PDPL-Compliance in den VAE 2026: Ein praktischer Leitfaden für Entscheidungsträger

Aktualisiert am 20. Oktober 2026

Die Einhaltung des Datenschutzgesetzes der VAE (Personal Data Protection Law, PDPL) ist für alle Unternehmen in den VAE unverzichtbar geworden. Das Bundesdekretgesetz Nr. 45 von 2021 zum Schutz personenbezogener Daten (PDPL) trat 2022 in Kraft, die Durchführungsverordnungen folgten 2023, und die Durchsetzung begann 2024. Wenn Ihr Unternehmen in den VAE tätig ist — außerhalb von DIFC und ADGM, die eigene Regelungen haben — und personenbezogene Daten von Kunden, Mitarbeitenden oder anderen Personen verarbeitet, gilt das PDPL für Sie.

Die meisten Unternehmen in den VAE hinken bei der Compliance hinterher. Das Gesetz hat Pflichten eingeführt, die der DSGVO gleichwertig sind, doch anders als bei der langen Umsetzungsfrist der DSGVO hatten Unternehmen in den VAE deutlich weniger Zeit und erheblich weniger behördliche Orientierung. Dieser Leitfaden behandelt, was das PDPL tatsächlich verlangt, wo die meisten Unternehmen Lücken haben und welche praktischen Schritte zur Compliance führen, ohne zu übertreiben.

PDPL-Compliance in den VAE: Für wen gilt es?

Die PDPL-Compliance gilt für jede natürliche oder juristische Person mit Sitz oder Wohnsitz in den VAE, die personenbezogene Daten verarbeitet — und sie hat extraterritoriale Reichweite für Verarbeitungstätigkeiten, die Einwohner der VAE betreffen, auch wenn das Unternehmen seinen Sitz außerhalb der VAE hat.

Wichtig: Das PDPL gilt nicht innerhalb von DIFC und ADGM, die jeweils eigene Datenschutzrahmen haben (das DIFC Data Protection Law bzw. die ADGM Data Protection Regulations). Wenn Ihr Unternehmen in einer dieser Freizonen registriert ist, halten Sie sich an deren Regelung und nicht an das PDPL — wobei die Grundsätze weitgehend ähnlich sind.

Für alle anderen, die auf dem Festland der VAE oder in anderen Freizonen tätig sind: Das PDPL ist Ihr Rahmenwerk.

Was gilt nach dem PDPL als personenbezogene Daten?

Personenbezogene Daten nach dem PDPL sind alle Informationen, die eine natürliche Person direkt oder indirekt identifizieren oder zu ihrer Identifizierung genutzt werden können. Dazu gehören die offensichtlichen (Namen, Ausweisnummern, Telefonnummern, E-Mail-Adressen) und die weniger offensichtlichen (IP-Adressen, Gerätekennungen, Standortdaten, über Cookies oder Apps erhobene Verhaltensdaten).

Das PDPL bestimmt außerdem bestimmte Kategorien als sensible personenbezogene Daten, für die strengere Anforderungen gelten: Gesundheits- und medizinische Informationen, genetische und biometrische Daten, Finanz- und Kreditinformationen, Standortdaten, Strafregistereinträge und Daten von Kindern. Wenn Ihr Unternehmen eine dieser Kategorien verarbeitet, sind die Compliance-Pflichten anspruchsvoller.

Die 6 zentralen Pflichten des PDPL

1. Rechtmäßige Grundlage der Verarbeitung

Sie müssen für jede Verarbeitungstätigkeit eine Rechtsgrundlage haben. Das PDPL kennt mehrere Rechtsgrundlagen: Einwilligung, Erforderlichkeit für einen Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse und berechtigte Interessen. Anders als bei der DSGVO ist die Rechtsgrundlage der berechtigten Interessen im PDPL in den Leitlinien weniger ausgearbeitet — daher sind Einwilligung und Vertragserforderlichkeit in der Praxis die am häufigsten genutzten Grundlagen für die kommerzielle Verarbeitung im Kontext der VAE. Ausführliche Hinweise zu den Rechtsgrundlagen finden Sie in den offiziellen Informationen der Regierung der VAE zum Datenschutz.

Die Einwilligung nach dem PDPL muss ausdrücklich, informiert und freiwillig erfolgen. Vorangekreuzte Kästchen, gebündelte Einwilligungen und vage Datenschutzhinweise genügen dem Standard nicht. Wenn Sie sich derzeit für Marketing oder Datenweitergabe auf eine stillschweigende Einwilligung stützen, muss sich das ändern.

2. Transparenz und Datenschutzhinweise

Wenn Sie personenbezogene Daten erheben, müssen Sie die Betroffenen informieren: wer Sie sind, welche Daten Sie erheben, warum Sie sie erheben, wie lange Sie sie aufbewahren, an wen Sie sie weitergeben (insbesondere an Dritte und bei grenzüberschreitenden Übermittlungen) und welche Rechte sie haben. Datenschutzhinweise müssen klar und zugänglich sein und, wo für Einwohner der VAE erforderlich, auf Arabisch vorliegen.

3. Rechte der betroffenen Personen

Das PDPL gewährt Einzelpersonen Rechte, auf die Ihr Unternehmen reagieren können muss — in der Regel innerhalb von 30 Tagen nach einer Anfrage. Dazu gehören das Recht auf Auskunft über ihre Daten, das Recht auf Berichtigung unrichtiger Daten, das Recht auf Löschung („Recht auf Vergessenwerden“), das Recht auf Einschränkung der Verarbeitung, das Recht auf Datenübertragbarkeit und das Recht auf Widerspruch gegen die Verarbeitung. Sie brauchen einen Prozess, um solche Anfragen entgegenzunehmen, zu erfassen und zu beantworten. Viele Unternehmen in den VAE haben keinen.

4. Grenzüberschreitende Datenübermittlungen

Die Übermittlung personenbezogener Daten aus den VAE hinaus erfordert entweder, dass das Zielland ein angemessenes Schutzniveau bietet (wie vom UAE Data Office festgestellt), oder dass geeignete Garantien bestehen — Vertragsklauseln, verbindliche interne Datenschutzvorschriften oder ausdrückliche Einwilligung. Das ist besonders relevant für Unternehmen, die Cloud-Dienste, SaaS-Plattformen oder Datenverarbeitung im Ausland nutzen. Viele gängige Cloud-Konfigurationen beinhalten Datenübermittlungen, die nicht anhand der PDPL-Anforderungen geprüft wurden.

5. Datensicherheit

Das PDPL verlangt angemessene technische und organisatorische Sicherheitsmaßnahmen, um personenbezogene Daten vor unbefugtem Zugriff, Verlust, Zerstörung oder Offenlegung zu schützen. Was „angemessen“ bedeutet, hängt von der Art der Daten und den damit verbundenen Risiken ab — mindestens umfasst es aber Verschlüsselung, Zugriffskontrollen, regelmäßige Sicherheitsbewertungen und eine dokumentierte Sicherheitsrichtlinie. Dasselbe Prinzip gilt für KI: Wer KI-Werkzeuge verantwortungsvoll einsetzt und die Nutzungsbedingungen des Anbieters zur Speicherung und Verwendung der Daten anwendet, trägt dazu bei, die Unternehmensdaten zu schützen. Für die Kategorien sensibler personenbezogener Daten liegt die Messlatte höher. Weitere Hinweise bieten branchenübliche Rahmenwerke und bewährte Verfahren.

6. Meldung von Datenschutzverletzungen

Wenn es zu einer Verletzung des Schutzes personenbezogener Daten kommt, müssen Sie das UAE Data Office innerhalb von 72 Stunden nach Kenntnisnahme benachrichtigen — und die betroffenen Personen unverzüglich informieren, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte zur Folge hat. Das setzt voraus, dass Sie einen Prozess zur Reaktion auf Datenschutzverletzungen haben, bevor Sie ihn brauchen, und ihn nicht erst mitten in einem Vorfall hastig aufbauen. Die meisten Unternehmen in den VAE haben keinen dokumentierten Prozess zur Reaktion auf Datenschutzverletzungen.

Wo Unternehmen in den VAE Lücken haben

Nach unserer Arbeit mit Unternehmen in den VAE aus verschiedenen Branchen sind die häufigsten Compliance-Lücken:

• Kein Datenverzeichnis: Die meisten Unternehmen wissen nicht genau, welche personenbezogenen Daten sie halten, wo diese liegen, wer Zugriff darauf hat oder auf welcher Rechtsgrundlage sie gehalten werden. Ohne diese Grundlage ist die Einhaltung des PDPL nicht möglich.
• Veraltete oder fehlende Datenschutzhinweise: Cookie-Banner und Datenschutzerklärungen, die älter als das PDPL sind, nur auf Englisch vorliegen oder die aktuelle Datenpraxis nicht zutreffend beschreiben.
• Kein Prozess für Anfragen betroffener Personen: Kein formaler Mechanismus, um Auskunfts-, Lösch- oder Übertragbarkeitsanfragen innerhalb der geforderten Frist entgegenzunehmen, zu verfolgen oder zu beantworten.
• Ungeprüfte Datenweitergabe an Dritte: Daten werden an Marketingplattformen, Analysewerkzeuge, HR-Systeme und Cloud-Dienste weitergegeben, ohne Auftragsverarbeitungsvertrag oder Bewertung der grenzüberschreitenden Übermittlung.
• Kein Notfallplan für Datenschutzverletzungen: Kein dokumentierter Prozess, um Datenschutzverletzungen innerhalb der 72-Stunden-Frist des PDPL zu erkennen, einzudämmen und zu melden.
• Informeller Umgang mit sensiblen Daten: Gesundheitsdaten von Mitarbeitenden, Finanzdaten oder Kundendaten werden ohne die erhöhten Kontrollen behandelt, die das PDPL für sensible Kategorien verlangt.

Eine praktische Compliance-Roadmap

PDPL-Compliance ist kein einzelnes Projekt — sie ist ein fortlaufendes Programm. Doch es gibt eine klare Anfangsreihenfolge:

1. Datenerfassung: Erfassen Sie jede Kategorie personenbezogener Daten, die Ihr Unternehmen hält, wo sie gespeichert ist, wer sie verarbeitet, auf welche Rechtsgrundlage Sie sich stützen und an wen sie weitergegeben wird. Das ist die Grundlage, auf der alles andere aufbaut.
2. Lückenanalyse: Vergleichen Sie Ihre aktuelle Praxis mit den Anforderungen des PDPL in allen sechs Pflichtenbereichen. Erkennen und priorisieren Sie die Lücken.
3. Datenschutzhinweise aktualisieren: Überarbeiten Sie Ihre Datenschutzerklärung und Ihren Cookie-Hinweis so, dass sie Ihre aktuelle Praxis zutreffend wiedergeben und die Transparenzanforderungen des PDPL erfüllen. Ergänzen Sie arabische Sprachfassungen, wo erforderlich.
4. Prüfung der Einwilligungsmechanismen: Prüfen Sie Ihre Stellen zur Einholung von Einwilligungen — Website-Formulare, App-Anmeldungen, Marketing-Opt-ins — und passen Sie sie an den Standard der ausdrücklichen Einwilligung des PDPL an.
5. Prozess für Anfragen betroffener Personen: Bauen Sie einen einfachen Prozess auf, um Anfragen betroffener Personen innerhalb der 30-Tage-Frist entgegenzunehmen, zu erfassen und zu beantworten.
6. Vereinbarungen mit Dritten: Prüfen Sie Ihre Beziehungen zu Anbietern und Partnern, bei denen personenbezogene Daten im Spiel sind. Schließen Sie, wo erforderlich, Auftragsverarbeitungsverträge (DPAs). Bewerten Sie grenzüberschreitende Übermittlungen.
7. Notfallplan für Datenschutzverletzungen: Dokumentieren Sie Ihren Prozess für Erkennung, Eindämmung, Bewertung, Meldung und Nachbereitung von Vorfällen, bevor Sie ihn brauchen.
8. Prüfung der Sicherheitskontrollen: Stellen Sie sicher, dass Ihre technischen und organisatorischen Sicherheitsmaßnahmen der Sensibilität der von Ihnen verarbeiteten Daten angemessen sind.

PDPL und branchenspezifische Vorschriften

Das PDPL gilt neben — nicht anstelle von — branchenspezifischen Daten- und Sicherheitsvorschriften. Gesundheitseinrichtungen unterliegen den Vorschriften der DHA und zu Gesundheitsdaten. Teilnehmer an der staatlichen Lieferkette können NESA-Anforderungen unterliegen. Zu verstehen, wie das PDPL mit dem Rahmenwerk Ihrer Branche zusammenwirkt, ist unerlässlich — und ein Fehler in beide Richtungen (Übererfüllung oder das Übersehen regulatorischer Anforderungen) ist teuer.

Für Unternehmen, die in mehreren Rechtsordnungen tätig sind, überschneidet sich das PDPL zudem mit der DSGVO für europäische Daten und mit gleichwertigen Rahmenwerken im GCC, während die Datenschutzgesetzgebung in der Region reift.

Die Kosten der Nichteinhaltung

Die Durchsetzung des PDPL sieht bei schweren Verstößen Verwaltungsstrafen von bis zu 20 Millionen AED vor, bei vorsätzlichem Verstoß oder grober Fahrlässigkeit zusätzlich eine strafrechtliche Haftung. Über die behördlichen Strafen hinaus schafft eine Datenschutzverletzung, die unzureichende Sicherheitsmaßnahmen offenlegt, Reputations-, Vertrags- und Geschäftsrisiken, die die behördliche Geldbuße oft übersteigen.

Die Kosten eines strukturierten Compliance-Programms sind ein Bruchteil der Kosten einer Untersuchung nach einer Datenschutzverletzung, eines behördlichen Verfahrens und des Schadens an den Kundenbeziehungen, der darauf folgt.

Innov@Scale unterstützt Unternehmen in den VAE dabei, ihr PDPL-Risiko zu bewerten und praxistaugliche Compliance-Programme aufzubauen. Buchen Sie ein KI-Assessment, um zu verstehen, wo Sie stehen — unverbindlich, ohne Verkaufsgespräch.

Entdecken Sie verwandte Leistungen von Innov@Scale

• KI-Governance und Compliance — Richtlinien, Risikokontrollen und klare Rollen für den sicheren Einsatz von KI
• KI-Beratung VAE — Bewerten, beraten und transformieren, mit Partnerplattformen und Spezialisten
• Daten- und Plattformreife — Prüfen, ob Ihre Daten und Systeme tragen, was Sie planen