Arbeitsbereich

Leitfaden · Südafrikanische Verordnung

POPIA erklärt für alle, die mit Anzeigen Geld verdienen

POPIA ist das Datenschutzgesetz Südafrikas. Es schützt Personen und auch Unternehmen, hat harte Regeln für E-Mail- und SMS-Marketing und sieht Geldstrafen und sogar Haft vor. Hier sehen Sie, was es von einer Website mit südafrikanischen Besuchern verlangt und was sich bei den Anzeigen ändert.

Datenschutz meiner Website prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetzestext und den Veröffentlichungen des Information Regulator
  • ✓Beispiele für Websites mit Anzeigen, auch aus Brasilien
  • ✓Lesen, ohne die Website zu verändern
R10 Mio.maximale Verwaltungsstrafe, die der Information Regulator verhängen kann
8Bedingungen, die jede Datenverarbeitung erfüllen muss, um rechtmäßig zu sein
18Jahre: Unter diesem Alter gilt eine Person nach dem Gesetz als Kind
2021Jahr, in dem die Anpassungsfrist am 30. Juni endete

Was es ist

Ein Gesetz, das Personen und Unternehmen schützt

Der Protection of Personal Information Act, kurz POPIA, ist das Gesetz 4 von 2013 in Südafrika. Der Großteil trat am 1. Juli 2020 in Kraft, mit einem Jahr Anpassungszeit, das am 30. Juni 2021 endete. Die Aufsicht liegt beim Information Regulator, einer unabhängigen Stelle, die sich auch um das Informationszugangsgesetz des Landes kümmert.

Das Gesetz verwendet eigene Begriffe. Wer entscheidet, warum und wie Daten verwendet werden, ist die verantwortliche Partei (responsible party), das Gegenstück zum Verantwortlichen der DSGVO. Wer die Daten in ihrem Auftrag verarbeitet, ist der Operator. Die Person, auf die sich die Daten beziehen, ist die betroffene Person (data subject), und hier gibt es einen wichtigen Unterschied: Im POPIA sind auch Unternehmen und andere juristische Personen geschützte betroffene Personen.

Personenbezogene Informationen sind alles, was jemanden identifiziert, wie Name, E-Mail, Telefon, Standort, Online-Kennungen und Meinungen. Dazu kommen besondere personenbezogene Informationen: Religion, Herkunft, Gesundheit, Sexualleben, politische Meinung, biometrische Daten und Vorstrafen. Daten von Kindern, nach dem Gesetz Personen unter 18 Jahren, haben eigenen Schutz.

Das Gesetz gilt für die in Südafrika ansässige verantwortliche Partei und für eine ausländische, die im Land Mittel zur Datenverarbeitung nutzt. Ob das eine ausländische Website erfasst, die nur südafrikanische Besucher empfängt, ist eine Frage der Auslegung. Der vorsichtige Weg für alle mit diesem Publikum ist, die Grundregeln zu Transparenz, Sicherheit und Marketing zu befolgen.

Checkliste

Was Sie erfüllen müssen

Was das POPIA und der Information Regulator von einer Website mit Anzeigen verlangen, die Besucher aus Südafrika hat.

  1. Bei der Erhebung informieren

    Sagen Sie, was Sie erheben, wer verantwortlich ist und die Adresse, den Zweck, ob die Angabe freiwillig ist, ob die Daten in ein anderes Land gehen und welche Rechte bestehen, einschließlich der Beschwerde beim Regulator. Google verlangt außerdem, dass die Erklärung sagt, dass Dritte wie Google Cookies verwenden, um Anzeigen auszuspielen.

    Beispiel

    Wir erheben Ihre E-Mail-Adresse, um Stellenbenachrichtigungen zu senden. Die Angabe ist freiwillig. Sie können Auskunft, Berichtigung oder Löschung verlangen und sich beim Information Regulator beschweren.

  2. Den Information Officer registrieren

    In einem Unternehmen ist der Information Officer standardmäßig die oberste Führungskraft. Sie oder er kann die Funktion erst nach der Registrierung im Portal des Information Regulator übernehmen.

  3. Elektronisches Marketing mit Einwilligung

    E-Mails, SMS und Marketingnachrichten dürfen nur an Personen gehen, die eingewilligt haben, oder an Kunden, und nur zu ähnlichen Produkten. Die Bitte um Einwilligung darf nur einmal erfolgen und nur, wenn die Person nicht zuvor abgelehnt hat.

  4. Abmeldung in jeder Nachricht

    Jede Marketingnachricht muss den Absender nennen und einen Kontakt enthalten, um das Ende der Zusendungen zu verlangen.

    Beispiel

    Sie erhalten diese E-Mail von der Beispiel GmbH. Um keine mehr zu erhalten, klicken Sie auf Abmelden.

  5. Den Widerspruch respektieren

    Die Person kann der Nutzung auf Grundlage eines berechtigten Interesses und jederzeit dem Direktmarketing widersprechen. Nach dem Widerspruch muss die Nutzung dieser Daten enden.

  6. Besondere Daten nur mit Einwilligung

    Religion, ethnische Herkunft, Gesundheit, Sexualleben, politische Meinung und Biometrie sind in der Regel verboten. Die Einwilligung der Person ist eine der Ausnahmen, und Google akzeptiert keine personalisierten Anzeigen auf Grundlage dieser Daten.

  7. Kinder mit vorheriger Einwilligung

    Daten von Kindern dürfen nur mit der vorherigen Einwilligung einer zuständigen Person, etwa Vater, Mutter oder Erziehungsberechtigten, verarbeitet werden, außer in den Ausnahmefällen des Gesetzes.

  8. Unbefugten Zugriff melden

    Wenn Grund zur Annahme besteht, dass Unbefugte auf personenbezogene Daten zugegriffen haben, informieren Sie den Regulator und in der Regel die betroffenen Personen, sobald dies vernünftigerweise möglich ist.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Südafrika weder eine zertifizierte CMP noch hat es eine eigene Meldung dafür, daher stammen die folgenden Links von Google und vom Information Regulator.

Das Herz des Gesetzes

Die 8 Bedingungen für die Datenverarbeitung

POPIA ordnet alles in acht Bedingungen. Scheitert eine, ist die Verarbeitung nicht mehr rechtmäßig.

Verantwortlichkeit und Qualität

Die verantwortliche Partei haftet für die Einhaltung aller Bedingungen und muss die Daten vollständig, korrekt und aktuell halten.

Beschränkung und Zweck

Erheben Sie nur das Nötige, mit gültiger Begründung und für einen bestimmten, ausdrücklichen Zweck, und speichern Sie die Daten nur so lange wie nötig.

Weitere Verwendung und Transparenz

Eine neue Verwendung muss mit der ursprünglichen vereinbar sein. Und die Person muss bei der Erhebung wissen, wer erhebt, wofür und welche Rechte sie hat.

Sicherheit und Mitwirkung

Schützen Sie die Daten mit technischen und organisatorischen Maßnahmen und lassen Sie die Person auf die Informationen zugreifen, sie berichtigen und ihre Löschung verlangen.

Rechtsgrundlagen, Cookies und Marketing

Wann die Website Daten verwenden darf

POPIA akzeptiert sechs Rechtfertigungen für die Datenverarbeitung: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, Schutz eines berechtigten Interesses der betroffenen Person, Erfüllung einer öffentlichen Aufgabe und berechtigtes Interesse der verantwortlichen Partei oder eines Dritten. Die betroffene Person kann der Verarbeitung auf Grundlage des berechtigten Interesses widersprechen, und seit 2025 ist dieser Widerspruch kostenlos und über mehrere Kanäle möglich.

Das Gesetz hat keine eigene Cookie-Regel wie das britische PECR. Aber Cookies und Kennungen, mit denen sich ein Besucher wiedererkennen lässt, sind personenbezogene Informationen, deshalb braucht die Website eine Rechtfertigung und muss informieren. Für Anzeigen-Tracking ist die Einwilligung die sicherste und am leichtesten nachweisbare Grundlage.

Der strengste Punkt des Gesetzes ist das Direktmarketing über elektronische Mittel wie E-Mail, SMS und automatische Anrufe. Es ist nur mit Einwilligung oder bei Kunden erlaubt, die bereits etwas gekauft haben, sofern das Angebot ähnliche Produkte betrifft und die Person bei der Erhebung und in jeder Nachricht eine einfache, kostenlose Möglichkeit zur Ablehnung erhalten hat.

Die Website kann diese Einwilligung nur einmal einholen, und nur wenn die Person sie nicht zuvor abgelehnt hat. Die im April 2025 aktualisierten Regeln besagen, dass die Einwilligung über jedes zugängliche Mittel eingeholt werden kann, aber nicht durch Schweigen oder ein vorausgewähltes Kästchen vorausgesetzt werden darf. Jede Nachricht muss den Absender nennen und einen Kontakt enthalten, um den Stopp zu verlangen.

Rechte der Personen

Was die betroffene Person verlangen kann

Gilt für Personen und auch für Unternehmen, deren Daten die Website verarbeitet.

Informiert werden

Wissen, dass Daten erhoben werden, und informiert werden, wenn es einen unbefugten Zugriff darauf gab.

Zugriff

Fragen, ob die Website Daten über sie speichert, und eine Beschreibung erhalten, was vorhanden ist und wer Zugriff hatte.

Berichtigen und löschen

Die Berichtigung oder Löschung falscher, übermäßiger oder unrechtmäßig erlangter Daten verlangen. Seit 2025 ist der Antrag kostenlos, und die Antwort muss innerhalb von 30 Tagen kommen.

Widersprechen

Der Verarbeitung auf Grundlage des berechtigten Interesses und jederzeit der Nutzung der Daten für Direktmarketing widersprechen.

Nicht nur von Maschinen abhängen

Nicht Ziel von Entscheidungen mit wichtiger Wirkung sein, die nur von automatisierten Systemen getroffen werden, außer in den Ausnahmen des Gesetzes.

Beschweren und klagen

Beim Information Regulator Beschwerde einreichen und vor Gericht Entschädigung verlangen.

Pflichten

Was eine Website mit südafrikanischen Besuchern tun muss

  1. Bei der Erhebung informierenDie Datenschutzerklärung und die Formulare müssen sagen, wer erhebt, wofür, ob die Angabe verpflichtend ist, mit wem die Daten geteilt werden, ob sie in ein anderes Land gehen und welche Rechte die betroffene Person hat, einschließlich des Beschwerderechts beim Regulator.
  2. Einen Information Officer habenJede verantwortliche Partei hat einen Beauftragten, standardmäßig die Hauptgeschäftsführung. Er muss im Portal des Information Regulator registriert sein, bevor er die Funktion übernimmt.
  3. Einwilligung einholen, wo sie die Grundlage istFür Anzeigen-Cookies und E-Mail-Listen dokumentieren Sie die Einwilligung mit Datum, Herkunft und angezeigtem Text. Keine vorausgewählten Kästchen.
  4. Daten schützenErgreifen Sie angemessene Sicherheitsmaßnahmen und schließen Sie Verträge mit Operatoren wie Hosting und E-Mail-Tools, die dieselbe Sorgfalt verlangen.
  5. Vorfälle meldenBei unbefugtem Zugriff auf personenbezogene Daten informieren Sie den Regulator und die Betroffenen so bald wie möglich, mit ausreichenden Informationen, damit sie sich schützen können.
  6. Übermittlungen beachtenDie Übermittlung von Daten ins Ausland erfordert, dass das Zielland angemessenen Schutz bietet, dass es einen Vertrag mit Garantien oder die Einwilligung der betroffenen Person gibt, unter anderem nach weiteren Fällen des Gesetzes.

Durchsetzung und Strafen

Was bei Verstößen gegen das Gesetz passiert

Der Regulator nimmt Beschwerden entgegen, ermittelt und erlässt Durchsetzungsbescheide. Einen Bescheid zu ignorieren ist der schnellste Weg zur Strafe.

Verwaltungsstrafe

Der Regulator kann per Verstoßbescheid eine Strafe von bis zu 10 Millionen Rand verhängen. Seit 2025 kann die Zahlung in Raten ausgehandelt werden.

Straftaten mit Haft

Den Regulator zu behindern oder einen Durchsetzungsbescheid zu missachten kann bis zu 10 Jahre Haft, eine Geldstrafe oder beides nach sich ziehen. Andere Verstöße werden mit bis zu 12 Monaten bestraft.

Erste Strafe

Im Juli 2023 verhängte der Regulator die erste Strafe nach dem Gesetz: 5 Millionen Rand gegen das Justizministerium, weil es einen Bescheid zu Sicherheitslücken nicht befolgt hatte.

Klagen vor Gericht

Die betroffene Person, oder der Regulator in ihrem Namen, kann Entschädigung für Schäden durch rechtswidrige Verarbeitung verlangen.

Zeitleiste

Von der Verabschiedung zur Durchsetzung

Es dauerte Jahre, bis POPIA von der Theorie in die Praxis kam. Das sind die wichtigsten Termine.

  1. 2013

    Gesetz verabschiedet

    POPIA wird als Gesetz 4 von 2013 unterzeichnet, aber fast der gesamte Text wartet auf ein Inkrafttretensdatum.

  2. 11. April 2014

    Grundlage für den Regulator

    Die Definitionen und die Regeln zur Schaffung des Information Regulator treten in Kraft.

  3. 1. Juli 2020

    Das Gesetz beginnt zu gelten

    Die wichtigsten Pflichten treten in Kraft, mit 12 Monaten Anpassungszeit für Unternehmen.

  4. 30. Juni 2021

    Ende der Anpassungsfrist

    Die Übergangsfrist endet und das Gesetz wird vollständig durchgesetzt.

  5. Juli 2023

    Erste Strafe

    Der Regulator verhängt gegen das Justizministerium eine Strafe von 5 Millionen Rand.

  6. 17. April 2025

    Aktualisierte Verordnung

    Neue Regeln zu kostenlosem Widerspruch, Berichtigungsanträgen, Einwilligung für Direktmarketing und Beschwerden gelten sofort.

Für alle mit AdSense oder Ad Manager

Was sich in der Praxis für die Einnahmen ändert

Google verlangt für Südafrika weder eine zertifizierte CMP noch das IAB TCF. Diese Anforderung gilt für den Europäischen Wirtschaftsraum, das Vereinigte Königreich und die Schweiz. Deshalb erhält südafrikanischer Traffic weiter personalisierte Anzeigen ohne die TCF-Meldung.

Das nimmt der Website die Pflichten aus POPIA nicht ab. Die Datenschutzerklärung muss die Nutzung von Cookies und die Werbepartner nennen, und der Besucher muss widersprechen und seine Rechte ausüben können. Wenn die Website im Land eine Einwilligung für Anzeigen-Cookies einholen will, kann die CMP das regional tun, und Consent Mode gibt die Auswahl an die Google-Tags weiter.

Stellen Sie sich eine brasilianische Jobwebsite auf Englisch vor, die Besucher aus Johannesburg und Kapstadt erhält und Job-Benachrichtigungen per E-Mail anbietet. Das Cookie-Banner kann einfach sein, aber das Formular für Benachrichtigungen braucht eine klare Einwilligung ohne vorausgewähltes Kästchen, und jede E-Mail muss einen Abmelde-Link enthalten.

Da POPIA auch Unternehmen schützt, muss eine Website, die Firmenkontakte sammelt, zum Beispiel für Werbetreibende, diese Daten mit derselben Sorgfalt behandeln wie Daten von Personen.

In der Praxis

Was mit POPIA erlaubt ist und was nicht

Alltagsbeispiele von Websites für Inhalte, Jobs und Finanzen mit südafrikanischem Publikum.

Erlaubt

  • Personalisierte Google-Anzeigen ohne die TCF-Meldung für Besucher aus Südafrika anzeigen
  • Einen Newsletter an alle senden, die sich eingetragen und das Kästchen selbst angekreuzt haben
  • Ähnliche Angebote an bisherige Kunden senden, mit Austrittsoption in jeder Nachricht
  • Die Einwilligung für Marketing nur einmal von jemandem einholen, der nie abgelehnt hat
  • Anträge auf Löschung und Widerspruch per E-Mail, WhatsApp oder Formular bearbeiten, ohne Gebühr

Nicht erlaubt

  • Besucher mit bereits angekreuztem Kästchen in E-Mail-Listen eintragen
  • Auf der Bitte um Einwilligung beharren, nachdem die Person abgelehnt hat
  • E-Mail- oder Handylisten kaufen und Angebote versenden
  • Marketing senden, ohne den Absender zu nennen und ohne Abmelde-Link
  • Daten von Personen unter 18 Jahren ohne Einwilligung eines Erziehungsberechtigten erheben

Häufige Fehler

Wo Websites am häufigsten ausrutschen

Häufige Fehler auf Websites mit südafrikanischem Publikum.

Annehmen, dass es ohne Google-Vorgabe keine Regel gibt

Dass es im Land keine Pflicht-CMP gibt, befreit nicht von der Datenschutzerklärung, dem Widerspruchsrecht und den Marketingregeln.

Vergessen, dass auch Unternehmen betroffene Personen sind

Kontakte von Werbetreibenden, Lieferanten und Partnern sind ebenfalls durch POPIA geschützte Daten.

Newsletter-Formular ohne echte Einwilligung

Vorausgewählte Kästchen oder versteckter Text zählen nicht. Die Verordnung von 2025 hat das ausdrücklich klargestellt.

Nicht registrierter Information Officer

Das Gesetz verlangt, dass der Beauftragte im Portal des Regulators registriert ist, bevor er die Funktion übernimmt.

Erklärung ohne internationale Übermittlung

Besucherdaten gehen an Server von Google und anderen Partnern außerhalb des Landes. Die Datenschutzerklärung muss das sagen.

Unbeantwortete Anfragen

Anträge auf Berichtigung und Löschung müssen innerhalb von 30 Tagen beantwortet werden, und die Website braucht einen klaren Kanal, um sie zu empfangen.

In ConsentMode

Was die Prüfung für POPIA kontrolliert

  • Öffnet die Website als Besucher aus Südafrika und hält fest, ob es ein Banner gibt, welche Schaltflächen es bietet und was vor der Auswahl ausgelöst wird.
  • Erkennt die CMP am Seitencode, falls vorhanden, und liest die an Google gesendeten Consent-Mode-Signale.
  • Prüft, ob die Datenschutzerklärung die verantwortliche Partei, Zwecke, Werbepartner, internationale Übermittlung, Rechte und den Kontakt des Beauftragten enthält.
  • Prüft Newsletter- und Anmeldeformulare auf vorausgewählte Kästchen und einen Hinweis zum Zweck.
  • Liefert Screenshots und einen Korrekturplan, nach Schweregrad priorisiert.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Brauche ich ein Cookie-Banner für Besucher aus Südafrika?

POPIA hat keine eigene Banner-Regel. Die Website muss über Cookies informieren und eine Rechtfertigung für ihre Nutzung haben. Für Anzeigen-Tracking ist das Einholen der Einwilligung der sicherste Weg, und eine regional konfigurierte CMP löst es, ohne andere Zielgruppen zu betreffen.

Verlangt Google etwas für diesen Traffic?

Für Südafrika gibt es keine Pflicht zu einer zertifizierten CMP. Die allgemeinen Google-Richtlinien für Publisher gelten weiter, etwa eine Datenschutzerklärung zu haben, die Cookies und Werbepartner erwähnt.

Darf ich eine E-Mail an jemanden senden, der seinen Kontakt in einem Kommentar hinterlassen hat?

Nicht für Marketing. Der Kontakt wurde für einen anderen Zweck angegeben. Für Angebote brauchen Sie eine Einwilligung oder eine Kundenbeziehung mit ähnlichem Produkt.

Wer kann Information Officer sein?

Standardmäßig ist es die Hauptgeschäftsführung des Unternehmens, die Stellvertreter benennen kann. Die Registrierung erfolgt im Portal des Information Regulator.

Ist POPIA ähnlich wie die LGPD?

In vielen Punkten ja: Rechtsgrundlagen, Rechte und Datenschutzbeauftragter. Die sichtbarsten Unterschiede sind der Schutz von Unternehmen als betroffene Personen, die Altersgrenze von 18 Jahren für Kinder und die strenge Regel für elektronisches Marketing.

Gibt es wirklich Haft?

Ja, für bestimmte Straftaten, etwa die Behinderung des Regulators oder die Missachtung eines Durchsetzungsbescheids. Bei den meisten alltäglichen Verstößen läuft es über Bescheid und Verwaltungsstrafe.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Finden Sie heraus, ob Ihre Website für das südafrikanische Publikum bereit ist

Die Prüfung öffnet die Website aus Südafrika und zeigt, was bei Banner, Formularen und Erklärung zu beheben ist, ohne etwas zu verändern.

Audit starten