DSGVO-konform mit einem Entwicklungsteam in der Türkei
Die kurze Antwort: möglich ja, automatisch nein. Die EU-Kommission hat am 13. Dezember 2023 festgestellt, dass das türkische Datenschutzrecht nicht als mit der DSGVO gleichwertig gilt — es gibt also keinen Angemessenheitsbeschluss. Personenbezogene Daten dürfen trotzdem übermittelt werden, aber nur über einen Transfermechanismus nach Kapitel V der DSGVO. In der Praxis heißt das: Auftragsverarbeitungsvertrag nach Art. 28, Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c, eine dokumentierte Abwägung der Risiken im Empfängerland und technische Maßnahmen, die diese Risiken tatsächlich adressieren. Die türkische Reform des KVKK von 2024 hat dafür ein eigenes, an der DSGVO orientiertes Regelwerk für Standardvertragsklauseln eingeführt, was die Konstruktion auf beiden Seiten belastbarer macht.
Was vertraglich und technisch aufgesetzt wird
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit klarer Weisungsbindung, Unterauftragsverhältnissen und Löschkonzept.
- Standardvertragsklauseln nach Art. 46 in der aktuellen Fassung, mit dem passenden Modul für das Verhältnis Verantwortlicher zu Auftragsverarbeiter.
- Dokumentierte Risikoabwägung für den Drittlandtransfer, die Zugriffsmöglichkeiten von Behörden im Empfängerland tatsächlich bewertet statt sie zu behaupten.
- Technische und organisatorische Maßnahmen: Hosting und Datenhaltung in der EU, Pseudonymisierung, rollenbasierte Zugriffsrechte, protokollierte Zugriffe, Entwicklung gegen anonymisierte oder synthetische Datensätze.
Wie sich das im Projektalltag auswirkt
- 01Der wirksamste Hebel ist nicht juristisch, sondern architektonisch: wenn Produktivdaten die EU nie verlassen und das Team gegen anonymisierte Datensätze entwickelt, schrumpft der Drittlandtransfer auf einen kleinen, kontrollierbaren Rest.
- 02Zugriffsrechte werden pro Rolle und pro Umgebung vergeben und protokolliert, sodass im Auditfall nachweisbar ist, wer wann worauf zugreifen konnte — das ist der Punkt, an dem Prüfungen üblicherweise scheitern.
- 03Die Vertragsunterlagen liegen auf Deutsch vor und laufen über die Berliner Adresse, damit Ihre Rechtsabteilung einen Ansprechpartner im selben Rechtsraum hat.
Grenzen, die wir offen benennen
- Dies ist keine Rechtsberatung. Die Bewertung Ihres konkreten Falls gehört zu Ihrem Datenschutzbeauftragten oder Ihrer Rechtsabteilung — wir liefern die Unterlagen und die technische Umsetzung, nicht das Testat.
- Wenn Ihre interne Richtlinie Drittlandtransfers grundsätzlich ausschließt, ist die Frage damit beantwortet und ein Standort innerhalb der EU die richtige Wahl.
- Besonders sensible Datenkategorien nach Art. 9 DSGVO — Gesundheits-, Biometrie- oder Gewerkschaftsdaten — erhöhen die Anforderungen an die Risikoabwägung erheblich und sind im Einzelfall zu prüfen.
Häufige Fragen zur DSGVO
- Nein. Der AVV nach Art. 28 DSGVO regelt das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter, ersetzt aber keinen Transfermechanismus. Da für die Türkei kein Angemessenheitsbeschluss vorliegt, kommt zwingend ein Instrument nach Art. 46 hinzu — in der Praxis die Standardvertragsklauseln, ergänzt um eine dokumentierte Risikoabwägung.
Zum Vertiefen
Softwarefirma in der Türkei auswählen (2026)
Ein Projekt im Kopf?
Beschreiben Sie kurz, was Sie vorhaben. Wir antworten innerhalb eines Werktags — in der Regel mit Rückfragen, nicht mit einem Angebot.