Saudi-Arabien verschärft Datenschutz: 48 Strafen in einem Jahr
16.05.2026 - 02:11:44 | boerse-global.de
Riad – Saudi-Arabien hat nach Ablauf einer mehrjährigen Übergangsfrist die Durchsetzung seines strengen Datenschutzgesetzes (PDPL) drastisch verschärft. Die saudische Daten- und KI-Behörde (SDAIA) verhängte innerhalb eines Jahres 48 formelle Strafen gegen Unternehmen. Das Ende der Schonfrist ist damit endgültig besiegelt.
Lücken in der Dokumentation führen weltweit zu drastischen Bußgeldern, wie die aktuelle Sanktionswelle in Saudi-Arabien verdeutlicht. Diese kostenlose Excel-Vorlage hilft Ihnen dabei, Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO rechtssicher und zeitsparend zu erstellen. Kostenlose Muster-Vorlage jetzt gratis herunterladen
Von der Aufklärung zur aktiven Kontrolle
Der Wendepunkt kam im September 2024. Damals lief die einjährige Übergangsfrist des PDPL aus. Zwar galt das Gesetz bereits seit September 2023, doch die Behörden gewährten Unternehmen zwölf Monate Zeit, um ihre Systeme umzustellen. Seitdem hat die SDAIA ihre Strategie geändert: Aus Aufklärungskampagnen wurden konkrete Durchsetzungsmaßnahmen.
Die 48 Entscheidungen, die zwischen 2025 und Anfang 2026 ergingen, sind die erste große Sanktionswelle. Betroffen sind Unternehmen aus unterschiedlichsten Branchen. Im Kern geht es um grundlegende Verstöße: die Erhebung personenbezogener Daten ohne Rechtsgrundlage, die unbefugte Weitergabe sensibler Informationen und das Fehlen angemessener Sicherheitsmaßnahmen.
Auffällig: Ein erheblicher Teil der Strafen betraf unerlaubte Werbe- und Marketingmaßnahmen. Die Behörde legt offenbar großen Wert auf die Rechte der Betroffenen und die Transparenz bei der kommerziellen Nutzung von Daten.
Neue Lizenzpflichten und eine zentrale Plattform
Die SDAIA hat Anfang 2022 zwei entscheidende Dokumente veröffentlicht: die Regeln für die Lizenzierung von Akkreditierungsstellen sowie die Vorschriften für die Prüfung und Inspektion von Datenverarbeitungsaktivitäten. Damit schafft die Behörde die rechtliche Grundlage für eine ganze Branche professioneller Datenschutzdienstleister.
Parallel dazu öffnete die SDAIA am 9. März 2026 die Registrierung für Datenanbieter auf der Nationalen Daten-Governance-Plattform. Unternehmen müssen dort einen rechtlichen Vertreter über das Saudi Business Center benennen, bevor sie auf die Plattform zugreifen können. Die technischen Standards für die Lizenzierung werden derzeit finalisiert.
Ziel ist es, Vertrauen in die saudische Digitalwirtschaft zu schaffen. Wer große Mengen personenbezogener Daten verarbeitet, muss künftig nachweislich bestimmte Sicherheits- und Datenschutzstandards erfüllen.
Hohe Strafen und knappe Fristen
Die finanziellen Folgen für Verstöße sind in der Region beispiellos. Bußgelder können bis zu fünf Millionen Saudi-Riyal pro Verstoß betragen – bei Wiederholungstätern sogar das Doppelte. Hinzu kommen strafrechtliche Konsequenzen: Wer vorsätzlich sensible Daten preisgibt, riskiert bis zu zwei Jahre Haft und Geldstrafen von bis zu drei Millionen Saudi-Riyal.
Doch nicht nur die Strafen selbst sind hart. Auch das Verfahren setzt Unternehmen massiv unter Druck. Wird ein Unternehmen von der SDAIA über eine mögliche Anklage informiert, hat es mitunter nur fünf Tage Zeit für eine Stellungnahme. Das erfordert höchste operative Bereitschaft und lückenlose Dokumentation aller Datenverarbeitungsprozesse.
Da Behörden weltweit die Daumenschrauben anziehen, wird eine lückenlose Dokumentation der Datenverarbeitung zur Existenzfrage für jedes Unternehmen. Ein kostenloser Report zeigt Ihnen die häufig übersehenen Pflichtfelder, die bei einer Prüfung sofort zu teuren Sanktionen führen können. Gratis-Anleitung zum Verarbeitungsverzeichnis sichern
Die zuständigen Ausschüsse verfügen über quasi-richterliche Befugnisse: Sie können Personen vorladen, interne Unterlagen anfordern und Datenverarbeitungen vorübergehend stoppen lassen. Zu den Sanktionen gehört auch die öffentliche Bekanntgabe der Strafe sowie die Einziehung illegaler Gewinne.
Datenexport: Strengere Regeln für internationale Konzerne
Für multinationale Unternehmen bleibt der grenzüberschreitende Datentransfer die größte Herausforderung. Nach aktualisierten Regeln Ende 2024 veröffentlichte die SDAIA im Februar 2025 einen Leitfaden zur Risikobewertung für internationale Datenübermittlungen.
Da es noch keine offizielle Liste sicherer Drittländer gibt, müssen Unternehmen auf alternative Mechanismen zurückgreifen: Standardvertragsklauseln und verbindliche Unternehmensregeln, die den von der SDAIA genehmigten Vorlagen entsprechen. Die Behörde betont: Übermittlungen müssen auf das notwendige Minimum beschränkt bleiben und dürfen die nationale Sicherheit nicht gefährden.
Für internationale Technologieanbieter – besonders in den Bereichen Cloud-Computing und Software-as-a-Service – hat das weitreichende Folgen. Viele investieren in lokale Hosting-Infrastruktur oder hybride Cloud-Modelle, um sensible Daten innerhalb Saudi-Arabiens zu halten.
Ausblick: Die nächste Eskalationsstufe
Mit der Vision 2030 treibt Saudi-Arabien seine digitale Transformation voran. Die SDAIA wird dabei zunehmend zur strengen Aufseherin. Branchenexperten erwarten als nächstes gezielte Sektorprüfungen – besonders in datenintensiven Bereichen wie Finanzen, Gesundheitswesen und Telekommunikation.
Die Nationale Daten-Governance-Plattform und die Einführung externer Prüflizenzen deuten auf ein dezentrales Kontrollmodell hin: Akkreditierte Firmen sollen künftig hohe Standards in der gesamten Privatwirtschaft sicherstellen.
Die Botschaft aus Riad ist glasklar: Datenschutz ist kein theoretisches Konzept mehr, sondern ein handfestes operatives Risiko. Wer in Saudi-Arabien Geschäfte macht, muss sich darauf einstellen.
Wirtschaftsnachrichten lesen ist gut - trading-notes lesen ist besser!
Für. Immer. Kostenlos.
