PDPL: Übermittlung personenbezogener Daten aus Saudi-Arabien ins Ausland, und was das für Konzerndatenflüsse nach Deutschland bedeutet

Problem in der Praxis

Der naheliegende Fehler in einem deutschen Konzern ist die Annahme, mit dem eigenen DSGVO-Instrumentarium sei auch die Gegenrichtung erledigt: EU-Standardvertragsklauseln liegen vor, also könne die saudische Tochter Personal-, Kunden- und Lieferantendaten an die Zentrale schicken. Das saudische Recht kennt eigene Standardvertragsklauseln, die die SDAIA herausgibt, die nach den Regeln des Klauselwerks nicht inhaltlich verändert werden dürfen und dem saudischen Recht und der saudischen Gerichtsbarkeit unterliegen. Wo eine Übermittlung auf geeignete Garantien nach Art. 4 der Übermittlungsverordnung angewiesen ist, ist ein EU-Vertragswerk kein Ersatz für diese Garantien.

Der zweite Fehler ist ein zu enger Übermittlungsbegriff. Daten verlassen das Königreich nicht nur per Dateiexport. Die Definition im Klauselwerk der SDAIA umfasst ausdrücklich auch die Gewährung von Zugriff, und der Risikobewertungsleitfaden zählt Fernzugriff, Speicherung im Ausland und Erhebung über ausländische Stellen zur Art der Übermittlung. Ein deutscher Administrator, der sich auf ein Personalsystem in Riad schaltet, ein globaler Service Desk und ein konzernweites Cloud-Mandat gehören deshalb in die Prüfung.

Der dritte Fehler ist die Gleichsetzung von "angemessen" mit "aus unserer Sicht gut geschützt". Das angemessene Schutzniveau stellt nach Art. 29 Abs. 2 Buchst. b PDPL nicht der Verantwortliche fest, sondern die Behörde, und die Übermittlungsverordnung macht daraus eine veröffentlichte Liste.

CISO-Einordnung

Stufe eins: der Zweck. Art. 29 Abs. 1 PDPL erlaubt die Übermittlung oder Offenlegung ins Ausland zur Erfüllung einer Verpflichtung aus einem Abkommen, an dem das Königreich beteiligt ist, im Interesse des Königreichs, zur Erfüllung einer Verpflichtung, an der die betroffene Person beteiligt ist, und für weitere Zwecke nach der Verordnung. Die Übermittlungsverordnung (Version 2.0, August 2024) nennt als solche weiteren Zwecke insbesondere notwendige zentrale Verarbeitungen, die dem Verantwortlichen seine Tätigkeit ermöglichen, die Erbringung einer Leistung oder eines Vorteils für die betroffene Person und wissenschaftliche Forschung. Die Verordnung definiert außerdem "operative Prozesse" mit Personalwesen, Abrechnung und Buchhaltung als Beispielen; ausdrücklich mit dem Begriff der zentralen Verarbeitung verknüpft wird diese Definition im vorliegenden Text nicht.

Stufe zwei: drei Bedingungen. Nach Art. 29 Abs. 2 PDPL darf die Übermittlung die nationale Sicherheit oder lebenswichtige Interessen des Königreichs nicht beeinträchtigen, im Empfängerland muss ein Schutzniveau bestehen, das mindestens dem des Gesetzes und der Verordnungen entspricht, nach einer Bewertung durch die Behörde, und die Übermittlung ist auf das erforderliche Minimum zu begrenzen. Art. 29 Abs. 3 nimmt Fälle äußerster Notwendigkeit zur Erhaltung des Lebens oder lebenswichtiger Interessen der betroffenen Person sowie zur Verhütung, Untersuchung oder Behandlung von Krankheiten von diesen Bedingungen aus. Art. 29 Abs. 4 überlässt der Verordnung die Ausnahmen von den Bedingungen in Buchst. b und c.

Angemessenheit als Liste. Nach Art. 3 der Übermittlungsverordnung veröffentlicht die Behörde auf ihrer Website eine Liste von Ländern und internationalen Organisationen mit angemessenem Schutzniveau und überprüft sie alle vier Jahre oder bei Bedarf. Kriterien sind unter anderem ein Datenschutzrecht mit Betroffenenrechten einschließlich Schadensersatz, eine Aufsichtsbehörde, deren Bereitschaft zur Zusammenarbeit mit der saudischen Behörde und Offenlegungsregeln, die dem saudischen Recht nicht widersprechen. Die Behörde kann die Liste ändern und Übermittlungen auch in gelistete Länder aussetzen; die Maßstäbe gelten auch für Städte, Sonderwirtschaftszonen und globale Handelszentren. Die Liste selbst ist nicht Teil der vorliegenden Quellen. Ob Deutschland oder die EU darauf stehen, ist deshalb hier offen und sollte vor jeder Übermittlung auf der Website der SDAIA geprüft werden.

Ausnahmen nur mit Garantien. Art. 4 der Übermittlungsverordnung befreit in fünf Fallgruppen von der Angemessenheits- oder der Minimierungsbedingung oder von beiden, verlangt aber stets geeignete Garantien. Die Fallgruppen sind: Übermittlungen zwischen öffentlichen Stellen zur Umsetzung von Abkommen oder im Interesse des Königreichs, mit Datenschutzbestimmungen in der Vereinbarung; einmalige oder befristete Übermittlungen mit begrenzter Zahl Betroffener, mit Standardvertragsklauseln oder an einen zertifizierten Empfänger bei nicht sensiblen Daten; notwendige zentrale Verarbeitungen innerhalb einer multinationalen Gruppe, mit verbindlichen gemeinsamen Regeln oder Standardvertragsklauseln oder an einen zertifizierten Empfänger; Leistungen unmittelbar an die betroffene Person, wenn die Übermittlung weder ihren Erwartungen zuwiderläuft noch mit ihren Interessen kollidiert, nur an einen zertifizierten Empfänger und nur bei nicht sensiblen Daten; und Forschung, auf das Minimum begrenzt, mit Standardvertragsklauseln oder an einen zertifizierten Empfänger bei nicht sensiblen Daten. Die Garantien müssen die Einhaltung des Gesetzes und die Rechte der Betroffenen sichern, einschließlich Beschwerde bei der Behörde und Schadensersatz. Die Behörde kann die für jede Fallgruppe festgelegten Garantien auf ihre Eignung überprüfen und sie alle zwei Jahre oder bei Bedarf ändern. Die Bedingung, dass die nationale Sicherheit und lebenswichtige Interessen des Königreichs nicht beeinträchtigt werden, nennt Art. 4 nicht unter den befreiten Bedingungen; sie bleibt.

Wegfall der Befreiung. Nach Art. 6 der Übermittlungsverordnung entfällt die Befreiung, wenn der Verantwortliche die Garantien nicht umsetzt oder die Behörde sie im Einzelfall für unzureichend hält. Dann ist die Übermittlung einzustellen, und die Empfänger sind zu benachrichtigen. Nach Art. 5 gelten Gesetz und Verordnungen auch für Weiterübermittlungen aus dem Ausland.

Standardvertragsklauseln der SDAIA. Das Klauselwerk (Version 1.0, September 2024) ist für Übermittlungen in Länder oder internationale Organisationen ohne angemessenes Schutzniveau bestimmt und enthält vier Vorlagen nach Rollen: Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Unterauftragsverarbeiter und Auftragsverarbeiter an Verantwortlichen. Nach seinen Regeln können die Klauseln in einen Vertrag aufgenommen oder gesondert vereinbart werden, ergänzende Bestimmungen sind zulässig, soweit sie nicht widersprechen, und Änderungen am Wortlaut außerhalb der auszufüllenden Felder werden von der Behörde nicht anerkannt und gelten als Verstoß. Der Importeur unterwirft sich der saudischen Gerichtsbarkeit und arbeitet mit Anfragen und Prüfungen der Behörde zusammen. Die Klauseln dürfen nicht genutzt werden, wenn das Recht des Empfängerlands den Importeur an ihrer Einhaltung hindert; kann der Importeur sie nicht mehr einhalten, setzt der Exporteur die Übermittlung aus, sofern keine anderen Garantien greifen. Die Klauseln enthalten eigene, teils kurze Melde- und Reaktionsfristen im Verhältnis der Parteien; sie sind im Original zu lesen und nicht aus diesem Text abzuleiten.

Verbindliche gemeinsame Regeln und Zertifizierung. Verbindliche gemeinsame Regeln sind nach der Übermittlungsverordnung Regeln, die der Verantwortliche für alle Verantwortlichen und Auftragsverarbeiter einer multinationalen Gruppe aufstellt. Ein Genehmigungsverfahren dafür enthalten die vorliegenden Quellen nicht. Zertifizierungsstellen lizenziert die Behörde nach Art. 33 Abs. 2 PDPL und Art. 35 der Ausführungsverordnung; ob und welche Stellen lizenziert sind, ist in den vorliegenden Quellen nicht belegt.

Risikobewertung vor der Übermittlung. Art. 7 der Übermittlungsverordnung verlangt eine Risikobewertung vor jeder Übermittlung auf Grundlage einer Ausnahme nach Art. 4 und vor fortlaufender oder umfangreicher Übermittlung sensibler Daten. Sie umfasst Zweck und Rechtsgrundlage, Art und geografischen Umfang, die Garantien und ihre Eignung, die Minimierung, soweit von ihr nicht befreit ist, mögliche materielle und immaterielle Folgen samt Wahrscheinlichkeit sowie Gegenmaßnahmen. Der Leitfaden der SDAIA dazu (Februar 2025) erklärt sich ausdrücklich als nicht rechtsverbindlich und als Hilfe. Er baut die Bewertung in Phasen auf, von der Vorbereitung über die Folgenabschätzung bis zu den übermittlungsspezifischen Risiken, und ergänzt Faktoren zur Beurteilung der lebenswichtigen Interessen des Königreichs. Auf der Plattform der Behörde steht ein unterstützendes Werkzeug bereit.

Dokumentation und Information. Auslandsübermittlungen gehören mit Rechtsgrundlage und Empfängern in das Verarbeitungsverzeichnis. Werden Daten unmittelbar bei der betroffenen Person erhoben, ist sie nach Art. 13 Nr. 4 PDPL bei der Erhebung auch darüber zu informieren, ob ihre Daten außerhalb des Königreichs übermittelt, offengelegt oder verarbeitet werden. Für die Erhebung bei Dritten regelt Art. 4 Abs. 3 und 4 der Ausführungsverordnung eigene Informationspflichten mit Frist und Ausnahmen.

Umsetzungsperspektive

1. Datenflüsse der saudischen Einheit erfassen, einschließlich Zugriff. Exporte, Synchronisationen, Cloud-Speicherorte, Fernwartung und Fernadministration aus Deutschland, globale Service Desks.
2. Je Fluss den Zweck nach Art. 29 Abs. 1 PDPL und Art. 2 der Übermittlungsverordnung festhalten. Für Konzernzentralen ist die zentrale Verarbeitung der naheliegende Ansatzpunkt.
3. Angemessenheit an der veröffentlichten Liste prüfen, mit Datum. Kein Eintrag aus dem Gedächtnis oder aus Sekundärquellen.
4. Ohne Listeneintrag die Fallgruppe nach Art. 4 bestimmen und die passende Garantie wählen. Für Konzernflüsse kommen verbindliche gemeinsame Regeln, Standardvertragsklauseln oder ein zertifizierter Empfänger in Betracht.
5. Standardvertragsklauseln unverändert verwenden und die passende Vorlage wählen. Rollenbestimmung vor Vertragsschluss; konzernweite Verträge auf Widersprüche zu den Klauseln prüfen.
6. Risikobewertung vor dem Start erstellen und ablegen. Pflicht bei Ausnahmeübermittlungen und bei fortlaufender oder umfangreicher Übermittlung sensibler Daten.
7. Ausstiegsfall vorbereiten. Wer bei Wegfall der Befreiung die Übermittlung stoppt, die Empfänger benachrichtigt und wie der Betrieb ohne den Datenfluss weiterläuft.

Typische Fehler

1. EU-Standardvertragsklauseln oder eine Angemessenheitsentscheidung der EU werden als Grundlage für Übermittlungen aus Saudi-Arabien angesehen.
2. Fernzugriff aus Deutschland auf Systeme im Königreich wird nicht als Übermittlung oder Offenlegung geprüft.
3. Das angemessene Schutzniveau wird selbst festgestellt statt an der Liste der Behörde geprüft.
4. Die SDAIA-Standardvertragsklauseln werden im Wortlaut angepasst, was nach dem Klauselwerk nicht anerkannt wird und als Verstoß gilt.
5. Die Risikobewertung wird erst nach dem Start der Übermittlung oder gar nicht erstellt.
6. Die Bedingung zur nationalen Sicherheit wird mit der Ausnahme als erledigt angesehen, obwohl Art. 4 der Übermittlungsverordnung sie nicht befreit.
7. Weiterübermittlungen aus Deutschland an Dienstleister in Drittstaaten werden aus der saudischen Prüfung ausgeklammert.

Risiken und Trade-offs

Verbindliche gemeinsame Regeln passen strukturell zu Konzernflüssen, ihr Verfahren ist in den vorliegenden Quellen aber nicht beschrieben. Standardvertragsklauseln sind sofort verfügbar, aber starr, dem saudischen Recht unterworfen und mit eigenen kurzen Fristen zwischen den Parteien verbunden, die der Konzern operativ einhalten muss. Die Zertifizierung des Empfängers ist in vier der fünf Fallgruppen vorgesehen: bei unmittelbaren Leistungen an die betroffene Person als einzige genannte Garantie, bei einmaligen oder befristeten Übermittlungen, zentralen Verarbeitungen in Gruppen und Forschung als Alternative, jeweils unter den Voraussetzungen der Fallgruppe. Sie setzt aber lizenzierte Stellen voraus, deren Verfügbarkeit hier nicht belegt ist.

Datenlokalisierung, also Verarbeitung im Königreich ohne Übermittlung, vermeidet den Übermittlungsmechanismus, kann aber Konzernprozesse zerteilen und andere saudische Vorgaben auslösen, etwa die Cloud-Regeln in saudi-arabien-003. Umgekehrt erhöht jede Zentralisierung in Deutschland die Abhängigkeit von Liste und Garantien, die die Behörde ändern oder aussetzen kann.

Entscheidungspunkte

• Welche Datenflüsse aus dem Königreich bestehen, und wer verantwortet ihre Inventur?
• Stützen wir Konzernflüsse auf verbindliche gemeinsame Regeln, Standardvertragsklauseln oder Zertifizierung, und wer klärt den Verfahrensstand?
• Wer prüft die Angemessenheitsliste der SDAIA und in welchem Turnus?
• Wo liegen die Risikobewertungen, und wer gibt sie frei?
• Welche Flüsse lokalisieren wir im Königreich, statt sie zu übermitteln?

Praktische Empfehlungen

• Ein Register der Auslandsflüsse der saudischen Einheiten führen: Zweck, Fallgruppe, Garantie, Datum der Listenprüfung, Risikobewertung, Empfänger und Weiterübermittlungen.
• Fernzugriffe und globale Administrationsrollen ausdrücklich als Flüsse aufnehmen.
• Für die Standardvertragsklauseln eine Rollenmatrix erstellen, welche der vier Vorlagen für welchen Fluss gilt.
• Die Risikobewertung am Leitfaden ausrichten, ohne ihn für verbindlich zu erklären; Pflichtinhalte ergeben sich aus Art. 7 der Übermittlungsverordnung.
• Die Fassungen von Übermittlungsverordnung, Klauselwerk und Liste mit Abrufdatum dokumentieren, weil die Behörde Liste und Garantien überprüfen und ändern kann.

Relevante Normreferenzen

• PDPL (Königliches Dekret M/19 vom 09.02.1443 AH, geändert durch M/148 vom 05.09.1444 AH): Art. 29 Abs. 1 (Zwecke), Abs. 2 (Bedingungen), Abs. 3 (Notfallausnahme), Abs. 4 (Ermächtigung für Ausnahmen); Art. 13 Nr. 4 (Information über Auslandsverarbeitung); Art. 31 Nr. 5 (Verzeichnis); Art. 33 Abs. 2 (Lizenzierung von Zertifizierungsstellen).
• SDAIA, Regulation on Personal Data Transfer Outside the Kingdom (Version 2.0, August 2024): Art. 1 (Begriffe, darunter geeignete Garantien, Standardvertragsklauseln, verbindliche gemeinsame Regeln), Art. 2 (weitere Zwecke), Art. 3 (Angemessenheitsliste), Art. 4 (Ausnahmen mit Garantien), Art. 5 (Weiterübermittlung), Art. 6 (Wegfall der Befreiung), Art. 7 (Risikobewertung).
• SDAIA, Standard Contractual Clauses for Personal Data Transfer (Version 1.0, September 2024).
• SDAIA, Risk Assessment Guideline for Transferring Personal Data Outside the Kingdom (Februar 2025), nach eigener Angabe nicht rechtsverbindlich.
• Ausführungsverordnung zum PDPL: Art. 33 (Verzeichnis mit Auslandsübermittlungen), Art. 35 (Zertifizierungsstellen).
• Abgrenzung: Übermittlungen aus der EU nach Saudi-Arabien regelt die DSGVO im dsgvo-Track; hier nur die Gegenrichtung nach saudischem Recht. Geltungsbereich und Grundpflichten in saudi-arabien-004, Cloud-Vorgaben in saudi-arabien-003.