Alles Wissenswerte, nichts Unwissendes.
Wer setzt es durch?
Die SDAIA (Saudi Data and AI Authority) ist die zuständige Regulierungsbehörde. Die Strafen betragen bis zu 5 Millionen SAR pro Verstoß, in besonders schweren Fällen droht den Verantwortlichen strafrechtliche Verfolgung. In den ersten 18 Monaten verfolgte die SDAIA einen eher korrigierenden als strafenden Ansatz (Verwarnungen, verpflichtende Abhilfemaßnahmen). Das Gesetz sieht jedoch Sammelklagen vor, und die SDAIA hat ausdrücklich erklärt, dass Verstöße gegen die Vorschriften für groß angelegte Nachrichtenübermittlung Priorität haben.
Datenresidenz
Personenbezogene Daten von Personen aus Saudi-Arabien müssen innerhalb Saudi-Arabiens verarbeitet werden, es sei denn, eine der folgenden drei Ausnahmen trifft zu: Angemessenheitsbeschluss (der SDAIA hat noch keinen erlassen), ausdrückliche und informierte Einwilligung für die jeweilige grenzüberschreitende Nutzung oder SDAIA-Genehmigung. Für Messaging bedeutet dies, dass sich das SMSC, die Benutzeroberfläche für das Kampagnenmanagement und der DLR-Speicher in Saudi-Arabien befinden müssen. BroadNet betreibt ein Rechenzentrum in Riad, das speziell für die Speicherung von Kundendaten für saudische Konten zuständig ist.
Einwilligungserfordernisse
Die Einwilligung muss informiert, spezifisch, freiwillig und nachweisbar sein. Für SMS-Marketing bedeutet dies, dass ein Opt-in-Datensatz (Zeitstempel, Quelle, genauer Einwilligungstext, der dem Nutzer angezeigt wurde) fünf Jahre lang aufbewahrt wird. Das STOP-Schlüsselwort muss innerhalb von 24 Stunden berücksichtigt und protokolliert werden. CST stimmt sich mit SDAIA bezüglich der Genehmigung von Absenderkennungen für Marketing-SMS ab – Absenderkennungen ohne nachweisbare Einwilligungsnachweise werden gesperrt.
Was Käufer ihren Aggregator fragen sollten
Drei Fragen: Wo befindet sich mein SMSC physisch, wenn ich Nachrichten an saudi-arabische Nummern sende? Wo werden meine DLRs und Nachrichtentexte gespeichert? Welches Format haben die Einwilligungsdatensätze und wie lange werden sie aufbewahrt? Antworten, die Frankfurt, Dublin oder London erwähnen, sind für datenschutzkonforme Implementierungen nicht akzeptabel.