Singapore Personal Data Protection Act

Singapur PDPA Compliance-Leitfaden

Navigieren Sie Singapurs umfassenden Datenschutzrahmen mit Zuversicht. Von den 11 Datenschutzpflichten ueber obligatorische Verletzungsmeldung bis hin zu KI-Governance helfen wir Ihnen, PDPA-Anforderungen mit klaren Prozessen und auditbereiten Nachweisen umzusetzen.

PDPA-Bewertung starten Compliance-Beratung buchen

Was ist Singapurs PDPA?

Der Personal Data Protection Act 2012 (PDPA) ist Singapurs umfassendes Datenschutzgesetz, das die Erhebung, Verwendung und Offenlegung personenbezogener Daten durch privatwirtschaftliche Organisationen regelt. Das Gesetz etabliert einen sektoruebergreifenden Mindeststandard fuer den Datenschutz.

Warum das jetzt wichtig ist: Die Aenderungen von 2020 (in Kraft seit 1. Februar 2021) staerkten die Durchsetzungsbefugnisse erheblich mit obligatorischer Verletzungsmeldung innerhalb von 3 Tagen, Geldstrafen von bis zu 10% des Jahresumsatzes und strengeren Rechenschaftsanforderungen. Die Personal Data Protection Commission (PDPC) setzt PDPA aktiv mit oeffentlichen Durchsetzungsentscheidungen durch.

11 Pflichten

Umfassender Schutzrahmen

3-Tage-Meldung

Obligatorische Verletzungsmeldung an PDPC

Durchgesetzt von der Personal Data Protection Commission (PDPC) unter IMDA. Ergaenzt die DSGVO fuer eine globale Datenschutzstrategie.

Wer braucht PDPA-Compliance?

Alle privatwirtschaftlichen Organisationen

Jede Organisation, die personenbezogene Daten in Singapur erhebt, verwendet oder offenlegt

Datenvermittler

Organisationen, die personenbezogene Daten im Auftrag anderer verarbeiten

Digitale Plattformen & E-Commerce

Online-Dienste, die personenbezogene Kundendaten erheben

Finanzdienstleistungen

Banken, Versicherer, Zahlungsdienstleister, die sensible Finanzdaten verarbeiten

Gesundheitsdienstleister

Kliniken, Krankenhaeuser und Gesundheitstechnologie-Plattformen

KI-System-Bereitsteller

Organisationen, die KI fuer automatisierte Entscheidungen einsetzen, die Einzelpersonen betreffen

Wie VerifyWise die PDPA-Compliance unterstuetzt

VerifyWise bietet ein Singapur-Compliance-Preset im Checklisten-Modus, strukturiert um Transparenz, Rueckverfolgbarkeit, Ergebnisueberwachung und regelmaessige Auditpflichten

Singapur-Anforderung

VerifyWise-Abdeckung

Transparenzmassnahmen

Checklisten-Element zur Dokumentation der KI-Nutzungsoffenlegung und Transparenzpraktiken

Rueckverfolgbarkeitsaufzeichnungen

Strukturiertes Checklisten-Tracking mit Auditdatum und Systembeschreibungs-Metadaten

Ergebnisueberwachung

Checklisten-Element mit optionaler quantitativer Analyse nachteiliger Auswirkungen

Regelmaessiger Auditplan

Dediziertes Checklisten-Element zur Dokumentation von Audithaefigkeit und -methodik

Zusaetzliche Compliance-Funktionen

Bestandsaufnahme und Zuordnung personenbezogener Daten

Pflegen Sie ein vollstaendiges Verzeichnis der Verarbeitungstaetigkeiten personenbezogener Daten in Ihrer Organisation. Die Plattform erfasst, welche Daten Sie erheben, warum Sie sie verarbeiten, wer Zugang hat und wo sie gespeichert werden, um die Rechenschaftspflichten der PDPC zu erfuellen.

Adressiert: Rechenschaftspflicht, Offenheit, Zweckbindung

Einwilligungsverwaltung und -verfolgung

Dokumentieren Sie Einwilligungserfassungsmethoden, verfolgen Sie Widerrufsantraege und verwalten Sie Szenarien der stillschweigenden Einwilligung, die mit den Aenderungen von 2020 eingefuehrt wurden. Die Plattform pflegt auditbereite Einwilligungsnachweise mit Zeitstempeln und Belegen.

Adressiert: Einwilligungspflicht, Benachrichtigung, Rechenschaftspflicht

Datenschutz-Folgenabschaetzungen

Fuehren Sie strukturierte Datenschutz-Folgenabschaetzungen fuer neue Datenverarbeitungstaetigkeiten durch. Die Plattform leitet Sie durch Risikoidentifikation, Auswahl von Schutzmassnahmen und Dokumentation, die angemessene Sicherheitsvorkehrungen belegt.

Adressiert: Schutzpflicht, Rechenschaftspflicht

Workflows zur Meldung von Datenschutzverletzungen

Verwalten Sie die obligatorische 3-Tage-Meldefrist mit strukturierten Vorfallworkflows. Die Plattform verfolgt die Verletzungsbewertung, PDPC-Meldungseinreichung und Kommunikation mit betroffenen Personen gemaess den Aenderungen von 2020.

Adressiert: Pflicht zur Meldung von Datenschutzverletzungen

Portal fuer Betroffenenrechte

Bearbeiten Sie Zugangs- und Berichtigungsantraege mit Workflows, die die Antwortfristen der PDPC durchsetzen. Die Plattform verfolgt Antraege, verwaltet Berechnungen angemessener Gebuehren und pflegt Aufzeichnungen ueber Antworten fuer Auditzwecke.

Adressiert: Zugangs- und Berichtigungspflicht, Rechenschaftspflicht

Bewertungen grenzueberschreitender Uebermittlungen

Bewerten Sie grenzueberschreitende Datenuebermittlungen mit strukturierten Risikobewertungen und Verfolgung vertraglicher Schutzmassnahmen. Die Plattform dokumentiert Uebermittlungsmechanismen und stellt die Einhaltung der PDPA-Uebermittlungsbegrenzungspflicht sicher.

Adressiert: Uebermittlungsbegrenzungspflicht, Rechenschaftspflicht

Alle Aktivitaeten werden mit Zeitstempeln, zugewiesenen Datenschutzbeauftragten und Genehmigungsworkflows verfolgt. Dieser Pruefpfad demonstriert systematische PDPA-Compliance gegenueber PDPC-Ermittlern.

Vollstaendige Abdeckung der PDPA-Pflichten

VerifyWise bietet dedizierte Werkzeuge fuer alle 11 Datenschutzpflichten

PDPA-Pflichten

Compliance-Kontrollen mit dedizierten Werkzeugen

100%

Abdeckung aller Pflichten

Einwilligung8/8

Einwilligungserfassung, Widerruf, stillschweigende Einwilligung

Zweckbindung5/5

Nutzungsbeschraenkung auf identifizierte Zwecke

Benachrichtigung6/6

Datenschutzhinweise und Transparenz

Zugang & Berichtigung7/7

Verwaltung von Betroffenenrechten

Richtigkeit4/4

Datenqualitaet und -richtigkeit

Schutz9/9

Sicherheitsmassnahmen

Aufbewahrungsbegrenzung5/5

Aufbewahrungsfristen und Loeschung

Uebermittlungsbegrenzung6/6

Grenzueberschreitende Uebermittlungen

Offenheit4/4

DSB und Richtlinienverfuegbarkeit

Datenschutzverletzung8/8

Meldung von Verletzungen innerhalb von 3 Tagen

Rechenschaftspflicht7/7

DSB, Richtlinien, Compliance-Rahmen

Von Grund auf fuer Singapurs PDPA entwickelt

3-Tage-Verletzungsmeldung

Automatisierte Workflows fuer die obligatorische PDPC-Meldefrist

AI Governance Framework

Ausrichtung an Model AI Governance Framework und AI Verify

DNC Registry-Integration

Do Not Call-Compliance-Tracking und Nachweise

Multi-Framework-Zuordnung

Zuordnung zu DSGVO und ISO 27701-Anforderungen

11 Datenschutzpflichten

PDPA etabliert umfassende Pflichten fuer die Verwaltung personenbezogener Daten

Einwilligungspflicht

Gueltige Einwilligung einholen, bevor personenbezogene Daten erhoben, verwendet oder offengelegt werden, mit klaren Ausnahmen.

Einwilligung muss freiwillig, informiert und zweckspezifisch sein
Mechanismus zum Widerruf der Einwilligung erforderlich
Bestimmungen zur stillschweigenden Einwilligung (Aenderung 2020)
Ausnahmen bei berechtigtem Interesse, sofern anwendbar
Dokumentation der Einwilligungserfassungsmethode

Zweckbindung

Personenbezogene Daten nur fuer Zwecke erheben, verwenden und offenlegen, die unter den gegebenen Umstaenden als angemessen gelten.

Zweck vor der Erhebung identifizieren und dokumentieren
Zweck muss fuer eine vernuenftige Person angemessen erscheinen
Keine Nutzung oder Offenlegung ueber den urspruenglichen Zweck hinaus ohne neue Einwilligung
Zweckangabe in Datenschutzhinweisen
Zweckbindung in Datenverarbeitungsvereinbarungen

Benachrichtigungspflicht

Betroffene ueber die Zwecke der Datenerhebung, -verwendung und -offenlegung informieren.

Datenschutzhinweis vor oder zum Zeitpunkt der Erhebung
Benachrichtigung ueber Zwecke in klarer Sprache
Geschaeftliche Kontaktinformationen bereitstellen
Mitteilung, ob die Erhebung obligatorisch ist
Aktualisierung der Datenschutzhinweise bei Zweckaenderungen

Zugang & Berichtigung

Betroffenen Zugang zu ihren personenbezogenen Daten gewaehren und die Berichtigung ungenauer Daten ermoeglichen.

Beantwortung von Zugangsantraegen innerhalb von 30 Tagen
Daten in verstaendlicher Form bereitstellen
Berichtigung ungenauer oder unvollstaendiger Daten ermoeglichen
Angemessene Gebuehren fuer Zugangsantraege moeglich
Begrenzte Ausnahmen fuer die Verweigerung des Zugangs

Richtigkeitspflicht

Sicherstellen, dass personenbezogene Daten richtig und vollstaendig sind, wenn sie fuer Entscheidungen verwendet oder an andere weitergegeben werden.

Verfahren zur Richtigkeitspruefung
Berichtigungsverfahren bei festgestellten Ungenauigkeiten
Periodische Datenqualitaetspruefungen
Quellenpruefung fuer kritische Daten
Aktualisierungsverfahren fuer veraltete Daten

Schutzpflicht

Personenbezogene Daten mit angemessenen Sicherheitsvorkehrungen schuetzen, um unbefugten Zugang, Erhebung, Verwendung, Offenlegung, Kopieren, Aenderung oder Entsorgung zu verhindern.

Risikobasierte Sicherheitsmassnahmen entsprechend dem Schadenspotenzial
Technische und organisatorische Schutzmassnahmen
Zugriffskontrollen und Authentifizierung
Verschluesselung sensibler Daten bei Uebertragung und Speicherung
Sicherheitstests und Schwachstellenmanagement

Aufbewahrungsbegrenzung

Aufbewahrung personenbezogener Daten einstellen, wenn die Zwecke nicht mehr erfuellt werden und die Aufbewahrung nicht gesetzlich vorgeschrieben ist.

Aufbewahrungsfristen fuer verschiedene Datenkategorien
Dokumentierte geschaeftliche oder gesetzliche Aufbewahrungsanforderungen
Sichere Loeschungs- oder Anonymisierungsverfahren
Periodische Ueberpruefung aufbewahrter Daten
Entsorgungsprotokolle zur Rechenschaftspflicht

Uebermittlungsbegrenzung

Personenbezogene Daten nur dann ausserhalb Singapurs uebermitteln, wenn die empfangende Rechtsordnung vergleichbaren Schutz bietet oder angemessene vertragliche Schutzmassnahmen bestehen.

Bewertung des Datenschutzrechts der empfangenden Rechtsordnung
Vertragliche Schutzmassnahmen (BCRs, Standardvertragsklauseln)
Uebermittlungs-Folgenabschaetzungen fuer risikoreiche Uebermittlungen
Individuelle Einwilligung fuer Uebermittlungen ohne Schutzmassnahmen
Dokumentation der Uebermittlungsmechanismen

Offenheitspflicht

Richtlinien und Praktiken fuer die Verwaltung personenbezogener Daten entwickeln und implementieren sowie Informationen darueber verfuegbar machen.

Dokumentierte Datenschutzrichtlinien und -verfahren
Benannter Datenschutzbeauftragter (DSB) als Kontakt
Oeffentlich verfuegbare Datenschutzrichtlinie
Mitarbeiterschulung zum Datenschutz
Regelmaessige Richtlinienueberpruefung und -aktualisierung

Meldung von Datenschutzverletzungen

PDPC innerhalb von 3 Kalendertagen nach Bewertung einer meldepflichtigen Datenschutzverletzung benachrichtigen. Betroffene benachrichtigen, wenn die Verletzung voraussichtlich erheblichen Schaden oder Auswirkungen verursacht.

Verfahren zur Erkennung und Bewertung von Verletzungen
PDPC-Meldung innerhalb von 3 Kalendertagen (Aenderung 2020)
Benachrichtigung Betroffener bei voraussichtlich erheblichem Schaden
Verletzungsregister und Vorfallsdokumentation
Nachpruefung und Nachverfolgung von Abhilfemassnahmen

Rechenschaftspflicht

PDPA-Pflichten einhalten und die Einhaltung gegenueber der PDPC nachweisen koennen.

Datenschutz-Managementprogramm
Benannter Datenschutzbeauftragter (DSB)
Compliance-Ueberwachungs- und Auditprozesse
Mitarbeiterschulungs- und Sensibilisierungsprogramme
Compliance-Nachweise (Richtlinien, Protokolle, Bewertungen, Aufzeichnungen)

Singapurs KI-Governance-Rahmen

Freiwillige aber einflussreiche Rahmenwerke fuer den verantwortungsvollen KI-Einsatz

Governance-Rahmen

Model AI Governance Framework

Singapurs freiwilliger Rahmen fuer den verantwortungsvollen Einsatz von KI

Schluesselkomponenten

Interne Governance-Strukturen und -Massnahmen
Menschliche Beteiligung an KI-gestuetzter Entscheidungsfindung
Betriebsmanagement fuer KI-Systeme
Stakeholder-Interaktion und Kommunikation

Anwendbarkeit: Freiwillig, aber zunehmend von Regulierungsbehoerden und Kunden erwartet

Rahmenwerk ansehen

Technische Tests

AI Verify Testing Framework

Technisches Testtoolkit fuer die Validierung von KI-Systemen

Schluesselkomponenten

Transparenztests fuer Erklaerbarkeit
Fairness- und Verzerrungserkennung
Robustheits- und Sicherheitsvalidierung
Sicherheits- und Leistungstests

Anwendbarkeit: Technisches Validierungswerkzeug fuer das Model AI Governance Framework

Rahmenwerk ansehen

Profi-Tipp: Obwohl Singapurs Model AI Governance Framework freiwillig ist, demonstriert seine Implementierung verantwortungsvolle KI-Praktiken gegenueber Regulierungsbehoerden, Kunden und Stakeholdern. Kombinieren Sie es mit PDPA-Compliance fuer umfassenden KI-Datenschutz.

KI-Governance-Richtlinien erkunden

Do Not Call Registry

Singapurs Opt-out-Register fuer Marketingkommunikation

Was Sie wissen muessen

Das Do Not Call (DNC) Registry ermoeglicht es Einzelpersonen, sich von Marketing-Telefonanrufen, SMS, Fax und MMS abzumelden. Vor dem Versand von Marketingnachrichten ueber diese Kanaele muessen Organisationen das DNC Registry pruefen (gueltig fuer 30 Tage) und einen Nachweis der Pruefung aufbewahren.

Was es ist

Singapurs Do Not Call Registry ermoeglicht es Einzelpersonen, sich von Marketingnachrichten abzumelden

Abgedeckte Kanaele

Telefonanrufe, SMS, Fax, MMS (ohne E-Mails und physische Post)

Vor der Kontaktaufnahme

DNC Registry pruefen und Nachweis der Pruefung aufbewahren (30-Tage-Gueltigkeit)

Ausnahmen

Bestehende Kundenbeziehungen, begrenzte Szenarien stillschweigender Einwilligung

Strafen

Bis zu SGD 10.000 pro Verstoss

DNC-Compliance-Checkliste

DNC Registry pruefen
Vor jeder Marketingkampagne ueber abgedeckte Kanaele
Nachweise aufbewahren
Aufzeichnungen der DNC-Pruefungen 3 Jahre aufbewahren
Opt-outs respektieren
Marketing einstellen, wenn Nummer im DNC Registry steht
Ausnahmen validieren
Bestehende Beziehungen oder eindeutige Einwilligung dokumentieren

24-Wochen-Umsetzungs-Roadmap

Ein praktischer Weg zur PDPA-Compliance mit klaren Meilensteinen

Phase 1Wochen 1-4

Grundlagen & Lueckenanalyse

Datenschutzbeauftragten (DSB) benennen
Bestandsaufnahme personenbezogener Daten durchfuehren
Datenfluesse und Verarbeitungstaetigkeiten abbilden
Lueckenanalyse gegenueber den 11 Pflichten

Phase 2Wochen 5-10

Richtlinien- & Governance-Rahmen

PDPA-konforme Datenschutzrichtlinien entwickeln
Verfahren zur Einwilligungserfassung etablieren
Prozesse fuer Betroffenenrechte erstellen
Basis-Sicherheitsmassnahmen implementieren

Phase 3Wochen 11-18

Operative Umsetzung

Workflows zur Meldung von Datenschutzverletzungen bereitstellen
Aufbewahrungs- und Loeschungsplaene implementieren
Bewertungen grenzueberschreitender Uebermittlungen etablieren
Personal zu PDPA-Anforderungen schulen

Phase 4Wochen 19-24

Ueberwachung & kontinuierliche Compliance

Compliance-Ueberwachungsprozesse aktivieren
Interne PDPA-Audits durchfuehren
Uebungen zur Vorfallreaktion etablieren
Zyklus der kontinuierlichen Verbesserung erstellen

Strafen und Durchsetzung

Verstaendnis der Durchsetzungsbefugnisse und des Strafrahmens der PDPC

Geldstrafen (Aenderungen 2020)

Bis zu SGD 1 Million an Geldstrafen, ODER
Bis zu 10% des jaehrlichen Singapur-Umsatzes (je nachdem, welcher Betrag hoeher ist)
Erhebliche Erhoehung gegenueber der vorherigen SGD 1 Million-Obergrenze
PDPC beruecksichtigt Organisationsgroesse, verursachten Schaden, Compliance-Historie

Strafrechtliche Sanktionen

Wissentliche oder fahrlaessige unbefugte Offenlegung: bis zu SGD 5.000 Geldstrafe
Unsachgemaesse Verwendung personenbezogener Daten: bis zu SGD 5.000 oder 2 Jahre Freiheitsstrafe
Behinderung einer PDPC-Untersuchung: zusaetzliche Strafen
Geschaeftsfuehrer und leitende Angestellte koennen persoenlich haftbar gemacht werden

Durchsetzungsansatz

PDPC veroeffentlicht Durchsetzungsentscheidungen oeffentlich
Reputationsschaden durch oeffentliche Durchsetzungsbescheide
Obligatorische Compliance-Anweisungen und Abhilfeanordnungen
Nachfolge-Audits bei erheblichen Verletzungen

Aktuelle Durchsetzungstrends

Hoehere Strafen seit 2020
Geldstrafen erreichen jetzt Millionenbetraege bei schwerwiegenden Verletzungen
Oeffentliche Durchsetzungsentscheidungen
PDPC veroeffentlicht detaillierte Fallstudien, die Reputationsschaden verursachen
Fokus auf Rechenschaftspflicht
Ungenugende Richtlinien und DSB-Aufsicht haeufig beanstandet

Faktoren bei der Strafbemessung

Organisationsgroesse & Umsatz

Groessere Organisationen sehen sich hoeheren Strafen gegenueber

Verursachter Schaden

Anzahl betroffener Personen und Schwere der Auswirkungen

Compliance-Historie

Wiederholte Verstoesse fuehren zu hoeheren Strafen

Kooperation mit PDPC

Selbstanzeige und Abhilfemassnahmen werden beruecksichtigt

Richtlinienvorlagen

PDPA-konforme Richtliniensammlung

Zugang zu 37 einsatzbereiten Richtlinien, abgestimmt auf PDPA-Pflichten, DSGVO und Singapurs Model AI Governance Framework

Kern-PDPA-Richtlinien

• Datenschutzrichtlinie (Benachrichtigung)
• Einwilligungsmanagement-Richtlinie
• Richtlinie fuer Betroffenenrechte
• Datenschutzrichtlinie
• Datenaufbewahrung & Entsorgung
• Richtlinie fuer grenzueberschreitende Uebermittlung
+ 6 weitere Richtlinien

Vorfall & Verletzung

• Meldung von Datenschutzverletzungen
• Verfahren zur Verletzungsbewertung
• Vorfallreaktionsplan
• PDPC-Melde-Workflow
• Benachrichtigung Betroffener
• Abhilfemassnahmen nach Verletzung
+ 4 weitere Richtlinien

KI-Governance

• KI-Governance-Rahmen
• Algorithmische Transparenz
• KI-Folgenabschaetzung
• Human-in-the-Loop-Richtlinie
• Erklaerbarkeitsstandards
• KI-Fairness & Verzerrung
+ 5 weitere Richtlinien

Alle Richtlinienvorlagen durchsuchen

Haeufig gestellte Fragen

Haeufige Fragen zur PDPA-Compliance

Wenn Ihre Organisation eine privatwirtschaftliche Einrichtung ist, die personenbezogene Daten in Singapur erhebt, verwendet oder offenlegt, gilt PDPA. Dies umfasst Einzelunternehmen, Personengesellschaften, Kapitalgesellschaften und auslaendische Einrichtungen mit Niederlassungen in Singapur. Oeffentliche Behoerden unterliegen separater Gesetzgebung, folgen aber aehnlichen Grundsaetzen. Weitere Details zur Anwendbarkeit finden Sie in der Uebersicht der PDPC.

Die Aenderungen von 2020 (in Kraft seit 1. Februar 2021) fuehrten die obligatorische Meldung von Datenschutzverletzungen innerhalb von 3 Kalendertagen an die PDPC ein, erweiterte Ausnahmen bei berechtigtem Interesse zur Einwilligung, Bestimmungen zur stillschweigenden Einwilligung, erhoehte Geldstrafen von bis zu 10% des Jahresumsatzes und strengere Rechenschaftsanforderungen. Organisationen muessen Richtlinien und Verfahren aktualisieren, um diese Aenderungen zu beruecksichtigen.

Wenn eine meldepflichtige Datenschutzverletzung eintritt (unbefugter Zugang, Verwendung, Offenlegung, Verlust oder Aenderung, die voraussichtlich erheblichen Schaden verursacht), haben Sie 3 Kalendertage ab der Bewertung, um die PDPC zu benachrichtigen. Sie muessen auch betroffene Personen benachrichtigen, wenn die Verletzung voraussichtlich erheblichen Schaden oder erhebliche Auswirkungen verursacht (groessangelegte Verletzung). Die Plattform hilft bei der Verfolgung der Bewertungszeitlinie und verwaltet Meldungsworkflows.

PDPA verlangt von Organisationen, mindestens eine Person zu benennen, die fuer die Sicherstellung der Compliance verantwortlich ist. Obwohl es nicht obligatorisch ist, diese Person 'DSB' zu nennen, ist dies empfohlen. Die Kontaktinformationen des DSB muessen oeffentlich zugaenglich gemacht werden. Bei kleineren Organisationen kann ein bestehender Mitarbeiter diese Aufgabe neben anderen Pflichten uebernehmen.

Die Aenderungen von 2020 fuehrten Bestimmungen zur 'stillschweigenden Einwilligung' ein, bei denen die Einwilligung in bestimmten Szenarien ohne ausdrueckliches Opt-in angenommen werden kann, wie z.B. bei vertraglicher Notwendigkeit oder berechtigten Interessen. Organisationen muessen Betroffenen dennoch angemessene Benachrichtigung und Gelegenheit zum Widerspruch bieten. Dies ist begrenzter als die Rechtsgrundlage der berechtigten Interessen unter der DSGVO, bietet aber notwendige Flexibilitaet.

PDPA und DSGVO teilen aehnliche Grundsaetze, unterscheiden sich aber in Details. PDPA verfolgt einen einwilligungsbasierten Ansatz mit begrenzten Ausnahmen bei berechtigtem Interesse, waehrend die DSGVO sechs Rechtsgrundlagen einschliesslich breiterer berechtigter Interessen kennt. Die Einwilligungsanforderungen von PDPA sind in mancher Hinsicht strenger, in anderer flexibler. Organisationen, die in beiden Rechtsordnungen taetig sind, halten sich oft an die strengere Anforderung.

Singapur hat ein freiwilliges Model AI Governance Framework veroeffentlicht, das PDPA ergaenzt. Obwohl freiwillig, wird es zunehmend von Regulierungsbehoerden und Kunden erwartet. Es umfasst interne Governance, menschliche Aufsicht, Betriebsmanagement und Stakeholder-Kommunikation fuer KI-Systeme. VerifyWise hilft bei der gemeinsamen Implementierung von PDPA- und KI-Governance-Anforderungen.

Ja, aber nur wenn die empfangende Rechtsordnung vergleichbaren Schutz bietet ODER Sie angemessene vertragliche Schutzmassnahmen implementieren (wie Standardvertragsklauseln oder Binding Corporate Rules). Sie muessen bewerten, ob die Uebermittlung sensible Daten betrifft, das Datenschutzrecht der Rechtsordnung pruefen und Uebermittlungs-Folgenabschaetzungen fuer risikoreiche Uebermittlungen durchfuehren. Die PDPC bietet Leitlinien zu akzeptablen Uebermittlungsmechanismen.

Seit den Aenderungen von 2020 kann die PDPC Geldstrafen von bis zu SGD 1 Million ODER 10% des jaehrlichen Singapur-Umsatzes verhaengen (je nachdem, welcher Betrag hoeher ist). Strafrechtliche Sanktionen umfassen Geldstrafen bis zu SGD 5.000 und Freiheitsstrafe bis zu 2 Jahren fuer wissentliche oder fahrlaessige Verstoesse. Die PDPC veroeffentlicht auch Durchsetzungsentscheidungen, was erheblichen Reputationsschaden verursacht. Beruecksichtigte Faktoren sind Organisationsgroesse, verursachter Schaden und Compliance-Historie.

Sie muessen auf Zugangsantraege innerhalb von 30 Kalendertagen antworten und die Daten in verstaendlicher Form bereitstellen. Sie koennen eine angemessene Gebuehr zur Kostendeckung erheben. Bei Berichtigungsantraegen muessen Sie ungenaue oder unvollstaendige Daten berichtigen und andere Organisationen benachrichtigen, an die Sie die Daten weitergegeben haben. Begrenzte Ausnahmen bestehen (Rechtsprivileg, unangemessen wiederholte Anfragen). Die Plattform verfolgt diese Fristen und verwaltet Antwortworkflows.

Singapurs DNC Registry ermoeglicht es Einzelpersonen, sich von Marketinganrufen, SMS, Fax und MMS abzumelden (nicht E-Mails oder physische Post). Vor dem Versand von Marketingnachrichten ueber abgedeckte Kanaele muessen Sie das DNC Registry innerhalb von 30 Tagen pruefen und Nachweise aufbewahren. Verstoesse koennen Strafen von bis zu SGD 10.000 pro Verstoss nach sich ziehen. Ausnahmen bestehen fuer bestehende Kundenbeziehungen mit Einwilligung.

KI-Systeme, die personenbezogene Daten verarbeiten, muessen alle PDPA-Pflichten einhalten. Dies umfasst Einwilligung zur Datenerhebung, Zweckbindung, Richtigkeit, Sicherheitsmassnahmen und Rechenschaftspflicht. Singapurs Model AI Governance Framework bietet zusaetzliche freiwillige Leitlinien zu Transparenz, Fairness und menschlicher Aufsicht. Organisationen sollten PDPA-Compliance und KI-Governance gemeinsam implementieren. Siehe unsere EU AI Act-Seite fuer einen Vergleich mit anderen KI-Regulierungen.

Bereit fuer die PDPA-Compliance?

Starten Sie Ihre PDPA-Compliance-Reise mit unseren gefuehrten Bewertungs- und Implementierungswerkzeugen, abgestimmt auf alle 11 Datenschutzpflichten.

PDPA-Bewertung starten Beratung vereinbaren