Ihre Datenflüsse in einer Architektur, die beiden Regelwerken zugleich genügt.
Die rechtskonforme Architektur konzerninterner und lieferantenbezogener Datenflüsse — mit dem aktuellen Übermittlungsregime des türkischen KVKK (Standardvertrag, verbindliche Unternehmensregelungen, Verpflichtungserklärung) und den Garantien der DSGVO.
Was hat das neue Regime geändert?
Nach den Änderungen von 2024 ruht das Übermittlungsregime des türkischen Datenschutzgesetzes (KVKK, Nr. 6698) auf drei Stufen: dem Angemessenheitsbeschluss; den geeigneten Garantien (verbindliche Unternehmensregelungen, der von der türkischen Datenschutzbehörde veröffentlichte Standardvertrag, die schriftliche Verpflichtungserklärung); und eng begrenzten Einzelfällen. In der Praxis ist der Standardvertrag der meistbegangene Weg — und das kritischste Detail ist die Pflicht, ihn binnen fünf Werktagen nach der Unterzeichnung der türkischen Datenschutzbehörde anzuzeigen. Ein Vertrag ohne diese Anzeige ist für sich genommen ein Sanktionsgrund.
Typische Datenflüsse und die richtigen Instrumente
Türkei → Konzernzentrale in Deutschland
der Fluss von Personal-, CRM- und Finanzdaten in die Konzernsysteme; Standardvertrag und, auf der Seite der DSGVO, eine konzerninterne Ordnung.
EU → Türkei
die Verarbeitung der Daten der deutschen Tochtergesellschaft in der Türkei; die Standardvertragsklauseln der DSGVO (SCC) und eine Transfer-Folgenabschätzung.
Cloud und SaaS
jedes Werkzeug, dessen Server im Ausland steht, ist eine Übermittlung — ohne Verzeichnis keine Compliance.
E-Commerce
die Speicherung der Daten von EU-Kundschaft in Systemen in der Türkei; die zweiseitige Struktur, die wir in unserem E-Commerce-Leitfaden ausführen.
Der architektonische Ansatz
Compliance bei der Übermittlung ist keine Sammelarbeit an Dokumenten, sondern Architektur: Es entsteht eine Karte der Datenflüsse, jedem Fluss wird das richtige Instrument zugeordnet, die Verträge werden als ein einziger Satz unterzeichnet, und Anzeige- wie Dokumentationspflichten kommen in den Kalender. In Konzernstrukturen ist das Ziel, dass sich jede neue Tochtergesellschaft und jedes neue Werkzeug der bestehenden Architektur hinzufügen lässt — kein Projekt von Null bei jedem Mal.
Was wird in einer Prüfung gefragt?
Die Probe auf die Übermittlungs-Compliance findet an zwei Stellen statt: in einer Untersuchung der türkischen Datenschutzbehörde und in dem Verfahren, das auf eine Datenpanne folgt. Welche Nachweise verlangt werden, ist absehbar: ein aktuelles Verzeichnis der Datenflüsse, die Begründung des für jeden Fluss gewählten Instruments, unterzeichnete Verträge und Anzeigebelege sowie Bewertungsnotizen zum Risiko im Empfängerland. Auf der Seite der DSGVO verlangt die Praxis nach Schrems II, dass dort, wo die Standardvertragsklauseln allein nicht genügen, die zusätzlichen Maßnahmen — Verschlüsselung, Zugriffsarchitektur, Transparenzberichte — dokumentiert werden. Die Sanktionen wirken in zwei Richtungen: neben dem Bußgeld steht das Risiko, dass die Übermittlung selbst untersagt wird, und für den Betrieb ist das der eigentliche Kostenfaktor. Das EU-Ende des Regimes fassen wir in unserem Eintrag zur DSGVO zusammen.
Für wen, und was bekommen Sie?
Diese Leistung nutzen am häufigsten Gruppen, deren zentrale Systeme in Deutschland stehen, cloud- und SaaS-lastige Betriebe sowie Software-, Callcenter- und E-Commerce-Unternehmen, die EU-Kundschaft bedienen.
Das Ergebnis ist eine einzige prüfungsfeste Akte: Verzeichnis, Begründung der Instrumente, Verträge und Anzeigebelege, dazu eine Vorlage für die Transfer-Folgenabschätzung und ein jährlicher Überprüfungskalender. Die Programmebene insgesamt wird in unserem Schwerpunkt Daten fortgeführt.
Wir stehen Ihnen bei der Datenübermittlung ins Ausland zur Seite
Wir erstellen das Verzeichnis der Datenflüsse gemeinsam mit Ihren technischen Teams, bereiten den Satz der Standardverträge zweisprachig vor, erstatten die Anzeigen an die türkische Datenschutzbehörde fristgerecht und führen alles mit Ihrem KVKK- und DSGVO-Programm in einer Akte zusammen. Die Übermittlung stockt nicht, der Betrieb steht nicht still.
Weitere Anwendungen dieser Leistung
Compliance-Beratung — unsere weiteren spezialisierten Lösungen in diesem Bereich.
Verknüpfungen zum Mandat
Die Schwerpunkte, Rechtsgebiete, Desks und Rechtsvorschriften, mit denen diese Unterleistung verbunden ist — der vollständige Kontext des Mandats.
Unsere Mandate in dieser Leistung
Die anonymisierten Beispiele unserer Arbeit, die diese Leistung betreffen.
Ununterbrochene Rechtsberatung für einen multinationalen Zulieferer
Begleitung im Retainer-Modell für die täglichen kaufmännischen Abläufe, das Vertragsmanagement und die Compliance.
Zum Mandat →ESG & ComplianceCompliance-Programm zu den Sorgfaltspflichten in der Lieferkette (LkSG)
Risikobewertung und Compliance-Architektur für ein türkisches Zulieferernetz im Rahmen des deutschen LkSG.
Zum Mandat →MarktzugangAufbau des Vertriebsnetzes in der Türkei
Gestaltung der Markteintrittsstrategie, der Vertragshändlerverträge und der wettbewerbsrechtlichen Compliance.
Zum Mandat →Das Team hinter dieser Leistung
Mit unserem mehrsprachigen Team aus Anwältinnen und Anwälten beraten wir Sie zum türkischen Recht, auch auf Deutsch; Fragen des deutschen Rechts bearbeitet unsere in Deutschland zugelassene Partnerkanzlei activelaw.
Mehmet Köksal
Gründungs- und geschäftsführender PartnerIstanbul · Berlin · KyreniaProfil →
Kübra Köksal-Yılmaz
PartnerinBerlin · IstanbulProfil →
Gül Efem
Of CounselIstanbulProfil →
Sven Köksal
Legal EngineerBerlin · IstanbulProfil →
Gökçe Yıldırım
Of CounselIstanbulProfil →Zugehörige Publikationen
Aktuelle Einschätzungen und Leitfäden aus dem Knowledge Center.
Die Anzeigepflicht trifft den Verantwortlichen — je nach Konstellation auch den Auftragsverarbeiter. Wird die Frist von fünf Werktagen versäumt, kann das ein Bußgeld nach sich ziehen; wir führen den Terminplan für Unterzeichnung und Anzeige als einen einzigen Vorgang.
Nein — die beiden Regime arbeiten mit getrennten Instrumenten. Die EU-Seite wird über die Standardvertragsklauseln der DSGVO (SCC) abgesichert, die türkische Seite über den KVKK-Standardvertrag; wir setzen beide als ein einziges, widerspruchsfreies Paket auf.
Unter den Ausnahmen für nur gelegentliche Übermittlungen besteht die ausdrückliche Einwilligung in begrenztem Umfang fort; für Datenflüsse mit Dauercharakter ist dagegen eine geeignete Garantie (etwa der Standardvertrag) maßgeblich. Ältere, allein auf die Einwilligung…
Der Kern des Textes muss erhalten bleiben; eine Abweichung von dem vom Ausschuss bekannt gemachten Inhalt stellt die Wirksamkeit der Garantie in Frage. Kaufmännische Anlagen gehören in einen gesonderten Vertrag.
Datenübermittlung ins Ausland — holen Sie sich die richtige rechtliche Unterstützung.
Lassen Sie uns die passende Lösung gemeinsam bestimmen — auf Grundlage unserer Erfahrung in der Türkei und in der DACH-Region.