Malaysia PDPA: Compliance mit ConsentX

Welche personenbezogenen Daten sind geschützt?

Der PDPA regelt personenbezogene Daten und erfasst weitgehend Informationen, die sich unmittelbar oder mittelbar auf eine Person beziehen, die anhand dieser Informationen oder in Kombination mit anderen Informationen identifiziert werden kann.

Beispiele können sein:

• Name
• Identifikationsangaben
• Passdaten
• Kontaktdaten
• E-Mail-Adresse
• Finanzinformationen
• Gesundheitsinformationen
• Fotografien
• Videoüberwachungsaufnahmen
• Beschäftigungsdaten
• Online-Kennungen
• Weitere Informationen, die einer identifizierbaren Person zugeordnet sind

Der malaysische Personal Data Protection Commissioner erläutert, dass die Verarbeitung das Erheben, Aufzeichnen, Vorhalten, Speichern, Ordnen, Ändern, Offenlegen und Vernichten personenbezogener Daten umfassen kann.

Sensible personenbezogene Daten

Malaysia sieht einen zusätzlichen Schutz für sensible personenbezogene Daten vor.

Zu den sensiblen personenbezogenen Daten zählen Informationen zu Bereichen wie:

• Körperliche oder geistige Gesundheit
• Politische Meinungen
• Religiöse oder ähnliche Überzeugungen
• Begehung oder mutmaßliche Begehung einer Straftat
• Biometrische Daten, nach den Änderungen von 2024

Biometrische Daten sind definiert als personenbezogene Daten, die aus einer technischen Verarbeitung der physischen, physiologischen oder verhaltensbezogenen Merkmale einer Person hervorgehen.

Beispiele können bestimmte Formen umfassen von:

• Gesichtserkennungsdaten
• Fingerabdruckdaten
• Stimm- oder verhaltensbiometrischen Informationen
• Anderen biometrischen Kennungen

Die Verarbeitung sensibler personenbezogener Daten erfordert grundsätzlich eine ausdrückliche Einwilligung, sofern keine der gesetzlichen Ausnahmen greift.

Die 7 Datenschutzgrundsätze

Malaysias PDPA ist um sieben Kernprinzipien herum aufgebaut:

• Allgemeiner Grundsatz
• Grundsatz der Information und Wahlmöglichkeit
• Offenlegungsgrundsatz
• Sicherheitsgrundsatz
• Aufbewahrungsgrundsatz
• Grundsatz der Datenintegrität
• Auskunftsgrundsatz

Diese Grundsätze regeln, wie Organisationen personenbezogene Daten erheben, nutzen, offenlegen, sichern, aufbewahren und Zugang dazu gewähren.

Die offizielle malaysische Datenschutzbehörde bezeichnet die Einhaltung der sieben Grundsätze weiterhin als zentrale Pflicht der Verantwortlichen.

Einwilligungsanforderungen nach Malaysias PDPA

Die Einwilligung ist ein zentraler Bestandteil des malaysischen PDPA-Rahmens.

Organisationen sollten das Gesetz jedoch nicht so beschreiben, als verlange es für jede denkbare Verarbeitungstätigkeit eine Einwilligung. Das Gesetz sieht Fälle vor, in denen eine Verarbeitung ohne Einwilligung erfolgen kann, einschließlich festgelegter gesetzlicher Ausnahmen.

Unternehmen sollten daher prüfen:

• Ob personenbezogene Daten verarbeitet werden
• Den Zweck der Verarbeitung
• Die einschlägige gesetzliche Voraussetzung
• Ob eine Einwilligung erforderlich ist
• Ob die Daten sensibel sind
• Ob eine ausdrückliche oder anderweitig geforderte Einwilligung nötig ist
• Welche Informationen der betroffenen Person bereitzustellen sind
• Wie Einwilligungen und damit verbundene Entscheidungen dokumentiert werden

Der PDPA begründet zudem Straftatbestände für bestimmte Verarbeitungen nach dem Widerruf der Einwilligung.

Einwilligung bei sensiblen Daten

Werden sensible personenbezogene Daten verarbeitet, gelten strengere gesetzliche Anforderungen.

Der malaysische Personal Data Protection Commissioner stellt fest, dass sensible personenbezogene Daten grundsätzlich nur zu den im Gesetz genannten Zwecken und mit ausdrücklicher Einwilligung der betroffenen Person verarbeitet werden dürfen, vorbehaltlich gesetzlicher Ausnahmen.

Für digitale Unternehmen sollten Einwilligungsoberflächen daher zwischen gewöhnlicher Verarbeitung und Verarbeitung unterscheiden, die eine höhere Erlaubnisstufe erfordert.

Datenschutzhinweise und Transparenz

Der Grundsatz der Information und Wahlmöglichkeit verlangt von Organisationen, betroffenen Personen angemessene Informationen über die Verarbeitung ihrer personenbezogenen Daten bereitzustellen.

Ein Datenschutzhinweis sollte einschlägige Punkte behandeln wie:

• Die Tatsache, dass personenbezogene Daten verarbeitet werden
• Die Zwecke der Verarbeitung
• Die Quelle der personenbezogenen Daten, soweit einschlägig
• Die Rechte der betroffenen Person
• Die Offenlegung gegenüber Dritten
• Wahlmöglichkeiten und Mittel zur Beschränkung der Verarbeitung
• Ob Daten bereitgestellt werden müssen und welche Folgen eine Nichtbereitstellung hat
• Weitere nach den anwendbaren Anforderungen erforderliche Informationen

Malaysias Datenschutzbehörde stellt spezifische Leitlinien zu Datenschutzhinweisen und deren Erstellung bereit.

Für digitale Unternehmen sollten Datenschutzhinweise auf Websites mit dem tatsächlichen Verhalten der Website übereinstimmen. Gibt eine Website an, keine Informationen an Dritte weiterzugeben, sendet aber Besucherdaten an Werbe-, Analyse- oder andere externe Plattformen, sollte die Organisation den Hinweis und die zugrunde liegende Verarbeitung überprüfen und in Einklang bringen.

Cookies und Online-Tracking

Malaysias PDPA wirkt nicht als pauschale Regel, wonach jedes Cookie eine Einwilligung erfordert.

Vielmehr sollten Unternehmen prüfen, ob Cookies und Tracking-Technologien personenbezogene Daten betreffen und ob deren Erhebung, Nutzung oder Offenlegung vom PDPA erfasst wird.

Dazu können zählen:

• Analyse-Cookies
• Werbe-Cookies
• Retargeting-Pixel
• Social-Media-Pixel
• Conversion-Tracking
• Sitzungskennungen
• Gerätekennungen
• SDKs
• Verhaltensanalysen
• Andere Online-Tracking-Technologien

Für Organisationen, die die Einwilligung als maßgebliche Grundlage einer bestimmten Verarbeitungstätigkeit nutzen, kann ConsentX dazu beitragen, dass die betreffenden Tracking-Technologien nicht vor der entsprechenden Einwilligungsentscheidung aktiviert werden.

Rechte betroffener Personen

Malaysias PDPA gewährt Personen wichtige Rechte in Bezug auf ihre personenbezogenen Daten.

Dazu gehören Rechte betreffend:

• Auskunft über personenbezogene Daten
• Berichtigung personenbezogener Daten
• Widerruf der Einwilligung in den einschlägigen Fällen
• Beschränkungen bestimmter Verarbeitungen
• Widerspruch gegen Direktmarketing
• Datenübertragbarkeit nach den Änderungen von 2024

Das Recht auf Datenübertragbarkeit wurde durch die neue Section 43A eingeführt. Vorbehaltlich technischer Machbarkeit und kompatibler Datenformate kann eine betroffene Person verlangen, dass personenbezogene Daten unmittelbar an einen anderen Verantwortlichen ihrer Wahl übermittelt werden.

Organisationen sollten daher einen strukturierten Prozess für die Entgegennahme, Authentifizierung, Nachverfolgung und Beantwortung von Betroffenenanfragen unterhalten.

Datenübertragbarkeit

Die Datenübertragbarkeit ist eine der wesentlichen Neuerungen der Änderungen von 2024.

Nach der neuen Section 43A gilt:

• Eine betroffene Person kann die Übermittlung ihrer personenbezogenen Daten an einen anderen Verantwortlichen verlangen
• Der Antrag kann elektronisch gestellt werden
• Die Übermittlung steht unter dem Vorbehalt der technischen Machbarkeit
• Die Kompatibilität des Datenformats ist maßgeblich
• Die anwendbare vorgeschriebene Frist bestimmt den Abschluss der Übermittlung

Unternehmen sollten prüfen, ob ihre Systeme Folgendes leisten können:

• Die einschlägigen personenbezogenen Daten auffinden
• Sie in einem geeigneten Format exportieren
• Die anfragende Person authentifizieren
• Die Daten sicher übertragen
• Einen Audit-Trail führen
• Den Antrag bis zum Abschluss nachverfolgen

Datenschutzbeauftragte

Eine der bedeutendsten Neuerungen der Änderungen von 2024 ist die Einführung einer gesetzlichen Pflicht zur Bestellung eines Datenschutzbeauftragten (DPO).

Section 12A verpflichtet Verantwortliche, einen oder mehrere Datenschutzbeauftragte zu bestellen, sofern die einschlägigen Voraussetzungen erfüllt sind. Auch Auftragsverarbeiter müssen Datenschutzbeauftragte bestellen, wenn die gesetzlichen Voraussetzungen vorliegen.

Nach Angaben des malaysischen Personal Data Protection Commissioners ist ein Datenschutzbeauftragter erforderlich, wenn die Verarbeitung Folgendes betrifft:

• Personenbezogene Daten von mehr als 20.000 betroffenen Personen
• Sensible personenbezogene Daten, einschließlich Finanzinformationen, von mehr als 10.000 Personen
• Tätigkeiten, die eine regelmäßige und systematische Überwachung erfordern, etwa die Verfolgung des Online-Nutzerverhaltens

Der Datenschutzbeauftragte muss die Einhaltung des Gesetzes unterstützen, zu Datenschutzpflichten beraten, Datenschutz-Folgenabschätzungen begleiten, bei Datenpannen unterstützen und als Anlaufstelle für den Commissioner und die betroffenen Personen fungieren.

Ist eine Organisation zur Bestellung eines Datenschutzbeauftragten verpflichtet, muss die Bestellung dem Commissioner über das vorgeschriebene System angezeigt werden. Nach den FAQ des Commissioners sollte die Anzeige innerhalb von 21 Tagen ab dem Bestellungsdatum erfolgen.

Auftragsverarbeiter haben nun unmittelbare Sicherheitspflichten

Die Änderungen von 2024 haben die Stellung der Auftragsverarbeiter im PDPA gestärkt.

Verarbeitet ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen, muss er den Sicherheitsgrundsatz nach Section 9 unmittelbar einhalten.

Das ist wichtig für Organisationen, die sich stützen auf:

• Cloud-Anbieter
• SaaS-Plattformen
• CRM-Anbieter
• Zahlungsdienstleister
• Marketing-Plattformen
• Analyse-Dienstleister
• Ausgelagerten Kundenservice
• Andere Auftragsverarbeiter

Verträge mit Dienstleistern sollten die Verantwortlichkeiten klar zuweisen für:

• Sicherheit
• Vertraulichkeit
• Zugriffskontrolle
• Incident Response
• Datenaufbewahrung
• Datenlöschung
• Unterauftragsverarbeitung
• Betroffenenanfragen
• Grenzüberschreitende Verarbeitung

Meldung von Verletzungen des Schutzes personenbezogener Daten

Die Änderungen von 2024 haben einen gesetzlichen Rahmen für die Meldung von Verletzungen des Schutzes personenbezogener Daten eingeführt.

Hat ein Verantwortlicher Grund zu der Annahme, dass eine Verletzung des Schutzes personenbezogener Daten vorliegt, muss er den Commissioner so bald wie praktikabel in der vorgeschriebenen Weise benachrichtigen. Verursacht die Verletzung einen erheblichen Schaden für die betroffene Person oder droht ein solcher, ist auch die betroffene Person ohne unnötige Verzögerung zu benachrichtigen.

Die Leitlinien des Commissioners zur Meldung von Datenpannen sehen vor, dass die Meldung an den Commissioner so bald wie praktikabel und spätestens 72 Stunden nach dem Eintritt der Verletzung erfolgen sollte, sofern die Meldekriterien erfüllt sind.

Das geänderte Gesetz definiert eine Verletzung des Schutzes personenbezogener Daten unter anderem als:

• Verletzung personenbezogener Daten
• Verlust personenbezogener Daten
• Missbrauch personenbezogener Daten
• Unbefugten Zugriff auf personenbezogene Daten

Organisationen sollten ein Incident-Response-Verfahren unterhalten, das qualifizierte Vorfälle schnell erkennen, untersuchen, dokumentieren und eskalieren kann.

Grenzüberschreitende Übermittlungen personenbezogener Daten

Malaysia regelt Übermittlungen personenbezogener Daten außerhalb Malaysias in Section 129 des PDPA.

Die Änderungen von 2024 haben die Struktur von Section 129 geändert, und der Commissioner hat eigene Leitlinien zu grenzüberschreitenden Übermittlungen veröffentlicht.

Die Leitlinien des Commissioners zu grenzüberschreitenden Übermittlungen behandeln unter anderem:

• Das Zielland
• Das verfügbare Schutzniveau
• Vertragliche Garantien
• Die Risikobewertung
• Den Empfänger
• Die Art der personenbezogenen Daten
• Den Zweck der Übermittlung
• Weitere einschlägige Übermittlungsvoraussetzungen

Organisationen, die internationale Cloud-Infrastruktur, ausländische SaaS-Anbieter, globale Analyseplattformen oder Auftragsverarbeiter im Ausland nutzen, sollten daher eine aktuelle Übersicht darüber führen, wohin personenbezogene Daten übermittelt werden.

Datenschutz-Folgenabschätzungen

Malaysias Datenschutzrahmen umfasst Leitlinien zu Datenschutz-Folgenabschätzungen (DPIAs).

Die DPIA-Materialien des Commissioners nennen quantitative Schwellenwerte und qualitative Risikofaktoren, die den Bedarf für eine Abschätzung auslösen oder stützen können. Beispiele sind die Verarbeitung von:

• Sensiblen personenbezogenen Daten von mehr als 10.000 betroffenen Personen
• Personenbezogenen Daten für bestimmte automatisierte Entscheidungen von mehr als 10.000 betroffenen Personen
• Personenbezogenen Daten von mehr als 20.000 betroffenen Personen
• Daten mit erheblichen Auswirkungen auf Personen
• Überwachung öffentlicher Bereiche
• Innovativen Technologien
• Standort- oder Verhaltensverfolgung
• Daten von Kindern oder schutzbedürftigen Personen

Eine Datenschutz-Folgenabschätzung sollte Folgendes untersuchen:

• Den Zweck der Verarbeitung
• Kategorien personenbezogener Daten
• Verarbeitungsvorgänge
• Mögliche Risiken
• Auswirkungen auf Personen
• Sicherheitsmaßnahmen
• Aufbewahrung
• Verarbeitung durch Dritte
• Internationale Übermittlungen
• Maßnahmen zur Minderung erkannter Risiken

Automatisierte Entscheidungen und Profiling

Der malaysische Personal Data Protection Commissioner hat Leitlinien zu automatisierten Entscheidungen und Profiling (ADMP) veröffentlicht.

Unternehmen, die Folgendes einsetzen, sollten prüfen, ob personenbezogene Daten betroffen sind und ob zusätzliche Datenschutzgarantien angemessen sind:

• KI-Systeme
• Verhaltensbezogenes Profiling
• Automatisierte Entscheidungen über Anspruchsberechtigungen
• Betrugserkennung
• Kredit- oder Versicherungs-Scoring
• Personalisierte Werbung
• Gesichtserkennung
• Andere automatisierte Systeme

Werden sensible personenbezogene Daten, einschließlich biometrischer Daten, in automatisierten Verarbeitungen genutzt, bleiben die einschlägigen Anforderungen an sensible Daten maßgeblich.

Sicherheitspflichten

Der Sicherheitsgrundsatz verlangt von Organisationen, praktische Schritte zu unternehmen, um personenbezogene Daten zu schützen vor:

• Verlust
• Missbrauch
• Veränderung
• Unbefugtem Zugriff
• Offenlegung
• Abänderung
• Anderen Sicherheitsrisiken

Die Änderungen von 2024 machen den Sicherheitsgrundsatz unmittelbar auf Verantwortliche wie auf Auftragsverarbeiter anwendbar.

Organisationen sollten Maßnahmen in Betracht ziehen wie:

• Zugriffsverwaltung
• Authentifizierung
• Verschlüsselung
• Sichere Entwicklung
• Protokollierung und Monitoring
• Schwachstellenmanagement
• Backup und Wiederherstellung
• Incident Response
• Mitarbeiterschulungen
• Dienstleisterbewertungen
• Datenminimierung

Datenaufbewahrung

Der Aufbewahrungsgrundsatz verlangt, personenbezogene Daten nicht länger aufzubewahren, als dies zur Erfüllung des Zwecks erforderlich ist, für den sie verarbeitet wurden.

Unternehmen sollten dokumentierte Aufbewahrungsfristen festlegen für:

• Kundenkonten
• Marketing-Datenbanken
• Beschäftigtendaten
• Einwilligungsnachweise
• Website-Analysen
• Cookies und Tracking-Daten
• Supportunterlagen
• Betroffenenanfragen
• Sicherheitsprotokolle
• Bei Dienstleistern gespeicherte personenbezogene Daten

Aufbewahrungsfristen sollten sowohl den ursprünglichen Verarbeitungszweck als auch etwaige gesetzliche oder vertragliche Aufbewahrungspflichten widerspiegeln.

Direktmarketing

Direktmarketing wird im malaysischen Datenschutzrahmen ausdrücklich behandelt.

Unternehmen mit Marketingaktivitäten sollten prüfen:

• Die Quelle der Marketinginformationen
• Den Zweck, zu dem sie erhoben wurden
• Ob eine Einwilligung erforderlich ist
• Marketingpräferenzen
• Widerspruchsmechanismen
• Offenlegungen gegenüber Dritten
• Profiling
• Werbeplattformen
• Datenaufbewahrung

Der PDPA stellt Personen Mechanismen bereit, um bestimmten Direktmarketingaktivitäten zu widersprechen, und der Commissioner kann Anforderungen zum Direktmarketing erlassen.

Registrierung von Verantwortlichen

Bestimmte Klassen von Verantwortlichen müssen sich nach dem malaysischen Registrierungsrahmen registrieren.

Die Materialien des Commissioners nennen derzeit 13 Klassen von Verantwortlichen, die der Registrierungspflicht unterliegen. Organisationen außerhalb dieser Klassen können dem PDPA dennoch unterliegen, auch wenn für sie keine entsprechende Registrierungspflicht besteht.

Im Jahr 2026 hat der Commissioner zudem das Rundschreiben Nr. 1/2026 zur Registrierung von Verantwortlichen veröffentlicht und damit den aktuellen Registrierungsrahmen bekräftigt.

Unternehmen sollten daher bestimmen:

• Ob sie Verantwortlicher sind
• Ob sie unter eine vorgeschriebene Klasse fallen
• Ob eine Registrierung erforderlich ist
• Ob ihre Registrierungsbescheinigung aktuell ist
• Ob eine Verlängerung oder Aktualisierung erforderlich ist

Internationale Unternehmen

Ein Unternehmen entgeht Malaysias PDPA nicht schon deshalb, weil es außerhalb Malaysias gegründet wurde.

Das Gesetz kann Anwendung finden, wenn eine nicht in Malaysia niedergelassene Person Ausrüstung in Malaysia zur Verarbeitung personenbezogener Daten nutzt, sofern die Verarbeitung nicht lediglich der Durchleitung dient. Eine solche Person muss gegebenenfalls einen in Malaysia niedergelassenen Vertreter benennen.

Internationale Unternehmen sollten daher prüfen:

• Wo personenbezogene Daten erhoben werden
• Wo die Verarbeitung stattfindet
• Wo Systeme gehostet werden
• Wo Auftragsverarbeiter ansässig sind
• Ob Ausrüstung in Malaysia genutzt wird
• Wohin personenbezogene Daten übermittelt werden
• Ob ein malaysischer Vertreter erforderlich ist

Wesentliche Änderungen 2024 bis 2026 an Malaysias PDPA

Die folgenden Änderungen sind für Organisationen bei der Überprüfung ihres malaysischen Datenschutzprogramms am wichtigsten.

• Aus Datennutzern wurden Verantwortliche. Die Änderungen von 2024 ersetzen in den einschlägigen Vorschriften durchgängig den Begriff „data user“ durch „data controller“.
• Biometrische Daten wurden den sensiblen personenbezogenen Daten hinzugefügt. Biometrische Daten sind nun ausdrücklich von der Definition sensibler personenbezogener Daten erfasst.
• Auftragsverarbeiter haben unmittelbare Sicherheitspflichten. Auftragsverarbeiter müssen den Sicherheitsgrundsatz unmittelbar einhalten, wenn sie personenbezogene Daten im Auftrag von Verantwortlichen verarbeiten.
• Pflichten zum Datenschutzbeauftragten. Verantwortliche und Auftragsverarbeiter müssen Datenschutzbeauftragte bestellen, wenn die einschlägigen gesetzlichen Schwellenwerte oder Voraussetzungen erfüllt sind.
• Verpflichtende Meldung von Datenpannen. Qualifizierte Verletzungen des Schutzes personenbezogener Daten sind dem Commissioner zu melden; dessen Leitlinien sehen eine Frist von 72 Stunden vor.
• Datenübertragbarkeit. Betroffene Personen haben ein gesetzliches Recht auf Datenübertragbarkeit erhalten, vorbehaltlich technischer Machbarkeit und kompatibler Formate.
• Aktualisierter Rahmen für grenzüberschreitende Übermittlungen. Section 129 wurde geändert, und der Commissioner hat aktualisierte Leitlinien zu grenzüberschreitenden Übermittlungen veröffentlicht.

Checkliste zur Malaysia-PDPA-Compliance

Nutzen Sie diese Checkliste, um das aktuelle Datenschutzprogramm Ihrer Organisation zu überprüfen.

• Alle erhobenen personenbezogenen Daten identifizieren
• Verarbeitungszwecke identifizieren
• Die einschlägige gesetzliche Voraussetzung bestimmen
• Einwilligungsmechanismen überprüfen
• Sensible personenbezogene Daten überprüfen
• Verarbeitung biometrischer Daten identifizieren
• Angemessene Datenschutzhinweise unterhalten
• Offenlegungen gegenüber Dritten überprüfen
• Auftragsverarbeiter erfassen
• Sicherheitspflichten der Auftragsverarbeiter bestätigen
• Aufbewahrungsfristen überprüfen
• Abläufe für Auskunft und Berichtigung einrichten
• Auf Anträge zur Datenübertragbarkeit vorbereiten
• Direktmarketingpraktiken überprüfen
• Anforderungen zur Bestellung eines Datenschutzbeauftragten bewerten
• Den Datenschutzbeauftragten registrieren, sofern erforderlich
• Registrierungspflichten für Verantwortliche überprüfen
• Verfahren zur Erkennung von Datenpannen einführen
• Meldeverfahren für Datenpannen vorbereiten
• Die 72-Stunden-Meldefrist überprüfen
• Grenzüberschreitende Datenübermittlungen erfassen
• Anforderungen an Datenschutz-Folgenabschätzungen bewerten
• Automatisierte Entscheidungen und Profiling überprüfen
• Website-Cookies und -Tracker scannen
• Ausgewählte nicht notwendige Tracker vor der einschlägigen Einwilligung blockieren
• Einwilligungsnachweise führen
• Website-Technologien und Dienstleister regelmäßig überprüfen