Saudi-Arabien PDPL Compliance mit ConsentX

Was ist das saudi-arabische Personal Data Protection Law?

Das saudi-arabische Personal Data Protection Law, kurz saudisches PDPL, legt Regeln zum Schutz personenbezogener Daten und zur Regulierung ihrer Verarbeitung fest.

Das Gesetz definiert personenbezogene Daten weit. Erfasst sind Informationen, die eine Person direkt oder indirekt identifizieren können, darunter Namen, Identifikationsnummern, Adressen, Telefonnummern, Lizenznummern, persönliche Vermögenswerte, Bank- und Kreditkartennummern, Fotos, Videos und sonstige Informationen persönlicher Art.

Auch die Verarbeitung ist weit definiert und umfasst Tätigkeiten wie:

• Erhebung
• Aufzeichnung
• Speicherung
• Organisation
• Strukturierung
• Veränderung
• Abruf
• Nutzung
• Offenlegung
• Übermittlung
• Weitergabe
• Vernichtung

Organisationen sollten die PDPL-Compliance daher über den gesamten Lebenszyklus personenbezogener Daten hinweg berücksichtigen.

Wann ist das saudische PDPL in Kraft getreten?

Das saudische PDPL ist am 14. September 2023 in Kraft getreten.

Der Rahmen wurde anschließend durch seine Durchführungsverordnungen und zugehörige Rechtsakte ergänzt. Die aktuellen Compliance-Materialien der SDAIA behandeln das PDPL und die Durchführungsverordnungen als Kernrahmen für den Schutz personenbezogener Daten in Saudi-Arabien.

Organisationen sollten ihre Compliance daher am geltenden Gesetz und den Durchführungsanforderungen messen und das PDPL nicht als künftige Regelung behandeln.

Gilt das saudische PDPL auch für Unternehmen außerhalb Saudi-Arabiens?

Ja, unter bestimmten Umständen.

Artikel 2 erstreckt das Gesetz auf die Verarbeitung personenbezogener Daten von in Saudi-Arabien ansässigen Personen, wenn diese Verarbeitung von einer Partei außerhalb des Königreichs durchgeführt wird.

Dies kann insbesondere für international tätige Unternehmen relevant sein, die Folgendes nutzen:

• Globale CRM-Plattformen
• Internationale Cloud-Infrastruktur
• Analysedienste
• Werbeplattformen
• Globale Kundensupport-Systeme
• Internationale HR-Plattformen
• SaaS-Anwendungen
• Marketing-Automatisierungssysteme

Organisationen außerhalb Saudi-Arabiens sollten daher prüfen, ob ihre Verarbeitungstätigkeiten in den räumlichen Anwendungsbereich des PDPL fallen.

Was sind personenbezogene Daten nach dem saudischen PDPL?

Personenbezogene Daten umfassen Informationen, die eine Person konkret identifizieren oder eine Identifizierung direkt oder indirekt ermöglichen können.

Beispiele sind:

• Name
• Nationale Identifikationsnummer
• Adresse
• Telefonnummer
• E-Mail-Adresse
• Lizenznummern
• Registrierungsinformationen
• Informationen zu persönlichem Vermögen
• Bankkontoinformationen
• Kreditkarteninformationen
• Fotos
• Videos
• Sonstige identifizierende Informationen

Das Gesetz ist technologieneutral. Organisationen sollten daher nicht annehmen, dass nur klassische Datenbanken oder Papierunterlagen erfasst sind.

Was sind sensible personenbezogene Daten?

Sensible personenbezogene Daten genießen im saudischen PDPL-Rahmen zusätzlichen Schutz.

Zu den sensiblen Informationen können Daten zu folgenden Bereichen gehören:

• Rassische oder ethnische Herkunft
• Religiöse, weltanschauliche oder politische Überzeugungen
• Vorstrafen oder Strafverfahren
• Zur Identifizierung genutzte biometrische Daten
• Genetische Daten
• Gesundheitsdaten
• Informationen zur Abstammung

Der Rechtsrahmen stellt zusätzliche Anforderungen an die Verarbeitung sensibler personenbezogener Daten. So kann die Grundlage des berechtigten Interesses für die Verarbeitung sensibler personenbezogener Daten nicht herangezogen werden.

Rechtsgrundlagen der Verarbeitung nach dem saudischen PDPL

Das saudische PDPL verlangt nicht für jede Verarbeitungstätigkeit eine Einwilligung.

Artikel 5 macht die Einwilligung zur Grundregel, während Artikel 6 Umstände benennt, in denen die Verarbeitung nicht dieser Einwilligungspflicht unterliegt. Dazu zählen Fälle, in denen:

• Die Verarbeitung den tatsächlichen Interessen der betroffenen Person dient, eine Kontaktaufnahme aber unmöglich oder schwierig ist
• Die Verarbeitung nach einem anderen Gesetz erforderlich ist
• Die Verarbeitung zur Durchführung einer früheren Vereinbarung erforderlich ist, an der die betroffene Person beteiligt ist
• Eine öffentliche Stelle Daten für Sicherheits- oder Justizzwecke verarbeitet
• Die Verarbeitung für die berechtigten Interessen des Verantwortlichen erforderlich ist, sofern Rechte und Interessen der betroffenen Person nicht beeinträchtigt werden und keine sensiblen Daten verarbeitet werden

Die Durchführungsverordnungen enthalten weitere Kontrollen und Bedingungen.

Organisationen sollten daher die Rechtsgrundlage jeder Verarbeitungstätigkeit dokumentieren, statt davon auszugehen, dass jede Verarbeitung auf einer Einwilligung beruhen muss.

Die Einwilligung nach dem saudischen PDPL

Wenn die Einwilligung die einschlägige Rechtsgrundlage ist, müssen Organisationen sie im Einklang mit dem PDPL und den Durchführungsverordnungen einholen.

Artikel 5 bestimmt, dass personenbezogene Daten grundsätzlich nicht ohne Einwilligung der betroffenen Person verarbeitet oder ihr Zweck geändert werden darf, außer in den gesetzlich vorgesehenen Fällen. Er begründet zudem die Möglichkeit der betroffenen Person, die Einwilligung zu widerrufen.

Ein rechtskonformer Einwilligungsprozess sollte so gestaltet sein, dass Folgendes nachweisbar ist:

• Wer die Einwilligung erteilt hat
• Wann die Einwilligung erteilt wurde
• Welche Verarbeitungszwecke dargestellt wurden
• Welche Datenkategorien betroffen waren
• Welche Optionen ausgewählt wurden
• Welche Version des Hinweises oder der Einwilligungsoberfläche angezeigt wurde
• Ob die Einwilligung später widerrufen wurde

Die Einwilligung sollte sich konkret auf die betreffende Verarbeitung beziehen und nicht als Pauschalermächtigung für unzusammenhängende Zwecke verwendet werden.

Darf die Einwilligung zur Bedingung für einen Dienst gemacht werden?

Nicht immer.

Artikel 7 bestimmt, dass die Einwilligung nicht zur Bedingung für die Erbringung eines Dienstes oder Vorteils gemacht werden darf, es sei denn, der Dienst oder Vorteil steht in unmittelbarem Zusammenhang mit der Verarbeitung, für die die Einwilligung eingeholt wird.

Organisationen sollten daher prüfen, ob Einwilligungsanfragen tatsächlich freiwillig sind oder unzulässig mit unzusammenhängenden Diensten verknüpft werden.

Widerruf der Einwilligung

Betroffene Personen können ihre Einwilligung jederzeit widerrufen, wenn die Verarbeitung auf einer Einwilligung beruht, vorbehaltlich der geltenden regulatorischen Vorgaben.

Organisationen sollten daher einen praktikablen Mechanismus bereitstellen, mit dem Nutzer:

• Ihre Einwilligungsentscheidungen einsehen können
• Die Einwilligung widerrufen können
• Ausgewählte Zwecke ändern können
• Betroffenes Marketing beenden können
• Präferenzen aktualisieren können

Der Widerruf der Einwilligung sollte sich auch in nachgelagerten Systemen widerspiegeln, in denen die weitere Verarbeitung von dieser Einwilligung abhängt.

Datenschutzhinweise nach dem saudischen PDPL

Verantwortliche müssen eine Datenschutzrichtlinie bereitstellen und sie betroffenen Personen vor der Erhebung ihrer personenbezogenen Daten zugänglich machen.

Die Datenschutzrichtlinie muss unter anderem folgende Punkte behandeln:

• Zweck der Erhebung
• Erhobene personenbezogene Daten
• Verwendete Erhebungsmethoden
• Verarbeitung
• Speicherung
• Vernichtung
• Betroffenenrechte
• Wie diese Rechte ausgeübt werden können

Artikel 13 verpflichtet Organisationen, die Daten unmittelbar bei den betroffenen Personen erheben, zusätzliche Informationen bereitzustellen, darunter die Rechtsgrundlage, den Zweck, verpflichtende und freiwillige Angaben, relevante Empfänger, internationale Übermittlungen, mögliche Folgen einer Nichtbereitstellung der Daten sowie die einschlägigen Rechte.

Ein PDPL-Datenschutzhinweis sollte daher konkret auf die tatsächlichen Verarbeitungsvorgänge der Organisation zugeschnitten sein und keine allgemeine Datenschutzerklärung sein.

Datenminimierung und Zweckbindung

Das PDPL verlangt, dass die Erhebung personenbezogener Daten an die Zwecke des Verantwortlichen geknüpft ist.

Das Gesetz verlangt, dass der Umfang der erhobenen personenbezogenen Daten angemessen und auf das für den Erhebungszweck erforderliche Mindestmaß beschränkt ist. Sind personenbezogene Daten für ihren ursprünglichen Zweck nicht mehr erforderlich, ist die Erhebung einzustellen und sind zuvor erhobene Daten vorbehaltlich der geltenden Anforderungen zu vernichten.

Organisationen sollten regelmäßig prüfen:

• Welche Felder erhoben werden
• Warum jedes Feld erhoben wird
• Ob freiwillige Angaben wirklich erforderlich sind
• Ob Daten für einen anderen Zweck weiterverwendet werden
• Ob Aufbewahrungsfristen weiterhin gerechtfertigt sind
• Ob Informationen anonymisiert oder pseudonymisiert werden können

Datenrichtigkeit

Verantwortliche müssen ausreichende Schritte unternehmen, um sicherzustellen, dass personenbezogene Daten:

• Richtig sind
• Vollständig sind
• Aktuell sind
• Für den Erhebungszweck relevant sind

Das PDPL verpflichtet Verantwortliche zudem, Berichtigungen, Ergänzungen oder Aktualisierungen anderen Stellen mitzuteilen, an die die personenbezogenen Daten übermittelt wurden, vorbehaltlich der geltenden Anforderungen.

Betroffenenrechte nach dem saudischen PDPL

Das saudische PDPL gewährt Personen mehrere Rechte in Bezug auf ihre personenbezogenen Daten.

Recht auf Information. Personen haben das Recht auf Informationen über die Rechtsgrundlage und den Zweck der Erhebung ihrer personenbezogenen Daten.

Auskunftsrecht. Betroffene Personen können vorbehaltlich der geltenden Einschränkungen Zugang zu den beim Verantwortlichen gespeicherten personenbezogenen Daten verlangen.

Recht auf Erhalt der Daten. Personen können ihre personenbezogenen Daten vorbehaltlich der geltenden Vorgaben in einem lesbaren und klaren Format anfordern.

Recht auf Berichtigung. Personen können die Berichtigung, Vervollständigung oder Aktualisierung ihrer personenbezogenen Daten verlangen.

Recht auf Vernichtung. Personen können die Vernichtung personenbezogener Daten verlangen, wenn diese nicht mehr benötigt werden, vorbehaltlich der gesetzlich vorgesehenen Ausnahmen und Aufbewahrungspflichten.

Recht auf Widerruf der Einwilligung. Beruht die Verarbeitung auf einer Einwilligung, kann die betroffene Person diese widerrufen.

Beschwerderecht. Betroffene Personen können bei der zuständigen Behörde Beschwerde zur Umsetzung des PDPL und seiner Verordnungen einreichen.

Recht auf Schadensersatz. Personen, denen durch qualifizierte Verstöße ein Schaden entsteht, können vor dem zuständigen Gericht angemessenen Ersatz für materielle oder immaterielle Schäden verlangen.

Offenlegung von Daten nach dem saudischen PDPL

Verantwortliche dürfen personenbezogene Daten grundsätzlich nur in den vom PDPL zugelassenen Fällen offenlegen.

Zulässige Fälle können sein:

• Einwilligung der betroffenen Person
• Daten aus einer öffentlich zugänglichen Quelle
• Bestimmte Anforderungen öffentlicher Stellen
• Situationen der öffentlichen Gesundheit oder Sicherheit
• Schutz von Leben oder Gesundheit
• Verarbeitung, die eine Identifizierung ausschließt
• Bestimmte Fälle berechtigter Interessen, in denen keine sensiblen Daten verarbeitet werden

Zusätzliche Beschränkungen gelten für Offenlegungen, die die nationale Sicherheit, internationale Beziehungen, strafrechtliche Ermittlungen, die Sicherheit einer Person, die Privatsphäre einer anderen Person, berufliche Pflichten oder sonstige geschützte Interessen beeinträchtigen könnten.

Direktmarketing nach dem saudischen PDPL

Das saudische PDPL enthält besondere Anforderungen an Werbe- und Aufklärungsmaterialien, die über persönliche Kommunikationskanäle versendet werden.

Abgesehen von bestimmten Aufklärungsmaterialien öffentlicher Stellen dürfen Verantwortliche persönliche Kommunikationskanäle wie E-Mail oder Post grundsätzlich nicht ohne vorherige Einwilligung für den Versand von Werbe- oder Aufklärungsmaterialien nutzen.

Der Absender muss zudem einen klaren Mechanismus bereitstellen, über den der Empfänger die Einstellung solcher Mitteilungen verlangen kann.

Das PDPL sieht gesondert vor, dass personenbezogene Daten zu Marketingzwecken verarbeitet werden dürfen, wenn sie unmittelbar bei der betroffenen Person erhoben und eine Einwilligung eingeholt wurde, nach Maßgabe des Gesetzes und der Verordnungen. Sensible Daten sind von dieser Marketingregelung ausgenommen.

Cookies und Tracking-Technologien

Das saudische PDPL ist zu berücksichtigen, wenn Websites und Anwendungen Cookies, Pixel, SDKs, Werbetechnologien, Analysewerkzeuge und andere Tracking-Technologien einsetzen, die personenbezogene Daten verarbeiten.

Organisationen sollten prüfen:

• Ob ein Cookie oder Tracker personenbezogene Daten verarbeitet
• Welche Informationen erhoben werden
• Den Zweck der Verarbeitung
• Die einschlägige Rechtsgrundlage
• Ob eine Einwilligung erforderlich ist
• Ob Dritte die Informationen erhalten
• Ob die Informationen Saudi-Arabien verlassen
• Ob die Technologie für Marketing oder Profiling genutzt wird
• Wie lange die Informationen aufbewahrt werden

Ein Cookie-Banner allein begründet keine vollständige PDPL-Compliance. Organisationen sollten Consent-Management mit Datenschutzhinweisen, Data Governance, Lieferantenmanagement, Sicherheitsmaßnahmen und Prozessen für Betroffenenrechte verbinden.

Datenschutzbeauftragter nach dem saudischen PDPL

Das saudische PDPL und die Durchführungsverordnungen sehen in bestimmten Fällen die Bestellung eines Datenschutzbeauftragten (DPO) vor.

Die SDAIA hat eigene Regeln zur Bestellung von Datenschutzbeauftragten erlassen. Die DPO-Anforderungen sollten anhand der Tätigkeiten der Organisation und der in den Durchführungsverordnungen genannten Umstände bewertet werden.

Soweit erforderlich, kann der DPO folgende Aufgaben unterstützen:

• Überwachung der Compliance
• Beratung zu Datenschutzanforderungen
• Unterstützung von Datenschutzrichtlinien
• Überwachung der Betroffenenrechte
• Unterstützung von Folgenabschätzungen
• Abstimmung mit der SDAIA
• Unterstützung der Reaktion auf Datenschutzverletzungen
• Überwachung der Verarbeitungsverzeichnisse

Organisationen sollten nicht davon ausgehen, dass für jeden Verantwortlichen dieselbe DPO-Pflicht gilt.

Datenschutz-Folgenabschätzungen

Das saudische PDPL verpflichtet Verantwortliche, eine Folgenabschätzung der Verarbeitung personenbezogener Daten im Zusammenhang mit Produkten oder Diensten durchzuführen, ausgehend von der Art der Tätigkeit des Verantwortlichen und den geltenden regulatorischen Anforderungen.

Eine Abschätzung sollte unter anderem folgende Faktoren berücksichtigen:

• Zweck der Verarbeitung
• Art und Umfang der personenbezogenen Daten
• Kategorien betroffener Personen
• Verarbeitungsmethoden
• Mögliche Risiken
• Sicherheitsmaßnahmen
• Datenaufbewahrung
• Offenlegungen gegenüber Dritten
• Internationale Übermittlungen
• Maßnahmen zur Minderung erkannter Risiken

Organisationen sollten Datenschutz-Folgenabschätzungen in die Produkt- und Serviceentwicklung integrieren, statt sie als rein rückblickende Compliance-Übung zu behandeln.

Sicherheit personenbezogener Daten

Verantwortliche müssen organisatorische, administrative und technische Maßnahmen zum Schutz personenbezogener Daten umsetzen, auch bei Übermittlungen.

Die aktuellen Leitlinien der SDAIA nennen Grundsätze wie Integrität und Vertraulichkeit und verlangen angemessene Sicherheitsmaßnahmen zum Schutz personenbezogener Daten vor Verlust, Zerstörung oder Beschädigung.

Zu den Sicherheitsmaßnahmen können gehören:

• Zugriffskontrollen
• Authentifizierung
• Verschlüsselung
• Überwachung
• Sichere Speicherung
• Schwachstellenmanagement
• Vorfallreaktion
• Vertraulichkeitsverpflichtungen der Mitarbeitenden
• Sicherheitsbewertungen von Dienstleistern
• Backup- und Wiederherstellungsverfahren
• Datenminimierung
• Sicheres Löschen

Die angemessenen Maßnahmen sollten die Art und die Risiken der Verarbeitung widerspiegeln.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Verantwortliche müssen die zuständige Behörde benachrichtigen, wenn sie von einer Verletzung, Beschädigung oder einem unrechtmäßigen Zugriff auf personenbezogene Daten Kenntnis erlangen, nach Maßgabe der geltenden regulatorischen Anforderungen.

Verantwortliche müssen zudem betroffene Personen benachrichtigen, wenn der Vorfall ihren Daten schaden oder ihre Rechte und Interessen beeinträchtigen könnte.

Organisationen sollten einen dokumentierten Reaktionsprozess vorhalten, der Folgendes abdeckt:

• Erkennung
• Eindämmung
• Erstbewertung
• Risikoanalyse
• Dokumentation
• Meldung an die Behörde
• Benachrichtigung betroffener Personen, soweit erforderlich
• Behebung
• Nachbereitung des Vorfalls

Die geltenden Meldefristen und Schwellenwerte sollten anhand der aktuellen Durchführungsverordnungen und SDAIA-Verfahren bewertet werden.

Verzeichnisse von Verarbeitungstätigkeiten

Verantwortliche müssen Verzeichnisse der Verarbeitungstätigkeiten personenbezogener Daten nach Maßgabe des Gesetzes und der Durchführungsverordnungen führen.

Nach den aktuellen Leitlinien der SDAIA sind Verzeichnisse der Verarbeitungstätigkeiten fünf Jahre nach Beendigung der jeweiligen Verarbeitungstätigkeit aufzubewahren.

Die Verzeichnisse sollten unter anderem folgende Angaben enthalten:

• Kontaktdaten des Verantwortlichen
• Verarbeitungszwecke
• Kategorien betroffener Personen
• Stellen, gegenüber denen Daten offengelegt wurden oder werden
• Internationale Übermittlungen
• Voraussichtliche Aufbewahrungsdauer

Diese Verzeichnisse sollten der zuständigen Behörde auf Anfrage zur Verfügung stehen.

Nationales Register der Verantwortlichen

Die SDAIA führt über die National Data Governance Platform ein Nationales Register der Verantwortlichen.

Die aktuellen Registrierungsregeln benennen Kategorien von Verantwortlichen, die sich registrieren müssen, darunter:

• Öffentliche Stellen
• Verantwortliche, deren Haupttätigkeit auf der Verarbeitung personenbezogener Daten beruht
• Verantwortliche, die sensible Daten verarbeiten
• Einzelpersonen, die personenbezogene Daten über den persönlichen oder familiären Gebrauch hinaus verarbeiten

Nach Angaben der SDAIA soll das Nationale Register die Überwachung und Nachverfolgung der Verantwortlichen und ihrer Einhaltung des PDPL und der Durchführungsverordnungen unterstützen. Die SDAIA stellt zudem Registrierungsverfahren für ausländische Organisationen bereit.

Verantwortliche und Auftragsverarbeiter

Das saudische PDPL unterscheidet die Verantwortlichkeiten von Organisationen, die über Art und Zweck der Verarbeitung entscheiden, und Organisationen, die Daten in deren Auftrag verarbeiten.

Verantwortliche müssen Auftragsverarbeiter auswählen, die die erforderlichen Garantien für die Umsetzung des PDPL und der Durchführungsverordnungen bieten, und die Einhaltung durch den Auftragsverarbeiter überwachen.

Organisationen sollten daher eine angemessene Prüfung der Auftragsverarbeiter durchführen und sicherstellen, dass Verträge Folgendes regeln:

• Verarbeitungsanweisungen
• Vertraulichkeit
• Sicherheit
• Unterauftragsverarbeitung
• Datenaufbewahrung
• Datenlöschung
• Anfragen betroffener Personen
• Umgang mit Datenschutzverletzungen
• Internationale Übermittlungen
• Prüf- und Compliance-Pflichten

Internationale Datenübermittlungen

Das saudische PDPL enthält besondere Bestimmungen für Übermittlungen und Offenlegungen personenbezogener Daten außerhalb Saudi-Arabiens.

Artikel 29 erlaubt Übermittlungen oder Offenlegungen außerhalb des Königreichs in bestimmten Fällen und stellt Bedingungen auf, die Folgendes betreffen:

• Nationale Sicherheit
• Wesentliche Interessen des Königreichs
• Angemessenes Schutzniveau
• Datenminimierung

Das Gesetz sieht zudem eine Ausnahme für Fälle äußerster Notwendigkeit vor, die das Leben oder wesentliche Interessen einer betroffenen Person betreffen oder der Vorbeugung, Untersuchung oder Behandlung einer Krankheit dienen.

Die gesonderte Verordnung über die Übermittlung personenbezogener Daten aus dem Königreich enthält weitere Anforderungen und Mechanismen für internationale Übermittlungen. Die SDAIA führt diese Verordnung als Bestandteil des aktuellen saudischen Datenschutzrahmens. Organisationen, die internationale Cloud-Anbieter, Analyseplattformen, CRM-Systeme, Werbedienste oder globale SaaS-Infrastruktur nutzen, sollten daher ihre internationalen Datenflüsse erfassen.

Aufbewahrung und Vernichtung von Daten

Organisationen sollten personenbezogene Daten nicht unbegrenzt aufbewahren.

Das PDPL verpflichtet Verantwortliche, die Erhebung personenbezogener Daten einzustellen und zuvor erhobene Daten zu vernichten, wenn sie für den Erhebungszweck nicht mehr erforderlich sind, vorbehaltlich der geltenden Anforderungen und Ausnahmen.

Organisationen sollten Aufbewahrungsfristen festlegen für:

• Kundeninformationen
• Beschäftigtendaten
• Marketingdaten
• Einwilligungsnachweise
• Analyseinformationen
• Supportunterlagen
• Finanzunterlagen
• Rechtsunterlagen
• Anfragen betroffener Personen
• Verarbeitungsverzeichnisse

Die SDAIA veröffentlicht zudem Leitlinien zur Vernichtung, Anonymisierung und Pseudonymisierung personenbezogener Daten.

Gesundheits- und Kreditdaten

Bestimmte Kategorien personenbezogener Daten unterliegen einer zusätzlichen regulatorischen Behandlung.

Das PDPL sieht zusätzliche Kontrollen für Gesundheitsdaten vor, darunter Beschränkungen des Zugriffs und der Verarbeitung durch Beschäftigte auf das Mindestmaß, das für die Erbringung von Gesundheitsleistungen oder Krankenversicherungsprogrammen erforderlich ist.

Das Gesetz enthält zudem zusätzliche Anforderungen an Kreditdaten, darunter Anforderungen an eine ausdrückliche Einwilligung und an Benachrichtigungen in bestimmten Fällen.

Organisationen im Gesundheitswesen, in Finanzdienstleistungen, im Versicherungs- und Kreditbereich sowie in verwandten Sektoren sollten das PDPL daher zusammen mit sektorspezifischen saudischen Anforderungen betrachten.

Wer setzt das saudische PDPL durch?

Die Saudi Data & AI Authority (SDAIA) ist für die Überwachung der Umsetzung des PDPL und seiner Änderungen zuständig und betreibt die National Data Governance Platform.

Die SDAIA stellt Organisationen Folgendes bereit:

• PDPL-Gesetzestext
• Durchführungsverordnungen
• Verordnungen zu internationalen Übermittlungen
• Compliance-Leitlinien
• Registrierung von Verantwortlichen
• DPO-Leitlinien
• Leitlinien zu Verarbeitungsverzeichnissen
• Dienste im Zusammenhang mit Datenschutzverletzungen
• Datenschutzressourcen

Das aktuelle Knowledge Center der SDAIA führt das PDPL, die Durchführungsverordnungen und die Verordnung zu internationalen Übermittlungen als Kernelemente des saudischen Datenschutzrahmens.

Checkliste zur PDPL-Compliance in Saudi-Arabien

Organisationen mit Tätigkeit in Saudi-Arabien sollten Folgendes berücksichtigen.

• Prüfen, ob das PDPL anwendbar ist
• Verarbeitung personenbezogener Daten erfassen
• Verantwortliche und Auftragsverarbeiter bestimmen
• Verarbeitungszwecke dokumentieren
• Einschlägige Rechtsgrundlage bestimmen
• Einwilligungsmechanismen überprüfen
• Ausdrückliche Einwilligung einholen, wo erforderlich
• Geeignete Datenschutzrichtlinie bereitstellen
• Erforderliche Erhebungsinformationen bereitstellen
• Sensible personenbezogene Daten identifizieren
• Direktmarketing-Praktiken überprüfen
• Verfahren für Betroffenenrechte einrichten
• Mechanismen zum Widerruf der Einwilligung bereitstellen
• Aufbewahrungsfristen überprüfen
• Verfahren zur sicheren Vernichtung umsetzen
• Verzeichnisse der Verarbeitungstätigkeiten führen
• DPO-Pflichten bewerten
• Pflichten zum Nationalen Register bewerten
• Erforderliche Folgenabschätzungen durchführen
• Sicherheitsmaßnahmen umsetzen
• Verfahren für Datenschutzverletzungen einrichten
• Internationale Datenübermittlungen überprüfen
• Einschlägige Übermittlungsgarantien umsetzen
• Verträge mit Auftragsverarbeitern überprüfen
• Websites auf Cookies und Tracker scannen
• Marketing- und Analysetechnologien identifizieren
• Verhindern, dass betroffene Technologien vor der erforderlichen Einwilligung aktiv werden
• Prüffähige Einwilligungsnachweise führen