Wenn Ihr Unternehmen irgendwelche Daten über Ihre Kunden erhebt – Name, Mobilnummer, E-Mail, Standort oder Foto –, unterliegen Sie dem Gesetz zum Schutz personenbezogener Daten (PDPL). Das Gesetz ist seit dem 14. September 2024 vollständig durchsetzbar, wird von der Saudischen Behörde für Daten und Künstliche Intelligenz (SDAIA) überwacht, und Verstöße können Bußgelder von bis zu 5 Millionen SAR nach sich ziehen. Dieser Leitfaden erklärt verständlich, was Ihr Unternehmen tun muss, welche Rechte Ihre Kunden haben und wie Sie sich ohne unnötige Komplexität vorbereiten.

Was ist das Gesetz zum Schutz personenbezogener Daten?

Es ist ein saudisches Gesetz, erlassen durch Königliches Dekret Nr. (M/19), das regelt, wie personenbezogene Daten innerhalb des Königreichs erhoben, verarbeitet, gespeichert und weitergegeben werden. Sein Ziel ist es, die Privatsphäre von Personen zu schützen und sicherzustellen, dass Unternehmen mit deren Daten verantwortungsvoll und transparent umgehen. Das Gesetz trat am 14. September 2023 in Kraft, mit einer einjährigen Übergangsfrist für die Umsetzung, die am 14. September 2024 endete; seitdem ist es vollständig verbindlich.

Für wen gilt das Gesetz?

Es gilt für jede Stelle – öffentlich oder privat –, die personenbezogene Daten von Personen innerhalb des Königreichs verarbeitet, gleich mit welchen Mitteln. Dazu gehören Onlineshops, Apps, Kliniken, Restaurants, Immobilienunternehmen und jedes Unternehmen, das einen Kundenstamm pflegt. Sein Geltungsbereich erstreckt sich sogar auf Stellen außerhalb des Königreichs, wenn sie Daten von Einwohnern verarbeiten. Kurz gesagt: Wenn Sie Kundendaten besitzen, betrifft Sie das Gesetz.

Welche Rechte hat die betroffene Person (Ihr Kunde)?

Das Gesetz gewährt Personen eine klare Reihe von Rechten an ihren Daten, vor allem:

  • Recht auf Information: zu erfahren, warum ihre Daten erhoben werden und wie sie verwendet werden.
  • Recht auf Auskunft: die Daten einzusehen, die Sie über sie gespeichert haben, und eine Kopie davon zu erhalten.
  • Recht auf Berichtigung: zu verlangen, dass ihre Daten geändert, aktualisiert oder vervollständigt werden.
  • Recht auf Vernichtung: die Löschung ihrer Daten zu verlangen, wenn diese nicht mehr benötigt werden.

Welche Pflichten hat das Unternehmen (der Verantwortliche)?

  • Eine Rechtsgrundlage für die Verarbeitung: Erheben Sie keine Daten ohne Begründung; der Regelfall ist die Einwilligung der Person.
  • Eine klare Datenschutzerklärung: Veröffentlichen Sie eine Erklärung darüber, was Sie erheben, warum und wie Sie es schützen.
  • Datenminimierung: Erheben Sie nur das, was Sie zur Erreichung des Zwecks benötigen – nicht mehr.
  • Meldung von Datenschutzverletzungen: Melden Sie der Behörde (und, wo erforderlich, der betroffenen Person) jedes Datenleck, das die Privatsphäre gefährdet.
  • Kontrollen bei grenzüberschreitender Übermittlung: im Einklang mit der Verordnung über die Übermittlung personenbezogener Daten ins Ausland.

Welche Strafen drohen bei Verstößen?

Die Strafen steigen je nach Art des Verstoßes:

  • Offenlegung oder Übermittlung sensibler Daten mit Schädigungsabsicht oder zum persönlichen Vorteil: Freiheitsstrafe von bis zu zwei Jahren und/oder Geldstrafe von bis zu 3 Millionen SAR.
  • Sonstige Verstöße: eine Verwarnung oder ein Bußgeld von bis zu 5 Millionen SAR, das bei Wiederholung verdoppelt werden kann.

Noch wichtiger: Die finanzielle Strafe ist nicht das einzige Risiko; der Verlust des Kundenvertrauens nach einem Datenleck kann Ihr Unternehmen weit mehr kosten als das Bußgeld selbst.

Wie bereiten Sie Ihr Unternehmen auf die Compliance vor?

  • Kennen Sie Ihre Daten: Erfassen Sie, welche Daten Sie erheben, wo sie gespeichert sind und wer darauf zugreifen kann.
  • Veröffentlichen Sie eine klare Datenschutzerklärung auf Ihrer Website und in Ihrer App, in einfacher, verständlicher Sprache.
  • Führen Sie eine ausdrückliche Einwilligung ein, bevor Sie Daten erheben, mit der Möglichkeit, die Einwilligung später zu widerrufen.
  • Sichere Speicherung: Verschlüsselung, eingeschränkte Zugriffsrechte und Löschung dessen, was Sie nicht mehr benötigen.
  • Legen Sie einen Prozess fest, um auf Kundenanfragen (Auskunft, Berichtigung, Löschung) zu reagieren und Datenschutzverletzungen zu melden.

Wie Origami Ihnen hilft

Bei Origami entwickeln wir Systeme und Apps nach dem Prinzip Privacy by Design: Verschlüsselung sensibler Daten, Einwilligungsmanagement, Zugriffsprotokollierung sowie integrierte Lösch- und Berichtigungsmechanismen. Ob Sie ein neues System aufbauen oder Ihr bestehendes an die Datenschutzanforderungen anpassen – wir übernehmen den technischen Teil, damit Sie sich um die Compliance Ihres Unternehmens keine Sorgen machen müssen.

Häufig gestellte Fragen

Gilt das Gesetz auch für kleine Unternehmen? Ja, es gibt keine Ausnahme nach Größe; jedes Unternehmen, das Daten von Personen verarbeitet, unterliegt dem Gesetz.

Reicht eine Datenschutzerklärung auf der Website aus? Eine Datenschutzerklärung ist ein wichtiger Schritt, reicht für sich allein aber nicht aus; gefordert ist eine echte Einhaltung des Gesetzes bei der Erhebung, dem Schutz, der Auskunft und der Löschung von Daten.

Was tue ich, wenn die Daten meiner Kunden geleakt werden? Beheben Sie die Schwachstelle sofort, dokumentieren Sie den Vorfall, melden Sie ihn wie vorgeschrieben der Behörde und informieren Sie die Betroffenen, wo nötig.

Der Schutz der Daten Ihrer Kunden ist nicht mehr nur ein Wettbewerbsvorteil; er ist eine gesetzliche Pflicht, deren Vernachlässigung Bußgelder und Vertrauensverlust nach sich zieht.

Wenn Sie die Bereitschaft Ihres Unternehmens für die Datenschutz-Compliance prüfen oder ein System aufbauen möchten, das die Privatsphäre von Grund auf respektiert, buchen Sie ein kurzes Gespräch mit dem Origami-Team oder kontaktieren Sie uns über WhatsApp.

Offizielle Quellen