Das Datenschutzgesetz der VAE und die Website Ihres Unternehmens

Ein Kontaktformular, eine Angebotsanfrage, eine Terminbuchung, eine Newsletter-Anmeldung. Jedes davon erhebt einen Namen, eine Telefonnummer und eine E-Mail-Adresse, und all das sind personenbezogene Daten, die in den Vereinigten Arabischen Emiraten gesetzlich geschützt sind.

Gemeint ist das Bundesgesetzesdekret Nr. (45) von 2021 über den Schutz personenbezogener Daten. Es wurde am 20. September 2021 erlassen und trat am 2. Januar 2022 in Kraft. Es enthält Pflichten, die Ihr Unternehmen selbst treffen, nicht nur den Entwickler oder den Hoster. Hier lesen Sie, was das für eine Unternehmenswebsite bedeutet und wann andere Regeln gelten, wenn Ihr Unternehmen im Dubai International Financial Centre (DIFC) oder im Abu Dhabi Global Market (ADGM) lizenziert ist.

Der Beitrag dient der Erklärung und ist keine Rechtsberatung. In Einzelfällen fragen Sie einen Anwalt und lesen den amtlichen Text im Gesetzesportal der VAE (auf Arabisch).

Für wen das Gesetz gilt

Nach Artikel 2 gilt das Gesetz für die Verarbeitung personenbezogener Daten aller Personen, die in den VAE wohnen oder dort einen Geschäftssitz haben, für jeden Verantwortlichen oder Auftragsverarbeiter in den VAE, auch wenn er Daten von Personen außerhalb des Landes verarbeitet, und für Verantwortliche oder Auftragsverarbeiter außerhalb des Landes, wenn sie Daten von Personen im Land verarbeiten.

Verantwortlicher ist im Sinne des Gesetzes, wer Art und Zweck der Verarbeitung festlegt, also Ihr Unternehmen. Auftragsverarbeiter ist, wer die Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet: der Hoster, die Agentur, die die Website betreut, das Newsletter-Tool, das Buchungssystem.

Das Gesetz nimmt mehrere Bereiche aus. Für Unternehmer sind die wichtigsten:

• Gesundheitsdaten, deren Schutz und Verarbeitung ein eigenes Gesetz regelt,
• Bank- und Kreditdaten, für die ein eigenes Gesetz gilt,
• Unternehmen und Einrichtungen in Freizonen mit eigenen Datenschutzgesetzen, vor allem DIFC und ADGM.

Für die Durchsetzung des Gesetzes zuständig ist das UAE Data Office, das mit dem Bundesgesetzesdekret Nr. (44) von 2021 geschaffen wurde.

Was Ihre Website tatsächlich erhebt

Die Definition im Gesetz ist weit: Personenbezogene Daten sind alle Daten, die sich auf eine bestimmte natürliche Person beziehen oder mit denen sie direkt oder indirekt identifiziert werden kann. Als Beispiele nennt das Gesetz unter anderem Name, Stimme, Bild, Ausweisnummer, elektronische Kennung und geografischen Standort.

Auf einer gewöhnlichen Unternehmenswebsite tauchen solche Daten an vielen Stellen auf:

• Formulare für Kontakt, Angebotsanfragen und Terminbuchungen,
• Kundenkonten und Bestellungen im Onlineshop,
• Bewerbungsformulare, über die Lebensläufe eingehen,
• die Newsletter-Anmeldung,
• Analyse- und Werbetools, weil sie mit elektronischen Kennungen des Besuchers arbeiten.

Beginnen Sie mit einer einfachen Liste: jedes Formular und jedes Tool auf der Website, welche Daten es erhebt, wohin sie gehen (ein Postfach, ein CRM, eine Tabelle), wer sie lesen kann und wie lange sie gespeichert werden. Diese Liste ist die Grundlage des Verzeichnisses, das Artikel 7 verlangt. Es enthält die Datenkategorien, wer Zugriff hat, den Zweck der Verarbeitung, jede Übermittlung ins Ausland und die Maßnahmen zur Informationssicherheit. Der Verantwortliche legt es dem Data Office auf Anfrage vor.

Einwilligung und Information, bevor jemand auf „Senden“ klickt

Grundsätzlich verbietet Artikel 4 die Verarbeitung personenbezogener Daten ohne Einwilligung der betroffenen Person, mit bestimmten Ausnahmen. Für Websites relevant ist unter anderem, dass die Verarbeitung nötig ist, um einen Vertrag zu erfüllen, dessen Partei die betroffene Person ist, um auf ihren Wunsch Schritte zu einem Vertragsschluss zu unternehmen, oder um eine Pflicht zu erfüllen, die ein anderes Gesetz Ihrem Unternehmen auferlegt. Auf eine Angebotsanfrage zu antworten ist das eine, dieselbe Person auf Ihre Marketingliste zu setzen etwas anderes.

Stützen Sie sich auf eine Einwilligung, verlangt Artikel 6, dass sie klar, einfach, eindeutig und leicht zugänglich ist, dass Sie sie nachweisen können und dass sie das Recht der betroffenen Person enthält, sie auf einfache Weise zu widerrufen. Artikel 13 verpflichtet Sie, die Person vor Beginn der Verarbeitung über deren Zwecke zu informieren, über die Stellen im In- und Ausland, mit denen ihre Daten geteilt werden, und über die Schutzmaßnahmen, wenn sie ins Ausland übermittelt werden.

Praktisch bedeutet das:

1. Neben jedem Formular ein gut sichtbarer Link zur Datenschutzerklärung, in beiden Sprachen, wenn Ihre Website auf Arabisch und Englisch ist.
2. Ein eigenes, nicht vorausgewähltes Kontrollkästchen für die Einwilligung in Werbenachrichten.
3. Datum und Uhrzeit der Einwilligung und der Wortlaut dessen, was die Person akzeptiert hat, werden gespeichert.
4. In jeder Werbenachricht ein funktionierender Abmeldelink, denn Artikel 17 gibt der betroffenen Person das Recht, der Direktwerbung zu widersprechen.
5. Eine E-Mail-Adresse oder ein klares Formular für Anfragen betroffener Personen, wie es Artikel 19 verlangt.

Datensicherheit: der Teil, der die Website direkt betrifft

Artikel 20 verlangt von Verantwortlichen und Auftragsverarbeitern technische und organisatorische Maßnahmen, die dem Risiko angemessen sind und den besten internationalen Standards und Praktiken folgen. Genannt werden unter anderem die Verschlüsselung personenbezogener Daten, die Vertraulichkeit und Integrität der Verarbeitungssysteme, die rechtzeitige Wiederherstellung der Daten nach einem Ausfall und die Prüfung, ob diese Maßnahmen wirken.

Das Gesetz nennt weder WordPress-Plugins noch SSL-Zertifikate beim Namen. Auf einer Unternehmenswebsite sieht die praktische Umsetzung aber so aus:

• jede Seite mit Formular läuft über HTTPS mit gültigem Zertifikat. Prüfen können Sie das mit dem kostenlosen SSL certificate checker (auf Englisch),
• WordPress, Theme und Plugins sind aktuell, aufgegebene Plugins sind gelöscht (siehe den Beitrag zu veralteten WordPress-Plugins),
• die Anmeldung im WordPress-Backend und im Hosting-Panel ist mit Zwei-Faktor-Anmeldung geschützt,
• Sicherungen liegen außerhalb des öffentlichen Website-Ordners, und ihre Wiederherstellung wurde tatsächlich ausprobiert,
• Formularnachrichten bleiben nicht für immer liegen, denn nach Artikel 5 dürfen Daten nach Erfüllung ihres Zwecks nur aufbewahrt werden, wenn die Person anonymisiert wurde.

Artikel 7 verpflichtet Sie außerdem, einen Auftragsverarbeiter zu wählen, der ausreichende Garantien für die geforderten technischen und organisatorischen Maßnahmen bietet. Fragen Sie Hoster und Agentur schriftlich danach und lassen Sie es in den Vertrag schreiben.

Wenn es zu einer Datenpanne kommt

Artikel 9 verpflichtet den Verantwortlichen, das UAE Data Office zu informieren, sobald er von einer Verletzung personenbezogener Daten erfährt, die deren Privatsphäre, Vertraulichkeit und Sicherheit beeinträchtigen kann, und zwar innerhalb der Frist und nach dem Verfahren, die die Durchführungsverordnung festlegt. Der Meldung liegen eine Beschreibung von Art und Ursachen der Verletzung und der ungefähren Zahl der Fälle bei, die Kontaktdaten des Datenschutzbeauftragten, die möglichen Folgen und die ergriffenen Gegenmaßnahmen. Auch die betroffenen Personen müssen informiert werden, wenn die Verletzung die Privatsphäre, Vertraulichkeit und Sicherheit ihrer Daten berührt. Erfährt der Auftragsverarbeiter zuerst von der Verletzung, etwa die Agentur oder der Hoster, muss er Sie sofort informieren.

Beachten Sie: Das Gesetz selbst nennt keine Stundenfrist für die Meldung, wie es die DSGVO mit 72 Stunden tut, sondern verweist dafür auf die Durchführungsverordnung. Dasselbe gilt für die Verwaltungssanktionen, die nach Artikel 26 per Kabinettsbeschluss festgelegt werden. Artikel 29 gewährt eine Übergangsfrist von höchstens sechs Monaten ab Erlass der Durchführungsverordnung, die das Kabinett um denselben Zeitraum verlängern kann. Diese Einzelheiten ändern sich, prüfen Sie ihren Stand also im Gesetzesportal, bevor Sie eine Entscheidung darauf stützen.

Warten Sie mit der Vorbereitung nicht auf die Verordnung. Legen Sie fest, wer in Ihrem Unternehmen die Meldung übernimmt, wo die Serverprotokolle liegen und wen Sie bei der Agentur und beim Hoster anrufen.

DIFC und ADGM: zwei eigene Systeme

Ist Ihr Unternehmen im Dubai International Financial Centre oder im Abu Dhabi Global Market lizenziert, gelten für jedes der beiden ein eigenes Datenschutzgesetz und eine eigene Aufsichtsbehörde.

Im DIFC gilt das Datenschutzgesetz Nr. 5 von 2020 für die im Zentrum registrierten Unternehmen, unabhängig davon, wo die Verarbeitung stattfindet, und für alle, die Daten innerhalb des Zentrums verarbeiten. Die Aufsicht führt der Commissioner of Data Protection. Der Verantwortliche muss dem Commissioner seine Verarbeitungen melden und diese Meldung jährlich gegen eine Gebühr erneuern. Bei einer Datenpanne wird der Commissioner „so bald wie unter den Umständen praktisch möglich“ informiert, ohne Frist in Stunden, und die betroffenen Personen werden informiert, wenn das Risiko für sie hoch ist. Seit den Änderungen vom Juli 2025 können betroffene Personen Schadenersatz direkt vor den Gerichten des DIFC verlangen.

Im ADGM gelten die Data Protection Regulations 2021, die Aufsicht führt das Office of Data Protection. Jede im ADGM registrierte Stelle, die personenbezogene Daten verarbeitet, muss sich als Verantwortlicher registrieren. Eine Datenpanne ist dem Office ohne unangemessene Verzögerung zu melden, und wo möglich innerhalb von 72 Stunden, nachdem sie bekannt wurde.

Sitzt Ihr Unternehmen auf dem Festland oder in einer anderen Freizone, fragen Sie die Stelle, die Ihre Lizenz ausgestellt hat, ob die Zone ein eigenes Datenschutzgesetz hat. Wenn nicht, ist das Bundesgesetz maßgeblich.