Outbound-Compliance in Saudi-Arabien: CST (2026)

Saudi-Arabien ist der Golfmarkt, dessen Outbound-Regeln am häufigsten falsch zitiert werden. Dieser Leitfaden gibt nur wieder, was das Gesetz, seine Verordnungen und das PDPL tatsächlich sagen, und kennzeichnet Lücken als Lücken.

Outbound-Compliance in Saudi-Arabien im Überblick

Wer reguliert Outbound-Anrufe in Saudi-Arabien?

Die CST reguliert den Telekommunikations- und IT-Sektor. Sie hieß bis zum 10. November 2022 Communications and Information Technology Commission und wurde durch Kabinettsbeschluss Nr. 235 umbenannt. Viele Betreiber sagen noch CITC; der aktuelle Name ist CST.

Artikel 79(1)(f) der Durchführungsverordnung ermächtigt die CST, Regeln zum Schutz der Nutzerrechte zu erlassen, einschließlich Kontrollen für Telekommunikationsmarketing. Diese wurden als Dokument RC05 erlassen, Beschluss 552/1445 vom 08-02-2024; der Text war zum Zeitpunkt der Erstellung nicht abrufbar. RC05 ist der wahrscheinlichste Ort für jede saudische Regel zu Anrufzeiten, Do-Not-Call-Pflichten oder Marketingnummern – fordern Sie das Dokument also bei der CST an und unterstellen Sie seinen Inhalt nicht. Die SDAIA ist die Datenschutzbehörde, und die Verordnungen zum PDPL werden laut Artikel 42 nach Abstimmung mit der CST erlassen.

Einwilligung und Widerspruch

PDPL Artikel 25 ist die maßgebliche Regel: Ein Verantwortlicher darf die persönlichen Kommunikationsmittel einer betroffenen Person nicht ohne vorherige Einwilligung und ohne einen klaren Mechanismus zum Abbestellen nutzen, um Werbe- oder Aufklärungsmaterial zu senden. Artikel 26 ergänzt, dass personenbezogene Daten nur dann für Marketing verarbeitet werden dürfen, wenn sie mit Einwilligung direkt bei der betroffenen Person erhoben wurden. Sensible Daten dürfen nie für Marketing verarbeitet werden.

Die Durchführungsverordnung legt fest, wie die Einwilligung aussehen muss. Artikel 11: Sie kann schriftlich, mündlich oder elektronisch erfolgen, muss freiwillig und zweckgebunden sein und so dokumentiert werden, dass sie später überprüfbar ist – mit einer eigenen Einwilligung pro Zweck. Artikel 28 verlangt eine Einwilligung, wo es keinen vorherigen Kontakt gab, sowie einen materiellen Nachweis dafür. Artikel 29 verlangt einen Abmeldemechanismus, der so einfach ist wie der Prozess zur Einholung der Einwilligung, und nach Artikel 12 ist ein Widerruf jederzeit möglich.

Das saudische Recht kennt keine maximale Gültigkeits- oder Ablauffrist für Marketing-Einwilligungen. PDPL, Durchführungsverordnung, Transfer-Verordnung, Anti-Spam-Verordnung und das Gesetz wurden geprüft – keines legt eine Frist fest.

Do-Not-Call-Liste

In den veröffentlichten saudischen Rechtsakten findet sich kein nationales Do-Not-Call-Register. Das ist ein fehlender Beleg, kein Beleg für das Fehlen: RC05, der einzige Rechtsakt mit Befugnis für Marketingkontrollen, konnte nicht gelesen werden.

Feststeht ein Opt-out beim Absender. PDPL Artikel 25(2) und die Artikel 28 und 29 der Durchführungsverordnung verpflichten jeden Absender, einen kostenlosen, einfachen Abmeldemechanismus zu betreiben und den Versand auf Wunsch sofort einzustellen. Netzbetreiber müssen zusätzlich eine kostenlose netzseitige Sperre für Nachrichten anbieten, und Empfänger können sich innerhalb von dreißig Tagen nach Erhalt von Spam bei der Behörde beschweren.

Anrufzeiten und -tage

Eine veröffentlichte Regel zu erlaubten Anrufzeiten für Outbound-Telemarketing per Telefon gibt es nicht. Durchsucht wurden das Gesetz, beide Generationen seiner Durchführungsverordnungen, die Anti-Spam-Verordnung und das Verordnungsregister der CST.

Die Regel, die meist als saudisches Anrufzeitfenster zitiert wird, gehört zu einem anderen Kanal. Die Anti-Spam-Verordnung verbietet den Versand elektronischer Nachrichten zwischen 22:00 und 07:00 ohne Einwilligung des Empfängers, sie in dieser Zeit zu erhalten – und dieselbe Verordnung definiert elektronische Nachrichten so, dass Sprachanrufe ausgeschlossen sind. Die Sperrzeit bindet also Nachrichten, nicht Anrufe. Sie nennt Uhrzeiten ohne Zeitzone; Saudi-Arabien hat eine einzige Zeitzone, UTC+03:00, ohne Sommerzeit – eine allgemeine Tatsache, kein Zitat. Eine Regel für Wochenenden oder Feiertage wurde nicht gefunden.

Anrufer-ID und Rufnummernanzeige

Artikel 55.9 der Bylaws zum Telekommunikationsgesetz kommt in Saudi-Arabien einer Regel für Telemarketing-Gesprächsleitfäden am nächsten. Der Diensteanbieter muss zu Beginn des Anrufs offenlegen, für welchen Anbieter angerufen wird und zu welchem Zweck, und während des Anrufs den vollständigen Preis jedes besprochenen Produkts oder Dienstes sowie das uneingeschränkte Recht des Angerufenen nennen, einen Kauf oder ein Leasing innerhalb von 72 Stunden über eine im Gespräch genannte Nummer zu widerrufen. Artikel 55.10 erlaubt der CST, die Nutzung eines Netzes für Telemarketing ganz zu verbieten oder zu regulieren.

Artikel 28(3)(a) der Durchführungsverordnung verlangt, dass der Name des Absenders klar und ohne Verschleierung genannt wird; Artikel 29(2) verlangt dasselbe für Direktmarketingmaterial. Pflichten gegen Spoofing liegen bei den Netzbetreibern, nicht bei den Werbetreibenden. Nicht veröffentlicht sind: eine Pflicht, Marketinganrufe aus einem eigenen oder registrierten Nummernbereich zu führen, Regeln zu unterdrückter oder anonymer CLI sowie ein Registrierungsverfahren für Absenderkennungen bei Marketing-SMS.

Anrufaufzeichnung und Hinweise

Saudi-Arabien geht von einem Verbot aus, nicht von einer Erlaubnis. Artikel 32 des Gesetzes: Anrufe und Informationen über öffentliche Telekommunikationsnetze sind vertraulich und dürfen nur in den in den Verordnungen festgelegten Fällen eingesehen, abgehört oder aufgezeichnet werden. Artikel 58(3) der Durchführungsverordnung ergänzt, dass Anbieter die Kommunikation eines Nutzers ohne Einwilligung nicht erfassen, verarbeiten oder offenlegen dürfen, soweit Gesetze nichts anderes erlauben.

Eine Aufzeichnung ist zudem ein personenbezogenes Datum, da die Definition von Veröffentlichung im PDPL Audio ausdrücklich einschließt. Nicht veröffentlicht sind: eine Aufzeichnungspflicht, eine Mindestaufbewahrungsfrist oder ein vorgeschriebener Wortlaut für den Aufzeichnungshinweis.

Regeln für SMS und WhatsApp

Für Nachrichten gelten die strengeren veröffentlichten Regeln. Die Anti-Spam-Verordnung erlaubt den Versand nach vorheriger Einwilligung oder bei einer bestehenden Beziehung, etwa nach einem Kauf beim Absender. Jede Nachricht muss die elektronische Adresse, den Namen und den Betreff des Absenders enthalten, damit sich der Empfänger kostenlos und einfach abmelden kann, und diese Kontaktdaten müssen mindestens dreißig Tage nutzbar bleiben. Der Versand muss innerhalb von 48 Stunden nach einer Abmeldung enden, eine Bestätigung muss folgen, und die Unterlagen werden danach sechs Monate aufbewahrt. Das Verbot von 22:00 bis 07:00 gilt hier.

Datenschutz und Aufbewahrung

Das PDPL wurde durch Königliches Dekret M/19 erlassen und durch M/148 geändert. Nach Artikel 43 tritt es 720 Tage nach Veröffentlichung im Amtsblatt in Kraft. Laut DLA Piper entspricht das einem Inkrafttreten am 14. September 2023 mit einer Umsetzungsfrist bis 14. September 2024 für die meisten Stellen.

Grenzüberschreitende Übermittlungen regelt die Regulation on Personal Data Transfer Outside the Kingdom, Version 2.0 vom August 2024. Sie erlaubt geeignete Garantien, Standardvertragsklauseln in einer von der zuständigen Behörde herausgegebenen Standardform und verbindliche gemeinsame Regeln für Unternehmensgruppen. Wenn Ihr Dialer, Ihre Aufzeichnungen oder Ihr CRM außerhalb des Königreichs liegen, ist dies der Rechtsakt, an dem Sie Ihre Verträge ausrichten.

Das PDPL legt keine feste Aufbewahrungsfrist für Marketingdaten fest; Grenzen setzen die Zweckbindung und das Recht auf Löschung. Zwei feste Zahlen gibt es im Umfeld: Anti-Spam-Unterlagen werden sechs Monate nach einer Abmeldung aufbewahrt, und Bylaws Artikel 55.4 verlangt die Aufbewahrung von Nutzerrechnungen für sechs Monate ab Ausstellung.

Strafen und Durchsetzung

Es gibt zwei getrennte Schienen, die nicht vermischt werden sollten. Nach dem Telecommunications and IT Act erlaubt Artikel 27(1) eine oder mehrere dieser Maßnahmen: eine Geldbuße bis SAR 25 Millionen, die vollständige oder teilweise Einstellung des Dienstes, den Ausschluss von Erteilung oder Verlängerung einer Lizenz und die Sperrung einer digitalen Inhaltsplattform. Sanktionen müssen verhältnismäßig sein, und der Verstoßende muss die Erlöse herausgeben. Anti-Spam-Verstöße fallen unter diese Regelung und haben keinen eigenen Bußgeldkatalog.

Nach dem PDPL sieht Artikel 36 eine Verwarnung oder eine Geldbuße bis SAR 5 Millionen vor, im Wiederholungsfall verdoppelt bis zum Doppelten dieser Grenze. Artikel 35 sieht bis zu zwei Jahre Haft oder eine Geldbuße bis SAR 3 Millionen oder beides vor, wenn sensible Daten vorsätzlich offengelegt oder veröffentlicht werden, um der betroffenen Person zu schaden oder einen Vorteil zu erlangen. Beide Gesetze gelten pro Verstoß mit einem Multiplikator für Wiederholungstaten, keines sieht eine tägliche Kumulierung vor, und ein veröffentlichter Bußgeldkatalog nach Verstoßart wurde nicht gefunden.

Was hat sich 2025 und 2026 geändert?

Die geänderten Rechtsakte stammen aus 2024 und sind beim letzten Stand vom Februar 2026 weiterhin aktuell: die CST-Beschlüsse 515/1445 zu SMS und 552/1445 zum Schutz der Nutzerrechte, beide vom 08-02-2024, sowie die Transfer-Verordnung der SDAIA, Version 2.0 vom August 2024. Laut DLA Piper wird das PDPL mit Stand Februar 2026 von der SDAIA aktiv durchgesetzt. Eine CST-Regel oder -Konsultation aus 2025 oder 2026 speziell zu Werbeanrufen, Marketing-Nummernpräfixen oder einem Do-Not-Call-Register wurde nicht gefunden.

Wie DialerBee jede Regel unterstützt

DialerBee liefert ein Regelpaket für KSA CST mit, sodass die für das Königreich konfigurierten Regeln für jeden darüber geführten Anruf gelten. Compliance Autopilot prüft jeden Versuch vor dem Anruf gegen die DNC-Liste, das Anrufzeitfenster der jeweiligen Rechtsordnung, den Einwilligungsnachweis, die Inhaberschaft der Anrufer-ID, das Frequenzlimit und das Rufnummernformat. Da Saudi-Arabien kein Zeitfenster für Sprachanrufe veröffentlicht, ist das von Ihnen gesetzte Zeitfenster Ihre eigene Richtlinie – und die Durchsetzung in der Plattform sorgt dafür, dass es in jeder Kampagne gleich ist, mit einem Nachweis, was jeweils galt.

Die Einwilligung wird pro Kontakt mit Quelle, Zeitstempel und Kanal erfasst – genau das, was Artikel 11 der Durchführungsverordnung verlangt –, und Sperrungen gelten kampagnenübergreifend. Die Steuerung des Anrufer-ID-Pools legt fest, welche Nummer jede Kampagne anzeigt. Für Aufzeichnungen lässt sich die Aufbewahrung pro Kampagne und pro Mandant konfigurieren, plus Legal Hold – wichtig dort, wo Aufzeichnen ohne Rechtsgrundlage verboten ist. Gesprächsleitfäden laufen in 11 Sprachen einschließlich Arabisch, sodass Identitätshinweis und 72-Stunden-Widerrufshinweis den Empfänger in seiner eigenen Sprache erreichen. Dies sind Kontrollen zur Unterstützung der Compliance, die Ihnen helfen, Ihre Pflichten zu erfüllen; eine rechtliche Prüfung ersetzen sie nicht.

Checkliste Outbound-Compliance Saudi-Arabien

• Fordern Sie das CST-Dokument RC05 direkt an und lesen Sie es, bevor Sie eine interne Anrufrichtlinie schreiben.
• Holen Sie Marketing-Einwilligungen direkt bei der betroffenen Person ein, nie über gekaufte Listen, und protokollieren Sie Zeitpunkt und Art – mit einer eigenen Einwilligung pro Zweck.
• Bauen Sie den Widerrufsmechanismus, bevor Sie um Einwilligung bitten, machen Sie das Abmelden so einfach wie das Opt-in und stoppen Sie auf Wunsch kostenlos.
• Beginnen Sie jeden Anruf mit der Nennung des Unternehmens, für das Sie anrufen, und des Anrufzwecks.
• Nennen Sie im Gespräch den vollständigen Preis sowie das 72-Stunden-Widerrufsrecht und die Nummer dafür.
• Halten Sie Outbound-Sprachanrufe in einem konservativen Zeitfenster tagsüber, das Sie mit der CST abgestimmt haben.
• Versenden Sie keine Marketingnachrichten zwischen 22:00 und 07:00 und halten Sie den Absenderkontakt dreißig Tage lang erreichbar.
• Dokumentieren Sie eine Rechtsgrundlage, bevor Sie Anrufe aufzeichnen, und sichern Sie jede Übermittlung ins Ausland vertraglich nach der Transfer-Verordnung vom August 2024 ab.
• Bewahren Sie Anti-Spam-Einwilligungen und Abmeldenachweise sechs Monate nach der Anfrage auf.
• Ordnen Sie Bußgelder dem richtigen Gesetz zu: SAR 25 Millionen stammen aus dem Telecom Act, SAR 5 Millionen aus dem PDPL.

Quellen

1. Telecommunication and Information Technology Act, Königliches Dekret M/106 vom 02/11/1443H (CST, archiviert). web.archive.org
2. Bylaws zum Telecommunications Act, Beschluss Nr. 11 vom 17/05/1423H in geänderter Fassung, Artikel 55.9 (CST, archiviert). web.archive.org
3. Regulation for Reduction of SPAM (CITC, archiviert). web.archive.org
4. CST-Registereintrag, RC05 Regulations of User Rights Protection Rules, Beschluss 552/1445, 08-02-2024. web.archive.org
5. Personal Data Protection Law, Königliches Dekret M/19, geändert durch M/148 (SDAIA). sdaia.gov.sa
6. Durchführungsverordnung zum PDPL (SDAIA). sdaia.gov.sa
7. Regulation on Personal Data Transfer Outside the Kingdom, Version 2.0, August 2024 (SDAIA). sdaia.gov.sa
8. DLA Piper, Data Protection Laws of the World, Saudi-Arabien, abgerufen am 11. September 2026 (Sekundärquelle für die gregorianischen Daten und die Durchsetzungspraxis). dlapiperdataprotection.com

Häufig gestellte Fragen

Wer reguliert Outbound-Anrufe in Saudi-Arabien?

Die Communications, Space & Technology Commission (CST), am 10. November 2022 aus CITC umbenannt. Personenbezogene Daten beaufsichtigt separat die SDAIA nach dem Personal Data Protection Law, und beide Regelwerke greifen ineinander: Die Verordnungen zum PDPL werden nach Abstimmung mit der CST erlassen.

Welche Anrufzeiten sind in Saudi-Arabien erlaubt?

Eine Regel zu erlaubten Anrufzeiten für Outbound-Sprachanrufe ist nicht veröffentlicht. Das oft als saudisches Anrufzeitfenster zitierte Verbot von 22:00 bis 07:00 stammt aus der Anti-Spam-Verordnung, die elektronische Nachrichten so definiert, dass Sprachanrufe ausgeschlossen sind. Legen Sie als Richtlinie ein konservatives Zeitfenster tagsüber fest und stimmen Sie es mit der CST ab.

Brauche ich in Saudi-Arabien eine Einwilligung für Marketinganrufe?

Ja. PDPL Artikel 25 verbietet es, die persönlichen Kommunikationsmittel einer Person ohne vorherige Einwilligung für Werbematerial zu nutzen, und verlangt einen klaren Abmeldemechanismus. Artikel 26 erlaubt die Verarbeitung für Marketing nur, wenn die Daten mit Einwilligung direkt bei der betroffenen Person erhoben wurden.

Gibt es in Saudi-Arabien ein nationales Do-Not-Call-Register?

In den veröffentlichten Rechtsakten findet sich kein nationales Register – das ist jedoch ein fehlender Beleg, kein Beleg für das Fehlen, da das CST-Dokument RC05 nicht gelesen werden konnte. Fest steht eine Pflicht auf Absenderseite: ein kostenloser, einfacher Abmeldemechanismus, sofortiger Versandstopp auf Wunsch sowie eine Sperre durch den Netzbetreiber für Nachrichten.

Ist Gesprächsaufzeichnung in Saudi-Arabien erlaubt?

Bei Aufzeichnungen gilt zunächst ein Verbot. Artikel 32 des Gesetzes erklärt Anrufe über öffentliche Netze für vertraulich und untersagt ihre Aufzeichnung außer in den in den Verordnungen festgelegten Fällen; zudem ist eine Aufzeichnung ein personenbezogenes Datum im Sinne des PDPL. Dokumentieren Sie vor dem Aufzeichnen eine Rechtsgrundlage; eine Aufbewahrungsfrist ist nicht veröffentlicht.

Was ist die 72-Stunden-Regel im saudischen Telemarketing?

Artikel 55.9(d) der Bylaws zum Telekommunikationsgesetz verpflichtet den Anrufer, im Gespräch auf das uneingeschränkte Recht des Angerufenen hinzuweisen, einen Kauf oder ein Leasing eines Dienstes innerhalb von 72 Stunden über eine im Gespräch genannte Nummer zu widerrufen. Derselbe Artikel verlangt, das Unternehmen zu nennen, für das angerufen wird, den Zweck anzugeben und den vollständigen Preis zu nennen.

Welche Bußgelder drohen in Saudi-Arabien?

Sie stammen aus zwei verschiedenen Gesetzen. Der Telecommunications and IT Act erlaubt bis zu SAR 25 Millionen sowie Einstellung des Dienstes, Lizenzsperre oder Plattformsperrung. Das PDPL erlaubt bis zu SAR 5 Millionen bei allgemeinen Verstößen, verdoppelt im Wiederholungsfall, und bis zu SAR 3 Millionen sowie zwei Jahre Haft bei Vergehen mit sensiblen Daten. Ordnen Sie keinen Betrag aus dem Telecom Act dem PDPL zu.

Weiterlesen

• Outbound-Dialer für Saudi-Arabien im Überblick
• Compliance-Autopilot
• Steuerung des Anrufer-ID-Pools
• MENA-Compliance-Leitfaden

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Das CST-Dokument RC05, der Rechtsakt mit Befugnis für Kontrollen im Telekommunikationsmarketing, war zum Zeitpunkt der Erstellung nicht abrufbar. Prüfen Sie die aktuellen Anforderungen mit CST, SDAIA und qualifizierter Rechtsberatung vor Ort.