POPIA: Südafrikas Protection of Personal Information Act

Was ist POPIA? Der südafrikanische POPI Act erklärt

POPIA, auch POPI Act genannt, ist der Protection of Personal Information Act 4 of 2013, das zentrale Datenschutzgesetz Südafrikas. Die wesentlichen Abschnitte traten am 1. Juli 2020 in Kraft, und nach einer einjährigen Übergangsfrist wird das Gesetz seit dem 1. Juli 2021 vom Information Regulator vollständig durchgesetzt. POPIA regelt, wie Organisationen in Südafrika personenbezogene Informationen erheben, nutzen, speichern, weitergeben und löschen, einschließlich Daten, die über Websites, Cookies und Marketing-E-Mails erhoben werden.

Dieser Leitfaden erklärt, für wen POPIA gilt, die acht Bedingungen für eine rechtmäßige Verarbeitung, Einwilligung und Direktmarketing, Cookies, Betroffenenrechte, Information Officers, grenzüberschreitende Übermittlungen, Meldung von Sicherheitsverletzungen, Sanktionen, den Vergleich mit der DSGVO sowie eine praktische Checkliste für Websites.

POPIA auf einen Blick

Für wen gilt POPIA?

POPIA gilt für jede verantwortliche Stelle (Responsible Party), die personenbezogene Informationen verarbeitet und ihren Sitz in Südafrika hat, oder die zwar keinen Sitz in Südafrika hat, aber in Südafrika automatisierte oder nicht automatisierte Mittel zur Verarbeitung einsetzt (es sei denn, diese Mittel dienen nur der Durchleitung von Informationen durch das Land).

POPIA verwendet eigene Begriffe:

• Betroffene Person (Data Subject): die Person, auf die sich die personenbezogenen Informationen beziehen.
• Verantwortliche Stelle (Responsible Party): die öffentliche oder private Stelle oder Person, die über Zweck und Mittel der Verarbeitung entscheidet (der „Verantwortliche“ der DSGVO).
• Operator: eine Person, die personenbezogene Informationen im Auftrag einer verantwortlichen Stelle aufgrund eines Vertrags oder Mandats verarbeitet (der „Auftragsverarbeiter“ der DSGVO).
• Information Officer: die Person, die innerhalb der Organisation für die POPIA-Compliance verantwortlich ist.

Auch juristische Personen sind geschützt

Anders als die DSGVO schützt POPIA neben Einzelpersonen auch juristische Personen wie Gesellschaften und Close Corporations. Eine „Person“ ist im Sinne von POPIA eine natürliche oder juristische Person, sodass auch Informationen über Firmenkunden, Lieferanten und Geschäftskontakte unter das Gesetz fallen können.

Die 8 Bedingungen für eine rechtmäßige Verarbeitung

POPIA beruht auf acht Bedingungen. Eine verantwortliche Stelle muss bei jeder Verarbeitung personenbezogener Informationen alle acht erfüllen.

Rechtsgrundlagen und Einwilligung nach POPIA

Nach Abschnitt 11 von POPIA dürfen personenbezogene Informationen nur verarbeitet werden, wenn eine dieser Grundlagen vorliegt:

• Die betroffene Person (oder bei einem Kind eine zuständige Person) willigt ein.
• Die Verarbeitung ist für den Abschluss oder die Erfüllung eines Vertrags mit der betroffenen Person erforderlich.
• Die Verarbeitung erfüllt eine gesetzliche Pflicht.
• Die Verarbeitung schützt ein berechtigtes Interesse der betroffenen Person.
• Die Verarbeitung ist erforderlich, damit eine öffentliche Stelle eine öffentlich-rechtliche Aufgabe erfüllen kann.
• Die Verarbeitung ist für die berechtigten Interessen der verantwortlichen Stelle oder eines Dritten erforderlich.

POPIA definiert die Einwilligung als „jede freiwillige, konkrete und informierte Willensbekundung, mit der die Erlaubnis zur Verarbeitung personenbezogener Informationen erteilt wird“. Die verantwortliche Stelle trägt die Beweislast für die Einwilligung, und die betroffene Person kann ihre Einwilligung jederzeit widerrufen. Zuverlässige Einwilligungsnachweise sind daher unverzichtbar.

Direktmarketing: Abschnitt 69 verlangt Opt-in

Abschnitt 69 verbietet Direktmarketing per elektronischer Kommunikation (E-Mail, SMS, Fax oder automatische Anrufsysteme), es sei denn, die Person hat eingewilligt oder ist Bestandskunde.

• Bestandskunden: Sie dürfen für eigene ähnliche Produkte oder Dienstleistungen werben, wenn Sie die Kontaktdaten im Rahmen eines Verkaufs erhalten haben und bei der Erhebung sowie in jeder Nachricht eine kostenlose, einfache Widerspruchsmöglichkeit angeboten haben.
• Alle anderen: Sie dürfen nur einmal um Einwilligung bitten, und nur, wenn die Person sie nicht bereits verweigert hat.
• Jede Nachricht muss den Absender nennen und Kontaktdaten enthalten, über die der Empfänger die Zusendung beenden kann.

Die geänderten POPIA-Verordnungen, die seit dem 17. April 2025 gelten, bestätigen, dass ein Opt-out für Direktmarketing per unaufgeforderter elektronischer Kommunikation keine Einwilligung darstellt. Die Einwilligung kann nun in einer Form angefragt werden, die dem vorgeschriebenen Formular 4 im Wesentlichen entspricht, und über weitere Kanäle wie E-Mail, SMS oder Telefon. Telefonische Anfragen müssen aufgezeichnet werden.

Verlangt POPIA eine Cookie-Einwilligung?

POPIA enthält keine cookie-spezifische Regel wie die EU-ePrivacy-Richtlinie. Die Definition personenbezogener Informationen in POPIA umfasst jedoch Online-Kennungen, Standortdaten und andere identifizierende Zuordnungen. Cookies, Geräte-IDs, IP-Adressen und Tracking-Pixel, die einen Besucher identifizieren können, sind daher personenbezogene Informationen. Ihr Setzen ist eine Verarbeitung, die eine Rechtsgrundlage braucht und die acht Bedingungen erfüllen muss.

In der Praxis bedeutet das:

• Unbedingt erforderliche Cookies (Sicherheit, Lastverteilung, Warenkorb) können sich meist auf Vertrag oder berechtigtes Interesse stützen.
• Analyse-, Werbe- und Social-Media-Cookies sind ohne Einwilligung schwer zu rechtfertigen, besonders wenn sie Profile bilden oder Daten an Dritte außerhalb Südafrikas weitergeben.
• Transparenz erfordert einen klaren Cookie-Hinweis, der erklärt, was von wem und warum erhoben wird.
• Die Einwilligung muss nachweisbar sein, Sie brauchen also Aufzeichnungen darüber, wer wann wozu eingewilligt hat.

Ein Cookie-Banner, das nicht notwendige Tags blockiert, bis der Besucher zustimmt, und jede Entscheidung protokolliert, ist der praktikabelste Weg, POPIA beim Website-Tracking einzuhalten.

Betroffenenrechte nach POPIA

Betroffene Personen haben das Recht:

• informiert zu werden, dass ihre personenbezogenen Informationen erhoben werden, und über eine Sicherheitsverletzung informiert zu werden.
• Auskunft über ihre personenbezogenen Informationen zu verlangen.
• die Berichtigung, Vernichtung oder Löschung ihrer personenbezogenen Informationen zu verlangen.
• der Verarbeitung aus berechtigten Gründen sowie der Verarbeitung für Direktmarketing zu widersprechen.
• kein unaufgefordertes elektronisches Direktmarketing ohne Einwilligung zu erhalten.
• keinen Entscheidungen unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder erhebliche Wirkungen haben.
• Beschwerde beim Information Regulator einzureichen.
• zivilrechtlich auf Schadensersatz zu klagen.

Ein Datenschutzportal zur Selbstbedienung und ein klarer DSAR-Prozess erleichtern es, diese Anfragen entgegenzunehmen, zu prüfen und fristgerecht zu beantworten.

Registrierung des Information Officer

Jede Organisation hat einen Information Officer. Bei einem privaten Unternehmen ist dies standardmäßig die Leitung der Organisation, etwa der CEO, der Aufgaben an einen oder mehrere Deputy Information Officers delegieren kann. Nach Abschnitt 55(2) müssen Information Officers beim Information Regulator registriert sein, bevor sie ihre Aufgaben übernehmen. Die Registrierung erfolgt über das eServices-Portal der Behörde.

Der Information Officer fördert die Einhaltung der Vorschriften, bearbeitet Anfragen Betroffener, arbeitet bei Untersuchungen mit der Behörde zusammen und entwickelt ein Compliance-Rahmenwerk und ein PAIA-Handbuch. Die Rolle ähnelt in ihrer Funktion der des Datenschutzbeauftragten (DPO) nach der DSGVO.

Grenzüberschreitende Übermittlungen (Abschnitt 72)

Eine verantwortliche Stelle darf personenbezogene Informationen nur dann an einen Dritten im Ausland übermitteln, wenn:

• der Empfänger einem Gesetz, verbindlichen Unternehmensregeln oder einer verbindlichen Vereinbarung unterliegt, die ein angemessenes, im Wesentlichen mit den POPIA-Bedingungen vergleichbares Schutzniveau bieten;
• die betroffene Person der Übermittlung zustimmt;
• die Übermittlung zur Erfüllung eines Vertrags mit der betroffenen Person oder für vorvertragliche Maßnahmen auf deren Wunsch erforderlich ist;
• die Übermittlung für einen im Interesse der betroffenen Person mit einem Dritten geschlossenen Vertrag erforderlich ist; oder
• die Übermittlung der betroffenen Person zugutekommt, die Einholung einer Einwilligung nicht zumutbar ist und die Person voraussichtlich einwilligen würde.

Websites, die im Ausland gehostete Analyse-, Werbe- oder Chat-Tools laden, übermitteln personenbezogene Informationen aus Südafrika heraus. Diese Regeln betreffen also jedes Drittanbieter-Skript auf Ihrer Website.

Meldung von Sicherheitsverletzungen (Abschnitt 22)

Bestehen hinreichende Gründe zur Annahme, dass eine unbefugte Person auf personenbezogene Informationen zugegriffen oder diese erlangt hat, muss die verantwortliche Stelle den Information Regulator und die betroffenen Personen so schnell wie vernünftigerweise möglich benachrichtigen. Operators müssen die verantwortliche Stelle unverzüglich informieren.

Seit April 2025 verlangt der Information Regulator, dass Sicherheitsverletzungen über sein eServices-Portal gemeldet werden. Meldungen per E-Mail werden nicht mehr angenommen. Anders als die DSGVO kennt POPIA keine feste 72-Stunden-Frist und keine Risikoschwelle: Jede Verletzung muss gemeldet werden.

Die geänderten POPIA-Verordnungen 2025

Der Information Regulator hat Änderungen der POPIA-Verordnungen veröffentlicht, die seit dem 17. April 2025 gelten. Wichtige Änderungen:

• Ein Opt-out ist keine Einwilligung für elektronisches Direktmarketing.
• Die Einwilligung in Direktmarketing kann in einer Form angefragt werden, die Formular 4 im Wesentlichen entspricht, und über mehr Kanäle.
• Mehr Möglichkeiten für Betroffene, zu widersprechen, Berichtigungen zu verlangen und Beschwerden einzureichen, sowie ein erweiterter Kreis von Beschwerdeberechtigten.
• Ein vereinfachtes Beschwerdeverfahren.

POPIA-Sanktionen

POPIA wird durch strafrechtliche Sanktionen, Verwaltungsbußgelder und zivilrechtliche Ansprüche durchgesetzt:

Die Behörde kann außerdem Durchsetzungsanordnungen (Enforcement Notices) erlassen, die eine Organisation verpflichten, ihre Verarbeitung einzustellen oder zu ändern. Der Reputationsschaden durch eine öffentliche Anordnung kann teurer sein als das Bußgeld selbst.

POPIA vs. DSGVO

POPIA wurde stark vom EU-Datenschutzrecht beeinflusst. Organisationen, die bereits an der DSGVO-Compliance arbeiten, haben daher einen Vorsprung. Die wichtigsten Unterschiede:

Wie andere Länder im Vergleich abschneiden, zeigt unsere Übersicht über globale Datenschutzgesetze.

POPIA-Checkliste für Websites

1. Registrieren Sie Ihren Information Officer und etwaige Deputy Information Officers im eServices-Portal der Behörde.
2. Erfassen Sie Ihre Daten: Listen Sie jedes Formular, jedes Cookie, jeden Tag und jedes Drittanbieter-Tool auf, das personenbezogene Informationen erhebt.
3. Scannen Sie Ihre Website nach Cookies und Trackern und kategorisieren Sie diese.
4. Setzen Sie ein Cookie-Banner ein, das jeden Zweck erklärt und nicht notwendige Cookies bis zur Einwilligung blockiert.
5. Führen Sie Einwilligungsprotokolle, um nachzuweisen, wer wann wozu eingewilligt hat.
6. Veröffentlichen Sie eine klare Datenschutzerklärung mit den in Abschnitt 18 genannten Informationen sowie eine Cookie-Richtlinie.
7. Nutzen Sie Opt-in-Einwilligungen für E-Mail- und SMS-Marketing und fügen Sie jeder Nachricht einen Abmeldelink hinzu.
8. Prüfen Sie grenzüberschreitende Übermittlungen an Analyse-, Ad-Tech- und Cloud-Anbieter nach Abschnitt 72.
9. Schließen Sie Vereinbarungen mit Operators, die sie zur sicheren Verarbeitung und zur Meldung von Verletzungen verpflichten.
10. Richten Sie einen Prozess für Betroffenenanfragen ein, einschließlich Auskunft, Berichtigung und Löschung.
11. Erstellen Sie einen Notfallplan für Datenpannen, der die Meldung über das eServices-Portal umfasst.
12. Überprüfen Sie regelmäßig, insbesondere wenn Sie neue Tags oder Marketing-Tools hinzufügen.

Wie UniConsent bei der POPIA-Compliance hilft

UniConsent ist eine Consent-Management-Plattform, die den Website-Teil von POPIA in wenige einfache Einstellungen verwandelt:

• Cookie-Banner: ein anpassbares Banner mit Hinweis, das jeden Zweck in klarer Sprache und in mehreren Sprachen erklärt.
• Cookie-Scan: automatische Erkennung und Kategorisierung der Cookies und Tracker auf Ihrer Website.
• Vorabblockierung: Analyse-, Werbe- und Social-Media-Tags bleiben blockiert, bis der Besucher einwilligt.
• Einwilligungsprotokolle: Jede Entscheidung wird mit Zeitstempel gespeichert und dient als Nachweis, falls die Behörde danach fragt.
• Präferenzzentrum: Besucher können ihre Einwilligung jederzeit so einfach ändern oder widerrufen, wie sie sie erteilt haben.
• Datenschutzportal: eine zentrale Stelle für Auskunfts-, Berichtigungs- und Löschanfragen.
• Google Consent Mode v2 und IAB TCF: Einwilligungssignale werden automatisch an Ihre Analyse- und Werbetools weitergegeben.
• Globale Abdeckung: Eine Einrichtung deckt POPIA, die DSGVO und viele weitere Datenschutzgesetze ab, mit Regeln nach Standort des Besuchers.

Starten Sie kostenlos mit UniConsent und machen Sie Ihre Website in wenigen Minuten POPIA-konform.

Dieser Leitfaden dient nur der allgemeinen Information und stellt keine Rechtsberatung dar.