Regulierung
Aufsichtsbehörden verlangen Systeme im Inland
Türkische Finanz- und Behördenvorschriften verlangen, dass Systeme, die Kunden- und Bürgerdaten verarbeiten, in der Türkei stehen. Im Gesundheits- und Energiesektor erleichtert die Speicherung von Daten und Aufnahmen im Inland die Compliance. Diese Bestimmungen werden am häufigsten genannt:
Banken
BDDK (türkische Bankenaufsicht) — Verordnung über die Informationssysteme der Banken und elektronische Bankdienstleistungen, Art. 25 und Art. 29
Primär- und Sekundärsysteme müssen sich in der Türkei befinden. Auslagerung und Cloud-Nutzung sind an Bedingungen geknüpft; für Primär- und Sekundärsysteme ist die Cloud auf Hard- und Softwareressourcen beschränkt, die einer einzigen Bank vorbehalten sind.
Zahlungs- und E-Geld-Institute
TCMB (Zentralbank der Republik Türkei) — Kommuniqué über die Informationssysteme von Zahlungs- und E-Geld-Instituten, Art. 16/7 und Art. 21
Cloud-Dienste, die personenbezogene Daten verarbeiten, sind auf eine dem Institut vorbehaltene Private Cloud oder eine von der Zentralbank zugelassene Community Cloud beschränkt. Primär- und Sekundärsysteme sowie Backup-Zentren müssen in der Türkei liegen.
Kapitalmarkt
SPK (Kapitalmarktaufsicht) — Kommuniqué über das Management von Informationssystemen (VII-128.10), Art. 27/1
Primär- und Sekundärsysteme müssen sich in der Türkei befinden.
Behörden und Kommunen
Leitfaden für Informations- und Kommunikationssicherheit (Präsidialrundschreiben 2019/12), Maßnahmen 3.2.7.2 und 4.3.1.1
Kritische Daten dürfen nur in eigenen Systemen der Behörde oder bei im Inland ansässigen, von der Behörde kontrollierten Anbietern in der Cloud gespeichert werden; es muss sichergestellt sein, dass sie nicht im Ausland gehostet werden.
Gesundheitswesen
KVKK (türkisches Datenschutzgesetz) Art. 6 und Art. 9 (Änderung 2024)
Gesundheitsdaten sind besondere Kategorien personenbezogener Daten. Übermittlungen ins Ausland erfordern einen Angemessenheitsbeschluss oder geeignete Garantien; Standardverträge sind binnen 5 Werktagen nach Unterzeichnung der Behörde zu melden. Werden die Daten in der Türkei verarbeitet, entfallen diese Übermittlungsschritte.
Stromverteilung
EPDK (Energiemarktregulierung) — Verfahrensgrundsätze für Callcenter gemäß Beschluss Nr. 9807, Art. 5
Callcenter von Verteilnetzbetreibern müssen Anrufe aufzeichnen, berichtsrelevante Aufzeichnungen mit Zeitstempel versehen und Aufnahmen 1 Jahr direkt abrufbar sowie 5 Jahre als Backup aufbewahren.
Xaly.ai On-Premise lässt sich so installieren, dass die Inlandsanforderungen dieser Bestimmungen erfüllt werden: Das gesamte System läuft auf Ihrem Server in der Türkei, Gesprächsdaten verlassen Ihre Organisation nicht.
Diese Übersicht dient nur der Information; sie ist weder Rechtsberatung noch ein Compliance-Nachweis. Die Compliance-Bewertung erfolgt im eigenen Prozess Ihrer Organisation; der aktuelle Wortlaut ist bei der jeweiligen Behörde zu prüfen.