Neue Datenschutzpflichten in Kasachstan

Die neuen und umfangreichen Anforderungen stehen im Zusammenhang mit den verabschiedeten Änderungen des kasachischen Datenschutzgesetzes. Sie gelten grundsätzlich ab dem 25. August 2026 und werden durch Erlasse des Ministeriums für künstliche Intelligenz und digitale Entwicklung der Republik Kasachstan präzisiert. Der folgende Bericht beleuchtet ausgewählte Änderungen. 

Neu: Klassifizierung datenverarbeitender Unternehmen 

Artikel 25 des Datenschutzgesetzes legt den Grundstein für die Klassifizierung. Es unterscheidet zwischen kleinen, mittleren und großen Datenverarbeitern. Die Einstufung erfolgt unabhängig von der Rechtsform oder der Art der Tätigkeit. Das Gesetz selbst legt die Kriterien für die Einstufung nicht fest. Nach Angaben des zuständigen Ministeriums richtet sich die Klassifizierung nach dem Umfang und der Kategorie der verarbeiteten Datensätze:

• Kleine Datenverarbeiter: bis zu 10.000 Datensätze
• Mittlere Datenverarbeiter: 10.000 bis 500.000 Datensätze 
• Große Datenverarbeiter: 500.000 oder mehr Datensätze 

Für die Verarbeitung von besonders sensiblen personenbezogenen Daten gilt eine Sonderregelung. Nach Erläuterungen des Ministeriums werden Organisationen und Unternehmen eine Stufe höher gestuft, wenn sie beispielsweise Gesundheitsdaten, Steuerdaten oder Finanz- und Bankdaten verarbeiten. 

Datenverarbeitende Unternehmen sollten daher nicht nur den Umfang der zu verarbeitenden Datensätze prüfen, sondern auch die Kategorie der Daten.

Große Datenverarbeiter müssen Verarbeitung melden

Große Datenverarbeiter müssen ab dem 12. September 2026 das Ministerium vor Beginn und nach Abschluss der Verarbeitung personenbezogener Daten informieren. Die Mitteilung kann in Papierform, elektronisch über E-Mail oder auf einem anderen Datenträger innerhalb von 30 Arbeitstagen eingereicht werden. Kleine und mittlere Datenverarbeiter sind von dieser Meldepflicht ausgenommen, sofern sie keine sensiblen Daten verarbeiten. 

Der betriebliche Datenschutzbeauftragte reicht die Meldung ein, sofern ein solcher bestellt ist. Die Meldung muss grundlegende Informationen zur Verarbeitung personenbezogener Daten enthalten, insbesondere:  

• welche Art von Daten gesammelt und verarbeitet werden, 
• welche Schutzmaßnahmen ergriffen werden, 
• Art und Ort der Speicherung und 
• ob Informationen an Dritte außerhalb von Kasachstan übertragen werden. 

Die zuständige Stelle trägt diese Angaben in ein neues Register ein. Nach Angaben des Ministeriums dient das Register ausschließlich Verwaltungszwecken und wird nicht öffentlich zugänglich sein. 

Neue Pflichten bei Datenschutzverletzungen 

Zudem wird ein Register für Datenschutzverletzungen eingeführt. Es soll auf Informationen aus öffentlich zugänglichen Quellen basieren, die von kasachischen Cybersicherheitszentren bereitgestellt werden. Das Gesetz regelt bislang weder Aufbau und Führung des Registers noch den Umfang der gespeicherten Informationen. Daher bleiben sowohl der konkrete Inhalt des Registers als auch die rechtlichen Folgen eines Eintrags bislang unklar.

Ab dem 22. September 2026 gelten zudem neue Anforderungen bei Datenpannen. Es wird erstmals genauer definiert, was als Verletzung der Sicherheit personenbezogener Daten gilt. Künftig gelten insbesondere folgende Handlungen als Datenschutzverletzungen:

• unrechtmäßige Weitergabe von Daten, 
• unbefugter Zugriff, 
• Änderung, Löschung oder Vernichtung personenbezogener Daten. 

Die Meldung der Datenpanne an die Behörde hat binnen eines Arbeitstages zu erfolgen. Sie muss zudem folgende Angaben enthalten: 

• Kontaktdaten des/der Datenschutzbeauftragten (falls vorhanden), 
• Angaben zu den ergriffenen Maßnahmen zur Behebung der Datenpanne, 
• Informationen über die betroffenen Personen, insbesondere der Name, die persönliche Identifikationsnummer (IIN), Kontaktinformationen. 

Für Datenverarbeiter und deren Datenschutzbeauftragte bedeuten die neuen Vorgaben vor allem eine kürzere Reaktionsfrist und eine strengere Dokumentations- und Meldepflicht. 

Datenschutzgesetz definiert zentrale Begriffe neu 

In Artikel 1 des Datenschutzgesetzes wurden die Definitionen der zentralen Begriffe ergänzt. Dies betrifft insbesondere die Löschung, die Pseudonymisierung und die Verarbeitung personenbezogener Daten aus öffentlich zugänglichen Quellen. Laut den gesetzlichen Vorgaben müssen diese anonymisiert oder pseudonymisiert werden: 

• Anonymisierung: Maßnahmen zur irreversiblen Veränderung von Identifikatoren personenbezogener Daten, die eine Zuordnung zu einer bestimmten Person unmöglich machen.
• Pseudonymisierung: Ein Verfahren zum Schutz von Informationen, bei dem tatsächliche personenbezogene Daten durch ungültige und/oder anonymisierte Daten ersetzt werden. Der kasachische Gesetzgeberspricht in diesem Zusammenhang von einer "Maskierung personenbezogener Daten". 

Darüber hinaus wurde in Artikel 6 des Datenschutzgesetzes der Begriff "personenbezogene Daten" präzisiert: Personenbezogene Daten sind Informationen über eine Person, die eine Identifizierung anhand dieser Daten oder durch die Verknüpfung von Datensätzen ermöglichen. Diese Daten umfassen:

• Nachname, Vorname und Vatersname, 
• individuelle Identifikationsnummer (IIN), 
• Gesichtsbild und biometrische Vektoren des Gesichtsbilds. 

Was Unternehmen jetzt tun sollten

Die Änderungen sind umfangreich. Zudem konkretisiert das zuständige Ministerium die einzelnen Anforderungen fortlaufend per Erlass. Datenverarbeitende Unternehmen müssen mit weiteren Konkretisierungen rechnen. Vor allem Unternehmen mit großen Datenbeständen sollten ihre Datenverarbeitung überprüfen. Dazu gehören insbesondere die Einstufung als meldepflichtiger Datenverarbeiter, interne Meldeprozesse für Datenschutzverletzungen und die Dokumentation von Datenübermittlungen aus Kasachstan ins Ausland. Zudem sollten deutsche Unternehmen vor einer Geschäftsaufnahme sich eingehend mit den lokalen Vorschriften vor Ort beschäftigen. Die GTAI-Publikation Recht Kompakt Kasachstan bietet einen guten Einstieg.