Datenschutz
PDPL
Personal Data Protection Law (Vereinigte Arabische Emirate und Saudi-Arabien)
PDPL bezeichnet die Datenschutzgesetze der Vereinigten Arabischen Emirate und Saudi-Arabiens, die festlegen, wie personenbezogene Daten erhoben, verarbeitet und übermittelt werden müssen. Wir unterstützen Sie dabei, Ihre Daten zu erfassen, die Lücken zu schließen und die Einhaltung nachzuweisen.
Was PDPL ist
Die Datenschutzgesetze der Vereinigten Arabischen Emirate und des Königreichs Saudi-Arabien regeln, wie Organisationen die personenbezogenen Daten natürlicher Personen erheben, verarbeiten, speichern und übermitteln. Sie legen Rechtsgrundlagen für die Verarbeitung, individuelle Rechte, Sicherheitspflichten und Regeln für grenzüberschreitende Übermittlungen fest und werden von den jeweiligen nationalen Datenschutzbehörden verwaltet.
PDPL ist eine rechtliche Verpflichtung, deren Einhaltung Sie nachweisen, und kein Standard, gegen den eine akkreditierte Stelle Sie zertifiziert. Die beiden Regelwerke teilen vertraute Datenschutzgrundsätze, unterscheiden sich jedoch im Detail, und sie können für Organisationen außerhalb der Region gelten, wenn diese dort personenbezogene Daten natürlicher Personen verarbeiten.
Die Anatomie der beiden Gesetze
Grundsätze · rechtmäßige und faire Verarbeitung
Beide Gesetze verlangen, dass personenbezogene Daten rechtmäßig, fair und transparent, für festgelegte Zwecke und beschränkt auf das Notwendige verarbeitet werden.
Rechtsgrundlage · Gründe für die Verarbeitung
Die Verarbeitung muss auf einer anerkannten Rechtsgrundlage beruhen, etwa einer Einwilligung oder einer anderen im jeweils geltenden Gesetz festgelegten Grundlage.
Rechte der betroffenen Person · Kontrolle für Einzelpersonen
Einzelpersonen werden Rechte gewährt, darunter Auskunft, Berichtigung, Löschung und Widerspruch, die der Verantwortliche innerhalb festgelegter Fristen umsetzen können muss.
Pflichten des Verantwortlichen · Rechenschaftspflicht
Organisationen müssen Verarbeitungsverzeichnisse führen, Sicherheitsmaßnahmen anwenden, Risiken bewerten und in festgelegten Fällen einen Datenschutzbeauftragten oder eine gleichwertige Rolle benennen.
Meldung von Verletzungen · Vorfallmeldung
Verletzungen des Schutzes personenbezogener Daten, die die festgelegte Schwelle erreichen, müssen der zuständigen nationalen Behörde und, sofern erforderlich, den betroffenen Einzelpersonen gemeldet werden.
Grenzüberschreitende Übermittlung · Daten hinausbewegen
Übermittlungen personenbezogener Daten außerhalb der Rechtsordnung sind nur an angemessene Ziele oder unter genehmigten Garantien und Bedingungen zulässig.
Aufsichtsbehörde · Durchsetzung
Jedes Gesetz wird von einer nationalen Datenschutzbehörde verwaltet, die über Befugnisse verfügt, zu untersuchen, Abhilfemaßnahmen anzuordnen und Sanktionen zu verhängen.
Wer es braucht
- In den Vereinigten Arabischen Emiraten oder in Saudi-Arabien ansässige Organisationen, die personenbezogene Daten verarbeiten
- Unternehmen außerhalb der Region, die die personenbezogenen Daten dort ansässiger natürlicher Personen verarbeiten
- Unternehmen, die in die Golfregion expandieren und eine belastbare Datenschutzaufstellung benötigen
Was Sie erhalten
- Eine Datenerfassung und Lückenanalyse gegen die einschlägigen PDPL-Anforderungen
- Richtlinien, Hinweise und Nachweise zu Rechtsgrundlage oder Einwilligung
- Verfahren für individuelle Rechte, für die Reaktion auf Verletzungen und für Verarbeitungsverzeichnisse
- Ein Nachweispaket zur Einhaltung und Dokumentation zu grenzüberschreitenden Übermittlungen
Die Zeitpläne hängen davon ab, welches Regelwerk gilt, wie viele personenbezogene Daten Sie verarbeiten und wie diese grenzüberschreitend fließen. Wir legen den Umfang vorab ehrlich fest, statt eine feste Anzahl von Wochen zu versprechen.
Aktuelle Version
In den VAE ist das Federal Decree-Law No. 45 of 2021 über den Schutz personenbezogener Daten das aktuelle föderale Regelwerk, beaufsichtigt vom UAE Data Office. In Saudi-Arabien ist das unter Royal Decree M/19 of 2021 erlassene und 2023 geänderte Personal Data Protection Law mit seinen Durchführungsbestimmungen und den Vorschriften zur Übermittlung personenbezogener Daten in Kraft, durchgesetzt von der Saudi Data and AI Authority. Beide Regelwerke veröffentlichen und aktualisieren weiterhin Ausführungs- und Durchführungsbestimmungen, sodass sich die detaillierten Pflichten im Laufe der Zeit weiterentwickeln. Behandeln Sie die aktuelle Leitlinie jeder Behörde als Bezugspunkt und überprüfen Sie Ihre Kontrollen, sobald weitere Vorschriften erlassen werden.
Was es kostet
PDPL ist eine rechtliche Verpflichtung, kein zertifizierbarer Standard, daher gibt es kein Zertifikat zu kaufen und keine akkreditierte Stelle, die man für einen Stempel bezahlt. Die Kosten sind unser festgelegtes Beratungs- und Umsetzungshonorar, das vorab angeboten wird, sobald wir Ihre Größe, das anwendbare Regelwerk und Ihren Ausgangspunkt verstehen, zuzüglich jeder unabhängigen Bewertung, externen Prüfung oder jedes Datenschutzbeauftragten und rechtlichen Beitrags vor Ort, den Sie einbeziehen möchten und den diese Parteien gesondert zu ihren eigenen Bedingungen berechnen. tr3labs ist niemals die zertifizierende, prüfende oder regulierende Stelle; diese Rolle hat die nationale Datenschutzbehörde inne. Wir legen den Umfang gemeinsam mit Ihnen fest, statt blind anzubieten.
Wie tr3labs Sie dorthin bringt
Geltungsbereich und Datenerfassung
Wir ermitteln, welches Regelwerk gilt, erfassen, welche personenbezogenen Daten Sie führen und wie diese fließen, und messen Ihre aktuellen Praktiken an den einschlägigen PDPL-Anforderungen.
Die Kontrollen aufbauen
Wir helfen Ihnen, die Richtlinien, Hinweise, Nachweise zu Einwilligung und Rechtsgrundlage sowie die Datenschutzprozesse einzurichten, die das Gesetz erfordert, einschließlich der Anforderungen an grenzüberschreitende Übermittlungen.
Rechte und Governance
Wir implementieren die Prozesse für die Bearbeitung von Anfragen zu individuellen Rechten, für die Reaktion auf Verletzungen und für Verarbeitungsverzeichnisse und führen eine interne Überprüfung durch, um zu bestätigen, dass sie funktionieren.
Bereitschaft und Nachweise
Wir stellen die Nachweise zusammen, die die Einhaltung gegenüber der zuständigen Behörde und gegenüber Kunden belegen, und halten Sie auf dem aktuellen Stand, während sich die Vorschriften und ihre Durchführungsbestimmungen weiterentwickeln.
PDPL und GDPR im direkten Vergleich
Die beiden werden verwechselt, weil die Golf-PDPL-Regelwerke einen Großteil ihrer Struktur und ihres Vokabulars von der GDPR übernehmen, sich jedoch in Rechtsordnung und Detail unterscheiden.
| PDPL (UAE & Saudi Arabia) | GDPR | |
|---|---|---|
| Erfasst | Personenbezogene Daten in den VAE und in Saudi-Arabien | Personenbezogene Daten in der EU und im EWR |
| Wer es verlangt | UAE Data Office und saudische SDAIA | Datenschutzbehörden der EU und der Mitgliedstaaten |
| Kerngedanke | Rechtmäßige, sichere Verarbeitung personenbezogener Daten | Rechtmäßige, sichere Verarbeitung personenbezogener Daten |
| Prüfmodell | Einhaltung gegenüber der Behörde nachgewiesen, kein Zertifikat | Einhaltung gegenüber der Behörde nachgewiesen, kein Zertifikat |
| Übermittlungsregeln | Regionsspezifische Angemessenheit und Garantien | Angemessenheitsbeschlüsse und Standardgarantien |
| Oft gehalten mit | DIFC-Recht und ISO 27001 | ISO 27001 und SOC 2 |
PDPL FAQ
- Gilt das PDPL der VAE oder Saudi-Arabiens für uns, wenn wir anderswo ansässig sind?
- Das ist möglich. Die Gesetze können Organisationen außerhalb der Region erfassen, wenn diese dort personenbezogene Daten natürlicher Personen verarbeiten. Wir helfen Ihnen bei der Festlegung des Geltungsbereichs zu bestimmen, ob und wie jedes Regelwerk gilt.
- Wie verhält sich PDPL im Vergleich zur GDPR?
- Die Gesetze der VAE und Saudi-Arabiens teilen mit der GDPR vertraute Datenschutzgrundsätze, etwa Rechtsgrundlagen, individuelle Rechte und Sicherheitspflichten, unterscheiden sich jedoch im Detail und in ihren Übermittlungsregeln. Bestehende GDPR-Arbeit verschafft Ihnen einen deutlichen Vorsprung.
- Ist PDPL eine Zertifizierung?
- Nein. Es ist eine rechtliche Verpflichtung, deren Einhaltung Sie gegenüber der zuständigen Behörde nachweisen, und kein zertifizierbarer Standard. Wir bauen die Kontrollen und Nachweise auf, die Ihre Einhaltung stützen und belegen.
Verwandte Standards
Weiterführende Artikel
Die OWASP LLM Top 10, erklärt: Ein verständlicher Leitfaden für Teams, die KI-Funktionen ausliefern
Ein klarer, praxisnaher Durchgang durch die OWASP Top 10 der Risiken für Anwendungen mit großen Sprachmodellen, mit einer verständlichen Beschreibung und einer konkreten Gegenmaßnahme für jedes Risiko, gerichtet an Teams, die zum ersten Mal KI-Funktionen hinzufügen.
9 Min. Lesezeit
Wie Sie einen Penetrationstest-Bericht (VAPT) lesen: ein verständlicher Leitfaden für Teams
Eine praxisnahe Erläuterung, was in einen Penetrationstest-Bericht gehört, Abschnitt für Abschnitt, damit Gründerinnen und Gründer sowie Engineering-Teams ihn souverän lesen und auf seiner Grundlage handeln können.
8 Min. Lesezeit
SOC 2 vs. ISO 27001: ein ehrlicher Vergleich als Entscheidungshilfe
Ein verständlicher Leitfaden zu den tatsächlichen Unterschieden zwischen SOC 2 und ISO 27001: was jeder Standard ist, wer welchen verlangt, wie die Prüfungen ablaufen, was Sie am Ende in der Hand halten und ob Sie beides machen sollten.
8 Min. Lesezeit