KVKK und türkische Kunden: Warum ausländische Anbieter einen weiteren Datenschutzvertrag brauchen

TL;DR: Ihr türkischer Kunde benötigt möglicherweise eine Regelung für Datenübermittlungen nach dem KVKK, die Ihre vorhandenen DSGVO-Unterlagen nicht abdecken. Wird ein türkischer Standardvertrag verwendet, müssen beide Parteien den türkischen Text unterzeichnen, die erforderlichen Nachweise vorlegen und die Meldung innerhalb von fünf Arbeitstagen nach der Unterzeichnung durch beide Parteien sicherstellen. Prüfen Sie, bevor Sie Kundendaten annehmen, ob Ihr Dienst die Verpflichtungen erfüllen kann. Die Meldung bestätigt nicht die Datenschutzkonformität des gesamten Dienstes.

Stellen Sie sich vor, Sie führen ein Softwareunternehmen in Deutschland. Ein türkischer Einzelhändler möchte Ihre Plattform für die Kundenverwaltung einsetzen. Ihr Team schickt den üblichen Dienstleistungsvertrag und die Vereinbarung zur Auftragsverarbeitung. Der Kunde meldet sich mit einem türkischen Vertrag, Fragen zu Ihren Unterauftragnehmern und der Bitte um Nachweise, dass die unterzeichnende Person Ihr Unternehmen vertreten darf.

Sie erfüllen bereits Anforderungen der DSGVO. Weshalb braucht dieser Kunde einen weiteren Vertrag?

Die Türkei hat mit dem Gesetz Nr. 6698 über den Schutz personenbezogener Daten ein eigenes Datenschutzgesetz, meist KVKK genannt. Übermittelt ein türkisches Unternehmen personenbezogene Daten an einen Anbieter im Ausland, braucht es eine Regelung, die die türkischen Vorgaben für Datenübermittlungen erfüllt. Möglicherweise müssen Sie an dieser Regelung mitwirken.

Für ausländische Anbieter lohnt sich die Prüfung, bevor ein Starttermin zugesagt wird. Der Dienst kann die funktionalen Anforderungen des Kunden erfüllen, während beide Unternehmen den erforderlichen Vertrag noch nicht abschließen können.

Warum Ihre vorhandenen DSGVO-Unterlagen die Anfrage möglicherweise nicht beantworten

Die Türkei hat ihre Regeln für Datenübermittlungen ins Ausland 2024 überarbeitet. Der Rahmen sieht Angemessenheitsbeschlüsse des türkischen Datenschutzrats, festgelegte Garantien für Fälle ohne Angemessenheitsbeschluss und begrenzte Ausnahmen für gelegentliche, nicht regelmäßige Übermittlungen vor.

Nach dem Stand vom 23. September 2026 erklärt die türkische Behörde auf ihrer Seite zu Datenübermittlungen ins Ausland, dass der Rat noch keine Länder mit angemessenem Schutzniveau bestimmt hat. Ein Anbieter sollte daher klären, welchen türkischen Übermittlungsmechanismus der Kunde einsetzen will. Der Sitz in der EU schafft für sich genommen keinen türkischen Angemessenheitsbeschluss.

Ein türkischer Standardvertrag ist eine mögliche Garantie. Für andere Wege gelten eigene Voraussetzungen: Eine schriftliche Verpflichtungserklärung braucht die Genehmigung des Rats; verbindliche Unternehmensregeln bedürfen ebenfalls seiner Genehmigung und betreffen Übermittlungen innerhalb einer geeigneten Unternehmensgruppe. Einen Weg in der Datenschutzerklärung zu nennen, erfüllt seine Voraussetzungen nicht.

Entscheiden sich die Parteien für den Standardvertrag, brauchen sie den vom türkischen Rat veröffentlichten Text. Ein bestehender DSGVO-Vertrag oder EU-Standardvertragsklauseln erfüllen diese Anforderung für sich genommen nicht. Eine Einwilligung per Kontrollkästchen belegt für sich genommen nicht, dass tägliche Datenübermittlungen an eine Plattform im Ausland unter diese Ausnahmen fallen.

Der Übermittlungsmechanismus lässt die grundlegenden Verarbeitungsvoraussetzungen unberührt. Es muss eine anwendbare Verarbeitungsvoraussetzung nach Artikel 5 oder 6 vorliegen; der Weg über Garantien verlangt zusätzlich durchsetzbare Rechte und wirksame Rechtsbehelfe im Bestimmungsland. Die Behörde veröffentlicht eine englische Fassung des geänderten Gesetzes.

Erst die Unternehmen und den Datenfluss bestimmen

Nehmen wir im Beispiel des Einzelhändlers an, das türkische Unternehmen entscheidet, warum es Kundendaten erhebt, und der deutsche Anbieter verarbeitet sie ausschließlich nach dessen Weisungen. Für diese Tätigkeit ist der Händler Verantwortlicher und der Anbieter Auftragsverarbeiter; dies entspricht der Erläuterung der Rollen durch den Rat. Der Händler übermittelt die Daten als Datenexporteur, der Anbieter erhält sie als Datenimporteur.

Diese Rollen sind relevant, weil die Behörde vier Arten von Standardverträgen mit englischen Übersetzungen veröffentlicht: Verantwortlicher zu Verantwortlichem, Verantwortlicher zu Auftragsverarbeiter, Auftragsverarbeiter zu Auftragsverarbeiter und Auftragsverarbeiter zu Verantwortlichem. Wählen Sie den Typ, der die Tätigkeit beschreibt. Die Rollen ergeben sich nicht allein daraus, dass Ihr Unternehmen in den Verkaufsbedingungen als Auftragsverarbeiter bezeichnet wird.

Angenommen dagegen, Ihre Unternehmensgruppe besitzt die türkische Betriebsgesellschaft des Einzelhändlers. Entscheidet diese Gesellschaft darüber, wie Kunden- oder Beschäftigtendaten verwendet werden, ist sie für diese Tätigkeiten Verantwortliche, mit Pflichten zur rechtmäßigen Verarbeitung, Transparenz und Sicherheit. Werden Daten an ein gesondertes Unternehmen der Gruppe im Ausland gesendet, stellt sich auch die Übermittlungsfrage. Die Zugehörigkeit zur selben Unternehmensgruppe macht daraus keine Inlandsübermittlung.

Prüfen Sie nicht nur die Speicherung, sondern auch Zugriffe. Die Verordnung über Datenübermittlungen ins Ausland erfasst, wenn Daten einem gesonderten Verantwortlichen oder Auftragsverarbeiter im Ausland zugänglich gemacht werden. Ein türkischer Hosting-Standort beantwortet die Übermittlungsfrage etwa nicht, wenn ein eigenständiges Support-Unternehmen im Ausland diese Datensätze per Fernzugriff verarbeitet.

Welche Stellung jedes Unternehmen hat, hängt von seinen tatsächlichen Tätigkeiten ab. Klären Sie, welche Gesellschaft was tut, bevor Sie Pflichten zuordnen.

Die Verpflichtungen prüfen, bevor Sie unterschreiben

Der Standardvertrag Verantwortlicher zu Auftragsverarbeiter weist dem ausländischen Empfänger erhebliche Pflichten zu. Dazu gehören Weisungen des Kunden zu befolgen, den Zugriff des Personals zu begrenzen, Sicherheitsmaßnahmen vorzusehen, bei Datenschutzverletzungen zu unterstützen und die Einhaltung nachzuweisen.

Seine Anhänge beschreiben die konkrete Übermittlung: betroffene Personen und Daten, Zwecke, Häufigkeit, Aufbewahrung und Schutzmaßnahmen. Für Unterauftragnehmer und Weiterübermittlungen gelten eigene Bedingungen. Die Regelung muss die weiteren Unternehmen berücksichtigen, die die Daten erhalten oder verarbeiten werden.

Der Vertrag sieht außerdem Zusammenarbeit mit der türkischen Behörde, türkisches Recht und türkische Gerichte vor. Seine Bedingungen gehen widersprechenden Bestimmungen anderer Vereinbarungen der Parteien vor. Ihr Team muss auch prüfen, ob örtliche Gesetze oder Praktiken mit diesen Verpflichtungen kollidieren. Rechts- und Betriebsteams sollten das gemeinsam beurteilen.

Erlaubt die Standardkonfiguration Ihrer Plattform beispielsweise einem weiteren Anbieter Zugriff auf Kundendaten, muss Ihr Team klären, wie dieser Anbieter in die vorgeschlagene Regelung passt. Einen Vertrag zu unterzeichnen, dessen Anhänge einen anderen Dienst beschreiben, löst das praktische Problem nicht.

Zur internen Prüfung gehören Personen, die Hosting, Support und Löschung im Arbeitsalltag verstehen. Sie können erkennen, welche Zusagen der Dienst erfüllen kann, welche Änderungen am Dienst nötig wären und welche Verpflichtungen das Unternehmen nicht akzeptieren kann.

Warum der türkische Vertragstext und Vertretungsnachweise wichtig sind

Die Hinweise der Behörde zur Unterzeichnung erläutern mehrere Anforderungen, die einem ausländischen Anbieter zunächst ungewöhnlich erscheinen können:

• Beide Parteien müssen den türkischen Text unterzeichnen. Eine englische Fassung kann die Prüfung erleichtern, allein sie zu unterzeichnen reicht jedoch nicht. In einem zweisprachigen Dokument mit zwei Spalten müssen beide Unterschriften in der türkischen Spalte stehen.
• Die Unterzeichnenden brauchen belegte Vertretungsmacht. Die Nachweise müssen die Personen ausweisen, die die genannten Unternehmen vertreten und für sie unterzeichnen dürfen. Die Beteiligung eines lokalen Wiederverkäufers gibt ihm nicht automatisch die Befugnis, für einen ausländischen Anbieter zu unterzeichnen.
• Ausländische Unterlagen können weitere Formalitäten erfordern. Fremdsprachige Unterlagen, die der Behörde vorgelegt werden, benötigen notariell beglaubigte türkische Übersetzungen. Für ausländische öffentliche Urkunden kann je nach Herkunft und anwendbaren Ausnahmen außerdem eine Apostille oder Legalisation erforderlich sein.
• Der Standardtext lässt sich nicht frei umschreiben. Änderungen sind auf auswählbare oder alternative Bestimmungen begrenzt; die erforderlichen Angaben zum Dienst müssen dennoch vollständig eingetragen werden.

Einigen Sie sich früh auf die Art der Unterzeichnung. Das türkische Recht stellt eine sichere elektronische Signatur, die die türkischen gesetzlichen Voraussetzungen erfüllt, der handschriftlichen Unterschrift gleich; für die Anerkennung ausländischer Zertifikate gelten jedoch Voraussetzungen. Die englischen Hinweise der türkischen Telekommunikationsaufsicht erläutern diese Unterscheidung. Prüfen Sie, ob die vorgeschlagene Methode die Anforderungen an die Unterzeichnung erfüllt. Gehen Sie weder davon aus, dass jeder elektronische Signaturdienst genügt, noch dass nur eine handschriftliche Unterschrift möglich ist.

Festlegen, wer den unterzeichneten Vertrag meldet

Nach der Unterzeichnung durch beide Parteien bleiben fünf Arbeitstage für die Meldung an die Behörde. Nach der Verordnung können sie bestimmen, welche Partei die Meldung übernimmt. Treffen sie keine Bestimmung, liegt die Verantwortung beim Datenexporteur.

Das Meldemodul für Standardverträge bietet einen elektronischen Einreichungsweg. Es geht um die Meldung des abgeschlossenen Vertrags, nicht um eine Erklärung zum Standort des Servers. Der Weg über den Standardvertrag verlangt keine gesonderte Genehmigung des Rats, und die Einreichung bestätigt nicht die Datenschutzkonformität des gesamten Dienstes.

Regeln Sie die Übergabe der Unterlagen vor der Unterzeichnung, damit die meldende Partei innerhalb der Frist alles Erforderliche hat. Die Verordnung verlangt auch Meldungen bei Änderungen der Parteien oder Vertragsangaben sowie bei Vertragsende. Nach dem Onboarding muss jemand diese Nachverfolgung übernehmen.

Was vor der Annahme von Kundendaten geklärt sein sollte

Bitten Sie zunächst um den vorgeschlagenen Vertrag und eine Beschreibung des vorgesehenen Datenflusses. Holen Sie dann Fachleute aus Recht und Betrieb in dieselbe Abstimmung:

• Welche Unternehmen senden, erhalten und verarbeiten die Daten, und zu welchen Zwecken?
• Kann der tatsächliche Dienst den Vertrag erfüllen, einschließlich der Regelungen für weitere Anbieter?
• Können vertretungsberechtigte Personen den türkischen Text unterzeichnen und die erforderlichen Nachweise vorlegen?
• Wer koordiniert Meldung und Änderungen, und lässt sich die Arbeit vor Beginn der geplanten Übermittlung abschließen?

Auch nach der Unterzeichnung bleiben Fragen zur rechtmäßigen Verarbeitung, zu Informationspflichten, einer gegebenenfalls erforderlichen Einwilligung, zur Sicherheit und zu sektorspezifischen Beschränkungen offen. Übermittlungen in die andere Richtung können ebenfalls eine gesonderte DSGVO-Prüfung erfordern. Dieser Artikel behandelt die Anfrage eines türkischen Kunden nach Vertragsunterlagen, nicht jede Verpflichtung beim Eintritt in den türkischen Markt.

Der praktische Nutzen dieser frühen Fragen liegt nahe: Beide Parteien können entscheiden, ob der Dienst tragfähig ist, bevor sie Datensätze migrieren oder Nutzern Zusagen machen. Kann der Anbieter die erforderliche Regelung nicht unterstützen, gehört das in die Beschaffungsentscheidung, solange sich Alternativen noch leicht prüfen lassen.