erişim sağlanmadan dosya hazırlanmalıdır.

Başvuru öncesi asgari belge kontrolü: otelin ticari unvanı; konaklama tarihi; verinin toplanma anı; görülen aydınlatma ve rıza metni; varsa yüz tanıma sistemine ilişkin teknik açıklama; veri sorumlusuna gönderilmiş başvuru ve teslim kaydı; alınmış cevap. Bu belgeler incelenmeden belirli bir otelin hukuka aykırı işlem yaptığı veya talebin kabul edileceği ilan edilemez.

Yazar ve hukuki kaynak incelemesi

Av. Halil Bakırcı — Mersin Barosu Sicil No: 3472. Bakırcı & Keskin Hukuk Bürosu. Bu metin, Almanya’da ikamet edenlerin Türkiye’deki kişisel veri işlemlerine ilişkin genel hukuki bilgilendirmedir. İnceleme tarihi 30 Ekim 2026. Somut belge incelemesi yapılmadan dava sonucu, tazminat miktarı veya kesin işlem süresi taahhüt edilmez.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →