PDPL: Datenpanne und 72-Stunden-Meldung an die SDAIA, Aufsicht und Sanktionen

Problem in der Praxis

Ein deutsches Incident-Response-Handbuch kennt die 72 Stunden aus der DSGVO, und gerade deshalb wird die saudische Pflicht falsch eingebaut. Erstens hängt sie nicht an der Meldestelle in Deutschland, sondern an der SDAIA und an deren Plattform, für die man vorher registriert sein muss. Wer erst im Vorfall feststellt, dass der Zugang fehlt, verliert Zeit, die die Frist nicht hergibt. Zweitens bestehen daneben Meldepflichten nach den Vorgaben der NCA und anderer saudischer Regelwerke, die die Verordnung ausdrücklich unberührt lässt. Ein Vorfall kann also mehrere Meldewege gleichzeitig auslösen.

Der zweite Fehler betrifft die Kette zum Dienstleister. Die Verordnung verlangt, dass der Vertrag mit dem Auftragsverarbeiter dessen Pflicht enthält, Datenpannen dem Verantwortlichen unverzüglich zu melden. Fehlt diese Klausel, beginnt die 72-Stunden-Frist beim Verantwortlichen trotzdem mit seiner Kenntnis, und die Information kommt zu spät.

Der dritte Fehler ist die Unterschätzung der Sanktionsseite, weil die Beträge in Riyal und als feste Höchstbeträge genannt sind. Das PDPL rechnet Geldbußen nicht nach Umsatz, kennt aber neben der Geldbuße Freiheitsstrafe für einen Straftatbestand, eine mögliche Verdopplung im Wiederholungsfall, die anordenbare Einziehung und Veröffentlichung einer Entscheidungszusammenfassung sowie zivilrechtlichen Schadensersatz für Geschädigte.

CISO-Einordnung

Was eine Datenpanne ist. Die Ausführungsverordnung definiert sie als jeden Vorfall, der zur Offenlegung, Vernichtung oder zum unbefugten Zugriff auf personenbezogene Daten führt, vorsätzlich oder versehentlich, automatisiert oder manuell. Art. 20 PDPL spricht von Verletzung, Beschädigung oder rechtswidrigem Zugriff.

Meldung an die Behörde. Art. 20 Abs. 1 PDPL verpflichtet den Verantwortlichen, die Behörde nach Kenntnis eines solchen Vorfalls nach Maßgabe der Verordnung zu benachrichtigen. Art. 24 der Ausführungsverordnung setzt die Frist auf höchstens 72 Stunden ab Kenntnis und knüpft sie an die Voraussetzung, dass der Vorfall die Daten oder die betroffenen Personen schädigen oder ihren Rechten oder Interessen zuwiderlaufen kann. Das Gesetz selbst nennt diese Schwelle in Abs. 1 nicht; ob unterhalb der Schwelle der Verordnung eine Meldepflicht verbleibt, regeln die vorliegenden Quellen nicht ausdrücklich. Die Meldung beschreibt den Vorfall mit Zeitpunkten und Kenntniszeitpunkt, die Kategorien und die tatsächliche oder geschätzte Zahl der Betroffenen, die Risiken und die ergriffenen und künftigen Maßnahmen, ob die Betroffenen benachrichtigt wurden, und einen Kontakt beim Verantwortlichen oder seinem Datenschutzbeauftragten. Was binnen 72 Stunden nicht verfügbar ist, ist so bald wie möglich mit Begründung der Verzögerung nachzureichen. Kopien der Meldungen und die Dokumentation der Abhilfemaßnahmen sind aufzubewahren.

Benachrichtigung Betroffener. Nach Art. 20 Abs. 2 PDPL und Art. 24 Abs. 5 der Ausführungsverordnung sind Betroffene ohne unangemessene Verzögerung zu benachrichtigen, wenn die Panne ihre Daten schädigen oder ihren Rechten oder Interessen zuwiderlaufen kann, in einfacher und klarer Sprache, mit Beschreibung, Risiken und Maßnahmen, Kontakt und Empfehlungen zum Selbstschutz. Der Leitfaden nennt als Beispiele für Schäden Beeinträchtigungen der Rechtsausübung, körperliche Gefahren wie Nachstellung und wirtschaftliche Schäden wie Betrug oder Identitätsdiebstahl. Benachrichtigt werden kann über jeden geeigneten Kanal entsprechend den bevorzugten Kommunikationswegen der Betroffenen; trifft der Schaden eine große Gruppe auf nationaler Ebene, sind nach dem Leitfaden zusätzlich Website, offizielle Social-Media-Konten oder Medien möglich.

Die drei Stufen des Leitfadens. Der Verfahrensleitfaden der SDAIA (Ausgabe 1.0, Oktober 2024) gliedert die Reaktion in die Meldung an die SDAIA über den Meldedienst der National Data Governance Platform, die Eindämmung mit Bestimmung der betroffenen Daten und Personen, Änderung veränderbarer Daten wie Passwörter und Benachrichtigung der Betroffenen, soweit deren Voraussetzungen vorliegen, und die Dokumentation einschließlich der Lehren aus dem Vorfall. Für Unterauftragsverhältnisse hält er fest, dass Auftragsverarbeiter und andere Stellen die Meldeanforderungen in Abstimmung mit dem Verantwortlichen befolgen.

Die Lücke für Verantwortliche außerhalb des Königreichs. Der Leitfaden setzt die Registrierung auf der Plattform für die Nutzung des Meldedienstes voraus. Die vorliegenden Registerregeln gelten für Verantwortliche innerhalb des Königreichs und kündigen eigene Regeln für Verantwortliche außerhalb an, die nicht vorliegen. Wie ein Verantwortlicher ohne saudische Einheit praktisch meldet, ist deshalb in den vorliegenden Quellen offen und vor einem Vorfall zu klären.

Aufsicht. Nach Art. 30 Abs. 1 PDPL überwacht die zuständige Behörde die Umsetzung von Gesetz und Verordnungen, unbeschadet der Befugnisse der Saudi Central Bank (SAMA); die Regelwerke der SDAIA benennen die SDAIA als zuständige Behörde. Der Verantwortliche ist zur Zusammenarbeit verpflichtet. Die Behörde kann Unterlagen und Informationen anfordern, andere Stellen um Unterstützung bitten, Überwachungswerkzeuge einschließlich des nationalen Registers bestimmen und Aufgaben delegieren. Nach Art. 33 Abs. 4 legt sie Werkzeuge und Verfahren für die Überwachung und Durchsetzung gegenüber Verantwortlichen und Auftragsverarbeitern außerhalb des Königreichs fest; konkrete Verfahren dazu enthalten die vorliegenden Quellen nicht. Vom Präsidenten der Behörde bestellte Bedienstete kontrollieren und prüfen Verstöße, können Ermittlungsbehörden hinzuziehen, und die Behörde kann die zur Begehung eines Verstoßes genutzten Mittel und Werkzeuge bis zur Entscheidung beschlagnahmen. Betroffene können sich nach Art. 34 PDPL bei der Behörde beschweren; die Ausführungsverordnung setzt dafür höchstens 90 Tage ab Vorfall oder Kenntnis; über spätere Beschwerden entscheidet die Behörde, wenn triftige Gründe die fristgerechte Einreichung verhindert haben.

Straftatbestand, Art. 35 PDPL. Wer sensible Daten unter Verstoß gegen das Gesetz offenlegt oder veröffentlicht, in der Absicht, der betroffenen Person zu schaden oder einen persönlichen Vorteil zu erlangen, wird mit Freiheitsstrafe bis zu zwei Jahren, Geldstrafe bis zu drei Millionen Riyal oder beidem bestraft, unbeschadet strengerer Strafen nach anderen Gesetzen. Ermittlung und Anklage liegen bei der Staatsanwaltschaft, die Entscheidung beim zuständigen Gericht. Im Wiederholungsfall kann das Gericht die Geldstrafe verdoppeln, höchstens auf das Doppelte des Höchstbetrags.

Verwaltungssanktion, Art. 36 PDPL. In allen übrigen Fällen wird gegen jede natürliche oder juristische Person im Anwendungsbereich, die Gesetz oder Verordnungen verletzt, eine Verwarnung oder eine Geldbuße bis zu fünf Millionen Riyal verhängt, ebenfalls unbeschadet strengerer Strafen nach anderen Gesetzen; bei Wiederholung bis zum Doppelten des Höchstbetrags. Zuständig ist ein Ausschuss von mindestens drei Mitgliedern, darunter ein technischer Fachmann und ein Rechtsberater, der Art, Schwere und Auswirkung berücksichtigt; seine Entscheidung bedarf der Billigung durch den Präsidenten der Behörde oder dessen Beauftragten. Gegen die Entscheidung ist Klage vor dem zuständigen Gericht möglich.

Weitere Rechtsfolgen. Das Gericht kann nach Art. 38 PDPL die Einziehung von Geldern anordnen, die durch Verstöße erlangt wurden, unbeschadet der Rechte gutgläubiger Dritter. Gericht oder Ausschuss können anordnen, dass eine Zusammenfassung der Entscheidung auf Kosten des Verletzers in örtlichen Zeitungen oder auf anderem geeignetem Weg veröffentlicht wird, erst nach Rechtskraft. Wer durch einen Verstoß geschädigt ist, kann nach Art. 40 PDPL vor dem zuständigen Gericht angemessenen Ersatz materieller oder immaterieller Schäden verlangen. Öffentliche Stellen ahnden Verstöße ihrer Beschäftigten disziplinarisch.

Verhältnis von Gesetz, Verordnung, Regeln und Leitfäden. Das Gesetz legt Pflichten und Sanktionen fest und überlässt Einzelheiten der Ausführungsverordnung, die der Präsident der Behörde erlässt; die 72-Stunden-Frist steht dort, nicht im Gesetz. Regeln der SDAIA, etwa zum Datenschutzbeauftragten und zum Register, beruhen auf Ermächtigungen in Gesetz und Verordnung. Der Datenpannen-Leitfaden beschreibt das Verfahren; seine Verbindlichkeit regelt er nicht ausdrücklich. Der Risikobewertungsleitfaden zur Auslandsübermittlung erklärt sich dagegen ausdrücklich als nicht rechtsverbindlich. Wer im Vorfall argumentiert, sollte die Pflicht an Gesetz und Verordnung festmachen und den Leitfaden als Verfahrensbeschreibung der Behörde nutzen.

Umsetzungsperspektive

1. Plattformzugang vor dem Vorfall herstellen. Registrierung der saudischen Einheiten auf der National Data Governance Platform prüfen; für Verantwortliche ohne saudische Einheit den Meldeweg vorab klären.
2. Meldekriterium in das Incident-Handbuch übernehmen. Kenntniszeitpunkt dokumentieren, Schadenseignung bewerten, Fristlauf von 72 Stunden ab Kenntnis.
3. Parallele Meldewege abbilden. SDAIA, NCA und branchenspezifische Stellen in einer Entscheidungstabelle, damit keiner im Vorfall übersehen wird.
4. Auftragsverarbeiterverträge prüfen. Unverzügliche Meldung an den Verantwortlichen muss vertraglich vereinbart sein.
5. Vorlagen für Behörde und Betroffene vorbereiten. Pflichtinhalte nach Art. 24 der Ausführungsverordnung, einfache Sprache, Kanäle nach Präferenz der Betroffenen.
6. Dokumentation sichern. Kopien der Meldungen, Abhilfemaßnahmen, Nachreichungen mit Begründung der Verzögerung.
7. Sanktionsrisiko in die Risikobewertung aufnehmen. Höchstbeträge, Verdopplung bei Wiederholung, Veröffentlichung, Schadensersatz.

Typische Fehler

1. Die SDAIA-Meldung wird in die deutsche Meldekette eingehängt, statt einen eigenen saudischen Meldeweg mit Plattformzugang vorzuhalten.
2. Die Registrierung auf der Plattform fehlt im Vorfall.
3. NCA-Meldepflichten werden als durch die SDAIA-Meldung erledigt angesehen, obwohl die Verordnung sie unberührt lässt.
4. Die Frist wird ab Abschluss der internen Analyse statt ab Kenntnis gerechnet.
5. Auftragsverarbeiterverträge enthalten keine unverzügliche Meldepflicht an den Verantwortlichen.
6. Die Sanktionen werden mit DSGVO-Maßstäben gelesen, etwa als umsatzbezogen, oder der Straftatbestand für sensible Daten wird übersehen.
7. Der Leitfaden wird als Gesetz zitiert, oder umgekehrt wird er ignoriert, obwohl er den Meldeweg der Behörde beschreibt.

Risiken und Trade-offs

Wer früh meldet, meldet oft unvollständig. Die Verordnung erlaubt das ausdrücklich, verlangt aber die Nachreichung mit Begründung. Wer wartet, bis alles feststeht, riskiert die Frist. Für ein deutsches Team ist die frühe Teilmeldung mit dokumentierter Nachreichung der robustere Weg.

Eine großzügige Auslegung der Schadenseignung führt zu mehr Meldungen und mehr Behördenkontakt; eine enge Auslegung spart Aufwand, trägt aber das Risiko einer verspäteten oder unterlassenen Meldung und damit möglicherweise einer Ausschussentscheidung. Die Abwägung gehört dokumentiert und auf die Leitungsebene.

Die Benachrichtigung über öffentliche Kanäle bei großen Betroffenengruppen erreicht viele, macht den Vorfall aber öffentlich. Hinzu kommt, dass Gericht oder Ausschuss die Veröffentlichung einer Zusammenfassung ihrer rechtskräftigen Entscheidung auf Kosten des Verletzers anordnen können. Kommunikations- und Rechtsfunktion sollten deshalb von Beginn an im Incident-Team sein.

Entscheidungspunkte

• Sind alle saudischen Einheiten auf der Plattform registriert, und wer hält die Zugänge?
• Wie meldet ein Verantwortlicher ohne saudische Einheit, solange die angekündigten Regeln fehlen?
• Wer entscheidet im Vorfall über die Schadenseignung und damit über die Meldung?
• Wie stimmen wir SDAIA-, NCA- und gegebenenfalls SAMA-Meldungen ab?
• Welche Dienstleister verarbeiten saudische Daten, und enthalten ihre Verträge die unverzügliche Meldepflicht?

Praktische Empfehlungen

• Eine Meldematrix für Saudi-Arabien führen: Stelle, Auslöser, Frist, Kanal, Verantwortlicher.
• Die 72 Stunden immer ab Kenntnis rechnen und den Kenntniszeitpunkt protokollieren.
• Teilmeldungen zulassen und Nachreichungen mit Begründung vorbereiten.
• Den Plattformzugang regelmäßig testen und Vertretungen hinterlegen.
• Sanktionsbeträge nur in Riyal und mit Fundstelle führen, ohne eigene Umrechnung als Tatsache.

Relevante Normreferenzen

• PDPL (Königliches Dekret M/19 vom 09.02.1443 AH, geändert durch M/148 vom 05.09.1444 AH): Art. 20 (Meldung und Benachrichtigung), Art. 30 Abs. 1, 3 bis 5 (Aufsicht, Zusammenarbeit, Befugnisse, SAMA-Vorbehalt), Art. 33 Abs. 4 (Stellen außerhalb des Königreichs), Art. 34 (Beschwerde), Art. 35 (Straftatbestand sensible Daten), Art. 36 (Verwarnung und Geldbuße, Ausschuss, Rechtsweg), Art. 37 (Kontrolle, Beschlagnahme), Art. 38 (Einziehung, Veröffentlichung), Art. 39 (Disziplinarmaßnahmen), Art. 40 (Schadensersatz), Art. 42 (Erlass der Verordnung).
• Ausführungsverordnung zum PDPL: Art. 1 Nr. 3 (Begriff der Datenpanne), Art. 17 Abs. 1 Buchst. d (Meldepflicht des Auftragsverarbeiters im Vertrag), Art. 24 (Meldung, Inhalt, Nachreichung, NCA-Vorbehalt, Benachrichtigung), Art. 32 Abs. 3 Buchst. d (Aufgabe des Datenschutzbeauftragten), Art. 37 (Beschwerdeverfahren).
• SDAIA, Personal Data Breach Incidents Procedural Guide (Ausgabe 1.0, Oktober 2024); SDAIA, Rules Governing the National Register of Controllers Within the Kingdom, Art. 12 (Meldedienst der Plattform).
• Abgrenzung: Meldepflichten nach DSGVO im dsgvo-Track, nach NIS-2 im nis2-Track; NCA-Vorgaben in saudi-arabien-002, Finanzsektor in saudi-arabien-007. Geltungsbereich in saudi-arabien-004.