Gayrimenkul Satışında KVKK Uyumluluğu (İnşaat Rehberi)

2026'da tek bir veri güvenliği ihlali, bir inşaat firmasına 17 milyon TL'yi aşan idari para cezası getirebiliyor. Kişisel Verileri Koruma Kurumu'nun açıkladığı tutarlara göre en düşük ceza bile 85.437 TL'den başlıyor. Bu tablo, KVKK uyumluluğu konusunu inşaat ve gayrimenkul firmaları için ertelenemez bir öncelik hâline getiriyor.

Bu rehberde şunları bulacaksınız:

• İnşaat firmalarının işlediği kişisel veri türleri ve riskleri
• 2026 KVKK ceza tutarları, aydınlatma ve açık rıza kuralları
• Şantiye, satış ofisi ve pazarlama için pratik uyum kontrol listesi

Not: Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kendi süreçleriniz için bir KVKK avukatına danışın.

Gayrimenkul satışında KVKK neden kritik?

KVKK'ya göre bir inşaat firması veri sorumlusudur. Yani müşteri, çalışan ve taşeron verilerinin işleme amacını ve yöntemini belirleyen taraftır. Bu sıfat, firmaya doğrudan hukuki sorumluluk yükler.

Risk yalnızca teorik değildir. Invekor'un 2025 saha verilerine göre Kurul'un uyguladığı ortalama idari para cezası 427.000 TL seviyesine yükseldi. Üstelik yüksek cezalar çoğunlukla birden fazla yükümlülüğün aynı anda ihlal edildiği vakalardan çıkıyor.

Uyum, sadece ceza korkusuyla değil, güvenle de ilgilidir. Verisini koruduğunu gösteren bir firma, alıcı gözünde daha güvenilirdir. Bu güven, gayrimenkul gibi yüksek bedelli bir kararda satışı doğrudan etkiler. Bu yönüyle KVKK uyumluluğu bir maliyet değil, hem risk yönetimi hem de bir pazarlama avantajıdır.

İnşaat firması hangi kişisel verileri işler?

Bir inşaat firması, satış hunisi boyunca çok sayıda kişisel veri toplar. Bu verilerin her biri KVKK kapsamındadır ve ayrı bir işleme gerekçesi gerektirir.

• Potansiyel müşteri (lead) verisi: Reklam formu, web sitesi ve fuar temaslarından gelen ad, telefon ve tercih bilgileri.
• Müşteri ve sözleşme verisi: Kimlik, iletişim ve satış sözleşmesi bilgileri.
• Finansal ve tapu verisi: Banka bilgileri, kredi durumu, ödeme planı ve tapu kayıt bilgileri.
• Çalışan ve taşeron verisi: Şantiye personeli ve alt yüklenici çalışanlarının kimlik ve özlük verileri.
• Görüntü ve ses verisi: Şantiye ve satış ofisi güvenlik kameraları ile çağrı merkezi kayıtları.

Bu veri çeşitliliği, tek bir aydınlatma metninin yetmediğini gösterir. Kurul'un yaklaşımına göre farklı kişi gruplarına, örneğin müşteri ve çalışana, ayrı ayrı aydınlatma yapılması gerekir. Dolayısıyla KVKK uyumluluğu, her veri grubunu ayrı bir gerekçe ve metinle ele almayı zorunlu kılar. Müşteri verisini düzenli ve izlenebilir tutmak için KVKK uyumlu bir gayrimenkul CRM süreçleri tek panelde toplar.

2026 KVKK ceza tutarları

Ceza tutarları her yıl yeniden değerleme oranıyla artar. 27 Kasım 2025 tarihli Resmî Gazete'de ilan edilen orana göre 2026 artışı %25,49 oldu. Güncel alt ve üst sınırlar şöyle:

• Aydınlatma yükümlülüğüne aykırılık: 85.437 TL – 1.709.200 TL
• Veri güvenliği yükümlülüklerine aykırılık: 256.357 TL – 17.092.242 TL
• Kurul kararlarına uymama: 427.263 TL – 17.092.242 TL
• VERBİS yükümlülüğüne aykırılık: 341.809 TL – 17.092.242 TL
• Yurt dışı aktarımda standart sözleşme bildirmeme: 90.308 TL – 1.806.177 TL

Yargı yolu da değişti. Büken Hukuk'un aktardığı bilgiye göre 1 Haziran 2024 değişikliğiyle Kurul cezalarına itiraz artık sulh ceza hakimliğine değil, idare mahkemesine yapılıyor; süre tebliğden itibaren 60 gündür. Ayrıca veri ihlali öğrenildiğinde en geç 72 saat içinde Kurul'a bildirim yapılmalıdır.

Aydınlatma yükümlülüğü

Aydınlatma yükümlülüğü, veri sorumlusunun en temel görevidir. KVKK'nın 10. maddesine göre, kişisel veri elde edilirken ilgili kişi bilgilendirilmelidir. Önemli nokta şudur: aydınlatma, açık rızadan bağımsızdır ve her durumda yapılması gerekir.

Erdemir & Özmen'in aktardığı çerçeveye göre bir aydınlatma metni şu asgari unsurları içermelidir:

• Veri sorumlusunun ve varsa temsilcisinin kimliği
• Kişisel verilerin hangi amaçla işleneceği
• Verilerin kimlere ve hangi amaçla aktarılabileceği
• Veri toplamanın yöntemi ve hukuki sebebi
• İlgili kişinin sahip olduğu haklar

Dil de önemlidir. Kurul, sayfalarca süren hukuk jargonuna itibar etmiyor; müşteri, hangi verinin neden toplandığını kolayca anlamalı. Satış ofisinde form dolduran bir alıcıya, veriyi tam o anda ve sade bir metinle aydınlatmak en güvenli yoldur. Aydınlatma ve rıza metinlerini şablonla değil, firmaya özel hazırlamak gerekir; hazır şablonlar denetimde hemen fark edilir.

Açık rıza ve İYS: pazarlama tarafı

Pazarlama, en sık ceza çıkan alandır ve KVKK uyumluluğu açısından en dikkatli yönetilmesi gereken süreçtir. Bir alıcıya kampanya SMS'i, e-postası veya araması göndermek ticari elektronik ileti sayılır. Bunun için iki şart birlikte aranır: İleti Yönetim Sistemi (İYS) kaydı ve önceden alınmış açık rıza.

Açık rızanın geçerli olması için belirli kuralları vardır:

• Önceden işaretli kutu geçersizdir. Rıza, kişinin özgür iradesiyle verilmelidir.
• Ayrı alınmalıdır. Sözleşme onayı ile pazarlama rızası tek bir kutuda birleştirilemez.
• Geri çekilebilmelidir. Kişi, rızasını kolayca geri alabilmelidir.

Mevcut müşterilere benzer ürünlerin tanıtımında bazı istisnalar bulunsa da, güvenli yol her zaman açık rızadır. Otomatik gönderim akışlarını kurallara uygun kurmak için İYS entegrasyonu ve şeffaf bir KVKK politikası altyapının parçası olmalıdır. Pazarlama otomasyonunun uyumlu tarafını gayrimenkul satış otomasyonu rehberimizde daha ayrıntılı ele aldık.

Şantiye ve satış ofisi: kamera ve biyometrik

İnşaat firmalarının en çok gözden kaçırdığı alan, görüntü ve biyometrik veridir. Şantiye ve satış ofisindeki güvenlik kameraları da kişisel veri işler. Bu alanlarda ayrı bir kamera aydınlatma metni ve görünür bir bilgilendirme levhası zorunludur.

Biyometrik veri ise özel bir dikkat ister. Kurul'un 29 Nisan 2026 tarihli İlke Kararı, çalışanların mesai takibinde kullanılan parmak izi ve yüz tanıma sistemlerini değerlendirdi. Bu tür özel nitelikli veriler ölçülülük ilkesine tabidir; şantiyeye giriş için biyometrik yerine kart gibi daha az müdahaleci bir yöntem varsa, onu tercih etmek gerekir.

Kurul, 8 Haziran 2026'da güvenlik kameralarının hukuka uygun kullanımına ilişkin ayrı duyurular da yayımladı. Bu nedenle kamera konumları, kayıt süresi ve erişim yetkileri belgelenmelidir. Yapay zeka destekli sistemler kullanılıyorsa, açıklanabilirlik de önem taşır; bu konuyu satışta yapay zeka yazımızda inceledik.

Veri paylaşımı ve yurt dışı aktarımı

İnşaat projeleri çok paydaşlıdır. Firma; taşeron, tedarikçi, banka ve bazen yabancı yatırımcılarla veri paylaşır. Her paylaşım bir aktarım sayılır ve hukuki dayanak gerektirir.

Yurt içi paylaşımlarda sözleşme ve aydınlatma yeterli olabilir. Ancak veri yurt dışına, örneğin yurt dışı merkezli bir bulut sunucusuna veya yabancı ortağa aktarılıyorsa, kurallar sıkılaşır. Esenyel Partners'ın aktardığı bilgiye göre yurt dışı aktarımda kullanılan standart sözleşmelerin Kurul'a bildirilmemesi, 2026'da 1,8 milyon TL'ye kadar ceza doğurabilir.

Bu nedenle taşeron ve tedarikçi sözleşmelerine veri işleme ve gizlilik maddeleri eklenmelidir. Kimin hangi veriye eriştiği ve verinin nerede saklandığı yazılı olarak tanımlanmalıdır.

VERBİS kaydı ve güncelleme

VERBİS, Veri Sorumluları Sicili'dir. Belirli eşikleri aşan firmalar bu sicile kayıt olmak zorundadır. 2025/1572 sayılı Kurul kararına göre genel eşiklerin yanı sıra özel nitelikli veri işleyenler için çalışan sayısı ve bilanço eşikleri yeniden düzenlendi.

Kayıt tek seferlik bir işlem değildir. Invekor'un vurguladığı gibi, envanter her değiştiğinde sistem 30 gün içinde güncellenmelidir. Yeni bir veri kategorisi eklendiğinde veya yurt dışı aktarım başladığında güncelleme yapılmazsa, denetimde "eksik bildirim" cezası gündeme gelir.

Önemli bir uyarı da şudur: VERBİS'ten muaf olmak, diğer yükümlülüklerden muaf olmak anlamına gelmez. Aydınlatma, veri güvenliği ve imha politikası her firma için geçerlidir.

İnşaat firmaları için KVKK uyum kontrol listesi

Aşağıdaki liste, bir inşaat firmasının KVKK uyumluluğu için temel adımlarını özetler. Her madde, ayrı bir ceza riskini kapatır.

1. Veri işleme envanteri çıkarın. Hangi veriyi, neden ve nerede işlediğinizi belgeleyin.
2. Ayrı aydınlatma metinleri hazırlayın. Müşteri, çalışan ve ziyaretçi için ayrı metinler yazın.
3. Açık rıza akışını kurun. Pazarlama rızasını sözleşmeden ayırın ve geri çekmeyi kolaylaştırın.
4. İYS kaydınızı tamamlayın. Ticari ileti göndermeden önce izinli veri tabanı oluşturun.
5. Kamera ve biyometrik süreçleri belgeleyin. Aydınlatma levhalarını ve erişim yetkilerini tanımlayın.
6. Sözleşmelere veri maddeleri ekleyin. Taşeron ve tedarikçi paylaşımlarını yazılı güvenceye alın.
7. VERBİS'i güncel tutun. Envanter değiştikçe 30 gün içinde bildirin.
8. Düzenli iç denetim yapın. Yılda en az bir kez uyumu gözden geçirin.

Belge yönetimini ve müşteri kayıtlarını tek yerde tutmak bu adımları kolaylaştırır. Doküman modülleri aydınlatma ve rıza kayıtlarını düzenli tutmanıza yardımcı olur. Bu uyum katmanı, tapu devir süreci gibi işlem yoğun aşamalarda da işinizi güvence altına alır.

Sonuç

Gayrimenkul satışında KVKK uyumluluğu, inşaat firmaları için hem hukuki bir zorunluluk hem de bir güven yatırımıdır. Öne çıkan dört nokta şunlar:

• İnşaat firması veri sorumlusudur; müşteri, çalışan ve taşeron verisinden sorumludur.
• 2026'da cezalar 17 milyon TL'yi aşabilir; risk çoklu ihlallerde katlanır.
• Aydınlatma açık rızadan bağımsızdır ve her veri grubu için ayrı yapılmalıdır.
• Pazarlama, kamera, biyometrik ve yurt dışı aktarım en riskli alanlardır.

Müşteri ve belge süreçlerinizi KVKK'ya uygun bir altyapıda yönetmek için Evon'dan bir demo talep edin. Daha fazla içerik için Evon Blog sayfasını inceleyebilirsiniz.

Sıkça Sorulan Sorular

İlgili Yazılar

Konut Satışında Tapu Devir Süreci (2026 Rehberi) Gayrimenkul Satış Otomasyonu: Örneklerle Rehber İnşaat Firmaları CRM'de Neyi Farklı Kullanır?