B2B-Besuchererkennung in Saudi-Arabien

Nein. Saudi-Arabien wendet sein eigenes Personal Data Protection Law (PDPL) samt Durchführungsbestimmungen an, beaufsichtigt durch die SDAIA. Die DSGVO kann über ihren extraterritorialen Anwendungsbereich parallel gelten, etwa wenn ein saudisches Unternehmen Personen in der EU Waren oder Dienstleistungen anbietet — im Königreich ist jedoch das PDPL das maßgebliche Recht. Ein europäischer Anbieter sollte seine saudische Dokumentation daher mit PDPL-Sprache und dem Namen SDAIA voranstellen, statt anzunehmen, DSGVO-Materialien übertragen sich automatisch, denn saudische Einkaufsteams fragen häufig zuerst, unter welchem konkreten Gesetz eine Compliance-Aussage steht, bevor sie überhaupt weiterlesen.

Die Übermittlung außerhalb des Königreichs ist im PDPL und seinen Durchführungsbestimmungen ausdrücklich geregelt: Sie nennen zulässige Zwecke, sehen Angemessenheitsfeststellungen und geeignete Garantien wie Standardvertragsklauseln oder verbindliche gemeinsame Regeln vor und verlangen gegebenenfalls eine Risikobewertung. lead.box verarbeitet Besucherdaten in ISO-zertifizierten EU-Rechenzentren, die Übermittlung ist daher in der eigenen Übermittlungsbewertung zu dokumentieren; Auftragsverarbeitungsvertrag und versionierte Subprozessoren-Liste sind dafür veröffentlicht. Behandle die Übermittlungsfrage als ersten Punkt einer saudischen Prüfung statt als Randnotiz, denn genau danach fragt das Rechtsteam eines saudischen Käufers meist zuerst.

Die SDAIA, die Saudi Data and Artificial Intelligence Authority, ist die zuständige Behörde für das PDPL. Sie veröffentlicht Regeln und Leitlinien und betreibt nationale Registrierungs- und Meldemechanismen — deshalb prüfen saudische Käufer häufig anhand einer konkreten Checkliste statt anhand allgemeiner Grundsätze. Anbieter, die auf ein konkretes veröffentlichtes Dokument verweisen können — Auftragsverarbeitungsvertrag, Subprozessoren-Liste, Beschreibung des Verarbeitungsorts — kommen durch SDAIA-orientierte Einkaufsprüfungen in der Regel schneller als Anbieter, die nur eine allgemeine Compliance-Aussage ohne Belege liefern.

Sehr wenige. Die Erkennung löst die Organisation hinter einem Besuch auf — Firmenname, Branche, gesehene Seiten, Zeitpunkt — und erzeugt keine Namen, E-Mail-Adressen oder Telefonnummern einzelner Besucher. Jeder Besucher kann über die öffentliche Opt-out-Seite widersprechen, Unternehmen können ein Opt-out auf Firmenebene anfragen. Weil sensible Daten von mehreren alternativen Rechtsgrundlagen des PDPL ausgeschlossen sind, hält die Beschränkung auf Fakten auf Organisationsebene eine saudische Bewertung ebenfalls einfach, statt die strengeren Pflichten für sensible Datenkategorien auszulösen.

Die Communications, Space and Technology Commission, CST, reguliert Telekombetreiber, Frequenzen und bestimmte digitale Dienste im Königreich, eine gewöhnliche Firmenwebsite mit einem First-Party-Erkennungs-Snippet ist jedoch keine lizenzpflichtige Telekomaktivität. Entscheidend bleibt Transparenz: Saudische Leitlinien zu elektronischen Transaktionen und Verbraucherschutz erwarten eine korrekte Beschreibung eingesetzter Tracking-Technologie, und dass der Identifier von lead.box ein funktionaler First-Party-Tag ist und kein Werbe-Cookie oder Device-Fingerprint, hält diese Angabe einfach. Das klar in der Datenschutzerklärung der Seite zu formulieren, reicht bei einer saudischen Anbieterprüfung für diesen Punkt in der Regel aus.

Der saudische B2B-Einkauf, besonders bei staatsnahen Einheiten und größeren Gruppen, prüft üblicherweise die Commercial Registration (CR)-Nummer der Gegenpartei und, wo relevant, Saudisierungs- und weitere behördliche Registrierungen neben den Datenschutzunterlagen. Die Rechtsprüfung verläuft formal und mehrstufig: Erwarte vor Vertragsunterschrift eine Anfrage nach dem PDPL-konformen Auftragsverarbeitungsvertrag, der Subprozessoren-Liste und einer schriftlichen Antwort zur Drittlandübermittlung, teils zweisprachig oder auf Arabisch bei Einheiten, die über staatliche Beschaffungsplattformen arbeiten. Diese Dokumente vorab bereitzuhalten statt auf Anfrage zu erstellen, verkürzt den Prüfzyklus spürbar.

Das PDPL selbst schreibt keine pauschale Speicherung im Königreich vor, aber Saudi-Arabien hat eine ausgeprägte parallele Lokalisierungskultur über Sektorregeln — insbesondere im Bankwesen unter der SAMA, im Gesundheitswesen und in der behördlichen Cloud-Politik —, die unabhängig davon, was das allgemeine PDPL erlaubt, In-Country-Hosting verlangen kann. Ein gewöhnlicher gewerblicher Käufer akzeptiert meist die Verarbeitung in ISO-zertifizierten EU-Rechenzentren im Rahmen einer dokumentierten Übermittlungsbewertung; eine regulierte Finanz-, Gesundheits- oder Regierungsgegenpartei kann interne Residenzanforderungen über dem PDPL haben — den Sektor des Käufers früh zu klären, erspart eine späte Überarbeitung des Angebots.

Der Tag ist ein kurzes First-Party-Skript; sobald er live ist, erscheinen typischerweise innerhalb eines Tages benannte Firmen mit Branche, Größenklasse und besuchten Seiten, ohne persönliche Kontaktdaten. Saudische Teams leiten Treffer häufig ins CRM oder per Webhook an den Vertrieb weiter, exportieren Listen als CSV oder Excel für regionale Distributoren oder Systemintegratoren, fügen Kolleginnen und Kollegen in Riad, Jeddah oder Dammam als weitere Sitzplätze hinzu und kündigen oder reduzieren den Plan selbst ohne Rückhaltegespräch — ein Self-Service-Muster, das dazu passt, wie saudische Unternehmenskäufer, an formale mehrstufige Beschaffung für große Systeme gewöhnt, leichtgewichtige SaaS-Werkzeuge dennoch verwalten wollen.