BahrainPDPL BH
Bahrainisches Gesetz zum Schutz personenbezogener Daten (PDPL)
Das bahrainische Gesetz zum Schutz personenbezogener Daten (Personal Data Protection Law, PDPL), Gesetz Nr. 30 von 2018, schafft den nationalen Rahmen des Königreichs Bahrain für den Schutz personenbezogener Daten und regelt, wie Organisationen personenbezogene Informationen erheben, verarbeiten, speichern, offenlegen und übermitteln.
Das Gesetz gilt für Organisationen und Einzelpersonen, die personenbezogene Daten in Bahrain verarbeiten, einschließlich bestimmter Organisationen außerhalb Bahrains, die personenbezogene Daten mit Mitteln verarbeiten, die sich im Königreich befinden. Es trat am 1. August 2019 in Kraft.
Bahrain hat zudem eine Reihe von Durchführungsbeschlüssen erlassen, darunter Regeln zu internationalen Datenübermittlungen, technischen und organisatorischen Sicherheitsmaßnahmen, vorheriger Genehmigung, sensiblen personenbezogenen Daten, Datenschutzbeauftragten (Data Protection Monitors), Rechten der betroffenen Personen und damit verbundenen Compliance-Verfahren.
Das bahrainische PDPL verlangt für die Verarbeitung personenbezogener Daten grundsätzlich eine Rechtsgrundlage, wobei die Einwilligung die Hauptregel bildet und bestimmte gesetzliche Ausnahmen eine Verarbeitung ohne Einwilligung erlauben. Wird auf die Einwilligung abgestellt, muss sie festgelegte Anforderungen erfüllen.
Das Gesetz legt außerdem fest:
- Anforderungen an Datenqualität und Verarbeitung
- Transparenz- und Meldepflichten
- Besondere Regeln für sensible personenbezogene Daten
- Vorherige Genehmigung für bestimmte Verarbeitungstätigkeiten mit hohem Risiko
- Rechte der betroffenen Personen, einschließlich Auskunft, Widerspruch, Berichtigung, Sperrung und Löschung
- Beschränkungen internationaler Datenübermittlungen
- Sicherheitsanforderungen sowie technische und organisatorische Anforderungen
- Regeln für Direktmarketing
- Rechte im Zusammenhang mit ausschließlich automatisierten Entscheidungen
- Data-Protection-Governance und Anforderungen an den Data Protection Guardian in bestimmten Fällen
- Beschwerden und behördliche Durchsetzung
- Strafrechtliche Sanktionen, einschließlich Geldstrafen und möglicher Freiheitsstrafe bei bestimmten Verstößen.
Das bahrainische PDPL auf einen Blick
| Anforderung | Bahrainisches PDPL |
|---|---|
| Regelwerk | Gesetz zum Schutz personenbezogener Daten (Personal Data Protection Law) |
| Gesetzesnummer | Gesetz Nr. 30 von 2018 |
| Land | Bahrain |
| Region | Naher Osten / GCC |
| Datum des Inkrafttretens | 1. August 2019 |
| Aufsichtsbehörde | Personal Data Protection Authority (PDPA) |
| Zentrale Begriffe | Verantwortlicher (Data Controller), Auftragsverarbeiter (Data Processor), betroffene Person (Data Subject) |
| Einwilligung | Grundsätzlich erforderlich, sofern keine gesetzliche Ausnahme greift |
| Sensible Daten | Zusätzliche Anforderungen und eine vorherige Genehmigung können gelten |
| Internationale Übermittlungen | Unterliegen Angemessenheitsregeln, Genehmigung und gesetzlichen Ausnahmen |
| Vorherige Meldung | Für bestimmte automatisierte Verarbeitungen erforderlich, vorbehaltlich Ausnahmen |
| Vorherige Genehmigung | Für bestimmte Verarbeitungstätigkeiten erforderlich |
| Data Protection Guardian | In den durch das Gesetz und die Durchführungsvorschriften bestimmten Fällen erforderlich |
| Automatisierte Entscheidungen | Widerspruchsrechte der betroffenen Personen gelten in bestimmten Fällen |
| Gesetzliche Höchstgeldstrafe | Bis zu BHD 20.000 für bestimmte Straftaten |
| Freiheitsstrafe | Bis zu einem Jahr für bestimmte Straftaten |
Das Gesetz errichtete die Personal Data Protection Authority als unabhängige öffentliche Behörde mit Regulierungs-, Aufsichts-, Ermittlungs- und Genehmigungsfunktionen. Der Königliche Erlass Nr. 78 von 2019 bestimmte anschließend die Verwaltungsstelle, die für die Wahrnehmung der Aufgaben der Behörde zuständig ist.
Was ist Bahrains Gesetz zum Schutz personenbezogener Daten?
Das bahrainische Gesetz zum Schutz personenbezogener Daten (PDPL) ist Bahrains zentrales allgemeines Datenschutzgesetz.
Das Gesetz Nr. 30 von 2018 schafft Regeln für die Verarbeitung personenbezogener Daten und begründet Rechte für Personen, deren Daten verarbeitet werden. Außerdem legt es den Regulierungsrahmen für die Personal Data Protection Authority fest.
Das Gesetz erfasst die automatisierte Verarbeitung sowie bestimmte nicht automatisierte Verarbeitungen, bei denen personenbezogene Daten Teil eines Dateisystems sind oder werden sollen.
Das PDPL wurde am 12. Juli 2018 verkündet und trat am 1. August 2019 in Kraft.
Bahrain
In Kraft seit 2019
Asien und Afrika
Wer muss das bahrainische PDPL einhalten?
Das PDPL hat einen weiten räumlichen und persönlichen Anwendungsbereich.
Es gilt für:
- Natürliche Personen mit gewöhnlichem Aufenthalt in Bahrain
- Natürliche Personen, die in Bahrain eine Geschäftsniederlassung unterhalten
- Juristische Personen mit einer Geschäftsniederlassung in Bahrain
- Bestimmte Personen außerhalb Bahrains, die personenbezogene Daten mit Mitteln verarbeiten, die sich in Bahrain befinden, es sei denn, diese Mittel werden ausschließlich für die Durchleitung durch Bahrain genutzt.
Organisationen sollten ihre Berührungspunkte mit Bahrain daher nicht nur danach beurteilen, wo die Organisation gegründet wurde, sondern auch danach, wo Verarbeitungstätigkeiten und Verarbeitungsinfrastruktur angesiedelt sind.
Unternehmen, die Websites, Anwendungen, Kundenplattformen, E-Commerce-Dienste, HR-Systeme, Marketingplattformen oder andere digitale Dienste betreiben, die Personen in Bahrain betreffen, sollten prüfen, ob das PDPL auf ihre Verarbeitungstätigkeiten anwendbar ist.
Welche personenbezogenen Daten sind erfasst?
Das PDPL definiert personenbezogene Daten weit als Informationen über eine identifizierte Person oder eine Person, die direkt oder indirekt identifiziert werden kann.
Beispiele können sein:
- Name
- Nationale Identifikationsangaben
- Anschrift
- Telefonnummer
- E-Mail-Adresse
- Online-Kennungen
- Wirtschaftliche oder soziale Informationen
- Physische oder physiologische Informationen
- Berufliche Informationen
- Informationen, die eine Person anderweitig identifizieren können.
Bei der Beurteilung, ob eine Person identifizierbar ist, werden die Mittel berücksichtigt, die dem Verantwortlichen oder einer anderen Person zur Verfügung stehen.
Was sind sensible personenbezogene Daten nach dem bahrainischen PDPL?
Das PDPL gewährt sensiblen personenbezogenen Daten zusätzlichen Schutz.
Zu den sensiblen personenbezogenen Daten gehören Informationen, die direkt oder indirekt Folgendes offenbaren:
- Rassische oder ethnische Herkunft
- Politische Meinungen
- Philosophische Meinungen
- Religiöse Überzeugungen
- Gewerkschaftszugehörigkeit
- Vorstrafen
- Gesundheitsinformationen
- Sexueller Status.
Die Verarbeitung sensibler personenbezogener Daten ist ohne Einwilligung der betroffenen Person grundsätzlich verboten, sofern nicht eine der gesetzlichen Ausnahmen greift.
Zu den Ausnahmen gehören bestimmte beschäftigungsbezogene Verarbeitungen, der Schutz von Personen, die rechtlich keine Einwilligung erteilen können, öffentlich zugängliche Informationen, die von der betroffenen Person selbst veröffentlicht wurden, Rechtsansprüche oder Verteidigung, gesundheitsbezogene Verarbeitungen, bestimmte gemeinnützige Tätigkeiten, bestimmte Tätigkeiten öffentlicher Stellen sowie bestimmte Verarbeitungen zur Chancengleichheit, die rassische, ethnische oder religiöse Informationen betreffen.
Bahrain hat außerdem den Beschluss Nr. 45 von 2022 erlassen, der zusätzliche Regeln und Verfahren für die Verarbeitung sensibler personenbezogener Daten festlegt.
Rechtsgrundlage für die Verarbeitung personenbezogener Daten
Die Einwilligung ist ein wichtiger Bestandteil des bahrainischen PDPL, aber sie ist nicht die einzige Rechtsgrundlage.
Artikel 4 erlaubt eine Verarbeitung ohne Einwilligung, wenn sie für bestimmte Zwecke erforderlich ist, darunter:
- Erfüllung eines Vertrags, dessen Partei die betroffene Person ist
- Durchführung von Schritten auf Wunsch der betroffenen Person im Hinblick auf den Abschluss eines Vertrags
- Erfüllung einer rechtlichen Verpflichtung oder einer Anordnung eines zuständigen Gerichts bzw. der Staatsanwaltschaft
- Schutz lebenswichtiger Interessen der betroffenen Person
- Wahrnehmung der berechtigten Interessen des Verantwortlichen oder eines Dritten, dem die Daten offengelegt werden, sofern diese Interessen nicht mit den Grundrechten und Grundfreiheiten der betroffenen Person kollidieren.
Unternehmen sollten daher kein pauschales Modell nach dem Motto "Einwilligung für alles" einführen. Stattdessen sollten sie für jede Verarbeitungstätigkeit die anwendbare Rechtsgrundlage bestimmen und die Einwilligung dort einsetzen, wo das PDPL sie verlangt oder zulässt.
Welche Anforderungen gelten für eine wirksame Einwilligung?
Wird nach dem PDPL auf die Einwilligung abgestellt, legt Artikel 24 besondere Anforderungen fest.
Die Einwilligung muss grundsätzlich:
- Von einer voll geschäftsfähigen Person erteilt werden
- Schriftlich sein
- Ausdrücklich sein
- Eindeutig sein
- Spezifisch für die betreffende Verarbeitung sein
- Freiwillig erteilt werden
- Erteilt werden, nachdem die Person über den beabsichtigten Zweck bzw. die beabsichtigten Zwecke der Verarbeitung informiert wurde
- Gegebenenfalls von Informationen über die Folgen einer Verweigerung der Einwilligung begleitet sein.
Die Einwilligung kann elektronisch erteilt werden, wenn die maßgeblichen Anforderungen erfüllt sind.
Für digitale Unternehmen bedeutet dies, dass Einwilligungsmechanismen mehrdeutige Formulierungen, gebündelte Auswahlmöglichkeiten und unklare Zwecke vermeiden sollten.
Eine gut gestaltete Einwilligungsoberfläche sollte klar vermitteln:
- Welche Daten verarbeitet werden
- Warum sie verarbeitet werden
- Wer sie erhalten kann
- Welche Verarbeitungstätigkeiten eine Einwilligung erfordern
- Wie die Einwilligung widerrufen werden kann
Können Personen ihre Einwilligung widerrufen?
Ja.
Eine betroffene Person kann ihre Einwilligung jederzeit durch Mitteilung an den Verantwortlichen widerrufen.
Durchführungsvorschriften regeln darüber hinaus Verfahren für den Widerruf der Einwilligung und verpflichten Organisationen, die sich auf eine Einwilligung stützen, einen geeigneten Mechanismus dafür bereitzustellen. Der Widerruf wirkt sich grundsätzlich auf die künftige einwilligungsbasierte Verarbeitung aus und macht eine vor dem Widerruf rechtmäßige Verarbeitung nicht rückwirkend unwirksam.
Für Websites und Anwendungen sollten Organisationen daher eine praktikable Möglichkeit bieten, mit der Nutzer ihre Einwilligung ändern oder widerrufen können, anstatt die Einwilligung als dauerhaft zu behandeln.
Datenschutzhinweise und Transparenz
Das bahrainische PDPL legt Transparenzanforderungen für Verantwortliche fest.
Personen sollten die Informationen erhalten, die sie benötigen, um zu verstehen, wie ihre personenbezogenen Daten verarbeitet werden.
Der Informationsrahmen umfasst unter anderem:
- Identität des Verantwortlichen
- Tätigkeitsbereich oder Beruf des Verantwortlichen
- Anschrift
- Zwecke der Verarbeitung
- Empfänger oder Kategorien von Empfängern
- Ob die Bereitstellung bestimmter Informationen verpflichtend oder freiwillig ist
- Folgen einer Nichtbereitstellung von Informationen
- Maßgebliche Rechte der betroffenen Person
- Ob personenbezogene Daten für Direktmarketing verwendet werden können.
Datenschutzhinweise sollten daher in klarer und verständlicher Sprache verfasst sein und die tatsächlichen Verarbeitungstätigkeiten der Organisation zutreffend wiedergeben.
Datenminimierung und Datenqualität
Das PDPL enthält Anforderungen an die Datenqualität, die verhindern sollen, dass Organisationen unnötige oder unrichtige personenbezogene Daten erheben und vorhalten.
Organisationen sollten prüfen, ob personenbezogene Daten:
- Für den angegebenen Zweck relevant sind
- Richtig sind
- Soweit erforderlich vollständig sind
- Aktuell sind
- Für rechtmäßige und festgelegte Zwecke verarbeitet werden
- Nur für den gesetzlich zulässigen oder vorgeschriebenen Zeitraum aufbewahrt werden.
Unternehmen sollten Datenbestandsverzeichnisse und Aufbewahrungsverfahren führen, mit denen sie feststellen können, warum Informationen erhoben werden und wie lange sie in ihren Systemen verbleiben sollen.
Rechte der betroffenen Personen nach dem bahrainischen PDPL
Das bahrainische PDPL gewährt Personen mehrere wichtige Rechte.
Recht auf Information
Personen können Auskunft darüber verlangen, ob ihre personenbezogenen Daten verarbeitet werden.
Ein auskunftsbezogenes Ersuchen muss grundsätzlich durch einen Identitätsnachweis belegt und innerhalb der gesetzlichen Frist kostenlos bearbeitet werden. Artikel 18 sieht für die Beantwortung berechtigter Ersuchen eine Frist von 15 Arbeitstagen vor.
Recht auf Auskunft über personenbezogene Daten
Eine betroffene Person kann Informationen über verarbeitete personenbezogene Daten verlangen, einschließlich maßgeblicher Informationen über:
- Die verarbeiteten personenbezogenen Daten
- Die Herkunft der Daten, vorbehaltlich geltender Vertraulichkeitsanforderungen
- Verarbeitungszwecke
- Empfänger oder Kategorien von Empfängern
- Die maßgebliche Verwendung der Informationen im Rahmen automatisierter Entscheidungsfindung.
Recht auf Berichtigung
Personen können eine Berichtigung verlangen, wenn personenbezogene Daten unrichtig, unvollständig oder veraltet sind.
Recht auf Sperrung
Eine betroffene Person kann die Sperrung personenbezogener Daten verlangen, wenn die gesetzlichen Voraussetzungen erfüllt sind.
Recht auf Löschung
Personen können die Löschung verlangen, wenn die Verarbeitung gegen das PDPL verstößt, einschließlich Fällen unrichtiger, unvollständiger, veralteter oder unrechtmäßig verarbeiteter Daten.
Artikel 23 verpflichtet Verantwortliche grundsätzlich, berechtigte Ersuchen um Berichtigung, Sperrung oder Löschung innerhalb von 10 Arbeitstagen zu beantworten, vorbehaltlich des gesetzlichen Rahmens.
Recht auf Widerspruch gegen Direktmarketing
Personen haben ein besonderes Recht, der Verarbeitung zu Zwecken des Direktmarketings zu widersprechen.
Der Verantwortliche muss die betreffende Direktmarketing-Verarbeitung innerhalb der geltenden gesetzlichen Frist nach Eingang eines berechtigten Ersuchens einstellen oder davon absehen, sie aufzunehmen.
Recht auf Widerspruch gegen schädigende Verarbeitung
Eine betroffene Person kann einer Verarbeitung widersprechen, die der Person selbst oder einer anderen Person einen ungerechtfertigten erheblichen materiellen oder immateriellen Schaden zufügt oder wahrscheinlich zufügen wird.
Recht in Bezug auf ausschließlich automatisierte Entscheidungen
Das PDPL gewährt Personen das Recht, bestimmten Entscheidungen zu widersprechen, die ausschließlich auf automatisierter Verarbeitung beruhen.
Beruht eine Entscheidung ausschließlich auf automatisierter Verarbeitung zur Bewertung von Aspekten wie:
- Arbeitsleistung
- Finanzielle Lage
- Kreditwürdigkeit
- Zuverlässigkeit
- Verhalten
kann die betroffene Person verlangen, dass die Entscheidung überprüft wird, ohne sich ausschließlich auf automatisierte Verarbeitung zu stützen. Die Überprüfung muss grundsätzlich kostenlos erfolgen.
Automatisierte Entscheidungsfindung und KI
Das bahrainische PDPL ist für KI-Systeme immer dann relevant, wenn sie personenbezogene Daten verarbeiten.
Artikel 22 ist besonders relevant für automatisierte Entscheidungsfindung, bei der Personen bewertet werden.
Organisationen, die KI, Profiling oder automatisierte Entscheidungssysteme einsetzen, sollten daher prüfen:
- Welche personenbezogenen Daten das System verarbeitet
- Ob die Verarbeitung automatisiert erfolgt
- Ob das System Entscheidungen trifft, die Personen betreffen
- Ob die Entscheidung unter die von Artikel 22 erfassten Kategorien fällt
- Ob sensible, biometrische oder genetische Informationen betroffen sind
- Ob eine vorherige behördliche Genehmigung erforderlich ist
- Wie Personen die geltenden Rechte ausüben können.
Bestimmte biometrische, genetische und überwachungsbezogene Verarbeitungstätigkeiten können eine vorherige schriftliche Genehmigung der Behörde erfordern.
Vorherige Genehmigung für bestimmte Verarbeitungstätigkeiten
Das bahrainische PDPL enthält ein wichtiges System der vorherigen Genehmigung.
Artikel 15 verlangt eine vorherige schriftliche Genehmigung für bestimmte Verarbeitungstätigkeiten, darunter:
- Automatische Verarbeitung sensibler personenbezogener Daten in bestimmten Fällen
- Automatische Verarbeitung biometrischer Daten zur Überprüfung der Identität einer Person
- Automatische Verarbeitung genetischer Daten, vorbehaltlich bestimmter Ausnahmen im Gesundheitswesen
- Automatisierte Verknüpfung von Dateien mit personenbezogenen Daten, die von verschiedenen Verantwortlichen geführt werden, wenn die Dateien für unterschiedliche Zwecke verarbeitet werden
- Verarbeitung mit visueller Aufzeichnung zu Überwachungszwecken.
Organisationen sollten diese Verarbeitungstätigkeiten identifizieren, bevor sie die betreffenden Systeme einsetzen.
Vorherige Meldung an die Personal Data Protection Authority
Artikel 14 legt eine Meldepflicht für bestimmte ganz oder teilweise automatisierte Verarbeitungsvorgänge fest.
Die Meldung kann unter anderem folgende Informationen enthalten:
- Identität und Anschrift des Verantwortlichen
- Angaben zum Auftragsverarbeiter
- Zweck der Verarbeitung
- Beschreibung der Daten
- Kategorien betroffener Personen
- Empfänger der Daten
- Geplante internationale Übermittlungen
- Allgemeine Informationen über Sicherheitsmaßnahmen.
Das Gesetz sieht zudem in bestimmten Fällen Ausnahmen von der vorherigen Meldung vor, darunter bestimmte öffentliche Register, bestimmte gemeinnützige Tätigkeiten, bestimmte Verarbeitungen von Beschäftigtendaten sowie Fälle, in denen ein Data Protection Guardian benannt wurde.
Data Protection Guardian
Der bahrainische Datenschutzrahmen umfasst ein System des Data Protection Guardian (DPG).
Der Beschluss Nr. 46 von 2022 legt Regeln für die Benennung interner oder externer Data Protection Guardians fest, einschließlich Anforderungen an Registrierung, Akkreditierung und Aufsicht.
Der DPG-Rahmen sollte nicht automatisch als universelle Anforderung für jede Organisation behandelt werden. Unternehmen sollten prüfen, ob die Umstände ihrer Verarbeitung sie unter die geltenden Anforderungen fallen lassen.
Datensicherheit nach dem bahrainischen PDPL
Das PDPL verlangt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.
Sicherheitsmaßnahmen sollten Risiken adressieren, darunter:
- Unbeabsichtigter Verlust
- Unbefugte Vernichtung
- Unbefugte Veränderung
- Unbefugte Offenlegung
- Unbefugter Zugriff
- Sonstige unrechtmäßige Verarbeitung.
Artikel 8 verpflichtet Organisationen, Faktoren wie die neuesten technologischen Sicherheitsmaßnahmen, die Implementierungskosten, die Art der Daten und mögliche Risiken zu berücksichtigen.
Der bahrainische Beschluss Nr. 43 von 2022 enthält zusätzliche Anforderungen an technische und organisatorische Maßnahmen und behandelt Datenschutz-Folgenabschätzungen, Meldung von Datenschutzverletzungen, Vereinbarungen mit Auftragsverarbeitern, interne Untersuchungsverfahren und Mitarbeiterschulungen.
Privacy by Design und organisatorische Kontrollen
Datenschutz-Compliance sollte in Systeme und Prozesse integriert und nicht nur als Dokumentationsaufgabe behandelt werden.
Organisationen sollten Datenschutzkontrollen berücksichtigen, wenn sie:
- Neue digitale Produkte einführen
- Neue Tracking-Technologien einführen
- Kundendatenbanken implementieren
- KI- oder automatisierte Entscheidungssysteme einsetzen
- Dienste Dritter integrieren
- Mehrere Datenbestände miteinander verbinden
- Neue Überwachungssysteme einführen
- Zwecke der Datenverarbeitung ändern.
Eine dokumentierte Datenschutzbewertung kann helfen festzustellen, ob eine neue Verarbeitungstätigkeit eine Meldung, eine vorherige Genehmigung, eine Einwilligung, vertragliche Kontrollen oder zusätzliche Sicherheitsvorkehrungen erfordert.
Auftragsverarbeiter und Drittanbieter
Organisationen nutzen häufig externe Dienstleister zur Verarbeitung personenbezogener Daten.
Beispiele sind:
- Cloud-Plattformen
- CRM-Anbieter
- Marketingplattformen
- Analyseanbieter
- Zahlungsdienstleister
- Kundensupportsysteme
- Hosting-Anbieter
- Anbieter von Werbetechnologie
- SaaS-Anwendungen.
Verantwortliche sollten Vereinbarungen mit Auftragsverarbeitern sorgfältig prüfen und sicherstellen, dass angemessene vertragliche und sicherheitstechnische Kontrollen bestehen.
Der Durchführungsrahmen behandelt ausdrücklich Vereinbarungen mit externen Auftragsverarbeitern und Dritten, einschließlich ihres Verhältnisses zu den Anforderungen an internationale Datenübermittlungen.
Internationale Datenübermittlungen
Bahrain schreibt nicht pauschal vor, dass alle personenbezogenen Daten physisch in Bahrain verbleiben müssen.
Stattdessen legen die Artikel 12 und 13 Regeln für die Übermittlung personenbezogener Daten außerhalb des Königreichs fest.
Eine Übermittlung kann grundsätzlich erfolgen, wenn das Zielland ein angemessenes Schutzniveau bietet oder eine anwendbare gesetzliche Ausnahme bzw. ein Genehmigungsmechanismus greift.
Die Behörde unterhält einen Rahmen zur Bestimmung von Ländern und Gebieten, die als angemessen schützend gelten.
Bahrain hat außerdem den Beschluss Nr. 42 von 2022 erlassen, der zusätzliche Regeln für die Übermittlung personenbezogener Daten außerhalb des Königreichs enthält, einschließlich Übermittlungen in gelistete Länder und Gebiete sowie bestimmter Übermittlungen auf Grundlage von Verträgen und behördlicher Genehmigung.
Was Unternehmen tun sollten
Vor einer internationalen Übermittlung personenbezogener Daten sollten Organisationen feststellen:
- Welche Daten übermittelt werden
- Warum sie übermittelt werden
- Wohin sie gehen
- Wer sie erhält
- Ob das Zielland als angemessen schützend anerkannt ist
- Ob eine Genehmigung erforderlich ist
- Ob eine vertragliche Garantie oder eine andere gesetzliche Ausnahme greift.
Datenschutzverletzungen und Vorfallmanagement
Das bahrainische PDPL verpflichtet Organisationen, angemessene Sicherheitskontrollen aufrechtzuerhalten, und enthält regulatorische Anforderungen in Bezug auf Datenschutzverletzungen.
Der Beschluss Nr. 43 von 2022 behandelt ausdrücklich die Pflicht zur Meldung von Datenschutzverletzungen oder Verstößen und verpflichtet Organisationen, geeignete interne Prozesse zur Untersuchung von Sicherheitsvorfällen einzurichten.
Der bahrainische Rahmen sollte nicht als universelle 72-Stunden-Meldepflicht für Datenschutzverletzungen dargestellt werden. Organisationen sollten die für den konkreten Vorfall geltenden gesetzlichen und durchführungsrechtlichen Anforderungen prüfen.
Ein praxistauglicher Prozess zur Reaktion auf Datenschutzverletzungen sollte umfassen:
- Erkennung von Vorfällen
- Eindämmung
- Untersuchung
- Risikobewertung
- Dokumentation
- Regulatorische Bewertung
- Meldung, soweit erforderlich
- Behebung
- Nachbereitung des Vorfalls.
Direktmarketing und Datenschutz
Direktmarketing wird im bahrainischen PDPL ausdrücklich behandelt.
Geht ein Verantwortlicher davon aus, dass personenbezogene Daten für Direktmarketing verarbeitet werden können, muss die betroffene Person über ihr Widerspruchsrecht informiert werden.
Personen können ihren Widerspruch gegen Direktmarketing kostenlos ausüben, und Verantwortliche unterliegen gesetzlichen Anforderungen an die Beantwortung.
Unternehmen, die Folgendes nutzen:
- E-Mail-Marketing
- SMS-Kampagnen
- Kundensegmentierung
- Retargeting
- Werbemitteilungen
- Personalisierte Werbung
sollten daher sicherstellen, dass ihre Marketingpraktiken, Datenschutzhinweise und Opt-out-Mechanismen mit den Anforderungen Bahrains übereinstimmen.
Cookies und Online-Tracking
Das bahrainische PDPL gilt für die elektronisch durchgeführte Verarbeitung personenbezogener Daten.
Cookies, Pixel, SDKs, Werbetechnologien und Analysetools können daher unter das Gesetz fallen, wenn sie Informationen verarbeiten, die eine Person identifizieren oder identifizieren können.
Organisationen sollten jedoch nicht automatisch davon ausgehen, dass jedes Cookie nach dem bahrainischen PDPL eine Einwilligung erfordert.
Der richtige Ansatz besteht darin:
- Jedes Cookie bzw. jeden Tracker zu identifizieren
- Festzustellen, ob es bzw. er personenbezogene Daten verarbeitet
- Den Zweck zu ermitteln
- Die anwendbare Rechtsgrundlage zu bestimmen
- Festzustellen, ob eine Einwilligung erforderlich ist
- Angemessene Hinweise bereitzustellen
- Einwilligungsabhängige Verarbeitung vor einer wirksamen Einwilligung zu verhindern, wenn die Einwilligung die anwendbare Grundlage ist
- Nachweise über Einwilligung und Widerruf aufzubewahren.
Dies ist besonders wichtig für Werbe- und verhaltensbasierte Tracking-Technologien.
Einwilligungsmanagement für Websites in Bahrain
Für Websites, die in Bahrain betrieben werden, sollte das Einwilligungsmanagement an den tatsächlichen Verarbeitungstätigkeiten ausgerichtet sein, anstatt einfach ein generisches Cookie-Banner anzuzeigen.
Eine konforme Einwilligungserfahrung kann Folgendes umfassen:
- Klare Einwilligungsanfragen
- Zweckspezifische Auswahlmöglichkeiten
- Separate Steuerungen für optionale Verarbeitung
- Klare Datenschutzinformationen
- Einfache Widerrufsmechanismen
- Einwilligungsaufzeichnungen
- Einwilligungsnachweise mit Zeitstempel
- Nachverfolgung von Richtlinien/Versionen
- Regionale Regeln
- Integration mit Tags und Trackern.
ConsentX kann Organisationen dabei helfen, diese Kontrollen auf Websites und digitalen Produkten praktisch umzusetzen.
Wie ConsentX bei der Einhaltung des bahrainischen PDPL hilft
ConsentX kann Organisationen bei der Umsetzung technischer Einwilligungs- und Datenschutz-Workflows für Bahrain unterstützen.
1. Cookies und Tracker erkennen
Scannen Sie Ihre Website, um Cookies, Tracker und Technologien Dritter zu identifizieren, die personenbezogene Daten erheben oder verarbeiten können.
2. Eine für Bahrain geeignete Einwilligungserfahrung aufbauen
Konfigurieren Sie Einwilligungshinweise entsprechend den Verarbeitungstätigkeiten und der Rechtsgrundlage, die für Besucher in Bahrain gelten.
3. Tracker vor der Einwilligung kontrollieren
Ist die Einwilligung die anwendbare Rechtsgrundlage, kann ConsentX helfen zu verhindern, dass nicht notwendige Tracking-Technologien ausgelöst werden, bevor die Einwilligung erteilt wurde.
4. Eindeutige Einwilligung erfassen
Verwenden Sie zweckspezifische Einwilligungssteuerungen, anstatt sich auf eine einzige generische Zustimmungsschaltfläche zu verlassen.
5. Einwilligungsnachweise aufbewahren
Speichern Sie Aufzeichnungen der Nutzerentscheidungen, damit Organisationen nachweisen können, was angezeigt wurde und was die Person ausgewählt hat.
6. Widerruf verwalten
Stellen Sie Mechanismen bereit, mit denen Personen ihre Einwilligung ändern oder widerrufen können, wenn die Einwilligung die Grundlage der Verarbeitung ist.
7. Workflows für Datenschutzrechte unterstützen
Bündeln Sie eingehende Datenschutzanfragen zentral und helfen Sie Teams, Workflows für Auskunft, Widerspruch, Berichtigung, Sperrung und Löschung zu verwalten.
8. Audit-Bereitschaft unterstützen
Führen Sie strukturierte Aufzeichnungen, die Datenschutzteams bei der Dokumentation von Einwilligungen und damit verbundenen Verarbeitungsentscheidungen unterstützen können.
So erfüllen Sie das bahrainische PDPL mit ConsentX
- 1
Website scannen
Führen Sie einen ConsentX-Scan durch, um Cookies, Tracker, Skripte und Technologien Dritter zu identifizieren.
- 2
Verarbeitungstätigkeiten erfassen
Ermitteln Sie, welche personenbezogenen Daten erhoben werden, warum sie erhoben werden, wer sie erhält und ob sie außerhalb Bahrains übermittelt werden.
- 3
Rechtsgrundlage bestimmen
Gehen Sie nicht davon aus, dass jede Verarbeitungstätigkeit eine Einwilligung erfordert. Bestimmen Sie, ob die Verarbeitung nach dem PDPL auf Einwilligung, vertraglicher Notwendigkeit, rechtlichen Verpflichtungen, lebenswichtigen Interessen oder berechtigten Interessen beruht.
- 4
Einwilligungsbanner konfigurieren
Bieten Sie Nutzern bei einwilligungsbasierter Verarbeitung klare und spezifische Auswahlmöglichkeiten.
- 5
Einwilligungsabhängige Tracker blockieren
Stellen Sie sicher, dass optionale Tracker nicht ausgeführt werden, bevor die erforderliche Einwilligung vorliegt.
- 6
Einwilligung aufzeichnen
Bewahren Sie Einwilligungsnachweise auf, einschließlich des betreffenden Zwecks, des Zeitstempels und des Einwilligungsstatus.
- 7
Widerruf ermöglichen
Machen Sie es Personen leicht, ihre Auswahl zu ändern oder ihre Einwilligung zu widerrufen.
- 8
Einwilligung mit Datenschutzrechten verknüpfen
Pflegen Sie Workflows für Anfragen zu Auskunft, Widerspruch, Berichtigung, Sperrung und Löschung.
- 9
Internationale Übermittlungen prüfen
Identifizieren Sie Dienste Dritter, die personenbezogene Daten aus Bahrain erhalten, und bewerten Sie den anwendbaren Mechanismus für grenzüberschreitende Übermittlungen.
- 10
Verarbeitung mit hohem Risiko prüfen
Prüfen Sie, ob sensible Daten, biometrische Daten, genetische Daten, automatisierte Datenverknüpfung oder Überwachungsverarbeitung Anforderungen an eine vorherige Genehmigung auslösen.
Compliance-Checkliste für das bahrainische PDPL
Nutzen Sie die folgende Checkliste als Ausgangspunkt für ein Datenschutz-Compliance-Programm für Bahrain:
- Feststellen, ob das bahrainische PDPL anwendbar ist
- Verarbeitungstätigkeiten mit personenbezogenen Daten erfassen
- Verantwortliche und Auftragsverarbeiter identifizieren
- Sensible personenbezogene Daten identifizieren
- Den Zweck jeder Verarbeitungstätigkeit dokumentieren
- Die anwendbare Rechtsgrundlage bestimmen
- Wo erforderlich, eine wirksame Einwilligung einholen
- Sicherstellen, dass die Einwilligung ausdrücklich, eindeutig, spezifisch und freiwillig ist
- Angemessene Datenschutzinformationen bereitstellen
- Mechanismen zum Widerruf der Einwilligung bereitstellen
- Richtige und relevante personenbezogene Daten pflegen
- Aufbewahrungs- und Löschverfahren einrichten
- Sicherheitsvorkehrungen umsetzen
- Verträge mit Auftragsverarbeitern prüfen
- Internationale Datenübermittlungen bewerten
- Feststellen, ob eine vorherige Meldung erforderlich ist
- Feststellen, ob eine vorherige Genehmigung erforderlich ist
- Anforderungen an den Data Protection Guardian bewerten
- Verfahren für Anfragen betroffener Personen einrichten
- Auskunftsersuchen unterstützen
- Ersuchen um Berichtigung, Sperrung und Löschung unterstützen
- Widersprüche gegen Direktmarketing unterstützen
- Anwendbare Widersprüche gegen automatisierte Entscheidungen unterstützen
- Verfahren zur Reaktion auf Datenschutzverletzungen einrichten
- Datenschutzdokumentation und Aufzeichnungen pflegen
- Compliance regelmäßig überprüfen.
Sanktionen nach dem bahrainischen PDPL
Das PDPL enthält strafrechtliche Sanktionen für bestimmte Verstöße.
Artikel 58 sieht für bestimmte Straftaten eine Freiheitsstrafe von bis zu einem Jahr und/oder eine Geldstrafe zwischen BHD 1.000 und BHD 20.000 vor, darunter bestimmte unrechtmäßige Verarbeitungen sensibler personenbezogener Daten, unrechtmäßige internationale Übermittlungen, das Unterlassen vorgeschriebener behördlicher Meldungen, die Verarbeitung ohne erforderliche vorherige Genehmigung sowie die Übermittlung unrichtiger oder irreführender Informationen an die Behörde oder die betroffene Person.
Der Sanktionsrahmen sollte daher nicht auf eine einzige "Höchststrafe für jeden Verstoß" reduziert werden. Die anwendbare Sanktion hängt von der konkreten Straftat und der betroffenen Bestimmung ab.
Organisationen sollten zudem mögliche Schadensersatzansprüche und andere behördliche Folgen unrechtmäßiger Verarbeitung berücksichtigen.
Wer setzt das bahrainische PDPL durch?
Die Personal Data Protection Authority (PDPA) ist nach dem Gesetz als zuständige Datenschutzbehörde eingerichtet.
Zu ihren gesetzlichen Aufgaben gehören:
- Überwachung der Einhaltung
- Inspektion von Verantwortlichen
- Entgegennahme behördlicher Meldungen
- Erteilung vorheriger Genehmigungen
- Akkreditierung von Data Protection Guardians
- Entgegennahme von Beschwerden
- Untersuchung möglicher Verstöße
- Förderung des Datenschutzbewusstseins
- Mitwirkung an internationalen Datenschutzangelegenheiten.
Das offizielle Regierungsportal Bahrains führt das Gesetz zum Schutz personenbezogener Daten und die zugehörigen Durchführungsbeschlüsse als Teil des Datenschutzrahmens des Königreichs auf.
Einreichen einer Datenschutzbeschwerde in Bahrain
Personen und andere Personen mit einem berechtigten Interesse oder einer entsprechenden Befugnis können eine schriftliche Beschwerde einreichen, wenn sie der Ansicht sind, dass personenbezogene Daten unter Verstoß gegen das PDPL verarbeitet werden.
Das Gesetz sieht vor, dass Beschwerden bei der Behörde eingereicht werden, und legt Verfahren für die Entgegennahme und Bearbeitung solcher Beschwerden fest.
Das bahrainische PDPL und Einwilligungsmanagement
Einwilligungsmanagement ist für Organisationen in Bahrain besonders relevant, weil das PDPL besondere Anforderungen an die Einwilligung festlegt, wenn auf sie abgestellt wird.
Eine moderne Plattform für Einwilligungsmanagement kann Organisationen dabei helfen:
- Einwilligungsabhängige Verarbeitung zu identifizieren
- Klare Einwilligungsanfragen darzustellen
- Ausdrückliche Entscheidungen zu erfassen
- Einwilligungsnachweise aufzubewahren
- Widerrufe zu verwalten
- Website-Tracker zu kontrollieren
- Präferenzen auf Zweckebene zu verwalten
- Workflows für Datenschutzrechte zu unterstützen
- Operative Compliance nachzuweisen.
ConsentX bietet eine technische Ebene zur Verwaltung dieser Workflows, während Organisationen weiterhin selbst für die Bestimmung ihrer rechtlichen Pflichten verantwortlich bleiben.
Warum Unternehmen in Bahrain eine strukturierte Einwilligungsstrategie brauchen
Ein Datenschutz-Compliance-Programm sollte über eine Seite mit der Datenschutzerklärung hinausgehen.
Organisationen müssen den Zusammenhang verstehen zwischen:
Datenerhebung → Zweck → Rechtsgrundlage → Einwilligung → Verarbeitung → Dritte → Internationale Übermittlungen → Aufbewahrung → Rechte der betroffenen Personen
Eine Plattform für Einwilligungsmanagement kann helfen, diese operativen Schritte miteinander zu verbinden.
Insbesondere für Websites kann ConsentX dabei helfen, Datenschutzanforderungen in praktische Kontrollen für Cookies, Tracker und andere Online-Technologien umzusetzen.
Häufig gestellte Fragen
Land im Geltungsbereich des bahrainischen PDPL
Land: Bahrain
Offizielles Regelwerk: Gesetz zum Schutz personenbezogener Daten (Personal Data Protection Law)
Gesetz: Gesetz Nr. 30 von 2018
In Kraft seit: 1. August 2019
Region: Naher Osten / GCC
Aufsichtsbehörde: Personal Data Protection Authority
البحرينWeitere Datenschutzregelungen
Unternehmen, die in mehreren Rechtsordnungen tätig sind, müssen möglicherweise auch Folgendes prüfen:
- DSGVO (GDPR)
- UK GDPR
- CCPA / CPRA
- UAE PDPL
- Saudi PDPL
- Qatar PDPPL
- Oman PDPL
- Datenschutzanforderungen in Kuwait
- Singapore PDPA
- Thailand PDPA
- India DPDPA
- Brazil LGPD
- South Africa POPIA
- Australia Privacy Act
- New Zealand Privacy Act
- Sonstige anwendbare nationale und branchenspezifische Datenschutzgesetze.
Eine rechtsordnungsübergreifende Einwilligungsstrategie sollte Unterschiede bei Rechtsgrundlagen, Einwilligungsanforderungen, Cookies, internationalen Übermittlungen, Rechten der betroffenen Personen und regulatorischen Pflichten berücksichtigen.
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 29733
Law 18.331Mit ConsentX bereit für das bahrainische PDPL
Das bahrainische PDPL verlangt von Organisationen einen strukturierten Ansatz für die Verarbeitung personenbezogener Daten, Einwilligung, Transparenz, Sicherheit, individuelle Rechte und internationale Datenübermittlungen.
ConsentX hilft, diese Datenschutzanforderungen in praktische Website-Kontrollen umzusetzen.
Scannen Sie Ihre Website. Identifizieren Sie Tracker. Konfigurieren Sie die Einwilligung. Zeichnen Sie Nutzerentscheidungen auf. Verwalten Sie Datenschutzanfragen.
Starten Sie mit ConsentX oder buchen Sie eine Demo.