Anfang Juli 2026 begann die saudische Behörde für Daten und Künstliche Intelligenz (SDAIA), ein PDPL-Formular zur Compliance-Überprüfung an Organisationen zu verschicken, die als Verantwortliche registriert sind. Das ist keine Formalität. Es ist eine offizielle Aufforderung an Ihr Unternehmen, mit Dokumenten und Nachweisen zu belegen, dass es personenbezogene Daten im Einklang mit dem Gesetz zum Schutz personenbezogener Daten (PDPL) erhebt, verarbeitet und speichert. Die praktische Konsequenz: Jede Organisation, die Kunden- oder Mitarbeiterdaten verarbeitet, sollte ihre Nachweise jetzt zusammenstellen, denn jede Lücke, die bei dieser Prüfung zutage tritt, kann Strafen von bis zu 5 Millionen SAR nach sich ziehen.

Was ist das Formular zur Compliance-Überprüfung?

Es ist ein offizielles Dokument — datiert auf den 7. Juli 2026 —, das die SDAIA an ihre registrierten Verantwortlichen sendet und sie auffordert, zu beschreiben und nachzuweisen, wie sie die PDPL einhalten. Einfach gesagt: Zu behaupten, man sei compliant, reicht nicht mehr; Sie müssen die Richtlinien, Aufzeichnungen und Kontrollen vorlegen, die es belegen. Das Formular umfasst den gesamten Lebenszyklus Ihrer Daten-Governance, vom Moment der Erhebung bis zum Moment der Vernichtung.

Was genau verlangt das Formular?

Das Formular fordert Nachweise in neun Kernbereichen. Es lohnt sich, jeden davon Zeile für Zeile durchzugehen:

  • Erhebung, Verarbeitung und Speicherung: wie Sie personenbezogene Daten erheben, wo Sie sie speichern und wie Sie sie verarbeiten.
  • Governance-Rahmenwerke und Richtlinien: schriftliche, genehmigte Richtlinien zu Datenschutz und Datensicherheit.
  • Rechtsgrundlage der Verarbeitung: die rechtliche Grundlage jeder Verarbeitungstätigkeit (Einwilligung, Vertrag, rechtliche Verpflichtung usw.).
  • Management von Dritten: wie Sie die Auftragsverarbeiter und Dienstleister beaufsichtigen, mit denen Sie Daten teilen.
  • Aufbewahrung und Vernichtung von Daten: festgelegte Aufbewahrungsfristen und ein sicheres Löschverfahren, sobald Daten nicht mehr benötigt werden.
  • Rechte der betroffenen Personen: ein Mechanismus, mit dem Einzelpersonen auf ihre Daten zugreifen, sie berichtigen und löschen können.
  • Grenzüberschreitende Datenübermittlungen: Kontrollen und Schutzmaßnahmen für die Übermittlung von Daten außerhalb des Königreichs.
  • Reaktion auf Vorfälle: ein Plan zur Bewältigung und Meldung von Datenpannen.
  • Datenschutzbeauftragter (DPO): wer die Compliance in Ihrer Organisation überwacht.

Warum jetzt? Die SDAIA verschärft die Durchsetzung

Das Formular kam nicht aus dem Nichts. Die PDPL ist bereits seit September 2023 durchsetzbar, und im vergangenen Jahr haben die Fachausschüsse der SDAIA 48 Entscheidungen gegen Organisationen erlassen, bei denen Verstöße festgestellt wurden — die erste substanzielle Welle von Entscheidungen. Dabei wiederholten sich klare Muster: Erhebung und Verarbeitung von Daten ohne Rechtsgrundlage, schwache technische und organisatorische Schutzmaßnahmen und der Versand von Werbenachrichten ohne vorherige Einwilligung (ein Verstoß, der im Einzelhandel, in der Telekommunikation und bei Finanzdienstleistungen weit verbreitet ist). Das Verschicken des Überprüfungsformulars ist der logische nächste Schritt: weg von der Reaktion auf Beschwerden, hin zu der Forderung, dass Organisationen ihre Compliance proaktiv nachweisen.

Die Strafen: Was kostet Nichteinhaltung?

Das Risiko ist finanzieller und rechtlicher Natur. Die Bußgelder erreichen 5 Millionen SAR pro Verstoß und können sich bei Wiederholung verdoppeln. In den schwersten Fällen — etwa bei der Offenlegung sensibler Daten mit Schädigungsabsicht oder zum persönlichen Vorteil — eskaliert die Sache bis zur strafrechtlichen Haftung, einschließlich Freiheitsstrafe. Hinzu kommt der indirekte Schaden: verlorenes Kundenvertrauen, ins Stocken geratene Geschäfte und Reputationsschäden. Die Botschaft ist klar: Compliance ist nicht mehr optional und nichts, was man aufschieben kann.

So bereiten Sie Ihr Unternehmen vor: eine praktische Checkliste

Warten Sie nicht, bis das Formular eintrifft. Beginnen Sie jetzt mit diesen Schritten:

  • Erstellen Sie eine Datenlandkarte: welche personenbezogenen Daten Sie erheben, woher, wo sie liegen und wer darauf zugreifen kann.
  • Dokumentieren Sie die Rechtsgrundlage jeder Verarbeitungstätigkeit und erfassen Sie die Einwilligung der Kunden nachweisbar.
  • Verfassen Sie Richtlinien zu Datenschutz, Aufbewahrung und Löschung — und stellen Sie sicher, dass sie genehmigt sind und tatsächlich durchgesetzt werden, nicht nur auf dem Papier stehen.
  • Prüfen Sie die Verträge mit Lieferanten und Dienstleistern, um sicherzustellen, dass Klauseln zu Datenschutz und Datenübermittlung vorhanden sind.
  • Richten Sie einen klaren Prozess ein, um Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung) innerhalb der gesetzlichen Fristen entgegenzunehmen und zu beantworten.
  • Benennen Sie einen Datenschutzbeauftragten, auch in Teilzeit, als klaren Verantwortlichen.
  • Erstellen Sie einen Plan zur Reaktion auf Vorfälle, damit alle wissen, wer was tut, wenn es zu einer Datenpanne kommt.

Die technische Seite: Wo Unternehmen tatsächlich scheitern

Die meisten Lücken haben nichts mit der Absicht zu tun — sondern mit den Systemen. Viele Organisationen haben eine schriftliche Datenschutzrichtlinie, aber ihre Systeme setzen sie nicht durch: Kundendaten werden in unzählige Tabellen und Dateien kopiert, es gibt keinen automatisierten Weg, sie nach Ablauf der Aufbewahrungsfrist zu löschen, und kein Protokoll, das zeigt, wer wann auf was zugegriffen hat. Hier wird Compliance vom Dokument zur Ingenieursarbeit. In der Praxis bedeutet das: Zugriffskontrollen, Verschlüsselung sensibler Daten, Audit-Protokolle, die jeden Vorgang belegen, automatisierte Aufbewahrung und Löschung, eine Oberfläche, über die betroffene Personen ihre Rechte ausüben können, und technische Kontrollen für jede Übermittlung außerhalb des Königreichs. Das Formular fragt nach diesen Fähigkeiten, und eine ehrliche Antwort braucht ein System, kein Versprechen.

Wie Origami hilft

Als Technologieunternehmen behandeln wir Compliance als lösbares technisches Problem. Wir helfen Organisationen, die Anforderungen der PDPL in echte Kontrollen innerhalb ihrer Systeme umzusetzen: präzise Datenlandkarten, Einwilligungsmanagement, automatisierte Aufbewahrungs- und Löschrichtlinien, Audit-Protokolle, Dashboards zur Bearbeitung von Anfragen betroffener Personen und Kontrollen für grenzüberschreitende Übermittlungen. Das Ziel: Ihre Antwort auf das Überprüfungsformular sind nicht nur Worte, sondern ein System, das Ihre Compliance automatisch nachweist, wann immer die SDAIA danach fragt.

Fazit

Das Verschicken des Formulars zur Compliance-Überprüfung signalisiert, dass die Schonfrist vorbei ist und die SDAIA dazu übergeht, einen proaktiven Nachweis der Compliance zu verlangen. Unternehmen, die ihre Daten und Systeme jetzt vorbereiten, werden das Formular als Routine behandeln; wer aufschiebt, entdeckt seine Lücken womöglich im ungünstigsten Moment — während der Prüfung selbst. Beginnen Sie heute mit Ihrer Datenlandkarte.

Quellen

  • Saudische Behörde für Daten und Künstliche Intelligenz (SDAIA) — Vorschriften und Richtlinien: sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form (Juli 2026): clydeco.com
  • IAPP — Saudi-Arabiens Datenschutzbehörde verschärft die Durchsetzung: iapp.org