Markteintritt in den VAE für den deutschen Mittelstand: was gilt, und warum zuerst die Frage nach Festland, Freizone und Sektor steht

Problem in der Praxis

Der häufigste Fehler beim Markteintritt in die VAE ist die Annahme eines einheitlichen Datenschutzrechts. Ein Unternehmen gründet eine Gesellschaft im DIFC, liest das Bundes-PDPL und baut sein Datenschutzprogramm danach; das DIFC hat aber ein eigenes Datenschutzgesetz mit eigener Aufsicht, eigenen Übermittlungsregeln und eigenen Bußgeldern, und aus Sicht des DIFC-Gesetzes ist sogar das übrige Gebiet der VAE ein Drittland. Umgekehrt nimmt eine Festlandgesellschaft an, wegen der Ausnahmen des Bundes-PDPL gelte für sie nichts; die Ausnahmen greifen aber nur unter ihren Bedingungen, etwa nur, soweit für Gesundheits- oder Bankdaten eine eigene Gesetzgebung besteht.

Der zweite Fehler betrifft den Datenstandort. Ein sektorübergreifendes Lokalisierungsgebot enthält keines der ausgewerteten Werke. Standortbindungen entstehen trotzdem, und zwar sektoral: Das Bundesgesetz 2/2019 verbietet in Art. 13 bundesweit, einschließlich der Freizonen, Gesundheitsdaten zu im Staat erbrachten Gesundheitsleistungen außerhalb des Staates zu speichern, zu verarbeiten, zu erzeugen oder zu übermitteln, außer aufgrund eines Beschlusses einer Gesundheitsbehörde in Abstimmung mit dem Ministerium; ADHICS verbietet in seinen Kategorien Basic und Service Provider, Gesundheitsinformationen außerhalb der VAE zu speichern, zu verarbeiten oder zu übermitteln, sofern das Department of Health Abu Dhabi (DoH) keine Ausnahme genehmigt hat; die CBUAE verlangt die Speicherung von Kunden- und Transaktionsdaten in den VAE nach ihren Vorgaben und hält das Master System of Record einer Bank in den VAE. Wer "Hosting in Deutschland" anbietet, stellt diese Frage zu spät, wenn er sie erst im Vertrag findet.

Der dritte Fehler betrifft die Quellenlage. Mehrere amtliche Portale der VAE sind für automatisierte Abrufe gesperrt oder geben Dokumente nur auf Anfrage heraus. Wer sich auf Sekundärquellen verlässt, übernimmt deren Versions- und Inhaltsbehauptungen ungeprüft.

CISO-Einordnung

Die Prüfreihenfolge. Für jede Einheit und jedes Geschäftsmodell vier Fragen in dieser Reihenfolge:

1. Wo ist die Einheit gegründet: auf dem Festland, im DIFC, im ADGM oder gar nicht in den VAE? Für eine im DIFC gegründete Einheit gilt das DIFC-Gesetz unabhängig vom Ort der Verarbeitung; für das ADGM gilt ein eigenes Regime, dessen Text hier nicht ausgewertet ist.
2. Werden Daten von Personen im Staat verarbeitet, und greift keine Ausnahme des Art. 2 Abs. 2 Bundes-PDPL unter ihren Bedingungen? Dann ist das Bundes-PDPL zu prüfen, auch ohne Einheit in den VAE.
3. In welchem Sektor? Gesundheit führt im ganzen Staat einschließlich der Freizonen zum Bundesgesetz 2/2019 und in Abu Dhabi zusätzlich zu ADHICS, ein von der CBUAE lizenziertes Finanzinstitut als Kunde oder als eigene Einheit zur Consumer Protection Regulation und, bei Banken, zur Outsourcing Regulation, eine staatliche oder von der Behörde als kritisch identifizierte Stelle zur IA Regulation.
4. Treffen uns die Sektorregeln unmittelbar oder über den Vertrag des Kunden?

Anwendbarkeitsmatrix. "Gilt" heißt: das Regelwerk adressiert diese Konstellation nach seinem eigenen Geltungsbereich, vorbehaltlich der Tatbestandsprüfung. "Über Vertrag" heißt: das Regelwerk adressiert den Kunden, der Anforderungen weitergibt. "Nein" heißt: das Regelwerk adressiert diese Konstellation nicht. "Lücke" heißt: der Text liegt nicht ausgewertet vor.

Was die Zeilen tragen und wo sie enden. Zeile A zeigt, dass ein Export ohne Einheit nicht außerhalb des VAE-Rechts liegt: das Bundes-PDPL erfasst nach Art. 2 Abs. 1 auch Verantwortliche und Auftragsverarbeiter außerhalb des Staates, soweit sie Daten von Personen im Staat verarbeiten, und das DIFC-Gesetz erfasst Verarbeitung im DIFC im Rahmen fester Strukturen unabhängig vom Gründungsort. ADHICS nennt in seinem Geltungsbereich Stellen im Emirat Abu Dhabi, die Gesundheitsinformationen verarbeiten; ob ein Anbieter ganz ohne Niederlassung unmittelbar gebunden ist, lässt der Standard offen, und die Matrix lässt es ebenso offen. Die ADGM-Spalte bleibt durchgehend ungeprüft, weil der Verordnungstext nicht ausgewertet ist; auch eine Verneinung wäre eine Aussage über diesen Text. Zeilen C und D enden an einer Lücke, die der Leser kennen muss: Art. 2 Abs. 2 Bundes-PDPL nimmt Unternehmen in Freizonen mit eigener Datenschutzgesetzgebung aus, aber die ausgewerteten Quellen sagen nicht ausdrücklich, dass DIFC und ADGM solche Freizonen im Sinne der Vorschrift sind, und der arabische Satz lässt grammatisch offen, ob sich die eigene Gesetzgebung auf die Freizone oder auf das Unternehmen bezieht.

Das Bundes-PDPL. Es gilt seit dem 02.01.2022. Ohne Einwilligung ist eine Verarbeitung nur in den Fällen des Art. 4 zulässig; ein allgemeines berechtigtes Interesse nennt diese Liste nicht. Das Gesetz regelt selbst die Grundtatbestände, etwa die Fälle, in denen ein Datenschutzbeauftragter zu bestellen ist, und die Übermittlung ins Ausland in vom Data Office genehmigten Fällen; die Meldefrist bei Verletzungen, nähere Kriterien und Verfahren überlässt es einer Ausführungsverordnung, die Sanktionen einem Kabinettsbeschluss. Ob beide erlassen sind, belegen die ausgewerteten Quellen nicht. Das UAE Data Office kann nach Art. 3 Einrichtungen, die keine großen Mengen personenbezogener Daten verarbeiten, nach Kriterien der Ausführungsverordnung ganz oder teilweise befreien. Einzelheiten stehen in vae-002.

Das DIFC. Das DIFC Data Protection Law erfasst nach der konsolidierten Fassung Juli 2025 im DIFC gegründete Verantwortliche und Auftragsverarbeiter unabhängig vom Ort der Verarbeitung sowie Verarbeitung im DIFC im Rahmen fester Strukturen. Jeder Rechtsraum außer dem DIFC ist Drittland, auch das übrige Gebiet der VAE; Übermittlungen brauchen eine Angemessenheitsfeststellung des Commissioner of Data Protection oder einen der Wege des Art. 27. Eine Verletzung, die Vertraulichkeit, Sicherheit oder Privatsphäre einer betroffenen Person beeinträchtigt, meldet der Verantwortliche so bald wie praktikabel dem Commissioner. Für Verstöße nach Anlage 2 kann der Commissioner Bußgelder bis 100.000 US-Dollar je Verstoß festsetzen, daneben ein in der Höhe nicht begrenztes allgemeines Bußgeld. Was das Änderungsgesetz 1/2025 im Einzelnen geändert hat, ist aus den Textsnapshots nicht sicher bestimmbar. Einzelheiten stehen in vae-003.

Gesundheit. ADHICS V2 (veröffentlicht Mai 2024, wirksam August 2024) gilt für Stellen im Emirat Abu Dhabi, die Gesundheitsinformationen erzeugen, abrufen, speichern, verwenden, verarbeiten oder übermitteln, einschließlich, aber nicht beschränkt auf Gesundheitseinrichtungen, Kostenträger und Anbieter von Gesundheitstechnologie und Gesundheitsdienstleistungen. In den Kategorien Basic und Service Provider dürfen Gesundheitsinformationen und ihre Kopien in jeder Form, auch verschlüsselt, anonymisiert oder pseudonymisiert, nicht außerhalb der VAE gespeichert, verarbeitet oder übermittelt werden, sofern das DoH keine Ausnahme genehmigt hat; in der Kategorie Transitional und für Service Provider müssen Cloud-Umgebungen einschließlich Backup und Disaster Recovery in den VAE betrieben werden. Bundesweit gilt daneben das Bundesgesetz 2/2019 einschließlich der Freizonen: Art. 13 verbietet, Gesundheitsdaten zu im Staat erbrachten Gesundheitsleistungen außerhalb des Staates zu speichern, zu verarbeiten, zu erzeugen oder zu übermitteln, außer aufgrund eines Beschlusses einer Gesundheitsbehörde in Abstimmung mit dem Ministerium; die Ausführungsverordnung (Kabinettsbeschluss 32/2020) enthält dazu keine Ausnahme, und ein Verstoß ist mit Geldstrafe von 500.000 bis 700.000 Dirham bedroht. Bei Aufbewahrung mit Informationstechnik verlangt das Gesetz mindestens 25 Jahre ab dem letzten Gesundheitsvorgang. Ob ein Anbieter ohne Sitz in den VAE selbst Adressat ist, regelt das Gesetz nicht. Einzelheiten stehen in vae-004.

Finanzsektor. Die Consumer Protection Regulation der CBUAE (Rundschreiben 8/2020) gilt samt ihren gleich verbindlichen Standards für die von der CBUAE lizenzierten Finanzinstitute bei lizenzierten Tätigkeiten gegenüber Verbrauchern; sie verlangt unter anderem ausdrückliche Einwilligungen vor einer Datenweitergabe, mit Ausnahmen, die Speicherung von Kunden- und Transaktionsdaten in den VAE nach Vorgabe der CBUAE und die Meldung erheblicher Datenverletzungen an die CBUAE. Die Outsourcing Regulation for Banks (Rundschreiben 14/2021) verlangt für jede wesentliche Auslagerung eine vorherige Nichtbeanstandung der CBUAE und hält das Master System of Record in den VAE; Zweigstellen ausländischer Banken dürfen mit Zustimmung der CBUAE eine täglich aktualisierte Kopie führen. Vertrauliche Kundendaten dürfen die VAE nur mit Zustimmung der CBUAE, vorheriger schriftlicher Einwilligung des Kunden und seiner schriftlichen Bestätigung zum möglichen Zugriff in ausländischen Verfahren verlassen. Einzelheiten stehen in vae-005.

Staatliche und kritische Stellen. Die UAE Information Assurance Regulation 1.1 (März 2020) verpflichtet alle staatlichen Stellen der VAE und daneben Stellen, die die Behörde als kritisch identifiziert; die kritischen Stellen bestimmt die Behörde nach der UAE CIIP Policy. Allen übrigen Stellen wird die Übernahme nur nachdrücklich empfohlen. Lieferanten erreicht sie über die Vertragscontrols ihrer verpflichteten Kunden. Die Dubai Information Security Regulation des Dubai Electronic Security Center (DESC) ist nur auf Anfrage erhältlich und nicht ausgewertet. Einzelheiten stehen in vae-006.

Meldewege. Wer in mehreren Konstellationen steht, hat mehrere Meldewege mit verschiedenen Auslösern: nach dem Bundes-PDPL meldet der Verantwortliche eine Verletzung, die Privatsphäre, Vertraulichkeit oder Sicherheit der Daten beeinträchtigen kann, dem Data Office und benachrichtigt unter dieser Voraussetzung die betroffene Person, jeweils in der Frist der Ausführungsverordnung, und der Auftragsverarbeiter unterrichtet den Verantwortlichen sofort nach Kenntnis; im DIFC bei einer Verletzung, die Vertraulichkeit, Sicherheit oder Privatsphäre der betroffenen Person beeinträchtigt, so bald wie praktikabel an den Commissioner; nach ADHICS an das DoH in den Fristen einer nicht vorliegenden Meldematrix und zusätzlich binnen 72 Stunden ab Bestätigung des Vorfalls mit dem Data Breach Form; nach der Consumer Protection Regulation an die CBUAE.

Umsetzungsperspektive

1. Einheiten nach Sitz und Sektor erfassen. Je Rechtseinheit: Festland, DIFC, ADGM oder keine Einheit; je Geschäftsmodell der Sektor des Kunden.
2. Ausnahmen des Bundes-PDPL nur mit ihren Bedingungen anwenden. "Gesundheitsdaten sind ausgenommen" ist falsch, solange nicht feststeht, welche eigene Gesetzgebung Schutz und Verarbeitung regelt; dasselbe gilt für Bank- und Kreditdaten und für Freizonen.
3. Standortfrage vor dem Angebot klären. Für Gesundheitskunden in Abu Dhabi und für Banken als Kunden gelten Standortbindungen, die ein Betrieb aus Deutschland nicht ohne Weiteres erfüllt.
4. DIFC-Einheiten wie eigene Rechtsordnung behandeln. Datenflüsse aus dem DIFC in das übrige Gebiet der VAE und nach Deutschland sind Übermittlungen in Drittländer.
5. Lücken offen führen. ADGM und Dubai ISR sind nicht ausgewertet; wer in diesen Bereichen tätig wird, braucht den Originaltext oder örtliche Beratung.
6. Arabische Fassungen heranziehen, wo Verträge daran hängen.

Typische Fehler

1. Das Bundes-PDPL wird als einheitliches Datenschutzrecht der VAE behandelt, obwohl DIFC und ADGM eigene Regime haben und Art. 2 Abs. 2 weitere Bereiche ausnimmt.
2. Die Ausnahmen des Art. 2 Abs. 2 werden ohne ihre Bedingungen angewendet, etwa "Gesundheitsdaten sind ausgenommen" ohne Prüfung einer eigenen Gesetzgebung.
3. Das Bundes-PDPL wird verneint, weil keine Einheit in den VAE besteht, obwohl Art. 2 Abs. 1 Verantwortliche und Auftragsverarbeiter außerhalb des Staates erfasst.
4. Eine DIFC-Einheit übermittelt Daten an eine Schwestergesellschaft auf dem Festland, ohne das als Drittlandübermittlung zu behandeln.
5. Ein Gesundheits-IT-Angebot für Kunden in den VAE wird aus einer Cloud außerhalb der VAE geplant, ohne Art. 13 des Bundesgesetzes 2/2019 und in Abu Dhabi die Standortvorgaben von ADHICS zu prüfen.
6. Ein Dienstleister einer Bank übersieht, dass die Bank für wesentliche Auslagerungen eine Nichtbeanstandung der CBUAE braucht und Prüfrechte beim Dienstleister einräumen muss.
7. Versionsangaben aus Sekundärquellen werden übernommen, etwa eine angebliche neue Fassung der IA Regulation ohne Herausgeberbeleg.

Risiken und Trade-offs

Eine zu weite Einordnung bindet Kapazität, etwa ein vollständiges Bundes-PDPL-Programm für eine Einheit im DIFC. Eine zu enge Einordnung ist das größere Risiko, weil sie sich erst zeigt, wenn ein Kunde Standortbindungen in den Vertrag schreibt oder eine Datenpanne gemeldet werden muss. Im DIFC drohen Bußgelder bis 100.000 US-Dollar je Verstoß nach Anlage 2 und zusätzlich ein allgemeines Bußgeld; nach ADHICS sind Sanktionen des DoH möglich; nach dem Bundes-PDPL regelt ein Kabinettsbeschluss die Sanktionen, dessen Inhalt nicht vorliegt.

Zwischen zentralem Betrieb in Deutschland und sektoralen Standortbindungen besteht ein echter Zielkonflikt. Gesundheitskunden in Abu Dhabi und Banken in den VAE verlangen über ihre Regelwerke Betrieb oder Speicherung in den VAE oder Zustimmungen ihrer Aufsicht; ob man diese Kundengruppen mit einer Plattform in den VAE bedient, ist eine Geschäftsentscheidung mit Sicherheitsfolgen.

Entscheidungspunkte

• Welche Konstellationen der Matrix treffen auf unsere Einheiten und Geschäftsmodelle zu, und wer verantwortet die Einordnung?
• Gründen wir auf dem Festland, im DIFC oder im ADGM, und kennen wir die datenschutzrechtliche Folge dieser Wahl?
• Bedienen wir Gesundheitskunden in Abu Dhabi oder Banken in den VAE, und erfüllen wir deren Standortbindungen?
• Wie schließen wir die offenen Lücken (ADGM, Dubai ISR), bevor wir in diesen Bereichen tätig werden?

Praktische Empfehlungen

• Die Matrix als erste Seite des Markteintrittskonzepts führen, je Einheit eine Zeile, mit Datum und Grundlage.
• In Angebote an Kunden in den VAE eine Frage nach Sektor, Lizenz und Standortvorgaben aufnehmen.
• Für DIFC-Einheiten ein eigenes Datenschutzprogramm und eigene Übermittlungsgrundlagen führen.
• Ausnahmen des Bundes-PDPL nur mit dokumentierter Prüfung ihrer Bedingungen in Anspruch nehmen.
• Arabische Originalfassungen beschaffen und Auslegungsfragen mit örtlicher Rechtsberatung klären.

Relevante Normreferenzen

• Bundesdekretgesetz Nr. 45/2021 über den Schutz personenbezogener Daten: Art. 2 Abs. 1 (Geltung, auch außerhalb des Staates), Art. 2 Abs. 2 (Ausnahmen), Art. 3 (Befreiung), Art. 4 (Verarbeitung ohne Einwilligung), Art. 9 (Meldung), Art. 22 und 23 (Übermittlung), Art. 26 (Sanktionen per Kabinettsbeschluss), Art. 28 (Ausführungsverordnung).
• Bundesgesetz Nr. 2/2019 über die Nutzung von IKT im Gesundheitswesen: Art. 2 (Geltung einschließlich Freizonen), Art. 13 (Speicherung und Übermittlung außerhalb des Staates), Art. 20 (Aufbewahrung), Art. 24 (Strafe bei Verstoß gegen Art. 13); Ausführungsverordnung Kabinettsbeschluss Nr. 32/2020.
• DIFC Data Protection Law, DIFC Law No. 5 of 2020, Consolidated Version July 2025: Art. 6 (Geltung), Art. 26 und 27 (Übermittlung), Art. 41 (Meldung), Art. 62 und Anlage 2 (Bußgelder), Anlage 1 (Drittland).
• ADHICS V2 (DOH/SD/ICSO/ADHICS/V2/2024): Geltungsbereich, Control-Kategorien, Vorgaben zu Datenstandort, Cloud und Meldung.
• CBUAE Consumer Protection Regulation (Rundschreiben 8/2020) mit Standards Art. 6; Outsourcing Regulation for Banks (Rundschreiben 14/2021).
• UAE Information Assurance Regulation 1.1 (März 2020): Abschnitte 1.1 und 2.1 (Adressaten), 2.3 (Berichtswege).
• Vertiefung: vae-002 bis vae-006. Abgrenzung: DSGVO im dsgvo-Track, Saudi-Arabien im saudi-arabien-Track; keine Gleichwertigkeitsaussage.