Datenschutzgesetz der VAE: Leitfaden zur Unternehmens-Compliance

Die Vereinigten Arabischen Emirate haben einen der fortschrittlichsten Datenschutzrahmen im Nahen Osten entwickelt, mit mehreren sich überschneidenden Gesetzen, die den Datenschutz in Bundes-, Freizonen- und sektorspezifischen Gerichtsbarkeiten regeln. Um in der schnell wachsenden digitalen Wirtschaft der VAE legal agieren zu können, ist es wichtig zu wissen, welches Recht für Ihr Unternehmen gilt – und die Einhaltung aller geltenden Regelungen sicherzustellen.

Zu den wichtigsten Datenschutzgesetzen der VAE gehören: das Bundesgesetz Nr. 45/2021 zum Schutz personenbezogener Daten (PDPL), gültig ab September 2021, das DIFC-Datenschutzgesetz 2020 (für Unternehmen im Dubai International Financial Centre), die ADGM-Datenschutzbestimmungen 2021 (für Unternehmen im Abu Dhabi Global Market) und sektorspezifische Vorschriften für Gesundheitswesen, Telekommunikation und Finanzdienstleistungen.

Wichtige Erkenntnisse

• Die VAE PDPL (Bundesgesetzesverordnung Nr. 45/2021) gilt für die Verarbeitung personenbezogener Daten in den VAE mit extraterritorialem Geltungsbereich
• DIFC- und ADGM-Freizonen haben ihre eigenen unabhängigen Datenschutzgesetze nach dem Vorbild der DSGVO
• PDPL der VAE bietet acht Rechtsgrundlagen für die Verarbeitung; Einwilligung und berechtigte Interessen werden am häufigsten verwendet
• Zu den Rechten der betroffenen Person gehören Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerruf der Einwilligung und Widerspruch
• Grenzüberschreitende Datenübermittlungen erfordern entweder eine Angemessenheitsfeststellung oder geeignete Schutzmaßnahmen
• Das UAE Data Office (UAEDO) ist die föderale Aufsichtsbehörde; Der DIFC-Kommissar und die ADGM-Regulierungsbehörde überwachen ihre jeweiligen Freizonen
• Zu den Strafen im Rahmen des PDPL gehören Geldstrafen von bis zu 20 Mio. AED (5,4 Mio. USD) und Gefängnisstrafen für bestimmte Verstöße
• Gesundheitsdaten, Finanzdaten und biometrische Daten erhalten als sensible Daten einen erhöhten Schutz

---

Datenschutzrahmen der VAE: Überlappende Gerichtsbarkeiten

Federal PDPL (VAE-Festland)

Das Bundesgesetz Nr. 45/2021 zum Schutz personenbezogener Daten (allgemein PDPL oder UAE DPL genannt) gilt für:

• Natürliche Personen mit Wohnsitz in den VAE
• Jedes Unternehmen, das personenbezogene Daten in den VAE oder über Einwohner der VAE verarbeitet, unabhängig davon, wo die Verarbeitung erfolgt
• Juristische Personen, die personenbezogene Daten im Hoheitsgebiet der VAE verarbeiten

Die PDPL wurde durch den Executive Regulation Cabinet Decision No. 33/2022 ergänzt, der detaillierte Umsetzungsanforderungen enthält. Das UAE Data Office (UAEDO) überwacht die Durchsetzung, die Registrierungsanforderungen und die Erteilung von Leitlinien.

DIFC-Datenschutzgesetz 2020 (DP-Gesetz)

Das Dubai International Financial Centre (DIFC) ist eine unabhängige Freizone mit einem eigenen Rechtssystem, das auf dem englischen Gewohnheitsrecht basiert. Das vom DIFC-Datenschutzbeauftragten verwaltete DIFC-Datenschutzgesetz 2020 entspricht in Struktur und Anforderungen weitgehend der DSGVO. Es gilt für:

• DIFC-registrierte Unternehmen, die personenbezogene Daten verarbeiten
• Stellen außerhalb des DIFC, die Daten von Einzelpersonen im DIFC verarbeiten

ADGM-Datenschutzbestimmungen 2021

Die Freihandelszone Abu Dhabi Global Market (ADGM) verfolgt einen ähnlichen Ansatz wie DIFC, wobei die Datenschutzbestimmungen von der ADGM-Registrierungsbehörde verwaltet werden. Auch diese Regelungen orientieren sich eng an den Grundsätzen der DSGVO.

Praktische Auswirkungen: Ein Unternehmen, das vom Festland Dubai aus mit einer DIFC-registrierten Tochtergesellschaft und einer ADGM-Niederlassung operiert, muss möglicherweise gleichzeitig mit Verpflichtungen aus allen drei Regelungen rechnen. Das Verständnis der Struktur Ihrer juristischen Person ist der Ausgangspunkt für die Compliance-Zuordnung.

---

UAE PDPL: Kernpflichten

Definition und Kategorien personenbezogener Daten

Gemäß der PDPL der VAE sind personenbezogene Daten alle Daten, die direkt oder indirekt zur Identifizierung einer natürlichen Person führen, sei es anhand des Namens, der Stimme, des Bildes, der Identifikationsnummer oder anderer Merkmale oder Daten im Zusammenhang mit der physischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität.

Sensible personenbezogene Daten (die erhöhten Schutz erfordern) umfassen:

• Daten zur familiären oder rassischen Herkunft
• Politische Meinungen
• Religiöse oder philosophische Überzeugungen
• Daten im Zusammenhang mit Strafregistern
• Biometrische Daten
• Gesundheitsdaten
• Daten im Zusammenhang mit Kindern

Die Verarbeitung sensibler Daten erfordert eine ausdrückliche Einwilligung oder unterliegt bestimmten Ausnahmen (gesetzliche Verpflichtung, medizinische Notwendigkeit, lebenswichtige Interessen).

Rechtsgrundlagen für die Verarbeitung

Artikel 5 der UAE PDPL erkennt acht Rechtsgrundlagen an:

1. Ausdrückliche Einwilligung der betroffenen Person
2. Vertragsabwicklung mit der betroffenen Person
3. Einhaltung der gesetzlichen Verpflichtung
4. Schutz lebenswichtiger Interessen der betroffenen Person oder eines Dritten
5. Öffentliches Interesse oder Ausübung öffentlicher Gewalt
6. Berechtigte Interessen des Verantwortlichen oder eines Dritten (sofern nicht die Interessen der betroffenen Person überwiegen)
7. Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen
8. Archivierungs-, Forschungs- oder Statistikzwecke im öffentlichen Interesse

Einwilligungsanforderungen: Gemäß der PDPL der VAE muss die Einwilligung ausdrücklich, spezifisch, informiert und überprüfbar sein. Der Verantwortliche muss nachweisen können, dass eine Einwilligung eingeholt wurde. Der Widerruf der Einwilligung muss so einfach sein wie die Erteilung der Einwilligung, und die auf der Einwilligung basierende Verarbeitung muss mit dem Widerruf beendet sein.

Rechte der betroffenen Person

Die PDPL der VAE gewährt betroffenen Personen Rechte, die innerhalb von 30 Tagen erfüllt werden müssen (mit Begründung verlängerbar):

Ausübung von Rechten: Verantwortliche müssen klare Kanäle für den Empfang und die Beantwortung von Rechteanfragen einrichten. Ablehnungen müssen mit Begründung dokumentiert werden.

---

Pflichten des Verantwortlichen und Auftragsverarbeiters

Pflichten des Verantwortlichen

Registrierung bei UAEDO: Unternehmen, die personenbezogene Daten verarbeiten, müssen sich möglicherweise beim UAE Data Office registrieren. Die UAEDO entwickelt Registrierungsanforderungen durch zusätzliche Vorschriften. Beachten Sie die Leitlinien der UAEDO hinsichtlich der aktuellen Anforderungen.

Datenschutzerklärung: Muss den betroffenen Personen bei oder vor der Erhebung zur Verfügung gestellt werden und Folgendes offenlegen:

• Identität und Kontaktdaten des Verantwortlichen
• Zwecke und Rechtsgrundlage der Verarbeitung
• Kategorien der erhobenen personenbezogenen Daten
• Aufbewahrungsfristen für Daten
• Rechte der betroffenen Person und deren Ausübung
• Informationen zu grenzüberschreitenden Überweisungen
• Ob die Bereitstellung der Daten obligatorisch oder freiwillig ist

Datenschutzbeauftragter: Das PDPL der VAE erfordert die Ernennung eines Datenschutzbeauftragten (DPO) für:

• Öffentliche Einrichtungen
• Verantwortliche oder Auftragsverarbeiter, deren Kerntätigkeit eine umfassende systematische Überwachung von Personen erfordert
• Verantwortliche oder Auftragsverarbeiter, deren Kerntätigkeit die umfangreiche Verarbeitung sensibler Daten umfasst

Privatunternehmen, die diese Kriterien nicht erfüllen, können dennoch von der Ernennung eines Datenschutzbeauftragten für Governance-Zwecke profitieren.

Sicherheitsmaßnahmen: Implementieren Sie geeignete technische und organisatorische Sicherheitsmaßnahmen unter Berücksichtigung der Art, des Umfangs, des Kontexts und der Zwecke der Verarbeitung sowie der Risiken für die Rechte der betroffenen Person.

Auftragsverarbeitervereinbarungen

Auftragsverarbeiter dürfen Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten. Vereinbarungen zwischen Verantwortlichen und Auftragsverarbeitern müssen Folgendes umfassen:

• Hinweise zur Datenverarbeitung und Umfang
• Geheimhaltungspflichten
• Sicherheitsanforderungen
• Einschränkungen für Unterauftragsverarbeiter
• Unterstützung bei den Rechten betroffener Personen
• Datenrückgabe- oder Löschpflichten

---

Regeln für die grenzüberschreitende Datenübertragung

Artikel 22 der VAE-PDPL schränkt die Übermittlung personenbezogener Daten außerhalb der VAE ein. Zulässige Übertragungsmechanismen:

Angemessenheitsentscheidungen der VAEDO: Die VAEDO erstellt die Liste der Länder mit angemessenem Datenschutz. Ab Anfang 2026 wird die formelle Angemessenheitsliste noch erstellt. In der Praxis nutzen viele Unternehmen in den VAE Vertragsklauseln für grenzüberschreitende Überweisungen.

Überlegungen zur Freizone: DIFC und ADGM verfügen über eigene Übertragungsmechanismen. Das DIFC-Datenschutzrecht erkennt Übermittlungen in entsprechende Länder (einschließlich DSGVO-adäquate Länder), verbindliche Unternehmensregeln und Standardvertragsklauseln an. Der DIFC-Kommissar hat spezifische Transfermechanismen genehmigt.

---

DIFC-Datenschutzgesetz 2020 – Hauptunterschiede

Für Unternehmen, die im oder über das DIFC tätig sind, gilt das DIFC-DP-Gesetz 2020 direkt und ist stärker an die DSGVO angepasst als das bundesstaatliche PDPL. Hauptmerkmale:

Sechs Rechtsgrundlagen (entsprechend der DSGVO): Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe, berechtigte Interessen

Strengere Einwilligungsanforderungen: Für die Verarbeitung besonderer Kategorien personenbezogener Daten ist eine schriftliche Einwilligung erforderlich; Die Einwilligung muss aus freien Stücken erfolgen (es gelten Machtungleichgewichte).

Benachrichtigung über Datenschutzverletzungen: 72-Stunden-Benachrichtigung an den DIFC-Beauftragten; Individuelle Benachrichtigung bei hohem Risiko – entspricht dem DSGVO-Timing

DPO-Anforderung: Gleiche Schwellenwerte wie DSGVO (systematische Überwachung, umfangreiche Sonderkategoriedaten, Behörde)

Bußgelder: Bis zu 100.000 USD für Verstöße der Stufe 1; unbegrenzt für Level 2 (schwerwiegende, vorsätzliche oder fahrlässige Verstöße)

Datenschutz-Folgenabschätzungen: Erforderlich für Verarbeitung mit hohem Risiko (gleiche Auslöser wie DSGVO Artikel 35)

---

Branchenspezifische Datenschutzanforderungen

Gesundheitsdaten

Das Gesundheitsdatengesetz der VAE (Bundesgesetz Nr. 2/2019) und die Vorschriften der Dubai Health Authority stellen zusätzliche Anforderungen an Gesundheitsdaten:

• Für die gemeinsame Nutzung von Gesundheitsdaten ist die Zustimmung des Patienten erforderlich (mit besonderen Ausnahmen für öffentliche Gesundheit und Forschung).
• Gesundheitsdaten müssen innerhalb der VAE gespeichert werden, es sei denn, die grenzüberschreitende Übertragung ist ausdrücklich genehmigt
• Elektronische Gesundheitsakten müssen bestimmte Sicherheits- und Interoperabilitätsstandards erfüllen – Die Dubai Health Authority hält verbindliche Datenlokalisierungsanforderungen für Gesundheitsdaten aufrecht

Finanzdienstleistungen

Die Zentralbank der VAE und die Securities and Commodities Authority (SCA) haben Datenschutz- und Cybersicherheitsanforderungen für Finanzinstitute. Zu den wichtigsten Anforderungen gehören:

• Klassifizierung und Schutz von Kundendaten proportional zur Sensibilität
• Kundenbenachrichtigung über Datenschutzverletzungen innerhalb definierter Zeitrahmen
• Einschränkungen bei der Weitergabe von Finanzdaten von Kunden ohne Zustimmung
• Einhaltung des Cybersecurity Frameworks (CBUAE Cybersecurity Framework für Banken)

Telekommunikationsdaten

Die Regulierungsbehörde für Telekommunikation (TRA) regelt die Verarbeitung personenbezogener Daten durch Telekommunikationsanbieter, darunter:

• Schutz der Privatsphäre der Abonnenten
• Zugriffsbeschränkungen für Anrufdetaildatensätze
• Standortdatenschutz
• Datenlokalisierungsanforderungen für bestimmte Telekommunikationsdaten

---

Benachrichtigung über Verstöße gemäß UAE PDPL

Artikel 16 der PDPL der VAE verlangt von den für die Verarbeitung Verantwortlichen, Folgendes zu melden:

1. Das UAE Data Office: Innerhalb von 72 Stunden nach Kenntnisnahme eines Verstoßes gegen den Schutz personenbezogener Daten, der den betroffenen Personen voraussichtlich Schaden zufügen wird
2. Betroffene Personen: Ohne unangemessene Verzögerung, wenn der Verstoß voraussichtlich ein hohes Risiko für ihre Rechte mit sich bringt

Die Meldung an die UAEDO muss Folgendes enthalten:

• Art des Verstoßes
• Kategorien und ungefähre Anzahl der betroffenen betroffenen Personen
• Kategorien und ungefähre Anzahl der betroffenen personenbezogenen Datensätze
• Kontaktdaten des Datenschutzbeauftragten
• Wahrscheinliche Folgen des Verstoßes
• Maßnahmen, die ergriffen oder vorgeschlagen wurden, um den Verstoß zu beheben

Dokumentation: Auch wenn keine Meldung erforderlich ist (da das Risiko für die betroffenen Personen unwahrscheinlich ist), muss der Verstoß intern mit Fakten, Auswirkungen und Abhilfemaßnahmen dokumentiert werden.

---

PDPL-Strafen und Durchsetzung

Das UAE Data Office (UAEDO) verfügt über weitreichende Durchsetzungsbefugnisse, einschließlich Ermittlungen, Bußgeldern und der Überweisung an die Staatsanwaltschaft in Strafsachen.

Verwaltungsrechtliche Sanktionen:

• Geldstrafen von bis zu 5 Mio. AED (1,36 Mio. USD) für Verstöße gegen die Pflichten des Verantwortlichen/Auftragsverarbeiters
• Bußgelder von bis zu 20 Millionen AED (5,44 Millionen US-Dollar) für Verstöße im Zusammenhang mit sensiblen Daten oder für die Schädigung betroffener Personen

Strafrechtliche Sanktionen: Das Bundesgesetz Nr. 34/2021 zur Bekämpfung von Gerüchten und Cyberkriminalität überschneidet sich bei bestimmten datenbezogenen Straftaten mit dem PDPL. Bestimmte datenbezogene Straftaten können zu Freiheitsstrafen und/oder Geldstrafen von bis zu 3 Mio. AED führen.

Bußgelder des DIFC-Kommissars: Unbegrenzte Geldstrafen für schwerwiegende Verstöße; 100.000 US-Dollar für kleinere Verstöße. Das DIFC hat in der Vergangenheit aktiv mit veröffentlichten Entscheidungen Durchsetzungsmaßnahmen ergriffen.

---

Checkliste zur Einhaltung des Datenschutzes in den VAE

• Für jede juristische Person festgelegtes anwendbares Recht (Bundes-PDPL, DIFC-DP-Gesetz, ADGM-DPR oder eine Kombination)
• Bestandsaufnahme personenbezogener Daten in allen Systemen abgeschlossen
• Sensible Daten identifiziert und erhöhte Schutzmaßnahmen angewendet
• Rechtsgrundlage für jede Verarbeitungstätigkeit dokumentiert
• Datenschutzerklärung veröffentlicht, die alle erforderlichen Offenlegungen abdeckt
• DPO wird bei Bedarf ernannt; Kontaktdaten veröffentlicht
• Verfahren zu den Rechten der betroffenen Personen dokumentiert (30-tägige Reaktionszeit)
• Prozessorvereinbarungen überprüft und an die PDPL-Anforderungen angepasst
• Bewertung der grenzüberschreitenden Übertragung abgeschlossen – Mechanismen vorhanden
• Lokalisierung von Gesundheitsdaten, falls zutreffend, bewertet
• Sicherheitsmaßnahmen dokumentiert und risikoproportional umgesetzt
• Verfahren zur Meldung von Verstößen dokumentiert (72-Stunden-Zeitplan)
• Mitarbeiterschulung zu PDPL/DIFC DP-Pflichten abgeschlossen
• UAEDO-Registrierung gemäß den geltenden Vorschriften bewertet

---

Häufig gestellte Fragen

Welches Datenschutzgesetz der VAE gilt für mein Freihandelszonengeschäft?

Das hängt von Ihrer Freizone ab. Im DIFC registrierte Unternehmen unterliegen dem DIFC-Datenschutzgesetz 2020, das vom Bundes-PDPL unabhängig ist. Unternehmen in ADGM unterliegen den ADGM-Datenschutzbestimmungen 2021. Unternehmen in anderen Freizonen (JAFZA, DMCC, Dubai Internet City usw.) unterliegen im Allgemeinen neben den eigenen Vorschriften der Freizone der bundesstaatlichen PDPL. In vielen Fällen, insbesondere für Unternehmen mit Geschäftstätigkeiten auf dem Festland der Vereinigten Arabischen Emirate und in Freizonen, gelten mehrere Rahmenwerke.

Erfordert die PDPL der VAE eine Datenlokalisierung?

Die VAE-PDPL selbst schreibt keine pauschalen Anforderungen an die Datenlokalisierung vor – grenzüberschreitende Übertragungen sind unter entsprechenden Sicherheitsvorkehrungen zulässig. Branchenspezifische Vorschriften (insbesondere Gesundheitswesen und Finanzdienstleistungen) können jedoch Lokalisierungsanforderungen für bestimmte Datenkategorien vorschreiben. Das Cybersicherheitsrahmenwerk der Zentralbank der Vereinigten Arabischen Emirate und die Vorschriften der Dubai Health Authority schreiben Datenverweilpflichten für bestimmte regulierte Daten vor. Überprüfen Sie zusätzlich zur PDPL immer auch branchenspezifische Anforderungen.

Wie gilt der Datenschutz der VAE für Cloud-Dienste?

Cloud-Dienstanbieter, die personenbezogene Daten aus den VAE im Namen von Unternehmen in den VAE verarbeiten, sind Auftragsverarbeiter im Sinne der PDPL. Sie müssen Verarbeitungsvereinbarungen mit Verantwortlichen abschließen, geeignete Sicherheitsmaßnahmen implementieren und die Anforderungen an die grenzüberschreitende Übertragung einhalten, wenn Daten außerhalb der VAE gespeichert werden. Unternehmen in den Vereinigten Arabischen Emiraten, die Cloud-Dienste nutzen, sollten Folgendes überprüfen: den PDPL-Konformitätsstatus des Cloud-Anbieters, ob ein BAA/DPA vorhanden ist und ob der Datenspeicherort grenzüberschreitende Übertragungsmechanismen erfordert.

Was ist der Ansatz der VAE in Bezug auf KI und automatisierte Entscheidungsfindung?

Die PDPL der VAE beinhaltet das Recht, nicht Entscheidungen unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruhen und erhebliche rechtliche oder ähnlich erhebliche Auswirkungen haben – und auf Anfrage ein menschliches Eingreifen erfordern. Die VAE haben außerdem ein KI-Ethik-Rahmenwerk und die Dubai AI Strategy 2031 entwickelt, die den Schwerpunkt auf Datenschutz und Ethik in der KI legen. Unternehmen, die KI für wichtige Entscheidungen (Kreditbewertung, Personalprüfung, Kundenklassifizierung) nutzen, sollten sowohl PDPL-Verpflichtungen als auch branchenspezifische KI-Governance-Anforderungen bewerten.

Wie ist der Datenschutz in den VAE im Vergleich zur DSGVO?

Die PDPL der VAE teilt die Grundprinzipien der DSGVO (Rechtmäßigkeit, Fairness, Transparenz, Zweckbindung, Datenminimierung, Genauigkeit, Speicherbeschränkung, Sicherheit, Rechenschaftspflicht) und ähnliche Rechte betroffener Personen. Allerdings ist die PDPL in einigen Bereichen weniger präskriptiv – Fristen, DPO-Qualifikationsanforderungen und DSFA-Anforderungen sind weniger detailliert als die DSGVO. Das DIFC DP Law 2020 ist in Struktur und Detail deutlich näher an der DSGVO. Organisationen, die sowohl der DSGVO als auch der PDPL der VAE unterliegen, werden feststellen, dass die Einhaltung der DSGVO eine solide Grundlage für die Einhaltung der PDPL bildet, wobei einige VAE-spezifische Ergänzungen erforderlich sind.

---

Nächste Schritte

Das komplexe, vielschichtige Datenschutzumfeld der VAE – bundesstaatliche PDPL, DIFC, ADGM und Sektorvorschriften – erfordert einen strukturierten Compliance-Ansatz, der die Verpflichtungen jeder relevanten juristischen Person und jedem relevanten Datenfluss zuordnet. Das Team von ECOSIRE verfügt über Erfahrung in der Einhaltung von Compliance-Vorgaben in Freihandelszonen und Festlandumgebungen der VAE und verfügt über besondere Expertise bei der Implementierung von Technologieplattformen, die mehrere regulatorische Anforderungen gleichzeitig erfüllen.

Erste Schritte: ECOSIRE Services

Haftungsausschluss: Dieser Leitfaden dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Die Datenschutzgesetze der VAE entwickeln sich weiter und dieser Leitfaden spiegelt die Anforderungen ab Anfang 2026 wider. Wenden Sie sich an einen qualifizierten Rechtsberater der VAE, um spezifische Ratschläge für Ihre Organisation und Gerichtsbarkeit zu erhalten.