PDPA Malaysia: Was Ihre Website bei Einwilligung, Cookies und Daten leisten muss
Die meisten KMU-Websites in Malaysia erheben personenbezogene Daten über ein Formular, ein Chat-Widget und ein Werbepixel und behandeln die Datenschutzerklärung anschließend als Dekoration. Seit die Novelle von 2024 in Kraft ist, hat diese Lücke Fristen.
PDPA und Ihre Website in Malaysia: die kurze Antwort
Wenn Ihr Unternehmen über seine Website einen Namen, eine E-Mail-Adresse oder eine Telefonnummer erhebt, gilt für Sie der Personal Data Protection Act 2010, und die Novelle von 2024 hat die Anforderungen erhöht. Das praktische Minimum besteht aus vier Dingen: einem Datenschutzhinweis auf Bahasa Malaysia und Englisch, der am Punkt der Erhebung erscheint und nicht im Fußbereich versteckt ist; einer Einwilligung, die dokumentiert und nicht unterstellt wird; einer schriftlichen Übersicht darüber, wohin die Daten nach dem Formular wandern; und einer benannten Person, die verantwortlich ist, wenn etwas schiefgeht. Alles Weitere ist Feinarbeit.
Die Novelle trat 2025 in Stufen in Kraft; die Pflicht zur Meldung von Datenschutzverletzungen und zur Bestellung eines Datenschutzbeauftragten gilt seit dem 1. Juni 2025. Der veränderte Ton wiegt schwerer als jede einzelne Klausel. Personenbezogene Daten waren auf den meisten KMU-Websites ein administrativer Nebengedanke. Heute sind sie ein Bündel von Pflichten mit Fristen, und die erste wird in Stunden gemessen.
Was die Novelle von 2024 tatsächlich geändert hat
Vier Änderungen erreichen eine gewöhnliche Unternehmenswebsite. Das Gesetz nennt Sie nun Datenverantwortlicher statt Datennutzer und Ihre Dienstleister Auftragsverarbeiter, was kosmetisch klingt, bis man bemerkt, dass Auftragsverarbeiter nun unmittelbar für den Sicherheitsgrundsatz haften, statt sich hinter Ihrem Vertrag zu verbergen. Laut einer Analyse der Novelle von Tay and Partners drohen einem Verantwortlichen, der gegen die Datenschutzgrundsätze verstößt, eine Geldstrafe von bis zu 1 Million RM oder bis zu drei Jahre Haft.
Zweitens wurde die Meldung von Datenschutzverletzungen verpflichtend: Ein meldepflichtiger Vorfall muss der Kommission innerhalb von 72 Stunden gemeldet werden, und Betroffene sind innerhalb von sieben Tagen nach dieser Meldung zu informieren, wenn ein erheblicher Schaden wahrscheinlich ist; eine unterlassene Meldung kann mit bis zu 250.000 RM geahndet werden. Drittens müssen Organisationen oberhalb bestimmter Verarbeitungsschwellen einen Datenschutzbeauftragten bestellen. Viertens erhielten Personen ein Recht auf Datenübertragbarkeit, und die frühere Positivliste für Übermittlungen ins Ausland wurde durch die Prüfung ersetzt, ob das Zielland ein im Wesentlichen vergleichbares Schutzniveau bietet; dazu veröffentlichte die Kommission 2025 Leitlinien für grenzüberschreitende Übermittlungen.
Einwilligung und der Hinweis, den die meisten Websites falsch machen
Malaysia kennt keine breite Grundlage des berechtigten Interesses wie Europa. Die Einwilligung steht im Mittelpunkt, und der Grundsatz von Hinweis und Wahl in Abschnitt 7 verlangt einen schriftlichen Hinweis auf Bahasa Malaysia und Englisch, der bei der ersten Erhebung der Daten gegeben wird. Eine nur englische Erklärung, verlinkt im Fußbereich, erfüllt weder die Sprach- noch die Zeitvorgabe, und sie ist der häufigste Mangel, den wir bei Audits malaysischer KMU-Websites finden.
Was der Hinweis enthalten muss, ist konkret und wenig glamourös: welche Daten Sie erheben, zu welchem Zweck, aus welcher Quelle, an wen Sie sie weitergeben können, wie die Person Zugang und Berichtigung erhält, ob die Angabe verpflichtend ist und wie sich die Nutzung einschränken lässt. Die Einwilligung sollte eine bewusste Handlung sein und keine Unterstellung: ein nicht vorangekreuztes Kästchen neben einem klaren Satz, mit gespeichertem Zeitstempel, ist in einer Prüfung mehr wert als ein Absatz, den niemand geöffnet hat. Wenn Sie diese Adresse später für einen Newsletter nutzen, den Sie nie erwähnt haben, ist das ein neuer Zweck, und das Gesetz gibt der Person ein dauerhaftes Recht, Direktwerbung zu stoppen.
Die PDPA-Prüfpunkte für Ihre Website in Malaysia, die Ihre Werbung und Ihr CRM betreffen
Malaysia hat keine cookie-spezifische Regel. Laut dem Chambers-Leitfaden Data Protection and Privacy 2026 für Malaysia bestehen derzeit keine eigenen Anforderungen an Online-Tracking-Technologien, Einwilligungsmodelle oder Cookie-Richtlinien. Das ist keine Erlaubnis, sie zu ignorieren. Ein Meta-Pixel, ein Google-Ads-Conversion-Tag und ein Chat-Widget übertragen sämtlich Kennungen und Verhalten an Dritte, und wo dies eine Verarbeitung personenbezogener Daten ist, gelten die Grundsätze von Einwilligung und Hinweis. Vertretbar ist ein Banner, das Analyse- und Werbe-Tags erst nach einer Entscheidung lädt, mit getrennten essenziellen Cookies und einem Cookie-Abschnitt im Hinweis, der die Anbieter benennt.
Das CRM ist das größere Risiko, weil sich dort Daten ansammeln. Kartieren Sie es einmal: welche Formulare es speisen, welche Werkzeuge daraus synchronisieren, wer exportieren kann und welche dieser Werkzeuge Daten außerhalb Malaysias halten. Prüfen Sie, ob jede Vereinbarung den Auftragsverarbeiter verpflichtet, die Daten zu sichern und eine Verletzung schnell zu melden, denn Ihre 72 Stunden beginnen mit Ihrer Kenntnis, und Kenntnis erlangen Sie nur, wenn der Anbieter Sie informiert. Legen Sie dann Aufbewahrungsfristen fest und löschen Sie. Eine ruhende Liste von Anfragen aus vier Jahren trägt die gesamte Haftung und keinen Wert. Dies ist eine Praxis-Checkliste und keine Rechtsberatung.
Das praktische Minimum für eine KMU-Website
- Ein zweisprachiger Hinweis am Punkt der Erhebung. Veröffentlichen Sie den Datenschutzhinweis auf Bahasa Malaysia und Englisch und zeigen Sie ihn an jedem Formular, nicht nur als Link im Fußbereich. Benennen Sie die Zwecke, für die Sie die Daten tatsächlich nutzen werden, einschließlich Marketing, bevor Sie sie so nutzen.
- Eine Einwilligung, die Sie belegen können. Nicht vorangekreuzte Opt-in-Felder, eine gesonderte Einwilligung für Marketing und ein gespeicherter Nachweis darüber, was wann und gegen welche Fassung des Hinweises vereinbart wurde.
- Eine einseitige Datenkarte. Listen Sie jede Stelle auf, an der personenbezogene Daten eintreten, jedes System, in dem sie landen, jeden Anbieter, der sie berührt, und jedes Land, in dem sie liegen. Eine Seite genügt.
- Prüfung von Anbietern und Auslandsübermittlungen. Stellen Sie sicher, dass die Verträge mit Auftragsverarbeitern Sicherheit und Meldung von Verletzungen abdecken und dass Übermittlungen ins Ausland dem Maßstab des im Wesentlichen vergleichbaren Schutzes aus den Leitlinien der Kommission standhalten.
- Ein Notfallplan, der geprobt wurde, bevor Sie ihn brauchen. Wer wird angerufen, wer bewertet den erheblichen Schaden, wer verfasst die Meldung und wem gehört die 72-Stunden-Uhr. Die Pflichten gelten seit dem 1. Juni 2025, ein ungetesteter Plan ist damit ein Geschäftsrisiko.
- Aufbewahrung und Löschung nach festem Zeitplan. Legen Sie fest, wie lange Anfragen, Bewerbungen und Kundendaten leben, und automatisieren Sie dann die Löschung. Daten, die Sie nicht mehr halten, können nicht abfließen.
PDPA-Konformität für malaysische Websites: häufige Fragen
- Gilt der PDPA für die Website eines kleinen Unternehmens? — Ja. Er gilt für personenbezogene Daten, die in geschäftlichen Transaktionen verarbeitet werden, unabhängig von der Unternehmensgröße; ein Kontaktformular oder eine Newsletter-Anmeldung bringt Sie also in den Anwendungsbereich. Die größenabhängigen Schwellen betreffen die Bestellung eines Datenschutzbeauftragten, nicht die Frage, ob das Gesetz gilt.
- Brauche ich in Malaysia ein Cookie-Banner? — Es gibt keine cookie-spezifische Regel, und der Chambers-Leitfaden Data Protection and Privacy 2026 für Malaysia verweist auf das Fehlen eigener Anforderungen an Tracking-Technologien. Wo Cookies personenbezogene Daten verarbeiten, gelten die Grundsätze von Einwilligung und Hinweis weiterhin, weshalb ein Banner, das Werbe- und Analyse-Tags bis zur Entscheidung des Besuchers zurückhält, die vertretbare Lösung ist.
- Muss mein Unternehmen einen Datenschutzbeauftragten bestellen? — Die Leitlinien von 2025 setzen Schwellen nach Verarbeitungsvolumen an, grob die personenbezogenen Daten von mehr als 20.000 Personen oder die sensiblen Daten von mehr als 10.000, dazu Tätigkeiten mit regelmäßiger und systematischer Überwachung. Die Bestellung wird der Kommission angezeigt und eine Kontaktstelle veröffentlicht.
- Was passiert, wenn wir eine Datenschutzverletzung haben? — Melden Sie sie der Kommission innerhalb von 72 Stunden nach Kenntnisnahme und informieren Sie Betroffene innerhalb von sieben Tagen nach dieser Meldung, wenn ein erheblicher Schaden wahrscheinlich ist. Eine unterlassene Meldung kann bis zu 250.000 RM kosten, weshalb der Plan vor dem Vorfall stehen muss.
Weiterlesen
Bauen wir etwas,
dem man vertraut.
Sagen Sie uns, was Ihr Geschäft ausbremst. Wir zeigen Ihnen das System, das es löst — und wie schnell.