Was der jordanische PDPL tatsächlich verlangt

Das Gesetz gilt für die Verarbeitung personenbezogener Daten von Personen in Jordanien, unabhängig davon, wo der Verantwortliche oder Auftragsverarbeiter ansässig ist, sowie für Verantwortliche und Auftragsverarbeiter in Jordanien, unabhängig vom Aufenthaltsort der betroffenen Personen. Der territorials Anwendungsbereich ist daher weit gefasst und erfasst die meisten Publisher, die jordanische Leser bedienen; der häufigste Grenzfall — ein nicht-jordanischer Publisher ohne jordanische Infrastruktur, aber mit jordanischen Besuchern — wird durch den Verweis darauf gelöst, ob der Verantwortliche seine Dienste aktiv auf Jordanien ausgerichtet hat. Personenbezogene Daten sind breit definiert als alle Informationen, die eine natürliche Person identifizieren oder identifizierbar machen; sensible personenbezogene Daten — einschließlich Daten zu ethnischer Herkunft, politischer Meinung, Religionszugehörigkeit, Gesundheit, Sexualleben, Strafregistern und Finanzdaten — unterliegen einer höheren Einwilligungsschwelle und zusätzlichen Verfahrensschutzmaßnahmen.

Das Gesetz legt rechtmäßige Grundlagen für die Verarbeitung fest, den Standardkatalog der Rechte der betroffenen Personen — Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Übertragbarkeit —, einen Verantwortlichkeitsrahmen für Verantwortliche und Auftragsverarbeiter mit obligatorischer Benennung eines Datenschutzbeauftragten für höherriskante Kategorien, Meldepflichten bei Verstößen gegenüber dem Rat innerhalb von 72 Stunden nach Bekanntwerden, Kontrollen grenzüberschreitender Übertragungen auf Basis der Angemessenheitsfeststellungen des Rates oder genehmigter Garantien sowie ein Verwaltungssanktionsregime mit Bußgeldern von bis zu JOD 1 Million pro Verstoß zuzüglich strafrechtlicher Sanktionen für die schwerwiegendsten Kategorien, einschließlich unerlaubter grenzüberschreitender Übertragung und Verarbeitung sensibler Daten ohne ordnungsgemäße Grundlage.

Wie der PDPL mit der Cookie-Einwilligung umgeht

Der jordanische PDPL enthält keine separate ePrivacy-ähnliche Bestimmung zu Cookies; Cookies und analoge Speicher- und Zugriffstechnologien fallen unter den allgemeinen Einwilligungsrahmen. Der Standard ist eine ausdrückliche, freiwillige, spezifische und informierte Vereinbarung, die durch eine bejahende Handlung belegt wird — die Anforderungsfamilie, die die DSGVO als globale Baseline festgelegt hat und die Jordanien mit seiner eigenen Verfahrensschicht übernommen hat. Der Rat hat in seinen Leitlinien bestätigt, dass vorangeklickte Felder, aus dem weiteren Browsen abgeleitete implizite Einwilligung und gebündelte Einwilligungsbanner den gesetzlichen Schwellenwert nicht erfüllen. Dies stellt Jordanien fest in Einklang mit dem globalen Trend und bedeutet, dass die Haltung, die Publisher bereits für den EWR-Verkehr aufrechterhalten, der richtige Ausgangspunkt für jordanischen Verkehr ist.

Der praktische Effekt ist, dass Cookies und analoge Technologien, die nicht unbedingt notwendig sind, um den vom Nutzer aktiv angeforderten Dienst zu erbringen, nicht gesetzt werden dürfen, bevor der Nutzer eingewilligt hat. Unbedingt notwendige Cookies — Sitzungsidentifikatoren, Warenkorbinhalte, Sicherheitstoken, Lastverteilungs-Cookies — können auf der Grundlage gesetzt werden, dass der Nutzer den Dienst aktiv angefordert hat. Alles andere — Analysen, Werbung, Personalisierung, A/B-Tests, Sitzungswiederholung und alle Drittanbieter-Tags — erfordert eine vorherige Einwilligung.

Wie sich der jordanische PDPL in der Praxis von der DSGVO unterscheidet

Drei Unterschiede sind beim Verknüpfen eines CMP wichtig. Erstens verpflichtet der PDPL Verantwortliche, die personenbezogene Daten von mehr als einer vom Rat festgelegten Schwelle an betroffenen Personen verarbeiten oder sensible personenbezogene Daten verarbeiten, sich beim Rat zu registrieren und eine Verarbeitungslizenz zu erhalten — eine dokumentierte Genehmigung, die im vom Rat festgelegten Zyklus erneuert werden muss und auf Anfrage vorzulegen ist. Zweitens verlangen die Regeln für grenzüberschreitende Übertragungen des PDPL, dass der Rat Bestimmungsjurisdiktionen bestimmt; Übertragungen in nicht bestimmte Jurisdiktionen erfordern entweder die ausdrückliche Einwilligung der betroffenen Person, vom Rat genehmigte vertragliche Garantien oder eine der engen gesetzlichen Ausnahmen. Drittens schreibt der PDPL die obligatorische Benennung eines Datenschutzbeauftragten für Verantwortliche vor, die den vom Rat festgelegten Schwellenwert überschreiten, wobei der DPO in den Meldungen des Verantwortlichen beim Rat benannt wird und als Ansprechpartner für Anfragen betroffener Personen und Anfragen des Rates dient.

Wie ein PDPL-konformes Cookie-Banner aussieht

Die technischen Anforderungen decken sich mit dem, was jedes moderne CMP bereits erzeugt, aber Beschriftung, Dokumentation und Einwilligungsprotokoll müssen die jordanischen Besonderheiten widerspiegeln. Das Banner der ersten Schicht muss dem Nutzer eine echte Wahl — akzeptieren, ablehnen, verwalten — präsentieren, bei der die Ablehnungsoption mindestens so prominent ist wie die Akzeptanzoption. Gebündelte Einwilligung ist verboten, daher muss die zweite Schicht ein kategoriespezifisches Opt-in ermöglichen, das mindestens Analysen, Werbung und alle von grenzüberschreitenden Übertragungen abhängigen Verarbeitungen abdeckt. Kategorien müssen standardmäßig deaktiviert sein; das Banner darf keine Tags laden, bis der Nutzer sie bejahend aktiviert hat.

Der aus dem Banner aufrufbare Datenschutzhinweis muss den Verantwortlichen, ggf. die Ratsregistrierungsnummer des Verantwortlichen, die Kategorien der erhobenen personenbezogenen Daten, die Rechtsgrundlage für jeden Verarbeitungszweck, die Datenspeicherdauer, die Kategorien der Empfänger einschließlich etwaiger Auftragsverarbeiter außerhalb Jordaniens, die Rechte der betroffenen Person nach dem Gesetz, die Kontaktdaten des DPO, sofern die Benennung obligatorisch ist, sowie die Kontaktdaten des Rates für Beschwerden ausweisen. Ein Hinweis, der den DSGVO-Standard nach Artikel 13 erfüllt, überschneidet sich erheblich, aber die Zeilen für die Ratsregistrierung und den DPO-Kontakt müssen explizit hinzugefügt werden.

Das Integrationsmuster, das eine Ratsprüfung besteht

Die Referenzimplementierung hat vier bewegliche Teile. Der erste ist ein CMP, der kategoriespezifisches, standardmäßig deaktiviertes Opt-in unterstützt und die Wahl des Nutzers über einen strukturierten Einwilligungsstring verfügbar macht, den der Publisher persistieren kann. Der zweite ist eine Tag-Ladeebene — ein serverseitiger Tag-Manager oder ein CMP-natives Gate — das den Einwilligungsstatus strikt durchsetzt, bevor ein nicht wesentliches Cookie gesetzt wird. Der dritte ist ein serverseitig gespeichertes Einwilligungsprotokoll, das für jedes Einwilligungsereignis die Nutzerwahl je Kategorie, den Zeitstempel, die Bannerversion und eine gekürzte oder gehashte IP-Kennung aufzeichnet, sodass der Verantwortliche den Datensatz auf Anfrage des Rates vorlegen kann. Der vierte ist ein Widerrufspfad, der mindestens so einfach ist wie die ursprüngliche Erteilung — typischerweise ein dauerhafter Banner-Wiedereröffnungslink in der Fußzeile.

• Analyse-Tags — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — dürfen erst nach Erteilung der Analysekategorie geladen werden. Jede Plattform unterstützt eine einwilligungsgesteuerte Konfiguration, die jedes Cookie-Schreiben verhindert, bevor das Gate umschaltet.
• Werbe-Tags — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, programmatische Header-Bidder — müssen ebenso einwilligungsbasiert sein; wenn der Werbepartner Daten aus Jordanien in eine Jurisdiktion überträgt, die der Rat nicht bestimmt hat, müssen die Empfänger-Jurisdiktion und die Grundlage für die Übertragung im Datenschutzhinweis aufgeführt sein.
• Sitzungswiederholungs- und Heatmap-Tools — Hotjar, Microsoft Clarity, FullStory, Contentsquare — müssen sich hinter einem separaten, strengeren Gate befinden, da der Rat sich an internationale Leitlinien angepasst hat, die die Wiedergabe von Eingabefeldern als Kategorie kennzeichnen, die ausdrückliche und granulare Einwilligung erfordert.
• Hinweise zu grenzüberschreitenden Übertragungen müssen spezifisch für jede Empfänger-Jurisdiktion sein und sich auf die Angemessenheitsfeststellung des Rates, eine genehmigte Garantie oder die ausdrückliche Einwilligung der betroffenen Person als Rechtsgrundlage beziehen.

Validierung, Registrierung und Audit-Haltung für 2026

Eine verteidigungsfähige jordanische Implementierung im Jahr 2026 muss vier technische Prüfungen bestehen. Erstens muss eine saubere Browsersitzung von einer jordanischen IP-Adresse null nicht wesentliche Cookies erzeugen, bevor das Banner aufgerufen wurde. Zweitens muss der „Alle ablehnen"-Pfad zu derselben Haltung führen wie eine Sitzung ohne Aktion — keine Analyse-Tags, keine Werbe-Tags, keine Sitzungswiederholungsskripte. Drittens darf ein „Alle akzeptieren"-Ablauf nur die Tags erzeugen, denen der Nutzer zugestimmt hat, und das Einwilligungsprotokoll muss einen übereinstimmenden Eintrag enthalten. Viertens muss ein Widerrufsablauf sofort weitere Tag-Auslösungen stoppen, die während der eingewilligten Sitzung gesetzten Cookies auslaufen lassen und alle von den Empfängerpartnern benötigten nachgelagerten Löschungs- oder Opt-out-Signale auslösen.

Jenseits der technischen Prüfungen ist es die Registrierungs- und Audit-Haltung, die eine Implementierung verteidigungsfähig macht. Verantwortliche, die personenbezogene Daten jordanischer Einwohner über die vom Rat festgelegten Schwellenwerte hinaus verarbeiten, müssen die entsprechende Ratsregistrierung und Verarbeitungslizenz besitzen; der Registrierungseintrag — zusammen mit dem Einwilligungsprotokoll, dem Datenschutzhinweis, den Ergebnissen der Datenschutz-Folgenabschätzung für risikoreiche Verarbeitungen, den Unterlagen zur DPO-Benennung und den Genehmigungen für grenzüberschreitende Übertragungen — bildet die Dokumentation, die der Rat bei einer Compliance-Prüfung anfordern kann. Ein korrekt konfiguriertes CMP mit serverseitigem Protokoll, einer Tag-Ladeebene, die den Einwilligungsstatus durchsetzt, einem Datenschutzhinweis, der jedes Ziel grenzüberschreitender Übertragungen benennt, den DPO- und Ratskontaktzeilen und den eingereichten Registrierungsunterlagen ist das, was den jordanischen PDPL von einer regulatorischen Unbekannten zu einem verteidigungsfähigen Teil der Einwilligungshaltung eines Publishers in der Levant-Region macht.