Anwendungsbereich: der Irrtum „das gilt nicht für uns“
Der räumliche Anwendungsbereich der DSGVO (Art. 3 Abs. 2) erfasst auch Verkäufer ohne Niederlassung in der EU: Sie fallen darunter, sobald Ihre Absicht erkennbar ist, sich an Personen in der EU zu wenden. Die Anzeichen dafür werden zusammen gewürdigt: Preise in Euro, eine Lieferoption in die EU, eine Oberfläche, über die auf Deutsch oder Französisch bestellt werden kann, ein Shop auf EU-Marktplätzen. Dass Ihre Website aus der EU erreichbar ist, genügt für sich genommen nicht. Der teuerste Fehler von Shops, die aus der Türkei verkaufen, ist es, die Compliance mit „das sehen wir uns an, wenn wir eine Gesellschaft in der EU gegründet haben“ zu vertagen; Marktplätze und Zahlungsdienstleister verlangen die Nachweise nämlich schon heute.
Praxishinweis
Die Reihenfolge der Compliance-Arbeit zählt: erst die Datenbestandsaufnahme, dann die Texte. Die Datenschutzerklärung eines Shops ohne Bestandsaufnahme beschreibt eine Vorlage und nicht die tatsächliche Lage.
Bauen wir Ihr DSGVO-Setup gemeinsam auf
Anwendungsbereichstest, Benennung der Vertreterin oder des Vertreters, Textsatz und Cookie-Ebene richten wir in einem einzigen Projekt ein – und schließen die KVKK-Seite in derselben Akte ab.
Schritt 1: Datenbestandsaufnahme
Welche Daten verarbeiten Sie mit welchen Werkzeugen und wo? Bestelldaten, Analytik, Marketing-Pixel, E-Mail-Werkzeug, Versandanbindung, Zahlungsdienstleister … Jeder Text, der vor der Bestandsaufnahme geschrieben wird, ist Fiktion. Die Bestandsaufnahme ist zugleich die Eingangsgröße für das türkische Register VERBİS und für die Übermittlungsanalyse nach dem türkischen Datenschutzgesetz (KVKK, Nr. 6698).
Schritt 2: Rechtsgrundlage und Datenschutzerklärung
Jeder Verarbeitungstätigkeit wird eine Grundlage zugeordnet: die Erfüllung des Vertrags (Bestellung), das berechtigte Interesse (Sicherheit), die Einwilligung (Marketing). Ihre Datenschutzerklärung muss diese Karte – zusammen mit den Empfängergruppen, den Speicherfristen und den Rechten – anhand Ihres eigenen Betriebs beschreiben. Abgeschriebener Text fällt von außen auf den ersten Blick auf und ist der erste Befund unseres Außenansicht-Scans.
Schritt 3: Vertretung nach Art. 27 DSGVO
Wenn Sie in der EU nicht niedergelassen sind und die Verarbeitung nicht mehr nur gelegentlich erfolgt, müssen Sie in der EU eine Vertreterin oder einen Vertreter benennen. Name und Anschrift erscheinen in Ihrer Datenschutzerklärung; Aufsichtsbehörden und betroffene Personen erreichen Sie über diese Stelle. Diese Pflicht lässt sich günstig und schnell erfüllen – sie zu übergehen, wird dagegen als Zeichen gelesen, dass „Compliance nie eingerichtet wurde“.
Schritt 4: Cookie- und Einwilligungsebene
Für Analyse- und Marketing-Cookies ist eine vorherige Einwilligung erforderlich; das Ablehnen muss genauso leicht sein wie das Zustimmen. Die technische Prüfung ist einfach: Man sieht sich an, welche Cookies im Netzwerkverkehr gesetzt werden, bevor eine Einwilligung erteilt wurde. Der Cookie-Leitfaden der türkischen Datenschutzbehörde ist in dieselbe Richtung gebaut – mit einer einzigen Ebene lassen sich beide Regime zugleich bedienen. Einzelheiten finden Sie in unserem Leitfaden zur doppelten Compliance.
Schritt 5: Datenfluss in die Türkei
Fließen in der EU erhobene Daten in Ihre Systeme in der Türkei, ist das eine Übermittlung in ein Drittland: auf Seiten der DSGVO Standardvertragsklauseln (SCC) und eine Übermittlungsfolgenabschätzung; auf türkischer Seite verlangt der mit dem KVKK-Regime von 2024 eingeführte Standardvertrag eine Anzeige bei der türkischen Datenschutzbehörde innerhalb von fünf Werktagen ab der Unterzeichnung. Beide Regime lassen sich mit einem einzigen Vertragssatz aufsetzen – genau das ist Gegenstand unserer Leistung zur Datenübermittlung ins Ausland.
Schritt 6: Verletzungsplan und Verzeichnisse
Das Meldefenster von 72 Stunden ist für ein Unternehmen ohne Plan kurz. Wer stellt fest, wer entscheidet, was wird dokumentiert – schon ein einseitiger Ablauf macht in der Prüfung einen Unterschied. Das Verzeichnis von Verarbeitungstätigkeiten (RoPA) und der Satz der Auftragsverarbeitungsverträge (Art. 28 DSGVO) vervollständigen das Bild.
Fazit
DSGVO-Compliance ist der Reisepass für den Verkauf in die EU: Sie bestehen die Prüfungen der Marktplätze, werden nicht zur Zielscheibe von Abmahnungen, und das Vertrauen Ihrer Kundschaft steigt messbar. Für einen mittelgroßen Shop sind alle sechs Schritte zusammen ein Projekt, das sich in Wochen bemisst – unser KVKK-/DSGVO-Compliance-Programm ist der Standard für diese Einrichtung. Die türkische und die unionsrechtliche Seite bearbeitet Köksal; kommt deutsches Recht ins Spiel – etwa eine wettbewerbsrechtliche Abmahnung –, bearbeitet dies unsere in Deutschland zugelassene Partnerkanzlei activelaw (Hannover).
