Thailands PDPA: Datenschutzhinweise, AV-Verträge und DSB

Das Personal Data Protection Act B.E. 2562 (2019) gilt für jedes Unternehmen, das in Thailand personenbezogene Daten erhebt oder nutzt, und für ausländische Unternehmen, die Personen in Thailand Waren oder Dienstleistungen anbieten (§ 5). Wir erfassen Ihre Datenflüsse, erstellen Dokumente und richten interne Abläufe ein. Die verbindliche Auslegung liegt bei der PDPC und den Gerichten.

PDPA-Fragen per LINE @THAIL

Schritte zur Umsetzung

Erfassen, welche Daten von wem, wo, an wen und wie lange verarbeitet werden, und ein Verarbeitungsverzeichnis führen (§ 39)
Jeder Verarbeitung eine Rechtsgrundlage zuordnen und sensible Daten mit ausdrücklicher Einwilligung abgrenzen
Datenschutzhinweise für Kunden, Beschäftigte und Bewerber sowie Einwilligungsformulare und eine Cookie-Richtlinie erstellen
Auftragsverarbeitungsverträge mit Dienstleistern wie Lohnabrechnung, Cloud und Marketing schließen
Abläufe für Betroffenenanfragen (§§ 30–36) und einen Notfallplan einrichten, der eine Meldung an die PDPC binnen 72 Stunden ermöglicht
Prüfen, ob ein Datenschutzbeauftragter Pflicht ist, und Mitarbeitende mit Datenzugang schulen

Häufige Fragen

Gilt das Gesetz auch für kleine Unternehmen?

Ja, sobald Daten von Kunden, Beschäftigten oder Partnern erhoben, genutzt oder offengelegt werden. Das Gesetz gilt seit dem 1. Juni 2022 vollständig. Einige Bekanntmachungen der Kommission erleichtern kleinen Unternehmen bestimmte Pflichten, etwa beim Verzeichnis; prüfen Sie, welche für Sie gelten.

Ist immer eine Einwilligung nötig?

Nein. § 24 erlaubt andere Grundlagen wie Vertragserfüllung, gesetzliche Pflicht oder berechtigtes Interesse. Sensible Daten nach § 26, etwa Gesundheit, Religion oder Biometrie, erfordern eine ausdrückliche Einwilligung, sofern keine gesetzliche Ausnahme greift.

Wie schnell muss eine Datenpanne gemeldet werden?

§ 37 Nr. 4 verlangt die Meldung an die PDPC unverzüglich und binnen 72 Stunden nach Kenntnis, es sei denn, ein Risiko für die Rechte Betroffener ist unwahrscheinlich. Bei hohem Risiko sind auch die Betroffenen mit Abhilfemaßnahmen zu informieren.

Brauchen wir einen Datenschutzbeauftragten?

§ 41 verlangt einen, etwa wenn die Kerntätigkeit eine regelmäßige, umfangreiche Überwachung personenbezogener Daten oder die Verarbeitung sensibler Daten ist, oder für per Bekanntmachung bestimmte Behörden. Andere können freiwillig einen benennen.

Dürfen Daten an die Muttergesellschaft oder eine ausländische Cloud gehen?

Ja, nach §§ 28–29, etwa wenn das Zielland laut Bekanntmachung ein angemessenes Schutzniveau hat, geprüfte konzerninterne Regeln bestehen oder geeignete Garantien wie Standardvertragsklauseln nach den Bekanntmachungen der Kommission vorliegen.

Welche Sanktionen drohen?

Zivilrechtliche Haftung (Gerichte können Strafschadensersatz bis zum Doppelten des tatsächlichen Schadens zusprechen), in einigen Fällen Strafen und Verwaltungsbußgelder nach § 90 von bis zu 5 Millionen Baht, je nach Verstoß.