UAE PDPL im Jahr 2026: Was jetzt für Ihr Unternehmen gilt und was noch aussteht

Das Datenschutzgesetz der VAE, Bundesgesetzesdekret Nr. 45 von 2021 (das PDPL), ist am 2. Januar 2022 in Kraft getreten. Fast fünf Jahre später behandeln viele Unternehmen es noch immer als etwas, das erst später beginnt. Das ist halb richtig, und die falsche Hälfte ist die teure.

Was bereits in Kraft ist

Das Gesetz selbst. Seine Pflichten stehen im Gesetzesdekret und gelten schon heute: Verarbeitung nur mit Einwilligung oder aufgrund einer der Ausnahmen in Artikel 4, Transparenz gegenüber Einzelpersonen, Rechte betroffener Personen (Artikel 13 bis 18), Sicherheitsmaßnahmen (Artikel 20), Meldung von Datenschutzverletzungen an das UAE Data Office (Artikel 9), Folgenabschätzungen für Verarbeitungen mit hohem Risiko (Artikel 21) und Beschränkungen für Übermittlungen außerhalb der VAE (Artikel 22 und 23).

Was noch aussteht

Die Ausführungsverordnung, die die Details regelt: genaue Fristen für die Meldung von Datenschutzverletzungen und die Beantwortung von Anträgen, das Verfahren für grenzüberschreitende Übermittlungen und die Einzelheiten der Benennung eines DSB. Zum Zeitpunkt der Erstellung ist sie auf dem Gesetzesportal der VAE nicht veröffentlicht.

Sanktionen. Artikel 26 überlässt die Liste der Verstöße und Verwaltungsbußgelder einem Kabinettsbeschluss, der ebenfalls noch nicht erlassen wurde. Zahlen, die online zitiert werden, etwa konkrete Fristen im Jahr 2027 oder Bußgelder von mehreren Millionen Dirham, stammen aus keinem veröffentlichten Rechtstext.

Warum Abwarten trotzdem ein schlechter Plan ist

• Die Anpassungsfrist ist kurz. Artikel 29 gibt Organisationen nach Erlass der Ausführungsverordnung einen begrenzten Zeitraum zur Umsetzung. Ein Verzeichnis von Verarbeitungstätigkeiten, Richtlinien und Verfahren von Grund auf zu erstellen, dauert für die meisten kleinen Unternehmen länger.
• Ihre Kunden warten nicht. Großunternehmen, Banken und Behörden nehmen PDPL-Fragen bereits in das Lieferanten-Onboarding auf. Ein fehlender Datenschutzhinweis oder ein fehlendes Verfahren für Datenschutzverletzungen kann schon heute einen Vertrag aufhalten, unabhängig von der Durchsetzung.
• An der Arbeit ändert sich wenig. Die Verordnung wird Details ergänzen, keine neuen Grundsätze. Ein Verzeichnis von Verarbeitungstätigkeiten, ein korrekter Datenschutzhinweis, Dienstleisterverträge und ein Plan für Datenschutzverletzungen sind in jeder Fassung der Regeln notwendig.

Für wen es gilt

Das PDPL gilt für die Verarbeitung personenbezogener Daten aller Personen, die in den VAE wohnen oder dort geschäftlich tätig sind, durch Verantwortliche und Auftragsverarbeiter in den VAE und durch Stellen im Ausland, die solche Daten verarbeiten. Es gilt nicht für Einrichtungen in Freihandelszonen mit eigenem Datenschutzgesetz, insbesondere DIFC und ADGM, nicht für bestimmte Regierungsdaten und tritt bei Gesundheits- und Bankdaten hinter Spezialgesetze zurück.

Ein praktischer Ausgangspunkt

Finden Sie zunächst heraus, wo Sie stehen. Unsere kostenlose Bewertung dauert etwa zehn Minuten, bewertet zwölf Bereiche des Gesetzes und sagt Ihnen, wie viele Lücken Sie haben und wie schwerwiegend sie sind, bevor Sie etwas ausgeben.