Während die WM 2026 läuft, starten viele saudische Unternehmen Angebote, Gewinnspiele und interaktive Kampagnen, die innerhalb weniger Tage große Mengen an Kundendaten sammeln. Die direkte Antwort: Sie können diesen Schwung durchaus nutzen, vorausgesetzt, Sie erheben Daten auf einer klaren Rechtsgrundlage — ausdrückliche Einwilligung, ein festgelegter Zweck, Datenminimierung sowie disziplinierter Schutz und disziplinierte Aufbewahrung — im Einklang mit dem saudischen Gesetz zum Schutz personenbezogener Daten (PDPL), das von der Saudischen Behörde für Daten und Künstliche Intelligenz (SDAIA) beaufsichtigt wird. Eine Kampagne, die technisch und im Marketing ein Erfolg ist, kann dennoch zu einem Compliance-Risiko werden, wenn diese Grundlage ignoriert wird.

Warum die Turnierzeit Chance und Risiko zugleich ist

An Spieltagen steigt der Traffic auf Shops, Apps und Social-Media-Kanäle stark an, und ebenso die Bereitschaft der Kunden mitzumachen: ein Tippspiel zum Ergebnis, ein Rabatt für alle, die ihre Nummer angeben, eine Verlosung für alle, die ihre E-Mail-Adresse hinterlassen. Jedes Anmeldeformular ist ein Punkt der Datenerhebung. Das Problem: Marketingteams neigen unter Zeitdruck dazu, alles zu sammeln, was sie können, in Erwartung einer künftigen Verwendung, und es dann in ungeschützten, breit geteilten Tabellen abzulegen. Genau dort beginnen die Verstöße: Daten, die ohne klaren Zweck, ohne ordnungsgemäße Einwilligung erhoben und ohne Schutz aufbewahrt werden. Das nach der Kampagne zu korrigieren, ist weit schwieriger, als sie von Anfang an richtig zu konzipieren.

Was zählt in Ihrer Kampagne als personenbezogene Daten?

Personenbezogene Daten sind nicht nur ein Name und eine Nummer. Dazu gehört alles, was eine Person allein oder in Verbindung mit anderen Daten identifizieren kann: Mobilnummer, E-Mail-Adresse, Social-Media-Name, Standortdaten, Surfverhalten und sogar Fotos. Ein Teil davon gilt als sensible Daten, die stärkeren Schutz und eine höhere Rechtsgrundlage erfordern. Die praktische Regel: Wenn ein Feld auf eine bestimmte Person zurückführen kann, handelt es sich um personenbezogene Daten, die dem Gesetz unterliegen, und Sie brauchen eine legitime Grundlage, um sie zu erheben und zu verarbeiten — nicht nur den Marketingwunsch, sie zu besitzen.

Das erste Fundament: eine gültige Einwilligung vor der Erhebung

Eine Einwilligung im Sinne des Gesetzes ist kein vages, vorab angekreuztes Kästchen. Sie muss freiwillig, konkret und informiert erfolgen: Der Kunde weiß, wer seine Daten erhebt, zu welchem Zweck, wie lange und ob sie an Dritte weitergegeben werden. In der Praxis bedeutet das ein nicht angekreuztes Einwilligungskästchen, einen Link zu einer klaren Datenschutzerklärung und die Trennung der Marketing-Einwilligung von der Teilnahmebedingung des Gewinnspiels. Machen Sie den Gewinn eines Preises nicht von der Annahme sachfremder Marketingnachrichten abhängig; das untergräbt die Freiwilligkeit der Einwilligung und kann sie unwirksam machen.

Datenminimierung: das Minimum erheben, nicht das Maximum

Der Grundsatz der Datenminimierung besagt: Erheben Sie nur, was für den angegebenen Zweck wirklich notwendig ist. Wenn ein Gewinnspiel eine Mobilnummer braucht, um den Gewinner zu erreichen, gibt es keinen Grund, nach Geburtsdatum, Adresse und Berufsbezeichnung zu fragen. Jedes zusätzliche Feld ist eine Schutzlast und ein Compliance-Risiko ohne echten Nutzen. Weniger Daten bedeuten eine kleinere Angriffsfläche, mehr Kundenvertrauen und einfachere Compliance. Halten Sie Pflichtfelder auf dem absoluten Minimum und machen Sie den Rest ausdrücklich optional, damit der Kunde entscheidet, was er teilt.

Die Betroffenenrechte, die Ihr System unterstützen muss

Das Gesetz gewährt Einzelpersonen Rechte, die Ihr technisches System tatsächlich erfüllen können muss: das Recht, über die Verarbeitung ihrer Daten informiert zu werden, das Recht auf Zugang und eine Kopie, das Recht auf Berichtigung und das Recht auf Löschung, wenn der Zweck endet oder die Einwilligung widerrufen wird. Daraus ergibt sich eine klare technische Anforderung: Sie müssen wissen, wo die Daten jedes Kunden liegen, und sie auf Anfrage ohne mühsame manuelle Suche exportieren oder löschen können. Verstreute Tabellen auf den Laptops der Mitarbeitenden machen das praktisch unmöglich, während ein organisiertes zentrales System es unkompliziert macht.

Aufbewahrung, Schutz und sichere Löschung

Daten sind kein Schatz, den man für immer behält. Legen Sie eine an den Zweck gebundene Aufbewahrungsfrist fest: Daten aus einem abgeschlossenen Gewinnspiel haben keinen Grund, jahrelang liegen zu bleiben. Wenden Sie einen Basisschutz an: Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriff nur für diejenigen, die ihn wirklich benötigen, und Protokollierung, wer die Daten eingesehen hat. Wenn der Zweck endet, löschen Sie die Daten sicher und lassen Sie keine vergessenen Kopien in alten Dateien und Exporten zurück. Ungerechtfertigte Aufbewahrung ist nicht nur ein Verstoß, sondern ein direktes Risiko: Jeder Datensatz, den Sie behalten, ist ein Datensatz, der eines Tages abfließen könnte.

Wie wir bei Origami konforme Kampagnen entwickeln

Wenn wir Kampagnenplattformen und CRM-Systeme für unsere Kunden entwickeln, machen wir Compliance zum Teil des Designs statt zu einer nachträglichen Ergänzung: Anmeldeformulare mit ausdrücklicher, mit Zeitstempel versehener Einwilligung, eine direkte Anbindung an eine sichere zentrale Datenbank statt verstreuter Tabellen, fertige Berechtigungen sowie Lösch- und Exportwege, die den Betroffenenrechten dienen, und automatisch angewandte Aufbewahrungsrichtlinien. Das Ergebnis: Ein Unternehmer kann den WM-Schwung in echtes Wachstum seines Kundenstamms verwandeln, ohne nach dem Turnier die Last von Daten zu tragen, die ohne Rechtsgrundlage erhoben wurden.

Fazit

Die WM 2026 ist eine seltene Marketingchance, Kundendaten zu sammeln und Zielgruppen einzubinden, doch ihr echter Wert entfaltet sich nur, wenn sie auf einer rechtlichen Grundlage aufbaut: gültige Einwilligung, Datenminimierung, Unterstützung der Betroffenenrechte sowie disziplinierter Schutz und disziplinierte Aufbewahrung. Konzipieren Sie die Kampagne vom ersten Tag an richtig, dann gehen Sie aus der Saison mit einem vertrauenswürdigen Kundenstamm hervor statt mit einer aufgeschobenen Verbindlichkeit, die Sie später einholt. Und dieselbe Disziplin gilt für jede große Marketingsaison, die noch kommt — vor allem für die bisher größte Chance des saudischen Marktes: die WM 2034, die das Königreich ausrichtet.

Quellen

  • Saudische Behörde für Daten und Künstliche Intelligenz (SDAIA) — Gesetz zum Schutz personenbezogener Daten: https://sdaia.gov.sa
  • Nationales Wettbewerbsfähigkeitszentrum / saudisches Rechtsportal — PDPL und ihre Durchführungsverordnung: https://laws.boe.gov.sa
  • FIFA — WM 2026: https://www.fifa.com