Das Gesetz zum Schutz personenbezogener Daten (PDPL) in Saudi-Arabien verstehen

Das Gesetz zum Schutz personenbezogener Daten (PDPL) von Saudi-Arabien legt verbindliche Vorschriften für die Erhebung, Verwendung, Speicherung, Weitergabe und Übertragung personenbezogener Daten durch Organisationen fest. Es legt die Rechte des Einzelnen sowie klare Verantwortlichkeiten für Datenverantwortliche und Datenverarbeiter fest.

Für CISOs, Compliance-Manager und IT-Führungskräfte, die in Saudi-Arabien tätig sind, bietet das PDPL einen pragmatischen Leitfaden, um Datenschutzrisiken zu reduzieren, Sorgfaltspflichten nachzuweisen und das Vertrauen von Kunden, Mitarbeitern und Aufsichtsbehörden zu gewinnen. Angesichts strengerer Durchsetzung und steigender Erwartungen von Partnern und Prüfern sollte die Umsetzung des PDPL ein zentrales Geschäftsziel sein.

Obwohl das PDPL von globalen Datenschutzstandards inspiriert ist, handelt es sich nicht um eine Kopie der DSGVO. Die Struktur und die Kernideen kommen einem bekannt vor, beispielsweise das Modell des Verantwortlichen und des Auftragsverarbeiters, die Rechte des Einzelnen, die Zweckbindung und die Sicherheitsanforderungen. Das PDPL ist in bestimmten Bereichen, wie z. B. den Fristen für die Meldung von Verstößen und den Übertragungsbeschränkungen, präskriptiver und enthält lokale Nuancen in Bezug auf den Zugang der Regierung, den Wohnsitz und die Zustimmungsbedingungen. Für Teams, die bereits mit der DSGVO arbeiten, wird das PDPL vertraut erscheinen, erfordert jedoch eine eigene operative Auslegung.

Dieser Leitfaden setzt die PDPL in praktische Maßnahmen um. Er behandelt den Anwendungsbereich, die Rollen, die Rechtsgrundlagen, die Grundsätze, die Rechte, die Governance, die Sicherheit, Dritte und die Durchsetzung.

Lesen Sie auch: Vergleich zwischen PDPL und DSGVO

Überblick: Ziele und Grundsätze

Der Anwendungsbereich des PDPL basiert auf den folgenden Kernkonzepten, die branchen- und technologieübergreifend gelten:

• Rollen und Verantwortlichkeiten
• Rechtsgrundlagen und Verarbeitungsgrundsätze
• Rechte der betroffenen Person
• Governance und Dokumentation
• Sicherheit und Umgang mit Verstößen
• Internationale Überweisungen
• Aufsicht und Sanktionen

Die Ziele des Gesetzes sind klar. Es:

• Gibt Einzelpersonen sinnvolle Kontrolle über ihre personenbezogenen Daten
• Verlangt eine faire und transparente Verarbeitung in Verbindung mit legitimen Zwecken.
• Begrenzung der Erhebung und Speicherung
• Erfordert angemessene Sicherheitsvorkehrungen
• Und verdeutlicht, wie die Verantwortlichkeiten zwischen Datenverantwortlichen und Datenverarbeitern aufgeteilt sind. 

Die Regulierungsbehörden sind befugt, Verstöße auf der Grundlage des Prinzips der evidenzbasierten Compliance zu untersuchen und zu ahnden.

‍

Geltungsbereich, Definitionen und Rollen

Das PDPL gilt für jede Verarbeitung personenbezogener Daten in Saudi-Arabien und für bestimmte Verarbeitungen außerhalb des Königreichs, die sich an Personen innerhalb des Königreichs richten. Öffentliche Einrichtungen, private Unternehmen, gemeinnützige Organisationen und ausländische Einrichtungen können alle in den Geltungsbereich fallen. Rein persönliche oder häusliche Aktivitäten, die keine Veröffentlichung oder breite Offenlegung beinhalten, fallen nicht in den Geltungsbereich.

Personenbezogene Daten umfassen alle Informationen, die Personen direkt oder indirekt identifizieren. Über offensichtliche Identifikatoren (Namen, nationale Identifikationsnummern, Kontaktdaten) hinaus umfasst das PDPL auch Gerätekennungen, genaue Standortdaten und kombinierte Datensätze, anhand derer Personen vernünftigerweise identifiziert werden können. Daten, die irreversibel anonymisiert wurden, fallen nicht unter das PDPL.

Das Gesetz unterscheidet zwischen Verantwortlichen (die die Zwecke und Mittel der Verarbeitung festlegen) und Auftragsverarbeitern (die im Auftrag der Verantwortlichen verarbeiten). Die Verantwortlichen tragen die Hauptverantwortung. Auftragsverarbeiter müssen dokumentierte Anweisungen befolgen und dürfen Daten nicht für eigene Zwecke verwenden. Die Rollenverteilung variiert häufig je nach Verarbeitungstätigkeit.

Selbst mit einer begrenzten lokalen Präsenz bietet das PDPL einen starken Maßstab für die Datenschutz-Governance. Für Unternehmen, die in Saudi-Arabien tätig sind, wird die Harmonisierung der PDPL-Kontrollen die Audit-Bereitschaft verbessern und die Sorgfaltspflicht der Partner beschleunigen. Dies ist besonders vorteilhaft, wenn das Unternehmen bereits die DSGVO oder ISO/IEC 27701 erfüllt.

Rechtsgrundlage und Einwilligung

Jede Verarbeitungstätigkeit sollte auf einer rechtmäßigen Grundlage beruhen. Zu den gängigen Gründen zählen die ausdrückliche Einwilligung, die Erfüllung eines Vertrags, die Einhaltung einer gesetzlichen Verpflichtung, der Schutz lebenswichtiger Interessen und berechtigte Interessen, die nicht die Rechte des Einzelnen überwiegen. Organisationen sollten jede Verarbeitungstätigkeit einer rechtmäßigen Grundlage zuordnen und die Begründung dafür dokumentieren.

Die Einwilligung gemäß PDPL muss ausdrücklich, spezifisch und informiert erfolgen. Vorab angekreuzte Kästchen oder Schweigen sind nicht gültig. Einzelpersonen müssen ihre Einwilligung leicht widerrufen können; nach dem Widerruf sollte die von der Einwilligung abhängige Verarbeitung eingestellt werden, sofern keine andere Rechtsgrundlage gilt.

Verarbeitungsprinzipien in der Praxis

Die Verarbeitung gemäß dem PDPL muss fair und transparent sein, klaren und legitimen Zwecken dienen und sich auf das Notwendige beschränken.

Die Anforderungen an die Datengenauigkeit bedeuten, dass Aufzeichnungen ordnungsgemäß geführt und auf dem neuesten Stand gehalten werden müssen. Das Gesetz schreibt auch Aufbewahrungsfristen vor.

Die Löschung oder Anonymisierung ist erforderlich, wenn die Zwecke erfüllt sind, es sei denn, ein Gesetz schreibt eine längere Aufbewahrung vor.

Die Maßnahmen zur Datensicherheit müssen der Art, dem Umfang und den Risiken der Verarbeitung angemessen sein.

In der Praxis verlangt das Gesetz, dass die Zwecke der Datenerhebung auf praktischer Ebene definiert werden. Dies kann beispielsweise durch die Standardisierung von Formularen und die Konfiguration von APIs erreicht werden, um die Anzahl der erfassten Felder zu minimieren. Analysen können mit Standardkonfigurationen zum Schutz der Privatsphäre strukturiert werden. Aufbewahrungsfristen sollten sich eng an den rechtlichen und geschäftlichen Anforderungen orientieren.

Diese Ansätze kommen Unternehmen zugute, indem sie Risiken reduzieren, die Datenqualität verbessern und Audits vereinfachen.

Rechte der betroffenen Personen und Umgang damit

Einzelpersonen haben das Recht, über die Verarbeitung informiert zu werden, auf ihre Daten zuzugreifen und Ungenauigkeiten zu korrigieren. Sie können in bestimmten Situationen die Löschung verlangen, beispielsweise wenn die Daten nicht mehr benötigt werden, unrechtmäßig erhoben wurden oder wenn die Einwilligung widerrufen wurde und keine andere Rechtsgrundlage vorliegt. Wenn die Aufbewahrung gesetzlich vorgeschrieben ist oder zur Begründung oder Verteidigung von Rechtsansprüchen erforderlich ist, sollten die Gründe und der Umfang dokumentiert werden.

Das PDPL unterstützt auch Einwände gegen bestimmte Verarbeitungsvorgänge, insbesondere gegen Direktmarketing. Einzelpersonen können eine Einschränkung der Verarbeitung beantragen, was in der Regel bedeutet, dass Daten während der Prüfung einer Streitigkeit aufbewahrt, aber nicht aktiv genutzt werden. Organisationen sollten einen klaren Prozess für die Entgegennahme, Überprüfung, Weiterleitung und Erfüllung von Anträgen mit überprüfbaren Zeitplänen und Ergebnissen einrichten.

Governance, Dokumentation und Rechenschaftspflicht

Von der Geschäftsleitung wird erwartet, dass sie Rollen und Verantwortlichkeiten für den Datenschutz zuweist, Ressourcen bereitstellt und Schulungen unterstützt. In vielen Fällen wird es notwendig sein, einen Datenschutzbeauftragten (oder eine gleichwertige Person) zu ernennen, der in Fragen der Compliance berät, die Praktiken überwacht und den Kontakt zu den Behörden pflegt.

Von Datenschutzbeauftragten kann erwartet werden, dass sie Aufzeichnungen über Verarbeitungsvorgänge (RoPA) führen, in denen Datenkategorien, Zwecke, betroffene Personen, Empfänger, Übermittlungen, Aufbewahrungsfristen und Sicherheitsmaßnahmen beschrieben werden.

Bei Verarbeitungen, die voraussichtlich ein hohes Risiko für Personen darstellen, wird von Datenschutzbeauftragten erwartet, dass sie Datenschutz-Folgenabschätzungen (DPIAs) durchführen, um die Notwendigkeit, Verhältnismäßigkeit, Risiken und Abhilfemaßnahmen zu analysieren. Interne Audits sollten überprüfen, ob die Praktiken mit den Richtlinien und der Dokumentation übereinstimmen.

Sicherheit, Reaktion auf Vorfälle und Benachrichtigung bei Verstößen

Das PDPL verlangt angemessene technische und organisatorische Maßnahmen, die in einem angemessenen Verhältnis zum Risiko stehen.

Zu den gängigen technischen Kontrollen gehören:

• Verschlüsselung
• Zugangskontrolle
• Protokollierung und Überwachung
• Netzwerksegmentierung
• Sichere Entwicklungspraktiken.

Zu den organisatorischen Kontrollen gehören:

•  rollenbasierter Zugriff
• Aufgabentrennung
• Lieferantenrisikomanagement
• gezielte Sensibilisierung

Verstöße gegen den Schutz personenbezogener Daten, die zu Verlust, Veränderung, unbefugter Offenlegung oder unbefugtem Zugriff führen, erfordern strukturierte Reaktionen. Pläne für das Vorfallsmanagement sollten die Erkennung, Eindämmung, Untersuchung, Behebung und Benachrichtigung umfassen. Die zuständigen Behörden sollten unverzüglich benachrichtigt werden, wenn Personen Schaden droht. Betroffene Personen sollten ebenfalls unverzüglich benachrichtigt werden, wenn sie aufgrund eines Datenverstoßes Schutzmaßnahmen ergreifen müssen. Auftragsverarbeiter sollten die für die Verarbeitung Verantwortlichen unverzüglich über Vorfälle informieren.

Internationale Überweisungen und Dritte

Das PDPL schränkt die Übermittlung personenbezogener Daten außerhalb Saudi-Arabiens ein, es sei denn, der Schutz ist vergleichbar. Einige Übermittlungen basieren auf Angemessenheitsentscheidungen, während andere vertragliche Garantien oder verbindliche interne Vorschriften erfordern. In bestimmten Fällen kann eine ausdrückliche Einwilligung verwendet werden.

Die Einhaltung der Gesetze erfordert eine Bewertung der rechtlichen und praktischen Rahmenbedingungen am Bestimmungsort. Sicherheitsvorkehrungen sollten dokumentiert und regelmäßig überprüft werden.

Verträge zwischen Verantwortlichen und Auftragsverarbeitern sollten den Gegenstand, die Dauer, die Art, den Zweck, die Datentypen, die Vertraulichkeit, die Sicherheit, die Bedingungen für die Weiterverarbeitung, die Prüfungsrechte und die Rückgabe oder Löschung der Daten nach Vertragsende festlegen. Für die Weitergabe von Daten an andere Verantwortliche sollte eine klare und transparente Rechtsgrundlage bestehen.

Die Zuständigkeiten für die Rechteverwaltung und Sicherheit sollten definiert werden, und aktuelle Datenkarten und Vertragsverzeichnisse sollten nicht weitergegeben werden.

Aufsicht, Durchsetzung und Sanktionen

Eine zuständige Aufsichtsbehörde erlässt Vorschriften und Leitlinien, führt Inspektionen durch, fordert Informationen an und überprüft Unterlagen. Unternehmen sollten Aktualisierungen sowohl des Primärrechts als auch der Durchführungsbestimmungen verfolgen und ihre Praktiken entsprechend anpassen. Eine transparente, zeitnahe Kommunikation und der Nachweis einer gewissenhaften Einhaltung der Vorschriften können die Wahrscheinlichkeit von Strafen in Fällen verringern, in denen das Gesetz nicht korrekt befolgt wurde.

Die Sanktionen reichen von Abhilfemaßnahmen bis hin zu Verwaltungsstrafen. Zu den Faktoren zählen die Art und Schwere der Verstöße, die Dauer, die Anzahl der betroffenen Personen und die Vorgeschichte. Verstöße gegen das Gesetz können auch zu Reputations- und Betriebskosten führen. 

Wie Sie PDPL in Ihrem Unternehmen implementieren können

Ein strukturierter, risikobasierter Ansatz ermöglicht es kleinen und mittelgroßen Teams, PDPL effizient zu operationalisieren und im Laufe der Zeit auditfähige Nachweise zu erstellen.

Umfang und Karte

Identifizieren Sie alle Verarbeitungsaktivitäten, Systeme und Anbieter, die personenbezogene Daten von Personen in Saudi-Arabien verarbeiten. Erfassen Sie für jede Aktivität die Rolle des Verantwortlichen oder Auftragsverarbeiters, den Zweck, die Rechtsgrundlage, die Datentypen, die Empfänger, die Übermittlungen und die Aufbewahrungsregeln. Dies bildet das Rückgrat Ihrer RoPA und macht risikoreiche Verarbeitungen sichtbar, einschließlich Bereiche, die möglicherweise eine DPIA erfordern.

Bewerten und priorisieren

Überprüfen Sie Ihre Hinweise, Einwilligungsabläufe, Rechteverwaltung, Sicherheitsmaßnahmen, Vorfallreaktions- und Übertragungsmechanismen anhand der PDPL-Anforderungen. Priorisieren Sie Abhilfemaßnahmen auf der Grundlage des Risikos. Aktivitäten, die sensible Daten, hohe Volumina, benutzerseitige Systeme oder komplexe Lieferantenketten betreffen, sollten zuerst durchgeführt werden. Aktualisieren Sie Datenschutzhinweise und korrigieren Sie die Wege zur Einholung und zum Widerruf von Einwilligungen.

Operationalisieren und belegen

Führen Sie die erforderlichen Kontrollen ein, legen Sie die Bedingungen für Controller und Prozessoren fest, führen Sie rollenbasierte Schulungen durch und setzen Sie DSAR- und Verstoßreaktionspläne im täglichen Gebrauch um. Automatisieren Sie die Aufbewahrung und Löschung, wo immer dies möglich ist. Erfassen Sie nach und nach Beweise, z. B. Richtlinien, Bewertungen, Einwilligungen, Schulungsprotokolle, Systemkonfigurationen, Testergebnisse und Entscheidungsprotokolle. Dies unterstützt interne Audits und Anfragen von Aufsichtsbehörden.

Cyberday kann diese Schritte mit PDPL-konformen Aufgaben und Kontrollen, RoPA/DPIA-Vorlagen, rollenbasierten Workflows und zentralisierter Beweissammlung optimieren. Außerdem ordnet es PDPL-Arbeiten anderen Frameworks zu, um Doppelarbeit zu reduzieren und die Berichterstattung zu beschleunigen.

Kontinuierliche Verbesserung und Messung des Fortschritts

Die Einhaltung der PDPL-Vorschriften ist ein fortlaufender Prozess und kein einmaliges Projekt. Das bedeutet, dass Verantwortliche benannt, Überprüfungszyklen festgelegt und Dashboards zur Überwachung von Risiken, zur Kontrolle des Zustands und der Ergebnisse verwendet werden sollten. Im Rahmen von Managementbewertungen sollten Vorfälle, Prüfungsergebnisse, die Risikosituation und Verbesserungsmöglichkeiten in geplanten Abständen bewertet werden.

Zu den nützlichen Kennzahlen, die überwacht werden sollten, gehören:

• DSAR-Volumen, Einhaltung der SLA und Zufriedenheit
• Zeitraum von der Erkennung einer Sicherheitsverletzung bis zur Entscheidung und Benachrichtigung
• RoPA-Vollständigkeit und Überprüfungsrhythmus
• DPIA-Abdeckung für risikoreiche Aktivitäten und Fortschritte bei der Risikominderung
• Abschluss der Schulung und Bewertungsergebnisse nach Rolle
• Transferbewertungen nach Zielort und Schutzart
• Risikobewertung von Lieferanten und Status der Abhilfemaßnahmen
• Erfolgsquote bei der Löschung im Vergleich zu Aufbewahrungsfristen

Cyberday die kontinuierliche Verbesserung durch automatisierte Erinnerungen, Dashboards zum Kontrollstatus und Multi-Framework-Mapping. Zentralisierte Nachweise vereinfachen die interne Berichterstattung und externe Bewertungen.

Warum PDPL für Cyber-Resilienz und Compliance wichtig ist

Durch die Operationalisierung von PDPL wird klar, welche personenbezogenen Daten Sie speichern, wohin diese fließen und wer darauf zugreifen kann. Diese Klarheit verringert die Wahrscheinlichkeit und die Auswirkungen von Verstößen, beschleunigt die Reaktion auf Vorfälle und begrenzt die Datenausbreitung durch Minimierung und strenge Aufbewahrungsvorschriften.

Aus geschäftlicher Sicht beschleunigt die PDPL-Reife die Einbindung von Partnern, verkürzt Sicherheits- und Datenschutzprüfungen und stärkt das Vertrauen der Aufsichtsbehörden in Unternehmen, die im Königreich tätig sind. Sie verbessert die Datenqualität, indem sie Duplikate und veraltete Datensätze entfernt, und liefert eine vertretbare Begründung, wenn Vorfälle auftreten. Die PDPL kann als Kernelement der Sicherheits- und Datenschutz-Betriebsmodelle von Organisationen betrachtet werden.

FAQs

Ist PDPL dasselbe wie DSGVO?

Sie haben zwar gemeinsame Kernkonzepte, wie beispielsweise ihre Rechtsgrundlagen, Grundsätze, Rechte, Rechenschaftspflicht und Übertragungsbeschränkungen, sind jedoch nicht identisch. In Saudi-Arabien tätige Organisationen sollten ihre Programme an die Definitionen des PDPL und die Leitlinien der lokalen Aufsichtsbehörden anpassen, anstatt GDPR-Vorlagen zu kopieren.

Brauchen wir einen Datenschutzbeauftragten?

Das PDPL erwartet eine klare Rechenschaftspflicht. Viele Organisationen werden daher einen Datenschutzbeauftragten (DSB) oder eine gleichwertige Person ernennen. Die Entscheidung, einen DSB einzustellen, sollte sich nach dem Umfang der Verarbeitung und dem Risiko richten; bei risikoreichen Aktivitäten ist eine spezielle Funktion umso notwendiger.

Wie lange dürfen wir personenbezogene Daten speichern?

Nur so lange, wie es für die angegebenen Zwecke erforderlich ist oder gesetzlich vorgeschrieben ist. Legen Sie Aufbewahrungsfristen auf Datensatzebene fest, automatisieren Sie die Löschung, wo dies möglich ist, und dokumentieren Sie Ausnahmen wie gesetzliche Aufbewahrungspflichten.

Wann ist eine Datenschutz-Folgenabschätzung erforderlich?

Wenn die Verarbeitung wahrscheinlich ein hohes Risiko für Einzelpersonen darstellt. Dazu können Aktivitäten wie die groß angelegte Verarbeitung sensibler Daten, die systematische Überwachung oder die Kombination von Datensätzen gehören, die das Risiko erheblich erhöhen. DPIAs sollten vor der Einführung oder Umsetzung bedeutender organisatorischer Veränderungen durchgeführt werden.

Müssen wir jede Verletzung melden?

Nein. Die Behörde und manchmal auch betroffene Personen sollten nur benachrichtigt werden, wenn ein Schaden wahrscheinlich ist. Kriterien und Entscheidungsabläufe sollten in Ihrem Notfallplan festgelegt werden, um sicherzustellen, dass Sie schnell und konsequent handeln können.

Wie sollten wir mit ausländischen Cloud-Anbietern umgehen?

Überprüfen Sie Datenstandorte, Zugriffspfade, Übertragungssicherheitsvorkehrungen und Meldepflichten bei Vorfällen. Stellen Sie sicher, dass Verträge die Erfüllung von Rechten und die sichere Löschung ermöglichen, und führen Sie eine dokumentierte Bewertung der Bedingungen im Zielland durch.

PDPL mit weniger Aufwand operationalisieren

Wenn Sie Ihr PDPL-Programm aufbauen oder weiterentwickeln, Cyberday Ihnen Cyberday , schneller voranzukommen und weniger Tabellenkalkulationen zu verwenden. Nutzen Sie einsatzbereite PDPL-Kontrollen, RoPA/DPIA-Vorlagen, DSAR- und Datenschutzverletzungs-Workflows sowie zentralisierte Nachweise, um für Audits gerüstet zu sein und gleichzeitig den manuellen Aufwand zu reduzieren. Einmal zuordnen und in mehreren Frameworks wiederverwenden, um Zeit zu sparen.