KVKK'ya Uygun B2B E-posta Pazarlaması İçin Yasal Dayanak

B2B satış ekibi bir şirket yetkilisine ilk e-postayı attığında akla hemen kvkk e posta sorusu geliyor: bu ileti için önceden onay gerekir mi, İYS'ye kayıt şart mı, ret hakkı nasıl sunulmalı. Bu yazı tüzel kişi muhatabına gönderilen hedefli iletişimi bireysel tüketiciye gönderilen pazarlama e-postasından ayıran çizgiyi ve pratikte nelere dikkat edilmesi gerektiğini gösteriyor.

KVKK ve ticari elektronik ileti mevzuatı iki ayrı katmandır

B2B e-posta pazarlamasında karşımıza aslında iki farklı hukuki katman çıkıyor ve bunları ayırmadan ilerlemek çoğu karışıklığın kaynağı oluyor. Birinci katman 6698 sayılı Kişisel Verilerin Korunması Kanunu — bir gerçek kişiye ait isim, e-posta adresi, unvan gibi bilgilerin toplanması, CRM'de saklanması ve işlenmesi bu kanunun kapsamına giriyor. İkinci katman ise Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik — bir iletinin ticari amaçla gönderilip gönderilemeyeceğini, önceden onay gerekip gerekmediğini ve ret hakkının nasıl sunulacağını düzenliyor.

Bir B2B soğuk e-posta gönderdiğinizde her iki katman da devreye giriyor: alıcının bilgilerini CRM'de tutmanız KVKK anlamında veri işleme, iletiyi göndermeniz ise ticari elektronik ileti mevzuatı anlamında bir eylem. İkisini karıştırıp 'kvkk e posta izni almadan hiçbir şirkete yazamam' sonucuna varmak, mevzuatın gerçekte söylediğinden daha kısıtlayıcı ve pratikte yanlış bir yorum.

Tüzel kişi yetkilisine yazmak neden farklı değerlendirilir

Ticari elektronik ileti mevzuatının B2B açısından en kritik noktası şu: alıcı gerçek kişi tüketici sıfatıyla değil, tacir veya esnaf sıfatıyla hareket ediyorsa, yani bir şirket yetkilisi olarak iş e-postasından muhatap alınıyorsa, önceden açık rıza alma şartı aranmıyor. Bir üretim firmasının satın alma müdürüne, bir yazılım şirketinin operasyon direktörüne veya bir lojistik firmasının genel müdürüne kurumsal e-posta adresinden yazılan, o kişinin şirketteki rolüyle ilgili bir teklif sunan ileti, önceden izin gerektirmeyen kategoriye giriyor.

Bu istisnanın gerekçesi basit: ticari hayatın işleyişi, şirketlerin birbirine önceden onay almadan teklif, tanıtım ve iş birliği önerisi sunabilmesine dayanıyor. Bir yazılım firması potansiyel kurumsal müşterisine yazmadan önce o şirketten izin isteseydi, B2B satış süreçlerinin büyük kısmı fiilen işlemez hale gelirdi. Ancak bu istisna sınırsız değil — muhatabın gerçekten o rolde karar verici veya ilgili konumda olması, iletinin o kişinin iş bağlamıyla makul şekilde ilişkili olması gerekiyor. Rastgele bulunan kişisel bir Gmail adresine kurumsal teklif göndermek bu istisnanın kapsamı dışına çıkabilir, çünkü orada muhatap artık iş kimliğiyle değil kişisel kimliğiyle karşınıza çıkıyor.

• Kurumsal e-posta adresi (ör. isim@sirket.com.tr) üzerinden, şirketteki rolüyle ilgili bir konuda yazmak — istisna kapsamına giren tipik durum.
• Alıcının unvanı ve içeriğin konusu arasında makul bir bağlantı bulunması — finans müdürüne finans yazılımı teklifi gibi.
• Kişisel e-posta adresine (gmail, yandex gibi) yazılan ticari içerik — istisnanın sınırında, dikkatli değerlendirilmesi gereken durum.
• Aynı yetkiliye kısa aralıklarla tekrar tekrar yazmak — hukuki istisnadan bağımsız olarak itibar ve algı riski taşır.

Onay şartı yoksa bile ret hakkı her zaman zorunludur

Burada sık yapılan bir yanlış anlama var: önceden onay şartının aranmaması, alıcının o iletiye karşı hiçbir hakkı olmadığı anlamına gelmiyor. Tam tersine, mevzuat tacir/esnaf muhataplara gönderilen iletilerde bile alıcıya her zaman ücretsiz, kolay ve tek adımlı bir ret imkânı sunulmasını zorunlu tutuyor. Yani B2B bir soğuk e-postanın onay almadan gönderilebilmesi, o e-postanın sonsuza kadar tekrar tekrar gönderilebileceği anlamına gelmiyor.

Pratikte bu, her iletide görünür bir 'bu konuda tekrar yazılmasını istemiyorum' seçeneğinin bulunması, alıcı bu seçeneği kullandığında talebin gecikmeden işleme alınması ve o kişiye aynı konuda yeniden yazılmaması demek. Ret bildirimini görmezden gelmek veya karmaşık bir sürece bağlamak — örneğin ret için ayrı bir form doldurtmak, telefon açtırmak — mevzuatın öngördüğü kolaylık ilkesine aykırı düşer.

İYS kaydı ile B2B soğuk e-posta arasındaki sınır

İleti Yönetim Sistemi, ticari elektronik ileti onaylarının ve ret taleplerinin merkezi olarak yönetildiği resmi sistem ve esas işleyişi gerçek kişi tüketicilere yönelik, onay gerektiren pazarlama iletileri üzerine kurulu. B2B bağlamda tacir/esnaf sıfatıyla, kurumsal e-posta üzerinden ve önceden onay gerektirmeyen istisna kapsamındaki iletişimde İYS'ye kayıt zorunluluğu bireysel tüketici pazarlamasındaki gibi işlemiyor — çünkü zaten önceden onay alınan bir ileti söz konusu değil.

Bununla birlikte, bir şirket hem B2B hem de tüketiciye yönelik (B2C) e-posta gönderimi yapıyorsa, hangi gönderimin hangi rejime tabi olduğunu net şekilde ayırması gerekiyor. Aynı e-posta altyapısını hem kurumsal yetkililere hedefli teklif göndermek hem de bireysel müşterilere kampanya duyurusu yapmak için kullanan bir şirket, bu iki akışı karıştırırsa, B2C tarafındaki İYS ve onay yükümlülüklerini yanlışlıkla B2B tarafına da uygulayabilir veya tam tersi bir hataya düşebilir. Emin olunmayan durumlarda alıcının gerçekten kurumsal karar verici sıfatıyla mı yoksa nihai tüketici sıfatıyla mı muhatap alındığına bakmak, doğru rejimi belirlemenin en pratik yolu.

KVKK'nın veri işleme boyutu: CRM'de saklama ve aydınlatma

Ticari elektronik ileti mevzuatı istisna kapsamına giren bir B2B iletide dahi, alıcının isim ve e-posta adresini CRM'de tutmak, kampanya geçmişini kaydetmek, yanıt oranlarını izlemek KVKK anlamında bir kişisel veri işleme faaliyeti. Burada veri sorumlusu sıfatıyla hareket eden şirketin bu işleme için bir hukuki sebebe dayanması gerekiyor — B2B soğuk e-posta bağlamında bu genellikle meşru menfaat temeline oturuyor, çünkü şirketin potansiyel iş fırsatlarını değerlendirmesi ve kurumsal iletişim kurması makul ve orantılı bir amaç.

Meşru menfaate dayanmak, hiçbir yükümlülük olmadığı anlamına gelmiyor. Veri sorumlusu, verinin nereden temin edildiği, hangi amaçla işlendiği ve alıcının haklarını nasıl kullanabileceği konusunda aydınlatma yapmalı — pratikte bu genellikle web sitesindeki bir gizlilik/aydınlatma metnine referans ve talep üzerine silme imkânı şeklinde uygulanıyor. İlgili kişinin verisinin silinmesini talep etme, itiraz etme gibi hakları, o kişi tüzel kişi yetkilisi sıfatıyla muhatap alınsa bile birey olarak devam ediyor, çünkü KVKK'nın koruduğu şey kişinin kendisi, hangi sıfatla iletişime geçildiği değil.

• CRM'e kayıt öncesi verinin nereden geldiğini (kurumsal site, halka açık kayıt, LinkedIn gibi) belgelemek.
• Aydınlatma metnini kolay erişilebilir tutmak — web sitesinde ayrı bir sayfa yeterli.
• Silme/itiraz talebi geldiğinde makul sürede ve gecikmeden işleme almak.
• Veriyi yalnızca amacına uygun süre boyunca saklamak, süresiz biriktirmemek.

LDM'in yaklaşımı: hedefli gönderim uyumluluğu kolaylaştırır

LDM'de B2B kampanyaları kitlesel abone listesi mantığıyla değil, ICP filtresinden geçmiş, belirli bir tüzel kişiye ve o kişideki rolüne göre seçilmiş küçük hacimli hedef listeleriyle kurgulanıyor. Bu yaklaşım hukuki uyumluluğu doğrudan kolaylaştırıyor çünkü her ileti zaten 'bu kişiye, bu rolde, bu konuda neden yazıyorum' sorusuna cevap verecek şekilde tasarlanıyor — rastgele toplanmış geniş bir e-posta listesine aynı mesajı basmak yerine.

Her kampanyada tek tıkla ret/vazgeçme mekanizması varsayılan olarak devrede oluyor ve ret talep eden kişiye aynı konuda tekrar gönderim otomatik olarak engelleniyor. Bu, hem mevzuatın öngördüğü kolay ret yükümlülüğünü karşılıyor hem de gönderen tarafın itibarını koruyor — çünkü ret hakkını görmezden gelen kampanyalar zamanla şikayet oranı yüksek, teslim edilebilirliği düşük hale geliyor.

Sık sorulan sorular