Compliance mit dem Personal Data Protection Act (PDPA) in Singapur
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des PDPA in Singapur zu erfüllen: Die App holt die Einwilligung für Cookies ein, scannt und kategorisiert Cookies und speichert Einwilligungsnachweise.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist der PDPA?
Der Personal Data Protection Act 2012 (PDPA) ist das allgemeine Datenschutzgesetz Singapurs. Er regelt, wie Organisationen des privaten Sektors personenbezogene Daten erheben, nutzen und offenlegen, und hat außerdem Singapurs Do Not Call Registry für Marketingnachrichten eingerichtet. Verwaltet und durchgesetzt wird das Gesetz von der Personal Data Protection Commission (PDPC).
Der PDPA beruht auf einer Reihe von Datenschutzpflichten, darunter:
- Einwilligung: Organisationen dürfen personenbezogene Daten nur mit der Einwilligung der betroffenen Person erheben, nutzen oder offenlegen, sofern keine Ausnahme greift. In manchen Situationen kann die Einwilligung als erteilt gelten (deemed consent), etwa wenn jemand seine Daten freiwillig für einen bestimmten Zweck angibt.
- Information: Betroffene Personen müssen spätestens bei der Erhebung erfahren, zu welchen Zwecken ihre Daten erhoben, genutzt und offengelegt werden.
- Zweckbindung: Daten dürfen nur für Zwecke genutzt werden, die ein vernünftiger Mensch für angemessen halten würde.
- Auskunft und Berichtigung: Betroffene Personen können Auskunft über ihre Daten und deren Verwendung verlangen und die Berichtigung von Fehlern beantragen.
- Schutz und Aufbewahrung: Daten müssen durch angemessene Sicherheitsvorkehrungen geschützt und dürfen nicht länger als nötig aufbewahrt werden.
- Übermittlungsbeschränkung: Daten, die ins Ausland übermittelt werden, müssen ein Schutzniveau erhalten, das mit dem PDPA vergleichbar ist.
- Meldung von Datenpannen: Meldepflichtige Datenpannen müssen der PDPC spätestens 3 Kalendertage nach ihrer Bewertung durch die Organisation gemeldet werden, in vielen Fällen auch den betroffenen Personen.
Für wen gilt der PDPA?
Der PDPA gilt für Organisationen, die in Singapur personenbezogene Daten erheben, nutzen oder offenlegen, unabhängig davon, ob sie in Singapur gegründet wurden oder dort eine Niederlassung haben. Ein Onlineshop mit Sitz in einem anderen Land, der personenbezogene Daten von Kunden in Singapur erhebt, kann daher erfasst sein.
Was passiert, wenn ich den PDPA nicht einhalte?
Die PDPC kann Beschwerden und Datenpannen untersuchen und Anweisungen erteilen, um eine Organisation zur Einhaltung des Gesetzes zu bringen. Mögliche Folgen sind:
- Geldstrafen: Bis zu 10 % des Jahresumsatzes in Singapur für Organisationen, deren Umsatz in Singapur 10 Millionen S$ übersteigt, in allen anderen Fällen bis zu 1 Million S$.
- Anweisungen: Anordnungen, die Erhebung, Nutzung oder Offenlegung von Daten einzustellen, unter Verstoß gegen den PDPA erhobene Daten zu vernichten oder andere Maßnahmen zur Einhaltung zu ergreifen.
- Zivilrechtliche Ansprüche: Personen, denen durch die Verletzung bestimmter Pflichten ein Verlust oder Schaden entsteht, können vor Gericht klagen.
- Veröffentlichte Entscheidungen: Die PDPC veröffentlicht ihre Durchsetzungsentscheidungen, was Ihrem Ruf schaden kann.
Wann trat der PDPA in Kraft?
Der PDPA wurde 2012 verabschiedet. Seine Datenschutzbestimmungen traten am 2. Juli 2014 in Kraft, nachdem die Do-Not-Call-Bestimmungen bereits Anfang desselben Jahres wirksam geworden waren. Änderungen aus dem Jahr 2020 gelten seit dem 1. Februar 2021 und führten die Pflicht zur Meldung von Datenpannen sowie neue Formen der als erteilt geltenden Einwilligung ein. Die höheren Geldstrafen gelten seit dem 1. Oktober 2022.
Den PDPA einhalten
Für einen Shopify-Shop, der an Kunden in Singapur verkauft, sind die Pflichten zu Einwilligung und Information bei Cookies und Tracking am wichtigsten. Wenn Cookies oder ähnliche Werkzeuge personenbezogene Daten erheben, etwa um Profile für Analyse- oder Werbezwecke zu erstellen, sollten Besucher erfahren, was erhoben wird und warum, und ihre Einwilligung sollte eingeholt werden. Besucher können ihre Einwilligung jederzeit mit angemessener Ankündigung widerrufen, und Sie müssen die damit verbundene Erhebung und Nutzung dann einstellen.
Da die meisten Shops auf Anbieter außerhalb Singapurs angewiesen sind, sollten Sie prüfen, ob Ihre Plattform-, Zahlungs- und Marketinganbieter übermittelte Daten auf einem vergleichbaren Niveau schützen, zum Beispiel durch Verträge. Außerdem sollten Sie Anträge auf Auskunft und Berichtigung beantworten können und einen Plan für die Bewertung und Meldung von Datenpannen haben.
Eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance hilft bei den Aufgaben, die in Ihrem Shop-Frontend anfallen. Sie zeigt ein Cookie-Banner an und blockiert nicht notwendige Cookies, bis der Besucher einwilligt, scannt und kategorisiert die Cookies in Ihrem Shop automatisch und erstellt eine Cookie-Erklärung für Ihre Richtlinie. Sie speichert Einwilligungsprotokolle als Nachweis der Einwilligung, hilft Ihnen bei der Bearbeitung von Anfragen betroffener Personen und lässt Sie die Banner-Einstellungen per Geolokalisierung nach Region konfigurieren, sodass Besucher aus Singapur ein Banner sehen, das auf den PDPA abgestimmt ist.
Die PDPC veröffentlicht ausführliche Leitlinien (Advisory Guidelines), und wie sie anzuwenden sind, hängt von Ihrem Shop ab. Prüfen Sie Ihre Einrichtung daher bei Bedarf mit einem Rechtsbeistand.