IT-Outsourcing aus der Türkei: Anbieterauswahl

Für IT-Outsourcing aus der Türkei entscheiden Teamqualifikation, Vertrag und Datenschutz, nicht der Stundensatz: vor der Beauftragung einen bezahlten Pilotauftrag starten, die Rechte an Code und Dokumentation, die Pflichten aus KVKK und DSGVO sowie den Ausstieg schriftlich regeln und eine Währungsklausel ergänzen — Lirainflation und Wechselkurs verschieben Budgets mitten im Projekt, und ein Vertrag ohne Währungsmechanismus wird stillschweigend teurer oder wird billiger geliefert, beides stand so nicht in Ihrer Planung.

Warum IT-Outsourcing aus der Türkei?

Nearshore, in einem Satz: Auslagern in ein Land, das zeitlich und reisemäßig so nah liegt, dass die tägliche Zusammenarbeit funktioniert. Für einen europäischen Einkäufer liegt die Türkei in einer Überschneidung der Arbeitszeiten, in der Live-Termine zum Alltag gehören statt zur Ausnahme, und das Land ist nah genug für einen Kick-off- oder Workshop-Flug, ohne dass auf einer der beiden Seiten ein Tag mit Jetlag anfällt.

Drei praktische Gründe, warum Einkäufer das Land auf die Shortlist setzen:

Zeitliche Überschneidung. Die Arbeitszeiten in der Türkei überlappen sich weitgehend mit West- und Mitteleuropa sowie mit dem Golf und der Levante; wer in Berlin oder Dubai vormittags arbeitet, hat in Istanbul Nachmittag — und in diesem Fenster werden Fragen noch am selben Tag beantwortet statt am nächsten.

Ingenieurstärke und Sprache. Die Türkei hat einen großen Software-Arbeitsmarkt mit den Schwerpunkten Istanbul, Ankara und Izmir, dessen Teams täglich auf Englisch arbeiten; für Einkäufer, die gelegentlich Präsenztermine wollen, sind Türkisch, Deutsch und Arabisch ebenfalls verbreitet.

Kostenposition. Die Tagessätze liegen typischerweise zwischen Offshore-Preisen aus Süd- und Südostasien und Agentursätzen aus Westeuropa; interessant für den Einkauf ist nicht die Zahl pro Stunde, sondern was diese Zahl kauft — wie viele erfahrene Entwickler im Team sitzen, die Review-Disziplin, die Dokumentationsgewohnheiten.

Das ehrliche Fazit: Nichts davon macht einen türkischen Anbieter automatisch passend. Es macht das Land nur prüfenswert nach denselben Kriterien, die man überall sonst anlegt — und diese Kriterien sind der Rest dieser Seite.

Modelle der Zusammenarbeit

Modell	Geeignet für	Hauptrisiko	Ergänzend nötige Steuerung
Dediziertes Team	Eine sich weiterentwickelnde Roadmap, langlebige Produkte, kontinuierliche Lieferung	Die Kosten steigen, wenn sich das Team an die Arbeit gewöhnt hat	Kapazitäts-Reviews, ein definierter Eskalationsweg, ein benannter Verantwortlicher auf beiden Seiten
Fester Umfang	Gut spezifizierte Projekte mit stabilen Anforderungen	Streit über den Umfang; alles Nichtdefinierte wird zur Verhandlung	Ein schriftlicher Umfang mit Abnahmekriterien und einer Änderungsprozedur
Zeit und Material	Arbeit, die sich entwickelt, wo Geschwindigkeit mehr zählt als eine feste Zahl	Budgetdrift ohne sichtbare Fortschrittssignale	Wöchentliches Budget-Reporting, fester Demo-Rhythmus, vereinbarter Verbrauchsplan
Hybrid aus Team und festen Blöcken	Produktarbeit, gemischt mit definierten Liefergegenständen	Zwei Steuerungsrhythmen gleichzeitig zu halten	Eine Berichtslinie; die festen Blöcke wirklich begrenzt halten

Die Modellwahl selbst ist weniger wichtig als die Disziplin darum herum: Ein Festpreisprojekt mit brauchbarer Änderungsprozedur schlägt ein Festpreisprojekt, das so tut, als würde sich nichts ändern, und ein Team auf Zeit und Material mit ehrlichem Wochenreport schlägt ein günstigeres, in das Sie nicht hineinsehen können.

Wie wählt man einen Anbieter? Die 15-Punkte-Checkliste

Relevante abgeschlossene Projekte — bitte Sie um zwei oder drei Vorhaben, die Ihrem in Größe und Branche gleichen, und um die Rolle, die das Team darin selbst gespielt hat.
Wer den Code schreibt — eigenes Team oder Nachunternehmer; und wenn ausgelagert wird, wer vertraglich Ihnen gegenüber verantwortlich ist.
Die angebotene Teamzusammensetzung — Rollen, der Mix aus Junior- und Senior-Profilen und wer der feste Ansprechpartner im Tagesgeschäft ist.
Englisch in der Praxis — keine Behauptung im Profil: Führen Sie das erste Gespräch auf Englisch und beurteilen Sie die fachliche Diskussion, nicht den Smalltalk.
Zugesicherte Zeitüberschneidung — welche Stunden für die Live-Zusammenarbeit garantiert sind und welche Arbeit per Design asynchron läuft.
Rechteübertragung schriftlich — dass alle Rechte an Code, Dokumentation und Ableitungen auf Sie übergehen, bereits während der Zusammenarbeit und nicht erst am Ende.
NDA und Vertraulichkeit — unterschrieben, bevor ins technische Detail gegangen wird, und sie muss das Personal einschließen, nicht nur das Unternehmen.
Standpunkt zum Datenschutz — ob nach KVKK, DSGVO oder beidem gearbeitet wird, wer die zuständige Datenschutzansprechperson ist; fragen Sie nach und gleichen Sie die Antworten später mit Dokumenten ab.
Sicherheitspraxis — der Status zu ISO/IEC 27001 als Frage, der sichere Entwicklungszyklus sowie der Umgang mit Abhängigkeiten und Schwachstellen.
Code- und Review-Standards — Disziplin bei der Versionsverwaltung, Code-Reviews, automatisierte Tests und was „fertig“ vor dem Zusammenführen bedeutet.
Übergabe und Dokumentation — welche Dokumentation es in jeder Phase gibt und wo sie liegt.
Referenzen, die Sie anrufen können — eine benannte Person bei einem bisherigen Kunden, die Ihr Gespräch entgegennimmt.
Vertragskonditionen — Zahlungsplan, Abnahme, Haftung, Kündigung und Unterstützung beim Übergang.
Währungs- und Preismechanismus — in welcher Währung Preise festgelegt werden und wie Wechselkursbewegungen mitten im Projekt behandelt werden.
Exit und Übergabe — wie Arbeit, Zugänge und Wissen zurückgegeben werden, wenn die Zusammenarbeit endet.

Die Checkliste für Lieferanten-RFPs führt mehrere dieser Punkte als fertige Fragen auf, die Sie direkt in eine Ausschreibung einfügen können.

Zeitzone, Sprache und Kommunikationsroutinen

Zeitliche Überschneidung ist eine Ressource, keine Garantie: Antworten am selben Tag entstehen nur, wenn die Zusammenarbeit so aufgesetzt ist, dass sie diese Überschneidung auch nutzt. Drei Routinen machen den Unterschied:

Ein festes Überschneidungsfenster. Vereinbaren Sie zu Beginn schriftlich, welche Stunden in beiden Zeitzonen immer live sind.

Ein fester Demo-Rhythmus. Lauffähige Software, die in festen Abständen gezeigt wird, fängt Richtungsfehler, solange sie billig sind; Statusberichte fangen sie nicht.

Eine schriftliche Spur. Entscheidungen in einem gemeinsamen Dokument statt in Telefonaten, die die Hälfte des Teams verpasst hat; für ein zweisprachiges Team ist das zugleich der Prüfpfad.

Primär asynchron zu arbeiten ist in Ordnung und oft günstiger; der Fehler ist, die Überschneidung als optional zu behandeln und dann mitten im Rollout eine Zwei-Tage-Verzögerung bei jeder einzelnen Frage zu entdecken.

Recht und Daten: Verträge, Rechte, KVKK und DSGVO

Drei rechtliche Instrumente erledigen die meiste Arbeit, und jedes hat einen eigenen Auftrag:

NDA — schützt die Offenbarung, bevor es die Beziehung gibt. Unterschreiben Sie sie, bevor technische und wirtschaftliche Details geteilt werden.

Vertrag — regelt Umfang, Preis, Abnahme, Haftung, Kündigung und Übergabe. Fester Umfang oder Zeit und Material ändert den kommerziellen Kern, nicht die Notwendigkeit des Rests.

Rechteübertragung — die Klausel, die das Eigentum an dem, was gebaut wird, auf Sie überträgt. Sie sollte Code, Dokumentation, Konfigurationen und Ableitungen erfassen und ab der Entstehung gelten, nicht erst mit der Schlusszahlung.

Beim Datenschutz sind für europäische Einkäufer zwei Regime relevant: die KVKK, das türkische Datenschutzgesetz, und die DSGVO, die für Sie weiter gilt, wenn Sie personenbezogene Daten der EU verarbeiten — unabhängig davon, wo der Verarbeiter sitzt. Die grenzüberschreitende Übermittlung personenbezogener Daten ist die Frage, die ausdrücklich gestellt werden muss: Welche Daten verlassen Ihr Land, mit welchem Mechanismus, und was sagt der Vertrag über die Pflichten des Verarbeiters, der Unterauftragsverarbeiter und die Meldung von Datenpannen? Diese Seite erklärt die Themen; die Antworten dazu muss eine Rechtsberatung qualifizieren — und die Fragen unten sind diejenigen, die man dorthin mitbringt.

Thema	Frage	Dokument
Anwendbares Recht und Gerichtsstand	Welches Recht gilt, und wo wird gestritten?	Rahmenvereinbarung
Eigentum an den Rechten	Wann gehen welche Rechte über?	Rechteübertragungsklausel
Vertraulichkeit	Wie lange wirkt die Vertraulichkeit nach der Beendigung weiter?	NDA / Vertrag
Rollen bei personenbezogenen Daten	Wer ist Verantwortlicher, wer Verarbeiter, für welche Daten?	Auftragsverarbeitungsvertrag
Übermittlung über die Grenze	Welche Daten verlassen das Land, und mit welchem Mechanismus?	Übermittlungsklausel / Zusatzvereinbarung
Unterauftragsverarbeiter	Wer greift noch auf die Daten zu, und wie wird zugestimmt?	Verarbeitungsvereinbarung
Sicherheitsvorfälle	Welche Frist und welchen Inhalt hat die Meldung einer Datenpanne?	Sicherheitsanhang
Prüfung und Nachweise	Was dürfen Sie einsehen, und wie oft?	Prüfungsklausel
Exit und Datenrückgabe	Wie werden Daten und Code am Ende zurückgegeben oder gelöscht?	Kündigungsklausel

Sicherheitsanforderungen

Sicherheit lässt sich besser als Folge prüfbarer Fragen behandeln als als Vertrauensbekenntnis:

ISO/IEC 27001 — fragen Sie, ob der Anbieter das Zertifikat besitzt und was der zertifizierte Geltungsbereich abdeckt; ein Zertifikat, das den Vertrieb und nicht das Lieferteam erfasst, sagt etwas ganz Bestimmtes aus. Wenn es nicht vorliegt, fragen Sie schriftlich, welche gleichwertigen Kontrollen es stattdessen gibt.

Sicherer Entwicklungszyklus — wo Sicherheit in Entwurf, Code-Review und Test sitzt und ob der Umgang mit Abhängigkeiten und Schwachstellen Routine ist.

OWASP Top 10 — eine weit verbreitete Liste der häufigsten Sicherheitsrisiken bei Webanwendungen; die Frage, ob sie Teil des Reviews ist, ist konkret und beantwortbar statt eines vagen „Ist das sicher?“.

Zugriffskontrolle — wer auf Ihre Repositorien, Umgebungen und Daten gelangt, wie Zugriff gewährt, protokolliert und beim Austritt wieder entzogen wird.

Wie eine unabhängige Prüfung dieser Fragen läuft, wenn Sie Belege statt Zusicherungen wollen, beschreibt die IT-Audit- und Beratungsseite.

Pilotprojekt und Meilensteine

Das zuverlässigste Auswahlwerkzeug ist ein kleiner bezahlter Pilot: echte Arbeit, echter Code, ein echtes Datum, eine echte Rechnung. Sein Zweck liegt nicht in der Größe des Liefergegenstands, sondern darin zu beobachten, wie das Team arbeitet, wenn die Spezifikation unvollständig ist, wenn eine Frage unklar bleibt und wenn sich ein Termin verschiebt.

Gut entworfen sieht der Pilot so aus:

Echt halten. Ein repräsentativer Ausschnitt aus der eigentlichen Arbeit — keine Spielzeugaufgabe, die jedes schwere Teil versteckt.

„Fertig“ schriftlich definieren. Abnahmekriterien vor dem Start; sonst lernen Sie nichts über die Umfangsdisziplin.

Eine Änderung mitten drin einplanen. Wie das Team eine geänderte Anforderung bearbeitet, verrät mehr als sein Umgang mit einer sauberen.

Die Kommunikation beobachten. Antwortzeiten, die Fragen, die vor dem Bauen gestellt werden, die Qualität der Demo — das ist das Produkt.

Die Entscheidungsregel vorher festlegen. Was dazu führen würde, zu verlängern, zu erweitern oder zu stoppen — vor dem Piloten schriftlich, nicht im Nachhinein hergeleitet.

Wenn ein Anbieter bezahlte Pilotprojekte ablehnt, ist das selbst eine Information darüber, wie die Zusammenarbeit verlaufen würde.

Risiken und wie man sie beherrscht

Risiko	Wie es sich zeigt	Wie man es beherrscht
Schlüsselpersonen-Risiko	Der leitende Architekt oder Senior-Entwickler ist die einzige Person, die die Kernentscheidungen versteht	Dokumentationspflichten, Arbeit zu zweit an kritischen Modulen, benannte Vertretungen im Team
Umfangserweiterung	Kleine Ergänzungen sammeln sich an; das ursprüngliche Budget dehnt sich, ohne dass jemand entscheidet	Schriftliche Änderungsprozedur, Aufwandsschätzung vor jeder Änderung, regelmäßige Umfangsreviews
Lock-in	Nur der Anbieter kann das System warten; ein Wechsel hieße Neuschreibung	Quellcode und Zugänge von Tag eins bei Ihnen, Dokumentationsstandards, regelmäßige unabhängige Prüfung
Währung und Inflation	In Lira kalkulierte Preise verschieben sich gegen Ihr Budget, oder Kosten werden gesenkt, um eine Zahl zu halten	Preis in einer benannten Währung, ausdrücklich geregelte Wechselkursanpassung, Laufzeiten für Neupreisungen
Schleichende Auslagerung	Die Lieferung wandert stillschweigend an ungenannte Dritte	Zustimmungsrecht gegenüber Nachunternehmern, Transparenzklauseln, das Recht zu verweigern
Qualitätseinbruch nach dem Start	Das Senior-Team gewinnt den Auftrag, ein Junior-Team macht die Arbeit	Im Vertrag benanntes Team, Änderungsanzeigepflicht, Belege aus Code-Reviews

Zum Währungsrisiko noch ein Satz, den die Tabelle nicht hergibt: Die Volatilität der Lira ist ein anerkanntes Vertragsrisiko bei Türkei-Vorhaben, und es wirkt in beide Richtungen — eine steigende Lira macht Ihr Projekt teurer, eine fallende kann den Anbieter dazu bringen, an der Qualität zu sparen, um einen Preis zu halten, den er nicht mehr mit seinem Team decken kann. Eine benannte Vertragswährung mit geregeltem Anpassungsmechanismus schützt beide Seiten und ist eine normalerweise unkomplizierte vertragliche Klausel, die man vorschlägt, kein Affront.

Kosten: wie sich Preise strukturieren

Preise in diesem Markt werden auf wenige Arten aufgebaut: monatliche Sätze je Rolle für ein dediziertes Team, Tagessätze bei Zeit und Material, Meilensteinzahlungen bei festem Umfang, Retainer für laufende Unterstützung — und jede Variante legt das Änderungsrisiko an eine andere Stelle. Die vollständige Behandlung samt den Fragen, was ein Satz einschließt, steht auf der Seite zu Kosten- und Preismodellen.

Was hierher gehört, ist der auswahlrelevante Teil: Vergleichen Sie Angebote über die Gesamtkosten der Zusammenarbeit inklusive Änderungsspielraum statt über den Schlagzeilensatz, und fragen Sie, was vertraglich passiert, wenn sich der Umfang verschiebt — die Antwort verrät, welches Modell Sie tatsächlich kaufen.

Wer sollte nicht in die Türkei auslagern?

Eine ehrliche Antwort, denn eine Paarung, die nicht passt, kostet beide Seiten:

Projekte, die das Team täglich physisch vor Ort brauchen. Wenn Ihr Prozess verlangt, dass die Entwickler jeden Tag in Ihrem Büro sitzen, passt Nearshore nicht; stellen Sie lokal ein.

Organisationen, die keine Abnahme definieren können. Wenn auf Ihrer Seite niemand sagen kann, was „fertig“ bedeutet, rettet kein Vertragsmodell das Projekt; klären Sie das zuerst.

Projekte mit sehr niedrigem Budget und ohne Spezifikation. Die günstigste Stufe dieses Marktes konkurriert mit der günstigsten Stufe überall, mit denselben Scheitern.

Arbeit in einem Rechtsraum, den Sie nicht prüfen können. Wenn Ihre Rechts- oder Compliance-Abteilung Vertrags- und Datenklauseln nicht bewerten kann, unterschreiben Sie sie nicht.

Häufig gestellte Fragen

Ist die Türkei ein guter Ort für IT-Outsourcing?

Für Einkäufer aus Europa und dem Golfraum in der Regel prüfenswert: erhebliche Überschneidung der Arbeitszeiten, ein großer Ingenieurmarkt mit Schwerpunkt Istanbul und eine Kostenposition zwischen asiatischem Offshore und westeuropäischen Agentursätzen. Ob es für Sie passt, entscheidet sich an den Eignungsfragen oben — Qualifikation, Vertragsqualität, Datenschutz —, nicht am Land allein.

Welches Modell passt zu einem ersten Projekt?

Ein bezahlter Pilot in fester Umfangsform, danach eines der beiden Hauptmodelle, je nachdem, was der Pilot zeigt: fester Umfang, wenn sich Ihre Anforderungen stabilisieren, Zeit und Material oder ein dediziertes Team, wenn sie sich weiterentwickeln. Was man bei einem ersten Projekt vermeiden sollte, ist eine offen angelegte Teambindung ohne beobachtete Arbeitsgewohnheiten.

Wem gehört der Code?

Vertraglich Ihnen: eine Rechteübertragungsklausel, die Rechte an Code, Dokumentation und Ableitungen ab der Entstehung überträgt, nicht erst mit der Schlusszahlung. Wenn ein Anbieter vorschlägt, das Eigentum „bei vollständiger Zahlung“ übergehen zu lassen, verhandeln Sie — und definieren Sie, was mit Arbeit passiert, die gestuft geliefert wird.

Wie wirken sich KVKK und DSGVO auf das Outsourcing aus?

Die KVKK ist das türkische Datenschutzregime, und die DSGVO gilt für Sie, sobald personenbezogene Daten der EU im Spiel sind, unabhängig vom Sitz des Verarbeiters. Praktisch relevant sind die Fragen, welche Daten die Grenze überqueren, mit welchem vertraglichen Mechanismus, wer Verantwortlicher und wer Verarbeiter ist, und was die Vereinbarung zu Unterauftragsverarbeitern und zur Meldung von Datenpannen sagt. Holen Sie dazu rechtlichen Rat ein; holen Sie ihn nicht dafür, ob Sie fragen sollen.

Soll ich nach ISO/IEC 27001 fragen?

Ja, mit einer Anschlussfrage: Besitzt der Anbieter es, und was deckt der zertifizierte Geltungsbereich ab? Ein Zertifikat, das das Lieferteam ausnimmt, ist kein Beleg für die Menschen, die Ihren Code schreiben; wenn es fehlt, fragen Sie, welche gleichwertigen Kontrollen es schriftlich gibt.

Wie lange sollte ein Pilotprojekt dauern?

Definieren Sie es über Liefergegenstände, nicht über den Kalender: einen repräsentativen Ausschnitt mit Abnahmekriterien, eine Änderung mitten drin und am Ende eine Demo. Ein Pilot, der zu klein ist, um zu zeigen, wie das Team mit Mehrdeutigkeit umgeht, bringt nichts, was die Ersparnis aufwiegen würde.

Wie gehe ich mit der Lira-Volatilität um?

Über den Vertrag, nicht über die Prognose: eine benannte Vertragswährung, ein geregelter Mechanismus für Wechselkursbewegungen und bei langer Laufzeit Klauseln zur Neupreisung. Die Volatilität der Lira ist ein anerkanntes Risiko bei Türkei-Vorhaben; ein bei Unterzeichnung vereinbarter Mechanismus ist günstiger als eine Neuverhandlung im fünften Monat.

Können Sie mit meinem bestehenden Team arbeiten?

Fragen Sie das direkt im Piloten: gemischte Teams — Ihre Leute plus die des Anbieters — sind üblich, und die entscheidenden Fragen sind, wie Entscheidungen dokumentiert werden, welchen Standards der Code folgt und wie Wissen weitergegeben wird, wenn die Zusammenarbeit ihre Form ändert. Wir als Gruppe planen Vorhaben so, wie es ein Operations-Team täte: entlang der Systeme und Zwänge, auf denen das Unternehmen ohnehin läuft, und das ist in gemischten Setups meist der Ausschlag.

Quellen und Standards

ISO — Herausgeber von ISO/IEC 27001 (Informationssicherheits-Managementsystem); aktuelle Ausgabe und Geltungsbereich des Zertifikats prüfen, bevor man sich darauf stützt.
OWASP — Herausgeber der Top-10-Liste der häufigsten Sicherheitsrisiken bei Webanwendungen, die auf dieser Seite genannt wird.
KVKK und DSGVO werden als die anwendbaren Datenschutzrahmen benannt; diese Seite listet die zu stellenden Fragen und gibt keine Rechtsberatung. Für WorldwideTradeX werden auf dieser Seite keine Stundensätze, Zertifikate, Kundennamen oder Leistungszahlen behauptet.