Mitteilung über Integratoren von kommerziellen elektronischen Kommunikationsmanagementsystemen

BEKANNTMACHUNG ÜBER INTEGRATOREN VON KOMMERZIELLEN ELEKTRONISCHEN KOMMUNIKATIONSSYSTEMEN VERÖFFENTLICHT!

Die vom Handelsministerium erstellte Bekanntmachung über Integratoren für kommerzielle elektronische Nachrichten

(„Bekanntmachung“) wurde am 18.09.2024 im Amtsblatt Nr. 32666

veröffentlicht.

Geltungsbereich der Bekanntmachung

Die Bekanntmachung regelt die Speicherung der Zustimmungs- und Ablehnungsdaten der Empfänger beim Versand kommerzieller elektronischer Nachrichten im Verwaltungssystem für kommerzielle elektronische Nachrichten („IYS“), die Einholung der Zustimmung über das IYS und die Ausübung des Ablehnungsrechts sowie die Befugnisse der von den Dienstleistern autorisierten Integratoren und die Aufhebung dieser Befugnisse.

Begriffsbestimmungen

Integrator: Ein vom Handelsministerium („Ministerium”) autorisiertes Unternehmen, das Dienstleister bei der Speicherung der Zustimmungs- und Ablehnungsdaten der Empfänger im IYS, der Einholung der Zustimmung über das IYS und der Ausübung des Ablehnungsrechts im Zusammenhang mit dem Versand kommerzieller elektronischer Nachrichten unterstützt.

Dienstleister: Natürliche oder juristische Personen, die kommerzielle elektronische Nachrichten versenden oder in deren Namen Nachrichten versendet werden und die verpflichtet sind, sich beim IYS zu registrieren.

Kommerzielle elektronische Nachrichten: Daten, Ton- und Bildnachrichten, die mit Hilfe von Telefonen, Callcentern, Faxgeräten, automatischen Anrufmaschinen, intelligenten Sprachaufzeichnungssystemen, E-Mail, SMS-Diensten usw. in elektronischer Form übermittelt und zu kommerziellen Zwecken versendet werden.

Bedingungen für die Integrationsberechtigung

Gemäß der Bekanntmachung ist es für Dienstleister zwingend erforderlich, eine Genehmigung vom Ministerium zu erhalten, um als Integrator tätig werden zu können, wenn es um die Registrierung von Genehmigungen und Ablehnungen kommerzieller elektronischer Nachrichten im IYS oder die Durchführung dieser Vorgänge über das IYS geht. In diesem Zusammenhang können die entsprechenden Dienstleistungen mit Inkrafttreten der Bekanntmachung am Tag ihrer Veröffentlichung von Organisationen erbracht werden, die vom Ministerium eine Genehmigung erhalten haben.

Weitere Voraussetzungen für die Erlangung der Integrationsberechtigung im Rahmen der Bekanntmachung sind:

• Gründung als Aktiengesellschaft oder Gesellschaft mit beschränkter Haftung gemäß dem türkischen Handelsgesetzbuch,
• Mindestens eine Million türkische Lira eingezahltes Kapital,
• Vollständige Namensaktien bei Aktiengesellschaften,
• Die Gesellschafter und Geschäftsführer des Unternehmens dürfen nicht wegen Bestechung, Diebstahl, Betrug, Fälschung, Untreue, betrügerischer Insolvenz, Ausschreibungsbetrug, Leistungsbetrug, Geldwäsche aus Straftaten, Terrorismusfinanzierung, Schmuggel, Steuerhinterziehung und Computerkriminalität verurteilt worden sein.
• Die Geschäftsbücher und Aufzeichnungen müssen regelmäßig und nachvollziehbar geführt werden.
• Das Unternehmen muss mindestens fünf Mitarbeiter beschäftigen, darunter Netzwerk- und Netzwerksicherheitsexperten, Datenbankexperten, Systemexperten, Qualitätssystemexperten und Softwareentwicklungsexperten, die entweder direkt oder über externe Dienstleister beschäftigt werden.
• ISO 22301 Zertifikat für Business Continuity Management Systeme und ISO/IEC 27001 Zertifikat für Informationssicherheits-Managementsysteme sowie ISO/IEC 27701 Zertifikat für Datenschutz-Managementsysteme, ausgestellt von einer durch die Türkische Akkreditierungsstelle („TÜRKAK“) akkreditierten Zertifizierungsstelle,
• Vorbehaltlich einer Frist von höchstens drei Monaten vor dem Antragsdatum muss ein Penetrationstest von einer vom Türkischen Normungsinstitut („TSE“) zugelassenen Organisation durchgeführt worden sein, die Penetrationstests der Stufen A oder B durchführt.
• Die technische Infrastruktur muss über eine redundante Struktur verfügen, die eine unterbrechungsfreie Geschäftskontinuität rund um die Uhr an sieben Tagen in der Woche bei der Genehmigung und Ablehnung kommerzieller elektronischer Nachrichten gewährleistet, über einen Protokollierungsmechanismus verfügen, vor unbefugtem Zugriff geschützt sein und alle darin verwendeten Informationssysteme müssen auf eine festgelegte konsistente Zeitquelle eingestellt sein und synchron arbeiten.
• Das für den Integrationsdienst verwendete Informationsverarbeitungssystem, die Software, die Hardware und die Serverinfrastruktur müssen sich in einer Datenbank innerhalb der Grenzen der Republik Türkei befinden.

Erteilung der Integrationsberechtigung

Unternehmen, die die oben genannten Bedingungen erfüllen, müssen mit dem im Anhang der Bekanntmachung enthaltenen Antragsformular einen Antrag bei der IYS A.Ş. („Organisation“[1]) stellen, die gemäß der Verordnung über kommerzielle Kommunikation und kommerzielle elektronische Nachrichten („Verordnung“) vom Ministerium zur Einrichtung und Verwaltung eines IYS ermächtigt wurde. Die betreffende Organisation prüft die Anträge hinsichtlich Form und Inhalt vorab und leitet die geeigneten Anträge innerhalb von 30 Tagen an das Ministerium weiter. Nach Prüfung durch das Ministerium wird den Aktiengesellschaften oder Gesellschaften mit beschränkter Haftung, die die Bedingungen erfüllen, die Integratorberechtigung erteilt.

Beziehung zwischen Integrator und Dienstleister

Im Rahmen der Bekanntmachung sind Integratoren verpflichtet, dem Dienstleister während der Dauer der Integrationsdienstleistung Zugang zu den gespeicherten Daten zu gewähren und die technischen Voraussetzungen dafür zu schaffen, dass diese Daten nach Beendigung der Integrationsdienstleistung oder nach Entzug der Integrationsberechtigung vom Dienstleister ohne Angabe von Gründen kostenlos und effektiv übertragen werden können. In diesem Zusammenhang wird festgelegt, dass die Anforderungen der Dienstleister hinsichtlich des Zugriffs auf Daten und der Datenübertragung vom Integrator innerhalb von spätestens fünfzehn Tagen erfüllt werden müssen.

Pflichten des Integrators

1. Konformität der Integrationsdienstleistung mit den gesetzlichen Bestimmungen: In Artikel 8 der Mitteilung ist festgelegt, dass der Integrator verpflichtet ist, seine Dienstleistungen in Übereinstimmung mit den einschlägigen Gesetzen, Verordnungen, Mitteilungen und Vertragsbestimmungen zu erbringen und dass er nicht in einer Weise handeln darf, die den Interessen der Empfänger, Dienstleister und der Öffentlichkeit zuwiderläuft oder ihnen schadet.
2. Technische Verpflichtungen: In Artikel 9 der Bekanntmachung wird der Integrator verpflichtet, Vorgänge zu vermeiden, die die Sicherheit des IYS gefährden, die Netzwerk- und Systemsicherheit gegen unbefugten Zugriff und Cyberangriffe zu gewährleisten, über Backup- und Notfallwiederherstellungspläne zu verfügen und alle Vorgänge aufzuzeichnen. Darüber hinaus wird dem Ministerium die Befugnis eingeräumt, zusätzliche Verpflichtungen festzulegen und die Einhaltung nationaler und internationaler Standards vorzuschreiben.
3. Schutz personenbezogener Daten: In Artikel 10 der Verordnung wird der Integrator verpflichtet, die erforderlichen technischen und administrativen Maßnahmen zu ergreifen, um die im Rahmen der von ihm angebotenen Dienste erhobenen personenbezogenen Daten zu schützen und unrechtmäßigen Zugriff sowie eine zweckfremde Verwendung zu verhindern. Wenn der Dienstleister personenbezogene Daten vom Integrator verarbeitet, wird festgelegt, dass er gemeinsam mit dem Integrator für die Ergreifung dieser Maßnahmen mitverantwortlichist.
4. Schutz von Geschäftsgeheimnissen: In Artikel 11 der Verordnung wird der Integrator für die Sicherheit und Vertraulichkeit der Geschäftsgeheimnisse des Dienstleisters verantwortlich gemacht. Es ist geregelt, dass diese Informationen nicht für andere Zwecke verwendet werden dürfen und ohne schriftliche Genehmigung des Dienstleisters nicht an Dritte außerhalb des Ministeriums und der zuständigen öffentlichen Einrichtungen weitergegeben werden dürfen.
5. Aufbewahrungspflicht für Aufzeichnungen: In Artikel 12 der Mitteilung wird geregelt, dass der Integrator, wenn er die Zustimmungs- und Ablehnungsinformationen der Empfänger aufbewahrt, gemeinsam mit dem Dienstleister gesamtschuldnerisch für die Vorlage dieser Informationen verantwortlich ist.

• Entzug der Integrationsberechtigung

Die betreffende Regelung sieht vor, dass dem Integrator im Falle eines Verstoßes gegen seine Verpflichtungen oder der Nichteinhaltung der festgelegten Bedingungen eine Frist von 30 Tagen eingeräumt wird, um den Verstoß zu beheben. Diese Frist kann auf Antrag einmalig um weitere 30 Tage verlängert werden.

Wenn jedoch innerhalb dieser Fristen die Verstöße nicht behoben werden oder die Bedingungen nicht erfüllt werden können, wird die Befugnis des Integrators widerrufen und dies wird von der Organisation unverzüglich über das IYS oder schriftlich den Dienstleistern, für die der Integrator tätig ist, mitgeteilt.

Der Integrator, dessen Zulassung widerrufen wurde, darf ab dem Datum des Widerrufs 30 Tage lang nur seine laufenden Geschäfte und Vorgänge ausführen, nach Ablauf dieser Frist wird der Dienst eingestellt. Darüber hinaus kann der Integrator, dessen Zulassung widerrufen wurde, ein Jahr lang keinen neuen Antrag stellen. Diese Regel gilt auch für Unternehmen, die von denselben Personen geführt werden oder deren Gesellschafter sie sind.

Integration des Dienstleisters in das IYS

Gemäß dieser Regelung kann der Dienstleister im Rahmen des von der Behörde abgeschlossenen Vertrags seine eigenen IT-Systeme in das IYS integrieren oder die Informationen über die Zustimmung zu oder Ablehnung von kommerziellen elektronischen Nachrichten direkt über das IYS speichern. Wenn diese Vorgänge direkt über das IYS erfolgen, obliegt die Pflicht zum Nachweis der erhaltenen Zustimmung dem Integrator.

• Kontroll- und Strafbestimmungen

Gemäß dieser Regelung

1. Das Ministerium ist befugt, die Aktivitäten und Vorgänge der autorisierten Integratoren zu kontrollieren.
2. Die Integratoren sind verpflichtet, mindestens einmal jährlich einen Penetrationstest durch eine in der Bekanntmachung genannte, von der TSE zugelassene Prüfstelle durchführen zu lassen und nach Durchführung der erforderlichen Sicherheitsmaßnahmen einen Verifizierungstest durchführen zu lassen. Das Ministerium oder die Organisation kann vom Integrator verlangen, die genannten Tests auch dann durchführen zu lassen, wenn seit dem letzten Test noch kein Jahr vergangen ist. Die Testergebnisse müssen vom Integrator spätestens innerhalb von 15 Tagen an die Organisation übermittelt werden.
3. Wer gegen die Bekanntmachung verstößt, kann gemäß Artikel 12 des Gesetzes Nr. 6563 über die Regulierung des elektronischen Handels mit Verwaltungsstrafen belegt werden.

• Übergangsphase

Gemäß dieser Regelung können diejenigen, die Dienstleistungen im Bereich der Genehmigung und Ablehnung kommerzieller elektronischer Nachrichten erbringen möchten, ab dem Datum des Inkrafttretens der Bekanntmachung mit den erforderlichen Unterlagen einen Antrag bei der Behörde stellen. Wer innerhalb von sechs Monaten nach Inkrafttreten der Bekanntmachung keine Integrationsgenehmigung vom Ministerium erhalten hat, kann keine kommerziellen elektronischen Nachrichten im Namen von Dienstleistern versenden und keine Transaktionen über das IYS durchführen.

Kommentar von GRC LEGAL:

Bekanntlich war es bereits vor Inkrafttreten der entsprechenden Bekanntmachung möglich, die Nachrichtenbestätigungen der Empfänger über sogenannte IYS-Partner zu verwalten, um kommerzielle elektronische Nachrichtenprozesse durchzuführen. Mit der Bekanntmachung wurden die auf der Website des IYS aufgeführten Bedingungen für eine Partnerschaft erweitert, der Prozess strengeren Bedingungen unterworfen und versucht, Transparenz in der elektronischen Kommunikation zu gewährleisten.

Angesichts der Festlegung in der Mitteilung, dass die entsprechenden Dienstleistungen ohne Integrationsberechtigung nicht erbracht werden können, stellt sich die Frage, ob Dienstleister verpflichtet sind, mit Integratoren zusammenzuarbeiten. Da die Mitteilung keine klare Regelung zu diesem Thema enthält, scheint es möglich, dass Dienstleister die IYS-Prozesse auch ohne Integratoren manuell durchführen können.

Diese für Integratoren eingeführten Regelungen dienen zwar dem Zweck, eine sicherere Kommunikationsumgebung zu schaffen, stellen aber gleichzeitig einen neuen Standard für kommerzielle Kommunikationsprozesse dar. Die Tatsache, dass die Mitteilung mit anderen einschlägigen Rechtsvorschriften wie dem Gesetz zum Schutz personenbezogener Daten und dem Gesetz zur Regulierung des elektronischen Handels im Einklang steht, ist ein wichtiger Schritt zur Gewährleistung der interdisziplinären Kohärenz der Vorschriften.

[1] https://dergipark.org.tr/en/download/article-file/1191143