Die EU General Data Protection Regulation (GDPR) und Singapurs Personal Data Protection Act 2012 (PDPA) sind umfassende Datenschutzregelwerke, die regeln, wie Organisationen personenbezogene Daten erheben, nutzen, offenlegen, schützen und aufbewahren. Obwohl beide Regime Grundsätze wie Rechenschaftspflicht, Zweckbindung, Sicherheit, Transparenz und Rechte der betroffenen Personen teilen, sind ihre Compliance-Strukturen unterschiedlich. Die GDPR nutzt ein detailliertes, auf Rechtsgrundlagen und Rechten beruhendes Rahmenwerk, während Singapurs PDPA Einwilligung, fingierte Einwilligung, gesetzliche Ausnahmen und Rechenschaftspflichten auf Organisationsebene kombiniert. Für Organisationen, die in Europa und Singapur tätig sind, kann GDPR-Compliance eine solide Grundlage bilden – sie sollte jedoch nicht mit automatischer PDPA-Compliance gleichgesetzt werden.
Direkter Vergleich: GDPR vs. PDPA
| Dimension | 🇪🇺 GDPR | 🇸🇬 PDPA |
|---|---|---|
| Primäre Rechtsgrundlage | Verordnung (EU) 2016/679 | Personal Data Protection Act 2012 |
| Zuständige Aufsichtsbehörde | Aufsichtsbehörden der EU-Mitgliedstaaten + EDPB | Personal Data Protection Commission (PDPC) |
| Regulierungsmodell | Rechtebasiert und an Rechtsgrundlagen ausgerichtet | Auf Rechenschaftspflicht und Pflichten basierend |
| Rechtmäßige Verarbeitung | Sechs Rechtsgrundlagen nach Artikel 6 | Einwilligung, fingierte Einwilligung und bestimmte Ausnahmen |
| DPO | Unter bestimmten Voraussetzungen verpflichtend | Jede Organisation muss mindestens einen DPO benennen |
| Auskunftsrecht | Ja | Ja |
| Berichtigung | Ja | Ja |
| Löschung | Weitreichendes eigenständiges Recht nach Artikel 17, vorbehaltlich Ausnahmen | Kein eigenständiges Löschungsrecht, das dem der GDPR direkt entspricht |
| Datenübertragbarkeit | Recht nach Artikel 20 | Pflicht gesetzlich vorgesehen, aber noch nicht in Kraft |
| Meldung der Datenschutzverletzung | 72 Stunden, sofern eine Meldung erforderlich ist | Meldepflichtige Verletzungen müssen bewertet und wie vorgeschrieben gemeldet werden |
| Internationale Übermittlungen | Angemessenheit, SCCs, BCRs und weitere Mechanismen nach Kapitel V | Erfordernis eines vergleichbaren Schutzes mit vorgeschriebenen Schutzvorkehrungen |
| Direktmarketing | GDPR + anwendbare ePrivacy-Regeln | PDPA + Do Not Call Registry |
| Öffentlicher Kontakt des DPO | Erforderlich, sofern ein DPO zu benennen ist | Öffentlich zugängliche geschäftliche Kontaktdaten erforderlich |
| Sensible Daten | Besondere Kategorien nach Artikel 9 | Keine gesonderte umfassende Kategorie sensibler Daten |
| Daten von Kindern | Sonderregeln, einschließlich Artikel 8 | Spezifische PDPC-Leitlinien zu personenbezogenen Daten von Kindern |
| Maximales Bußgeld | 20 Mio. € oder 4 % des weltweiten Jahresumsatzes | Bis zu S$1 Mio. oder 10 % des Jahresumsatzes in Singapur bei größeren Organisationen, die die Voraussetzungen erfüllen – je nachdem, welcher Betrag höher ist |
| Zertifizierung | Keine GDPR-weit geltende verpflichtende Zertifizierung | Freiwillige Data Protection Trustmark verfügbar |
Was ist die GDPR?
Die General Data Protection Regulation (GDPR) ist das zentrale Regelwerk der Europäischen Union zum Schutz personenbezogener Daten.
Sie gilt seit dem 25. Mai 2018 und legt Anforderungen für Organisationen fest, die personenbezogene Daten in ihrem Anwendungsbereich verarbeiten.
Die GDPR umfasst:
- Rechtmäßige Verarbeitung
- Transparenz und Datenschutzhinweise
- Rechte der betroffenen Personen
- Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
- Verzeichnis von Verarbeitungstätigkeiten
- Datenschutz-Folgenabschätzungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
- Meldung von Datenschutzverletzungen
- Datenschutzbeauftragte
- Internationale Übermittlungen
- Zusammenarbeit der Aufsichtsbehörden
Die GDPR kann auch für Organisationen außerhalb der EU gelten, wenn die Voraussetzungen ihres räumlichen Anwendungsbereichs erfüllt sind.
Was ist Singapurs PDPA?
Singapurs Personal Data Protection Act 2012 schafft ein Rahmenwerk für die Erhebung, Nutzung, Offenlegung und den Schutz personenbezogener Daten durch Organisationen.
Die Personal Data Protection Commission (PDPC) verwaltet den PDPA und setzt ihn durch.
Das Rahmenwerk des PDPA umfasst Pflichten in folgenden Bereichen:
- Rechenschaftspflicht
- Benachrichtigung
- Einwilligung
- Zweckbindung
- Richtigkeit
- Schutz
- Begrenzung der Aufbewahrung
- Übermittlungsbeschränkung
- Auskunft und Berichtigung
- Meldung von Datenschutzverletzungen
- Datenübertragbarkeit, sobald die einschlägigen Bestimmungen in Kraft treten
Der PDPA gilt zudem neben Singapurs Do-Not-Call-Registry-Regime für bestimmte Marketingkommunikation.
GDPR vs. PDPA: Unterschiedliche Compliance-Philosophien
Einer der größten Unterschiede liegt darin, wie die beiden Gesetze Compliance strukturieren.
GDPR
Die GDPR verlangt von Organisationen, eine anwendbare Rechtsgrundlage für die Verarbeitung nach Artikel 6 zu bestimmen.
Dazu gehören:
- Einwilligung
- Vertrag
- Rechtliche Verpflichtung
- Lebenswichtige Interessen
- Öffentliche Aufgabe
- Berechtigte Interessen
Für die Verarbeitung besonderer Kategorien personenbezogener Daten gelten zusätzliche Anforderungen.
Singapur PDPA
Der PDPA legt großen Wert auf die Rechenschaftspflicht der Organisation und auf angemessene Zwecke für die Erhebung, Nutzung und Offenlegung personenbezogener Daten.
Die Einwilligung bleibt ein wichtiger Mechanismus, Singapurs Rahmenwerk sieht jedoch außerdem vor:
- Fingierte Einwilligung
- Fingierte Einwilligung aufgrund vertraglicher Notwendigkeit
- Fingierte Einwilligung durch Benachrichtigung
- Berechtigte Interessen
- Geschäftsverbesserung und weitere gesetzliche Ausnahmen
- Weitere vorgeschriebene Ausnahmen
Organisationen sollten daher nicht versuchen, Artikel 6 GDPR und den PDPA Singapurs eins zu eins aufeinander abzubilden.
GDPR vs. PDPA: Rechenschaftspflicht und Governance
Beide Regelwerke erwarten von Organisationen, Datenschutz-Governance in ihre Abläufe zu integrieren.
GDPR
Je nach Organisation und Verarbeitungstätigkeiten kann die GDPR Folgendes verlangen:
- Datenschutzbeauftragter
- Verzeichnis von Verarbeitungstätigkeiten
- DPIAs
- Privacy by Design
- Auftragsverarbeitungsverträge
- Verfahren für Datenschutzverletzungen
- Verfahren für Betroffenenanfragen
- Transfer Impact Assessments und Schutzvorkehrungen
Singapur PDPA
Singapur verlangt von Organisationen, ihre Rechenschaftspflicht durch geeignete Richtlinien, Praktiken und Governance nachzuweisen.
Organisationen müssen mindestens einen Datenschutzbeauftragten (DPO) benennen und dessen geschäftliche Kontaktdaten öffentlich zugänglich machen. Die DPO-Funktion kann eine eigene Stelle sein oder mit einer bestehenden Rolle kombiniert werden.
Dies ist ein wichtiger Unterschied zur GDPR, nach der ein DPO nur unter bestimmten Voraussetzungen verpflichtend ist.
Rechte der betroffenen Personen: GDPR vs. PDPA
Beide Regelwerke geben Einzelpersonen Rechte in Bezug auf ihre personenbezogenen Daten, die GDPR bietet jedoch einen breiteren und detaillierteren Rechtekatalog.
Rechte nach der GDPR
Zu den Rechten nach der GDPR gehören:
- Auskunftsrecht
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Einschränkung der Verarbeitung
- Recht auf Datenübertragbarkeit
- Widerspruchsrecht
- Rechte im Zusammenhang mit automatisierter Entscheidungsfindung und Profiling
Singapur PDPA
Der PDPA Singapurs sieht vor:
- Auskunftsrechte
- Berichtigungsrechte
- Rechte auf Informationen über die Nutzung und Offenlegung personenbezogener Daten in den einschlägigen Fällen
Der PDPA enthält außerdem eine Pflicht zur Datenübertragbarkeit (Data Portability Obligation); nach Angaben der PDPC wird diese Pflicht jedoch erst mit Erlass der entsprechenden Vorschriften wirksam. Sie sollte daher derzeit nicht als praktisch wirksames Äquivalent zu Artikel 20 GDPR dargestellt werden.
GDPR vs. PDPA: Meldung von Datenschutzverletzungen
Beide Regime verlangen von Organisationen, geeignete Prozesse für die Reaktion auf Datenschutzverletzungen einzurichten.
GDPR
Ist eine Verletzung des Schutzes personenbezogener Daten meldepflichtig, muss der Verantwortliche sie der zuständigen Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden melden.
Auch die betroffenen Personen sind zu benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat, vorbehaltlich der Ausnahmen der GDPR.
Singapur PDPA
Organisationen müssen prüfen, ob eine Datenschutzverletzung meldepflichtig ist.
Erfüllt eine Verletzung die geltenden Meldevoraussetzungen, muss die Organisation die PDPC und die betroffenen Personen wie vorgeschrieben und so bald wie praktisch möglich benachrichtigen. Die PDPC nennt erheblichen Schaden und erheblichen Umfang als zentrale Kriterien für die Bestimmung der Meldepflichten.
Kernaussage: Praktische Konsequenz: Ein globaler Incident-Response-Prozess kann gemeinsam genutzt werden, der Entscheidungsbaum für Meldungen sollte jedoch jurisdiktionsspezifisch bleiben.
Internationale Datenübermittlungen
Internationale Übermittlungen sind unter der GDPR und dem PDPA Singapurs unterschiedlich geregelt.
GDPR
Kapitel V der GDPR sieht unter anderem folgende Mechanismen vor:
- Angemessenheitsbeschlüsse
- Standardvertragsklauseln
- Verbindliche interne Datenschutzvorschriften (Binding Corporate Rules)
- Genehmigte Verhaltensregeln oder Zertifizierungsmechanismen in den einschlägigen Fällen
- Ausnahmen für bestimmte Fälle
Singapur PDPA
Nach der Pflicht zur Übermittlungsbeschränkung (Transfer Limitation Obligation) des PDPA müssen Organisationen, die personenbezogene Daten aus Singapur ins Ausland übermitteln, sicherstellen, dass die übermittelten Daten ein Schutzniveau erhalten, das dem des PDPA vergleichbar ist, vorbehaltlich der geltenden Anforderungen und Ausnahmen.
Singapurs Vorschriften sehen mehrere Mechanismen zur Erfüllung dieser Anforderungen vor, darunter rechtlich durchsetzbare Verpflichtungen, vertragliche Schutzvorkehrungen, verbindliche interne Datenschutzvorschriften und anerkannte Zertifizierungsmechanismen.
Kernaussage: Ein auf GDPR-SCCs gestütztes Übermittlungsprogramm sollte dennoch anhand der Übermittlungsanforderungen Singapurs geprüft und nicht ohne Weiteres als ausreichend angesehen werden.
GDPR vs. PDPA: Direktmarketing
Direktmarketing ist ein weiterer wichtiger Bereich, in dem sich die Regelwerke unterscheiden.
GDPR
Marketingaktivitäten erfordern nach der GDPR grundsätzlich eine geeignete Rechtsgrundlage; hinzu kommen die anwendbaren nationalen und EU-Vorschriften für die elektronische Kommunikation.
Singapur
Singapur betreibt ein Do Not Call Registry für bestimmte Marketingkommunikation an Telefonnummern in Singapur.
Organisationen, die in Singapur Direktmarketing betreiben, sollten daher beides prüfen:
- Anforderungen des PDPA
- Anwendbare Do-Not-Call-Pflichten
Damit ist eine singapurspezifische Marketing-Compliance auch dann wichtig, wenn eine Organisation bereits ein GDPR-konformes Marketingprogramm betreibt.
GDPR vs. PDPA: Sensible personenbezogene Daten
GDPR
Die GDPR sieht in Artikel 9 eine förmliche Kategorie besonderer Kategorien personenbezogener Daten vor.
Dazu gehören Informationen aus Bereichen wie:
- Gesundheit
- Biometrische Daten unter bestimmten Voraussetzungen
- Genetische Daten
- Rassische oder ethnische Herkunft
- Religiöse oder weltanschauliche Überzeugungen
- Politische Meinungen
- Gewerkschaftszugehörigkeit
- Sexualleben oder sexuelle Orientierung
Singapur PDPA
Singapurs PDPA kennt keine entsprechende umfassende gesetzliche Kategorie „sensibler personenbezogener Daten“.
Stattdessen sollten Organisationen bei der Festlegung geeigneter Schutzvorkehrungen die Art der Informationen, den Zweck der Verarbeitung, die Umstände und das Risikoniveau bewerten.
GDPR vs. PDPA: Daten von Kindern
GDPR
Die GDPR enthält besondere Regeln für Kinder, darunter die Regelung des Artikels 8 zur Einwilligung bei Diensten der Informationsgesellschaft mit einem Regelalter von 16 Jahren, das die Mitgliedstaaten auf bis zu 13 Jahre absenken können.
Singapur PDPA
Singapurs PDPC hat spezifische Leitlinien zu personenbezogenen Daten von Kindern im digitalen Umfeld veröffentlicht.
Nach diesen Leitlinien sollten Organisationen bei Kindern unter 13 Jahren die Einwilligung eines Elternteils oder Erziehungsberechtigten einholen.
Organisationen, die digitale Dienste für Kinder anbieten, sollten daher altersgerechte Prozesse für Datenschutz, Einwilligung und elterliche Kontrolle in ihr Singapur-Programm integrieren.
GDPR vs. PDPA: Sanktionen
Die beiden Regime haben deutlich unterschiedliche Sanktionsstrukturen.
GDPR
Bei bestimmten Verstößen können Bußgelder nach der GDPR folgende Höhe erreichen:
20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Singapur PDPA
Bei einschlägigen Datenschutzverstößen kann die maximale Geldbuße betragen:
S$1 Million oder 10 % des Jahresumsatzes in Singapur, je nachdem, welcher Betrag höher ist, sofern der Jahresumsatz der Organisation in Singapur S$10 Millionen übersteigt.
Die tatsächlich verhängte Sanktion hängt von den Umständen ab, darunter Faktoren wie Art und Schwere des Verstoßes, Schaden, Verschulden und die Reaktion der Organisation.
GDPR vs. PDPA: Datenschutzbeauftragter
In diesem Bereich sind die Anforderungen Singapurs unmittelbarer.
GDPR
Ein DPO ist nur verpflichtend, wenn die Voraussetzungen des Artikels 37 erfüllt sind, etwa bei:
- Verarbeitung durch öffentliche Stellen
- Umfangreicher regelmäßiger und systematischer Überwachung
- Umfangreicher Verarbeitung besonderer Kategorien oder von Daten über Straftaten
Singapur PDPA
Jede Organisation muss mindestens einen DPO benennen und die entsprechenden geschäftlichen Kontaktdaten öffentlich zugänglich machen. Der DPO kann ein Beschäftigter oder eine ordnungsgemäß bestellte externe Person sein, und bestimmte DPO-Aufgaben können ausgelagert werden.
GDPR vs. PDPA: Datenintermediäre und Auftragsverarbeiter
Auch die Terminologie unterscheidet sich.
GDPR
Die GDPR unterscheidet zwischen:
- Verantwortlichen
- Gemeinsam Verantwortlichen
- Auftragsverarbeitern
Auftragsverarbeiter handeln im Auftrag der Verantwortlichen und unterliegen besonderen vertraglichen und gesetzlichen Anforderungen.
Singapur PDPA
Singapur unterscheidet zwischen:
- Organisationen
- Datenintermediären
Ein Datenintermediär (Data Intermediary) verarbeitet personenbezogene Daten im Auftrag einer anderen Organisation und unterliegt anderen gesetzlichen Pflichten als die Organisation, die über die Zwecke und Mittel der Verarbeitung entscheidet.
Organisationen sollten daher die vertraglichen und operativen Verantwortlichkeiten erfassen, statt davon auszugehen, dass „Auftragsverarbeiter“ und „Datenintermediär“ rechtlich austauschbar sind.
Ist Singapurs PDPA strenger als die GDPR?
Keines der beiden Regelwerke lässt sich zutreffend als durchweg strenger bezeichnen.
Die GDPR ist in der Regel detaillierter in Bereichen wie:
- Rechte der betroffenen Personen
- Rechtsgrundlagen
- Datenschutz-Folgenabschätzungen
- Automatisierte Entscheidungsfindung
- Datenschutz durch Technikgestaltung
- Internationale Übermittlungen
Singapurs PDPA enthält eigenständige Anforderungen in den Bereichen:
- Organisationsweite Rechenschaftspflicht
- Verpflichtende Benennung eines DPO
- Mechanismen der Einwilligung und der fingierten Einwilligung
- Vergleichbarer Schutz bei Übermittlungen ins Ausland
- Do-Not-Call-Pflichten
- Singapurspezifische Durchsetzungs- und Meldeanforderungen
Der geeignete Compliance-Ansatz besteht daher darin zu ermitteln, wo die jeweilige Jurisdiktion die höhere oder eine abweichende Anforderung stellt.
Kann ein einziges Datenschutzprogramm GDPR und Singapurs PDPA abdecken?
Ja. Organisationen, die in der EU und in Singapur tätig sind, können ein globales Datenschutzprogramm mit jurisdiktionsspezifischen Kontrollen aufbauen.
Ein gemeinsames Programm kann Folgendes abdecken:
- Dateninventar
- Datenschutz-Governance
- Dienstleistermanagement
- Sicherheitskontrollen
- Datenschutzhinweise
- Management von Betroffenenanfragen
- Reaktion auf Datenschutzverletzungen
- Internationale Übermittlungen
- Mitarbeiterschulungen
- Dokumentation
- Regulatory Monitoring
Jurisdiktionsspezifische Ergänzungen können dann Folgendes abdecken:
GDPR
Rechtsgrundlagen, gegebenenfalls Anforderungen an den EU-Vertreter, DPIAs, Artikel 9, Artikel 22, EU-Übermittlungsmechanismen und GDPR-Rechte.
Singapur PDPA
Benennung eines DPO, Einwilligung/fingierte Einwilligung, DNC-Compliance, Übermittlungsanforderungen Singapurs, Meldung von Datenschutzverletzungen an die PDPC und singapurspezifische Anforderungen an die Rechenschaftspflicht.
Empfohlenes Betriebsmodell
- Eine Datenlandkarte
- Ein Rahmenwerk für Datenschutzkontrollen
- Jurisdiktionsspezifische rechtliche Ergänzungen
- Kontinuierliches Monitoring
Dieser Ansatz schafft Einheitlichkeit, ohne GDPR und PDPA als identische Gesetze zu behandeln.
Häufig gestellte Fragen
Ist Singapurs PDPA der GDPR ähnlich?
Ja. Beide Regelwerke regeln die Erhebung, Nutzung, Offenlegung und den Schutz personenbezogener Daten und enthalten Anforderungen an Rechenschaftspflicht, Sicherheit, Transparenz, Rechte der betroffenen Personen und internationale Übermittlungen. Ihre rechtlichen Strukturen und konkreten Pflichten unterscheiden sich jedoch.
Ist mein Unternehmen automatisch PDPA-konform, wenn es GDPR-konform ist?
Nein. GDPR-Compliance bildet eine nützliche Grundlage, Organisationen sollten jedoch die Anforderungen Singapurs gesondert prüfen, etwa die Benennung eines DPO, DNC-Pflichten, die Übermittlungsanforderungen des PDPA, Einwilligungsmechanismen und Singapurs Rahmenwerk für die Meldung von Datenschutzverletzungen.
Verlangt Singapurs PDPA einen DPO?
Ja. Organisationen müssen mindestens einen DPO benennen und dessen geschäftliche Kontaktdaten öffentlich zugänglich machen.
Kennt Singapurs PDPA ein Recht auf Datenübertragbarkeit?
Der PDPA enthält eine Pflicht zur Datenübertragbarkeit (Data Portability Obligation); nach Angaben der PDPC wird sie jedoch erst mit Erlass der entsprechenden Vorschriften wirksam. Sie sollte daher derzeit nicht als praktisch wirksames Äquivalent zu Artikel 20 GDPR behandelt werden.
Verlangt Singapurs PDPA eine Meldung von Datenschutzverletzungen innerhalb von 72 Stunden?
Der PDPA enthält ein verpflichtendes Rahmenwerk für die Meldung von Datenschutzverletzungen, die Anforderung sollte jedoch nicht auf eine pauschale „72-Stunden-Regel“ reduziert werden. Organisationen müssen prüfen, ob eine Verletzung meldepflichtig ist, und die geltenden Meldeanforderungen einhalten.
Gilt Singapurs PDPA für ausländische Unternehmen?
Singapurs PDPA kann für Organisationen gelten, die in Singapur mit personenbezogenen Daten umgehen, vorbehaltlich des Anwendungsbereichs des Gesetzes und der geltenden Ausnahmen. Organisationen sollten ihre Tätigkeiten und ihre Rolle nach dem PDPA prüfen, statt sich allein auf den Ort ihrer Gründung zu verlassen.
Gibt es in Singapur ein Do Not Call Registry?
Ja. Singapur betreibt ein Do Not Call Registry für bestimmte Marketingkommunikation an Telefonnummern in Singapur. Unternehmen, die Direktmarketing betreiben, sollten die anwendbaren DNC-Anforderungen getrennt von ihrem allgemeinen Datenschutz-Compliance-Programm prüfen.
Wie hoch ist die maximale Sanktion nach dem PDPA?
Bei einschlägigen Datenschutzverstößen kann Organisationen mit einem Jahresumsatz in Singapur von mehr als S$10 Millionen eine maximale Geldbuße von 10 % des Jahresumsatzes in Singapur oder S$1 Million drohen, je nachdem, welcher Betrag höher ist.
Ein Compliance-Programm für GDPR + Singapur PDPA aufbauen
Wer in Europa und Singapur tätig ist, benötigt ein Datenschutzprogramm, das sowohl die gemeinsamen Grundsätze als auch die jurisdiktionsspezifischen Anforderungen berücksichtigt.
RegulatoryBridge unterstützt Organisationen dabei, GDPR, Singapurs PDPA und weitere globale Datenschutzanforderungen zu koordinieren – durch Datenschutz-Compliance, regulatorische Vertretung, Governance und laufendes Regulatory Monitoring.
Ein globales Datenschutzprogramm. Die richtigen Kontrollen für jede Jurisdiktion.
Decken Sie GDPR und PDPA unter einem Programm ab.
Einmal Kontrollen zuordnen, doppelt konform sein. RegulatoryBridge bietet Ihnen eine einzige DSAR-Pipeline, einen einzigen DPO, ein einziges Breach-Runbook – beide Rahmenwerke abgedeckt.