Konformität mit dem ägyptischen Datenschutzgesetz mit ConsentX

Was ist das ägyptische Datenschutzgesetz?

Das Datenschutzgesetz Nr. 151 von 2020 legt Regeln zum Schutz personenbezogener Daten fest, die elektronisch verarbeitet werden, unabhängig davon, ob die Verarbeitung ganz oder teilweise mit elektronischen Mitteln erfolgt.

Der Rechtsrahmen regelt Organisationen, die personenbezogene Daten erheben, kontrollieren, verarbeiten, aufbewahren, offenlegen oder übermitteln, und begründet Rechte für betroffene Personen.

Das Gesetz richtet zudem das Personal Data Protection Center (PDPC) als zuständige Behörde für Regulierung und Durchsetzung des Rahmens ein.

Der heutige ägyptische Datenschutzrahmen besteht daher im Wesentlichen aus:

• Datenschutzgesetz Nr. 151 von 2020
• Ausführungsverordnung Nr. 816 von 2025
• Beschlüsse, Standards, Verfahren und Leitlinien des PDPC

Räumlicher Anwendungsbereich des ägyptischen PDPL

Das Gesetz erfasst elektronisch verarbeitete personenbezogene Daten, die sich beziehen auf:

• ägyptische Staatsangehörige, einschließlich derjenigen mit Wohnsitz außerhalb Ägyptens
• nicht-ägyptische Personen mit Wohnsitz in Ägypten

Die aktuellen Erläuterungen des PDPC zum Rechtsrahmen benennen sowohl ägyptische Staatsangehörige als auch nicht-ägyptische Einwohner ausdrücklich als betroffene Personen, die durch das PDPL und die Ausführungsverordnung geschützt sind.

Organisationen außerhalb Ägyptens, die personenbezogene Daten im Anwendungsbereich des Gesetzes erheben oder verarbeiten, sollten daher prüfen, ob sie Pflichten nach dem ägyptischen PDPL treffen.

Was sind personenbezogene Daten nach dem ägyptischen PDPL?

Personenbezogene Daten bezeichnen allgemein Informationen, die eine natürliche Person unmittelbar oder mittelbar identifizieren oder identifizierbar machen.

Beispiele sind:

• Name
• Nationale Ausweisnummer
• Lichtbild
• Stimme
• E-Mail-Adresse
• Telefonnummer
• Online-Kennung
• Standortinformationen
• Finanzinformationen
• Gesundheitsinformationen
• Biometrische Informationen
• Beschäftigungsinformationen

Das PDPC nennt insbesondere Namen, Sprachaufzeichnungen, Lichtbilder, nationale Ausweisnummern und Online-Kennungen als Beispiele für personenbezogene Daten.

Wesentliche Grundsätze des ägyptischen PDPL

Organisationen sollten ihre Verarbeitungstätigkeiten an zentralen Datenschutzgrundsätzen ausrichten, darunter:

Rechtmäßigkeit. Personenbezogene Daten sollten im Einklang mit dem Gesetz erhoben und verarbeitet werden.

Zweckbindung. Daten sollten für festgelegte und legitime Zwecke erhoben werden.

Datenminimierung. Organisationen sollten die Erhebung auf die für den beabsichtigten Zweck erforderlichen Informationen beschränken.

Transparenz. Betroffene Personen sollten angemessen darüber informiert werden, wie ihre Daten erhoben und verwendet werden.

Richtigkeit. Organisationen sollten zutreffende personenbezogene Informationen vorhalten und unrichtige Daten angemessen behandeln.

Speicherbegrenzung. Personenbezogene Daten sollten nicht ohne legitimen Zweck unbegrenzt aufbewahrt werden.

Sicherheit. Verantwortliche und Auftragsverarbeiter sollten geeignete technische und organisatorische Schutzmaßnahmen umsetzen.

Rechenschaftspflicht. Organisationen sollten Aufzeichnungen und Verfahren vorhalten, die die Einhaltung belegen.

Die Ausführungsverordnung konkretisiert darüber hinaus die Anforderungen an Zweckfestlegung, Einwilligung, Aufbewahrung, Dokumentation, Sicherheit und organisatorische Kontrollen.

Einwilligung nach dem ägyptischen PDPL

Die Einwilligung ist ein zentrales Element des ägyptischen Datenschutzrahmens.

Artikel 2 des PDPL bestimmt, dass personenbezogene Daten grundsätzlich nur mit ausdrücklicher Einwilligung der betroffenen Person oder in gesetzlich zugelassenen Fällen erhoben, verarbeitet, offengelegt oder bekannt gegeben werden dürfen.

Das Gesetz verbindet damit ein Modell der ausdrücklichen Einwilligung mit gesetzlichen Ausnahmen.

Organisationen sollten nicht davon ausgehen, dass für jede Verarbeitung eine Einwilligung erforderlich ist; wo die Einwilligung jedoch die einschlägige Grundlage ist, sollte die Organisation nachweisen können, dass eine wirksame Einwilligung eingeholt wurde.

Was macht eine Einwilligung in Ägypten wirksam?

Ein rechtskonformer Einwilligungsmechanismus sollte den Personen ausreichende Informationen geben, damit sie verstehen, wozu sie ihre Zustimmung erteilen.

Organisationen sollten Folgendes berücksichtigen:

• Identität der Organisation
• Zweck der Verarbeitung
• Kategorien der erhobenen Daten
• Beabsichtigte Verwendung
• Relevante Empfänger
• Aufbewahrungsdauer oder Kriterien dafür
• Internationale Übermittlungen
• Marketingzwecke
• Rechte der betroffenen Person
• Mechanismen zum Widerruf

Die Ausführungsverordnung verlangt in bestimmten Fällen die Genehmigung der Mechanismen, die zur Erhebung personenbezogener Daten und zur Einholung der Einwilligung verwendet werden.

Organisationen sollten elektronische Aufzeichnungen vorhalten, aus denen hervorgeht:

• Wer die Einwilligung erteilt hat
• Wann die Einwilligung erteilt wurde
• Welcher Zweck offengelegt wurde
• Welche Daten erfasst waren
• Welcher Einwilligungsmechanismus verwendet wurde
• Ob die Einwilligung widerrufen oder geändert wurde

Dies ist besonders wichtig, weil der ägyptische Lizenzrahmen von Organisationen verlangt, ihre Mechanismen zur Einholung der Einwilligung und zur Führung der einschlägigen elektronischen Aufzeichnungen nachzuweisen.

Widerruf der Einwilligung

Beruht die Verarbeitung auf einer Einwilligung, sollten Personen über einen praktikablen Mechanismus verfügen, um ihre Einwilligung zu widerrufen oder zu ändern.

Abläufe zum Widerruf der Einwilligung sollten:

• Zugänglich sein
• Die Wirkung des Widerrufs klar erläutern
• Die Anfrage dokumentieren
• Die Präferenz der Person aktualisieren
• Die betreffende Verarbeitung beenden
• Die Änderung gegebenenfalls an die relevanten Systeme weitergeben

ConsentX kann die technische Ebene für die Aufzeichnung und Verwaltung dieser Einwilligungsänderungen bereitstellen.

Sensible personenbezogene Daten nach dem ägyptischen PDPL

Der ägyptische Rechtsrahmen sieht einen erhöhten Schutz für sensible personenbezogene Daten vor.

Das PDPC nennt unter anderem folgende sensible Kategorien:

• Gesundheitsdaten
• Informationen zur psychischen Gesundheit
• Genetische Informationen
• Biometrische Informationen
• Finanzinformationen
• Religiöse Überzeugungen
• Politische Meinungen
• Sicherheitsbezogene Informationen
• Daten von Kindern

Die Ausführungsverordnung verpflichtet Verantwortliche und Auftragsverarbeiter, die sensible personenbezogene Daten verarbeiten, zu zusätzlichen Schutzmaßnahmen. Dazu gehören:

• Einholung einer einschlägigen Lizenz oder Genehmigung des PDPC
• Einholung einer ausdrücklichen schriftlichen Einwilligung in einschlägigen Fällen
• Sicherstellung, dass die Daten für den beabsichtigten Zweck erforderlich sind
• Vermeidung von Schäden für die betroffene Person
• Anwendung der vorgeschriebenen Sicherheitsstandards
• Führung elektronischer Aufzeichnungen
• Dokumentation der Einwilligung und einschlägiger Anfragen

Personenbezogene Daten von Kindern

Die ägyptische Ausführungsverordnung führt besondere Anforderungen für Daten von Kindern ein.

Bei Kindern unter 15 Jahren müssen Organisationen vor der Erhebung und Verarbeitung der personenbezogenen Daten des Kindes die ausdrückliche schriftliche Einwilligung des gesetzlichen Vertreters einholen, vorbehaltlich gesetzlich zugelassener Ausnahmen. Die Einwilligung sollte den Zeitraum angeben, für den die Daten erhoben und verarbeitet werden, und einen Widerruf oder eine Änderung ermöglichen.

Die Ausführungsverordnung sieht gesonderte Einwilligungsanforderungen für Personen zwischen 15 und 18 Jahren vor, wobei die Mechanismen nach den einschlägigen aufsichtsrechtlichen Vorgaben bestimmt werden.

Nehmen Kinder an Spielen, Wettbewerben oder ähnlichen Aktivitäten teil, dürfen Organisationen nicht mehr Daten erheben, als für die Teilnahme erforderlich ist, und diese Daten nicht für unzulässige Klassifizierungs-, Tracking- oder Verhaltensbeobachtungszwecke verwenden.

Datenschutzhinweise und Transparenz

Organisationen sollten betroffenen Personen bei der Erhebung ihrer personenbezogenen Daten angemessene Informationen bereitstellen.

Ein Datenschutzhinweis sollte einschlägige Punkte erläutern, etwa:

• Identität des Verantwortlichen
• Kontaktdaten
• Zweck der Erhebung
• Kategorien personenbezogener Daten
• Art und Weise der Verarbeitung
• Relevante Empfänger
• Aufbewahrung
• Rechte der betroffenen Personen
• Mechanismen für Einwilligung und Widerruf
• Internationale Übermittlungen
• Marketingaktivitäten
• Einschlägige automatisierte Verarbeitung

Transparenz sollte in den Erhebungsprozess eingebettet sein und nicht allein als Anforderung an die Website-Richtlinie behandelt werden.

Betroffenenrechte nach dem ägyptischen PDPL

Das ägyptische PDPL gewährt Personen mehrere Rechte in Bezug auf ihre personenbezogenen Daten.

Kenntnis und Zugang zu personenbezogenen Daten. Personen haben das Recht, von den über sie gespeicherten personenbezogenen Daten Kenntnis zu erlangen und darauf zuzugreifen, vorbehaltlich der einschlägigen Voraussetzungen.

Erhalt von Informationen. Betroffene Personen können einschlägige Informationen darüber erhalten, wie ihre Daten verarbeitet werden.

Berichtigung oder Aktualisierung von Daten. Personen können die Berichtigung oder Aktualisierung unrichtiger personenbezogener Informationen verlangen.

Löschung von Daten. Personen haben Rechte in Bezug auf die Löschung, sofern die gesetzlichen Voraussetzungen erfüllt sind.

Einschränkung oder Beendigung der Verarbeitung. Personen können nach den einschlägigen Vorschriften Rechte ausüben, um bestimmten Verarbeitungstätigkeiten zu widersprechen oder sie zu beenden.

Widerruf der Einwilligung. Beruht die Verarbeitung auf einer Einwilligung, können Personen diese widerrufen.

Das PDPC bezeichnet die Ausübung der Betroffenenrechte als Kernbestandteil seines Regulierungsrahmens.

Betroffenenanfragen in Ägypten

Organisationen sollten einen strukturierten Ablauf für Datenschutzanfragen vorhalten.

Ein praxistauglicher DSAR-Prozess sollte umfassen:

• Annahme der Anfrage
• Identitätsprüfung
• Einordnung der Anfrage
• Auffinden der Daten
• Prüfung der einschlägigen rechtlichen Voraussetzungen
• Vorbereitung der Antwort
• Sichere Zustellung
• Protokollierung der Anfrage
• Nachweis der Erledigung

ConsentX kann helfen, Annahme, Nachverfolgung, Statusverwaltung und Prüfnachweise von Anfragen zu bündeln.

Datenschutzbeauftragter in Ägypten

Die Ausführungsverordnung schafft einen formellen Rahmen für den Datenschutzbeauftragten (DPO).

Das PDPC beschreibt den DPO als eine vom gesetzlichen Vertreter einer juristischen Person benannte Person, die als Datennutzer auftritt, unabhängig arbeitet und im DPO-Register des PDPC eingetragen ist.

Zu den Aufgaben des DPO gehören:

• Überwachung der Datenschutz-Compliance
• Überwachung interner Datenschutzverfahren
• Unterstützung bei der Umsetzung von Sicherheitsrichtlinien
• Entgegennahme von Betroffenenanfragen
• Pflege der Kommunikation mit dem PDPC
• Berichterstattung über den Datenschutzstand der Organisation

Die Ausführungsverordnung regelt zudem Verfahren zur Registrierung und zum Austausch von DPOs.

Organisationen sollten ihre Pflichten zur Benennung und Registrierung eines DPO daher als Teil ihres Compliance-Programms für 2026 überprüfen.

Lizenzen und Genehmigungen nach dem ägyptischen PDPL

Eines der wichtigsten Merkmale des neuen ägyptischen Rahmens ist sein Lizenz- und Genehmigungssystem.

Das PDPC weist darauf hin, dass Datennutzer die einschlägigen Lizenzen oder Genehmigungen einholen müssen.

Der Rahmen umfasst Lizenz- oder Genehmigungskategorien für:

• Tätigkeiten als Verantwortlicher und Auftragsverarbeiter
• Verantwortliche
• Auftragsverarbeiter
• Elektronisches Marketing
• Grenzüberschreitende Datenübermittlungen
• Videoüberwachungssysteme

Lizenzen haben nach den aktuellen FAQ des PDPC in der Regel eine verlängerbare Laufzeit von drei Jahren, Genehmigungen in der Regel eine verlängerbare Laufzeit von einem Jahr.

Organisationen sollten bestimmen, welche Lizenzen oder Genehmigungen für ihre Tätigkeiten gelten, statt anzunehmen, dass eine allgemeine Datenschutzerklärung für die Einhaltung ausreicht.

Datensicherheit nach dem ägyptischen PDPL

Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Schutzmaßnahmen umsetzen.

Sicherheitsmaßnahmen sollten Risiken wie die folgenden adressieren:

• Unbefugter Zugriff
• Unbefugte Offenlegung
• Verlust
• Zerstörung
• Veränderung
• Unrechtmäßige Verarbeitung
• Datenabfluss

Praktische Maßnahmen können umfassen:

• Verschlüsselung
• Zugriffskontrollen
• Authentifizierung
• Multi-Faktor-Authentifizierung
• Sichere Backups
• Netzwerksicherheit
• Protokollierung
• Überwachung
• Schwachstellenmanagement
• Mitarbeiterschulungen
• Reaktion auf Vorfälle
• Sicherheitskontrollen bei Dienstleistern

Die Ausführungsverordnung verlangt von Lizenzantragstellern Angaben zu den Mechanismen, mit denen personenbezogene Daten gesichert und geschützt werden.

Meldung von Datenschutzverletzungen in Ägypten

Der aktuelle ägyptische Rahmen legt konkrete Fristen für die Meldung von Datenschutzverletzungen fest.

Nach Angaben des PDPC müssen Datennutzer das Center innerhalb von 72 Stunden nach Kenntniserlangung von einer Verletzung informieren, einschließlich der nach Gesetz, Verordnung und einschlägigen Vorgaben des PDPC erforderlichen Angaben und Verfahren.

Betrifft eine Verletzung Belange der nationalen Sicherheit, hat die Meldung unverzüglich zu erfolgen.

Betroffene Personen müssen innerhalb von drei Arbeitstagen ab der Meldung an das PDPC benachrichtigt werden, sofern die einschlägigen Voraussetzungen eine solche Benachrichtigung auslösen.

Organisationen sollten einen dokumentierten Prozess zur Reaktion auf Vorfälle vorhalten, der Folgendes abdeckt:

• Erkennung
• Eindämmung
• Risikobewertung
• Identifizierung der betroffenen Daten
• Meldung an das PDPC
• Benachrichtigung der betroffenen Personen
• Behebung
• Dokumentation
• Nachbereitung des Vorfalls

Internationale und grenzüberschreitende Datenübermittlungen

Grenzüberschreitende Übermittlungen sind ein besonders wichtiger Teil des ägyptischen PDPL.

Das PDPC weist darauf hin, dass personenbezogene Daten grundsätzlich nicht außerhalb Ägyptens übermittelt werden dürfen, sofern die Organisation nicht zuvor eine Lizenz oder Genehmigung des PDPC für grenzüberschreitende Datenübermittlungen erhalten hat oder die Übermittlung unter eine gesetzliche Ausnahme fällt.

Die Ausführungsverordnung stellt Anforderungen an:

• Zielorte der Übermittlung
• Empfängerorganisationen
• Rechtliche und technische Schutzmaßnahmen
• Einschlägige Lizenzen oder Genehmigungen
• Datenkategorien
• Übermittlungsvereinbarungen
• Sicherheitsvorkehrungen

Der aufsichtsrechtliche Rahmen ist damit restriktiver als ein einfacher vertraglicher Übermittlungsmechanismus.

Organisationen, die Cloud-, Analyse-, CRM-, Werbe- oder Hosting-Anbieter im Ausland nutzen, sollten ihre internationalen Datenflüsse erfassen und prüfen, ob eine Genehmigung des PDPC erforderlich ist.

Lizenz für grenzüberschreitende Datenübermittlungen

Die Ausführungsverordnung sieht eine eigene Lizenz oder Genehmigung für die Übermittlung personenbezogener Daten aus Ägypten in ein anderes Land vor.

Die Genehmigung erlaubt Übermittlungen vorbehaltlich der genehmigten Auflagen und Beschränkungen.

Die Aufnahme neuer Zielländer kann eine Aktualisierung der Genehmigung erfordern.

Organisationen sollten ein aktuelles Verzeichnis führen über:

• Zielländer
• Dienstleister im Ausland
• Datenkategorien
• Verarbeitungszwecke
• Übermittlungsvolumen
• Übermittlungsmechanismen
• Sicherheitsmaßnahmen

Elektronisches Direktmarketing in Ägypten

Der ägyptische Rahmen enthält besondere Regeln für elektronisches Direktmarketing.

Organisationen, die elektronisches Direktmarketing betreiben, müssen Folgendes beachten:

• Vorherige ausdrückliche Einwilligung
• Transparenz über den Marketingzweck
• Identität des Absenders
• Kontaktdaten
• Abmeldemechanismen
• Widerruf der Einwilligung
• Einwilligungsnachweise
• Einschlägige Lizenzierung durch das PDPC

Das PDPC weist darauf hin, dass Marketingmitteilungen einen klaren und leicht zugänglichen Mechanismus zum Widerruf der Einwilligung oder zum Widerspruch gegen weitere Kommunikation bieten müssen.

Die Ausführungsverordnung verlangt zudem elektronische Aufzeichnungen darüber, wie und wann die Marketing-Einwilligung eingeholt wurde und wie Lösch- oder Änderungsanfragen bearbeitet wurden.

Cookies und Online-Tracking nach dem ägyptischen PDPL

Das PDPL regelt die Verarbeitung personenbezogener Daten und schafft keine eigenständige allgemeine Cookie-Regel.

Cookies, Pixel, SDKs, Werbe-Kennungen, Analysewerkzeuge und andere Online-Technologien können jedoch personenbezogene Daten verarbeiten.

Organisationen sollten daher prüfen:

• Was der jeweilige Tracker erhebt
• Ob Personen identifiziert werden können
• Zweck der Verarbeitung
• Einschlägige rechtliche Grundlage
• Ob eine Einwilligung erforderlich ist
• Ob Daten Ägypten verlassen
• Ob Dritte die Informationen erhalten
• Ob sensible Daten betroffen sind

Cookie-Einwilligung und vorheriges Blockieren von Skripten

Bei Websites, die sich auf die Einwilligung stützen, sollte eine rechtskonforme technische Umsetzung sicherstellen, dass die betreffenden nicht notwendigen Tracker nicht vor dem erforderlichen Einwilligungssignal aktiv werden.

Eine Umsetzung mit ConsentX kann unterstützen bei:

• Cookie-Erkennung
• Kategorisierung von Trackern
• Einwilligungsbannern
• Zweckbasierten Präferenzen
• Vorherigem Blockieren von Skripten
• Einwilligungsnachweisen
• Widerruf von Präferenzen
• Regionalen Konfigurationen

Das hilft, das technische Verhalten einer Website mit den dort dargestellten Datenschutzoptionen in Einklang zu bringen.

Automatisierte Entscheidungsfindung und Profiling

Organisationen, die Profiling oder automatisierte Verarbeitung einsetzen, sollten die datenschutzrechtlichen Auswirkungen dieser Tätigkeiten prüfen.

Zu den einschlägigen Erwägungen gehören:

• Transparenz
• Zweckbindung
• Datenminimierung
• Richtigkeit
• Sicherheit
• Menschliche Aufsicht
• Verarbeitung sensibler Daten
• Daten von Kindern
• Mögliche Auswirkungen auf Personen

Organisationen sollten außerdem feststellen, ob die Verarbeitung zusätzliche aufsichtsrechtliche Anforderungen oder eine Prüfung durch das PDPC auslöst.

Aufbewahrung und Löschung von Daten

Organisationen sollten Aufbewahrungsfristen festlegen auf Grundlage von:

• Verarbeitungszweck
• Gesetzlichen Pflichten
• Vertraglichen Anforderungen
• Aufsichtsrechtlichen Anforderungen
• Sensibilität der Daten
• Betrieblichen Erfordernissen

Ein Aufbewahrungsprogramm sollte umfassen:

• Aufbewahrungspläne
• Löschregeln
• Archivierungsverfahren
• Aufbewahrungspflichten aus rechtlichen Gründen
• Sichere Vernichtung
• Regelmäßige Überprüfung

Personenbezogene Daten sollten nicht allein deshalb unbegrenzt aufbewahrt werden, weil sie künftig nützlich sein könnten.

Auftragsverarbeiter und Drittanbieter

Organisationen sollten angemessene vertragliche und operative Kontrollen über Auftragsverarbeiter aufrechterhalten.

Verträge mit Dienstleistern sollten Folgendes regeln:

• Verarbeitungsanweisungen
• Vertraulichkeit
• Sicherheit
• Unterauftragsverarbeiter
• Aufbewahrung der Daten
• Löschung der Daten
• Meldung von Datenschutzverletzungen
• Betroffenenanfragen
• Internationale Übermittlungen
• Zusammenarbeit mit der Aufsichtsbehörde

Organisationen sollten ein aktuelles Verzeichnis der Dienstleister führen, die auf ägyptische personenbezogene Daten zugreifen.

Datenschutz durch Technikgestaltung

Datenschutz sollte von Anfang an in Websites, Anwendungen, Datenbanken und Geschäftsprozesse eingebaut werden.

Organisationen sollten Folgendes berücksichtigen:

• Datenminimierung
• Datenschutzfreundliche Voreinstellungen
• Einwilligungssteuerung
• Zugriffsbeschränkungen
• Verschlüsselung
• Aufbewahrungsgrenzen
• Sichere Löschung
• Audit-Protokolle
• Kontrollen bei Dienstleistern

Dies ist im neuen ägyptischen Lizenz- und Compliance-Rahmen besonders wichtig, weil Organisationen möglicherweise nachweisen müssen, wie ihre technischen und organisatorischen Maßnahmen personenbezogene Daten schützen.

Compliance-Dokumentation und Prüfnachweise

Organisationen sollten Nachweise vorhalten, die die Einhaltung belegen.

Wichtige Unterlagen können sein:

• Lizenzen und Genehmigungen des PDPC
• Einwilligungsnachweise
• Datenschutzhinweise
• Verzeichnisse der Verarbeitungstätigkeiten
• Datenlandkarten
• DPO-Unterlagen
• Verträge mit Dienstleistern
• Datenschutz-Folgenabschätzungen oder Risikoanalysen
• Sicherheitsdokumentation
• Aufzeichnungen zu Datenschutzverletzungen
• Betroffenenanfragen
• Nachweise zur Marketing-Einwilligung
• Aufzeichnungen zu grenzüberschreitenden Übermittlungen
• Aufbewahrungspläne

ConsentX kann Organisationen dabei helfen, die Nachweisebene für Einwilligungen und Präferenzen bei der Website- und digitalen Verarbeitung vorzuhalten.

Durchsetzung durch das Personal Data Protection Center

Das Personal Data Protection Center (PDPC) ist die nationale ägyptische Behörde, die für die Umsetzung und Durchsetzung des PDPL und seiner Ausführungsverordnung zuständig ist.

Zu seinen Aufgaben gehören:

• Regulierung
• Lizenzierung
• Überwachung der Einhaltung
• Durchsetzung
• Registrierung von DPOs
• Akkreditierung
• Leitlinien
• Beschwerden
• Aufklärung
• Internationale Zusammenarbeit

Das PDPC benennt das Datenschutzgesetz Nr. 151 von 2020 und die Ausführungsverordnung Nr. 816 von 2025 als den Rechtsrahmen, auf dessen Grundlage es tätig wird.

Sanktionen nach dem ägyptischen PDPL

Das ägyptische PDPL sieht für verschiedene Datenschutzverstöße strafrechtliche Sanktionen vor.

So kann die unrechtmäßige Erhebung, Verarbeitung, Offenlegung oder Übermittlung personenbezogener Daten ohne gesetzliche Grundlage oder Einwilligung der betroffenen Person Geldbußen zwischen 100.000 EGP und 1 Mio. EGP nach sich ziehen.

Erfolgt die Handlung zur Erlangung eines materiellen oder immateriellen Vorteils oder in der Absicht, die betroffene Person einem Risiko oder Schaden auszusetzen, können die Sanktionen auf eine Freiheitsstrafe von mindestens sechs Monaten und Geldbußen zwischen 200.000 EGP und 2 Mio. EGP oder eine dieser Sanktionen steigen.

Weitere Vorschriften sehen zusätzliche Sanktionen für Verstöße wie die unrechtmäßige Vereitelung von Betroffenenrechten vor.

Die Höchststrafe kann bei bestimmten Straftatbeständen 5 Mio. EGP erreichen, soweit die einschlägige Vorschrift diesen Bußgeldrahmen vorsieht.

Organisationen sollten daher den konkreten Straftatbestand und den einschlägigen gesetzlichen Sanktionsrahmen prüfen, statt sich auf eine einzelne plakative Bußgeldzahl zu verlassen.

Umsetzungsfrist des ägyptischen PDPL

Die Ausführungsverordnung wurde mit Ministerialerlass Nr. 816 von 2025 erlassen und trat nach der Veröffentlichung im November 2025 in Kraft.

Das PDPC weist darauf hin, dass mit dem Inkrafttreten der Ausführungsverordnung eine einjährige Übergangsfrist beginnt.

Für Organisationen, die ihren Compliance-Fahrplan planen, ist November 2026 daher ein entscheidender Meilenstein der Umsetzung.

Was Organisationen vor November 2026 tun sollten

Organisationen, die in Ägypten tätig sind, sollten Folgendes priorisieren.

• Personenbezogene Daten erfassen. Ermitteln Sie, welche personenbezogenen Daten erhoben werden, wo sie gespeichert sind, warum sie verarbeitet werden und wer sie erhält.
• Rollen als Verantwortlicher und Auftragsverarbeiter bestimmen. Dokumentieren Sie die Rolle der Organisation für jede Verarbeitungstätigkeit.
• Einwilligungsmechanismen überprüfen. Stellen Sie sicher, dass die Einwilligung ausdrücklich erteilt und angemessen dokumentiert wird, wo sie erforderlich ist.
• Verarbeitung sensibler Daten überprüfen. Identifizieren Sie sensible Kategorien und setzen Sie erhöhte Schutzmaßnahmen um.
• Daten von Kindern überprüfen. Klären Sie, ob Personen unter 15 Jahren den Dienst nutzen können, und setzen Sie erforderlichenfalls Kontrollen zur Einwilligung des Sorgeberechtigten um.
• DPO benennen und registrieren. Prüfen Sie die DPO-Anforderungen und schließen Sie die einschlägigen Registrierungsverfahren ab.
• PDPC-Lizenzierung prüfen. Klären Sie, ob Lizenzen oder Genehmigungen für Verantwortliche, Auftragsverarbeiter, Marketing, grenzüberschreitende Übermittlungen, Überwachung oder andere Bereiche gelten.
• Internationale Übermittlungen erfassen. Identifizieren Sie Dienstleister im Ausland, Cloud-Anbieter, Analysedienste und weitere Empfänger.
• Direktmarketing überprüfen. Stellen Sie sicher, dass elektronisches Marketing über angemessene Einwilligung, Nachweise, Widerrufsmöglichkeiten und Lizenzen verfügt.
• Verfahren für Datenschutzverletzungen umsetzen. Stellen Sie sicher, dass die Organisation die einschlägigen Fristen für Meldungen an das PDPC und an betroffene Personen einhalten kann.

Checkliste zur Einhaltung des ägyptischen PDPL

Organisationen, die sich auf den ägyptischen Rechtsrahmen vorbereiten, sollten die folgende Checkliste berücksichtigen.

• Klären, ob das ägyptische PDPL anwendbar ist
• Verarbeitung personenbezogener Daten erfassen
• Verantwortliche, Auftragsverarbeiter und Datenbesitzer bestimmen
• Einschlägige Rechtsgrundlagen bestimmen
• Einwilligungsmechanismen überprüfen
• Angemessene Datenschutzhinweise bereitstellen
• Sensible personenbezogene Daten identifizieren
• Verarbeitung von Daten von Kindern überprüfen
• Einwilligung des Sorgeberechtigten umsetzen, wo erforderlich
• DPO benennen und registrieren
• Lizenzanforderungen des PDPC bewerten
• Anforderungen an grenzüberschreitende Übermittlungen prüfen
• Einschlägige Übermittlungsgenehmigung einholen
• Elektronisches Direktmarketing überprüfen
• Erforderliche Marketing-Einwilligung einholen
• Abmeldemechanismen umsetzen
• Nachweise zu Einwilligung und Marketing vorhalten
• Sicherheitsmaßnahmen umsetzen
• Fähigkeit zur Meldung binnen 72 Stunden aufbauen
• Verfahren zur Benachrichtigung betroffener Personen einrichten
• DSAR-Abläufe einrichten
• Aufbewahrungs- und Löschrichtlinien umsetzen
• Verträge mit Auftragsverarbeitern überprüfen
• Cookies und Tracking-Technologien überprüfen
• Vorheriges Blockieren von Skripten umsetzen, wo erforderlich
• Compliance-Nachweise vorhalten
• Den Übergang zum neuen Rahmen bis November 2026 abschließen

Warum Einwilligungsmanagement für Ägypten wichtig ist

Einwilligungsmanagement ist unter dem ägyptischen PDPL besonders wichtig, weil die ausdrückliche Einwilligung eine zentrale Voraussetzung für die Erhebung und Verarbeitung personenbezogener Daten ist, sofern keine gesetzliche Ausnahme greift.

Organisationen sollten nachweisen können:

• Worüber die Person informiert wurde
• Welcher Zweck dargestellt wurde
• Welche Einwilligung erteilt wurde
• Wann die Einwilligung eingeholt wurde
• Welche Version des Einwilligungsmechanismus verwendet wurde
• Ob die Einwilligung geändert wurde
• Ob die Einwilligung widerrufen wurde
• Wie die Organisation die Entscheidung des Nutzers umgesetzt hat

Eine Consent-Management-Plattform kann die technische Infrastruktur bereitstellen, die zur Erfassung und Aufbewahrung dieser Nachweise erforderlich ist.