Schutz personenbezogener Daten in Thailand: Bekanntmachung der PDPC zu den Verfahren für Auskunftsersuchen betroffener Personen gemäß § 30 des PDPA

Veröffentlicht am 29.07.2026

Von unserem deutschsprachigen CBBL-Anwalt in Bangkok:

Dr. Andreas Respondek
Rechtsanwalt

zum Autor

sowie Ms. Sutthida Norasarn und Ms. Mooknapa Kliengsong

Das Auskunftsrecht gemäß § 30 des thailändischen Gesetzes zum Schutz personenbezogener Daten B.E. 2562 (2019) war bislang nur wenig detailliert geregelt. Dies änderte sich am 16. Juli 2026, als Thailands Ausschuss für den Schutz personenbezogener Daten (Personal Data Protection Commission, PDPC) im Regierungsanzeiger eine Bekanntmachung veröffentlichte, in der festgelegt wurde, wie Auskunftsersuchen künftig entgegengenommen, geprüft, beantwortet und protokolliert werden müssen. Sie tritt 60 Tage nach ihrer Veröffentlichung, also Mitte September 2026, in Kraft, und für im Ausland ansässige Verantwortliche gelten dieselben Bestimmungen wie für inländische.

1. Geltungsbereich der Bekanntmachung des thailändischen Ausschusses für den Schutz personenbezogener Daten

Die Bekanntmachung gilt für zwei Arten von Anträgen: Anträge auf Einsichtnahme in die eigenen personenbezogenen Daten oder auf Erhalt einer Kopie davon sowie Anträge auf Auskunft über die Herkunft von Daten, die ohne Einwilligung erhoben wurden. Betroffene können persönlich oder über einen bestellten Vertreter handeln.

2. Vorgeschriebene Antragswege und Inhalt eines gültigen Antrags

Verantwortliche müssen Anträge sowohl persönlich am Geschäftssitz als auch per Einschreiben entgegennehmen. Elektronische Kanäle bleiben optional, doch ein Verantwortlicher, der einen solchen anbietet, kann diesen auch zur Übermittlung der Antwort nutzen. Anträge müssen schriftlich oder elektronisch erfolgen und die betroffene Person identifizieren, die bevorzugte Art des Zugriffs angeben, die angeforderten Daten beschreiben sowie die Unterschrift des Antragstellers enthalten. Verantwortliche können weitere Angaben zur Identifizierung verlangen.

3. Überprüfung der Identität und der Bevollmächtigung eines Vertreters

Es können amtliche Ausweisdokumente verlangt werden. Handelt ein Vertreter, sind die Vollmacht sowie die Ausweisdokumente beider Personen erforderlich. Digitale Authentifizierung und vergleichbare Alternativen sind zulässig, sofern sie in der Praxis kein Hindernis darstellen.

4. Prüfungs- und Antwortfristen für Auskunftsersuche

Ein Antrag muss innerhalb von 15 Tagen geprüft werden. Fehlen Angaben, benachrichtigt der Verantwortliche den Antragsteller und räumt ihm mindestens 15 Tage zur Nachbesserung ein; erfolgt keine Nachbesserung, kann der Antrag als zurückgezogen betrachtet werden. Nach der Validierung muss der Antrag innerhalb von 30 Tagen bearbeitet werden, wobei bei komplexen oder umfangreichen Anträgen eine einmalige Verlängerung um weitere 30 Tage möglich ist, worüber der Antragsteller informiert wird. Der Zugang kann durch Einsichtnahme, durch Bereitstellung von Kopien oder auf elektronischem Wege gewährt werden; elektronische Anträge sollten, soweit möglich, elektronisch beantwortet werden.

5. Ablehnungsgründe, zulässige Gebühren und Aufbewahrungspflichten

Ein Verantwortlicher kann einen Antrag ablehnen, wenn dies gesetzlich oder durch einen Gerichtsbeschluss zulässig ist, wenn die Erfüllung die Rechte Dritter – wie beispielsweise die Daten einer anderen Person, Geschäftsgeheimnisse oder geistiges Eigentum – beeinträchtigen würde oder wenn ein Antrag offensichtlich unbegründet oder unverhältnismäßig aufwendig ist. Die Gründe müssen schriftlich mitgeteilt und protokolliert werden. Der elektronische Zugang, der keine besonderen Aufzeichnungs- oder Übermittlungskosten verursacht, sollte in der Regel kostenlos sein; etwaige Gebühren müssen angemessen sein, auf die tatsächlichen Kosten begrenzt sein, mit der der Bekanntmachung beigefügten Gebührenordnung übereinstimmen und im Voraus veröffentlicht werden. Anträge und Antworten müssen mindestens zwei Jahre lang aufbewahrt werden, auf Wunsch auch in elektronischer Form. Wenn sektorale Rechtsvorschriften eigene Auskunftspflichten vorschreiben, befolgen die Verantwortlichen beide Vorschriften und stimmen die beiden Verfahren aufeinander ab, anstatt sich zwischen ihnen zu entscheiden.

6. Vorbereitungen vor Inkrafttreten der Meldepflicht

Sechzig Tage sind keine lange Frist für eine Organisation, die einen Prozess von Grund auf neu aufbaut. Die derzeitige Vorgehensweise sollte mit den Meldepflichten abgeglichen und jede Lücke notiert werden. Insbesondere die Kanäle „persönliche Übergabe“ und „Einschreiben“ stellen eine Herausforderung für rein digital agierende Unternehmen dar. Datenschutzerklärungen und interne Richtlinien sollten die Kanäle, Gebühren und Fristen klar darlegen, unterstützt durch ein Anfragemanagement, das den Verifizierungsstatus, Fristen, Verlängerungen und die Aufbewahrung erfasst. Die Mitarbeiter, die Anfragen tatsächlich entgegennehmen – darunter Datenschutzbeauftragte, Serviceteams mit Kundenkontakt sowie Mitarbeiter der Rechts- und Compliance-Abteilungen – benötigen Schulungen, und es sollten im Voraus Vorlagen für Bestätigungen, Mängelbescheide, Fristverlängerungen, Verzichtserklärungen und begründete Ablehnungen erstellt werden.

Besondere Sorgfalt ist bei der Vorlage für Ablehnungen geboten. Eine Ablehnung ohne dokumentierte Begründung gilt nun als nachweisbarer Verstoß gegen die Compliance-Vorschriften und nicht mehr als Ermessensentscheidung.

Dieser Artikel soll einen allgemeinen Überblick vermitteln und stellt keine Rechtsberatung dar. Wenn Sie Fragen haben oder maßgeschneiderte rechtliche Unterstützung benötigen, wenden Sie sich bitte an das Team von Respondek & Fan.

Sie haben weitere Fragen zum Schutz personenbezogener Daten in Thailand?

Sprechen Sie uns an!

Unser deutschsprachiger CBBL-Anwalt in Bangkok, Herr Rechtsanwalt Dr. Andreas Respondek, berät Sie gerne: respondek@cbbl-lawyers.de, Tel. +66 2 635 5498