DSGVO- und KVKK-konforme Softwareentwicklung: So funktioniert Nearshore aus der Türkei

Softwareentwicklung an der Schnittstelle des türkischen und europäischen Rechts stellt eine echte Compliance-Herausforderung dar: Türkeis Datenschutzgesetz (KVKK, Gesetz Nr. 6698) und die EU-Datenschutz-Grundverordnung teilen viele strukturelle Gemeinsamkeiten — beide sind einwilligungsbasierte, rechtegesteuerte Rahmenwerke, inspiriert von denselben internationalen Standards. Aber sie divergieren in wichtigen technischen und administrativen Details, und für Deka Technologys Kunden — die häufig Daten sowohl türkischer als auch europäischer Betroffener verarbeiten — gelten beide Rahmenwerke gleichzeitig. Dieser Artikel beschreibt die spezifischen technisch-organisatorischen Maßnahmen, die zur Erreichung dualer Compliance erforderlich sind.

Die Herausforderung der dualen Compliance

KVKK und DSGVO teilen grundlegende Prinzipien: Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung, Datensparsamkeit, Richtigkeit, Speicherbegrenzung und Rechenschaftspflicht. Wo sie operativ divergieren:

• Aufsichtsbehörde: KVKK wird vom türkischen Datenschutzausschuss (KVKK-Ausschuss) durchgesetzt; DSGVO von den Datenschutzbehörden der EU-Mitgliedstaaten. Grenzüberschreitende Durchsetzungsmechanismen unterscheiden sich erheblich.
• Datenübertragungsbeschränkungen: KVKK erfordert die Genehmigung des KVKK-Ausschusses für internationale Datenübertragungen (oder Angemessenheitsbeschluss), während die DSGVO Standardvertragsklauseln, BCRs oder Angemessenheitsbeschlüsse für denselben Zweck verwendet.
• Datenverarbeiterregistrierung: Die Türkei führt ein VERBİS-Register, in dem sich Datenverantwortliche registrieren müssen; kein entsprechendes öffentliches Register existiert unter der DSGVO.
• Meldefristen bei Datenschutzverletzungen: Die DSGVO verlangt eine 72-Stunden-Meldung an die Aufsichtsbehörde; KVKK verlangt eine Meldung „ohne unangemessene Verzögerung" an den KVKK-Ausschuss, was der Ausschuss in der Praxis als 72 Stunden interpretiert hat, jedoch nicht identisch kodifiziert ist.

Technische Maßnahmen: Was wir in jedes Projekt einbauen

Dekas Engineering-Standards verlangen, dass folgende Kontrollen standardmäßig in jedem Projekt mit personenbezogenen Daten vorhanden sind:

Verschlüsselung im Ruhezustand und bei der Übertragung: Alle personenbezogenen Daten im Ruhezustand werden mit AES-256 verschlüsselt. Alle Daten bei der Übertragung nutzen mindestens TLS 1.2, bevorzugt TLS 1.3. Verschlüsselung auf Datenbankebene ist aktiviert (Transparent Data Encryption für SQL Server, Speicherverschlüsselung für PostgreSQL auf Cloud-Plattformen). Verschlüsselungs-Schlüsselverwaltung ist vom Anwendungscode getrennt — Schlüssel werden in Azure Key Vault oder AWS KMS verwaltet, nicht in Anwendungskonfigurationsdateien.

Zugriffskontrolle und Least Privilege: Rollenbasierte Zugriffskontrolle (RBAC) wird sowohl auf Anwendungs- als auch auf Datenbankebene durchgesetzt. Datenbank-Dienstkonten, die von Anwendungen verwendet werden, haben nur SELECT/INSERT/UPDATE-Berechtigungen auf Tabellenebene — kein DROP, ALTER oder Schemaebenen-Zugriff. Privilegierter Zugriff auf Produktionsdatenbanken erfordert ein Break-Glass-Verfahren mit obligatorischer Protokollierung.

Audit-Protokollierung: Alle Zugriffe auf Tabellen mit personenbezogenen Daten werden in einem Append-only-Audit-Log protokolliert. Log-Einträge enthalten: Zeitstempel, Benutzeridentität, Operationstyp, betroffene Datensatz-Kennung und Client-IP. Audit-Logs werden mindestens 2 Jahre aufbewahrt und sind für Anwendungsebenen-Zugangsdaten nicht zugänglich (schreibgeschützt von der Anwendung, Lesen über dediziertem Audit-Service).

Audit-Protokollierung ist in unseren Standards nicht optional. Ein Kunde, der darum bittet, sie aus Speicherplatzgründen wegzulassen, erhält eine schriftliche Erläuterung, warum wir dieser Anfrage nicht nachkommen können — und einen Verweis auf die relevanten KVKK- und DSGVO-Bestimmungen, die sie zu einer rechtlichen Verpflichtung machen.

Pseudonymisierung und Anonymisierung: Personenbezogene Identifikatoren werden in Nicht-Produktionsumgebungen (Test, Staging, Entwicklung) pseudonymisiert. Produktionsdaten werden nie in Entwicklungsumgebungen verwendet. Anonymisierungspipelines mit k-Anonymität (k≥5) werden auf Analysedatensätze angewendet, wo möglich.

Organisatorische Maßnahmen

Technische Kontrollen sind notwendig, aber nicht ausreichend. Unsere organisatorischen Maßnahmen umfassen:

• Datenschutzbeauftragter (DSB): Deka Technology führt eine DSB-Funktion, besetzt mit einem qualifizierten Praktiker. Der DSB prüft alle neuen Kunden-Engagements mit personenbezogenen Daten und zeichnet Datenverarbeitungsverträge vor Projektstart ab.
• Jährliche Schulung: Alle Ingenieure absolvieren eine obligatorische jährliche Datenschutzschulung, die sowohl KVKK- als auch DSGVO-Anforderungen abdeckt, mit rollenspezifischen Modulen für Architekten und Tech Leads.
• Privacy-by-Design-Reviews: Für jede neue Funktion mit personenbezogenen Daten wird eine Datenschutz-Folgenabschätzung (DSFA/DPIA) abgeschlossen, bevor das Design finalisiert wird. DSFAs werden dokumentiert und 3 Jahre aufbewahrt.
• Incident-Response-Plan: Ein dokumentierter Incident-Response-Plan mit benannten Rollen, Kommunikationsvorlagen für sowohl KVKK-Ausschuss- als auch EU-DSB-Benachrichtigungen und ein jährlich aktualisiertes und getestetes Runbook.

Vertraglicher Rahmen

Für Kunden im DACH-Markt umfasst unser Standard-Engagement einen Datenverarbeitungsvertrag (DVV) gemäß DSGVO-Artikel 28, der Unterauftragsverarbeiter-Listen, Auditrechte, Datenlöschpflichten und technisch-organisatorische Maßnahmen abdeckt. Für Kunden mit türkischen Betroffenen stellen wir einen parallelen KVKK-Datenverarbeitungszusatz bereit. Wo beides gilt, wird ein einheitlicher vertraglicher Rahmen verwendet.

ISO 27001 als Fundament

Unsere ISO-27001-Zertifizierung bietet das audit-verifizierte Fundament für all das oben Genannte. Der Zertifizierungsumfang deckt unser Istanbuler F&E-Zentrum ab — den Standort, von dem aus alle Software-Kundenentwicklung durchgeführt wird. Jährliche Überwachungsaudits durch einen akkreditierten Zertifizierungskörper verifizieren, dass Kontrollen operativ sind, nicht nur dokumentiert. Kunden erhalten auf Anfrage eine Kopie unseres aktuellen Zertifikats und können unter NDA eine Zusammenfassung unserer neuesten Auditbefunde anfordern.

Duale DSGVO/KVKK-Compliance ist komplex, aber mit den richtigen Engineering-Standards und organisatorischer Disziplin erreichbar. Für DACH-Kunden, die mit Partnern in der Türkei zusammenarbeiten, beseitigt ein robustes Compliance-Framework eine erhebliche Due-Diligence-Last — und stellt die Dokumentation bereit, die Beschaffungs- und Rechtsteams benötigen, ohne individuelle Anfragen für jedes Engagement.