Die Türkei steht derzeit nicht auf der Liste der Länder, für die die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat. Das bedeutet, dass die Übermittlung personenbezogener Daten in die Türkei als Übermittlung in ein Drittland gilt und zusätzliche Garantien gemäß der DSGVO erfordert.
In der Praxis kann dies bedeuten, dass Standardvertragsklauseln eingesetzt, eine Analyse der Datenübermittlung durchgeführt und zusätzliche technische und organisatorische Maßnahmen wie Verschlüsselung, Pseudonymisierung oder Zugangsbeschränkungen umgesetzt werden müssen.
Nicht nur der Standort der Server ist entscheidend
Die bloße Information, dass Daten auf Servern in der Europäischen Union gespeichert werden, bedeutet nicht immer, dass keine Datenübermittlung in die Türkei stattfindet. Wenn Mitarbeiter oder Subunternehmer in der Türkei aus der Ferne auf Daten zugreifen können, die beispielsweise in Frankfurt gespeichert sind, kann dieser Zugriff als Datenübermittlung in die Türkei gelten.
Relevant ist auch, wer tatsächlich über die Art der Datenverarbeitung, die Funktionsweise der Algorithmen und das Profiling der Nutzer entscheidet. Die bloße Angabe einer polnischen oder EU-Gesellschaft als Anbieter im Vertrag reicht nicht aus, wenn die tatsächliche Kontrolle über die Daten außerhalb der EU liegt.
Einwilligungen lassen sich nicht automatisch übertragen
Einwilligungen, die für ein bestimmtes Tool wie Google Analytics eingeholt wurden, sollten bei der Einführung von Segmentify, Insider oder einer anderen Plattform nicht automatisch verwendet werden.
Jeder Anbieter kann Daten zu einem anderen Zweck verarbeiten, andere Subunternehmer einsetzen oder Daten in andere Länder übermitteln. Daher kann ein Toolwechsel eine Aktualisierung folgender Punkte erfordern:
- des Einwilligungsmechanismus;
- der Datenschutzerklärung;
- der Auftragsverarbeitungsverträge;
- der Liste der Subunternehmer;
- der Dokumentation zur Datenübermittlung.
Was sollte überprüft werden?
Bevor Sie eine Zusammenarbeit mit einem Anbieter beginnen, der Infrastruktur oder Teams in der Türkei nutzt, sollten Sie Folgendes überprüfen:
- wo sich die Daten und Sicherungskopien tatsächlich befinden;
- wer Zugriff darauf hat;
- aus welchen Ländern der Fernzugriff erfolgt;
- wer über das Profiling und die Funktionsweise der Algorithmen entscheidet;
- ob das türkische Unternehmen Auftragsverarbeiter, Unterauftragsverarbeiter oder Verantwortlicher ist;
- welche rechtlichen und technischen Schutzmaßnahmen getroffen wurden.
Das Fehlen eines Angemessenheitsbeschlusses für die Türkei schließt eine Zusammenarbeit mit einem türkischen Anbieter nicht aus, erfordert jedoch eine gründliche Analyse der Datenübermittlung und eine angemessene Dokumentation des gesamten Prozesses. Entscheidend ist nicht nur, was im Vertrag steht, sondern auch, wie die Daten tatsächlich verarbeitet werden.
Wenn Sie den Einsatz einer türkischen Marketinglösung erwägen, entscheiden Sie sich besser für eine europäische Technologie.
Entdecken Sie Quarticon. Quarticon bietet eine deutlich leistungsfähigere Engine für Produktempfehlungen und eine bessere KI-Suche. Quarticon bietet Tools ohne unnötige Cookie-Hinweise, separate Einwilligungen oder Datenübermittlungen in Drittländer. Sie funktionieren auf jedem Gerät und in jedem Browser – nicht nur auf rund 40% davon!
