as saudi-arabische Datenschutzgesetz (PDPL), das von der SDAIA überwacht wird, gilt für A2P-SMS- und OTP-Verkehr, da Mobilfunknummern personenbezogene Daten darstellen. Absender agieren als Datenverantwortliche oder -verarbeiter, benötigen eine Rechtsgrundlage wie beispielsweise eine Einwilligung und müssen die Regeln für grenzüberschreitende Datenübermittlungen einhalten, die festlegen, wo Nachrichteninhalte, Zustellungsmetadaten und Protokolle gespeichert und verarbeitet werden dürfen.
Dieser Beitrag behandelt die Datenschutzebene. Informationen zum Registrierungs- und Routingverfahren für Sender-IDs der Telekommunikationsbehörde finden Sie in unserem Begleitleitfaden zu den Saudi CST (ehemals CITC) Sender-ID-Regeln und auf der Länderseite für Saudi-Arabien. Die beiden Regelungen überschneiden sich, und Sie müssen beide erfüllen.
Was das PDPL ist und wer es durchsetzt
Das PDPL (Personal Data Protection Law) wurde durch Königliches Dekret M/19 von 2021 erlassen und durch Königliches Dekret M/148 von 2023 geändert. Es trat am 14. September 2023 in Kraft und wurde nach einer einjährigen Übergangsfrist ab dem 14. September 2024 aktiv angewendet. Die Aufsicht über das Gesetz obliegt der Saudi Data and Artificial Intelligence Authority (SDAIA) sowie deren Durchführungsbestimmungen und einer separaten Verordnung über die Übermittlung personenbezogener Daten außerhalb des Königreichs. Das Gesetz erfasst jede Verarbeitung personenbezogener Daten von Personen mit Wohnsitz in Saudi-Arabien – einschließlich der Verarbeitung durch Unternehmen mit Sitz außerhalb des Königreichs. Somit fällt ein international tätiges Unternehmen, das mit saudi-arabischen Kunden kommuniziert, uneingeschränkt unter das Gesetz, selbst wenn sich seine Server im Ausland befinden. Eine Länderübersicht finden Sie unter Vorschriften für Saudi-Arabien.
Telefonnummern sind personenbezogene Daten.
Gemäß dem PDPL (Personal Data Protection Law) sind personenbezogene Daten alle Daten, die eine natürliche Person direkt oder indirekt identifizieren. Eine Mobilfunknummer – die MSISDN (Mobile Service Identity Domain), an die Sie eine Nachricht senden – identifiziert und bezieht sich auf eine Person und ist daher selbst ein personenbezogenes Datum. Dies betrifft viele Daten, die ein Absender von Nachrichten verarbeitet: Empfängerlisten, OTP-Anfragen und -Verifizierungsdatensätze, Zustellbestätigungen (DLRs) im Zusammenhang mit einer Nummer, Nachrichtentexte mit Namen oder Kontodaten sowie die entlang des Übertragungswegs generierten Zeitstempel, IP-Adressen und Netzwerkmetadaten. Die Nummer lediglich als „technische Kennung“ zu betrachten, ist die häufigste und kostspieligste Fehlinterpretation des Gesetzes.
Rechtsgrundlage, Einwilligung und Datenminimierung
Jede Sendung benötigt eine Rechtsgrundlage. Die Einwilligung ist die primäre Grundlage gemäß PDPL. Die Änderung von 2023 erkannte zusätzliche Rechtsgrundlagen an, darunter berechtigtes Interesse an nicht sensiblen Daten, Vertragserfüllung und die Einhaltung einer rechtlichen Verpflichtung. In der Praxis sollte Marketing-Traffic auf einer expliziten, nachweisbaren Einwilligung mit funktionierender Abmeldemöglichkeit beruhen – was auch von der Telekommunikationsbehörde erwartet wird. OTP- und Transaktionsnachrichten hingegen basieren typischerweise auf vertraglicher Notwendigkeit oder berechtigtem Interesse, da der Nutzer sich anmelden oder eine Transaktion abschließen wollte. Zwei weitere Grundsätze sind dabei bindend: Zweckbindung (die Nummer darf nur für den vom Nutzer genehmigten Zweck verwendet werden) und Datenminimierung (es dürfen nur die tatsächlich benötigten Daten erhoben und gespeichert werden). Die Klassifizierung, die Sie für die CST-Sender-ID-Registrierung angeben, muss der Rechtsgrundlage entsprechen, auf die Sie sich gemäß PDPL berufen.
Controller- und Prozessoraufgaben, einem Nachrichtensender zugeordnet
Wenn Sie entscheiden, warum und wie die Nummern verarbeitet werden, sind Sie der Verantwortliche; Ihr CPaaS-Anbieter oder -Aggregator, der gemäß Ihren Anweisungen handelt, ist in der Regel der Auftragsverarbeiter. Beide haben Pflichten, und die Beziehung muss durch eine schriftliche Datenverarbeitungsvereinbarung geregelt werden. Die Tabelle veranschaulicht die Kernverpflichtungen des PDPL und deren Bedeutung für Unternehmen, die A2P-SMS oder OTP in das Königreich senden.
| PDPL-Verpflichtung | Was das für einen Absender einer Nachricht bedeutet |
|---|---|
| Rechtsgrundlage und Einwilligung | Für jede Verkehrsart muss eine gültige Grundlage vorhanden sein; eine explizite Einwilligung und eine beachtete Abmeldung für Marketingzwecke sind erforderlich. |
| Zweckbegrenzung und Minimierung | Senden Sie nur an Nummern, die zu diesem Zweck erfasst wurden; speichern Sie nur die Felder, die Sie benötigen. |
| Verarbeitungsprotokolle | Führen Sie ein Verzeichnis darüber, welche personenbezogenen Daten Sie senden, warum, wohin sie fließen und wie lange Sie sie aufbewahren. |
| Rechte der betroffenen Person | Gewährleisten Sie den Zugriff, die Berichtigung, die Löschung und den Widerruf der Einwilligung zu den von Ihnen gespeicherten Nummern. |
| Prozessor-Governance | Binden Sie Ihren Anbieter oder Aggregator mit einer Datenverarbeitungsvereinbarung, die Sicherheit und Unterauftragnehmer abdeckt. |
| Grenzüberschreitender Transfer | Daten dürfen nur unter den PDPL-Transferbedingungen außerhalb Saudi-Arabiens übertragen werden; prüfen Sie vorher das Zielland. |
| Benachrichtigung über Datenschutzverletzung | Benachrichtigen Sie SDAIA innerhalb von 72 Stunden nach Kenntniserlangung; informieren Sie die betroffenen Personen, wenn ein Schaden wahrscheinlich ist. |
Datenresidenz und grenzüberschreitender Transfer – was gilt tatsächlich?
Hier liegt das größte Missverständnis bezüglich des „saudischen Datenresidenzprinzips“. Das geänderte PDPL schreibt keine generelle Datenlokalisierung für alle personenbezogenen Daten vor. Vielmehr erlauben Artikel 29 und die Verordnung über die Übermittlung personenbezogener Daten Übermittlungen außerhalb des Königreichs unter folgenden Bedingungen: Die Übermittlung muss einem zulässigen Zweck dienen, darf die nationale Sicherheit oder die lebenswichtigen Interessen des Königreichs nicht gefährden, muss an einen Bestimmungsort erfolgen, der nach Einschätzung der SDAIA ein angemessenes Schutzniveau bietet oder durch geeignete Garantien (wie Standardvertragsklauseln, verbindliche Regeln oder Zertifizierungen) abgedeckt ist, kann eine Risikobewertung der Übermittlung erfordern und muss auf die minimal erforderlichen Daten beschränkt sein.
Wo müssen also Messaging-Metadaten und -Protokolle gespeichert werden? Bei einem Großteil des A2P-Verkehrs können personenbezogene Daten rechtmäßig im Ausland verarbeitet werden, sofern die Übertragungsbedingungen erfüllt sind. Die strikte Speicherung innerhalb des Königreichs wird jedoch durch drei Faktoren neben dem PDPL (Personal Data Protection Law) bedingt: Branchenaufsichtsbehörden – insbesondere die Regeln der Zentralbank für Banken und Fintechs, die die Speicherung regulierter Finanzdaten innerhalb Saudi-Arabiens vorschreiben; nationale Datenklassifizierungen und Cloud-Frameworks, die mit steigender Datensensibilität höhere Anforderungen an den Speicherort stellen; und Unternehmensverträge, die dies schlichtweg fordern. Für Absender bedeutet dies in der Praxis, dass sie die generierten Daten – OTP-Datensätze, DLR-Protokolle, Routing-Metadaten, Nachrichtenarchive – klassifizieren und anhand dieser Klassifizierung sowie der Branche ihres Kunden entscheiden müssen, ob die Daten das Königreich verlassen dürfen oder innerhalb der Region gespeichert werden müssen. Gestalten Sie den Datenpfad bewusst; sehen Sie sich an, wie wir Datenflüsse und -isolation in unserer Sicherheitsarchitektur angehen.
Meldung von Datenschutzverletzungen und Verantwortlichkeit
Das PDPL verpflichtet Verantwortliche, die SDAIA über Datenschutzverletzungen zu informieren und betroffene Personen, denen durch die Verletzung voraussichtlich Schaden entsteht, innerhalb der in den Durchführungsbestimmungen festgelegten Fristen zu benachrichtigen – die maßgebliche Frist beträgt 72 Stunden ab Kenntnisnahme. Die Rechenschaftspflicht wird durch Dokumentation gewährleistet: Verarbeitungsprotokolle, Rechtsgrundlagen, Übertragungsbewertungen und Auftragsverarbeitungsverträge belegen die Einhaltung der Vorschriften auf Anfrage der Aufsichtsbehörde. Die Strafen für Verstöße betragen laut Gesetz bis zu 5 Millionen SAR und können sich bei wiederholten Verstößen verdoppeln. Die unrechtmäßige Offenlegung sensibler Daten wird gesondert strafrechtlich verfolgt. Anstatt sich auf die Schlagzeilen zu konzentrieren, sollte ein stillschweigend nicht konformer Datenfluss als das eigentliche operative Risiko betrachtet werden.
Eine Checkliste zur Einhaltung der Vorschriften für A2P-SMS und OTP in Saudi-Arabien
- Bilden Sie Ihre Datenflüsse ab – identifizieren Sie jeden Punkt, an dem eine saudische MSISDN und die zugehörigen Metadaten erfasst, übertragen, gespeichert und protokolliert werden, von Anfang bis Ende.
- Für jede Verkehrsart muss eine Rechtsgrundlage festgelegt werden – explizites Opt-in mit Opt-out für Marketingzwecke; vertragliche Notwendigkeit oder berechtigtes Interesse für OTP und Transaktionsdaten.
- Klassifizieren Sie die Daten und entscheiden Sie über den Aufbewahrungsort – bestimmen Sie die Sektorregeln (z. B. Bankwesen) und ob OTP-Aufzeichnungen, DLR-Protokolle und Metadaten im Königreich verbleiben müssen.
- Schließen Sie mit Ihrem CPaaS-Anbieter oder -Aggregator eine Datenverarbeitungsvereinbarung ab, die Sicherheit, Unterauftragnehmer und die Zusammenarbeit bei Datenschutzverletzungen abdeckt.
- Minimieren und Aufbewahrung festlegen – OTP- und Verifizierungsdatensätze nur so lange wie nötig aufbewahren und Nachrichtentexte nach dem Zustellungs- und Prüfzeitraum löschen.
- Erstellen Sie einen Leitfaden für den Umgang mit Datenschutzverletzungen – einen 72-Stunden-SDAIA-Benachrichtigungsprozess mit Verantwortlichen, Vorlagen und einer Entscheidungsregel zur Information der betroffenen Personen.
- Richten Sie sich nach den Telekommunikationsvorschriften – registrieren Sie Absenderkennungen und leiten Sie Anrufe über zugelassene Kanäle gemäß den CST-Regeln weiter, damit die beiden Vorschriften konsistent bleiben.
- Bevor Sie in Betrieb gehen, sollten Sie sich von einem lokalen Rechtsberater beraten lassen, um die geltenden Durchführungsbestimmungen und etwaige branchenspezifische Verpflichtungen zu bestätigen.
Beim Versenden von A2P-SMS oder OTP nach Saudi-Arabien zahlt sich MENA-natives Routing und Compliance aus. BroadNet betreibt seit 2003 direkte, zugelassene Interconnects mit saudischen Netzbetreibern, ist nach ISO 27001, ISO 9001 und ISO 22301 zertifiziert, erfüllt die SOC-2-Standards und kann die Sender-ID-Registrierung, das Routing und die Datenverarbeitung an Ihre PDPL-Richtlinien anpassen – siehe compliance und unsere security architecture.
Häufig gestellte Fragen
Gilt das saudische PDPL auch für SMS?
Ja. Das PDPL regelt die Verarbeitung personenbezogener Daten, und eine Mobilfunknummer zählt zu den personenbezogenen Daten. Daher fällt die Verarbeitung personenbezogener Daten unter das PDPL, wenn A2P-SMS oder OTPs an einen saudischen Empfänger versendet werden. Dies gilt auch für Absender mit Sitz außerhalb des Königreichs, sofern sie Daten von Personen mit Wohnsitz in Saudi-Arabien verarbeiten. Sie benötigen eine Rechtsgrundlage, müssen die Rechte der betroffenen Personen wahren und die Übertragungsregeln für alle Protokolle und Metadaten, die das Land verlassen, einhalten.
Wo müssen die Messaging-Daten für Saudi-Arabien gespeichert werden?
Das geänderte Datenschutzgesetz (PDPL) ist keine generelle Lokalisierungspflicht – personenbezogene Daten können außerhalb des Königreichs verarbeitet werden, sofern die Übertragungsbedingungen erfüllt sind, darunter eine Angemessenheitsprüfung, geeignete Schutzmaßnahmen und Datenminimierung. Allerdings ist ein Wohnsitz im Königreich häufig aufgrund von Branchenvorschriften (insbesondere im Bank- und Fintech-Sektor), aufgrund von Datenklassifizierungen und Cloud-Frameworks bei steigender Sensibilität sowie aufgrund von Unternehmensverträgen erforderlich. Klassifizieren Sie Ihre OTP-Datensätze, DLR-Protokolle und Metadaten und lassen Sie diese Klassifizierung sowie die Branche des Kunden entscheiden.
Fallen Kundentelefondaten unter das PDPL (Personal Data Protection Law)?
Ja. Personenbezogene Daten im Sinne des PDPL sind alle Daten, die eine natürliche Person direkt oder indirekt identifizieren, und eine Telefonnummer erfüllt genau diese Bestimmung. Das bedeutet, dass Empfängerlisten, OTP- und Verifizierungsdatensätze, Zustellbestätigungen, die mit einer Nummer verknüpft sind, sowie zugehörige Zeitstempel und Netzwerkmetadaten alle darunter fallen. Diese Daten müssen rechtmäßig verarbeitet werden und unterliegen den Grundsätzen der Datenminimierung, Aufbewahrungsfristen sowie den gesetzlich vorgeschriebenen Sicherheits- und Übertragungskontrollen.
Referenzen
- SDAIA – Gesetz zum Schutz personenbezogener Daten (PDPL) und Durchführungsbestimmungen: sdaia.gov.sa
- Kommunikations-, Raumfahrt- und Technologiekommission (CST) – Regulierung von Telekommunikation und Nachrichtendiensten: cst.gov.sa
- BroadNet — Saudi CST Sender-ID-Regeln und Saudi Arabia-Vorschriften.
- BroadNet — Compliance und Sicherheitsarchitektur.