Die meisten Organisationen in Singapur übermitteln täglich personenbezogene Daten ins Ausland — an Cloud-Anbieter, Konzerngesellschaften, Lohnbuchhaltungsdienste und SaaS-Anbieter. Nach der Transfer Limitation Obligation des PDPA braucht jede dieser Übermittlungen eine rechtlich anerkannte Garantie. 2026 wurden die Regeln für eine dieser Garantien — Zertifizierungen — aktualisiert. Dieser Artikel erklärt, was sich geändert hat und was das praktisch bedeutet. Unser Beitrag zu den weiteren PDPA-Entwicklungen dieses Jahres behandelt die NRIC-Frist, die GenAI-Leitlinien und aktuelle Sanktionen.
Was sich 2026 geändert hat
- 2. März 2026: Die Personal Data Protection (Amendment) Regulations 2026 sind in Kraft getreten. Sie ändern Regulation 12(2) der Personal Data Protection Regulations 2021 und erweitern die für Auslandsübermittlungen anerkannten Zertifizierungen.
- April 2026: Die PDPC hat eine Musterklausel für Übermittlungen an Organisationen veröffentlicht, die nach den APEC- und Global-CBPR- bzw. PRP-Systemen zertifiziert sind.
- 1. April 2027: IMDA, die in Singapur die Zertifizierungsprogramme betreibt, nennt für dieses Datum aktualisierte Programmanforderungen. Wer eine Zertifizierung plant, sollte prüfen, welche Fassung gilt.
Global CBPR und Global PRP im Überblick
Das System Global Cross-Border Privacy Rules (CBPR) zertifiziert die Datenschutzpraktiken von Verantwortlichen, das System Global Privacy Recognition for Processors (PRP) die von Auftragsverarbeitern. Beide sind aus den APEC-Systemen hervorgegangen und werden heute vom Global CBPR Forum getragen; in Singapur ist IMDA die Zertifizierungsstelle.
Laut IMDA erkennt Singapur Global-CBPR- und PRP-Zertifizierungen für Auslandsübermittlungen nach dem PDPA an. Praktisch bedeutet das: Eine Organisation in Singapur kann personenbezogene Daten an einen zertifizierten Empfänger im Ausland übermitteln, ohne für diese Übermittlung zusätzliche Garantien wie Vertragsklauseln vereinbaren zu müssen.
Was das für Ihre Organisation bedeutet
Als Absender von Daten
Fragen Sie bei der Auswahl oder Überprüfung eines ausländischen Dienstleisters, ob er über eine Global-CBPR- oder Global-PRP-Zertifizierung verfügt. Eine gültige Zertifizierung vereinfacht die Bewertung der Übermittlung, die Verantwortung bleibt aber bei Ihnen: Prüfen Sie Umfang, Gültigkeit und ob die tatsächlich genutzten Leistungen abgedeckt sind.
Als Empfänger oder Dienstleister
Organisationen in Singapur, die Kunden im Ausland bedienen, können sich selbst zertifizieren lassen. Das kann die Due Diligence mit internationalen Kunden verkürzen und reife Datenschutzpraktiken belegen — besonders für SaaS-, Outsourcing- und Fintech-Anbieter.
Verträge bleiben der Standard
Zertifizierungen sind eine Option unter mehreren. Die meisten Übermittlungen stützen sich weiterhin auf Vertragsklauseln, verbindliche interne Datenschutzvorschriften in Konzernen oder in begrenzten Fällen auf Einwilligung. Entscheidend ist, dass jede Übermittlung eine dokumentierte Grundlage hat.
Ihre Checkliste für Auslandsübermittlungen
- Übermittlungen erfassen: alle Dienstleister und Konzerngesellschaften, die von außerhalb Singapurs personenbezogene Daten erhalten oder darauf zugreifen können
- Garantie dokumentieren — je Übermittlung: Vertrag, Zertifizierung, verbindliche interne Vorschriften oder eine andere anerkannte Grundlage
- Zertifizierungen prüfen — in den offiziellen Verzeichnissen und mit Ablaufdatum
- Verträge abgleichen mit den Musterklauseln der PDPC, wo keine Zertifizierung besteht
- Datenschutzhinweis aktualisieren, damit Betroffene wissen, dass ihre Daten ins Ausland übermittelt werden können
Unser Leitfaden zu grenzüberschreitenden Datenübermittlungen in Singapur erklärt die Transfer Limitation Obligation ausführlicher.
Wie ResGuard unterstützt
Der ResGuard Datenschutz-Manager führt Ihre Anwendungen, Dienstleister und Übermittlungen in einem Verzeichnis, und unser Modul für das Dienstleistermanagement versendet Sicherheits- und Datenschutzfragebögen — mit KI-Unterstützung beim Vorausfüllen. Unsere PDPA-Experten prüfen Ihre Übermittlungsdokumentation. Kontaktieren Sie uns.
Dieser Artikel enthält allgemeine Informationen mit Stand 20. Oktober 2026 und stellt keine Rechtsberatung dar. Quellen: Singapore Statutes Online, IMDA-Programmseiten zu Global CBPR und PRP, PDPC-Leitfäden und veröffentlichte Zusammenfassungen der Amendment Regulations.