PDPL: wer erfasst ist, auch von Deutschland aus, und welche Pflichten den Verantwortlichen treffen

Problem in der Praxis

Der häufigste Fehlschluss lautet: "Wir haben in Saudi-Arabien keine Gesellschaft, also gilt das PDPL für uns nicht." Art. 2 Abs. 1 knüpft nicht an den Sitz des Verantwortlichen an, sondern an zwei Dinge: den Ort der Verarbeitung und, für Stellen außerhalb des Königreichs, den Wohnsitz der betroffenen Person. Ein Onlineshop, eine Kundenplattform oder ein HR-System mit Nutzern in Saudi-Arabien kann deshalb erfasst sein, ohne dass eine einzige Gesellschaft dort besteht. Art. 33 Abs. 4 PDPL ergänzt das um den Auftrag an die Behörde, Werkzeuge zur Überwachung und Verfahren zur Durchsetzung gegenüber Verantwortlichen und Auftragsverarbeitern außerhalb des Königreichs festzulegen.

Der zweite Fehlschluss kommt aus der DSGVO-Gewohnheit: "Rechtsgrundlagen gibt es sechs, die suchen wir uns aus." Das PDPL ist anders gebaut. Ohne Einwilligung darf nach Art. 5 Abs. 1 nur verarbeitet werden, wenn das Gesetz einen Fall vorsieht, und diese Fälle sind enger geschnitten als die gewohnte Liste. Wer eine deutsche Rechtsgrundlagen-Matrix eins zu eins überträgt, ordnet Verarbeitungen Grundlagen zu, die es in dieser Form nicht gibt, insbesondere beim berechtigten Interesse für sensible Daten.

Der dritte Fehlschluss betrifft die Formalpflichten: Register, Datenschutzbeauftragter und Verarbeitungsverzeichnis werden als "machen wir wie in Deutschland" abgehakt. Die Auslöser sind aber eigene. Der saudische Datenschutzbeauftragte hängt an drei Fallgruppen, das Register für Verantwortliche im Königreich an vier Fallgruppen, und das Verzeichnis hat eine Aufbewahrungsdauer, die über die Verarbeitung hinausreicht.

CISO-Einordnung

Geltungsbereich. Das Gesetz gilt für jede Verarbeitung personenbezogener Daten im Königreich und für die Verarbeitung von Daten von Personen mit Wohnsitz im Königreich durch eine Stelle außerhalb. Es erfasst auch Daten Verstorbener, wenn sie zur Identifizierung der Person oder eines Familienmitglieds führen würden. Ausgenommen ist die Verarbeitung durch eine natürliche Person zu Zwecken, die über die persönliche oder familiäre Nutzung nicht hinausgehen. Art. 2 der Ausführungsverordnung versteht darunter die Verarbeitung innerhalb der Familie oder eines begrenzten sozialen Umfelds im Rahmen sozialer oder familiärer Aktivitäten. Nicht mehr darunter fallen die Veröffentlichung, die Offenlegung an Personen außerhalb dieses Kreises und jede Nutzung zu beruflichen, gewerblichen oder gemeinnützigen Zwecken. Nach Art. 3 PDPL gehen Vorschriften anderer Gesetze oder völkerrechtlicher Vereinbarungen vor, die der betroffenen Person ein Recht gewähren oder besseren Schutz bieten.

Begriffe, die anders sitzen. Verantwortlicher ist jede öffentliche Stelle, natürliche Person oder private juristische Person, die Zweck und Art der Verarbeitung festlegt; Auftragsverarbeiter verarbeitet für den Verantwortlichen und in dessen Auftrag. Der Katalog sensibler Daten in Art. 1 Nr. 11 PDPL ist eigenständig zugeschnitten: Er nennt neben Herkunft, religiöser, intellektueller oder politischer Überzeugung, Gesundheitsdaten sowie biometrischen und genetischen Daten zur Identifizierung auch Daten zu Verurteilungen und Straftaten im Sicherheitsbereich und Daten, die erkennen lassen, dass ein oder beide Elternteile unbekannt sind. Kreditdaten sind als eigene Kategorie definiert und unterliegen besonderen Regeln. Wer die DSGVO-Kategorien übernimmt, verpasst einzelne saudische Kategorien.

Einwilligung als Ausgangspunkt. Art. 5 PDPL verlangt die Einwilligung für Verarbeitung und Zweckänderung, soweit das Gesetz nichts anderes vorsieht; sie ist jederzeit widerruflich. Die Ausführungsverordnung verlangt sie frei, zweckbezogen, von einer voll geschäftsfähigen Person, nachweisbar dokumentiert und je Zweck gesondert; für nicht voll Geschäftsfähige handelt der gesetzliche Vertreter; ausdrücklich muss sie bei sensiblen Daten, bei Kreditdaten und bei ausschließlich automatisierten Entscheidungen sein. Nach Art. 7 PDPL darf eine Leistung nicht von der Einwilligung abhängig gemacht werden, es sei denn, die Leistung hängt unmittelbar mit der Verarbeitung zusammen.

Fälle ohne Einwilligung. Art. 6 PDPL nennt vier: Verarbeitung im tatsächlichen Interesse der betroffenen Person, wenn eine Kontaktaufnahme unmöglich oder schwierig ist; Verarbeitung auf Grund eines anderen Gesetzes oder zur Durchführung einer früheren Vereinbarung, an der die betroffene Person beteiligt ist; Verarbeitung durch öffentliche Stellen für Sicherheitszwecke oder justizielle Erfordernisse; und Verarbeitung, die zur Wahrung berechtigter Interessen des Verantwortlichen erforderlich ist. Für Erhebung bei Dritten, Zweckänderung und Offenlegung enthalten Art. 10 und Art. 15 PDPL je eigene Fallkataloge, die das berechtigte Interesse ebenfalls aufführen.

Berechtigtes Interesse, mit vier Bedingungen. Das Gesetz verlangt, dass die Verarbeitung dafür erforderlich ist, und setzt zwei Grenzen: keine Beeinträchtigung der Rechte und Interessen der betroffenen Person und keine sensiblen Daten. Art. 16 der Ausführungsverordnung schließt öffentliche Stellen aus und verlangt einen rechtmäßigen Zweck, eine Abwägung, den Ausschluss sensibler Daten und dass die Verarbeitung im Rahmen der vernünftigen Erwartungen der betroffenen Person liegt. Als Beispiele nennt sie die Aufdeckung von Betrug und den Schutz der Netz- und Informationssicherheit. Vor der Verarbeitung ist eine dokumentierte Bewertung zu erstellen; fällt sie negativ aus, ist die Verarbeitung anzupassen und neu zu bewerten oder eine andere Grundlage zu wählen. Für die Sicherheitsfunktion ist das die wichtigste Einzelaussage: Protokollierung und Betrugserkennung können sich hierauf stützen, wenn alle Bedingungen erfüllt sind, insbesondere mit vorab dokumentierter Bewertung und ohne sensible Daten.

Betroffenenrechte, auf Ebene des Prinzips. Art. 4 PDPL gewährt das Recht auf Information über Rechtsgrundlage und Zweck, auf Zugang, auf Erhalt einer Kopie in lesbarer Form, auf Berichtigung und Vervollständigung sowie auf Vernichtung nicht mehr benötigter Daten, jeweils mit gesetzlichen Einschränkungen. Die Ausführungsverordnung setzt für die Bearbeitung eine Frist von höchstens 30 Tagen, verlängerbar um höchstens weitere 30 Tage bei unverhältnismäßigem Aufwand oder mehrfachen Anträgen, mit vorheriger Begründung gegenüber der betroffenen Person. Offensichtlich unbegründete, wiederholte oder unverhältnismäßige Anträge darf der Verantwortliche mit Begründung ablehnen.

Weitere Grundpflichten. Zu den Pflichten des Verantwortlichen gehören eine Datenschutzerklärung vor der Erhebung, Datenminimierung und die Vernichtung nach Zweckerfüllung, soweit nicht Art. 18 PDPL eine Aufbewahrung zulässt oder verlangt, etwa bei einer gesetzlichen Aufbewahrungsgrundlage oder für ein laufendes Gerichtsverfahren, die Auswahl und Überwachung von Auftragsverarbeitern mit ausreichenden Garantien, organisatorische, administrative und technische Schutzmaßnahmen sowie Folgenabschätzungen in den Fällen der Ausführungsverordnung. Für die Sicherheitsmaßnahmen verweist Art. 23 der Ausführungsverordnung auf die Vorgaben der National Cybersecurity Authority (NCA), und wer nicht an sie gebunden ist, auf anerkannte bewährte Praxis und Cybersicherheitsstandards.

Verarbeitungsverzeichnis. Art. 31 PDPL verlangt Aufzeichnungen über Verarbeitungstätigkeiten nach Art der Tätigkeit, mit einem Mindestinhalt, der ausdrücklich auch die Übermittlung oder Offenlegung außerhalb des Königreichs umfasst; die Behörde kann sie jederzeit anfordern. Art. 33 der Ausführungsverordnung verlangt die Schriftform, Aktualität und eine Aufbewahrung während der gesamten Verarbeitung und bis fünf Jahre nach deren Ende, und sie ergänzt den Inhalt um Angaben zum Datenschutzbeauftragten, soweit dessen Bestellung erforderlich ist, um Speicherfristen je Datenkategorie, soweit möglich, um die Rechtsgrundlage und Empfänger von Auslandsübermittlungen und, soweit möglich, um die Sicherheitsmaßnahmen. Eine Größenschwelle, unterhalb derer das Verzeichnis entfällt, nennt die Verordnung nicht. Die Behörde stellt Vorlagen bereit.

Datenschutzbeauftragter. Art. 30 Abs. 2 PDPL überlässt die Fälle der Ausführungsverordnung; deren Art. 32 und die Regeln der SDAIA zur Bestellung (Version 1.0, August 2024) nennen drei Fallgruppen: öffentliche Stellen, die Dienstleistungen mit Verarbeitung personenbezogener Daten in großem Umfang erbringen, Verantwortliche, deren Kerntätigkeit eine regelmäßige und systematische Überwachung betroffener Personen erfordert, und Verantwortliche, deren Kerntätigkeit auf der Verarbeitung sensibler Daten beruht. Die Regeln konkretisieren "großer Umfang" über Kriterien wie Zahl der Betroffenen, Datenmenge und geografische Reichweite, nennen Standortverfolgung, Cookies, Videoüberwachung und Verhaltensanalysen zur Risikobewertung als Beispiele für Überwachung und stellen klar, dass unterstützende Tätigkeiten wie die Verarbeitung von Beschäftigtendaten in der Personalabteilung keine Kerntätigkeit sind. Der Beauftragte kann Führungskraft, Beschäftigter oder externer Auftragnehmer sein, ist schriftlich zu bestellen, darf keine kollidierenden Aufgaben erhalten, und seine Kontaktdaten sind der Behörde unverzüglich über die National Data Governance Platform zu melden. Eine freiwillige Bestellung ist ausdrücklich zulässig.

Nationales Register der Verantwortlichen. Art. 30 Abs. 4 Buchst. c PDPL erlaubt der Behörde, ein nationales Register zu führen. Die SDAIA-Regeln dazu gelten nach ihrem Titel für Verantwortliche innerhalb des Königreichs und verlangen die Registrierung auf der Plattform in vier Fällen: öffentliche Stelle, Haupttätigkeit beruht auf der Verarbeitung personenbezogener Daten, Verarbeitung sensibler Daten, oder eine natürliche Person verarbeitet über die persönliche oder familiäre Nutzung hinaus. Die Registrierungsbescheinigung gilt höchstens fünf Jahre. Für Verantwortliche außerhalb des Königreichs kündigen die Regeln eigene Registrierungsregeln an; diese liegen dem Korpus nicht vor.

Inkrafttreten. Nach Art. 43 PDPL tritt das Gesetz 720 Tage nach Veröffentlichung im Amtsblatt in Kraft; die Ausführungsverordnung gilt nach ihrem Art. 38 ab Inkrafttreten des Gesetzes. Das Veröffentlichungsdatum und damit ein konkretes Inkrafttretensdatum sowie etwaige Übergangsfristen stehen in den vorliegenden Quellen nicht; diese Punkte sind hier offen und nicht aus dem Gedächtnis zu ergänzen.

Umsetzungsperspektive

1. Anwendbarkeit je Datenbestand prüfen, nicht je Gesellschaft. Maßgeblich sind Verarbeitungsort und Wohnsitz der Betroffenen. Konzernsysteme in Deutschland mit saudischen Nutzern gehören in die Prüfung.
2. Rechtsgrundlagen neu zuordnen. Je Verarbeitung festhalten, ob Einwilligung, ein Fall des Art. 6 PDPL oder ein Fall der Art. 10 und 15 PDPL trägt. Berechtigtes Interesse nur mit dokumentierter Abwägung und ohne sensible Daten.
3. Sensible Daten nach saudischem Katalog markieren. Die zusätzlichen Kategorien gehören in die Datenklassifizierung, sonst greifen Einwilligungs- und Folgenabschätzungspflichten unbemerkt.
4. Register- und Beauftragtenprüfung je Einheit dokumentieren. Für Einheiten im Königreich die vier Registerfälle und die drei Beauftragtenfälle prüfen; für Stellen außerhalb den Stand der angekündigten eigenen Registrierungsregeln verfolgen.
5. Verzeichnis um saudische Pflichtangaben erweitern. Auslandsübermittlungen mit Rechtsgrundlage und Empfängern, Speicherfristen je Datenkategorie soweit möglich, Beauftragter soweit bestellpflichtig; Aufbewahrung bis fünf Jahre nach Ende der Verarbeitung.
6. Betroffenenprozesse auf die saudischen Fristen einstellen. 30 Tage; Verlängerung um höchstens 30 Tage nur bei unverhältnismäßigem Aufwand oder mehreren Anträgen derselben Person und nach vorheriger Mitteilung mit Gründen; Dokumentation auch mündlicher Anträge.
7. Sicherheitsmaßnahmen am NCA-Bezug ausrichten. Wer NCA-Vorgaben unterliegt, übernimmt sie; die übrigen dokumentieren, welche anerkannten Standards sie anwenden.

Typische Fehler

1. Fehlende saudische Gesellschaft wird mit fehlender Anwendbarkeit gleichgesetzt, obwohl Art. 2 Abs. 1 PDPL Stellen außerhalb des Königreichs erfasst.
2. Die DSGVO-Liste der Rechtsgrundlagen wird übertragen, obwohl das PDPL die Einwilligung zum Ausgangspunkt macht und nur gesetzlich genannte Ausnahmen kennt.
3. Berechtigtes Interesse wird für sensible Daten oder ohne dokumentierte Abwägung herangezogen.
4. Der saudische Katalog sensibler Daten wird nicht angepasst, sodass Kategorien wie unbekannte Elternschaft oder Verurteilungen im Sicherheitsbereich fehlen.
5. Der Datenschutzbeauftragte wird nach deutschen Schwellen beurteilt statt nach den drei saudischen Fallgruppen.
6. Registerpflichten werden übersehen oder umgekehrt ohne Prüfung der Registerregeln auf Stellen außerhalb des Königreichs übertragen.
7. Ein Inkrafttretensdatum oder eine Übergangsfrist wird aus Sekundärquellen übernommen, obwohl die Primärtexte sie nicht nennen.

Risiken und Trade-offs

Wer die Anwendbarkeit zu eng zieht, riskiert, dass Kundenplattformen und Konzernsysteme mit saudischen Nutzern ohne Rechtsgrundlagenprüfung, ohne Verzeichnis und ohne Betroffenenprozess laufen; das zeigt sich typischerweise erst in einer Beschwerde oder Datenpanne. Wer sie zu weit zieht, übernimmt Register- und Beauftragtenpflichten ohne Auslöser. Der Mittelweg ist eine dokumentierte Prüfung je Datenbestand.

Die Einwilligung als Ausgangspunkt erzeugt einen Zielkonflikt: Sie ist die Grundlage, von der das Gesetz ausgeht, aber jederzeit widerruflich und nach Art. 7 PDPL nicht zur Bedingung einer Leistung zu machen, soweit diese nicht unmittelbar mit der Verarbeitung zusammenhängt. Das berechtigte Interesse kann nach unserer Einschätzung betrieblich stabiler sein, weil es nicht widerrufen wird; es verlangt aber die dokumentierte Bewertung und trägt keine sensiblen Daten. Welche Grundlage im Einzelfall trägt, ist eine Fallfrage.

Eine freiwillige Bestellung eines Datenschutzbeauftragten ist zulässig und bündelt die Ansprechpartnerrolle gegenüber der Behörde. Sie verpflichtet aber auf die Anforderungen der SDAIA-Regeln an Qualifikation, Unabhängigkeit und Ressourcen.

Entscheidungspunkte

• Welche Datenbestände und Systeme verarbeiten Daten von Personen mit Wohnsitz im Königreich, und wer verantwortet die Anwendbarkeitsaussage?
• Für welche Verarbeitungen stützen wir uns auf berechtigtes Interesse, und wo liegt die dokumentierte Abwägung?
• Erfüllt eine saudische Einheit einen der Registerfälle oder einen der Beauftragtenfälle, und wer meldet die Kontaktdaten über die Plattform?
• Bestellen wir einen Datenschutzbeauftragten freiwillig, auch wenn kein Pflichtfall vorliegt?
• Wer verfolgt die angekündigten Registrierungsregeln für Verantwortliche außerhalb des Königreichs und neue Fassungen der SDAIA-Regelwerke?

Praktische Empfehlungen

• Eine Anwendbarkeitsmatrix je Datenbestand führen: Verarbeitung im Königreich ja oder nein, Daten von Personen mit Wohnsitz im Königreich ja oder nein.
• Für jede Stützung auf berechtigtes Interesse die Bewertung nach Art. 16 Abs. 3 der Ausführungsverordnung vor dem Start ablegen.
• Die Datenklassifizierung um die saudischen Sonderkategorien und Kreditdaten ergänzen.
• Register- und Beauftragtenprüfung mit Datum und Begründung dokumentieren und bei neuen Geschäftsmodellen wiederholen; die SDAIA-Regeln verlangen eine regelmäßige Überprüfung der Bestellfälle.
• Keine Inkrafttretens- oder Übergangsdaten in Roadmaps übernehmen, die nicht aus der amtlichen Veröffentlichung belegt sind.

Relevante Normreferenzen

• PDPL (Königliches Dekret M/19 vom 09.02.1443 AH, geändert durch M/148 vom 05.09.1444 AH): Art. 1 (Begriffe, sensible Daten Nr. 11, Verantwortlicher Nr. 18), Art. 2 (Geltungsbereich, Verarbeitung außerhalb des Königreichs, persönliche Nutzung), Art. 3 (Vorrang günstigerer Regeln), Art. 4 (Betroffenenrechte), Art. 5 bis 7 (Einwilligung und Ausnahmen, berechtigtes Interesse Art. 6 Nr. 4), Art. 10 und 15 (Erhebung bei Dritten, Zweckänderung, Offenlegung), Art. 8 (Auftragsverarbeiter), Art. 19 und 22 (Schutzmaßnahmen, Folgenabschätzung), Art. 30 Abs. 2 und Abs. 4 Buchst. c (Datenschutzbeauftragter, nationales Register), Art. 31 (Verarbeitungsverzeichnis), Art. 33 Abs. 4 (Überwachung von Stellen außerhalb des Königreichs), Art. 43 (Inkrafttreten).
• Ausführungsverordnung zum PDPL: Art. 2 (persönliche Nutzung), Art. 3 (Fristen für Betroffenenanträge), Art. 11 (Einwilligung), Art. 16 (berechtigtes Interesse), Art. 17 (Auftragsverarbeitung), Art. 23 (Informationssicherheit), Art. 25 (Folgenabschätzung), Art. 32 (Datenschutzbeauftragter), Art. 33 (Verzeichnis), Art. 34 (Register), Art. 38 (Inkrafttreten).
• SDAIA, Rules for Appointing Personal Data Protection Officer (Version 1.0, August 2024); SDAIA, Rules Governing the National Register of Controllers Within the Kingdom.
• Abgrenzung: europäisches Datenschutzrecht im dsgvo-Track; hier nur die saudische PDPL, Vergleiche nur zur Vermeidung falscher Analogien. Auslandsübermittlung in saudi-arabien-005, Datenpanne und Sanktionen in saudi-arabien-006, NCA-Controls in saudi-arabien-002.