Restoranlarda KVKK: Rezervasyon Verileri İçin Pratik Rehber

"KVKK" kelimesini duyan birçok restoran işletmecisi aynı şeyi düşünüyor: karmaşık metinler, avukat masrafı, her misafire imzalatılacak formlar. Oysa gerçek çok daha sakin. Bir rezervasyon almak için topladığınız veri genellikle dört kalemden ibaret: ad, telefon numarası, kişi sayısı, tarih ve saat. Bu veriyi işlemek için misafirden açık rıza almanıza gerek yok; kanunun kendisi buna zaten izin veriyor.

Bu rehberde 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun rezervasyon defterinize gerçekten dokunan kısımlarını ele alıyoruz: hangi hukuki dayanakla veri topladığınız, kapıda ya da sitede yayınlamanız gereken kısa aydınlatma metni, VERBİS kaydından neden büyük olasılıkla muaf olduğunuz ve hatırlatma mesajı ile pazarlama mesajı arasındaki yasal çizgi. Kağıt defterden dijitale geçtiyseniz işiniz daha da kolay: misafir bilgilerini kendiliğinden düzenli tutan ücretsiz bir çevrimiçi rezervasyon sistemi, kimin hangi veriye eriştiğini kontrol etmeyi kağıt defterden çok daha kolay hale getirir.

Baştan söyleyelim: bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Tereddütlü bir durumda bir avukata danışın.

Rezervasyon almak için açık rıza gerekir mi?

Hayır. KVKK, kişisel veri işlemeyi yasaklamaz; hangi şartlarda işlenebileceğini sayar. 6698 sayılı Kanun'un 5. maddesinin 2. fıkrasının (c) bendi, "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması" halinde açık rıza aranmayacağını söyler.

Rezervasyon tam olarak budur: misafir belirli bir tarih ve saatte masa ayırtmak istiyor, siz de bu sözleşmeyi kurmak ve yerine getirmek için adını ve telefonunu kaydediyorsunuz. Masayı hazırlamak, gerekirse misafire ulaşmak, rezervasyonu teyit etmek: hepsi sözleşmenin ifası. Dolayısıyla rezervasyon formuna "kişisel verilerimin işlenmesine onay veriyorum" kutusu koymanıza gerek yok.

Hatta Kişisel Verileri Koruma Kurulu'nun yerleşik yaklaşımına göre gereksiz yere açık rıza istemek yanlış bile olabilir: başka bir hukuki sebep varken hizmeti rıza şartına bağlamak, rızanın "özgür iradeyle verilmesi" ilkesini zedeler. Kısacası, rezervasyon için rıza kutusu eklemek sizi daha uyumlu değil, daha az uyumlu yapar.

Açık rıza gerekmiyorsa ne gerekiyor? Aydınlatma yükümlülüğü

Rıza gerekmese de Kanun'un 10. maddesindeki aydınlatma yükümlülüğü her durumda geçerli: misafire hangi veriyi, hangi amaçla, hangi hukuki sebeple işlediğinizi ve haklarının neler olduğunu söylemeniz gerekiyor. Bu, imzalatılan bir form değil; görünür bir bilgilendirme metni. Pratikte üç yer yeterli olur:

• Çevrimiçi rezervasyon formunun altında bir satır bilgi ve ayrıntılı metne bağlantı,
• Web sitenizde ya da rezervasyon sayfanızda "Aydınlatma Metni" başlıklı kısa bir sayfa,
• Telefonla rezervasyonda aşırıya kaçmayın: verilen bilgi zaten rezervasyonla sınırlıysa, yazılı metnin sitede erişilebilir olması pratikte yeterli kabul edilen yaklaşımdır.

Küçük bir işletme için şu uzunlukta bir metin işin özünü karşılar:

Rezervasyon Aydınlatma Metni. [Restoran Adı] olarak adınızı, telefon numaranızı ve rezervasyon bilgilerinizi (tarih, saat, kişi sayısı, varsa özel notunuz), rezervasyonunuzun oluşturulması, teyidi ve hatırlatılması amacıyla, 6698 sayılı Kanun'un 5/2-c maddesindeki "sözleşmenin kurulması ve ifası" hukuki sebebine dayanarak işliyoruz. Verileriniz pazarlama amacıyla kullanılmaz, üçüncü kişilere aktarılmaz ve rezervasyon tarihini izleyen makul süre sonunda silinir. Kanun'un 11. maddesindeki haklarınız için bize [e-posta adresi] üzerinden ulaşabilirsiniz.

Restoranınıza uyarlayın: veriyi gerçekten bir hizmet sağlayıcıya (örneğin rezervasyon yazılımınıza) aktarıyorsanız bunu da belirtin. Önemli olan metnin gerçeği yansıtması; kopyala-yapıştır bir metinde yazan ama yapmadığınız (ya da yapıp yazmadığınız) işlemler, metnin kendisinden daha büyük risktir.

Ölçülü veri toplayın: akşam yemeği için kimlik numarası gerekmez

Kanun'un 4. maddesindeki genel ilkeler arasında en çok işinize yarayacak olan şu: veriler "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" olmalı. Rezervasyon için ölçü belli:

• Toplayın: ad, telefon, kişi sayısı, tarih ve saat, varsa misafirin kendi yazdığı not.
• Toplamayın: TC kimlik numarası, doğum tarihi, adres, meslek. Bir akşam yemeği rezervasyonu bunların hiçbirini gerektirmez; "belki bir gün lazım olur" diye veri biriktirmek KVKK kapsamında tam olarak yapılmaması gereken şeydir.

Aynı ölçülülük saklama süresi için de geçerli. Geçmiş rezervasyon kayıtlarını sonsuza kadar tutmak yerine kendinize basit bir kural koyun: örneğin rezervasyon geçmişini belirli bir süre sonunda silmek ya da anonimleştirmek. Misafir ilişkisi devam ettiği sürece (düzenli gelen bir misafirin tercihleri gibi) veriyi tutmak makuldür; yıllardır gelmeyen bir numara listesi tutmak değildir.

Üçüncü ayak erişim disiplini: kağıt defter tezgahın üstünde herkese açıktır, eski usul Excel dosyası herkese e-postayla gider. Dijital bir sistemde ise kimin neyi görebildiğini siz belirlersiniz. Servis ekibinin o akşamki rezervasyon listesini görmesi normal; tüm misafir veritabanını telefonuna indirebilmesi değil. Ayrılan personelin erişimini kapatmayı da unutmayın.

VERBİS'e kayıt olmanız gerekiyor mu? Büyük olasılıkla hayır

Veri Sorumluları Sicili (VERBİS), belirli büyüklükteki veri sorumlularının kayıt olmak zorunda olduğu sicil. İyi haber: Kişisel Verileri Koruma Kurulu'nun 04.09.2025 tarihli ve 2025/1572 sayılı kararı (Resmi Gazete, 1 Ekim 2025) ile yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'nin altında olan, ana faaliyeti özel nitelikli veri işlemek olmayan işletmeler kayıt yükümlülüğünden istisna tutuldu.

Bağımsız bir restoranın bu iki eşiğin üzerine çıkması zordur; pratikte Türkiye'deki bağımsız restoranların neredeyse tamamı VERBİS kaydından muaftır. Birden fazla şubesi ve kalabalık kadrosu olan bir grupsanız eşikleri muhasebecinizle kontrol edin.

Bir uyarıyla: VERBİS muafiyeti, KVKK muafiyeti değildir. Aydınlatma yükümlülüğü, ölçülülük, veri güvenliği ve misafir hakları, sicile kayıtlı olun ya da olmayın aynen geçerli.

Hatırlatma mı, pazarlama mı? İYS çizgisi

Rezervasyon verisiyle ilgili en sık karıştırılan konu bu. Kural basit: rezervasyonun kendisiyle ilgili mesajlar işlemseldir ve onay gerektirmez; satış amaçlı mesajlar ticari elektronik iletidir ve 6563 sayılı Kanun uyarınca İYS üzerinden alınmış onay gerektirir. Çizgiyi tablo netleştirir:

Yani rezervasyon teyidi ve hatırlatması göndermek için hiçbir ek izne ihtiyacınız yok; bu mesajların no-show'a karşı nasıl kurgulanacağını hatırlatma mesajı rehberimizde anlattık. Tek tuzak, iki türü karıştırmak: hatırlatma mesajının sonuna kampanya eklediğiniz anda mesaj ticari ileti statüsüne geçer ve onaysız gönderilmesi riskli hale gelir. Hatırlatma hatırlatma olarak kalsın; pazarlamayı, onayını İYS üzerinden aldığınız misafirlere ayrı gönderin.

Özel durumlar: alerji notu, doğum günü, kamera, platform verisi

Alerji notları

"Fıstık alerjisi var" bilgisi sağlık verisine, yani özel nitelikli kişisel veriye yaklaşır; bu kategori Kanun'da çok daha sıkı korunur. Pratik çözüm ölçülülüktür: alerji bilgisini siz sormak yerine misafirin kendisinin not olarak iletmesine imkan verin, yalnızca o servisin güvenliği için kullanın, pazarlama profiline asla taşımayın ve kalıcı bir "alerjikler listesi" oluşturmayın. Mutfağın o akşam bilmesi gereken bilgi ile veritabanında yıllarca duran bilgi aynı şey değildir.

Doğum günü ve tercih notları

"Pencere kenarını sever", "evlilik yıl dönümüydü" gibi notlar sıradan kişisel veridir ve devam eden misafir ilişkisi içinde tutulması makuldür; hem de iyi ağırlamanın hammaddesidir. Bu notların müşteri sadakatine nasıl dönüştüğünü ayrıca yazdık. Tek kural aynı: notlar misafiri ağırlamak içindir; doğum günü bilgisini indirim SMS'ine çevirmek isterseniz İYS onayı devreye girer.

Güvenlik kamerası

Kamera kaydı da kişisel veri işler ve rezervasyon aydınlatmasından ayrı, kendi aydınlatması gereken bir konudur: girişte görünür bir "güvenlik kamerasıyla izlenmektedir" bilgilendirmesi ve kayıtların makul süre sonunda silinmesi. Rezervasyon metninize kamerayı sıkıştırmayın; iki ayrı kısa metin, tek karışık metinden iyidir.

Üçüncü taraf platformlardaki misafir verisi

Misafir size bir pazar yeri platformu üzerinden geldiğinde, verinin kaydını platform tutar ve veri üzerindeki fiili kontrol büyük ölçüde platformdadır; misafir ilişkisi de araya platformun kuralları girerek kurulur. Kendi kanalınızdan (siteniz, Google profiliniz, QR kodunuz) aldığınız rezervasyonda ise veri sorumlusu olarak muhatap sizsiniz ve veri, sizin seçtiğiniz sistemde durur. ViteUneTable gibi bir yazılım kullandığınızda misafir kaydı sizin işletmenizin defteridir: kim erişiyor siz belirlersiniz, dışa aktarırsınız, silersiniz; e-posta onay ve hatırlatmaları da işlemsel mesaj olarak sizin adınıza gider (SMS hatırlatması sunmuyoruz, bunu açıkça söyleyelim). Dürüst olalım: hangi yazılımı kullanırsanız kullanın veri sorumlusu sizsiniz; hiçbir sistem aydınlatma yükümlülüğünüzü sizin yerinize üstlenmez, yalnızca uygulamayı kolaylaştırır.

Ceza var mı? Var, ama panik yok

Aydınlatma ve veri güvenliği yükümlülüklerinin ihlali idari para cezasına bağlanmıştır ve tutarlar her yıl yeniden değerleme oranında güncellenir; güncel aralıkları kvkk.gov.tr'de bulabilirsiniz. Ancak tabloya doğru yerden bakın: Kurul kararları ağırlıklı olarak büyük ölçekli, şikayete konu olmuş ihlallerle ilgilidir. Dört kalem veriyi ölçülü toplayan, kısa bir aydınlatma metni yayınlayan ve pazarlama mesajını İYS onayına bağlayan bir restoranın KVKK risk profili son derece düşüktür. Bu yazıdaki adımların tamamı yarım günlük iş bile değildir.

Sık sorulan sorular

Rezervasyon alırken misafire KVKK formu imzalatmalı mıyım?

Hayır. Ad, telefon ve rezervasyon bilgileri, 6698 sayılı Kanun'un 5/2-c maddesindeki sözleşme sebebine dayanılarak açık rıza olmadan işlenir. İmza değil, erişilebilir bir aydınlatma metni gerekir.

Restoranım VERBİS'e kayıt olmak zorunda mı?

Çalışan sayınız 50'nin ve yıllık bilançonuz 100 milyon TL'nin altındaysa, 2025/1572 sayılı Kurul kararı (RG 1 Ekim 2025) uyarınca kayıt yükümlülüğünden muafsınız. Muafiyet yalnızca sicil kaydı içindir; diğer KVKK yükümlülükleri devam eder.

Rezervasyon hatırlatması göndermek için İYS onayı gerekir mi?

Gerekmez. Onay, hatırlatma ve iptal bildirimleri işlemsel mesajdır. Kampanya, indirim ve menü duyurusu gibi satış amaçlı mesajlar ise İYS üzerinden alınmış onay gerektirir.

Misafir verilerini ne kadar süre saklayabilirim?

Kanun tek bir süre saymaz; ölçü, amaçla sınırlılıktır. Devam eden misafir ilişkisi boyunca tercih ve geçmiş bilgisi tutmak makuldür; ilişki sona erdiğinde veriyi silme ya da anonimleştirme kuralını kendiniz belirleyip uygulayın.

Misafirin alerji bilgisini kaydedebilir miyim?

Misafirin kendi ilettiği alerji notunu o servisin güvenliği için kullanmak pratik ve ölçülü yaklaşımdır. Kalıcı bir sağlık verisi arşivi oluşturmayın, bilgiyi pazarlama amacıyla kullanmayın ve servis sonrasında saklamayın.