DIFC und ADGM: das DIFC Data Protection Law 5/2020 in der Fassung Juli 2025, das Änderungsgesetz 1/2025 und die ADGM-Lücke

Problem in der Praxis

Der erste Fehler ist die Annahme, mit einer Lizenz im DIFC sei das Datenschutzrecht der VAE insgesamt erledigt. Das Bundesdekretgesetz Nr. 45 von 2021 (Bundes-PDPL) nimmt nach Art. 2 Abs. 2 Unternehmen und Einrichtungen in Freizonen aus, die eigene Datenschutzgesetzgebung haben. Diese Weiche betrifft die Einheit in der Freizone. Für eine Schwestergesellschaft auf dem Festland oder für die deutsche Muttergesellschaft, die Daten von Personen in den VAE verarbeitet, ist das Bundes-PDPL gesondert zu prüfen (siehe vae-002).

Der zweite Fehler betrifft Datenflüsse innerhalb der VAE. Das DIFC DPL definiert Drittland als jeden Rechtsraum außer dem DIFC, ob in den VAE oder anderswo. Wer Kundendaten aus der DIFC-Gesellschaft an ein Shared-Service-Center in einem anderen Emirat oder auf dem Festland gibt, übermittelt also in ein Drittland und braucht dafür eine Grundlage nach Art. 26 oder 27.

Der dritte Fehler ist, das DIFC-Recht auf das ADGM zu übertragen oder umgekehrt. Beide Rechtsräume haben eigene Regeln; für das ADGM liegen hier keine belegten Inhalte vor, und eine Übertragung aus dem DIFC-Recht ist keine Grundlage.

CISO-Einordnung

Rechtsakt und Fassung. Das DIFC DPL wird als Data Protection Law 2020 zitiert, vom Herrscher (Ruler) von Dubai erlassen und hat das Data Protection Law No. 1 of 2007 samt dessen Regulations ersetzt (Art. 1 und 2). Es gilt seit dem 1. Juli 2020 (Art. 4). Grundlage dieses Artikels ist die konsolidierte Fassung Juli 2025, die als geändert durch das DIFC Laws Amendment Law No. 2 of 2022 und No. 1 of 2025 bezeichnet ist, bezogen über das Dokumenten-CDN des DIFC. Verwaltet werden Gesetz und Regulations vom Commissioner (Art. 8). Regulations des DIFCA Board of Directors sind nach Anlage 1 verbindlich, Guidance des Commissioner ist nicht verbindlich; die Regulations lagen nicht als Snapshot vor.

Geltungsbereich (Art. 6). Das Gesetz gilt im Rechtsraum des DIFC. Es erfasst die automatisierte Verarbeitung und die nicht automatisierte Verarbeitung, soweit die Daten Teil eines Dateisystems sind oder werden sollen. Nach der konsolidierten Fassung von Art. 6 Abs. 3 gilt es für Verantwortliche und Auftragsverarbeiter, die im DIFC gegründet sind, unabhängig davon, ob die Verarbeitung im DIFC stattfindet, und für die Verarbeitung im DIFC durch Verantwortliche oder Auftragsverarbeiter (oder deren Unterauftragsverarbeiter) im Rahmen fester Strukturen, unabhängig vom Gründungsort, einschließlich Übermittlungen aus dem DIFC. Ausgenommen ist die rein persönliche oder familiäre Tätigkeit natürlicher Personen ohne Bezug zu einem geschäftlichen Zweck.

Grundsätze und Rechtsgrundlagen (Art. 9 bis 13). Art. 9 verlangt unter anderem rechtmäßige, faire und transparente Verarbeitung, festgelegte Zwecke, Datenminimierung, Richtigkeit, Speicherbegrenzung und Sicherheit; Verantwortlicher und Auftragsverarbeiter müssen die Einhaltung dem Commissioner nachweisen können. Art. 10 nennt als Rechtsgrundlagen Einwilligung, Vertrag, gesetzliche Pflicht, lebenswichtige Interessen, Aufgaben von DIFC-Stellen und berechtigte Interessen, letztere vorbehaltlich Art. 13 und nur, soweit Interessen oder Rechte der betroffenen Person nicht überwiegen. Nach Art. 13 Abs. 3 gilt eine Verarbeitung als berechtigtes Interesse, wenn sie notwendig und verhältnismäßig ist, um Betrug zu verhindern oder die Netz- und Informationssicherheit zu gewährleisten; Behörden, die dem DIFC-Recht unterliegen, können sich auf berechtigte Interessen nicht stützen. Besondere Kategorien dürfen nur unter einer der Bedingungen des Art. 11 verarbeitet werden.

Organisationspflichten (Art. 14, 15). Verantwortliche und Auftragsverarbeiter brauchen ein Programm zum Nachweis der Einhaltung, dessen Umfang von Größe, Ressourcen, Datenkategorien und Risiken abhängt, angemessene technische und organisatorische Maßnahmen, Datenschutz durch Technikgestaltung und Voreinstellungen und eine schriftliche Datenschutzrichtlinie. Wer genehmigte Verhaltensregeln oder Zertifizierungen einhält, erfüllt nach Art. 14 Abs. 6 die Pflichten des Art. 14. Verantwortliche und Auftragsverarbeiter registrieren sich beim Commissioner durch eine Meldung der Verarbeitungen, die aktuell zu halten ist, in einem öffentlichen Register geführt wird und mit der in Regulations gegebenenfalls festgelegten Gebühr einzureichen ist (Art. 14 Abs. 7 und 8). Beide führen ein schriftliches Verzeichnis der Verarbeitungen (Art. 15).

Datenschutzbeauftragter und Jahresbewertung (Art. 16 bis 19). Einen Datenschutzbeauftragten (DPO) müssen DIFC-Stellen (außer den Gerichten in Rechtsprechungsfunktion) benennen sowie Verantwortliche und Auftragsverarbeiter, die systematisch oder regelmäßig Verarbeitungen mit hohem Risiko (High Risk Processing Activities) durchführen; der Commissioner kann die Benennung auch in anderen Fällen verlangen. Wer keinen DPO benennen muss, weist die Verantwortung für den Datenschutz intern klar zu. Ein Konzern kann einen gemeinsamen DPO benennen, wenn er von jeder Einheit leicht erreichbar ist. Der DPO muss in den VAE ansässig sein, es sei denn, er ist im Konzern beschäftigt und nimmt eine vergleichbare Funktion für den Konzern international wahr. Muss ein Verantwortlicher nach Art. 16 Abs. 2 oder 3 einen DPO benennen, bewertet der DPO mindestens jährlich die Verarbeitungen des Verantwortlichen und legt diese Jahresbewertung dem Commissioner vor; Form, Inhalt und Frist legt der Commissioner fest.

Folgenabschätzung und vorherige Konsultation (Art. 20, 21). Vor Verarbeitungen mit hohem Risiko ist eine Datenschutz-Folgenabschätzung durchzuführen. Hohes Risiko liegt nach Anlage 1 vor, wenn neue oder andere Technologien oder Methoden eingesetzt werden, die das Risiko für Sicherheit oder Rechte betroffener Personen wesentlich erhöhen oder ihnen die Ausübung ihrer Rechte erschweren, eine erhebliche Datenmenge mit wahrscheinlich hohem Risiko verarbeitet wird, eine systematische und umfassende automatisierte Bewertung mit rechtlichen oder ähnlich erheblichen Wirkungen erfolgt oder eine wesentliche Menge besonderer Kategorien verarbeitet wird. Bleibt das Risiko trotz Maßnahmen besonders hoch, ist der Commissioner zu konsultieren; er bemüht sich um eine schriftliche Antwort binnen vier Wochen und kann bei besonders komplexer Verarbeitung um bis zu vier weitere Wochen verlängern.

Auftragsverarbeitung (Art. 23 bis 25). Die Verarbeitung im Auftrag braucht einen rechtlich bindenden schriftlichen Vertrag mit den Mindestinhalten des Art. 24 Abs. 5; Unterauftragsverarbeiter brauchen die vorherige schriftliche Genehmigung des Verantwortlichen, die auch allgemein erteilt werden kann, wenn die Bedingungen des Art. 24 Abs. 2 erfüllt sind, und einen schriftlichen Vertrag mit dem Unterauftragsverarbeiter. Beginnen Verantwortlicher und Auftragsverarbeiter ohne diesen Vertrag, verstoßen beide gegen das Gesetz. Der Commissioner kann Standardvertragsklauseln veröffentlichen.

Löschung und KI-Training (Art. 22). Entfällt die Grundlage, sind Daten zu löschen, zu anonymisieren, zu pseudonymisieren oder sicher zu verschlüsseln, hilfsweise der weiteren Nutzung zu entziehen. Ausgenommen sind Daten, die für Rechtsansprüche nötig sind oder gesetzlich aufbewahrt werden müssen, sowie, jeweils ohne Risiko für die Rechte der betroffenen Personen, Daten für wissenschaftliche Forschung im öffentlichen Interesse oder im Interesse des DIFC und Daten in einem Datensatz, mit dem ein KI-System rechtmäßig trainiert oder verfeinert wird; für die beiden letzten Fälle ist vorher eine Folgenabschätzung durchzuführen, und die Verarbeitung bleibt auf das Nötige beschränkt.

Übermittlung (Art. 26 bis 28). Eine Übermittlung aus dem DIFC in ein Drittland oder an eine internationale Organisation ist zulässig, wenn der Commissioner für das Ziel ein angemessenes Schutzniveau festgestellt hat (auch gestützt auf Angemessenheitsentscheidungen anderer Datenschutzbehörden, die dieselben Faktoren berücksichtigt haben), oder nach Art. 27: mit geeigneten Garantien wie vom Commissioner genehmigten Binding Corporate Rules (für Übermittlungen innerhalb des Konzerns), vom Commissioner angenommenen Standarddatenschutzklauseln oder Verhaltensregeln und Zertifizierungen mit verbindlichen Zusagen, jeweils nur wenn durchsetzbare Rechte und wirksame Rechtsbehelfe bestehen; über eine der Ausnahmen des Art. 27 Abs. 3 wie ausdrückliche Einwilligung nach Aufklärung über die Risiken oder die Erforderlichkeit für die Erfüllung eines Vertrags mit der betroffenen Person; oder nachrangig, wenn keiner dieser Wege und keine Angemessenheitsfeststellung trägt, im Einzelfall nach Art. 27 Abs. 4: die Übermittlung ist nicht wiederholt, betrifft nur eine begrenzte Zahl betroffener Personen, ist für zwingende berechtigte Interessen des Verantwortlichen erforderlich, die nicht von Interessen oder Rechten der betroffenen Person überwogen werden, und der Verantwortliche hat alle Umstände dokumentiert bewertet und auf dieser Grundlage geeignete Garantien geschaffen; Commissioner und betroffene Person sind zu informieren. Welche Staaten der Commissioner als angemessen festgestellt hat, steht in Regulations, die nicht als Snapshot vorliegen. Art. 28 regelt Herausgabeersuchen von Behörden mit Zuständigkeit über das Unternehmen oder seinen Konzern: Prüfung von Gültigkeit und Verhältnismäßigkeit, Risikobewertung, Minimierung und, wo praktikabel, schriftliche Zusicherungen.

Rechte der betroffenen Personen (Art. 29 bis 40). Informationspflichten, Widerruf, Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung, Übertragbarkeit, Rechte bei automatisierten Entscheidungen und ein Diskriminierungsverbot. Der Verantwortliche bietet mindestens zwei nicht belastende Kontaktwege an, bei einer Website mindestens einen kostenfreien ohne Kontoanlage (Art. 40).

Meldung von Verletzungen (Art. 41, 42). Eine Verletzung, die Vertraulichkeit, Sicherheit oder Privatsphäre einer betroffenen Person beeinträchtigt, meldet der Verantwortliche dem Commissioner so bald wie unter den Umständen praktikabel, mit Art, Umfang, Kontaktstelle, wahrscheinlichen Folgen und Maßnahmen; soweit es nicht möglich ist, alle Angaben zugleich zu machen, dürfen sie gestaffelt nachgereicht werden, sobald sie vorliegen. Der Auftragsverarbeiter meldet dem Verantwortlichen ohne unangemessene Verzögerung, nachdem er Kenntnis erlangt hat. Jede Verletzung ist schriftlich zu dokumentieren. Ist ein hohes Risiko für Sicherheit oder Rechte betroffener Personen wahrscheinlich, informiert der Verantwortliche sie so bald wie praktikabel, bei unmittelbarer Schadensgefahr umgehend; bei unverhältnismäßigem Aufwand genügt eine gleich wirksame öffentliche Bekanntmachung. Der Commissioner kann die Benachrichtigung verlangen. Eine Stundenfrist nennt das Gesetz nicht.

Aufsicht (Art. 43 bis 53). Den Commissioner ernennt der Präsident des DIFC nach Konsultation des DIFCA Board of Directors für höchstens fünf Jahre; er handelt unabhängig und nimmt keine Weisungen an. Er kann prüfen, einschließlich Zutritt zu Räumen und Verarbeitungsmitteln, ermitteln, Weisungen (Directions) erteilen, Verstöße feststellen, Verfahren vor dem DIFC Court einleiten, Bußgelder verhängen und Ansprüche betroffener Personen geltend machen. Er kann Informationen und das Verzeichnis anfordern; ausgenommen ist rechtlich privilegiertes Material und Material, für das nach geltendem Recht eine entgegenstehende Geheimhaltungspflicht besteht.

Sanktionen und Haftung (Art. 59 bis 64A, Anlage 2). Gegen eine Weisung kann binnen 14 Tagen eine Überprüfung beim Commissioner beantragt werden; gegen Feststellungen ist binnen 30 Tagen die Berufung zum Gericht möglich. Nach Art. 62 Abs. 2 kann der Commissioner für die in Anlage 2 genannten Verstöße ein Verwaltungsbußgeld bis zum dort genannten Höchstbetrag je Verstoß festsetzen. Anlage 2 der konsolidierten Fassung reicht von 25.000 US-Dollar (etwa für Registrierung und Verzeichnis) über 50.000 US-Dollar (etwa für Sicherheitsmaßnahmen, Folgenabschätzung und Meldung von Verletzungen) bis 100.000 US-Dollar (einzelne Betroffenenrechte), ist nach eigener Aussage nicht abschließend und kann fortgeschrieben werden. Zusätzlich kann der Commissioner nach Art. 62 Abs. 3 ein allgemeines Bußgeld festsetzen, das nicht auf die Beträge der Anlage 2 begrenzt ist und sich nach Schwere des Verstoßes und dem Risiko tatsächlichen Schadens richtet. Betroffene Personen können nach Art. 64A vor dem Gericht Schadensersatz verlangen, auch für immaterielle Schäden; ein Auftragsverarbeiter haftet dabei nur, wenn er gegen speziell ihn treffende Pflichten verstoßen oder außerhalb oder entgegen den rechtmäßigen Weisungen gehandelt hat, ein gemeinsam Verantwortlicher nur, wenn er für die verletzte Bestimmung zuständig ist, und der Verantwortliche oder Auftragsverarbeiter haftet nicht, wenn er nachweist, für die Handlung oder Unterlassung, die den Schaden verursacht hat, in keiner Weise verantwortlich zu sein.

Was das Änderungsgesetz 1/2025 zeigt. Teil 2 des DIFC Laws Amendment Law No. 1 of 2025 ändert das DIFC DPL. Das Dokument erklärt, neuer Text sei unterstrichen und gestrichener Text durchgestrichen; der vorliegende Textsnapshot gibt diese Auszeichnung nicht wieder. Er zeigt an folgenden Stellen Text, der in der konsolidierten Fassung Juli 2025 fehlt:

• Art. 6 Abs. 3: für Verantwortliche und Auftragsverarbeiter, die nicht im DIFC gegründet sind, eine Geltung nur bei Verarbeitung im DIFC, die nicht bloß gelegentlich erfolgt, beschränkt auf die Verarbeitung im DIFC und nicht in einem Drittland, sowie eine Bestimmung, nach der Verarbeitung im DIFC vorliegt, wenn die eingesetzten Mittel oder das Personal physisch im DIFC sind;
• Art. 28 Abs. 2: als weitere Voraussetzung einer Herausgabe an Behörden, dass die ersuchende Behörde die Rechte der betroffenen Personen achten wird;
• Art. 64: ein Anspruch auf Ersatz materieller und immaterieller Schäden zusätzlich zu Bußgeldern, ohne doppelte Entschädigung für denselben Schaden;
• Art. 46, 47, 59 und 61: Bezugnahmen auf die Regulations neben dem Gesetz, etwa bei Weisungen und Verstößen, und eine Festlegung der Aufgaben des Beratungsausschusses in Regulations;
• Anlage 2: geänderte Höchstbeträge für Art. 20 (Folgenabschätzung) und Art. 28 (Herausgabe an Behörden), wobei der Textsnapshot nicht erkennen lässt, welcher Betrag gestrichen und welcher eingefügt ist; die konsolidierte Fassung nennt für beide 50.000 US-Dollar.

Ob diese Elemente eingefügt oder gestrichen wurden und welche Fassung damit heute gilt, lässt sich aus den Snapshots nicht sicher bestimmen. Das Änderungsgesetz tritt an dem in seiner Enactment Notice genannten Tag in Kraft; dieser Tag steht in keinem Snapshot. Bis zur Klärung an der ausgezeichneten Originalfassung stützt sich dieser Artikel auf die konsolidierte Fassung und weist die abweichenden Punkte als offen aus.

ADGM: ausgewiesene Lücke. Für das ADGM liegt kein Verordnungstext im Bestand. Nach dem Quellenstand des Tracks untersagen die Nutzungsbedingungen des ADGM, die ausdrücklich auch für die Thomson-Reuters-Rulebook-Plattform gelten, Text-Mining, Data-Mining und Datenextraktion; der Text wird deshalb weder abgelegt noch maschinell ausgewertet (Lizenzgrenze). Die Seite "Data protection laws" auf u.ae, die als erlaubte Quelle vorgesehen war, nennt das ADGM im vorliegenden Snapshot nicht. Der Quellenstand führt die Regelung unter dem Titel ADGM Data Protection Regulations 2021; Titel und Jahr sind an keinem Primärtext geprüft. Geltungsbereich, Pflichten, Meldefristen, Übermittlungsregeln, Aufsichtsbehörde und Bußgelder des ADGM sind in diesem Korpus nicht belegt.

Die Weiche zum Bundes-PDPL. Art. 2 Abs. 2 des Bundes-PDPL nimmt Unternehmen und Einrichtungen in Freizonen des Staates aus, die eigene Datenschutzgesetzgebung haben (siehe vae-002). Das DIFC DPL ist eigenes Datenschutzrecht für den Rechtsraum des DIFC, und u.ae führt es als eigenes Gesetz neben dem Bundes-PDPL. Dass das DIFC eine Freizone im Sinn dieser Ausnahme ist, sagen die Snapshots aber nicht ausdrücklich; für das ADGM fehlt jede belegte Grundlage. Die Zuordnung der eigenen Datenschutzgesetzgebung zur Freizone ist eigene Übersetzung des arabischen Textes, dessen Satzbau den Bezug grammatisch offenlässt. Die Ausnahme betrifft Unternehmen in der Freizone. Ob sie auch eine Konzerngesellschaft außerhalb der Freizone erfasst, die Daten aus dem DIFC erhält, sagt der Text des Bundes-PDPL nicht.

Umsetzungsperspektive

1. Rechtsraum je Einheit festhalten. DIFC, ADGM, andere Freizone oder Festland; daraus folgt, ob DIFC DPL, ADGM-Recht oder Bundes-PDPL zu prüfen ist.
2. DIFC-Einheit registrieren und dokumentieren. Meldung der Verarbeitungen beim Commissioner, Verzeichnis nach Art. 15, Nachweisprogramm nach Art. 14.
3. DPO-Pflicht prüfen. Verarbeitungen mit hohem Risiko systematisch oder regelmäßig, oder verlangt der Commissioner die Benennung? Dann DPO benennen, Ansässigkeit in den VAE oder Konzernausnahme klären und die Jahresbewertung einplanen.
4. Datenflüsse aus dem DIFC kartieren. Jede Übermittlung nach außerhalb des DIFC, auch innerhalb der VAE, einer Grundlage nach Art. 26 oder 27 zuordnen; für Konzernflüsse Binding Corporate Rules mit Genehmigung des Commissioner oder Standardklauseln prüfen.
5. Meldekette für Verletzungen festlegen. Auftragsverarbeiter melden ohne unangemessene Verzögerung, der Verantwortliche meldet dem Commissioner so bald wie praktikabel, und jede Verletzung wird dokumentiert.
6. Stand 2025 klären lassen. Die Punkte des Änderungsgesetzes 1/2025 an der ausgezeichneten Originalfassung prüfen, bevor Geltungsbereich, Herausgabe an Behörden oder Bußgeldrahmen intern festgeschrieben werden.
7. ADGM gesondert behandeln. Für eine ADGM-Einheit die Originalregeln beim ADGM lesen und rechtlich bewerten lassen; dieser Korpus liefert dazu keine Inhalte.

Typische Fehler

1. Eine DIFC-Lizenz wird als Befreiung des ganzen Konzerns vom Bundes-PDPL verstanden, obwohl die Ausnahme Unternehmen in Freizonen mit eigenem Datenschutzrecht betrifft.
2. Datenflüsse aus dem DIFC auf das Festland der VAE werden als Inlandsfluss behandelt, obwohl das DIFC DPL jeden Rechtsraum außer dem DIFC als Drittland führt.
3. Ein DPO wird im Ausland benannt, ohne die Ansässigkeitsregel und ihre Konzernausnahme zu prüfen.
4. Die Höchstbeträge der Anlage 2 werden als Obergrenze verstanden, obwohl der Commissioner zusätzlich ein nicht begrenztes allgemeines Bußgeld verhängen kann.
5. Die Änderungen von 2025 werden aus Sekundärquellen als Tatsache übernommen, obwohl die Snapshots die Richtung einzelner Änderungen nicht sicher erkennen lassen.
6. Regeln des DIFC werden auf das ADGM übertragen.

Risiken und Trade-offs

Eine Einheit im DIFC bringt eine eigene Aufsicht mit klarer Bußgeldstruktur, aber auch Registrierungs-, Dokumentations- und gegebenenfalls DPO-Pflichten, die neben den Pflichten anderer Konzernteile stehen. Wer Funktionen zentral auf dem Festland oder in Deutschland bündelt, muss für jeden Fluss aus dem DIFC eine Übermittlungsgrundlage pflegen; Binding Corporate Rules mit Genehmigung des Commissioner verringern den Aufwand je Fluss, verlangen aber Vorlage, jährliche Bestätigung und die Pflege bei Änderungen.

Das offene Verhältnis zwischen konsolidierter Fassung und Änderungsgesetz ist ein eigenes Risiko: Eine zu weite Lesart des Geltungsbereichs erzeugt unnötige Pflichten für Einheiten außerhalb des DIFC, eine zu enge lässt Pflichten aus. Für das ADGM fehlt jede belegte Grundlage; dort trägt nur eine eigene rechtliche Bewertung.

Entscheidungspunkte

• Welche Einheiten sitzen im DIFC, im ADGM oder auf dem Festland, und welches Datenschutzrecht prüfen wir je Einheit?
• Wer klärt den Stand des DIFC DPL nach dem Änderungsgesetz 1/2025 an der Originalfassung?
• Auf welche Grundlage nach Art. 26 oder 27 stützen wir Flüsse aus dem DIFC auf das Festland und nach Deutschland?
• Benennen wir für die DIFC-Einheit einen DPO, und erfüllt die Person die Ansässigkeitsregel oder die Konzernausnahme?
• Wer bewertet die ADGM-Regeln für eine mögliche Einheit dort?

Praktische Empfehlungen

• Je Einheit eine Anwendbarkeitsnotiz führen: Rechtsraum, anwendbares Datenschutzrecht, Registrierungsstand, DPO, Übermittlungsgrundlagen.
• Die Meldekette für Verletzungen so bauen, dass sie ohne feste Stundenfrist aus Europa auskommt und trotzdem so bald wie praktikabel meldet.
• In Auftragsverarbeitungsverträgen der DIFC-Einheit die Mindestinhalte des Art. 24 und die Genehmigung von Unterauftragsverarbeitern abbilden.
• Bußgeldrisiken mit Anlage 2 und dem allgemeinen Bußgeld nach Art. 62 Abs. 3 zusammen darstellen und den offenen Stand von 2025 kennzeichnen.
• ADGM-Aussagen nur aus einer eigenen, menschlichen Lektüre der Originalregeln ableiten, nicht aus diesem Korpus.

Relevante Normreferenzen

• Data Protection Law, DIFC Law No. 5 of 2020, konsolidierte Fassung Juli 2025: Art. 1 bis 8 (Titel, Inkrafttreten, Geltung, Verwaltung), Art. 9 bis 22 (Grundsätze, Rechtsgrundlagen, Organisationspflichten, DPO, Folgenabschätzung, Löschung), Art. 23 bis 25 (gemeinsame Verantwortung, Auftragsverarbeitung), Art. 26 bis 28 (Übermittlung, Herausgabe an Behörden), Art. 29 bis 40 (Information und Rechte), Art. 41 und 42 (Verletzungen), Art. 43 bis 58 (Commissioner), Art. 59 bis 64A (Durchsetzung, Haftung), Art. 65 (Ausnahmen), Anlage 1 (Begriffe), Anlage 2 (Bußgelder).
• DIFC Laws Amendment Law, DIFC Law No. 1 of 2025, Teil 2 (Änderungen am Data Protection Law 2020).
• Regulations zum DIFC DPL: nicht als Snapshot vorhanden.
• ADGM-Datenschutzregeln: nicht im Bestand (Lizenzgrenze), nur als ausgewiesene Lücke.
• Abgrenzung: Das Bundes-PDPL und seine Ausnahme für Freizonen stehen in vae-002, die Anwendbarkeitsmatrix in vae-001, der Finanzsektor nach CBUAE in vae-005; die DSGVO steht im Track dsgvo, eine Gleichwertigkeit wird nicht behauptet; DORA und MaRisk stehen in den Tracks dora und marisk und werden hier nicht auf Einheiten im DIFC übertragen; saudisches Recht steht im Track saudi-arabien.