# Cloud oder eigener Server nach KVKK | Corex360 > Beim KVKK zählt zwischen Cloud und eigenem Server weniger der Ort der Daten als wer sie verarbeitet und nutzt. Daraus folgen die Fragen an den Anbieter. Quelle: https://www.corex360.com/de/blog/kvkk-cloud-oder-eigener-server Zuletzt aktualisiert: 2026-09-29 --- ![Ein Mann reicht der Person gegenüber eine Mappe mit einem Vorhängeschloss-Symbol] Sicherheit # Cloud oder eigener Server nach KVKK: wo liegen die Daten Nach dem KVKK (türkisches Datenschutzgesetz, vergleichbar mit der DSGVO) ist der Unterschied zwischen Cloud und eigenem Server weniger der Ort als die Frage, wer verarbeitet, wer zugreift und wohin Daten gehen. Fragen an den Anbieter. [Demo anfragen](https://www.corex360.com/de/kontakt?konu=bi#form) [Corex360](https://www.corex360.com/de) [Blog](https://www.corex360.com/de/blog) Cloud oder eigener Server nach KVKK: wo liegen die Daten Inhalt - 01 Verlangt das KVKK eine lokale Datenhaltung? - 02 Wer ist in der Cloud Verantwortlicher, wer Auftragsverarbeiter? - 03 Sinkt die Verantwortung auf dem eigenen Server? - 04 Welche Fragen sollten Sie dem Anbieter stellen? - 05 Wo werden Datenschutzhinweise, Einwilligungen und Betroffenenanfragen verwaltet? - 06 In welcher Umgebung werden die Daten in Corex360 gehalten? Ş **[Şevket Erer](https://www.corex360.com/de/blog#blog-hakkinda)** Mitgründer, KI-Spezialist · Corex360 23. September 2026 Aktualisiert 28. September 2026 6 Min. Lesezeit [Im Glossar: KVKK](https://www.corex360.com/de/glossar#kvkk) [Module](https://www.corex360.com/de/module) [Lösungen](https://www.corex360.com/de/loesungen) Aus Sicht des KVKK liegt der Unterschied zwischen Cloud und eigenem Server weniger darin, wo personenbezogene Daten physisch liegen, als darin, wer sie verarbeitet, wer darauf zugreift und wohin sie übermittelt werden. Das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten sieht das Unternehmen, das Zweck und Mittel der Verarbeitung bestimmt, als Verantwortlichen an, egal welchen Server es wählt. Daraus entsteht die Frage der Buchhaltungsleiterin: Was ändert sich, wenn Lohn- und Kundendaten in der Cloud liegen, und was, wenn sie auf unserem eigenen Server liegen? Dieser Beitrag ist allgemeine Information, keine Rechtsberatung; wenden Sie sich für Ihren eigenen Fall an Ihre Rechtsberatung. Der aktuelle Gesetzestext wird im [amtlichen türkischen Rechtsinformationssystem](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5) veröffentlicht, Entscheidungen und Leitfäden der Behörde auf der Website der [türkischen Datenschutzbehörde](https://www.kvkk.gov.tr/Icerik/5419/kurul-kararlari). ** 01. ## Verlangt das KVKK eine lokale Datenhaltung? ** Kurze Antwort Das KVKK verlangt grundsätzlich nicht, dass Daten in der Türkei oder auf dem eigenen Server des Unternehmens liegen; die Übermittlung personenbezogener Daten ins Ausland knüpft es jedoch an eigene Bedingungen. Datenlokalisierung bedeutet, dass Daten innerhalb der Grenzen eines bestimmten Landes gehalten werden. Der Schwerpunkt der KVKK liegt woanders: auf welcher Grundlage Daten verarbeitet werden, ob die Person informiert wurde, wie die Daten geschützt werden und an wen sie übermittelt werden. Stehen die Server des Cloud-Anbieters im Ausland, können die Daten als in dieses Land übermittelt gelten, und diese Übermittlung unterliegt eigenen Bedingungen des Gesetzes. Mit der 2024 in Kraft getretenen Gesetzesänderung ging die Übermittlung ins Ausland in eine Stufenordnung über: zuerst ein Angemessenheitsbeschluss der Datenschutzbehörde, fehlt dieser, geeignete Garantien wie Standardverträge oder verbindliche interne Datenschutzvorschriften, fehlen auch diese, eng begrenzte Einzelfälle; eine ausdrückliche Einwilligung kann jetzt nur noch auf dieser letzten Stufe als Grundlage dienen. Beispielszenario: Stellen Sie sich einen Möbelhersteller in Kayseri vor. Er gehört zu keiner besonders regulierten Branche wie Bank- oder Zahlungsdiensten. Für ihn lautet die eigentliche Frage nicht „Cloud oder eigener Server“, sondern „Wo steht der Server des Anbieters, und wer kann die Daten sehen?“. In manchen Branchen können gesonderte Vorschriften verlangen, dass Daten im Inland gespeichert werden; prüfen Sie die Regeln Ihrer Branche gesondert. Datenlokalisierung ist deshalb für sich allein kein Entscheidungskriterium. Daten auf einem Server in der Türkei, auf die jeder zugreifen kann, können ein größeres Risiko tragen als gut geschützte Daten. Der Standort ist nur ein Teil des Schutzes. ** 02. ## Wer ist in der Cloud Verantwortlicher, wer Auftragsverarbeiter? ** Kurze Antwort Ihr Unternehmen, das Zweck und Mittel der Verarbeitung festlegt, ist der Verantwortliche; der Cloud-Anbieter, der den Dienst erbringt, ist in der Regel Auftragsverarbeiter, der die Daten in Ihrem Auftrag verarbeitet. Wer Daten in die Cloud verlagert, gibt die Verantwortung nicht an den Anbieter ab. Lädt die Leitung der Buchhaltung die Lohnabrechnung in eine HR-Software in der Cloud, bleibt die Lohnabrechnung in der Verantwortung des Unternehmens. Kommt es zu einem Datenleck, fragen die Beschäftigten zuerst den Arbeitgeber. Das Gesetz macht den Verantwortlichen gemeinsam mit der Stelle, die die Daten in seinem Auftrag verarbeitet, für die Sicherheitsmaßnahmen verantwortlich; um die Grenze dieser gemeinsamen Verantwortung zu ziehen, wird ein [schriftlicher Vertrag mit dem Auftragsverarbeiter](https://www.corex360.com/de/glossar/auftragsverarbeitungsvertrag) empfohlen. Der Vertrag legt fest, zu welchem Zweck und mit welchen Sicherheitsmaßnahmen der Anbieter die Daten verarbeitet und was mit den Daten nach Vertragsende geschieht. Ohne Vertrag bleibt auch unklar, wo die Verantwortung beginnt und endet. Wie die Daten zurückkommen, wenn Sie den Anbieter wechseln wollen, gehört ebenfalls in diesen Vertrag; sonst bleiben die Daten womöglich bei einem Anbieter, dessen Vertrag ausgelaufen ist. Fragen Sie auch, ob die Cloud-Software weitere Unterauftragsverarbeiter nutzt. Die Anwendung kann bei einer Firma liegen, das Backup bei einer anderen, der E-Mail-Versand bei einer dritten; jede Station, die die Daten passieren, sollte im Vertrag sichtbar sein. ** 03. ## Sinkt die Verantwortung auf dem eigenen Server? ** Kurze Antwort Auf dem eigenen Server wird die Verantwortung nach KVKK nicht kleiner, sie verlagert sich: Die Frage der Übermittlung ins Ausland kann einfacher werden, aber sämtliche Sicherheitsmaßnahmen gehen auf Ihr eigenes Team über. Cloud oder eigener Server nach KVKK | Thema | Cloud | Eigener Server | |---|---|---| | Verantwortlicher (Datenschutz) | Ihr Unternehmen; der Anbieter ist in der Regel Auftragsverarbeiter in Ihrem Namen | Ihr Unternehmen | | Übermittlung ins Ausland | Steht der Server im Ausland, kann das als Übermittlung gelten und unterliegt eigenen Bedingungen | Verlassen die Daten das Land nicht, kann diese Frage einfacher werden | | Sicherheitsmaßnahmen | Sie tragen die Verantwortung gemeinsam mit dem Auftragsverarbeiter; die Grenze zieht ein schriftlicher Vertrag | Alles geht an Ihr eigenes Team über | | Die erste Frage | In welchem Land liegen die Daten, wer greift zu, wie werden sie bei Vertragsende übergeben? | Wer sieht welchen Datensatz, wird der Zugriff protokolliert, wo liegt die Sicherung? | Das Gesetz erwartet vom Verantwortlichen technische und organisatorische Maßnahmen, um ein angemessenes Sicherheitsniveau zu gewährleisten. Auf Ihrem eigenen Server liegen all diese Maßnahmen bei Ihnen: wer welchen Datensatz sieht, ob Zugriffe protokolliert werden, wohin die Sicherung geht und wann Patches eingespielt werden. Beispielszenario: Stellen Sie sich das Büro eines Bauunternehmens vor. Der Server steht in einem Schrank unter der Treppe, das Backup auf einer externen Festplatte im selben Schrank. Alle sehen die Personalakten, weil nie Berechtigungen festgelegt wurden. Die Daten verlassen das Land nicht, aber geschützt sind sie deshalb nicht. Der eigentliche Vorteil des eigenen Servers ist sichtbare Kontrolle: Sie sehen direkt, wer sich am Server anmeldet und wo die Sicherung liegt. Dieser Vorteil wirkt nur, wenn die Maßnahmen aufgeschrieben und regelmäßig geprüft werden. Deshalb schreibt ein Unternehmen, das auf den eigenen Server wechselt, zuerst die Berechtigungstabelle: welche Rolle welchen Datensatz sieht, wer exportieren und wer löschen darf. ** 04. ## Welche Fragen sollten Sie dem Anbieter stellen? ** Kurze Antwort Die wichtigsten Fragen an einen Cloud-Anbieter: In welchem Land und auf wessen Infrastruktur liegen die Daten, wohin geht die Sicherung, wer hat Zugriff, wird der Zugriff protokolliert, und wie werden die Daten bei Vertragsende übergeben? - In welchem Land und auf wessen Infrastruktur liegen Datenbank und Dateien? - Liegen die Daten im Ausland: Auf welcher Grundlage beruht die Übermittlung, zum Beispiel auf einem Standardvertrag? - Wohin geht die Sicherung, ist sie verschlüsselt, und wurde eine Wiederherstellung getestet? - In welchen Fällen dürfen Mitarbeiter des Anbieters auf die Daten zugreifen, und wird dieser Zugriff protokolliert? - Liegen Auftragsverarbeitungsvertrag und Datenschutzhinweis bei der Einrichtung bereit? - In welchem Format und wie werden die Daten übergeben, wenn der Vertrag endet? - Wie und wann werden Sie bei einer Datenschutzverletzung informiert? Die letzte Frage wirkt nebensächlich, ist es aber nicht. Das Gesetz verpflichtet den Verantwortlichen, bei einer Datenpanne die Datenschutzbehörde (Kişisel Verileri Koruma Kurulu) und die betroffenen Personen zu benachrichtigen. Informiert Sie der Anbieter spät, können Sie diese Pflicht nicht rechtzeitig erfüllen; wie Sie benachrichtigt werden, sollte deshalb im Vertrag stehen. Stellen Sie diese Fragen in der Kaufphase, nicht nach der Vertragsunterzeichnung. Verlangen Sie die Antworten schriftlich; eine mündliche Zusicherung ist kein Dokument, das Sie bei einer Prüfung oder auf eine Anfrage hin vorlegen können. ** 05. ## Wo werden Datenschutzhinweise, Einwilligungen und Betroffenenanfragen verwaltet? ** Kurze Antwort Unabhängig vom Hosting wird die Person informiert, wo nötig eine ausdrückliche Einwilligung eingeholt und der Antrag einer betroffenen Person protokolliert beantwortet. Informieren heißt, der Person zu erklären, welche Daten zu welchem Zweck verarbeitet werden und an wen sie übermittelt werden können. Eine ausdrückliche Einwilligung ist nicht für jede Verarbeitung nötig; greift eine andere gesetzliche Grundlage, kann sie entbehrlich sein. Auch die Pflicht zur Eintragung in das [Register der Verantwortlichen (VERBİS)](https://www.corex360.com/de/glossar/verbis-register-fuer-verantwortliche) hängt von der Lage des Unternehmens ab, nicht vom Speicherort der Daten, und es gibt Ausnahmen. Fragt ein Kunde, welche seiner Daten für eine alte Aktion gespeichert wurden, und müssen für die Antwort mehrere getrennte Systeme durchsucht werden, liegt das Problem weniger im Hosting als in der Zerstreuung. Stehen die Daten in einem Datensatz, wird auch die Anfrage an einer Stelle beantwortet. Mit welcher Aufgabe das Aufräumen beginnt, ist Thema des Beitrags [Digitalisierung in KMU](https://www.corex360.com/de/blog/kmu-digitalisierung). Was eine betroffene Person bei ihrer Anfrage wissen will, ist oft einfach: welche meiner Daten gespeichert werden, warum und mit wem sie geteilt wurden. In verstreuten Systemen kann die Antwort darauf zu einer tagelangen Suche werden. KVKK: Was das Gesetz verlangt, was Corex360 bietet, was bei Ihnen bleibt | Was das Gesetz verlangt | Was Corex360 bietet | Was bei Ihnen bleibt | |---|---|---| | Technische und organisatorische Maßnahmen für ein angemessenes Sicherheitsniveau (KVKK Art. 12 Abs. 1) | Der Zugriff ist rollenbasiert; jeder Nutzer sieht nur die Datensätze, die zu seiner Rolle gehören. Corex360 Security protokolliert Anmeldungen, Geräte und Zugriffe. | Rollen festlegen, den Zugang ausscheidender Personen sperren, interne Kontrollen durchführen (Art. 12 Abs. 3). | | Voraussetzungen nach Art. 9 für Übermittlungen ins Ausland | Gehostet wird in einem unternehmenseigenen Bereich der Corex360 Cloud oder auf Ihrem eigenen Server; die Wahl steht im Vertrag. In der Cloud gehen die an X AI geschriebenen Prompts an den KI-Anbieter, den Sie auswählen; bei einer Installation auf dem eigenen Server arbeitet X AI mit einem lokalen Modell. | Die Rechtsgrundlage der Übermittlung festlegen und den KI-Anbieter danach auswählen. | | Auskunftsrecht der betroffenen Person (Art. 11 Abs. 1) | Die Module nutzen denselben Kundendatensatz; Korrespondenz, Angebote und Verträge einer Person liegen auf derselben Karte. | Die Anfrage entgegennehmen, fristgerecht beantworten und die Antwort dokumentieren. | | Eintragung in das Register der Verantwortlichen (Art. 16) | Keine Entsprechung; die Registereintragung ist Sache des Unternehmens, nicht der Software. | Den Befreiungsstatus anhand der Beschlüsse auf kvkk.gov.tr prüfen und sich bei Bedarf registrieren. | ** 06. ## In welcher Umgebung werden die Daten in Corex360 gehalten? ** Kurze Antwort In Corex360 haben Sie die Wahl: ein unternehmenseigener Bereich in Corex360 Cloud oder Ihr eigener Server; in beiden Fällen arbeitet dieselbe Sicherheitsschicht. In Corex360 werden Anmeldung, Gerät, Download und Rechteänderung protokolliert; der Zugriff ist rollenbasiert. Personenbezogene Daten werden im Rahmen des KVKK verarbeitet. Alle diese Fakten stehen auf der Seite [Corex360 Sicherheit und KVKK](https://www.corex360.com/de/sicherheit). Der Zugriff ist rollenbasiert; Lohn- und personenbezogene Daten sehen nur diejenigen, deren Rolle es erlaubt. Auf die Liste der Fragen an den Anbieter gehören auch Exportformate und die Übergabe der Daten bei Vertragsende. Verlangt Ihre Unternehmensrichtlinie, die Daten in Ihrer eigenen Infrastruktur zu halten, stehen die Einzelheiten auf der Seite [Auf Ihrem eigenen Server betreiben](https://www.corex360.com/de/loesungen/eigener-server). Bringen Sie die Fragen, wo die Daten liegen, wer darauf zugreifen kann und wie sie übergeben werden, zur Demo mit; die Antworten für Ihre Lage schreiben wir gemeinsam auf. Stellen Sie diese Fragen sowohl für Corex360 Cloud als auch für die Option mit eigenem Server; in beiden Fällen sollten die Antworten schriftlich vorliegen. ## Ressourcen - [Türkische Datenschutzbehörde, Entscheidungen des Datenschutzrats](https://www.kvkk.gov.tr/Icerik/5419/kurul-kararlari) Zuletzt geprüft 24. September 2026 ## Wie ist diese Seite entstanden? - Verfasst von: [Şevket Erer](https://www.corex360.com/de/blog#blog-hakkinda), Mitgründer, KI-Spezialist - Quellen: Angaben zu Rechtsvorschriften, Behörden und Herstellern stammen aus den Primärquellen in der Liste Quellen auf dieser Seite; bei jeder Quelle steht das Datum der letzten Prüfung. - Produktinformationen: Aussagen über Corex360 beruhen auf den Produktfaktenblättern des Unternehmens; nicht bestätigte Funktionen werden nicht beschrieben. - Einsatz von KI: Den Text schreibt das Corex360-Team; KI-Werkzeuge werden für Entwürfe und Übersetzungen genutzt. [Redaktionelle Grundsätze](https://www.corex360.com/de/ueber-uns#yayin-ilkeleri) - Daten: erste Veröffentlichung 23. September 2026 , zuletzt aktualisiert 28. September 2026 . [Grundsatz für Korrekturen](https://www.corex360.com/de/ueber-uns#duzeltmeler) ## Häufige Fragen ** 01 Was ist nach dem KVKK der Unterschied zwischen Cloud und eigenem Server? ** Der Unterschied liegt weniger im physischen Speicherort der Daten als darin, wer sie verarbeitet, wer darauf zugreift und wohin sie übermittelt werden. In beiden Fällen ist das Unternehmen, das Zweck und Mittel der Verarbeitung festlegt, der Verantwortliche. Diese Antwort ist keine Rechtsberatung. ** 02 Verlangt das KVKK, dass Daten in der Türkei gespeichert werden? ** Grundsätzlich nein; die Übermittlung personenbezogener Daten ins Ausland unterliegt jedoch eigenen gesetzlichen Bedingungen. In manchen Branchen wie Bank- und Zahlungsdiensten können gesonderte Vorschriften eine Speicherung im Inland verlangen. ** 03 Wird der Cloud-Anbieter zum Verantwortlichen im Sinne des Datenschutzes? ** In der Regel nicht. Der Anbieter ist in den meisten Fällen Auftragsverarbeiter, der die Daten in Ihrem Auftrag verarbeitet; Verantwortlicher bleiben Sie. Deshalb wird empfohlen, mit dem Anbieter einen schriftlichen Auftragsverarbeitungsvertrag zu schließen. ** 04 Wie lange dürfen personenbezogene Daten aufbewahrt werden? ** Das Gesetz verlangt, dass personenbezogene Daten gelöscht, vernichtet oder anonymisiert werden, sobald der Zweck der Verarbeitung entfällt; die Frist richtet sich nach den einschlägigen Vorschriften und dem Verarbeitungszweck. Diese Antwort ist keine Rechtsberatung. ** 05 Wie werden Daten an einen Cloud-Anbieter im Ausland übermittelt? ** Seit der 2024 in Kraft getretenen Gesetzesänderung folgt die Übermittlung ins Ausland einer Stufenordnung: zuerst ein Angemessenheitsbeschluss der Datenschutzbehörde, fehlt dieser, geeignete Garantien wie Standardverträge oder verbindliche interne Datenschutzvorschriften. Gibt es auch diese nicht, ist eine Übermittlung nur in eng begrenzten Einzelfällen möglich, und eine ausdrückliche Einwilligung kann erst auf dieser letzten Stufe als Grundlage dienen. Diese Antwort ist keine Rechtsberatung. ✳ **Sehen Sie dieses Problem in Ihrer eigenen Arbeit gelöst** Mit ein paar kurzen Fragen hören wir uns Ihr Geschäft an; die Demo bereiten wir mit Ihren Kanälen vor, live und online. [Demo anfragen](https://www.corex360.com/de/kontakt?konu=bi#form)[WhatsApp](https://wa.me/905321323288) Verwandte Beiträge ## Lesen Sie weiter. [Zurück zum Blog](https://www.corex360.com/de/blog) [On-Premise Was ist On-Premise-CRM? Was es wirklich heißt, Daten im Haus zu halten On-Premise-CRM läuft auf dem eigenen Server. Wo liegen die Daten wirklich, wer übernimmt Einrichtung und Updates, warum kommt Sicherheit nicht von selbst? Datum 23. September 2026 Beitrag lesen 01](https://www.corex360.com/de/blog/was-ist-on-premise-crm)[Business Intelligence Was ist ein KPI-Dashboard? Die erste Ansicht, die eine Führungskraft morgens öffnet Ein KPI-Dashboard zeigt mit Schwellenwerten und Verantwortlichen auf einem Bildschirm, wo ein Unternehmen steht. Was gehört hinein, warum schaut bald keiner? Datum 23. September 2026 Beitrag lesen 02](https://www.corex360.com/de/blog/was-ist-ein-kpi-dashboard)[Business Intelligence Managementbericht oder Entscheidungsbildschirm: wo der Excel-Bericht endet Ein Managementbericht fasst den Zeitraum für die Entscheider zusammen; ein Excel-Bericht erstarrt im Moment seiner Erstellung. Manches kann Excel dennoch gut. Datum 23. September 2026 Beitrag lesen 03](https://www.corex360.com/de/blog/management-reporting-ohne-excel)[Assistent Was ein KI-Assistent im CRM tut und was nicht Ein KI-Assistent im CRM liest, fasst zusammen, entwirft und fasst nach; die Entscheidung bleibt bei Ihnen. Fragen Sie vorher nach dem Risiko falscher Antworten. Datum 23. September 2026 Beitrag lesen 04](https://www.corex360.com/de/blog/ki-assistent-im-crm)[Assistent Was ist eine Regel-Engine in Geschäftsprozessen: Erinnerung, Zuweisung, Freigabe Eine Regel-Engine macht aus Arbeit im Gedächtnis eine schriftliche Regel: Auslöser, Bedingung, Aktion. Was im Vertrieb zur Regel wird, wo die Freigabe bleibt. Datum 23. September 2026 Beitrag lesen 05](https://www.corex360.com/de/blog/was-ist-eine-regel-engine)[Dokumente Was ist ein Dokumentenmanagementsystem? Dateien am Kundendatensatz Ein Dokumentenmanagementsystem bewahrt Dokumente auf, macht sie auffindbar und bindet den Zugriff an Rechte. Warum reicht ein gemeinsamer Ordner nicht? Datum 23. September 2026 Beitrag lesen 06](https://www.corex360.com/de/blog/was-ist-ein-dokumentenmanagementsystem)[Dokumente Vertragsarchiv führen: unterschriebenes Dokument, Termine und Zugriff Ein Vertragsarchiv hält den unterschriebenen Vertrag, Anlagen und Termine mit protokolliertem Zugriff. Handschrift, E-Signatur, Dateinamen, Fristen, Rechte. Datum 25. September 2026 Beitrag lesen 07](https://www.corex360.com/de/blog/vertragsarchiv-fuehren)[Digitalisierung Unternehmenssoftware mit der KOSGEB-Förderung für digitale Transformation kaufen: wer gefördert wird, was verlangt wird Die KOSGEB-Förderung für digitale Transformation bezuschusst Kreditzinsen kleiner und mittlerer Hersteller für Software und Maschinen. Kriterien, Schritte. Datum 28. September 2026 Beitrag lesen 08](https://www.corex360.com/de/blog/kosgeb-foerderung-digitale-transformation) ## Verwandte Fragen **[Muss sich jedes Unternehmen in VERBİS eintragen?](https://www.corex360.com/de/glossar/verbis-register-fuer-verantwortliche#sss)** Grundsätzlich tragen sich natürliche und juristische Personen ein, die personenbezogene Daten verarbeiten (KVKK Art. 16 Abs. 2). Der Datenschutzrat kann einzelne Verantwortliche anhand objektiver Kriterien ausnehmen; da sich die Kriterien durch Entscheidungen des Datenschutzrats ändern können, sollte die aktuelle Entscheidung auf kvkk.gov.tr geprüft werden. War diese Seite hilfreich?