Das Datenschutzgesetz UU PDP für Dörfer, Schulen und Behörden: Was ist Pflicht?

Von Mohammad Hilmi Bisri, S.Kom.. Veröffentlicht am 10. Oktober 2026.

Das Gesetz Nr. 27/2022 über den Schutz personenbezogener Daten (Undang-Undang Pelindungan Data Pribadi, kurz UU PDP) regelt, wie Daten über eine Person erhoben, gespeichert, genutzt und gelöscht werden. Es gilt seit seiner Verkündung am 17. Oktober 2022 (Art. 76). Die zweijährige Übergangsfrist nach Art. 74 endete am 17. Oktober 2024. Die Durchführungsverordnung, die Regierungsverordnung (Peraturan Pemerintah, PP) Nr. 33/2026, tritt im Januar 2027 in Kraft.

Das UU PDP bindet auch staatliche Stellen. Art. 19 nennt öffentliche Stellen (badan publik) als Verantwortliche und Auftragsverarbeiter personenbezogener Daten. Zu den öffentlichen Stellen gehören unter anderem Organe der Exekutive und andere Einrichtungen, die ganz oder teilweise aus dem Staatshaushalt (APBN) oder einem Regionalhaushalt (APBD) finanziert werden (Art. 1 Nr. 9). Auch Daten in Papierbüchern fallen unter das Gesetz (Art. 1 Nr. 1).

Begriffe, die Sie kennen sollten

• Personenbezogene Daten (data pribadi) sind Daten über eine Person, die allein oder zusammen mit anderen Informationen erkennen lassen, um wen es sich handelt (Art. 1 Nr. 1).
• Zu den besonderen personenbezogenen Daten (data pribadi yang bersifat spesifik) gehören Gesundheitsdaten, biometrische Daten wie Fingerabdrücke und Gesichtsbilder, genetische Daten, Vorstrafen, Daten von Kindern, persönliche Finanzdaten und weitere Daten nach den Vorschriften (Art. 4 Abs. 2). Ihre Verarbeitung gilt als hochriskant. Der Verantwortliche muss deshalb eine Folgenabschätzung vornehmen, also die entstehenden Risiken und Wege zu ihrer Verringerung bewerten (Art. 34).
• Der Verantwortliche (pengendali data pribadi) bestimmt die Zwecke der Verarbeitung und steuert sie (Art. 1 Nr. 4). In diesem Fall ist das Ihr Dorfbüro, Ihre Schule oder Ihre Behörde.
• Der Auftragsverarbeiter (prosesor data pribadi) verarbeitet Daten im Namen des Verantwortlichen (Art. 1 Nr. 5), zum Beispiel ein App-Anbieter oder ein Server-Anbieter.
• Die betroffene Person (subjek data pribadi) ist die Person, deren Daten verarbeitet werden (Art. 1 Nr. 6), zum Beispiel Bürger, Schüler und Eltern von Schülern.

Die wichtigsten Pflichten des Verantwortlichen

Eine Rechtsgrundlage für die Verarbeitung haben

Der Verantwortliche braucht eine Rechtsgrundlage für die Verarbeitung. Art. 20 nennt sechs Grundlagen, und die Einwilligung der betroffenen Person ist nur eine davon. Zwei weitere betreffen direkt die Aufgaben einer Behörde: die Erfüllung einer rechtlichen Pflicht (Buchst. c) sowie die Wahrnehmung von Aufgaben im öffentlichen Interesse, öffentliche Dienstleistungen oder die Ausübung von Befugnissen nach den Vorschriften (Buchst. e). Für Daten von Kindern verlangt Art. 25 Abs. 2 die Einwilligung der Eltern oder des Vormunds nach den geltenden Rechtsvorschriften.

Daten nur für ihren Zweck nutzen

Daten müssen begrenzt und spezifisch, rechtmäßig und transparent verarbeitet werden (Art. 27), und zwar entsprechend ihrem Zweck (Art. 28). Die Handynummern der Eltern aus der Anmeldung neuer Schüler werden also zum Beispiel nicht für Werbung an Dritte weitergegeben.

Sicherheit und Vertraulichkeit wahren

Der Verantwortliche muss technische Maßnahmen zum Schutz der Daten treffen, mit einem Sicherheitsniveau, das der Art der Daten und dem Risiko entspricht (Art. 35), die Vertraulichkeit der Daten wahren (Art. 36) und unbefugten Zugriff verhindern (Art. 39). In einem kleinen Büro heißt das zum Beispiel: ein eigenes Konto für alle Mitarbeitenden, keine gemeinsam genutzten Passwörter und keine Links zu Tabellen, die für alle offen sind.

Verarbeitungstätigkeiten aufzeichnen

Der Verantwortliche muss alle Tätigkeiten der Verarbeitung personenbezogener Daten aufzeichnen (Art. 31). Die PP 33/2026 legt fest, was diese Aufzeichnungen enthalten, unter anderem Rechtsgrundlage und Zweck der Verarbeitung, die Art der Daten, wer darauf zugreifen darf, die Speicherdauer und die Schutzmaßnahmen (Art. 74 Abs. 2).

Bei einer Datenpanne spätestens innerhalb von 3 x 24 Stunden informieren

Versagt der Schutz personenbezogener Daten, werden Daten also zum Beispiel offengelegt, gehen verloren oder werden unbefugt abgerufen, muss der Verantwortliche die betroffenen Personen und die Aufsichtsbehörde spätestens innerhalb von 3 x 24 Stunden schriftlich informieren (Art. 46 Abs. 1 und die amtliche Erläuterung dazu). Die Mitteilung nennt mindestens die offengelegten Daten, wann und wie sie offengelegt wurden, sowie die Maßnahmen zur Behandlung und Wiederherstellung (Art. 46 Abs. 2). Stört der Vorfall öffentliche Dienstleistungen oder hat er schwerwiegende Folgen, muss auch die Öffentlichkeit informiert werden (Art. 46 Abs. 3).

Einen Datenschutzbeauftragten benennen

Ein Verantwortlicher, der Daten für öffentliche Dienstleistungen verarbeitet, muss eine Amtsperson oder einen Beauftragten für den Schutz personenbezogener Daten benennen, aus der eigenen Behörde oder von außen (Art. 53). Das Urteil des Verfassungsgerichts (Mahkamah Konstitusi) Nr. 151/PUU-XXII/2024 stellt klar, dass diese Voraussetzung der öffentlichen Dienstleistung allein schon genügt. Sie muss nicht zusammen mit den anderen Voraussetzungen dieses Artikels erfüllt sein.

Wenn Sie einen App-Anbieter einsetzen

Ein Anbieter, der Daten für Sie speichert oder verarbeitet, ist Auftragsverarbeiter. Er muss nach Ihren Weisungen arbeiten, und für die Verarbeitung durch ihn sind weiterhin Sie als Verantwortlicher zuständig (Art. 51 Abs. 1 und 3). Bevor er weitere Auftragsverarbeiter einbezieht, braucht er Ihre schriftliche Zustimmung (Art. 51 Abs. 5). Verarbeitet er Daten außerhalb Ihrer Weisungen und der von Ihnen festgelegten Zwecke, geht die Verantwortung auf ihn über (Art. 51 Abs. 6).

Die PP 33/2026 legt außerdem den Mindestinhalt des Vertrags mit einem Auftragsverarbeiter fest, unter anderem Umfang und Art der Verarbeitung, die Art der Daten, die Laufzeit sowie Verfahren für Aufsicht und Audit (Art. 14).

Fragen an den Anbieter

1. Wo werden die Daten gespeichert (Server im Büro, Server des Anbieters oder Cloud-Dienst) und in welchem Land? Für die Übermittlung von Daten ins Ausland gelten zusätzliche Voraussetzungen (Art. 56).
2. Wer kann die Daten der Bürger einsehen, einschließlich der Mitarbeitenden des Anbieters und des Server-Anbieters?
3. Wie oft werden Sicherungskopien erstellt, wo liegen sie, und wie lange dauert die Wiederherstellung, wenn ein Server ausfällt?
4. Werden die Daten bei Vertragsende in einem Format zurückgegeben, das andere Apps öffnen können, und werden die Kopien auf dem Server des Anbieters mit schriftlichem Nachweis gelöscht?
5. Wie schnell meldet der Anbieter eine Datenpanne? Die Frist von 3 x 24 Stunden gilt für Sie, und die PP 33/2026 verpflichtet den Auftragsverarbeiter, den Verantwortlichen bei erster Gelegenheit zu informieren (Art. 118).

Halten Sie die Antworten in einem schriftlichen Vertrag fest. Apps von HanzCodes lassen sich auf dem eigenen Server der Behörde installieren; Einzelheiten finden Sie auf der Seite Leistungen.

Stand der Durchführungsregeln und der Aufsichtsbehörde

Die PP 33/2026 zur Durchführung des Gesetzes 27/2022 wurde am 16. Juli 2026 erlassen und verkündet. Sie tritt sechs Monate nach ihrer Verkündung in Kraft (Art. 225).

Die Aufsichtsbehörde wird vom Präsidenten eingesetzt und durch eine Präsidialverordnung geregelt (Art. 58). Bis zum 10. Oktober 2026 haben wir diese Präsidialverordnung in den amtlichen Rechtsdatenbanken nicht gefunden. In der Sitzung des Verfassungsgerichts am 27. Juli 2026 erklärte die Regierung, der Entwurf sei dem Präsidenten vorgelegt worden. Vorläufig nehme das Ministerium für Kommunikation und Digitales (Kementerian Komunikasi dan Digital) die Aufgaben des Datenschutzes über seine Generaldirektion für die Aufsicht über den digitalen Raum (Direktorat Jenderal Pengawasan Ruang Digital) wahr.

Sanktionen

Verstöße gegen die genannten Pflichten werden mit Verwaltungssanktionen geahndet (Art. 57 Abs. 1): schriftliche Verwarnung, vorübergehende Einstellung der Verarbeitung, Löschung oder Vernichtung der Daten und/oder ein Bußgeld von höchstens 2 Prozent der jährlichen Einnahmen oder Erlöse, bezogen auf die Variable des Verstoßes (Art. 57 Abs. 2 und 3). Diese Sanktionen verhängt die Aufsichtsbehörde.

Die Strafvorschriften setzen vorsätzliches Handeln voraus. Nach Art. 67 drohen bis zu 5 Jahre Freiheitsstrafe, wenn jemand rechtswidrig personenbezogene Daten, die ihm nicht gehören, beschafft, sammelt oder nutzt, und bis zu 4 Jahre, wenn er sie offenlegt. Für das Beschaffen oder Sammeln muss zusätzlich die Absicht bestehen, sich selbst oder anderen einen Vorteil zu verschaffen, der der betroffenen Person schaden kann. Nach Art. 68 drohen bis zu 6 Jahre Freiheitsstrafe, wenn jemand mit derselben Absicht falsche personenbezogene Daten erstellt oder Daten fälscht und dadurch anderen ein Schaden entstehen kann.

Zur Freiheitsstrafe kommt „dan/atau“ (und/oder) eine Geldstrafe. Seit dem 2. Januar 2026 richtet sich ihre Höhe nach den Geldstrafenkategorien des Strafgesetzbuchs (KUHP) gemäß dem Gesetz Nr. 1/2026 über die Anpassung von Strafen: höchstens Kategorie IV (200 Mio. IDR) bei Art. 67 und Kategorie V (500 Mio. IDR) bei Art. 68.

Dieser Artikel ist eine Zusammenfassung und keine Rechtsberatung. Für konkrete Entscheidungen ziehen Sie bitte den Text des UU 27/2022 in der Rechtsdatenbank JDIH des BPK (externe Website) und der PP 33/2026 heran oder wenden Sie sich an die zuständigen Amtspersonen oder Stellen, etwa die Rechtsabteilung der Regionalverwaltung, die APIP (aparat pengawasan intern pemerintah, die interne Aufsicht der Verwaltung) oder die Dorfbegleitung (pendamping desa).