# PDPL (KSA) — Was das saudische Datenschutzgesetz für Messaging bedeutet

> Das Gesetz zum Schutz personenbezogener Daten (PDPL) ist der umfassende Datenschutzrahmen des Königreichs Saudi-Arabien und ist seit dem 14. September 2023 in Kraft; seine vollständige Durchsetzung erfolgt ab September 2024. Es regelt die Erhebung, Nutzung und grenzüberschreitende Übermittlung personenbezogener Daten von Personen in Saudi-Arabien – einschließlich der MSISDN-Nachricht, der gespeicherten Einwilligungsaufzeichnungen und des Ortes auf der Welt, an dem diese Daten verarbeitet werden.

- Kanonische URL: https://www.broadnet.me/de/answers/pdpl-ksa-explained
- Sprache: de
- Zuletzt geprüft: 2026-05-27
- Herausgeber: BroadNet (https://www.broadnet.me)

## Wer setzt es durch?

Die SDAIA (Saudi Data and AI Authority) ist die zuständige Regulierungsbehörde. Die Strafen betragen bis zu 5 Millionen SAR pro Verstoß, in besonders schweren Fällen droht den Verantwortlichen strafrechtliche Verfolgung. In den ersten 18 Monaten verfolgte die SDAIA einen eher korrigierenden als strafenden Ansatz (Verwarnungen, verpflichtende Abhilfemaßnahmen). Das Gesetz sieht jedoch Sammelklagen vor, und die SDAIA hat ausdrücklich erklärt, dass Verstöße gegen die Vorschriften für groß angelegte Nachrichtenübermittlung Priorität haben.

## Datenresidenz

Personenbezogene Daten von Personen aus Saudi-Arabien müssen innerhalb Saudi-Arabiens verarbeitet werden, es sei denn, eine der folgenden drei Ausnahmen trifft zu: Angemessenheitsbeschluss (der SDAIA hat noch keinen erlassen), ausdrückliche und informierte Einwilligung für die jeweilige grenzüberschreitende Nutzung oder SDAIA-Genehmigung. Für Messaging bedeutet dies, dass sich das SMSC, die Benutzeroberfläche für das Kampagnenmanagement und der DLR-Speicher in Saudi-Arabien befinden müssen. BroadNet betreibt ein Rechenzentrum in Riad, das speziell für die Speicherung von Kundendaten für saudische Konten zuständig ist.

## Einwilligungserfordernisse

Die Einwilligung muss informiert, spezifisch, freiwillig und nachweisbar sein. Für SMS-Marketing bedeutet dies, dass ein Opt-in-Datensatz (Zeitstempel, Quelle, genauer Einwilligungstext, der dem Nutzer angezeigt wurde) fünf Jahre lang aufbewahrt wird. Das STOP-Schlüsselwort muss innerhalb von 24 Stunden berücksichtigt und protokolliert werden. CST stimmt sich mit SDAIA bezüglich der Genehmigung von Absenderkennungen für Marketing-SMS ab – Absenderkennungen ohne nachweisbare Einwilligungsnachweise werden gesperrt.

## Was Käufer ihren Aggregator fragen sollten

Drei Fragen: Wo befindet sich mein SMSC physisch, wenn ich Nachrichten an saudi-arabische Nummern sende? Wo werden meine DLRs und Nachrichtentexte gespeichert? Welches Format haben die Einwilligungsdatensätze und wie lange werden sie aufbewahrt? Antworten, die Frankfurt, Dublin oder London erwähnen, sind für datenschutzkonforme Implementierungen nicht akzeptabel.

## Verwandte Seiten

- [Alle Antworten](https://www.broadnet.me/de/answers)
- [Glossar](https://www.broadnet.me/de/answers)
- [DSGVO für Messaging – was Unternehmen als Absender wissen müssen](https://www.broadnet.me/de/answers/gdpr-for-messaging)
- [Registrierung der Absender-ID in Saudi-Arabien – das CST-Verfahren](https://www.broadnet.me/de/answers/sender-id-registration-ksa-cst)
- [Compliance](https://www.broadnet.me/de/compliance)
- [KSA regulations](https://www.broadnet.me/de/regulations/saudi-arabia)