Der Personal Data Protection (Amendment) Act 2024 war die größte Änderung des malaysischen Datenschutzrechts seit 2010. Seine Pflichten gelten seit 2025. 2026 hat sich der Personal Data Protection Commissioner den Details zugewandt und neue Leitlinien veröffentlicht, die erklären, wie Organisationen Risiken bewerten, Verarbeitungen gestalten und automatisierte Entscheidungen handhaben sollen.
Rückblick: die Änderungen seit 2025
Die Reform trat in drei Phasen in Kraft:
- 1. Januar 2025: überwiegend administrative Änderungen
- 1. April 2025: aus dem „data user“ wird der „data controller“, biometrische Daten gelten als sensible Daten, Auftragsverarbeiter sind unmittelbar an den Sicherheitsgrundsatz gebunden und die Höchststrafe für Verstöße gegen die Datenschutzgrundsätze steigt von RM300.000 auf RM1.000.000
- 1. Juni 2025: Pflicht zur Benennung von Datenschutzbeauftragten, Meldepflicht bei Datenschutzverletzungen und das neue Recht auf Datenübertragbarkeit
Nach dem Gesetz ist eine Datenschutzverletzung dem Commissioner so schnell wie möglich zu melden; die Leitlinie des Commissioners zur Meldung von Datenschutzverletzungen nennt 72 Stunden als Maßstab. Betroffene sind zu informieren, wenn ein erheblicher Schaden wahrscheinlich ist. Die Benennung des Datenschutzbeauftragten ist dem Commissioner innerhalb von 21 Tagen mitzuteilen. Auslandsübermittlungen richten sich nach der im April 2025 veröffentlichten Leitlinie zu grenzüberschreitenden Übermittlungen, die das frühere „Whitelist“-Modell ersetzt hat.
Drei neue Leitlinien vom 30. April 2026
1. Datenschutz-Folgenabschätzung (DSFA)
Verantwortliche müssen eine DSFA durchführen, wenn sie ein hohes Risiko für personenbezogene Daten erwarten. Die Leitlinie nennt quantitative und qualitative Auslöser:
- Quantitativ: Verarbeitung personenbezogener Daten von mehr als 20.000 Betroffenen oder sensibler Daten von mehr als 10.000
- Qualitativ: etwa rechtliche oder ähnlich erhebliche Wirkungen, systematische Überwachung, innovative Technologien, schutzbedürftige Personen oder automatisierte Entscheidungen
Der Datenschutzbeauftragte wirkt an der Bewertung mit, die Geschäftsleitung bleibt letztverantwortlich, und Auftragsverarbeiter müssen angemessen unterstützen.
2. Datenschutz durch Technikgestaltung
Diese Leitlinie beschreibt, wie Schutzmaßnahmen in den gesamten Lebenszyklus einer Verarbeitung eingebaut werden — auf Basis von Proaktivität, durchgängigem Schutz, Transparenz und Nutzerorientierung. Sie ist eine Best-Practice-Empfehlung und keine verbindliche Pflicht, zeigt aber deutlich, was der Commissioner als gute Praxis ansieht.
3. Automatisierte Entscheidungen und Profiling
Der Einsatz automatisierter Entscheidungen oder von Profiling ist selbst ein Auslöser für eine DSFA. Wo Ergebnisse rechtliche oder erhebliche Wirkungen für Betroffene haben können, erwartet die Leitlinie besondere Schutzmaßnahmen, und der Datenschutzbeauftragte hat eine Aufsichtsrolle. Sind sensible Daten betroffen, gelten die strengeren Regeln des PDPA für diese Daten.
Registrierung von Verantwortlichen
Bestimmte Gruppen von Verantwortlichen müssen sich weiterhin beim Commissioner registrieren. Der Commissioner hat dazu das Rundschreiben Nr. 1/2026 zur Registrierung von Verantwortlichen herausgegeben — Organisationen in den regulierten Gruppen sollten es prüfen und ihre Registrierung aktuell halten.
Ihre PDPA-Checkliste 2026
- Datenschutzbeauftragten bestätigen — benannt und dem Commissioner gemeldet
- Verarbeitungen anhand der DSFA-Schwellen prüfen und DSFAs durchführen, wo nötig
- Alle automatisierten Entscheidungen und Profilings erfassen — in HR, Kredit, Marketing und Betrugsprävention — und bewerten
- Privacy by Design in Projekt- und Änderungsmanagement verankern
- Reaktion auf Datenschutzverletzungen testen — gemessen am 72-Stunden-Maßstab
- Auslandsübermittlungen dokumentieren — mit der jeweils genutzten Garantie
Wie ResGuard unterstützt
Der ResGuard Datenschutz-Manager umfasst Verarbeitungsverzeichnis, DSFA-Modul, Management von Datenschutzverletzungen und Dienstleisterbewertungen. Unsere Services externer Datenschutzbeauftragter und DSB-Unterstützung helfen Organisationen in Malaysia, die neuen Pflichten zu erfüllen. Kontaktieren Sie uns für eine Bewertung.
Dieser Artikel enthält allgemeine Informationen mit Stand 20. Oktober 2026 und stellt keine Rechtsberatung dar. Quellen: Personal Data Protection (Amendment) Act 2024, Veröffentlichungen und Leitlinien des Personal Data Protection Department sowie veröffentlichte Zusammenfassungen von Kanzleien.