KVKK-Compliance-Outsourcing | Datenschutzbetrieb Türkei

Zuletzt aktualisiert: 11. November 2026

Mit dem Outsourcing des Datenschutz-Compliance-Betriebs übernimmt ein Team aus Istanbul die laufende operative Arbeit rund um das türkische Datenschutzgesetz KVKK (Gesetz Nr. 6698) – Dateninventar, VERBİS-Registrierung, Informationspflichten und Einwilligungen, Betroffenenanfragen, Lösch- und Vernichtungszyklen, Datenpannen-Workflow und Auslandsübermittlungen – und stimmt sie mit Ihren DSGVO-Prozessen ab. Das Angebot richtet sich besonders an Unternehmen aus Deutschland, Österreich und der Schweiz, die in der Türkei eine Tochtergesellschaft, Niederlassung, Produktion, ein Callcenter oder türkische Kunden und Mitarbeitende haben. Wichtig vorab: Wir erbringen operative Compliance-Leistungen, keine Rechtsberatung. Rechtliche Bewertungen treffen Ihre Rechtsabteilung oder Ihre Anwaltskanzlei; wir setzen die Prozesse um, dokumentieren und halten sie aktuell.

Datenschutz-Compliance-Betrieb (KVKK und DSGVO)

Wer braucht diesen Service?

DACH-Unternehmen mit türkischer Gesellschaft: Die Tochter ist selbst Verantwortliche nach KVKK, oft aber ohne eigene Datenschutzorganisation.
Ausländische Verantwortliche mit türkischen Betroffenen: Auch im Ausland ansässige Verantwortliche können nach KVKK zur VERBİS-Registrierung verpflichtet sein.
Konzerne mit DSGVO-Programm: Die DSGVO-Dokumentation existiert, wurde aber nicht an die Besonderheiten des KVKK angepasst – etwa getrennte Einwilligungstexte oder die Regeln zur Auslandsübermittlung.
Unternehmen, die Dienstleistungen in die Türkei auslagern: Callcenter, Backoffice oder IT-Teams in der Türkei verarbeiten personenbezogene Daten; die Datenflüsse müssen in beide Richtungen sauber geregelt sein.
Organisationen mit viel Betroffenenkontakt: Handel, E-Commerce, Gesundheitswesen und Finanzdienstleister mit hohem Aufkommen an Anfragen.

Die operativ relevanten Punkte des KVKK

Thema	Rechtsgrundlage	Operative Aufgabe
Dateninventar	Art. 16 KVKK, VERBİS-Verordnung	Verarbeitungen, Kategorien, Zwecke, Empfänger, Speicherfristen erfassen
VERBİS-Registrierung	Art. 16 KVKK, Beschlüsse der Behörde	Registrierungspflicht prüfen lassen, Eintrag pflegen
Informationspflicht	Art. 10 KVKK und Kommuniqué zur Informationspflicht	Datenschutzhinweise für jeden Erhebungskanal
Ausdrückliche Einwilligung	Art. 5 und 6 KVKK	Einwilligung nur, wo nötig, und getrennt vom Informationstext
Datenpanne	Art. 12 KVKK, Beschluss der Behörde	Meldung an die Behörde ohne Verzögerung, spätestens binnen 72 Stunden
Auslandsübermittlung	Art. 9 KVKK (geändert durch Gesetz Nr. 7499)	Mechanismus festlegen, Standardverträge melden
Betroffenenrechte	Art. 11 und 13 KVKK	Anfragen spätestens binnen 30 Tagen beantworten
Speicherung und Vernichtung	Verordnung über Löschung, Vernichtung und Anonymisierung	Lösch- und Vernichtungsrichtlinie, periodische Vernichtung

VERBİS und Dateninventar

Das Register der Verantwortlichen (VERBİS) beruht auf Art. 16 KVKK. Die Registrierungspflicht erfasst im Ausland ansässige Verantwortliche sowie Unternehmen, die die von der Behörde festgelegten Schwellen für Mitarbeiterzahl und Jahresbilanzsumme überschreiten; wer hauptsächlich besondere Kategorien personenbezogener Daten verarbeitet, kann auch unterhalb der Schwellen registrierungspflichtig sein. Da die Schwellenwerte regelmäßig angepasst werden, prüfen wir den aktuellen Stand anhand der jeweils geltenden Beschlüsse. Die Angaben im VERBİS – Datenkategorien, Zwecke, Empfängergruppen, Auslandsübermittlungen und Speicherfristen – werden aus dem Dateninventar abgeleitet. Ändert sich das Inventar, muss auch der Eintrag aktualisiert werden. Für DACH-Unternehmen bietet sich an, das KVKK-Inventar aus dem bestehenden Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO abzuleiten und um die türkischen Besonderheiten zu ergänzen.

Informationspflicht und ausdrückliche Einwilligung

Art. 10 KVKK und das zugehörige Kommuniqué verlangen, bei der Erhebung über die Identität des Verantwortlichen, die Zwecke, die Empfänger, die Erhebungsmethode, die Rechtsgrundlage und die Rechte der Betroffenen zu informieren. Anders als oft in der DSGVO-Praxis sollen Informationstext und Einwilligungserklärung nach der Auffassung der Behörde getrennt sein; außerdem sollte nicht für Verarbeitungen eine Einwilligung eingeholt werden, die bereits auf einer anderen Rechtsgrundlage beruhen. In der Praxis bedeutet das: Formulare, Webseiten, Apps, Callcenter-Skripte und Bewerbungsprozesse werden kanalweise überprüft und angepasst.

Datenpanne und 72 Stunden

Nach Art. 12 KVKK sind die Behörde und die Betroffenen zu benachrichtigen, wenn verarbeitete Daten unrechtmäßig in die Hände Dritter gelangen. Die Behörde erwartet die Meldung ohne Verzögerung und spätestens 72 Stunden nach Kenntnisnahme; Betroffene sind nach ihrer Identifizierung schnellstmöglich zu informieren. Die 72 Stunden laufen ab, bevor die technische Untersuchung abgeschlossen ist. Deshalb braucht es einen schriftlichen Reaktionsplan, eine klare Entscheidungsbefugnis und vorbereitete Meldeformulare. Für Konzerne mit DSGVO-Pflichten ist ein gemeinsamer Workflow sinnvoll, der beide Meldewege – an die Aufsichtsbehörde in Ihrem Land und an die türkische Behörde – parallel bedient.

Auslandsübermittlung: die Reform von 2024

Mit dem Gesetz Nr. 7499 wurden Art. 6 und Art. 9 KVKK grundlegend geändert; die Änderungen traten am 1. Juni 2024 in Kraft. Die Übermittlung ins Ausland folgt seither einem gestuften Modell: Vorrangig ist ein Angemessenheitsbeschluss der Behörde; fehlt dieser, wird eine geeignete Garantie genutzt – etwa der von der Behörde veröffentlichte Standardvertrag, verbindliche Unternehmensregeln oder eine genehmigte Verpflichtungserklärung. Nur wenn auch das nicht möglich ist, kommen eng begrenzte Ausnahmen für gelegentliche Übermittlungen in Betracht. Ein abgeschlossener Standardvertrag muss der Behörde innerhalb von fünf Werktagen nach Unterzeichnung gemeldet werden. Die früher verbreitete Praxis, Auslandsübermittlungen pauschal auf eine Einwilligung zu stützen, ist damit faktisch überholt.

Für DACH-Unternehmen ist das in beide Richtungen relevant: Übermittelt die türkische Tochter Daten an die Zentrale in Deutschland, Österreich oder der Schweiz oder an einen Cloud-Anbieter in der EU, gelten die KVKK-Regeln. Übermitteln Sie umgekehrt Daten an ein Team in der Türkei, sind nach DSGVO in der Regel EU-Standardvertragsklauseln (SCCs) samt Transfer Impact Assessment erforderlich. Operativ heißt das: jeden im Ausland gehosteten SaaS- und Cloud-Dienst erfassen, den Mechanismus festlegen, Verträge nachhalten und Meldedaten dokumentieren.

Betroffenenanfragen, Speicherung und Vernichtung

Anfragen zu den Rechten nach Art. 11 KVKK sind je nach Art des Anliegens so schnell wie möglich, spätestens innerhalb von 30 Tagen zu beantworten. Die Verordnung über Löschung, Vernichtung und Anonymisierung verlangt von registrierungspflichtigen Verantwortlichen eine Speicher- und Vernichtungsrichtlinie sowie periodische Vernichtung in festgelegten Intervallen. Wir betreiben dafür einen Anfrage-Workflow mit Identitätsprüfung, Fristüberwachung und Antwortvorlagen und führen die Vernichtungszyklen mit Protokoll durch.

Leistungsumfang

Leistung	Inhalt
Dateninventar und VERBİS	Aufbau und Pflege des Inventars, Vorbereitung und Aktualisierung des VERBİS-Eintrags
Hinweise und Einwilligungen	Überprüfung aller Erhebungskanäle, Entwürfe zur Freigabe durch Ihre Rechtsberatung
Betroffenenanfragen	Annahme, Identitätsprüfung, Recherche in Systemen, Antwortentwurf, Fristkontrolle
Datenpannen-Workflow	Reaktionsplan, Meldevorlagen, Koordination im Ernstfall, Dokumentation
Auslandsübermittlung	Register der Übermittlungen, Standardverträge, Fristen für Meldungen
Speicherung und Vernichtung	Richtlinie, Vernichtungsplan, periodische Durchführung mit Protokoll
Dienstleistersteuerung	Prüfung von Auftragsverarbeitern, Vertragsanhänge, Fragebögen
Schulung und Reporting	Schulungen für Mitarbeitende, Monatsbericht, Auditvorbereitung

Rollen

Rolle	Verantwortung
Datenschutz-Spezialist	Inventar, Hinweise, Anfragen, Dokumentation
Compliance-Analyst	Übermittlungsregister, Dienstleisterprüfungen, Kennzahlen
Informationssicherheits-Spezialist	Technische und organisatorische Maßnahmen, Zusammenarbeit mit IT und SOC
Programmleitung	Planung, Abstimmung mit Rechtsabteilung und Konzerndatenschutz, Berichte

Arbeitsmodelle

Modell	Beschreibung	Geeignet für
Remote	Betrieb aus Istanbul mit Zugriff auf Ihr Ticket- und Dokumentensystem	Die meisten Unternehmen
Vor Ort	Spezialisten arbeiten zeitweise in Ihrer türkischen Gesellschaft	Inventarisierung, Interviews, Schulungen
Hybrid	Remote-Betrieb mit regelmäßigen Terminen vor Ort	Organisationen mit mehreren Standorten in der Türkei

Ablauf und typische Zeiträume

Erstgespräch und Scope: Gesellschaften, Standorte, Systeme, vorhandene DSGVO-Dokumentation.
Gap-Analyse: Abgleich mit den KVKK-Anforderungen, Liste der Lücken mit Prioritäten.
Aufbau: Inventar, VERBİS, Hinweise, Übermittlungsregister, Pannen-Workflow, Richtlinien.
Regelbetrieb: Anfragen, Aktualisierungen, Vernichtungszyklen, Schulungen, Monatsbericht.

Ein typischer Start ist innerhalb von 1–2 Wochen möglich; die Dauer des Aufbaus hängt von der Zahl der Systeme und Prozesse ab.

Datenschutz-Compliance-Betrieb (KVKK und DSGVO) — overview

SLA und KPIs

Kennzahl	Definition
Fristtreue Betroffenenanfragen	Anteil der Anfragen, die innerhalb der gesetzlichen Frist beantwortet wurden
Aktualität des Inventars	Zeit zwischen einer Prozessänderung und der Aktualisierung von Inventar und VERBİS
Übermittlungsregister	Anteil der Auslandsdienste mit dokumentiertem Mechanismus
Meldefristen Standardverträge	Anteil der fristgerecht gemeldeten Verträge
Vernichtungszyklen	Durchgeführte Zyklen im Plan mit Protokoll
Schulungsquote	Anteil der geschulten Mitarbeitenden

Preisfaktoren

Preise nennen wir auf dieser Seite nicht. Übliche Modelle sind Festpreis (Gap-Analyse, Erstaufbau), Personenmonat (laufender Betrieb mit fester Kapazität) und Stundenbasis (Pannenunterstützung, Sonderprojekte).

Faktor	Auswirkung
Anzahl der Gesellschaften und Standorte	Umfang von Inventar und Registrierung
Anzahl der Systeme und Erhebungskanäle	Aufwand für Inventar und Hinweise
Volumen der Betroffenenanfragen	Laufender Bearbeitungsaufwand
Auslandsübermittlungen	Anzahl der Dienste und Verträge
Vorhandene DSGVO-Dokumentation	Wiederverwendbarkeit verringert den Aufbauaufwand
Sprache	Arbeit in Türkisch, Deutsch oder Englisch

Eigenes Team, Freelancer oder Outsourcing?

Kriterium	Eigenes Team	Freelancer	Outsourcing
KVKK-Fachwissen	Muss aufgebaut werden	Vorhanden, aber punktuell	Spezialisiertes Team mit Vertretung
Kontinuität	Abhängig von einzelnen Personen	Projektbezogen	Laufender Betrieb mit Fristkontrolle
Sprache und Kultur	Lokale Kenntnisse oft in der Tochter, nicht in der Zentrale	Variabel	Brücke zwischen Zentrale und türkischer Gesellschaft
Startzeit	Monate	Schnell	Typisch 1–2 Wochen

Risiken und Gegenmaßnahmen

Risiko	Gegenmaßnahme
Verwechslung mit Rechtsberatung	Klare Rollentrennung, rechtliche Freigaben durch Ihre Kanzlei
Veraltete Schwellen und Vorgaben	Laufende Beobachtung von Beschlüssen und Verordnungen
Versäumte Fristen	Fristüberwachung im Ticketsystem, Eskalation
Zugriff auf personenbezogene Daten	Least Privilege, AVV, NDA, Protokollierung
Abweichende Dokumentation in Konzern und Tochter	Gemeinsames Inventar mit KVKK- und DSGVO-Sicht

Vertrag, Vertraulichkeit, NDA und geistiges Eigentum

Die Zusammenarbeit erfolgt auf Basis eines Dienstvertrags; für die Gap-Analyse oder den Erstaufbau kommt gegebenenfalls ein Werkvertrag in Betracht. 360 Soft steuert das eigene Team – keine Arbeitnehmerüberlassung. Ob Aspekte des AÜG oder einer Scheinselbständigkeit zu prüfen sind, hängt von der tatsächlichen Durchführung ab; wir empfehlen eine rechtliche Prüfung. Für die Verarbeitung personenbezogener Daten schließen wir einen AVV nach Art. 28 DSGVO, für Übermittlungen in die Türkei abgesichert durch EU-Standardvertragsklauseln (SCCs); auf türkischer Seite gelten die KVKK-Regeln einschließlich der Meldung von Standardverträgen. Eine NDA regelt die Vertraulichkeit. Inventare, Richtlinien, Vorlagen und Dokumentation gehen vertraglich in Ihr Eigentum über.

Beispielszenario (illustrativ): Türkische Vertriebsgesellschaft eines deutschen Herstellers

Beispielszenario (illustrativ): Ein deutscher Maschinenbauer betreibt in Istanbul eine Vertriebs- und Servicegesellschaft. CRM und E-Mail laufen über Cloud-Dienste in der EU, das Konzern-DSGVO-Programm deckt die Tochter aber nur formal ab. Das Team würde das vorhandene Verzeichnis nach Art. 30 DSGVO als Grundlage nehmen, ein KVKK-Inventar ableiten, die VERBİS-Pflicht prüfen lassen, für die Übermittlungen in die EU Standardverträge vorbereiten und deren Meldung an die Behörde nachhalten. Das Szenario dient nur der Veranschaulichung.

Checkliste für die Auswahl

Ist klar getrennt, was operative Leistung und was Rechtsberatung ist?
Kennt das Team die KVKK-Änderungen von 2024 zur Auslandsübermittlung?
Kann das KVKK-Inventar aus Ihrer DSGVO-Dokumentation abgeleitet werden?
Gibt es einen gemeinsamen Pannen-Workflow für DSGVO und KVKK?
Werden Fristen für Anfragen und Vertragsmeldungen systematisch überwacht?
Arbeitet das Team in Türkisch und Deutsch oder Englisch?
Liegen AVV, SCCs und NDA vor?
Gehören Inventare und Dokumente Ihnen?

Häufig gestellte Fragen

Erbringen Sie Rechtsberatung?

Nein. Wir erbringen operative Compliance-Leistungen wie Inventarpflege, Workflows, Dokumentation und Fristkontrolle. Rechtliche Bewertungen und Freigaben erfolgen durch Ihre Rechtsabteilung oder Ihre Kanzlei.

Müssen wir uns im VERBİS registrieren?

Das hängt von Ihrer Situation ab. Im Ausland ansässige Verantwortliche sowie Unternehmen oberhalb der behördlich festgelegten Schwellen für Mitarbeiterzahl und Bilanzsumme sind grundsätzlich erfasst. Wir prüfen die Kriterien anhand der aktuellen Beschlüsse und bereiten den Eintrag vor.

Innerhalb welcher Frist ist eine Datenpanne zu melden?

Die türkische Behörde erwartet die Meldung ohne Verzögerung und spätestens 72 Stunden nach Kenntnisnahme. Nach DSGVO gilt ebenfalls eine 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde.

Dürfen Informationstext und Einwilligung in einem Dokument stehen?

Nach Auffassung der türkischen Behörde sollen Informationstext und Einwilligungserklärung getrennt sein. Zudem sollte keine Einwilligung für Verarbeitungen eingeholt werden, die bereits auf einer anderen Rechtsgrundlage beruhen.

Wie hat die Reform von 2024 die Auslandsübermittlung verändert?

Seit 1. Juni 2024 gilt ein gestuftes Modell: Angemessenheitsbeschluss, sonst geeignete Garantien wie Standardvertrag oder verbindliche Unternehmensregeln, sonst eng begrenzte Ausnahmen. Standardverträge sind der Behörde binnen fünf Werktagen zu melden.

Wir nutzen Cloud-Dienste in der EU – was ist zu tun?

Jeder Dienst wird im Übermittlungsregister erfasst, der Übermittlungsmechanismus festgelegt und, wo nötig, ein Standardvertrag geschlossen und fristgerecht gemeldet.

Wie schnell müssen Betroffenenanfragen beantwortet werden?

Nach KVKK so schnell wie möglich, spätestens innerhalb von 30 Tagen. Wir überwachen die Fristen im Ticketsystem.

Ist eine Speicher- und Vernichtungsrichtlinie Pflicht?

Für registrierungspflichtige Verantwortliche sieht die Verordnung über Löschung, Vernichtung und Anonymisierung eine solche Richtlinie und periodische Vernichtung vor.

Reicht eine reine Remote-Betreuung?

Für den laufenden Betrieb meist ja. Für Inventarisierung, Interviews und Schulungen sind Termine vor Ort in der türkischen Gesellschaft oft hilfreich.

Wie schnell kann der Service starten?

Ein typischer Start ist innerhalb von 1–2 Wochen möglich, beginnend mit Scope und Gap-Analyse.

Wonach richtet sich der Preis?

Nach Anzahl der Gesellschaften, Systeme und Kanäle, Anfragevolumen, Auslandsübermittlungen, vorhandener Dokumentation und Arbeitssprache.

Ist das eine Arbeitnehmerüberlassung?

Nein. 360 Soft erbringt die Leistung als Dienstleistung auf Basis eines Dienstvertrags und steuert das eigene Team. Wir empfehlen dennoch eine rechtliche Prüfung des Vertragsmodells.

Kontakt

Sie möchten Ihren KVKK- und Datenschutz-Compliance-Bedarf besprechen? Schildern Sie uns Ihren Ausgangspunkt – wir melden uns mit einem Vorschlag zu Umfang, Arbeitsmodell und Startzeitpunkt. Telefon: +90 850 335 10 87 · E-Mail: info@360-soft.com · WhatsApp · Kontaktformular. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti., Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul.

Datenschutz-Compliance-Betrieb (KVKK und DSGVO)