Israel PPL Compliance mit ConsentX

Was ist Israels Datenschutzgesetz?

Das Datenschutzgesetz, 5741-1981, ist Israels grundlegendes Datenschutzgesetz.

Es regelt Tätigkeiten im Zusammenhang mit personenbezogenen Informationen und Datenbanken und schützt Personen vor rechtswidriger oder unangemessener Nutzung ihrer Informationen.

Historisch konzentrierte sich der israelische Rahmen stark auf den Begriff der „Datenbanken“ sowie auf die Verantwortlichkeiten von Datenbankeigentümern, -inhabern und -verwaltern.

Änderung 13 hat Terminologie und Struktur aktualisiert, um das Gesetz näher an moderne Datenschutzkonzepte heranzuführen, und den Begriff der personenbezogenen Informationen erweitert.

Nach dem geänderten Rahmen sind personenbezogene Informationen im Kern Informationen über eine identifizierte oder identifizierbare Person.

Änderung 13 zum israelischen Datenschutzgesetz

Änderung Nr. 13 stellt die bedeutendste Modernisierung des israelischen Datenschutzrahmens seit Jahrzehnten dar.

Sie trat am 14. August 2025 in Kraft, ein Jahr nach ihrer Veröffentlichung und Verabschiedung.

Die wesentlichen Änderungen betreffen:

• Eine erweiterte Definition personenbezogener Informationen
• Engere Registrierungspflichten für Datenbanken
• Neue Pflichten zur Bestellung eines Datenschutzbeauftragten
• Stärkere behördliche Durchsetzung

Änderung 13 hat zudem die gesetzliche Unabhängigkeit der PPA begründet und ihre Durchsetzungsbefugnisse erweitert. Jede dieser Änderungen wird in den folgenden Abschnitten dargestellt.

Änderung 13: erweiterte Definition personenbezogener Informationen

Das geänderte Gesetz verwendet den weiter gefassten Begriff der personenbezogenen Informationen und erfasst Informationen über eine identifizierte oder identifizierbare Person.

Dies ist besonders relevant für digitale Unternehmen, die Folgendes verarbeiten:

• Namen
• E-Mail-Adressen
• Telefonnummern
• Identifikationsnummern
• Online-Kennungen
• Standortinformationen
• Finanzinformationen
• Gesundheitsinformationen
• Biometrische Informationen
• Verhaltensbezogene Informationen
• Sonstige Informationen, die eine Person identifizieren können

Änderung 13: engere Registrierungspflichten für Datenbanken

Änderung 13 hat die Kategorien registrierungspflichtiger Datenbanken erheblich eingeschränkt.

Die Registrierung gilt grundsätzlich weiterhin für:

• Von öffentlichen Stellen geführte Datenbanken, vorbehaltlich gesetzlicher Ausnahmen
• Bestimmte Datenbanken mit Informationen über mindestens 10.000 Personen, deren Hauptzweck die Erhebung personenbezogener Informationen zur Weitergabe an andere als Geschäftstätigkeit oder gegen Entgelt ist, einschließlich Direktwerbung

Der Wegfall einer Registrierungspflicht bedeutet jedoch nicht, dass eine Organisation von den materiellen Datenschutz- und Sicherheitspflichten des Gesetzes befreit ist.

Änderung 13: neue Pflichten zum Datenschutzbeauftragten

Bestimmte Organisationen müssen einen Datenschutzbeauftragten bestellen.

Dazu zählen unter anderem:

• Öffentliche Stellen
• Datenhändler und Direktmarketing-Organisationen, die gesetzliche Schwellenwerte erreichen
• Organisationen, die in erheblichem Umfang systematische und fortlaufende Überwachung betreiben
• Organisationen, deren Haupttätigkeit die Verarbeitung besonders sensibler personenbezogener Informationen in erheblichem Umfang umfasst

Banken, Versicherungen, Krankenhäuser und Krankenkassen zählen ausdrücklich zu den im gesetzlichen Rahmen genannten Organisationstypen.

Änderung 13: stärkere behördliche Durchsetzung

Die PPA verfügt nun über deutlich stärkere Durchsetzungs- und Sanktionsbefugnisse.

Änderung 13 ermöglicht behördliche Durchsetzung, ohne dass jede Sanktion den ordentlichen Gerichtsweg durchlaufen muss.

Welche personenbezogenen Informationen sind erfasst?

Das geänderte PPL definiert personenbezogene Informationen weit.

Je nach Umständen können personenbezogene Informationen umfassen:

• Vollständiger Name
• Identifikationsnummer
• Kontaktdaten
• Adresse
• E-Mail-Adresse
• Telefonnummer
• Beschäftigungsinformationen
• Finanzinformationen
• Gesundheitsinformationen
• Biometrische Informationen
• Standortinformationen
• Online-Kennungen
• Verhaltensbezogene Informationen
• Informationen über das Familien- oder Privatleben einer Person

Entscheidend ist die Frage, ob sich die Informationen auf eine identifizierte oder identifizierbare Person beziehen.

Besonders sensible personenbezogene Informationen

Änderung 13 hat den Begriff der Informationen besonderer Sensibilität eingeführt und erweitert.

Diese Kategorie umfasst Informationen zu Bereichen wie:

• Familienleben
• Sexuelle Orientierung
• Gesundheit
• Genetische Informationen
• Herkunft
• Vorstrafen
• Politische Meinungen
• Bestimmte biometrische Kennungen
• Sonstige nach dem Gesetz als besonders sensibel eingestufte Informationen

Der Umgang mit besonders sensiblen Informationen ist vor allem bei der Beurteilung folgender Punkte wichtig:

• Sicherheitsanforderungen
• Transparenz
• Data Governance
• DPO-Pflichten
• Verarbeitung in großem Umfang
• Regulatorisches Risiko

Bei Organisationen, die besonders sensible Informationen in erheblichem Umfang verarbeiten, kann die Verarbeitung die gesetzliche Pflicht zur Bestellung eines DPO auslösen.

Verlangt Israel eine Einwilligung für die Verarbeitung personenbezogener Daten?

Die Einwilligung ist ein wichtiges rechtliches Instrument, doch es wäre unzutreffend, das israelische Datenschutzrecht so darzustellen, als verlange es für jede Verarbeitung personenbezogener Daten eine Einwilligung.

Das PPL stellt Anforderungen an die informierte Einwilligung, doch eine Verarbeitung kann auch nach anderen Vorschriften des Gesetzes oder aufgrund einer anderen einschlägigen Rechtsgrundlage zulässig sein.

Organisationen sollten daher bestimmen:

• Welche personenbezogenen Informationen erhoben werden
• Warum sie erhoben werden
• Welche gesetzliche Vorschrift die Verarbeitung erlaubt
• Ob eine Einwilligung erforderlich ist
• Welche Informationen der betroffenen Person bereitzustellen sind
• Ob eine andere rechtliche Anforderung greift

Die PPA hat im Nachgang zu Änderung 13 Leitlinien zur informierten Einwilligung veröffentlicht.

Informierte Einwilligung nach dem israelischen PPL

Ist eine Einwilligung erforderlich, sollte sie informiert erfolgen.

Betroffene Personen sollten vor der Erteilung der Einwilligung aussagekräftige Informationen über die Verarbeitung erhalten.

Ein Einwilligungsmechanismus sollte daher klar vermitteln:

• Welche Informationen erhoben werden
• Warum sie erhoben werden
• Wie sie genutzt werden
• Relevante Empfänger oder Dritte
• Die Folgen der Erteilung oder Verweigerung der Einwilligung, soweit relevant
• Wie die betroffene Person ihre Rechte ausüben kann

Organisationen sollten Folgendes vermeiden:

• Vorausgewählte optionale Auswahlmöglichkeiten
• Mehrdeutige Einwilligungsformulierungen
• Verborgene Verarbeitungszwecke
• Gebündelte Zwecke, die sich nicht sinnvoll trennen lassen
• Einwilligungen ohne ausreichende Information

Die PPA hat aktualisierte Materialien zu Änderung 13 und zur Einwilligung veröffentlicht, darunter Leitlinien, die Organisationen bei der Umsetzung der geänderten Anforderungen unterstützen sollen.

Widerruf der Einwilligung

Beruht die Verarbeitung auf einer Einwilligung, sollten Organisationen einen geeigneten Mechanismus für deren Widerruf bereitstellen.

Ein Widerrufsmechanismus sollte:

• Leicht auffindbar sein
• Verständlich sein
• Zugänglich sein
• Mit dem ursprünglichen Einwilligungsmechanismus im Einklang stehen
• Operativ umsetzbar sein

Organisationen sollten zudem Aufzeichnungen über den Einwilligungsstand und spätere Änderungen führen.

Für Websites und Anwendungen bedeutet dies, dass Datenschutzentscheidungen nicht als einmaliges Ereignis behandelt werden sollten.

Datenschutzhinweise und Transparenz

Israels Datenschutzrahmen misst der Transparenz erhebliche Bedeutung bei.

Bei der Erhebung personenbezogener Informationen sollten Organisationen den betroffenen Personen angemessene Informationen über die Erhebung und die beabsichtigte Nutzung bereitstellen.

Ein Datenschutzhinweis sollte in der Regel erläutern:

• Die Identität der betreffenden Organisation
• Den Zweck der Erhebung
• Die Art der erhobenen Informationen
• Wie die Informationen genutzt werden
• Relevante Empfänger
• Einschlägige Rechte
• Wie die betroffenen Personen die Organisation kontaktieren können
• Weitere gesetzlich vorgeschriebene Informationen

Dies ist seit Änderung 13 besonders wichtig, da das geänderte Gesetz die Erwartungen an Transparenz und Rechenschaftspflicht verschärft.

Zweckbindung

Personenbezogene Informationen sollten im Einklang mit den Zwecken verarbeitet werden, für die sie rechtmäßig erhoben wurden.

Organisationen sollten es vermeiden, Informationen nach dem Prinzip „erst erheben, später entscheiden“ zu sammeln.

Vor der Einführung einer neuen Verarbeitungstätigkeit sollten Unternehmen fragen:

• Wurden die Informationen für diesen Zweck erhoben?
• Ist die neue Nutzung mit dem ursprünglichen Zweck vereinbar?
• Wurde die betroffene Person angemessen informiert?
• Ist eine zusätzliche Einwilligung erforderlich?
• Gibt es eine andere Rechtsgrundlage?
• Entstehen durch die neue Nutzung zusätzliche Datenschutzrisiken?

Die Zweckdokumentation sollte Teil des Datenschutz-Governance-Programms der Organisation sein.

Datenminimierung

Organisationen sollten die Erhebung personenbezogener Informationen auf das beschränken, was für den beabsichtigten Zweck relevant ist.

So sollte eine Organisation es vermeiden, Folgendes zu erheben:

• Übermäßige Identifikationsinformationen
• Unnötige demografische Informationen
• Sensible Informationen ohne definierten Bedarf
• Zusätzliche Marketinginformationen ohne klaren Zweck

Datenminimierung senkt zugleich Sicherheits- und Compliance-Risiken.

Rechte der Betroffenen nach dem israelischen PPL

Der israelische Datenschutzrahmen gewährt Personen wichtige Rechte in Bezug auf personenbezogene Informationen.

Recht auf Auskunft. Personen haben Rechte auf Zugang zu den über sie gespeicherten Informationen, vorbehaltlich gesetzlicher Voraussetzungen und Ausnahmen. Organisationen sollten Prozesse vorhalten, mit denen sich einschlägige Informationen auffinden und qualifizierte Anfragen beantworten lassen.

Recht auf Berichtigung. Personen können die Berichtigung von Informationen verlangen, wenn diese unrichtig oder unvollständig sind.

Organisationen sollten daher Mechanismen vorhalten für:

• Entgegennahme von Berichtigungsanfragen
• Prüfung der Anfrage
• Aktualisierung der betreffenden Datensätze
• Benachrichtigung der maßgeblichen Empfänger, soweit erforderlich

Datenschutzrechtliche Einwände und Beschwerden. Personen können Bedenken zu rechtswidriger oder unangemessener Verarbeitung vorbringen und die einschlägigen behördlichen und gerichtlichen Wege nutzen.

Die Organisation sollte einen dokumentierten Prozess zur Bearbeitung von Datenschutzbeschwerden und Rechteanfragen vorhalten.

Anforderungen an die Datensicherheit

Israel verfügt über einen detaillierten Sicherheitsrahmen nach den Datenschutzverordnungen (Datensicherheit), 5777-2017.

Die Verordnungen begründen technische und organisatorische Anforderungen an die Sicherheit von Datenbanken.

Die Umsetzungsleitlinien der PPA behandeln Anforderungen wie:

• Zugriffsverwaltung
• Berechtigungskontrollen
• Personelle Sicherheit
• Identifizierung und Authentifizierung
• Netzwerksicherheit
• Sicherheit bei der Datenübertragung
• Backup und Wiederherstellung
• Physische Sicherheit
• Dokumentation
• Regelmäßige Überprüfungen
• Umgang mit Sicherheitsvorfällen

So führen die Leitlinien der PPA aus, dass Zugriffsberechtigungen entsprechend der Rolle der Beschäftigten beschränkt werden sollten und eine aktuelle Liste der Berechtigungen zu führen ist.

Für Datenbanken, die mit dem Internet oder öffentlichen Netzen verbunden sind, stellen die Verordnungen zudem Anforderungen an den Schutz vor unbefugtem Zugriff und Schadsoftware auf und verlangen für bestimmte Datenübertragungen eine geeignete Verschlüsselung.

Anforderungen bei Datenschutzverletzungen und Sicherheitsvorfällen

Die israelischen Datensicherheitsverordnungen begründen besondere Anforderungen für schwerwiegende Sicherheitsvorfälle.

Organisationen sollten dokumentierte Verfahren haben für:

• Erkennung von Sicherheitsvorfällen
• Bewertung ihrer Schwere
• Eindämmung des Vorfalls
• Untersuchung der Ursache
• Beweissicherung
• Feststellung behördlicher Meldepflichten
• Kommunikation mit betroffenen Parteien, soweit erforderlich
• Behebung der zugrunde liegenden Schwachstelle

Die PPA stellt ausführliche Leitlinien zu Informationssicherheitspflichten und schwerwiegenden Sicherheitsvorfällen bereit.

Organisationen sollten nicht davon ausgehen, dass eine allgemeine internationale 72-Stunden-Meldefrist automatisch für jeden israelischen Vorfall gilt.

Datenschutzbeauftragter (DPO)

Eine der wichtigsten Neuerungen der Änderung 13 ist das gesetzliche DPO-Regime.

Ein DPO ist für bestimmte Kategorien von Organisationen erforderlich, darunter bestimmte Organisationen, die:

• Öffentliche Stellen sind
• Daten im Auftrag öffentlicher Stellen verarbeiten
• Datenhandels- oder Direktwerbegeschäfte betreiben, die den gesetzlichen Schwellenwert erreichen
• Personen in erheblichem Umfang systematisch und fortlaufend überwachen
• Besonders sensible personenbezogene Informationen in erheblichem Umfang verarbeiten

Der DPO muss über angemessene Kenntnisse und fachliche Fähigkeiten verfügen und die gesetzlichen Aufgaben der Datenschutz-Governance wahrnehmen.

Die PPA hat anschließend abschließende Leitlinien zur Pflicht der DPO-Bestellung veröffentlicht, einschließlich ihrer Auslegung der gesetzlichen Anforderungen.

Ein DPO ist nicht für jedes israelische Unternehmen verpflichtend. Organisationen sollten prüfen, ob sie unter eine der gesetzlichen Kategorien fallen.

Datenbankregistrierung nach Änderung 13

Vor Änderung 13 konzentrierten sich israelische Unternehmen häufig darauf, ob ihre Datenbanken registriert werden mussten.

Das geänderte Gesetz schränkt das Registrierungsregime erheblich ein.

Die Registrierung betrifft nun vorrangig:

• Bestimmte Datenbanken öffentlicher Stellen
• Bestimmte großvolumige Datenhandels- oder Direktmarketing-Datenbanken, die die gesetzlichen Voraussetzungen erfüllen

Für andere Organisationen entfallen mit der Registrierungspflicht nicht die materiellen Pflichten nach dem Datenschutzgesetz oder den Datensicherheitsverordnungen.

Diese Unterscheidung ist wichtig: keine Registrierungspflicht ≠ keine Datenschutzpflichten.

Meldung großer Datenbanken mit besonders sensiblen Informationen

Änderung 13 hat zudem Meldepflichten für bestimmte große Datenbanken mit besonders sensiblen Informationen eingeführt.

Enthält eine Datenbank besonders sensible Informationen zu mehr als 100.000 Personen und unterliegt sie nicht ohnehin der Registrierungspflicht, kann der Verantwortliche verpflichtet sein, die PPA zu benachrichtigen und bestimmte Angaben zur Datenbank und zu den einschlägigen DPO-Regelungen zu machen.

Organisationen mit großen Datenbeständen sollten daher beides prüfen:

• Registrierungspflichten
• Meldepflichten

Auftragsverarbeiter und Drittanbieter

Unternehmen setzen für die Verarbeitung personenbezogener Informationen häufig Drittanbieter ein.

Beispiele sind:

• Cloud-Anbieter
• CRM-Plattformen
• Analyseanbieter
• Werbeplattformen
• Zahlungsdienstleister
• Marketing-Automatisierungstools
• Kundensupport-Systeme
• Hosting-Anbieter
• SaaS-Anwendungen

Organisationen sollten geeignete Kontrollen für diese Beziehungen einrichten, darunter:

• Festgelegte Verarbeitungszwecke
• Vertragliche Anforderungen
• Sicherheitsanforderungen
• Zugriffsbeschränkungen
• Vertraulichkeitspflichten
• Verfahren zum Umgang mit Vorfällen
• Anforderungen zur Datenlöschung
• Kontrollen für internationale Übermittlungen

Internationale Datenübermittlungen

Israel erlaubt internationale Übermittlungen personenbezogener Informationen nach Maßgabe des einschlägigen gesetzlichen und regulatorischen Rahmens.

Organisationen, die Informationen aus Israel heraus übermitteln, sollten prüfen:

• Zielland
• Empfängerorganisation
• Zweck der Übermittlung
• Kategorien der Informationen
• Einschlägige israelische Übermittlungsanforderungen
• Sicherheitsmaßnahmen
• Vertragliche Regelungen
• Zusätzliche Beschränkungen für die konkrete Übermittlung

Israel hat zudem besondere Regeln für Informationen, die aus dem Europäischen Wirtschaftsraum nach Israel übermittelt werden, einschließlich der Datenschutzverordnungen zu Daten aus dem EWR. Das amtliche Rechtsinformationsportal der PPA führt diese Verordnungen als Teil des israelischen Datenschutzrahmens.

Cookies und Online-Tracking nach dem israelischen PPL

Websites und Anwendungen sollten Cookies, Pixel, SDKs, Werbetechnologien und Analysewerkzeuge nach Israels Datenschutzrahmen bewerten, wenn diese Technologien personenbezogene Informationen verarbeiten.

Es wäre jedoch zu pauschal, zu behaupten, dass in Israel jedes Cookie automatisch eine Opt-in-Einwilligung erfordert.

Die zutreffende Bewertung hängt ab von:

• Ob die Technologie personenbezogene Informationen verarbeitet
• Ob die Person identifizierbar ist
• Dem Zweck der Verarbeitung
• Der einschlägigen rechtlichen Anforderung
• Ob eine Einwilligung erforderlich ist
• Ob die Verarbeitung von einer anderen rechtmäßigen Vorschrift gedeckt ist

Für Websites sollten Organisationen ein vollständiges Tracker-Verzeichnis führen und jede Technologie ihrem Zweck und ihrer Rechtsgrundlage zuordnen.

Cookie-Einwilligung für israelische Websites

Ist eine Einwilligung erforderlich, sollte die Einwilligungsoberfläche den Nutzern aussagekräftige Informationen und eine angemessene Auswahl bieten.

Eine belastbare Consent-Management-Implementierung sollte umfassen:

• Klaren Datenschutzhinweis
• Zweckbasierte Kategorien
• Steuerung optionalen Trackings
• Getrennte Einwilligungsoptionen, soweit angemessen
• Vorheriges Blockieren einwilligungsabhängiger Technologien
• Einwilligungsnachweise
• Widerrufsmechanismen
• Richtlinien- und Versionshistorie
• Regionale Konfiguration

Das ist besonders wichtig für Websites, die Folgendes einsetzen:

• Werbepixel
• Retargeting-Technologien
• Social-Media-Tracker
• Verhaltensanalysen
• Personalisierungstechnologien
• Seitenübergreifendes Tracking

Direktmarketing und Datenhändler

Änderung 13 richtet besonderes Augenmerk auf Organisationen, deren Geschäft darin besteht, personenbezogene Informationen zu erheben und gegen Entgelt oder als Geschäftstätigkeit an andere weiterzugeben.

Dazu zählen bestimmte Datenhandels- und Direktwerbetätigkeiten.

Enthält eine Datenbank mehr als 10.000 Personen und erfüllt ihr Hauptzweck die gesetzlichen Kriterien der Datenweitergabe oder Geschäftstätigkeit, können zusätzliche regulatorische Pflichten greifen, einschließlich Registrierungs- und DPO-Anforderungen.

Organisationen in den Bereichen Werbung, Leadgenerierung oder Datenhandel sollten daher prüfen, ob ihr Geschäftsmodell unter diese Bestimmungen fällt.

Automatisierte Entscheidungsfindung, Profilbildung und KI

Der geänderte israelische Datenschutzrahmen wird für Organisationen zunehmend relevant, die Folgendes einsetzen:

• KI
• Profilbildung
• Verhaltensanalysen
• Automatisierte Entscheidungssysteme
• Gesichtserkennung
• Biometrische Identifizierung
• Standortverfolgung
• Prädiktive Analysen

Organisationen sollten prüfen, ob automatisierte Verarbeitung Datenschutzrisiken schafft oder besonders sensible personenbezogene Informationen betrifft.

Verarbeitungen mit hohem Risiko sollten einer dokumentierten Datenschutz-Risikobewertung und angemessener Governance unterliegen.

Die PPA hat auf Datenschutzrisiken moderner Technologien hingewiesen und darauf, dass Organisationen ihre Datenschutz-Governance an das sich wandelnde technologische Umfeld anpassen müssen.

Datenschutz-Folgenabschätzungen

Israels PPL-Rahmen sollte nicht so dargestellt werden, als begründe er eine allgemeine DSGVO-ähnliche DPIA-Pflicht nach Artikel 35 für jede risikoreiche Verarbeitungstätigkeit.

Datenschutz-Risikobewertungen sind jedoch ein wichtiges Compliance-Instrument, insbesondere für:

• Verarbeitung in großem Umfang
• Systematische Überwachung
• Verarbeitung sensibler Daten
• KI-Systeme
• Biometrische Verarbeitung
• Standortverfolgung
• Große Datenbanken
• Neue Technologien

Organisationen sollten Datenschutzrisiken und die zu ihrer Bewältigung umgesetzten Maßnahmen dokumentieren.

Datenschutz durch Technikgestaltung

Datenschutz sollte bereits bei der Entwicklung oder Änderung von Systemen berücksichtigt werden und nicht erst nach deren Einführung.

Organisationen sollten Datenschutzaspekte einbeziehen bei:

• Start von Websites
• Entwicklung mobiler Anwendungen
• Einführung von CRM-Systemen
• Einsatz von Analysewerkzeugen
• Einführung von KI
• Integration von Werbetechnologien
• Verknüpfung von Datenbanken
• Einführung von Systemen zur Mitarbeiterüberwachung
• Einführung biometrischer Systeme

Ein Ansatz des Datenschutzes durch Technikgestaltung hilft, Fragen zu Einwilligung, Sicherheit, Transparenz, Aufbewahrung und Datenweitergabe zu erkennen, bevor sie zu operativen Problemen werden.

Aufbewahrung und Löschung von Daten

Organisationen sollten Aufbewahrungsfristen festlegen nach:

• Dem Zweck, für den die Informationen erhoben wurden
• Einschlägigen rechtlichen Anforderungen
• Vertraglichen Pflichten
• Regulatorischen Anforderungen
• Betrieblicher Notwendigkeit
• Sicherheits- und Datenschutzrisiken

Personenbezogene Informationen sollten nicht unbegrenzt aufbewahrt werden, nur weil Speicherplatz günstig ist.

Ein gutes Aufbewahrungsprogramm sollte Folgendes benennen:

• Datenkategorie
• Verarbeitungszweck
• Aufbewahrungsfrist
• Speicherort
• Löschmethode
• Verantwortliche Fachabteilung

Datenschutz-Governance und Rechenschaftspflicht

Nach Änderung 13 sollten Organisationen ein strukturiertes Datenschutz-Governance-Programm vorhalten.

Dazu können gehören:

• Datenbestandsverzeichnisse
• Verarbeitungsverzeichnisse
• Datenschutzhinweise
• Einwilligungsnachweise
• Verfahren für Rechteanfragen
• Anbieterbewertungen
• Sicherheitsmaßnahmen
• Aufbewahrungsrichtlinien
• Verfahren zur Reaktion auf Vorfälle
• Datenschutz-Risikobewertungen
• DPO-Governance, soweit anwendbar
• Regelmäßige Compliance-Überprüfungen

Die PPA hat im Nachgang zu Änderung 13 zudem aktualisierte Compliance-Ressourcen und Leitlinien erstellt.

Durchsetzung nach dem israelischen PPL

Änderung 13 hat die Durchsetzungsbefugnisse der Datenschutzbehörde erheblich erweitert.

Die PPA kann erweiterte behördliche Befugnisse ausüben, einschließlich Geldsanktionen für bestimmte Verstöße.

Die Reform hat zudem die behördliche Aufsicht gestärkt über:

• Datenschutzpflichten
• Datenbankanforderungen
• Sicherheitsanforderungen
• DPO-Pflichten
• Verarbeitungstätigkeiten
• Einhaltung des Gesetzes und der Verordnungen

Der gestärkte Durchsetzungsrahmen der PPA bedeutet, dass Organisationen Datenschutz-Compliance als laufende operative Pflicht behandeln sollten und nicht als einmalige Dokumentationsübung.

Verwaltungsrechtliche Geldsanktionen

Das geänderte Gesetz hat einen neuen Rahmen für verwaltungsrechtliche Geldsanktionen eingeführt.

Die mögliche Höhe hängt von Faktoren ab wie:

• Art des Verstoßes
• Zahl der betroffenen Personen
• Art der Datenbank
• Sensibilität der Informationen
• Umstände des Verstoßes
• Ob die Organisation bestimmte gesetzliche Pflichten verletzt hat

Der Rahmen kann bei bestimmten Verstößen zu erheblichen Geldsanktionen in Millionenhöhe in israelischen Schekel führen, wobei besondere gesetzliche Berechnungs- und Begrenzungsregeln gelten.

Die Sanktionen sollten daher nicht als eine einheitliche Festbuße für jeden Verstoß dargestellt werden.

Zivil- und strafrechtliche Haftung

Der geänderte Rahmen sieht zudem zivilrechtliche Rechtsbehelfe vor und stärkt die persönliche Verantwortlichkeit für bestimmte Verstöße.

Änderung 13 hat Bestimmungen eingeführt, nach denen Gerichte in bestimmten Fällen pauschalierten Schadensersatz von bis zu 10.000 NIS ohne Nachweis eines konkreten Schadens zusprechen können.

Das Gesetz behält zudem strafrechtliche Bestimmungen für bestimmte schwerwiegende Datenschutzverstöße bei.

Organisationen sollten Datenschutz-Compliance daher aus beiden Blickwinkeln betrachten:

• Unternehmerische Risikoperspektive
• Perspektive der einzelnen Entscheidungsträger

Checkliste zur PPL-Compliance in Israel

Nutzen Sie diese Checkliste, um die Bereitschaft Ihrer Organisation zu bewerten.

• Prüfen, ob das Datenschutzgesetz anwendbar ist
• Alle verarbeiteten personenbezogenen Informationen identifizieren
• Datenbanken und Verarbeitungstätigkeiten erfassen
• Besonders sensible Informationen identifizieren
• Verarbeitungszwecke dokumentieren
• Einschlägige rechtliche Anforderungen bestimmen
• Informierte Einwilligung einholen, wo erforderlich
• Angemessene Datenschutzhinweise vorhalten
• Kontrollen zur Datenminimierung umsetzen
• Verfahren für Aufbewahrung und Löschung einrichten
• Angemessene Sicherheitsmaßnahmen umsetzen
• Anforderungen der Datensicherheitsverordnungen prüfen
• Verfahren für Sicherheitsvorfälle einrichten
• Registrierungspflichten für Datenbanken bewerten
• Meldepflichten für große Datenbanken bewerten
• Prüfen, ob ein DPO verpflichtend ist
• Einen qualifizierten DPO bestellen, wo erforderlich
• Verfahren für Betroffenenanfragen einrichten
• Abläufe für Auskunft und Berichtigung umsetzen
• Verträge mit Auftragsverarbeitern und Anbietern prüfen
• Internationale Datenübermittlungen bewerten
• Cookies und Online-Tracker überprüfen
• Einwilligung konfigurieren, wo erforderlich
• Einwilligungsnachweise vorhalten
• Mechanismen zum Widerruf der Einwilligung bereitstellen
• Risiken durch KI und automatisierte Verarbeitung bewerten
• Datenschutz-Risikobewertungen durchführen, wo angebracht
• Compliance regelmäßig überprüfen

Warum Consent-Management nach dem israelischen PPL wichtig ist

Für Organisationen, die Websites in Israel betreiben, erfordert Datenschutz-Compliance zunehmend Transparenz darüber, wie personenbezogene Informationen über digitale Technologien erhoben und verarbeitet werden.

Eine Website kann Dutzende der folgenden Elemente enthalten:

• Analyse-Skripte
• Werbepixel
• Social-Media-Tracker
• Marketing-Tools
• Personalisierungstechnologien
• Integrationen von Drittanbietern

Ohne ein Tracker-Verzeichnis und einen Consent-Management-Prozess kann es Organisationen schwerfallen zu belegen, welche Informationen erhoben werden und wie die Entscheidungen der Nutzer beachtet werden.

ConsentX stellt eine technische Ebene für die Steuerung dieser Datenschutzabläufe auf Websites bereit.