Bundes-PDPL der VAE (Bundesdekretgesetz 45/2021): Geltung, Ausnahmen, Pflichten und was die Ausführungsverordnung offenlässt

Problem in der Praxis

Der erste Fehler ist der Schluss vom Sitz auf die Geltung. Wer nur eine Vertriebsgesellschaft in Dubai sieht, prüft das Bundes-PDPL für diese Gesellschaft und übersieht, dass Art. 2 Abs. 1 auch Verantwortliche und Auftragsverarbeiter außerhalb des Staates erfasst, die Daten von Personen im Staat verarbeiten. Ein CRM in Deutschland mit Kundendaten aus den VAE, ein Webshop oder ein Konzern-HR-System mit Mitarbeitenden in den VAE können damit in den Geltungsbereich fallen.

Der zweite Fehler ist die pauschale Lesart der Ausnahmen. Art. 2 Abs. 2 nimmt Gesundheitsdaten und Bank- und Kreditdaten nicht als solche aus, sondern nur, soweit für sie eine eigene Gesetzgebung zu Schutz und Verarbeitung besteht. Ebenso sind Unternehmen in Freizonen nicht allgemein ausgenommen, sondern nur in Freizonen, die eigene Datenschutzgesetzgebung haben. Wer eine Freizonen-Lizenz hat, muss also zuerst klären, ob seine Freizone ein eigenes Datenschutzrecht führt.

Der dritte Fehler ist der Analogieschluss aus der DSGVO bei der Rechtsgrundlage. Das Bundes-PDPL verbietet in Art. 4 die Verarbeitung ohne Einwilligung und lässt sie ohne Einwilligung nur in den dort genannten Fällen zu. Ein allgemeines berechtigtes Interesse als Ausnahme nennt die Liste nicht; weitere Fälle kann die Ausführungsverordnung bestimmen. Eine Verarbeitungslandschaft, die in Europa auf berechtigtem Interesse ruht, braucht für die VAE eine eigene Prüfung.

CISO-Einordnung

Rechtsakt und Stand. Das Bundesdekretgesetz Nr. 45 von 2021 wurde nach der vorliegenden Ausgabe am 20.09.2021 (13. Safar 1443) erlassen, im Amtsblatt Nr. 712 (Beilage 1) am 26.09.2021 veröffentlicht und gilt nach Art. 31 ab dem 2. Januar 2022. Grundlage dieses Artikels ist die arabische Ausgabe des Dubai Judicial Institute (erste Auflage 1444 AH / 2023), bezogen über das amtliche Portal u.ae; eine englische Fassung lag nicht als Snapshot vor. Ob das Gesetz nach 2023 geändert wurde, lässt sich aus den Snapshots nicht feststellen. Das Portal u.ae (Stand der Seite 04.12.2025) nennt als Inkrafttreten den 2. Januar 2022 und verweist auf den dort nur arabisch angebotenen Text.

Die Aufsicht. Zuständig ist das Datenbüro (UAE Data Office), errichtet durch das Bundesdekretgesetz Nr. 44 von 2021. Das Portal u.ae beschreibt es als künftige Bundesdatenaufsicht, die dem Kabinett zugeordnet ist und unter anderem Richtlinien und Anweisungen zur Umsetzung des Gesetzes erlassen und Beschwerdeverfahren aufbauen soll. Nach Art. 27 kann der Kabinettsrat auf Vorschlag des Generaldirektors des Büros einzelne Zuständigkeiten an zuständige lokale Regierungsstellen delegieren.

Geltung nach Art. 2 Abs. 1. Das Gesetz knüpft an drei Gruppen an: betroffene Personen mit Wohnsitz oder Geschäftssitz im Staat; Verantwortliche oder Auftragsverarbeiter, die sich im Staat befinden und Daten von Personen im Staat oder außerhalb verarbeiten; und Verantwortliche oder Auftragsverarbeiter außerhalb des Staates, die Daten von Personen im Staat verarbeiten. Die Begriffe sind weit gefasst: Einrichtung ist nach Art. 1 jede Gesellschaft oder Einzelunternehmung innerhalb oder außerhalb des Staates, einschließlich solcher mit ganzer oder teilweiser staatlicher Beteiligung. Besondere Kategorien (sensible Daten) umfassen nach Art. 1 unter anderem Angaben zu Familie, ethnischer Herkunft, politischen oder philosophischen Ansichten, religiösen Überzeugungen, Vorstrafen, biometrische Daten und Gesundheitsdaten.

Ausnahmen nach Art. 2 Abs. 2. Nicht anwendbar ist das Gesetz auf: staatliche Daten; staatliche Stellen, die personenbezogene Daten kontrollieren oder verarbeiten; personenbezogene Daten bei Sicherheits- und Justizbehörden; die Verarbeitung eigener Daten durch die betroffene Person für persönliche Zwecke; Gesundheitsdaten, für die eine Gesetzgebung zu ihrem Schutz und ihrer Verarbeitung besteht; Bank- und Kreditdaten, für die eine solche Gesetzgebung besteht; und Unternehmen und Einrichtungen in Freizonen des Staates, die eigene Datenschutzgesetzgebung haben. Das Gesetz benennt weder die Gesundheits- oder Bankgesetze noch die Freizonen, die diese Bedingungen erfüllen. Die Zuordnung der eigenen Datenschutzgesetzgebung zur Freizone ist eigene Übersetzung: Der arabische Satzbau lässt grammatisch offen, ob sie sich auf die Freizone oder auf das Unternehmen bezieht. Die Präambel nennt unter anderem das Bundesgesetz Nr. 2 von 2019 über IKT im Gesundheitswesen, das Bundesgesetz Nr. 6 von 2010 über Kreditinformationen und das Bundesdekretgesetz Nr. 14 von 2018 über die Zentralbank; ob und wie weit sie die Ausnahmen auslösen, sagt der Text nicht. Die Gesundheitsseite behandelt vae-004, den Finanzsektor vae-005, die Freizonen DIFC und ADGM vae-003.

Befreiung durch das Datenbüro (Art. 3). Unbeschadet anderer Zuständigkeiten kann das Datenbüro Einrichtungen, die keine großen Mengen personenbezogener Daten verarbeiten, von einem Teil oder allen Anforderungen des Gesetzes befreien. Die Kriterien und Regeln dafür legt die Ausführungsverordnung fest. Eine Befreiung entsteht also nicht von selbst durch geringes Datenvolumen; sie setzt eine Entscheidung des Büros nach diesen Kriterien voraus.

Rechtsgrundlagen (Art. 4) und Grundsätze (Art. 5, 6). Ohne Einwilligung ist die Verarbeitung verboten, ausgenommen die in Art. 4 genannten Fälle. Dazu gehören unter anderem, meist nur soweit die Verarbeitung dafür erforderlich ist, der Schutz des öffentlichen Interesses, Daten, die die betroffene Person selbst öffentlich gemacht hat, die Geltendmachung oder Verteidigung von Rechten und gerichtliche oder sicherheitsbezogene Verfahren, Arbeits- und Präventivmedizin sowie Gesundheitsversorgung nach den geltenden Gesetzen, öffentliche Gesundheit, Archiv-, Forschungs- und Statistikzwecke nach den geltenden Gesetzen, der Schutz der Interessen der betroffenen Person, Pflichten und Rechte im Arbeits- und Sozialrecht im Umfang, den diese Gesetze zulassen, die Erfüllung eines Vertrags mit der betroffenen Person oder vorvertragliche Schritte auf ihren Antrag, gesetzliche Pflichten des Verantwortlichen aus anderen Gesetzen des Staates sowie weitere Fälle der Ausführungsverordnung. Art. 5 verlangt faire, transparente und rechtmäßige Verarbeitung, Zweckbindung (mit Weiterverarbeitung für ähnliche oder nahe Zwecke), Datenminimierung, Richtigkeit, Sicherheit und Speicherbegrenzung, wobei Daten nach Wegfall des Zwecks behalten werden dürfen, wenn die Identität der betroffenen Person durch Anonymisierung verborgen ist. Eine Einwilligung muss nach Art. 6 nachweisbar, klar und leicht zugänglich sein und auf das Widerrufsrecht hinweisen; der Widerruf wirkt nicht zurück.

Pflichten des Verantwortlichen (Art. 7). Er trifft angemessene technische und organisatorische Maßnahmen, setzt Datenschutz durch Technikgestaltung und Voreinstellungen um, führt ein Verzeichnis der Verarbeitungen, das unter anderem Angaben zum Datenschutzbeauftragten, zu Kategorien, Zugriffsberechtigten, Fristen, Zwecken, grenzüberschreitenden Flüssen und Sicherheitsmaßnahmen enthält, und stellt es dem Datenbüro auf Anforderung zur Verfügung. Er setzt Auftragsverarbeiter ein, die ausreichende Garantien für die nötigen Maßnahmen bieten, und übermittelt dem Büro auf Grundlage einer Entscheidung der zuständigen Justizbehörde angeforderte Informationen.

Pflichten des Auftragsverarbeiters (Art. 8). Er verarbeitet nach Weisung und auf Grundlage eines Vertrags, der insbesondere Umfang, Gegenstand, Zweck, Art der Daten und Kategorien betroffener Personen festlegt, meldet dem Verantwortlichen eine Überschreitung der vereinbarten Dauer, löscht oder übergibt die Daten nach Ende der Verarbeitung, führt ein eigenes Verzeichnis und weist seine Einhaltung auf Verlangen des Verantwortlichen oder des Büros nach. Wirken mehrere Auftragsverarbeiter mit, braucht es einen schriftlichen Vertrag über ihre Rollen; sonst haften sie gesamtschuldnerisch.

Datenschutzbeauftragter (Art. 10 bis 12). Verantwortlicher und Auftragsverarbeiter müssen einen Datenschutzbeauftragten benennen, wenn eine von drei Lagen vorliegt: ein hohes Risiko für Vertraulichkeit und Privatsphäre durch neue Technologien oder wegen der Datenmenge, eine systematische und umfassende Bewertung sensibler Daten einschließlich Profiling und automatisierter Verarbeitung, oder die Verarbeitung großer Mengen sensibler Daten. Welche Technologien und welche Mengen gemeint sind, legt die Ausführungsverordnung fest. Der Beauftragte kann Beschäftigter oder Beauftragter sein, im Staat oder außerhalb; seine Kontaktdaten sind dem Büro mitzuteilen. Er darf wegen seiner Aufgabenerfüllung nicht entlassen oder diszipliniert werden.

Meldung von Verletzungen (Art. 9). Erlangt der Verantwortliche Kenntnis von einer Verletzung, die Privatsphäre, Vertraulichkeit und Sicherheit der Daten einer betroffenen Person beeinträchtigen kann, meldet er sie mit den Ergebnissen der Untersuchung dem Datenbüro, innerhalb der Frist und nach dem Verfahren, die die Ausführungsverordnung festlegt. Die Meldung enthält unter anderem Art, Ursachen und ungefähren Umfang, die Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen, die getroffenen und geplanten Maßnahmen und deren Dokumentation. In derselben Lage informiert der Verantwortliche die betroffene Person, ebenfalls innerhalb der Frist der Ausführungsverordnung. Der Auftragsverarbeiter informiert den Verantwortlichen sofort nach Kenntnis. Eine feste Stundenfrist nennt das Gesetz selbst nicht.

Rechte und Sicherheit (Art. 13 bis 21). Das Gesetz gewährt Auskunft, Datenübertragbarkeit, Berichtigung und unter Bedingungen Löschung, Einschränkung, Widerspruch etwa gegen Direktwerbung, und Rechte gegenüber automatisierten Entscheidungen, jeweils mit eigenen Ausnahmen. Art. 20 verlangt ein dem Risiko angemessenes Sicherheitsniveau nach besten internationalen Standards und Praktiken und nennt dafür Beispiele wie Verschlüsselung und Pseudonymisierung. Art. 21 verlangt vor der Verarbeitung eine Datenschutz-Folgenabschätzung, wenn neue Technologien ein hohes Risiko für Privatsphäre und Vertraulichkeit begründen, ausdrücklich bei systematischer und umfassender Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling mit rechtlichen Folgen oder erheblicher Beeinträchtigung der betroffenen Person sowie bei großen Mengen sensibler Daten; das Büro soll eine Liste der Verarbeitungen veröffentlichen, die keine Abschätzung brauchen.

Übermittlung ins Ausland (Art. 22, 23). Erlaubt ist sie in vom Datenbüro anerkannten Fällen: in Staaten mit Datenschutzgesetzgebung, die die wesentlichen Schutzregeln, die Rechte der betroffenen Personen und eine Aufsichts- oder Justizstelle vorsieht, oder auf Grundlage bi- oder multilateraler Abkommen der VAE. Daneben lässt Art. 23 Übermittlungen zu: in Staaten ohne Datenschutzgesetz durch Vertrag, der die Einrichtung dort an die Regeln des Gesetzes bindet, einschließlich Maßnahmen über eine im Vertrag bestimmte Aufsichts- oder Justizstelle; mit ausdrücklicher Einwilligung, soweit sie dem öffentlichen und dem Sicherheitsinteresse des Staates nicht widerspricht; und, jeweils soweit die Übermittlung dafür erforderlich ist, zur Erfüllung von Pflichten und zur Geltendmachung, Ausübung oder Verteidigung von Rechten vor Gerichten, zum Abschluss oder zur Erfüllung eines Vertrags zwischen Verantwortlichem und betroffener Person oder mit einem Dritten im Interesse der betroffenen Person, für internationale justizielle Zusammenarbeit und zum Schutz des öffentlichen Interesses. Die Bedingungen dieser Fälle legt die Ausführungsverordnung fest. Ob das Datenbüro Deutschland oder die EU anerkannt hat, belegen die Snapshots nicht.

Durchsetzung und Sanktionen (Art. 24 bis 26). Betroffene Personen können sich beim Datenbüro beschweren; das Büro prüft sie und kann bei nachgewiesenem Verstoß Verwaltungssanktionen nach Art. 26 verhängen. Gegen Entscheidungen des Büros ist binnen 30 Tagen nach Mitteilung ein schriftlicher Widerspruch an den Generaldirektor möglich, über den binnen 30 Tagen entschieden wird; ohne diesen Widerspruch ist eine Anfechtung nicht zulässig. Welche Handlungen Verstöße sind und welche Sanktionen drohen, bestimmt ein Kabinettsbeschluss auf Vorschlag des Generaldirektors. Bußgeldbeträge stehen im Gesetz nicht.

Ausführungsverordnung und Übergang (Art. 28, 29). Der Kabinettsrat sollte die Ausführungsverordnung binnen sechs Monaten nach Erlass des Gesetzes herausgeben. Verantwortliche und Auftragsverarbeiter haben ihre Verhältnisse binnen höchstens sechs Monaten nach Erlass der Ausführungsverordnung anzupassen; der Kabinettsrat kann diese Frist um einen gleich langen Zeitraum verlängern. Ob die Verordnung erlassen ist, ist in den vorliegenden Quellen nicht belegt. Damit ist auch offen, ob die Anpassungsfrist läuft oder abgelaufen ist.

Umsetzungsperspektive

1. Geltung je Datenfluss prüfen, nicht je Gesellschaft. Welche Systeme verarbeiten Daten von Personen in den VAE, und wo sitzt der Verantwortliche oder Auftragsverarbeiter?
2. Ausnahmen mit ihrer Bedingung prüfen. Für Gesundheits- und Bankdaten klären, ob eine eigene Gesetzgebung zu Schutz und Verarbeitung greift; für Freizonen, ob dort eigenes Datenschutzrecht gilt (siehe vae-003, vae-004, vae-005).
3. Rechtsgrundlagen neu zuordnen. Jede Verarbeitung entweder auf Einwilligung oder auf einen Fall des Art. 4 stützen; eine europäische Interessenabwägung trägt dafür nicht.
4. Verzeichnis und Meldeweg aufsetzen. Verzeichnis nach Art. 7 oder 8 führen, Meldekette vom Auftragsverarbeiter zum Verantwortlichen ohne Verzögerung vertraglich festlegen und die Meldung an das Datenbüro vorbereiten, ohne eine bestimmte Frist zu unterstellen.
5. Datenschutzbeauftragten nach Art. 10 prüfen. Bei hohem Risiko für Vertraulichkeit und Privatsphäre durch neue Technologien oder wegen der Datenmenge, bei systematischer und umfassender Bewertung sensibler Daten einschließlich Profiling und automatisierter Verarbeitung oder bei großen Mengen sensibler Daten benennen und die Kontaktdaten dem Büro melden.
6. Übermittlungen in Art. 22 oder 23 einordnen. Für jeden Zielstaat den Fall des Art. 22 oder 23 dokumentieren; den Vertragsweg nur für Staaten nutzen, in denen kein Datenschutzgesetz besteht.
7. Ausführungsverordnung und Sanktionsbeschluss beobachten. Beide füllen die offenen Fristen, Kriterien und Sanktionen; der Erlass der Ausführungsverordnung startet die Anpassungsfrist nach Art. 29.

Typische Fehler

1. Das Gesetz wird nur für die VAE-Gesellschaft geprüft, obwohl Art. 2 Abs. 1 auch Verantwortliche außerhalb des Staates erfasst, die Daten von Personen im Staat verarbeiten.
2. Gesundheits- oder Bankdaten werden als generell ausgenommen behandelt, ohne die Bedingung einer eigenen Gesetzgebung zu prüfen.
3. Jede Freizone wird als ausgenommen behandelt, obwohl die Ausnahme eigenes Datenschutzrecht der Freizone voraussetzt.
4. Ein berechtigtes Interesse wird als Rechtsgrundlage angenommen, das Art. 4 nicht vorsieht.
5. Eine feste Meldefrist wird aus der DSGVO übernommen; das Bundes-PDPL verweist für die Frist an die Ausführungsverordnung.
6. Bußgeldbeträge werden genannt, obwohl das Gesetz sie einem Kabinettsbeschluss überlässt, der hier nicht vorliegt.
7. Eine Befreiung wegen geringer Datenmenge wird angenommen, ohne Entscheidung des Datenbüros nach Art. 3.

Risiken und Trade-offs

Wer wartet, bis Ausführungsverordnung und Sanktionsbeschluss sicher bekannt sind, spart Aufwand, riskiert aber, dass die Anpassungsfrist bereits läuft oder abgelaufen ist, ohne dass das Unternehmen es bemerkt hat. Ein Aufbau auf Basis der Gesetzespflichten (Verzeichnis, Rechtsgrundlagen, Meldekette, Übermittlungsdokumentation) ist mit vorhandenen DSGVO-Strukturen weitgehend möglich, braucht aber eine eigene Prüfung der Rechtsgrundlagen.

Die Übermittlung nach Deutschland ist der heikelste Punkt: Ohne eine Anerkennung nach Art. 22 kommt für eine Übermittlung ein Fall des Art. 23 in Betracht, und die Bedingungen dazu stehen in der Ausführungsverordnung. Der vertragliche Weg mit Bindung an das Gesetz steht nach Art. 23 für Staaten ohne Datenschutzgesetz offen und trägt deshalb nicht ohne Weiteres für Deutschland; die ausdrückliche Einwilligung steht unter dem Vorbehalt des öffentlichen und des Sicherheitsinteresses des Staates.

Entscheidungspunkte

• Welche unserer Verarbeitungen betreffen Personen in den VAE, und wer ist dafür Verantwortlicher oder Auftragsverarbeiter?
• Sitzt eine VAE-Einheit auf dem Festland oder in einer Freizone, und hat diese Freizone eigenes Datenschutzrecht?
• Auf welchen Fall des Art. 4 stützen wir Verarbeitungen, die wir bisher auf berechtigtes Interesse stützen?
• Auf welchen Weg nach Art. 22 oder 23 stützen wir Übermittlungen nach Deutschland?
• Wer verfolgt den Erlass der Ausführungsverordnung und des Sanktionsbeschlusses?

Praktische Empfehlungen

• Eine Anwendbarkeitsnotiz je Datenfluss führen: Anknüpfung nach Art. 2 Abs. 1, mögliche Ausnahme nach Art. 2 Abs. 2 mit ihrer Bedingung, Rechtsgrundlage nach Art. 4.
• Das Verarbeitungsverzeichnis um die Angaben des Art. 7 Abs. 4 ergänzen, insbesondere grenzüberschreitende Flüsse.
• In Auftragsverarbeitungsverträgen die sofortige Meldung von Verletzungen an den Verantwortlichen und die Inhalte des Art. 8 vereinbaren.
• Fristen, Schwellen und Sanktionen nur nennen, wenn eine aktuelle Primärquelle (Ausführungsverordnung, Kabinettsbeschluss) sie trägt.
• Für die Rechtsanwendung den arabischen Text und eine geprüfte Übersetzung heranziehen; Übersetzungen sind keine verbindliche Fassung.

Relevante Normreferenzen

• Bundesdekretgesetz Nr. 45 von 2021 über den Schutz personenbezogener Daten: Art. 1 (Begriffe), Art. 2 (Geltungsbereich und Ausnahmen), Art. 3 (Befreiungsbefugnis), Art. 4 bis 6 (Rechtsgrundlagen, Grundsätze, Einwilligung), Art. 7 und 8 (Pflichten), Art. 9 (Meldung von Verletzungen), Art. 10 bis 12 (Datenschutzbeauftragter), Art. 13 bis 21 (Rechte, Sicherheit, Folgenabschätzung), Art. 22 und 23 (Übermittlung), Art. 24 bis 27 (Beschwerde, Widerspruch, Sanktionen, Delegation), Art. 28 bis 31 (Ausführungsverordnung, Anpassung, Inkrafttreten).
• Bundesdekretgesetz Nr. 44 von 2021 zur Errichtung des UAE Data Office (nur als Verweis, nicht als Snapshot).
• Ausführungsverordnung nach Art. 28 und Kabinettsbeschluss nach Art. 26: Inhalt und Erlass nicht belegt.
• Abgrenzung: Die DSGVO steht im Track dsgvo; eine Gleichwertigkeit wird hier nicht behauptet. Das saudische PDPL steht im Track saudi-arabien und wird nicht übertragen. Freizonen DIFC und ADGM in vae-003, Gesundheitsdaten in vae-004, Finanzsektor in vae-005, Markteintritt und Anwendbarkeitsmatrix in vae-001.