Kenia Data Protection Act Compliance mit ConsentX

Was ist der Kenya Data Protection Act?

Der Data Protection Act Nr. 24 von 2019 setzt die in Artikel 31 der kenianischen Verfassung verankerten Datenschutzgarantien um.

Das Gesetz begründet Regeln für die Verarbeitung personenbezogener Daten und errichtet das Office of the Data Protection Commissioner als Kenias unabhängige Datenschutzaufsicht. Das ODPC beaufsichtigt Umsetzung und Durchsetzung des Gesetzes, führt das Register der Verantwortlichen und Auftragsverarbeiter, untersucht Beschwerden und übt die behördliche Aufsicht aus.

Der kenianische Rahmen wird durch Verordnungen und behördliche Leitlinien ergänzt, darunter:

• Data Protection (General) Regulations, 2021
• Data Protection (Registration of Data Controllers and Data Processors) Regulations, 2021
• Data Protection (Complaints Handling and Enforcement) Regulations, 2021
• Data Protection (Civil Registration) Regulations, 2020
• ODPC-Leitlinien zur Einwilligung
• ODPC-Leitlinien zu DPIAs
• ODPC-Leitlinien zu grenzüberschreitenden Datenübermittlungen
• Sektorspezifische Leitlinien des ODPC

Gilt der Kenia DPA für Organisationen außerhalb Kenias?

Der kenianische Rahmen kann für Organisationen gelten, die personenbezogene Daten von Personen in Kenia verarbeiten, selbst wenn die Organisation ihren Sitz außerhalb Kenias hat, je nach den Umständen und dem räumlichen Anwendungsbereich des Gesetzes.

Organisationen, die kenianische Nutzer bedienen, sollten daher prüfen, ob ihre Tätigkeiten unter den DPA fallen und ob für sie Pflichten zur Registrierung, zur Benennung eines Vertreters, zu Übermittlungen oder sonstige Compliance-Pflichten bestehen.

Was sind personenbezogene Daten nach dem Kenia DPA?

Personenbezogene Daten bezeichnen allgemein Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Beispiele sind:

• Name
• E-Mail-Adresse
• Telefonnummer
• Identifikationsinformationen
• Standortinformationen
• Beschäftigungsinformationen
• Finanzinformationen
• Online-Kennungen
• Gesundheitsinformationen
• Biometrische Informationen
• Angaben zur Familie

Organisationen sollten Daten über den gesamten Verarbeitungslebenszyklus hinweg bewerten und sich nicht nur auf Informationen konzentrieren, die ausdrücklich als „personenbezogene Daten“ bezeichnet sind.

Zentrale Datenschutzgrundsätze in Kenia

Der Kenia DPA verlangt, dass personenbezogene Daten im Einklang mit den zentralen Datenschutzgrundsätzen verarbeitet werden.

Rechtmäßig, fair und transparent. Organisationen sollten personenbezogene Daten gegenüber der betroffenen Person rechtmäßig und transparent verarbeiten.

Für festgelegte Zwecke erhoben. Daten sollten für eindeutige, festgelegte und legitime Zwecke erhoben und anschließend nicht in unvereinbarer Weise genutzt werden.

Angemessen und relevant. Organisationen sollten personenbezogene Daten auf das für den angegebenen Zweck Erforderliche beschränken.

Richtig. Es sollten angemessene Schritte unternommen werden, damit unrichtige personenbezogene Daten unverzüglich berichtigt oder gelöscht werden.

Speicherbegrenzung. Personenbezogene Daten sollten nicht länger in identifizierbarer Form aufbewahrt werden, als es für den Erhebungszweck erforderlich ist.

Sicher. Zum Schutz personenbezogener Daten müssen angemessene technische und organisatorische Maßnahmen eingesetzt werden.

Diese Grundsätze bilden das Fundament des kenianischen Datenschutzrahmens.

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten in Kenia

Die Einwilligung ist im kenianischen Rahmen nicht die einzige Grundlage für die Verarbeitung personenbezogener Daten.

Organisationen sollten für jede Verarbeitungstätigkeit die geeignete Rechtsgrundlage bestimmen. Je nach Umständen kann eine Verarbeitung zulässig sein, wenn sie für vom Gesetz anerkannte Zwecke erforderlich ist, darunter vertragliche, gesetzliche, regulatorische, im öffentlichen Interesse liegende oder sonstige gesetzliche Gründe.

Wird auf die Einwilligung abgestellt, muss sie den Anforderungen des DPA und der einschlägigen Verordnungen genügen.

Diese Unterscheidung ist wichtig, weil Organisationen ihr gesamtes Datenschutzprogramm nicht allein auf die Einwilligung stützen sollten.

Die Einwilligung nach dem Kenya Data Protection Act

Wird die Einwilligung als Rechtsgrundlage genutzt, verlangt Kenias Rahmen, dass sie aussagekräftig und informiert ist.

Unter einer Einwilligung wird allgemein eine ausdrückliche, eindeutige, freie, spezifische und informierte Willensbekundung der betroffenen Person durch eine Erklärung oder eine klare bestätigende Handlung verstanden.

Die Data Protection (General) Regulations, 2021 verlangen von Organisationen, die eine Einwilligung einholen, die Bereitstellung maßgeblicher Informationen, darunter:

• Identität des Verantwortlichen oder Auftragsverarbeiters
• Zweck jeder Verarbeitungstätigkeit
• Arten der erhobenen personenbezogenen Daten
• Maßgebliche Informationen zu automatisierten Entscheidungen
• Mögliche Risiken bestimmter Datenübermittlungen
• Ob Daten an Dritte weitergegeben werden
• Recht auf Widerruf der Einwilligung
• Folgen der Erteilung, Verweigerung oder des Widerrufs der Einwilligung

Ein rechtskonformer Einwilligungsmechanismus sollte in der Regel:

• Klar benennen, wozu die Person zustimmt
• Verständliche Sprache verwenden
• Zwang vermeiden
• Die Einwilligung von unzusammenhängenden Zwecken trennen
• Eine klare bestätigende Handlung verlangen
• Den Widerruf ermöglichen, wenn die Einwilligung die Rechtsgrundlage ist
• Nachweise über die Einwilligungsentscheidung vorhalten

ConsentX kann Organisationen helfen, diese Nachweise für digitale Einwilligungsprozesse zu erfassen und aufzubewahren.

Widerruf der Einwilligung

Beruht die Verarbeitung auf einer Einwilligung, sollten Personen diese widerrufen können.

Der Widerruf sollte angemessen zugänglich sein und nicht wesentlich mehr Aufwand erfordern als die Erteilung der Einwilligung.

Organisationen sollten zudem sicherstellen, dass ein Widerruf die entsprechende operative Reaktion in allen verbundenen Systemen und Verarbeitungstätigkeiten auslöst.

Sensible personenbezogene Daten nach Kenias DPA

Kenia sieht für sensible personenbezogene Daten zusätzlichen Schutz vor.

Der gesetzliche und regulatorische Rahmen erkennt Kategorien an, die Informationen zu folgenden Bereichen umfassen:

• Gesundheit
• Rasse
• Ethnische oder soziale Herkunft
• Gewissen oder Überzeugungen
• Genetische Daten
• Biometrische Daten
• Angaben zu Vermögenswerten
• Familienstand
• Familienangaben
• Geschlecht
• Sexuelle Orientierung

Das ODPC hat zudem Leitlinien zu bestimmten sensiblen Datenkategorien wie biometrischen Informationen und Gesundheitsdaten herausgegeben.

Organisationen, die sensible personenbezogene Daten verarbeiten, sollten prüfen:

• Ob die Verarbeitung rechtlich zulässig ist
• Ob eine Einwilligung erforderlich ist
• Ob eine DPIA erforderlich ist
• Sicherheitsmaßnahmen
• Zugriffsbeschränkungen
• Aufbewahrungsfristen
• Vereinbarungen zur Datenweitergabe
• Anforderungen an grenzüberschreitende Übermittlungen

Das ODPC veröffentlichte im September 2026 zudem einen Entwurf einer Bekanntmachung, der zusätzliche Kategorien sensibler personenbezogener Daten vorschlägt. Da dieses Dokument ausdrücklich als Entwurf bezeichnet ist, sollte es erst dann als geltendes Recht behandelt werden, wenn es angenommen wird.

Personenbezogene Daten von Kindern

Kenias DPA sieht besondere Schutzvorschriften für personenbezogene Daten von Kindern vor.

Organisationen, die Informationen über Kinder verarbeiten, sollten prüfen:

• Ob eine Einwilligung der Eltern oder Erziehungsberechtigten erforderlich ist
• Ob die Verarbeitung dem Wohl des Kindes dient
• Ob eine Altersverifikation angemessen ist
• Ob zusätzliche Schutzmaßnahmen erforderlich sind
• Ob die Verarbeitung sensible Informationen betrifft

Das ODPC hat eigene Leitlinien zur Verarbeitung von Kinderdaten veröffentlicht.

Datenschutzhinweise und Transparenz

Organisationen sollten betroffenen Personen angemessene Informationen darüber bereitstellen, wie ihre personenbezogenen Daten verarbeitet werden.

Datenschutzhinweise sollten in der Regel erläutern:

• Identität der Organisation
• Kontaktdaten
• Verarbeitungszwecke
• Kategorien personenbezogener Daten
• Rechtsgrundlage, soweit einschlägig
• Empfänger oder Kategorien von Empfängern
• Angaben zur Aufbewahrung
• Internationale Übermittlungen
• Betroffenenrechte
• Beschwerdemöglichkeiten
• Maßgebliche automatisierte Entscheidungen
• Wie eine Einwilligung widerrufen werden kann, soweit einschlägig

Transparenz sollte über den gesamten Verarbeitungslebenszyklus hinweg gewahrt werden, nicht nur bei der ersten Erhebung.

Betroffenenrechte nach Kenias DPA

Kenias Rahmen gewährt Personen eine Reihe von Rechten in Bezug auf ihre personenbezogenen Daten.

Recht auf Information. Personen haben das Recht zu erfahren, wie ihre personenbezogenen Daten genutzt werden.

Auskunftsrecht. Personen können Auskunft über die zu ihnen gespeicherten personenbezogenen Daten verlangen.

Recht auf Berichtigung. Personen können die Berichtigung unrichtiger oder irreführender personenbezogener Daten verlangen.

Recht auf Löschung. Personen können in den gesetzlich vorgesehenen Fällen die Löschung personenbezogener Daten verlangen.

Widerspruchsrecht. Personen können bestimmten Verarbeitungstätigkeiten widersprechen.

Recht auf Einschränkung der Verarbeitung. Der Rahmen erkennt Einschränkungen der Verarbeitung in den einschlägigen Fällen an.

Recht auf Datenübertragbarkeit. Personen können personenbezogene Daten in den gesetzlich vorgesehenen Fällen zwischen Verantwortlichen oder Auftragsverarbeitern übertragen lassen.

Das ODPC führt diese Rechte ausdrücklich in seinen öffentlichen Leitlinien und Datenschutzmaterialien auf.

Auskunftsanfragen betroffener Personen (DSARs)

Organisationen sollten einen strukturierten Prozess für die Entgegennahme, Prüfung, Nachverfolgung und Beantwortung von Betroffenenanfragen einrichten.

Ein DSAR-Prozess sollte umfassen:

• Eingang der Anfrage
• Identitätsprüfung
• Einordnung der Anfrage
• Interne Datenrecherche
• Prüfung einschlägiger Ausnahmen
• Vorbereitung der Antwort
• Sichere Zustellung
• Audit-Protokollierung

ConsentX kann den Ablauf und die Nachweisebene für Rechteanfragen unterstützen.

Datenschutz-Folgenabschätzung (DPIA)

Eine Datenschutz-Folgenabschätzung ist ein wichtiger Bestandteil des risikobasierten Compliance-Rahmens Kenias.

Eine DPIA sollte in Betracht gezogen werden, wenn die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt.

Beispiele können sein:

• Verarbeitung sensibler Daten in großem Umfang
• Biometrische Verarbeitung
• Systematische Überwachung
• Neue Technologien
• Umfangreiches Profiling
• Automatisierte Verarbeitung mit hohem Risiko
• Verarbeitung mit Bezug zu schutzbedürftigen Personen

Das ODPC hat einen eigenen Leitfaden zu DPIAs veröffentlicht und gibt Hinweise dazu, wann und wie Bewertungen durchzuführen sind.

Datenschutzbeauftragter (DPO)

Der DPA sieht in bestimmten Fällen die Benennung oder Bestellung eines Datenschutzbeauftragten vor.

Dazu zählen Konstellationen mit:

• Öffentlichen Stellen, ausgenommen Gerichte in Ausübung ihrer rechtsprechenden Tätigkeit
• Regelmäßiger und systematischer Überwachung betroffener Personen als Kerntätigkeit
• Verarbeitung sensibler Kategorien personenbezogener Daten als Kerntätigkeit

Ein DPO kann weitere Aufgaben wahrnehmen, sofern daraus kein Interessenkonflikt entsteht.

Organisationen sollten zudem die Kontaktdaten des DPO veröffentlichen und sie dem Data Commissioner mitteilen, soweit erforderlich.

Datensicherheit nach dem Kenia DPA

Organisationen müssen angemessene Schutzmaßnahmen umsetzen, um personenbezogene Daten vor Risiken zu schützen wie:

• Unbefugtem Zugriff
• Versehentlichem Verlust
• Zerstörung
• Veränderung
• Unbefugter Offenlegung
• Rechtswidriger Verarbeitung

Zu den Sicherheitsmaßnahmen können gehören:

• Verschlüsselung
• Zugriffskontrollen
• Authentifizierung
• Mehrfaktor-Authentifizierung
• Netzwerksicherheit
• Datenmaskierung
• Protokollierung und Monitoring
• Backup und Wiederherstellung
• Vorfallreaktion
• Mitarbeiterschulungen
• Kontrollen für Dienstleister

Das Registrierungsportal des ODPC fragt selbst Angaben zu den technischen und organisatorischen Schutzmaßnahmen der Organisationen ab.

Meldung von Datenschutzverletzungen in Kenia

Kenia begründet besondere Meldepflichten bei Datenschutzverletzungen.

Erfüllt eine Verletzung des Schutzes personenbezogener Daten die gesetzlichen Voraussetzungen, muss ein Verantwortlicher den Data Commissioner unverzüglich und innerhalb von 72 Stunden nach Kenntniserlangung benachrichtigen.

Der Verantwortliche muss zudem gegebenenfalls betroffene Personen innerhalb eines angemessen praktikablen Zeitraums informieren, vorbehaltlich der im Gesetz vorgesehenen Bedingungen und Ausnahmen.

Ein Auftragsverarbeiter, der von einer Verletzung Kenntnis erlangt, muss den betreffenden Verantwortlichen unverzüglich und, soweit praktikabel, innerhalb von 48 Stunden benachrichtigen.

Ein Programm zur Reaktion auf Verletzungen sollte daher umfassen:

• Erkennung des Vorfalls
• Risikobewertung
• Einstufung der Verletzung
• Interne Eskalation
• Meldung an die Behörde
• Benachrichtigung betroffener Personen, soweit erforderlich
• Behebung
• Dokumentation
• Nachbereitung des Vorfalls

Internationale und grenzüberschreitende Datenübermittlungen

Personenbezogene Daten, die aus Kenia heraus übermittelt werden, müssen die Anforderungen des DPA und der einschlägigen Verordnungen erfüllen.

Der Rahmen erkennt unter anderem folgende Mechanismen an:

• Angemessene Datenschutzgarantien
• Geeignete Garantien
• Übermittlungen aufgrund von Erforderlichkeit in bestimmten Fällen
• Ausdrückliche Einwilligung, soweit einschlägig

Wird für eine internationale Übermittlung auf die Einwilligung abgestellt, sollte die Person über die möglichen Risiken informiert werden und der vorgeschlagenen Übermittlung ausdrücklich zustimmen. Für sensible personenbezogene Daten gelten zusätzliche Anforderungen.

Organisationen sollten Transparenz behalten über:

• Zielländer
• Empfänger im Ausland
• Kategorien übermittelter Daten
• Zweck der Übermittlung
• Übermittlungsmechanismus
• Vertragliche Garantien
• Sicherheitsmaßnahmen

Datenlokalisierung und Kenia

Kenias Rahmen begründet keine pauschale Pflicht, dass alle personenbezogenen Daten physisch in Kenia verbleiben müssen.

Je nach Art der Verarbeitung, Sektor, betroffenen Daten und einschlägigen regulatorischen Anforderungen können Organisationen jedoch besondere Pflichten treffen.

Vor der Verlagerung personenbezogener Daten zu einem ausländischen Anbieter sollten daher Übermittlungsbewertungen durchgeführt werden.

Die aktuellen Compliance-Materialien des ODPC fordern Organisationen zudem auf, die Rechtsordnungen anzugeben, in die Daten übermittelt oder in denen sie gespeichert werden.

Auftragsverarbeiter und Dritte

Organisationen bleiben dafür verantwortlich, Verarbeitungsvereinbarungen mit Dritten sorgfältig zu steuern.

Das Lieferantenmanagement sollte Folgendes regeln:

• Verarbeitungsanweisungen
• Zweckbindung
• Vertraulichkeit
• Sicherheit
• Unterauftragsverarbeiter
• Aufbewahrung von Daten
• Löschung von Daten
• Meldung von Verletzungen
• Internationale Übermittlungen
• Betroffenenanfragen
• Unterstützung bei Prüfungen und Compliance

Eine schriftliche Auftragsverarbeitungsvereinbarung sollte die Verantwortlichkeiten zwischen Verantwortlichen und Auftragsverarbeitern klar zuordnen.

Aufbewahrung und Löschung von Daten

Personenbezogene Daten sollten nicht länger in identifizierbarer Form aufbewahrt werden, als es für den Erhebungszweck erforderlich ist.

Organisationen sollten Folgendes vorhalten:

• Aufbewahrungsfristenkonzepte
• Löschverfahren
• Archivierungsregeln
• Verfahren für rechtliche Aufbewahrungspflichten
• Automatisierte Löschprozesse
• Nachweise über Löschungen, soweit angebracht

Aufbewahrungsfristen sollten sich am Verarbeitungszweck und an den einschlägigen rechtlichen, regulatorischen, vertraglichen und betrieblichen Anforderungen orientieren.

Direktmarketing und elektronische Kommunikation

Organisationen, die personenbezogene Daten für Direktmarketing nutzen, sollten sorgfältig prüfen:

• Die Rechtsgrundlage der Verarbeitung
• Transparenzanforderungen
• Einwilligungsanforderungen, soweit einschlägig
• Abmeldemechanismen
• Zweckbindung
• Praktiken der Datenweitergabe
• Sperrlisten für Marketing

Marketingpräferenzen sollten in allen einschlägigen Systemen erfasst und beachtet werden.

Im digitalen Marketing kann ConsentX Organisationen helfen, Nutzerpräferenzen zu erfassen und zu dokumentieren und Einwilligungssignale über Websites und verbundene Technologien hinweg zu steuern.

Cookies und Online-Tracking nach Kenias DPA

Der Kenia DPA regelt die Verarbeitung personenbezogener Daten. Cookies und Online-Tracker sind daher danach zu beurteilen, ob und wie sie personenbezogene Daten verarbeiten.

Organisationen sollten identifizieren:

• Analyse-Cookies
• Werbe-Cookies
• Social-Media-Pixel
• Retargeting-Technologien
• Gerätekennungen
• Fingerprinting-Technologien
• Drittanbieter-Skripte

Ein Cookie-Banner sollte nicht nur eine Mitteilung anzeigen. Organisationen sollten wissen, welche Technologien aktiv sind, welche Informationen sie erheben, welchen Zweck die Verarbeitung hat und auf welche Rechtsgrundlage sie sich stützt.

Ist eine Einwilligung erforderlich, sollte nicht notwendiges Tracking erst nach einer wirksamen Einwilligung aktiviert werden.

Automatisierte Entscheidungsfindung und Profiling

Organisationen, die automatisierte Entscheidungen oder Profiling einsetzen, sollten prüfen, ob die Verarbeitung rechtliche oder erhebliche Auswirkungen für Personen hat.

Maßgebliche Aspekte sind unter anderem:

• Transparenz
• Zweckbindung
• Rechtsgrundlage
• Datenminimierung
• Richtigkeit
• Menschliche Aufsicht
• Sicherheit
• Betroffenenrechte
• DPIA-Anforderungen

Die General Regulations verlangen zudem, bei der Einholung einer Einwilligung maßgebliche Informationen zu automatisierten Entscheidungen bereitzustellen, soweit einschlägig.

Datenschutz durch Technikgestaltung und durch Voreinstellungen

Datenschutz sollte von Anfang an in Systeme und Prozesse einbezogen und nicht erst nach der Einführung ergänzt werden.

Organisationen sollten Folgendes berücksichtigen:

• Nur notwendige Daten erheben
• Datenschutzfreundliche Voreinstellungen
• Rollenbasierter Zugriff
• Verschlüsselung
• Datenminimierung
• Aufbewahrungsgrenzen
• Einwilligungssteuerung
• Audit-Protokolle
• Sicheres Löschen

Die Materialien des ODPC zur Compliance-Bewertung verlangen ausdrücklich den Nachweis, wie Datenschutz durch Technikgestaltung oder Voreinstellungen umgesetzt wird.

Registrierung von Verantwortlichen und Auftragsverarbeitern

Die Registrierung ist ein wesentlicher Teil des kenianischen Compliance-Rahmens.

Die Data Protection (Registration of Data Controllers and Data Processors) Regulations, 2021 regeln Registrierungspflichten, Ausnahmen, Antragsverfahren, Bescheinigungen, Verlängerungen und damit verbundene Pflichten.

Organisationen sollten bestimmen, ob sie sich registrieren müssen als:

• Verantwortlicher
• Auftragsverarbeiter
• Verantwortlicher und Auftragsverarbeiter zugleich

Das ODPC führt ein Online-Register der registrierten Stellen und stellt ein Online-Registrierungsportal bereit.

Die Verordnungen sehen eine Ausnahme für bestimmte Organisationen unterhalb festgelegter Umsatz- und Beschäftigtenschwellen vor, doch gilt die Ausnahme nicht für Organisationen, die personenbezogene Daten für bestimmte in den Verordnungen aufgeführte Tätigkeitskategorien verarbeiten. Organisationen sollten daher beides prüfen:

• Ihre Größe sowie Beschäftigten- oder Umsatzsituation
• Die Art ihrer Verarbeitungstätigkeiten

Compliance-Prüfungen

Der Data Commissioner ist befugt, regelmäßige Prüfungen der Prozesse und Systeme von Verantwortlichen und Auftragsverarbeitern durchzuführen.

Organisationen sollten daher Nachweise über ihre Compliance vorhalten und sich nicht allein auf schriftliche Richtlinien stützen.

Nützliche Nachweise sind unter anderem:

• Einwilligungsnachweise
• Datenschutzhinweise
• Datenlandkarten
• Verarbeitungsverzeichnisse
• DPIAs
• Verträge mit Dienstleistern
• Sicherheitsmaßnahmen
• Aufzeichnungen zu Verletzungen
• DSAR-Aufzeichnungen
• Aufbewahrungskonzepte
• Schulungsnachweise
• Registrierungsbescheinigungen
• Prüfberichte

Durchsetzung durch das ODPC

Das Office of the Data Protection Commissioner (ODPC) ist Kenias zentrale Datenschutzaufsicht.

Zu seinen Aufgaben gehören:

• Durchsetzung des DPA
• Führung des Registers der Verantwortlichen und Auftragsverarbeiter
• Untersuchung von Beschwerden
• Ausübung der Aufsicht
• Durchführung von Untersuchungen
• Erlass von Durchsetzungsverfügungen
• Erlass von Sanktionsbescheiden
• Bereitstellung behördlicher Leitlinien
• Schutz der Betroffenenrechte

Das ODPC stellt zudem Mechanismen bereit, über die Personen Beschwerden einreichen und Organisationen Datenschutzverletzungen melden können.

Sanktionen nach Kenias Data Protection Act

Der Data Commissioner kann bei Verstößen gegen das Gesetz Verwaltungssanktionen verhängen.

Die höchste Verwaltungssanktion nach Section 63 beträgt bis zu 5 Mio. KES oder, bei einem Unternehmen, bis zu 1 % seines Jahresumsatzes im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag niedriger ist.

Die konkrete Höhe hängt von den Umständen und den gesetzlichen Kriterien ab, die der Commissioner berücksichtigt.

Organisationen können zudem weiteren Durchsetzungsmaßnahmen ausgesetzt sein, und Personen, denen durch einen Verstoß ein Schaden entsteht, können nach dem Gesetz Ansprüche auf Entschädigung haben.

Checkliste zur Kenia DPA-Compliance

Organisationen, die dem kenianischen Data Protection Act unterliegen, sollten die folgende Checkliste berücksichtigen.

• Prüfen, ob der DPA anwendbar ist
• Verarbeitungstätigkeiten mit personenbezogenen Daten erfassen
• Rollen als Verantwortlicher und Auftragsverarbeiter bestimmen
• Rechtsgrundlagen für die Verarbeitung bestimmen
• Einwilligungsmechanismen überprüfen
• Angemessene Datenschutzhinweise bereitstellen
• Sensible personenbezogene Daten identifizieren
• Verarbeitung von Kinderdaten bewerten
• Prüfen, ob eine Registrierung beim ODPC erforderlich ist
• Einen DPO bestellen, wo erforderlich
• Sicherheitsmaßnahmen umsetzen
• Ein Verfahren zur Reaktion auf Verletzungen einrichten
• Die Fähigkeit zur Meldung innerhalb von 72 Stunden sicherstellen
• Eskalation von Verletzungen vom Auftragsverarbeiter zum Verantwortlichen einrichten
• DPIAs durchführen, wo erforderlich
• Internationale Datenübermittlungen überprüfen
• Verfahren zur Aufbewahrung und Löschung umsetzen
• DSAR-Abläufe einrichten
• Marketingpräferenzen und Abmeldungen pflegen
• Automatisierte Entscheidungen und Profiling überprüfen
• Prüfnachweise vorhalten
• Datenschutzrichtlinien und -verfahren regelmäßig überprüfen

Warum Consent-Management für Kenia wichtig ist

Consent-Management ist nur ein Teil der DPA-Compliance, wird aber besonders wichtig, wenn eine Organisation die Einwilligung als Rechtsgrundlage heranzieht.

Ein belastbares Consent-Management-System kann Organisationen helfen:

• Aussagekräftige Einwilligungen einzuholen
• Klarere Auswahlmöglichkeiten zu bieten
• Einwilligungen zu dokumentieren
• Widerrufe zu verwalten
• Eine Historie der Präferenzen zu führen
• Website-Tracker zu steuern
• Compliance nachzuweisen
• Prüfungen zu unterstützen
• Datenschutzpräferenzen über Rechtsordnungen hinweg abzustimmen

ConsentX ist darauf ausgelegt, die technische Infrastruktur für diese Aktivitäten bereitzustellen.