Datenschutz
DIFC
DIFC Data Protection Law (Datenschutzgesetz, Dubai)
Das DIFC Data Protection Law regelt, wie Organisationen im Dubai International Financial Centre mit personenbezogenen Daten umgehen. Wir helfen Ihnen, Ihre Daten zu erfassen, die Lücken zu schließen und die Einhaltung gegenüber dem DIFC Commissioner of Data Protection nachzuweisen.
Was DIFC ist
Das DIFC Data Protection Law ist das Datenschutzregime des Dubai International Financial Centre, einer Finanzfreizone mit eigenem Rechtsrahmen. Es legt die Rechtsgrundlagen für die Verarbeitung, die Rechte des Einzelnen, die Rechenschaftspflichten sowie die Regeln für internationale Datenübermittlungen fest und wird vom DIFC Commissioner of Data Protection beaufsichtigt.
Das Gesetz stützt sich auf internationale Datenschutzstandards und ist eine rechtliche Verpflichtung, deren Einhaltung Sie nachweisen, und kein Standard, gegen den eine akkreditierte Stelle Sie zertifiziert. Es gilt für im DIFC ansässige Einrichtungen, die personenbezogene Daten als Verantwortliche oder Auftragsverarbeiter verarbeiten, und umfasst Registrierungs- und Meldepflichten gegenüber dem Commissioner.
Der Aufbau des Gesetzes
Teil 1 bis 2 · Anwendung und Begriffsbestimmungen
Das Gesetz legt fest, für wen es gilt, und definiert personenbezogene Daten, Verantwortliche, Auftragsverarbeiter und die räumliche Reichweite über Einrichtungen, die im DIFC ansässig sind oder von dort aus tätig sind.
Teil 3 · Datenschutzgrundsätze
Die Verarbeitung muss rechtmäßig, fair und transparent sein, auf einen festgelegten Zweck beschränkt, richtig, auf das Minimum beschränkt, nicht länger als nötig aufbewahrt und gesichert.
Teil 4 · Rechtsgrundlagen und besondere Kategorien
Es benennt die Gründe, auf denen eine Verarbeitung erfolgen darf, und ergänzt strengere Bedingungen für sensible Kategorien personenbezogener Daten.
Teil 5 · Rechenschaft und Governance
Verantwortliche und Auftragsverarbeiter müssen die Einhaltung durch Verarbeitungsverzeichnisse, Datenschutz durch Technikgestaltung, Bewertungen für risikoreiche Tätigkeiten und, wo erforderlich, einen Datenschutzbeauftragten nachweisen.
Teil 6 · Rechte der betroffenen Personen
Einzelpersonen können auf die Verarbeitung ihrer personenbezogenen Daten zugreifen, sie berichtigen, löschen, einschränken, übertragen und ihr widersprechen, einschließlich Regeln zu automatisierten Entscheidungen.
Teil 7 · Internationale Übermittlungen
Übermittlungen außerhalb des DIFC sind nur in Rechtsordnungen mit angemessenem Schutz oder unter anerkannten Garantien und Ausnahmen zulässig.
Teil 8 · Der Commissioner und die Durchsetzung
Der DIFC Commissioner of Data Protection beaufsichtigt das Regime, bearbeitet Registrierung und Meldung, untersucht Vorgänge und kann Anweisungen und Bußgelder erlassen.
Teil 9 · Meldung von Verletzungen
Verantwortliche müssen dem Commissioner und, wo relevant, den betroffenen Personen Verletzungen des Schutzes personenbezogener Daten melden, die den festgelegten Schwellenwert erreichen.
Wer es braucht
- Einrichtungen, die im Dubai International Financial Centre registriert sind oder dort tätig sind
- Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten innerhalb des DIFC verarbeiten
- Finanz- und Dienstleistungsunternehmen, die den DIFC als regionalen Standort nutzen
Was Sie erhalten
- Eine Datenerfassung und Lückenbewertung gegenüber dem DIFC Data Protection Law
- Richtlinien, Hinweise und Aufzeichnungen zur Rechtsgrundlage
- Verfahren für die Rechte des Einzelnen, die Meldung von Verletzungen und Verarbeitungsverzeichnisse
- Unterstützung bei der Registrierung und ein Nachweispaket zur Einhaltung
Die Zeitpläne hängen von Ihrer Rolle ab, davon, wie viele personenbezogene Daten Sie verarbeiten und wie diese international übermittelt werden. Wir stecken den Rahmen von Anfang an ehrlich ab, statt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
Das geltende Regime ist DIFC Law No. 5 of 2020, das Data Protection Law, das das frühere Gesetz von 2007 ablöste und neben den DIFC Data Protection Regulations gilt, die einen Großteil der operativen Details enthalten. Der DIFC hat seit der Verabschiedung regelmäßig Änderungen und Leitlinien des Commissioners herausgegeben, daher sollten die Regulations und die veröffentlichten Leitlinien gemeinsam mit dem primären Gesetz und nicht isoliert gelesen werden. Es gibt heute keinen Übergang von einer älteren Fassung zu bewältigen; die praktische Aufgabe besteht darin, Ihr Programm aktuell zu halten, während der Commissioner Leitlinien, Gebühren und Meldeerwartungen aktualisiert. Wir bestätigen die genauen Bestimmungen und etwaige jüngste Änderungen, die für Ihren Anwendungsbereich von Bedeutung sind, im Rahmen des Auftrags.
Was es kostet
Es gibt kein DIFC-Datenschutzzertifikat zu kaufen; es ist eine rechtliche Verpflichtung, deren Einhaltung Sie gegenüber dem Commissioner nachweisen, und kein Standard, gegen den eine akkreditierte Stelle Sie zertifiziert, und tr3labs ist niemals der Zertifizierer, Prüfer oder Regulierer. Die Kosten, die daneben stehen, sind unser abgesteckter Beratungs- und Umsetzungshonorar, das von Anfang an angeboten wird, sobald wir Ihre Größe, Ihre Rolle als Verantwortlicher oder Auftragsverarbeiter und Ihren Ausgangspunkt verstehen, sowie jede unabhängige Leistung, die Sie hinzufügen möchten, etwa eine externe Bewertung, Rechtsberatung oder die Unterstützung durch einen Datenschutzbeauftragten, die jeweils gesondert nach eigenem Plan berechnet wird. Registrierungs- und Meldegebühren, die an den DIFC Commissioner zu zahlen sind, sofern sie anfallen, werden vom DIFC festgelegt und sind wiederum gesondert. Wir stecken den Rahmen gemeinsam mit Ihnen ab, statt blind ein Angebot abzugeben.
Wie tr3labs Sie dorthin bringt
Anwendungsbereich und Datenerfassung
Wir bestätigen Ihre Rolle als Verantwortlicher oder Auftragsverarbeiter, erfassen, welche personenbezogenen Daten Sie halten und wie diese fließen, und messen Ihre derzeitige Praxis am DIFC-Gesetz.
Die Kontrollen aufbauen
Wir helfen Ihnen, die Richtlinien, Hinweise, Aufzeichnungen zur Rechtsgrundlage und Datenschutzprozesse einzuführen, einschließlich der vom Gesetz geforderten Bestimmungen zu internationalen Übermittlungen.
Rechte, Registrierung und Governance
Wir setzen die Rechte des Einzelnen, die Meldung von Verletzungen und die Verarbeitungsverzeichnisse um und unterstützen die Registrierungs- und Meldepflichten gegenüber dem Commissioner, bestätigt durch eine interne Prüfung.
Bereitschaft und Nachweise
Wir stellen die Nachweise zusammen, die die Einhaltung gegenüber dem Commissioner und gegenüber Kunden belegen, und halten Sie auf dem aktuellen Stand, während sich das Gesetz und seine Leitlinien weiterentwickeln.
DIFC Data Protection Law im Vergleich zur GDPR
Beide sind grundsatzbasierte Datenschutzregime mit eng aufeinander abgestimmten Rechten und Pflichten, weshalb das DIFC-Gesetz häufig als GDPR-ähnlich beschrieben wird und die beiden leicht verwechselt werden.
| DIFC Data Protection Law | GDPR | |
|---|---|---|
| Gilt für | Einrichtungen im Dubai International Financial Centre | Organisationen, die personenbezogene Daten der EU und des EWR verarbeiten |
| Wer es verlangt | DIFC Commissioner of Data Protection | Nationale Aufsichtsbehörden der EU und des EWR |
| Kerngedanke | Grundsätze, Rechte und Rechenschaft für eine Finanzfreizone | Grundsätze, Rechte und Rechenschaft in der gesamten EU und im EWR |
| Zertifizierung | Kein Zertifikat; Einhaltung gegenüber dem Commissioner nachgewiesen | Kein Zertifikat; Einhaltung gegenüber den Regulierern nachgewiesen |
| Besondere Pflicht | Registrierung und Meldung beim Commissioner | Federführende Aufsichtsbehörde und One-Stop-Shop-Mechanismus |
| Häufig gehalten mit | UAE PDPL, ISO 27001 | ISO 27001, nationale Datenschutzgesetze |
DIFC FAQ
- Wie unterscheidet sich das DIFC-Gesetz vom umfassenderen UAE PDPL?
- Der DIFC ist eine Finanzfreizone mit einem eigenen Datenschutzgesetz, das vom DIFC Commissioner beaufsichtigt wird und vom föderalen UAE PDPL getrennt ist. Welches gilt, hängt davon ab, wo Ihre Einrichtung ansässig ist. Wir bestätigen dies während der Abstimmung des Anwendungsbereichs.
- Müssen wir uns beim DIFC Commissioner registrieren?
- Das DIFC-Regime umfasst Registrierungs- und Meldepflichten gegenüber dem Commissioner of Data Protection. Wir helfen Ihnen, diese Pflichten als Teil des Auftrags zu verstehen und zu erfüllen.
- Ist das DIFC Data Protection Law eine Zertifizierung?
- Nein. Es ist eine rechtliche Verpflichtung, deren Einhaltung Sie gegenüber dem Commissioner nachweisen, und kein zertifizierbarer Standard. Wir bauen die Kontrollen und Nachweise auf, die Ihre Einhaltung unterstützen und belegen.
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit