Das saudische Datenschutzgesetz und die Website Ihres Unternehmens

Ein Formular für Angebotsanfragen, ein Kundenkonto im Shop, ein Newsletter, ein Bewerbungsformular. Alles, was Ihre Website über Personen im Königreich Saudi-Arabien erhebt, fällt unter das Gesetz zum Schutz personenbezogener Daten. Das Gesetz richtet sich dabei nicht nur an den Entwickler oder den Hoster, sondern an Ihr Unternehmen als „Verantwortlichen“, also als die Stelle, die Zweck und Art der Verarbeitung festlegt.

Hier lesen Sie, was das Gesetz praktisch für eine Unternehmenswebsite bedeutet, mit den Artikelnummern für alle, die im Text nachlesen wollen. Der Beitrag dient der Erklärung und ist keine Rechtsberatung. In Einzelfällen fragen Sie einen Anwalt oder Ihren Datenschutzbeauftragten.

Das Gesetz in Kürze

Das Gesetz zum Schutz personenbezogener Daten wurde mit dem Königlichen Dekret Nr. (M/19) vom 9.2.1443 AH erlassen und mit dem Königlichen Dekret Nr. (M/148) vom 5.9.1444 AH geändert. Es trat am 14. September 2023 in Kraft, mit einer Übergangsfrist von einem Jahr, die am 14. September 2024 endete. Ergänzt wird es durch zwei Verordnungen: die Durchführungsverordnung und die Verordnung über die Übermittlung personenbezogener Daten ins Ausland.

Zuständig für die Aufsicht ist die Saudi Data and Artificial Intelligence Authority (SDAIA), die die nationale Plattform für Data Governance betreibt. Über diese Plattform werden unter anderem Datenpannen gemeldet und Beschwerden eingereicht. Ihre Leitfäden und Regeln veröffentlicht SDAIA auf der Seite zu Gesetzen und Richtlinien (auf Arabisch).

Nach Artikel 2 gilt das Gesetz für jede Verarbeitung personenbezogener Daten von Einzelpersonen, die im Königreich stattfindet, auf welchem Weg auch immer. Das schließt die Verarbeitung von Daten von Einwohnern des Königreichs durch Stellen außerhalb des Landes ein. Sitzt Ihr Unternehmen also in Dubai und verkauft über seine Website an Kunden in Riad oder Dschidda, kann das Gesetz auch für Sie gelten.

Was der Besucher wissen muss, bevor er Daten absendet

Artikel 12 verpflichtet den Verantwortlichen, eine Datenschutzerklärung festzulegen und den betroffenen Personen vor der Erhebung zugänglich zu machen. Sie nennt den Zweck der Erhebung, die erhobenen Daten, die Art der Erhebung, Verarbeitung, Speicherung und Vernichtung sowie die Rechte der betroffenen Person und wie sie diese ausübt.

Wenn Sie Daten direkt bei der Person erheben, etwa über ein Formular auf Ihrer Website, verlangt Artikel 13, dass Sie die Person bei der Erhebung unter anderem informieren über:

• die Rechtsgrundlage und den Zweck der Erhebung,
• welche Felder im Formular Pflicht sind und welche freiwillig,
• wer die Daten erhebt,
• an wen die Daten weitergegeben werden können und ob sie ins Ausland übermittelt oder dort verarbeitet werden,
• ihre Rechte nach dem Gesetz.

Praktisch heißt das: neben jedem Formular ein gut sichtbarer Link zur Datenschutzerklärung auf Arabisch, freiwillige Felder kenntlich gemacht, und nichts abfragen, was Sie nicht brauchen. Datenminimierung gehört zu den Grundsätzen, die SDAIA in ihren Erläuterungen zum Gesetz nennt: Sie erheben nur, was für den Zweck nötig ist. Wer zum ersten Mal eine Datenschutzerklärung schreibt, findet in SDAIAs Leitfaden zur Erstellung und Weiterentwicklung einer Datenschutzerklärung die Bestandteile, die erwartet werden.

Werbenachrichten brauchen eine vorherige Einwilligung

Artikel 25 verbietet, persönliche Kontaktwege der betroffenen Person, darunter Postanschrift und E-Mail-Adresse, für Werbe- oder Informationsmaterial zu nutzen, außer unter zwei Bedingungen: Der Empfänger hat vorher eingewilligt, und es gibt einen klaren Weg, den Empfang zu beenden. Artikel 26 erlaubt die Verarbeitung zu Marketingzwecken, ausgenommen sensible Daten, wenn die Daten direkt bei der Person und mit ihrer Einwilligung erhoben wurden.

Für Ihre Website bedeutet das:

1. Ein eigenes Kontrollkästchen für die Einwilligung in Werbenachrichten, nicht vorausgewählt und nicht mit dem Absenden der Angebotsanfrage gekoppelt.
2. In jeder Nachricht ein funktionierender Abmeldelink, und Abmeldungen werden tatsächlich umgesetzt.
3. Ein Nachweis, wann jede Person in was eingewilligt hat.
4. Gekaufte oder aus anderen Quellen kopierte Listen haben in Ihren Kampagnen keinen Platz, denn das Gesetz verlangt, dass Marketingdaten direkt bei der Person erhoben werden.

Datensicherheit auf der Website selbst

Artikel 19 verpflichtet den Verantwortlichen, die nötigen organisatorischen, administrativen und technischen Maßnahmen zum Schutz personenbezogener Daten zu treffen, auch bei ihrer Übermittlung. Artikel 23 der Durchführungsverordnung ergänzt die Pflicht, die Kontrollen und Standards der National Cybersecurity Authority einzuhalten, oder, wenn die Stelle nicht an deren Kontrollen gebunden ist, anerkannte Best Practices und Standards der Cybersicherheit.

Das Gesetz nennt keine Plugins oder Zertifikate beim Namen. Für eine Unternehmenswebsite bedeuten diese Artikel aber konkrete Dinge:

• jede Seite mit Formular läuft über HTTPS mit gültigem Zertifikat,
• WordPress, Theme und Plugins sind aktuell, aufgegebene Plugins sind gelöscht (siehe den Beitrag zu veralteten WordPress-Plugins),
• Zwei-Faktor-Anmeldung für das WordPress-Backend, das Hosting-Panel und das E-Mail-Konto,
• Sicherheitsheader, die zum Beispiel das Einbetten Ihrer Seiten in fremde Websites verhindern. Prüfen können Sie das mit dem kostenlosen Tool Security Headers Check (auf Englisch),
• alte Formularnachrichten werden gelöscht, sobald ihr Zweck erfüllt ist, denn SDAIA schreibt vor, personenbezogene Daten nach Ende des Erhebungszwecks unverzüglich zu vernichten.

Eine Frage, die viele übersehen: Wo werden die Formulardaten gespeichert? Liegen Hosting, Formulartool oder CRM auf Servern außerhalb des Königreichs, ist das eine Übermittlung ins Ausland, und dafür stellt die Verordnung über die Übermittlung personenbezogener Daten ins Ausland Bedingungen auf. Fragen Sie Ihre Anbieter nach dem Serverstandort und legen Sie die Antwort Ihrem Rechtsberater vor.

Datenpanne: Meldung an SDAIA innerhalb von 72 Stunden

Artikel 20 des Gesetzes verpflichtet den Verantwortlichen, die zuständige Behörde unverzüglich zu informieren, sobald er von einem Abfluss, einer Beschädigung oder einem unrechtmäßigen Zugriff auf personenbezogene Daten erfährt. Die betroffene Person ist zu informieren, wenn der Vorfall ihren Daten schaden oder ihre Rechte und Interessen beeinträchtigen kann. Artikel 24 der Durchführungsverordnung legt die Frist fest: 72 Stunden ab Kenntnis des Vorfalls, wenn er den Daten oder den Betroffenen schaden oder ihren Rechten und Interessen zuwiderlaufen kann.

Die Meldung enthält eine Beschreibung des Vorfalls, Zeitpunkt und Umstände, wann Sie davon erfahren haben, die Kategorien der Daten und die tatsächliche oder geschätzte Zahl der Betroffenen, die Risiken und die ergriffenen Maßnahmen sowie Kontaktdaten. Liegen nicht alle Angaben innerhalb von 72 Stunden vor, werden sie so bald wie möglich nachgereicht, mit einer Begründung für die Verzögerung. Die Betroffenen informieren Sie ohne unangemessene Verzögerung, in einfacher und klarer Sprache und mit Hinweisen, wie sie sich selbst schützen können.

72 Stunden sind kurz, wenn Sie nicht vorbereitet sind. Legen Sie vorher fest, wer in Ihrem Unternehmen die Meldung über die nationale Plattform für Data Governance abgibt, wo Sie die Serverprotokolle finden und wen Sie bei der Agentur und beim Hoster anrufen.

Registrierung, Datenschutzbeauftragter und Sanktionen

SDAIA hat Regeln für das nationale Register der Verantwortlichen im Königreich erlassen. Eine Registrierung auf der Plattform ist unter anderem nötig, wenn die Stelle öffentlich ist, wenn ihre Haupttätigkeit auf der Verarbeitung personenbezogener Daten beruht oder wenn sie sensible Daten verarbeitet, etwa Gesundheitsdaten auf der Website einer Klinik.

Artikel 32 der Durchführungsverordnung schreibt in bestimmten Fällen einen Datenschutzbeauftragten vor, unter anderem wenn die Kerntätigkeit der Stelle eine regelmäßige und fortlaufende Überwachung von Personen in großem Umfang erfordert oder wenn sie auf der Verarbeitung sensibler Daten beruht. Artikel 33 verlangt ein schriftliches Verzeichnis der Verarbeitungstätigkeiten, das während der gesamten Verarbeitung und fünf Jahre nach deren Ende aufbewahrt wird.

Die Sanktionen stehen im Gesetz selbst. Artikel 35: Freiheitsstrafe bis zu zwei Jahren, Geldstrafe bis zu drei Millionen Riyal oder beides, für die Offenlegung oder Veröffentlichung sensibler Daten entgegen dem Gesetz in der Absicht, der betroffenen Person zu schaden oder sich einen Vorteil zu verschaffen. Artikel 36: Verwarnung oder Geldbuße bis zu fünf Millionen Riyal für jeden anderen Verstoß gegen das Gesetz oder seine Verordnungen, im Wiederholungsfall bis zum Doppelten.

Die Beträge sind hoch. Das meiste, was das Gesetz von einer gewöhnlichen Unternehmenswebsite verlangt, sind aber vernünftige Arbeitsgewohnheiten: weniger erheben, klar erklären, schützen, was Sie erheben, und wissen, was zu tun ist, wenn etwas abfließt. Ist Ihr Unternehmen auch in den Vereinigten Arabischen Emiraten tätig, lesen Sie den Beitrag zum Datenschutzgesetz der VAE.