Datenschutzrecht in den Vereinigten Arabischen Emiraten

Contact Us

Die VAE haben mit dem Bundesgesetzdekret Nr. 45 von 2021 über den Schutz personenbezogener Daten (PDPL) einen umfassenden nationalen Datenschutzrahmen eingeführt. Das Gesetz gilt für alle in den VAE ansässigen Unternehmen, die personenbezogene Daten von betroffenen Personen innerhalb und außerhalb der VAE verarbeiten sowie für Unternehmen mit Sitz außerhalb der VAE, sofern sie Daten von in den VAE befindlichen Personen verarbeiten.

Ausgenommen sind staatliche Stellen sowie Organisationen im Gesundheits- und Bankensektor, für die sektorspezifische Vorschriften gelten.

Aktueller Stand der Durchsetzung (2026)

Die Durchführungsverordnungen zum PDPL wurden als Kabinettsbeschluss Nr. 111/2023 erlassen. Unternehmen haben ab deren Veröffentlichung eine 6-monatige Übergangsfrist, um ihre Prozesse anzupassen. Die vollständige Durchsetzung des PDPL beginnt am 1. Januar 2027. Dies sollte nicht als Anlass zur Untätigkeit missverstanden werden: Unternehmen, die ihre Compliance-Strukturen jetzt aufbauen, sind deutlich besser positioniert — erfahrungsgemäß dauert die Implementierung der erforderlichen technischen und organisatorischen Maßnahmen 4 bis 8 Monate. Ergänzend gilt ab 1. Januar 2026 das neue Bundesgesetzdekret Nr. 26/2025 über digitale Kindersicherheit, das Plattformen mit Minderjährigen-Nutzern zusätzliche Pflichten auferlegt (Altersverifizierung, Inhaltsfilter, Verbote zur verhaltensbezogenen Profilbildung) mit einer Übergangsfrist bis 1. Januar 2027.

Beteiligte Parteien im Rahmen des PDPL

Das Gesetz definiert mehrere Rollen:

Betroffene Personen sind natürliche Personen, deren Daten verarbeitet werden. Verantwortliche kontrollieren Methode, Kriterien und Zweck der Datenverarbeitung. Auftragsverarbeiter verarbeiten personenbezogene Daten im Auftrag des Verantwortlichen nach dessen Weisungen. Der Datenschutzbeauftragte (DSB) wird vom Verantwortlichen oder Auftragsverarbeiter zur Sicherstellung der Compliance ernannt. Das UAE Data Office, gegründet durch das Bundesgesetzdekret Nr. 44 von 2021, st die zuständige Bundesbehörde für den Datenschutz im Festland.

Gesetzliche Kontrollen der Datenverarbeitung

Personenbezogene Daten umfassen alle Daten, die eine natürliche Person direkt oder indirekt identifizierbar machen, einschließlich sensibler personenbezogener Daten (Gesundheit, ethnische Zugehörigkeit, Vorstrafen, Weltanschauung) und biometrischer Daten. Das Gesetz verlangt, dass personenbezogene Daten fair, transparent und rechtmäßig verarbeitet, für einen bestimmten Zweck erhoben, korrekt gespeichert und nach Erfüllung ihres Zwecks gelöscht oder pseudonymisiert werden.

Einwilligung der betroffenen Person

Personenbezogene Daten dürfen grundsätzlich nur mit Einwilligung der betroffenen Person erhoben und verarbeitet werden. Ausnahmen bestehen, wenn Daten öffentlich gemacht wurden, zur Ausübung gesetzlicher oder vertraglicher Rechte erforderlich sind oder öffentliche Interessen betroffen sind. Die Einwilligung muss klar, einfach und widerrufbar eingeholt werden, und der Verantwortliche muss sie nachweisen können.

Pflichten des Verantwortlichen und des Auftragsverarbeiters

Pflichten des Verantwortlichen

Verantwortliche müssen technische und organisatorische Schutzmaßnahmen umsetzen, die Bestimmungen des PDPL einhalten, ein Verzeichnis aller erhobenen personenbezogenen Daten führen und Auftragsverarbeiter mit hinreichenden Garantien benennen. Dies gilt auch für automatisierte Verarbeitungsvorgänge.

Pflichten des Auftragsverarbeiters

Auftragsverarbeiter dürfen Daten ausschließlich gemäß den Weisungen des Verantwortlichen verarbeiten, müssen Datenschutz bereits in der Entwurfsphase einbetten (Privacy by Design), Daten nach Ablauf des festgelegten Zeitraums löschen oder übergeben und ein gesondertes Verzeichnis der verarbeiteten Daten führen.

Datenpannen: Meldepflichten und Fristen

Eine Datenpanne bezeichnet jeden unbefugten oder rechtswidrigen Zugriff, der zur Zerstörung, Veränderung oder Offenlegung personenbezogener Daten führt, einschließlich Hacking, Datenverlust oder unbefugter Weitergabe. Der Verantwortliche muss eine Datenpanne unverzüglich in der Praxis innerhalb von 72 Stunden nach Kenntniserlangung dem UAE Data Office melden und zugleich die betroffene Person über den Vorfall und die ergriffenen Maßnahmen informieren. Erlangt der Auftragsverarbeiter Kenntnis von einer Panne, muss er diese dem Verantwortlichen melden. Für den technischen Schutz vor solchen Vorfällen unterstützt unsere proaktive Cyber-Risikobewertung.

Rechte der betroffenen Person

Das PDPL gewährt betroffenen Personen folgende Rechte gegenüber Verantwortlichen und Auftragsverarbeitern: Recht auf Auskunft über verarbeitete Daten und deren Zweck; Recht auf Datenübertragbarkeit; Recht auf Berichtigung oder Löschung; Recht auf Einschränkung der Verarbeitung; Recht auf Widerspruch bei Verarbeitung zu Marketing- oder Umfragezwecken; sowie das Recht, automatisierten Entscheidungen einschließlich Profiling zu widersprechen.

Datenschutzbeauftragter (DSB) und Datenschutz-Folgenabschätzung

Ein DSB muss ernannt werden, wenn personenbezogene Daten in großem Umfang verarbeitet werden, die Verarbeitung ein hohes Risiko für Vertraulichkeit und Schutz der Daten birgt oder sensible Daten einschließlich Profiling und automatisierter Verarbeitung verarbeitet werden. MBGs virtueller Datenschutzbeauftragter (vDPO) bietet eine kosteneffiziente Lösung, um diese gesetzliche Anforderung strukturiert und kompetent zu erfüllen.

Dieselben Voraussetzungen begründen auch die Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DPIA). Diese muss eine detaillierte Beschreibung der Verarbeitungstätigkeit und ihrer Zwecke, eine Bewertung der Notwendigkeit der Verarbeitung, eine Risikoanalyse für die Rechte und Freiheiten der betroffenen Personen sowie vorgeschlagene Risikominderungsmaßnahmen enthalten. Die Ergebnisse der DPIA sind regelmäßig zu überprüfen.

Grenzüberschreitende Übermittlung personenbezogener Daten

Personenbezogene Daten dürfen in eine andere Rechtsordnung übermittelt werden, sofern diese über angemessene Datenschutzvorschriften verfügt entsprechend der Einschätzung des UAE Data Office. In Rechtsordnungen ohne angemessenen Schutz ist eine Übermittlung möglich, wenn die beteiligten Parteien vertraglich die Einhaltung des PDPL sicherstellen, die betroffene Person ausdrücklich zugestimmt hat oder die Übermittlung zur Erfüllung vertraglicher oder gerichtlicher Pflichten notwendig ist.

Datenschutz im DIFC und im ADGM

DIFC

Das DIFC unterliegt dem Datenschutzgesetz Nr. 5 von 2020 (DIFC DP Law). Mit dem Änderungsgesetz Nr. 1 von 2025, in Kraft seit dem 15. Juli 2025, wurden wesentliche Verschärfungen vorgenommen. Die wichtigsten Neuerungen: Betroffene Personen können Verstöße nun direkt vor den DIFC-Gerichten einklagen (Private Right of Action) ohne vorherige Einschaltung des Commissioners. Der räumliche Geltungsbereich wurde ausgeweitet: Das Gesetz gilt jetzt für alle im DIFC eingetragenen Verantwortlichen und Auftragsverarbeiter, unabhängig davon, wo die Verarbeitung stattfindet. Bußgelder können bis zu USD 100.000 pro Verstoß betragen. Für internationale Datenübermittlungen ist eine dokumentierte Angemessenheitsprüfung verpflichtend. Diese Änderungen machen Datenschutz im DIFC zu einem Thema auf Vorstandsebene.

ADGM

Die ADGM-Datenschutzverordnung 2021 wird durch das Office of Data Protection durchgesetzt. Sie gilt für alle Niederlassungen von Verantwortlichen oder Auftragsverarbeitern innerhalb der ADGM unabhängig vom Ort der Datenverarbeitung. Extraterritoriale Anwendbarkeit gilt, wenn eine wesentliche und verflochtene Beziehung zwischen einem außerhalb der ADGM ansässigen Unternehmen und einer ADGM-Niederlassung besteht. Die Verordnung sieht Bußgelder von bis zu USD 28 Millionen vor.

Fazit

Für Unternehmen, die personenbezogene Daten von Personen in den VAE verarbeiten, ist die Einhaltung des PDPL und der anwendbaren Sonderrahmen (DIFC, ADGM) keine zukunftige Pflicht, sondern eine unmittelbare operative Notwendigkeit. Die DIFC-Änderungen von Juli 2025 haben das Risikoprofil für Verstöße erheblich erhöht. Datenschutzrichtlinien, Einwilligungsmanagementsysteme und DPIA-Prozesse sollten ohne weitere Verzögerung überprüft und aktualisiert werden. Unsere Legal-Compliance-Dienstleistungen begleiten Sie durch alle Anforderungen des aktuellen Rechtsrahmens strukturiert und praxisnah.