Der Rechtsrahmen
Saudi-Arabien regelt personenbezogene Daten durch das Personal Data Protection Law (PDPL) aus dem Jahr 2021, beaufsichtigt durch die Saudi Data and AI Authority.
Für werbetreibende Unternehmen zählt vor allem die Einwilligungslage, und Saudi-Arabien gehört zum Opt-in-Block, in dem Tracking und Kontaktaufnahme vorab eine Erlaubnis erfordern.
Wichtige Rechtsakte
Datenschutzgesetz (PDPL), geändert 2023
Saudi-Arabien betreibt das folgenreichste Regime am Golf. Das PDPL trat am 14. September 2023 vollständig in Kraft, seine Übergangsfrist für die Durchsetzung endete am 14. September 2024, und die SDAIA hat seitdem Regeln zu Registrierung, Datenschutzbeauftragten und Datenübermittlung veröffentlicht. Im Januar 2026 gaben ihre Verstoßausschüsse ihre ersten 48 Durchsetzungsentscheidungen bekannt, darunter Sanktionen für ohne Einwilligung versendete Marketingnachrichten. Marketing erfordert eine Einwilligung und eine funktionierende Opt-out-Möglichkeit, und Marketing mit sensiblen Daten ist vollständig untersagt.
Marketing und Werbung
Einwilligung ist die Regelgrundlage; die Änderungen von 2023 schufen Spielraum für berechtigte Interessen bei nicht sensiblen Daten, doch Direktmarketing erfordert faktisch eine Einwilligung sowie eine Opt-out-Möglichkeit in jeder Nachricht. Die meisten Entscheidungen zu Marketingkanälen ergeben sich hier aus dieser Einwilligungsregel.
Grenzüberschreitende Datenübermittlung
Die Übermittlungsverordnung (2024) erlaubt angemessenheitsbasierte Übermittlungen, Garantien (SCCs, BCRs, Zertifizierung) und Risikobewertungen; die SDAIA hat noch keine Liste angemessener Länder veröffentlicht, sodass Garantien den Großteil der Arbeit leisten.
Durchsetzung und Sanktionen
Bußgelder bis zu 5 Mio. SAR (bei Wiederholung verdoppelt), strafrechtliche Haftung bei der Offenlegung sensibler Daten, zuzüglich Abhilfebefugnissen der SDAIA.