Einhaltung des Datenschutz- und Privatsphärenrechts in Dubai (UAE)

Datenschutz und Privatsphäre haben sich weltweit zu zentralen Anliegen für Unternehmen entwickelt, und die Vereinigten Arabischen Emirate, insbesondere Dubai, bilden hier keine Ausnahme. Mit der Beschleunigung der digitalen Transformation und der Zunahme grenzüberschreitender Datenflüsse müssen Unternehmen, die innerhalb von oder aus Dubai operieren, ein komplexes Geflecht lokaler und internationaler Vorschriften beachten, um die Einhaltung sicherzustellen. Unterlassen sie dies, drohen erhebliche finanzielle Bußen, Reputationsschäden und Vertrauensverluste bei Kunden. Dieser Artikel beleuchtet die Feinheiten der Einhaltung von Datenschutz- und Privatsphärenrecht in Dubai und bietet praxisnahe Einblicke für Unternehmer und Fachleute.

Die sich entwickelnde Landschaft des Datenschutzes in den UAE

Die UAE haben erhebliche Fortschritte beim Aufbau eines robusten Rechtsrahmens für den Datenschutz gemacht. Während man historisch auf sektorspezifische Vorschriften und Bestimmungen in umfassenderen Gesetzen wie dem Cybercrime Law zurückgriff, führte die Nation 2021 ein wegweisendes bundesweites Datenschutzgesetz ein. Federal Decree-Law No. 45 of 2021 regarding the Protection of Personal Data (das 'UAE Data Protection Law' oder 'PDPL') trat am 2. Januar 2022 in Kraft; seine Durchführungsverordnungen wurden im September 2023 erlassen. Dieses umfassende Gesetz orientiert sich eng an internationalen Best Practices, insbesondere an der europäischen Datenschutzgrundverordnung (GDPR), und schafft einen einheitlichen Rahmen für die Verarbeitung personenbezogener Daten im Festland der UAE und in den meisten Freihandelszonen.

Vor dem PDPL wurde der Datenschutz durch verschiedene Gesetze geregelt, darunter der UAE Penal Code (Federal Law No. 3 of 1987, as amended), das Cybercrime Law (Federal Decree-Law No. 34 of 2021) sowie sektorspezifische Regelungen für das Gesundheitswesen (z. B. Dubai Healthcare City Authority – DHCA – data protection regulations) und den Finanzdienstleistungssektor. Freihandelszonen wie der Dubai International Financial Centre (DIFC) und der Abu Dhabi Global Market (ADGM) verfügen ebenfalls über eigene ausgefeilte Datenschutzregelungen (DIFC Law No. 5 of 2020 bzw. ADGM Data Protection Regulations 2021), die dem Bundesgesetz vorausgehen und oft einen höheren Schutzstandard bieten. Unternehmen, die in diesen Freihandelszonen tätig sind, müssen sowohl die spezifischen Vorschriften der Zone als auch das übergeordnete Bundesgesetz dort, wo es anwendbar ist, einhalten und das Zusammenspiel sowie mögliche strengere Anforderungen verstehen.

Das PDPL gilt für jede Verarbeitung personenbezogener Daten durch Verantwortliche oder Auftragsverarbeiter mit Sitz in den UAE sowie für solche außerhalb der UAE, die personenbezogene Daten von in den UAE ansässigen betroffenen Personen verarbeiten. Dieser weite extraterritoriale Anwendungsbereich bedeutet, dass selbst internationale Unternehmen, die mit Daten von UAE‑Einwohnern umgehen, konform sein müssen. Das Gesetz deckt personenbezogene Daten ab, die weit gefasst definiert sind und alle Daten umfassen, die sich auf eine identifizierte natürliche Person oder eine Person beziehen, die direkt oder indirekt anhand eines Identifikators wie eines Namens, einer Identifikationsnummer, Standortdaten, eines Online‑Identifiers oder auf einen oder mehrere für th spezifische Faktoren.