Wir sind seit drei Jahren von Riad aus im Bereich Großküchentechnik und technischer Kundendienst tätig. In unserem System liegen Daten von rund 12.000 Kunden aus ganz Saudi-Arabien: Firmenname, Handelsregisternummer, Handynummer, Standort und Rechnungshistorie. Bisher lief das alles über cloudbasierte Tabellen und eine simple Auftragssoftware; eine ausdrückliche Einwilligung zur Datenverarbeitung haben wir nie eingeholt, die Daten fielen eben im Geschäftsbetrieb an.
Da die Kontrollen und Sanktionen nach dem saudi-arabischen Datenschutzgesetz zuletzt spürbar angezogen haben, sind wir ziemlich nervös. Rein praktisch wissen wir nicht, wie wir diesen Datenberg aus drei Jahren rechtssicher aufstellen und kategorisieren sollen. In unseren Tabellen stehen hunderte Firmen, deren Verträge längst ausgelaufen sind.
Welche konkreten Schritte müssen wir vor einer behördlichen Prüfung unternehmen, um diese Altdaten aus drei Jahren an die saudi-arabischen Vorschriften anzupassen? Wie löscht man Daten nach Ablauf der Aufbewahrungsfrist rechtssicher und wie dokumentiert man die Einwilligungen sauber?