İsviçre Veri Koruma Yasası (DSG) Online Satıcılar için 2026: nFADP Uyumu ve E-Ticaret Rehberi

2026 İsviçre Veri Koruma Manzarası

İsviçre'nin hukuki manzarası karmaşıktır: federal DSG (Bundesgesetz über den Datenschutz), 26 kantonal düzenleme, sektörel mevzuat (FINMA, swissmedic) ve AB ile karşılıklı yeterlilik. Aşağıdaki kartlar 6 temel konuyu özetler.

1. İsviçre DSG (nFADP) Nedir? 2026 Görünüm

Yasanın Tarihsel Bağlamı

Bundesgesetz über den Datenschutz (DSG) ilk olarak 1992'de kabul edildi. 25 Eylül 2020'de Parlamento tam revizyon (Totalrevision) kararı aldı; yeni metin 1 Eylül 2023'te yürürlüğe girdi. Almancada revDSG veya nDSG, Fransızcada nLPD, İngilizcede nFADP (new Federal Act on Data Protection) olarak anılır.

Revizyonun motivasyonu AB karşılıklı yeterlilik (Adequacy) kararının sürdürülmesi — bu karar 15 Ocak 2024'te yenilendi. Türk satıcılar için sonuç: Almanya'ya GDPR uyumlu satış İsviçre uyumunu büyük ölçüde, ancak %100 değil, karşılar.

DSG'nin Üç Ayırt Edici Özelliği

nFADP'nin GDPR ve KVKK'dan ayrıldığı üç temel nokta vardır:

• Kişisel cezai sorumluluk — Yaptırım şirkete değil, ihlali kasten yapan/yaptıran gerçek kişiye uygulanır. Bir yönetici asgari yükümlülüklere uymadığı için 250.000 CHF kişisel ödeme yapar.
• Profilleme iki seviyeli — 'Normal profilleme' ve 'yüksek riskli profilleme' ayrımı. İkincisi açık rıza ister.
• Hızlandırılmış bilgilendirme — Veri toplandığı anda kapsamlı bilgilendirme (en az 8 bilgi kategorisi) zorunlu. Sonradan tamamlanması mümkün değil.

DSG Kimi Bağlar?

DSG Madde 3 'ülkesel uygulama' kuralını koyar. Aşağıdaki durumlardan biri varsa Türkiye'de kurulu satıcı olsanız bile DSG'ye tabisiniz:

• İsviçre'de fiziksel kuruluşunuz (şube, ofis, depo) var
• İsviçre'deki kişilerin verilerini işliyor ve onlara ürün/hizmet sunuyorsunuz (CHF fiyat, .ch alan adı, Almanca/Fransızca pazarlama, İsviçre adresine kargo bunun göstergeleridir)
• İsviçre'deki kişilerin davranışını izliyorsunuz (web sitesi analitik, fingerprinting, retargeting)

Pratik sonuç: shop.example.com.tr üzerinden CHF fiyatla Zürichli müşteriye satış yapan Türk satıcı DSG kapsamındadır — ve bu durum 2026 itibarıyla FDPIC tarafından aktif olarak takip edilmektedir.

2. KVKK vs İsviçre DSG/nFADP — Türk Satıcı Karşılaştırması

Yan Yana Bakış

KVKK ve DSG, kavram düzeyinde benzer ama operasyonel düzeyde belirgin biçimde farklı iki rejim. Aşağıdaki tablo, Türk e-ticaret satıcısının günlük işletmesinde karşılaşacağı 8 alanda iki yasanın karşılaştırmasını gösterir:

Konu	KVKK (Türkiye)	DSG / nFADP (İsviçre)
Yürürlük	7 Nisan 2016 + Mart 2024 değişiklikleri	1 Eylül 2023 (revize)
Denetim Otoritesi	KVKK Kurumu (Ankara)	FDPIC / EDÖB (Bern)
Sicil Yükümlülüğü	VERBİS — merkezi elektronik bildirim	Verzeichnis der Bearbeitungstätigkeiten — iç kayıt
İdari Para Cezası	Şirkete: 1.000.000+ TL'ye kadar	Sorumlu gerçek kişiye: 250.000 CHF'ye kadar
İhlal Bildirimi	72 saat (kesin süre)	'Mümkün olan en kısa sürede' (pratikte 72 saat)
Açık Rıza Eşiği	Özel nitelikli + yurt dışı aktarım	Hassas veri + yüksek riskli profilleme
Profilleme Ayrımı	Tek kategori	İki kategori (normal / yüksek riskli)
Yurt Dışı Aktarım	Kurul kararı + taahhütname / Bağlayıcı Şirket Kuralları	Yeterli koruma listesi / SCC / BCR / açık rıza

Kritik Operasyonel Farklar

1. Cezanın muhatabı. KVKK Kurumu cezayı şirkete keser ve şirket sigortayla kapatır. DSG cezası ise sorumlu yöneticinin cebinden çıkar. Türk satıcının İsviçre'ye atadığı temsilci veya şube müdürü, ihlali bilerek yapmışsa şahsen ödeme yapar.

2. Sicilin niteliği. VERBİS, proaktif merkezi bildirim modelidir. DSG'nin Verzeichnis'i ise şirket içi dahili kayıttır, denetimde sunulur. Verzeichnis için her veri işleme aktivitesini saniye bazlı kayıt altına alan bir sistem gerekir.

3. Bilgilendirme zamanlaması. DSG, veri toplama anında en az 8 bilgi kategorisi (veri sorumlusu kimliği, işleme amaçları, alıcı kategorileri, aktarım yapılan ülkeler vb.) eksiksiz sunulmasını ister; sonradan ek yazışmayla tamamlanması geçerli kabul edilmez.

3. Türk E-Ticaret Satıcısı İçin DSG Kapsamı

Hangi Veriler 'Kişisel Veri' Sayılır?

DSG Madde 5(a), kişisel veriyi geniş tanımlar: 'kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin tüm bilgiler'. E-ticaret bağlamında DSG kapsamındaki veriler:

• Klasik müşteri verisi — ad, e-posta, telefon, adres, doğum tarihi
• Sipariş ve ödeme — sipariş kalemleri, ödeme yöntemi, fatura adresi, kart son 4 hanesi
• IP adresi + tarayıcı parmak izi — DSG'de açıkça 'kişisel veri' olarak kabul edilir (KVKK'da da aynı)
• Çerez ID'leri — sadece zorunlu olmayanlar (analytics, marketing, retargeting)
• Müşteri segmenti — 'VIP', 'risk müşterisi', 'iade sıklığı yüksek' gibi etiketler profillemedir
• Müşteri hizmetleri kayıtları — ses kaydı, e-posta yazışmaları, chat transkriptleri
• İade ve şikayet kayıtları — hatta foto/video deliller

Hassas Veri (Besonders schützenswerte Personendaten)

DSG, KVKK'nın 'özel nitelikli kişisel veri' kavramına benzer şekilde 'özellikle korunmaya değer veri' kategorisi tanımlar. Bunlar:

• Dini, felsefi, siyasi veya sendika görüşleri
• Sağlık, mahremiyet, ırksal veya etnik köken bilgisi
• Sosyal yardım önlemlerine ilişkin veriler
• İdari/cezai kovuşturma ve yaptırım verileri
• Genetik veriler (DSG'nin yenisi)
• Biyometrik veriler — kişiyi tanımlamaya elveren (yüz tanıma, parmak izi)

E-ticaret pratiğinde hassas veriyle en çok karşılaşılan durumlar: (1) sağlık ürünleri satıcılarının sipariş kayıtları, (2) helal/kosher gıda satışında dini tercih çıkarımı, (3) yaş kontrolü için kimlik fotokopisi, (4) iade için fatura üzerinde sağlık beyanı.

Kapsam Dışı Kalanlar

DSG kapsam dışı: tüzel kişi verileri (2023 revizyonuyla çıkarıldı, GDPR ile uyum), anonim veri, kişisel/aile kullanımı. Pratik: B2B müşteri verisi (şirket adı, vergi no, iş e-postası) DSG dışıdır — ancak iletişim kişisinin kişisel verisi (ad, telefon, kişisel e-posta) kapsamdadır.

Veri İşleme Sorumlusu vs İşleyen

DSG, GDPR gibi 'sorumlu' (Verantwortlicher) ve 'işleyen' (Auftragsbearbeiter) ayrımı yapar:

• Satıcı (siz) — Veri Sorumlusu (Verantwortlicher)
• Pazaryeri (Galaxus, Brack, Microspot) — Genelde 'ortak sorumlu' (Mitverantwortlicher)
• Stripe, PayPal, TWINT — İşleyen; kendi ilişkilerinde sorumlu
• Mailchimp, SendGrid, Klaviyo — İşleyiciniz; DPA zorunlu
• Google Analytics, Meta Pixel — 'ortak sorumlu' (Joint Controller); paylaşım şeffaf belgelenmeli

4. Veri Sahibi Hakları (DSG vs KVKK)

DSG'nin Tanıdığı Haklar

DSG veri sahibine 6 hak tanır: Bilgi alma (Auskunftsrecht — Md.25) 30 gün içinde ücretsiz yanıt; Düzeltme (Berichtigung — Md.32); Silme (Löschung — Md.32) KVKK'dan geniş kapsam; İşlemeyi sınırlandırma; Veri taşınabilirliği (Datenportabilität — Md.28) makine-okunur format; İtiraz profilleme ve doğrudan pazarlama için.

KVKK ile Karşılaştırma

KVKK Madde 11, veri sahibine 7 hak tanır: bilgi alma, başvurabileceği makamı bilme, işleme amacını ve uygun şekilde kullanılıp kullanılmadığını öğrenme, yurt içi/dışı aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzelttirme, silmesini/yok edilmesini isteme, zarar halinde tazminat isteme. DSG'den farklı iki nokta:

• Veri taşınabilirliği KVKK'da açıkça düzenlenmemiştir — DSG'de açıkça vardır (Madde 28).
• Tazminat KVKK Madde 11(g)'de bir hak olarak sayılır — DSG'de tazminat genel hukuk yolu olarak ayrı düzenlenir.

Talep Süreleri ve Operasyonel Yükümlülük

DSG'de yanıt süresi 30 gün, gerekçeli uzatma ile en fazla 3 aya kadar. KVKK'da yanıt süresi 30 gün, talep ücretsizdir. Pratik fark:

• DSG yanıtı resmi dil olarak Almanca/Fransızca/İtalyanca'dan biri olmalıdır (talep İngilizce gelse bile).
• KVKK yanıtı Türkçe verilmelidir.
• Veri sahibi 30 günlük sürede yanıt almazsa hem KVKK Kurumu'na hem FDPIC'e şikayet edebilir.

Yanıt Hazırlığı — 7 Adımlı Akış

1. Kimlik doğrulama — Talep gerçekten veri sahibinden mi?
2. Veri envanteri taraması — CRM, ERP, pazarlama, müşteri hizmetleri
3. İstisna kontrolü — Yasal saklama yükümlülükleri (vergi, e-fatura)
4. Üçüncü taraf verisi maskeleme
5. Yanıt taslağı — Resmi dil + DSG transparency listesi
6. Onay ve gönderim — Yönetici imzası, iletilebilir kanal
7. Kayıt — Verzeichnis + KVKK Sicili'ne özet

5. Veri İhlali Bildirimi — FDPIC ve KVKK Karşılaştırması

İhlal Nedir?

DSG Madde 24 tanımı: kişisel verilerin kazara veya kasten kaybı, silinmesi, yok edilmesi, değiştirilmesi veya yetkisiz açıklanması/erişilmesi. KVKK Madde 12(5) tanımı neredeyse aynıdır. Pratik örnekler: yetkisiz erişim (hacker, eski çalışan), veri kaybı (yangın, fiziksel kayıp), yanlış alıcıya e-posta (CC/TO karışıklığı), şifrelenmemiş S3 bucket, çalınmış dizüstü/telefon, işyerinde ödeme bilgisi fotoğraflanması.

Bildirim Eşiği — Hangi İhlal Bildirilir?

Bu iki rejim arasındaki en kritik farktır:

• KVKK — 'en kısa sürede' (Kurum yorumuyla 72 saat içinde) Kurul'a bildirim zorunludur. Tüm ihlaller bildirilmelidir; risk seviyesi ayrımı yoktur.
• DSG — sadece 'veri sahibinin kişiliğine veya temel haklarına yüksek risk' oluşturan ihlaller bildirilir. Düşük riskli ihlal (örn. tek müşterinin halka açık adresinin sızması) bildirilmez ama iç kayıt tutulur.

DSG'nin 'yüksek risk' eşiği gri bir alan. FDPIC, 2024'te 'yüksek risk' yorumunu netleştiren rehber yayımladı; özetle: hassas veri ihlali, finansal veri ihlali, biyometrik veri ihlali, 100'den fazla kişiyi etkileyen ihlal ve sahteciliğe açık veri (kimlik no, adres+doğum tarihi) ihlali her zaman 'yüksek risk' kabul edilir.

Süre — 72 Saat Gerçekten Şart mı?

DSG 'mümkün olan en kısa sürede' (möglichst rasch) der; FDPIC rehberi GDPR ile uyumlu 72 saat referans alır. Pratik akış: 0-24 saat ihlal tespiti + hukuk/IT alarmı; 24-48 saat kapsam ve 'yüksek risk' değerlendirmesi; 48-72 saat FDPIC + KVKK Kurul paralel bildirim; 72 saat sonrası etkilenen kişilere bilgilendirme.

Bildirim İçeriği — 8 Zorunlu Alan

FDPIC bildirim formu (Almanca/Fransızca/İtalyanca) zorunlu alanlar: (1) ihlal niteliği ve tarihi, (2) etkilenen veri kategorileri ve kişi sayısı, (3) alınan tedbirler, (4) olası sonuçlar, (5) etkilenen kişilere bilgilendirme planı, (6) iletişim noktası (DPO/yönetici), (7) üçüncü ülke unsurları (Türkiye dahil), (8) diğer otoritelere bildirim durumu (KVKK Kurumu vb.).

6. Sınır Ötesi Veri Aktarımı (Türkiye ↔ İsviçre)

Aktarım Yönü Hangi Yasayı Tetikler?

Türkiye → İsviçre aktarımı KVKK Madde 9 kapsamındadır. İsviçre → Türkiye aktarımı DSG Madde 16 kapsamındadır. Çoğu Türk satıcı her iki yönde aktarım yapar — paralel uyum şarttır.

Türkiye'nin Yeterlilik Statüsü

İsviçre Federal Konseyi, AB'nin 'adequacy' listesini esas alır ve kendisi de güncellenmiş bir liste tutar. Türkiye, ne AB ne İsviçre tarafından 'yeterli koruma sağlayan ülke' olarak kabul edilmektedir. Bunun pratik anlamı:

• İsviçre → Türkiye aktarımı için ek tedbir zorunludur: Standart Sözleşme Maddeleri (Standardvertragsklauseln, FDPIC onaylı versiyon), Bağlayıcı Şirket Kuralları (Binding Corporate Rules) veya açık ve bilgilendirilmiş veri sahibi rızası.
• FDPIC, 2024'te kendi onaylı Standart Sözleşme Maddeleri (SCC) şablonunu yayımladı; AB SCC'leri (EU SCC 2021) de DSG kapsamında geçerli kabul edilir ek protokol ile.
• Sözleşme imzalamak yeterli değildir; ayrıca Veri Aktarım Etki Değerlendirmesi (Transfer Impact Assessment — TIA) belgelenmelidir.

TIA — Veri Aktarım Etki Değerlendirmesi

TIA, 'Schrems II' kararından sonra Avrupa veri koruma rejimine giren araçtır. İsviçre de DSG bağlamında benimsemiştir. Değerlendirilecek 6 unsur:

1. Hedef ülkede (Türkiye) veri koruma seviyesi — KVKK uyumu, Kurum'un yaptırım gücü
2. Hedef ülkenin istihbarat/kolluk erişim yetkileri — 5651, MİT Kanunu, BTK
3. Ek teknik tedbirler — uçtan uca şifreleme, anahtar İsviçre'de
4. İdari tedbirler — sınırlı erişim, log, denetim
5. Sözleşmesel tedbirler — alıcının taahhütleri, denetim hakkı
6. Veri kategorisinin hassasiyeti

TIA, basit form-doldurma değil; ciddi hukuki ve teknik analizdir. Zunapro, TIA şablonu ve doldurulmuş örnekleri sunar.

Pratik Kombinasyonlar

Senaryo	Gerekli Tedbir
İsviçreli müşteri verisi Türkiye'de barındırılıyor	FDPIC SCC + TIA + uçtan uca şifreleme
İsviçreli müşteri verisi AWS Frankfurt'ta	AB içinde — adequacy gereği DSG'de ek tedbir yok
İsviçreli müşteri verisi ABD bulutta (CRM, e-posta)	EU-US Data Privacy Framework + DSG add-on + TIA
Türk müşteri verisi İsviçre'de barındırılıyor	KVKK Madde 9 — Kurul kararı veya taahhütname; İsviçre yeterli koruma var
Türk + İsviçreli karışık veri Türkiye'de	FDPIC SCC + TIA + KVKK aydınlatma + açık rıza opsiyonu

7. Çerez, Pazarlama İzni ve Profilleme

İsviçre'de Çerez İzni Hukuki Çerçevesi

İsviçre'de çerezler iki yasa kesişiminde düzenlenir:

• DSG — kişisel veri içeren çerezler (analytics, marketing, retargeting) için şeffaflık, bilgilendirme ve itiraz hakkı şarttır.
• FMG (Fernmeldegesetz — Telekomünikasyon Yasası) Madde 45c — cihaza yerleştirilen tüm çerezler ve benzeri teknolojiler için kullanıcıya 'bilgi ve itiraz olanağı' sunulması zorunludur. Açık opt-in şart koşulmaz; opt-out yeterlidir.

Bu ayrım, İsviçre'yi GDPR'den önemli ölçüde farklı kılar. GDPR (ve onun ePrivacy yan kanunu) zorunlu olmayan tüm çerezler için açık opt-in ister; İsviçre yalnızca itiraz olanağı sunmanızı yeterli görür.

Pratikte Ne Yapılmalı?

2026'da İsviçre sitelerinin %78'i GDPR uyumlu opt-in CMP kullanır. Sebepler: (1) İsviçre sitelerinin %30+ trafiği AB'den geliyor; (2) Zürih gibi kantonlar federal yasadan sıkı yorum benimser; (3) Google Consent Mode v2 ve Meta Conversions API opt-in CMP zorluyor.

Pazarlama İzni — Newsletter ve SMS

• DSG — mevcut müşterilere benzer ürün/hizmet için 'soft opt-in' (UWG Madde 3); yeni müşteri için açık rıza şart.
• KVKK + İYS — ticari elektronik ileti için açık rıza ve İYS sicili zorunludur.

Pratik: İsviçreli ve Türk müşteriler için ayrı listeler tutun; iki liste karışırsa kaynak takibi imkansızlaşır.

Profilleme — İki Seviyeli Yaklaşım

DSG'nin GDPR'den ayrıldığı en ilginç nokta budur. İki kategori ayırt edilir:

• Normal Profilleme (Profiling) — Müşterinin tercih, davranış ve özelliklerine ilişkin otomatik değerlendirme. Bilgilendirme yeterlidir.
• Yüksek Riskli Profilleme (Hochrisiko-Profiling) — Veri sahibinin kişiliği üzerinde önemli özellikleri (sağlık, ekonomik durum, hareketler) değerlendiren profilleme. Açık (eksplicit) rıza şarttır.

E-ticaret pratiğinde örnekler:

• 'Önerilen ürünler' (collaborative filtering) → Normal profilleme
• 'Yeniden hedefleme reklamları' (retargeting) → Normal profilleme
• 'Risk müşterisi' etiketi (iade sıklığı, sahtecilik şüphesi) → Yüksek riskli profilleme
• 'Kredi skoru tabanlı taksit teklifi' → Yüksek riskli profilleme
• Sağlık ürünleri için satış geçmişine dayalı segmentasyon → Yüksek riskli profilleme

8. İdari Para Cezaları ve Kişisel Sorumluluk

DSG Ceza Yapısının Üç Tabakası

nFADP cezayı üç düzeyde inceler:

'Sorumlu Kişi' Kim?

• Geschäftsführer / CEO / Genel Müdür — varsayılan sorumlu
• Datenschutzberater / DPO — görev tanımı veri korumayı kapsıyorsa
• IT Müdürü — teknik tedbir ihlallerinde
• İsviçre Temsilcisi (Madde 14) — yurt dışı şirketler için

Türkiye merkezli yönetici olsanız bile İsviçre savcılığı dava açabilir; İsviçre-Türkiye iade anlaşması mevcuttur. Temsilci görev tanımı net olmalı, veri koruma sorumluluğu yazılı devredilmelidir.

Şirket Sigortası Cezayı Kapsar mı?

Hayır — DSG cezası cezai yaptırım olduğu için D&O sigortası karşılamaz. GDPR cezası ise şirkete idari yaptırımdır, sigortayla kapatılabilir. Pratik: yönetici/temsilci kişisel Hukuki Koruma Sigortası (Rechtsschutzversicherung) yaptırmalı (~CHF 800-2.000/yıl); cezayı değil ama hukuk masraflarını karşılar.

KVKK Ceza Karşılaştırması

Boyut	KVKK	DSG (nFADP)
Niteliği	İdari para cezası	Cezai yaptırım (Strafrechtlich)
Muhatabı	Tüzel kişi (şirket)	Gerçek kişi (yönetici)
Üst Sınır	~1.000.000+ TL (yıllık güncellenir)	250.000 CHF
Sigorta Kapsamı	Bazı durumlarda D&O	Asla kapsanmaz
Karar Mercii	KVKK Kurulu	Kantonal ceza mahkemesi

9. DPO/Temsilci Atama ve Sicil Yükümlülükleri

Datenschutzberater (DPO) — Tavsiye, Zorunluluk Değil

DSG'de DPO atanması zorunlu değildir; DSG Madde 10 atayan şirketlere DPIA için FDPIC danışmasından muafiyet, tek temas noktası avantajı ve 'gerekli özen' (Sorgfaltspflicht) karinesi tanır. Ancak GDPR Madde 37 üç durumda DPO'yu zorunlu kılar: (1) düzenli/sistematik geniş ölçekli izleme — e-ticaret retargeting bu kategoridedir; (2) geniş ölçekli hassas veri işleme; (3) kamu otoritesi olarak işleme.

İsviçre Temsilcisi (Madde 14)

Bu, Türk satıcılar için DSG'nin en somut yükümlülüğüdür. DSG Madde 14 şu durumlarda İsviçre'de bir temsilci (Vertretung) atamayı zorunlu kılar:

1. Satıcı İsviçre dışında kurulu
2. İşleme İsviçre'deki kişilerle bağlantılı
3. İşleme amacı İsviçre'de ürün/hizmet sunmak veya davranış izlemek
4. İşleme büyük ölçekli veya yüksek risk içeriyor

1, 2, 3 koşullarından üçü bir arada gerçekleşen ve 4. koşullardan en az birini sağlayan her satıcı temsilci atamak zorundadır. Pratikte: aylık 100+ İsviçreli müşterisi olan herkes bu kategoriye girer.

Temsilci Kim Olabilir?

İsviçre'de yerleşik gerçek kişi (avukat/danışman), tüzel kişi (LegalTech) veya İsviçre şubeniz. Tipik 2026 fiyatları: Temel CHF 1.500-2.500/yıl (isim+e-posta+adres, talep iletme); Genişletilmiş CHF 3.000-5.000/yıl (+FDPIC iletişimi, denetim temsili, Almanca yanıt); Tam DPO+Temsilci CHF 8.000-15.000/yıl (+uyum danışmanlığı, yıllık denetim, eğitim).

Verzeichnis der Bearbeitungstätigkeiten — İşleme Faaliyetleri Kaydı

DSG Madde 12 zorunlu kayıt içeriği: veri sorumlusu kimliği, işleme amaçları, veri sahibi/veri/alıcı kategorileri, üçüncü ülke aktarımları + dayanak, saklama süreleri, güvenlik tedbirleri özeti. 250'den az çalışanlı ve yüksek riskli işleme yapmayan KOBİ'ler bu kayıttan muaftır — ancak diğer şeffaflık yükümlülükleri devam eder.

VERBİS Paraleli

VERBİS içerik olarak Verzeichnis'e benzer ama yöntem farklıdır: VERBİS merkezi elektronik bildirim, Verzeichnis iç kayıttır. Akıllı strateji: tek veri kataloğundan her iki sicili otomatik üretmek. Zunapro Compliance Hub bunu yapar.

10. 2026 Uyum Yol Haritası — Adım Adım

1. Mevcut Durum Analizi (1. Hafta)

Önce yanıtlayın: Aylık kaç İsviçreli müşteri (100+ ise kesinlikle kapsamda)? Hangi veri kategorileri? Veriler nerede (Türkiye, İsviçre, AB, ABD)? Üçüncü taraflar (Stripe, Mailchimp, Google Analytics)? Temsilci var mı? Verzeichnis var mı?

2. İsviçre Temsilcisi Atama (2. Hafta)

1. LegalTech firmaları karşılaştırması (VISCHER, MLL, Datenschutzpartner.ch, GetCompliant)
2. Görev tanımı sözleşmesi — veri sahibi talepleri, FDPIC iletişimi, denetim temsili kapsamı
3. Temsilci iletişimini footer + gizlilik politikasında yayımla
4. Verzeichnis'e temsilciyi ekle

3. Verzeichnis Hazırlığı (3.-4. Hafta)

Her aktivite için bir kart. Tipik e-ticaret 12-18 aktivite: müşteri kayıt, sipariş işleme, ödeme (Stripe), kargo (Swiss Post/DPD), iade, müşteri hizmetleri, newsletter, web analitiği, sosyal medya pazarlama, CRM segmentasyon, çağrı merkezi kayıtları, sahtecilik önleme (3DS, Stripe Radar).

4. Aydınlatma Metni Güncellemesi (4.-5. Hafta)

Datenschutzerklärung Almanca/Fransızca/İtalyanca'da; asgari içerik: veri sorumlusu kimliği, temsilci, işleme amaçları + hukuki dayanak, veri kategorileri, alıcılar (Stripe/Google/Mailchimp ismiyle), üçüncü ülke aktarımları + dayanak, saklama süreleri, 6 hak, FDPIC şikayet hakkı, çerez listesi.

5. CMP (Çerez Yönetim Platformu) Kurulumu (6. Hafta)

1. OneTrust/Cookiebot/Usercentrics/Iubenda seçimi (yıllık CHF 300-2.000)
2. Site taranıp çerezler kategorize edilir
3. Türkiye + İsviçre + AB için ayrı banner (geo-IP)
4. Google Consent Mode v2 + Meta Conversions API
5. Aylık otomatik tarama

6. SCC ve TIA Hazırlığı (7.-8. Hafta)

1. FDPIC onaylı SCC'yi indir
2. Her alıcı tüzel kişi için ayrı SCC imzala
3. TIA hazırla — 6 unsurlu yapı
4. Verzeichnis'e aktarım dayanağı olarak ekle
5. Yıllık inceleme planı

7. İhlal Müdahale Planı (9. Hafta)

1. İhlal komitesi (CEO + IT + Hukuk + Temsilci)
2. 72 saat sayacı (Zunapro/Jira)
3. FDPIC bildirim taslakları (DE+FR)
4. KVKK Kurul şablonu (TR)
5. Etkilenen kişi metin örnekleri
6. Yıllık tabletop tatbikatı

8. Zunapro Entegrasyonu (10. Hafta)

1. Zunapro panelinde oturum açın ve İsviçre modülünü aç
2. Veri envanterinizi içe aktarın — Shopify, WooCommerce, Trendyol, özel sistem
3. Verzeichnis'i otomatik oluşturun — Zunapro veri akışlarınızı tarayıp taslağı hazırlar
4. KVKK + DSG aydınlatma metnini üretin — şirket bilgilerinizi girin, geri kalanı şablon doldursun
5. Veri sahibi talep portalı — müşteriye public link, size onay arka ofisi
6. İhlal akışı kur — 72 saat sayacı + paralel bildirim taslakları
7. Canlıya geç — ilk uyum skorunuz 2-4 hafta içinde 90+'a ulaşır

İsviçre DSG FAQ 2026 — Türk Satıcı Soruları