VAE-PDPL: Compliance mit ConsentX

Ausnahmen vom föderalen VAE-PDPL

Das föderale Gesetz enthält wichtige Ausschlüsse.

Das PDPL gilt unter anderem nicht für folgende Kategorien:

• Regierungsdaten
• Regierungsstellen, die personenbezogene Daten kontrollieren oder verarbeiten
• Personenbezogene Daten im Besitz von Sicherheits- und Justizbehörden
• Eine betroffene Person, die personenbezogene Daten zu persönlichen Zwecken verarbeitet
• Bestimmte personenbezogene Gesundheitsdaten, die von besonderen Gesetzen erfasst sind
• Bestimmte Bank- und Kreditdaten, die von besonderen Gesetzen erfasst sind
• Unternehmen und Einrichtungen in Freizonen, für die besondere Vorschriften zum Schutz personenbezogener Daten gelten

Unternehmen sollten daher ermitteln, welches Datenschutzregime der VAE anwendbar ist, bevor sie ihr Compliance-Programm gestalten.

VAE-PDPL und DIFC / ADGM

Die VAE betreiben nicht ein einziges Datenschutzregime für jede Organisation.

Das föderale PDPL ist von den Datenschutzrahmen des Dubai International Financial Centre (DIFC) und des Abu Dhabi Global Market (ADGM) zu trennen; dabei handelt es sich um eigenständige Regime.

Eine Organisation mit Einheiten im Festland der VAE, im DIFC und im ADGM sollte daher Verarbeitungstätigkeiten und Compliance-Pflichten für jede Einheit gesondert erfassen.

Was sind personenbezogene Daten nach dem VAE-PDPL?

Das PDPL definiert personenbezogene Daten weit als Informationen, die sich auf eine identifizierte natürliche Person oder auf eine natürliche Person beziehen, die unmittelbar oder mittelbar identifiziert werden kann.

Beispiele können sein:

• Name
• Identifikationsangaben
• Stimme
• Bild
• Standortdaten
• Online-Kennungen
• Kontaktdaten
• Kontoinformationen
• Geräteinformationen
• Beschäftigungsdaten
• Weitere Informationen, die eine Person identifizieren können

Das Gesetz erfasst damit deutlich mehr als klassische Ausweisdokumente.

Was ist Verarbeitung?

Die Verarbeitung umfasst Tätigkeiten an personenbezogenen Daten, darunter:

• Erhebung
• Aufzeichnung
• Organisation
• Strukturierung
• Speicherung
• Anpassung
• Veränderung
• Abruf
• Einsichtnahme
• Nutzung
• Offenlegung
• Übermittlung
• Verbreitung
• Kombination
• Einschränkung
• Löschung
• Vernichtung

Website-Betreiber sollten daher Analyse-, Werbe-, Kundenverwaltungs-, Personalisierungs- und andere digitale Aktivitäten als potenziell relevante Verarbeitungstätigkeiten behandeln, soweit personenbezogene Daten betroffen sind.

Rechtmäßige Verarbeitung nach dem VAE-PDPL

Das VAE-PDPL bestimmt die Einwilligung als wichtige Verarbeitungsgrundlage, benennt aber auch Fälle, in denen eine Verarbeitung ohne Einwilligung erfolgen kann.

Das Gesetz erlaubt die Verarbeitung in bestimmten Situationen, unter anderem in Fällen betreffend:

• Vertragliche Erforderlichkeit
• Rechtliche Verpflichtungen
• Öffentliches Interesse
• Gerichtliche oder rechtliche Verfahren
• Schutz der Interessen der betroffenen Person
• Schutz der öffentlichen Gesundheit
• Schutz der nationalen Sicherheit oder der öffentlichen Ordnung
• Beschäftigungs- und Sozialschutzpflichten in festgelegten Fällen
• Fälle, in denen die betroffene Person die Informationen öffentlich gemacht hat
• Archivierung
• Wissenschaftliche, historische oder statistische Zwecke, sofern die gesetzlichen Voraussetzungen erfüllt sind
• Weitere gesetzlich anerkannte Fälle

Ein Unternehmen sollte die Einwilligung daher nicht automatisch als Rechtsgrundlage für jede Verarbeitung behandeln. Der richtige Ansatz besteht darin, den Verarbeitungszweck zu bestimmen und die einschlägige Rechtsgrundlage zu ermitteln.

Anforderungen an die Einwilligung nach dem VAE-PDPL

Ist eine Einwilligung erforderlich, definiert das Gesetz sie als klare, spezifische und unmissverständliche Erklärung, mit der die betroffene Person die Verarbeitung durch eine eindeutige bestätigende Handlung oder Erklärung akzeptiert.

Ein rechtskonformer Einwilligungsmechanismus sollte daher Folgendes vermeiden:

• Vorausgewählte Einwilligung
• Mehrdeutige Formulierungen
• Versteckte Einwilligung
• Bündelung unzusammenhängender Zwecke
• Schweigen als Einwilligung
• Einwilligung ohne ausreichende Information
• Oberflächen, die den Widerruf unnötig erschweren

Ein praxistauglicher Einwilligungsnachweis sollte festhalten:

• Wer eingewilligt hat
• Wann die Einwilligung erteilt wurde
• Welche Informationen dargestellt wurden
• Welcher Zweck akzeptiert wurde
• Welche Verarbeitungstätigkeit erfasst war
• Welche Fassung des Datenschutzhinweises oder der Einwilligungsoberfläche galt
• Ob die Einwilligung später widerrufen wurde

Spezifische und informierte Einwilligung

Die Einwilligung sollte hinreichend spezifisch für die jeweilige Verarbeitungstätigkeit sein.

So kann ein Unternehmen Daten gesondert verarbeiten für:

• Kontoverwaltung
• Leistungserbringung
• Analyse
• Werbung
• Personalisierung
• Produktverbesserung
• Marketing
• Weitergabe an Dritte
• KI oder Profiling

Wird die Einwilligung herangezogen, sollte die Organisation prüfen, ob getrennte Wahlmöglichkeiten angemessen sind, statt unzusammenhängende Zwecke unter einer allgemeinen Erlaubnis zusammenzufassen.

Widerruf der Einwilligung

Das PDPL gewährt Personen Rechte in Bezug auf ihre personenbezogenen Daten und begründet Kontrollen rund um die Einwilligung.

Beruht die Verarbeitung auf einer Einwilligung, sollten Organisationen einen praktikablen Mechanismus bereitstellen, über den eine betroffene Person diese Einwilligung widerrufen kann.

Ein Widerrufsmechanismus sollte sein:

• Leicht auffindbar
• Verständlich
• Zugänglich
• Konsistent mit dem ursprünglichen Einwilligungserlebnis
• Mit den Systemen verbunden, die auf der Einwilligungsentscheidung beruhen

ConsentX kann diese Ebene der Präferenzverwaltung auf Website-Ebene unterstützen.

Transparenz und Datenschutzhinweise

Organisationen sollten betroffenen Personen angemessene Informationen über ihre Verarbeitungstätigkeiten bereitstellen.

Ein Datenschutzhinweis sollte einschlägige Informationen erläutern, etwa:

• Identität des Verantwortlichen
• Kontaktangaben
• Kategorien der erhobenen personenbezogenen Daten
• Zweck der Verarbeitung
• Rechtsgrundlage
• Vereinbarungen zur Datenweitergabe
• Empfänger
• Aufbewahrungspraxis
• Internationale Übermittlungen
• Betroffenenrechte
• Wie Rechte ausgeübt werden können
• Einschlägige Kontaktdaten für Datenschutzanfragen

Der Hinweis sollte so dargestellt werden, dass Personen die Verarbeitung verstehen können, bevor sie einschlägige Entscheidungen treffen.

Betroffenenrechte nach dem VAE-PDPL

Das VAE-PDPL gewährt betroffenen Personen eine Reihe von Rechten in Bezug auf ihre personenbezogenen Daten.

Je nach den Umständen gehören dazu Rechte betreffend:

• Information und Transparenz
• Auskunft
• Berichtigung
• Vervollständigung personenbezogener Daten
• Löschung
• Einschränkung der Verarbeitung
• Beendigung der Verarbeitung
• Datenübermittlung
• Widerspruch gegen bestimmte Verarbeitungen
• Automatisierte Verarbeitung
• Weitere gesetzlich begründete Rechte

Organisationen sollten daher ein formales Verfahren für Betroffenenanfragen unterhalten.

Recht auf Auskunft über personenbezogene Daten

Eine betroffene Person kann Auskunft über die zu ihr verarbeiteten personenbezogenen Informationen verlangen, vorbehaltlich der einschlägigen gesetzlichen Voraussetzungen und Ausnahmen.

Ein belastbarer Auskunftsprozess sollte es einer Organisation ermöglichen:

• Die Anfrage entgegenzunehmen
• Die Identität der anfragenden Person zu prüfen
• Relevante Systeme zu durchsuchen
• Einschlägige Ausnahmen zu ermitteln
• Sich mit Auftragsverarbeitern abzustimmen
• Die erforderlichen Informationen zusammenzustellen
• Über einen geeigneten Kanal zu antworten
• Einen Prüfnachweis zu führen

Recht auf Berichtigung

Betroffene Personen können die Berichtigung oder Vervollständigung unrichtiger oder unvollständiger personenbezogener Daten verlangen, sofern die gesetzlichen Voraussetzungen erfüllt sind.

Unternehmen sollten sicherstellen, dass Berichtigungen an die relevanten Systeme und Auftragsverarbeiter weitergegeben werden können.

Das ist besonders wichtig, wenn dieselben Kundendaten gespeichert sind in:

• CRM-Systemen
• Marketing-Plattformen
• Kundenservice-Software
• Abrechnungssystemen
• Analysesystemen
• Anwendungen Dritter

Recht auf Löschung

Das PDPL erkennt Fälle an, in denen eine betroffene Person die Löschung personenbezogener Daten verlangen kann.

Die Löschung ist nicht als unbedingte Pflicht zu verstehen, jeden Datensatz sofort zu vernichten.

Organisationen sollten prüfen:

• Ob die Daten noch benötigt werden
• Ob ein anderes Gesetz eine Aufbewahrung verlangt
• Ob ein Rechtsanspruch von den Informationen abhängt
• Ob eine gesetzliche Ausnahme greift
• Ob ein anderer berechtigter Zweck die weitere Verarbeitung erlaubt
• Ob Auftragsverarbeiter zur Löschung angewiesen werden müssen

Recht auf Einschränkung der Verarbeitung

Das PDPL sieht in festgelegten Fällen Einschränkungen der Verarbeitung vor.

Abläufe zur Einschränkung sollten es Organisationen ermöglichen, zu unterscheiden zwischen:

• Löschung
• Fortgesetzter Speicherung ohne aktive Nutzung
• Vollständiger Einstellung der Verarbeitung
• Verarbeitung, die für einen rechtlichen oder gesetzlichen Zweck weiterhin erforderlich ist

Diese Unterscheidung ist für den Compliance-Betrieb wichtig, weil nicht jede Datenschutzanfrage zwangsläufig zur sofortigen Löschung führt.

Widerspruchsrecht

Betroffene Personen haben das Recht, bestimmten Formen der Verarbeitung zu widersprechen.

Unternehmen sollten ein Verfahren für die Entgegennahme und Bewertung von Widersprüchen vorsehen, insbesondere wenn die Verarbeitung Folgendes betrifft:

• Direktmarketing
• Profiling
• Automatisierte Entscheidungen
• Sonstige Verarbeitungen, für die das Gesetz ein Widerspruchsrecht vorsieht

Datenübermittlung und Datenübertragbarkeit

Das VAE-PDPL gewährt Rechte in Bezug auf die Übermittlung personenbezogener Daten.

Organisationen sollten technische Fähigkeiten vorhalten, die es erlauben, einschlägige personenbezogene Informationen zu identifizieren und in einem geeigneten Format zu exportieren, sofern die gesetzlichen Voraussetzungen für die Übermittlung vorliegen.

Dies kann eine Abstimmung erfordern über:

• Kundendatenbanken
• CRM-Plattformen
• Cloud-Systeme
• SaaS-Anwendungen
• Analysesysteme
• Auftragsverarbeiter Dritter

Sensible personenbezogene Daten

Das PDPL sieht zusätzliche Schutzmaßnahmen für sensible personenbezogene Daten vor.

Sensible Informationen können Kategorien umfassen, die besonders private Eigenschaften oder Umstände einer Person offenlegen können.

Unternehmen sollten bei der Verarbeitung sensibler Informationen strengere Kontrollen anwenden, darunter:

• Datenminimierung
• Zugriffsbeschränkungen
• Starke Authentifizierung
• Verschlüsselung
• Überwachung
• Angemessene Aufbewahrungsfristen
• Datenschutz-Folgenabschätzungen, sofern erforderlich
• Verstärkte Governance

Datenschutzbeauftragter

Das PDPL sieht die Bestellung eines Datenschutzbeauftragten (DPO) in festgelegten Fällen vor.

Ein Datenschutzbeauftragter kann erforderlich sein, wenn Verarbeitungstätigkeiten Umstände betreffen wie:

• Regelmäßige und systematische Überwachung
• Verarbeitung sensibler personenbezogener Daten in großem Umfang
• Weitere durch das Gesetz oder die Durchführungsanforderungen begründete Umstände

Die Funktion des Datenschutzbeauftragten kann umfassen:

• Überwachung der Einhaltung
• Beratung zu Datenschutzpflichten
• Unterstützung von Folgenabschätzungen
• Bearbeitung von Betroffenenrechten
• Unterstützung bei der Reaktion auf Datenpannen
• Zusammenarbeit mit der zuständigen Behörde
• Aufrechterhaltung der Datenschutz-Governance

Die genauen operativen Anforderungen sollten anhand des jeweils geltenden Durchführungsrahmens geprüft werden.

Datenschutz-Folgenabschätzungen

Das VAE-PDPL verlangt Folgenabschätzungen für bestimmte Verarbeitungstätigkeiten, die voraussichtlich ein hohes Risiko für die Privatsphäre und Vertraulichkeit betroffener Personen mit sich bringen.

Eine Folgenabschätzung sollte unter anderem bewerten:

• Art der Verarbeitung
• Zweck
• Umfang
• Kategorien personenbezogener Daten
• Kategorien betroffener Personen
• Potenzielle Risiken
• Sicherheitsmaßnahmen
• Maßnahmen zur Risikominderung
• Aufbewahrung
• Datenweitergabe
• Internationale Übermittlungen
• Restrisiko

Folgenabschätzungen sind besonders relevant für Verarbeitungen mit:

• Sensiblen Daten
• Überwachung in großem Umfang
• Profiling
• Automatisierten Entscheidungen
• Neuen Technologien
• Umfangreichem Tracking
• Risikoreicher Verarbeitung

Datenschutz durch Technikgestaltung

Organisationen sollten Datenschutzaspekte in Systeme und die Produktentwicklung einbeziehen.

Ein Programm für Datenschutz durch Technikgestaltung kann umfassen:

• Datenminimierung
• Zweckbindung
• Datenschutzfreundliche Voreinstellungen
• Zugriffskontrollen
• Verschlüsselung
• Pseudonymisierung
• Aufbewahrungskontrollen
• Einwilligungsverwaltung
• Verwaltung von Nutzerpräferenzen
• Audit-Protokollierung
• Datenschutztests

Für digitale Unternehmen sollte der Datenschutz bereits bei der Konzeption einer Website, Anwendung oder Analysearchitektur berücksichtigt werden und nicht erst nach der Inbetriebnahme.

Sicherheitspflichten

Von Verantwortlichen und Auftragsverarbeitern wird erwartet, dass sie geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umsetzen.

Sicherheitsmaßnahmen sollten Folgendes berücksichtigen:

• Art der personenbezogenen Daten
• Verarbeitungsrisiken
• Eingesetzte Technologie
• Mögliche Folgen einer Datenpanne
• Kosten und Umsetzbarkeit der Schutzmaßnahmen
• Das Betriebsumfeld der Organisation

Zu den Maßnahmen können zählen:

• Verschlüsselung
• Zugriffsverwaltung
• Authentifizierung
• Netzwerksicherheit
• Endpunktschutz
• Sichere Entwicklung
• Schwachstellenmanagement
• Monitoring
• Protokollierung
• Backup und Wiederherstellung
• Incident Response
• Mitarbeiterschulungen
• Sicherheitsanforderungen an Dienstleister

Verletzungen des Schutzes personenbezogener Daten

Das VAE-PDPL begründet Pflichten im Zusammenhang mit Verletzungen des Schutzes personenbezogener Daten.

Ein Programm zur Reaktion auf Datenpannen sollte Organisationen ermöglichen:

• Vorfälle zu erkennen
• Betroffene Systeme einzudämmen
• Festzustellen, ob personenbezogene Daten betroffen sind
• Art und Schwere des Vorfalls zu bewerten
• Betroffene Personen zu identifizieren
• Meldepflichten zu bestimmen
• Die zuständige Behörde zu benachrichtigen, sofern erforderlich
• Betroffene Personen zu benachrichtigen, sofern erforderlich
• Den Vorfall zu dokumentieren
• Korrekturmaßnahmen umzusetzen

Die detaillierten operativen Anforderungen, einschließlich Meldeverfahren und Fristen, gehören zu den Bereichen, die vom Durchführungsrahmen abhängen. Das PDPL selbst verlangt weitere Vorschriften zu seiner Umsetzung.

Grenzüberschreitende Datenübermittlungen

Das VAE-PDPL regelt die Übermittlung und Weitergabe personenbezogener Daten außerhalb der VAE.

Internationale Übermittlungen sollten geprüft werden, bevor Daten:

• An einen ausländischen Cloud-Anbieter gesendet werden
• Auf einer internationalen SaaS-Plattform gespeichert werden
• Von einer ausländischen Konzerngesellschaft abgerufen werden
• Mit einem ausländischen Auftragsverarbeiter geteilt werden
• An einen ausländischen Marketingdienstleister übermittelt werden
• Über eine Infrastruktur außerhalb der VAE verarbeitet werden

Das PDPL sieht Mechanismen für internationale Übermittlungen vor, darunter Übermittlungen auf Grundlage eines angemessenen Schutzniveaus, einschlägiger Abkommen, vertraglicher Garantien und weiterer gesetzlich festgelegter Voraussetzungen.

Unternehmen sollten daher ein Verzeichnis internationaler Übermittlungen führen, das Folgendes ausweist:

• Ursprungsland
• Zielland
• Empfänger
• Zweck
• Datenkategorien
• Rechtlicher Übermittlungsmechanismus
• Vertragliche Garantien
• Sicherheitsmaßnahmen

Cookies und Online-Tracking nach dem VAE-PDPL

Das VAE-PDPL ist für Cookies und Tracking-Technologien relevant, soweit sie personenbezogene Daten betreffen.

Unternehmen sollten prüfen:

• Welche Informationen das Cookie erhebt
• Ob die Informationen eine Person identifizieren oder identifizieren können
• Den Zweck des Trackings
• Ob Dritte die Informationen erhalten
• Die einschlägige Rechtsgrundlage
• Ob eine Einwilligung erforderlich ist
• Wie lange Informationen aufbewahrt werden
• Wie Nutzerinnen und Nutzer ihre Präferenzen ändern können

Zu den häufig zu prüfenden Technologien zählen:

• Analyse-Cookies
• Werbe-Cookies
• Retargeting-Pixel
• Social-Media-Pixel
• Conversion-Tracking
• Gerätekennungen
• Sitzungstechnologien
• Verhaltensanalysen
• Werbeskripte Dritter

Ist die Einwilligung die einschlägige Grundlage, sollten Organisationen verhindern, dass die betreffende Verarbeitung beginnt, bevor die erforderliche Entscheidung eingeholt wurde.

Direktmarketing

Marketingaktivitäten mit personenbezogenen Daten sollten am PDPL und weiteren anwendbaren Vorschriften der VAE gemessen werden.

Unternehmen sollten prüfen:

• Quelle der Marketinginformationen
• Zweck der Erhebung
• Rechtsgrundlage
• Einwilligung
• Widerspruchsmechanismen
• Präferenzverwaltung
• Profiling
• Werbeplattformen
• Offenlegungen gegenüber Dritten
• Aufbewahrung

Die VAE verfügen zudem über gesonderte Telemarketing-Vorschriften. Die Kabinettsentscheidung Nr. 56 von 2024 regelt Telemarketing-Anrufe, während die Kabinettsentscheidung Nr. 57 von 2024 verwaltungsrechtliche Sanktionen für Verstöße gegen diese Telemarketing-Regeln vorsieht. Diese Anforderungen sollten gesondert vom föderalen PDPL geprüft werden.

Automatisierte Entscheidungen und Profiling

Das VAE-PDPL behandelt die automatisierte Verarbeitung und sieht Schutzmaßnahmen für Entscheidungen vor, die auf automatisierter Verarbeitung beruhen.

Unternehmen, die KI-Systeme, Profiling, Verhaltens-Scoring, automatisierte Entscheidungen über Anspruchsberechtigungen, personalisierte Werbung, Empfehlungssysteme, Betrugserkennung, Kreditwürdigkeitsprüfung oder andere automatisierte Entscheidungstechnologien einsetzen, sollten prüfen:

• Welche personenbezogenen Daten verarbeitet werden
• Den Zweck
• Die Tragweite der Entscheidung
• Transparenz
• Einschlägige Widerspruchsrechte
• Menschliches Eingreifen, soweit angemessen
• Sicherheit
• Verarbeitung durch Dritte
• Anforderungen an Folgenabschätzungen

KI-Systeme, die personenbezogene Daten verarbeiten, sollten als Teil des umfassenderen Datenschutz-Governance-Programms der Organisation bewertet werden.

Datenminimierung und Zweckbindung

Organisationen sollten personenbezogene Daten für berechtigte und klar bestimmte Zwecke erheben und auf Informationen verzichten, die für diese Zwecke nicht erforderlich sind.

Fragt eine Website beispielsweise Folgendes ab, sollte sie erläutern können, warum jede Kategorie benötigt wird:

• Name
• E-Mail
• Telefonnummer
• Standort
• Geräteinformationen
• Verhaltensdaten
• Werbekennungen

Die Datenminimierung sollte auch bei der Konfiguration von Analyse-, Werbe- und Kundendatenplattformen berücksichtigt werden.

Datenaufbewahrung

Unternehmen sollten Aufbewahrungsfristen für personenbezogene Daten festlegen.

Ein Aufbewahrungsprogramm sollte Folgendes abdecken:

• Kundenkonten
• Marketing-Datenbanken
• Einwilligungsnachweise
• Cookies
• Analysedaten
• Sicherheitsprotokolle
• Support-Tickets
• Betroffenenanfragen
• Personalakten
• Bei Auftragsverarbeitern gespeicherte Daten

Die Aufbewahrung sollte sich an rechtlichen, vertraglichen, operativen und datenschutzrechtlichen Anforderungen orientieren statt an unbefristeter Speicherung.

Verantwortliche und Auftragsverarbeiter

Das PDPL unterscheidet zwischen zwei Rollen.

Verantwortlicher. Die Stelle, die Methode, Kriterien und Zweck der Verarbeitung personenbezogener Daten bestimmt.

Auftragsverarbeiter. Die Stelle, die personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet.

Beispiele für Auftragsverarbeiter können sein:

• Cloud-Anbieter
• CRM-Anbieter
• Analyse-Dienstleister
• Marketing-Plattformen
• Kundenservice-Anbieter
• Zahlungsdienstleister
• SaaS-Plattformen

Vereinbarungen zwischen Verantwortlichem und Auftragsverarbeiter sollten klar regeln:

• Verarbeitungsanweisungen
• Sicherheitsanforderungen
• Vertraulichkeit
• Unterauftragsverarbeitung
• Unterstützung bei Betroffenenanfragen
• Meldung von Datenpannen
• Internationale Übermittlungen
• Löschung oder Rückgabe der Daten
• Prüf- und Kooperationspflichten

Steuerung von Auftragsverarbeitern

Die Nutzung eines Dienstleisters macht eine Datenschutz-Governance nicht entbehrlich.

Vor der Beauftragung eines Auftragsverarbeiters sollten Organisationen bewerten:

• Wo der Anbieter Daten verarbeitet
• Sicherheitszertifizierungen
• Unterauftragsverarbeiter
• Internationale Übermittlungen
• Aufbewahrung
• Löschverfahren
• Incident Response
• Vertragliche Garantien
• Unterstützung bei Betroffenenanfragen
• Zusammenarbeit mit Aufsichtsbehörden

Ein Verzeichnis der Auftragsverarbeiter sollte über die gesamte Geschäftsbeziehung hinweg geführt werden.

Datengovernance und Rechenschaftspflicht

Ein ausgereiftes VAE-PDPL-Programm sollte Folgendes umfassen:

• Datenbestandsverzeichnis
• Verzeichnis von Verarbeitungstätigkeiten
• Datenschutzrichtlinien
• Datenschutzhinweise
• Einwilligungsnachweise
• Verträge mit Auftragsverarbeitern
• Bewertungen von Übermittlungen
• Datenschutz-Folgenabschätzungen
• Governance des Datenschutzbeauftragten
• Sicherheitsrichtlinien
• Incident Response
• Abläufe für Betroffenenanfragen
• Aufbewahrungsfristen
• Regelmäßige Compliance-Prüfungen

Die Einwilligungsverwaltung ist ein Bestandteil dieses umfassenderen Governance-Rahmens.

Stand der Ausführungsbestimmungen

Einer der wichtigsten Punkte zum Verständnis des VAE-PDPL ist der Stand seiner Ausführungsbestimmungen.

Artikel 28 des Föderalen Dekretgesetzes Nr. 45 von 2021 sieht vor, dass der Ministerrat Ausführungsbestimmungen erlässt. Artikel 29 sieht sodann eine Übergangsfrist für Verantwortliche und Auftragsverarbeiter vor, die mit dem Erlass dieser Bestimmungen beginnt.

Aktuelle juristische Fachquellen berichten weiterhin, dass die föderalen Ausführungsbestimmungen zum PDPL nicht veröffentlicht wurden; die detaillierten Umsetzungsanforderungen bleiben damit ein wichtiger Beobachtungsbereich.

Unternehmen sollten daher keine ungeprüfte Vorschriftennummer oder erfundene Umsetzungsfrist als Ausführungsbestimmungen zum VAE-PDPL darstellen.

Die unmittelbar im Föderalen Dekretgesetz Nr. 45 von 2021 enthaltenen Kernpflichten bleiben die Grundlage des föderalen Rahmens.

VAE-PDPL und branchenspezifische Gesetze

Das föderale PDPL steht nicht für sich allein.

Bestimmte Branchen haben eigene Datenschutz- und Datengovernance-Anforderungen, unter anderem in Bereichen wie:

• Gesundheitswesen
• Bankwesen
• Kreditauskunftswesen
• Telekommunikation
• Finanzdienstleistungen
• Behördliche Dienste
• In Freizonen regulierte Tätigkeiten

Das PDPL selbst nimmt bestimmte Gesundheits- sowie Bank- oder Kreditinformationen aus, soweit gesonderte Gesetze deren Schutz und Verarbeitung regeln.

Unternehmen sollten daher eine branchenspezifische rechtliche Prüfung vornehmen, bevor sie davon ausgehen, dass das föderale PDPL der einzige anwendbare Rahmen ist.

Checkliste zur VAE-PDPL-Compliance

Nutzen Sie diese Checkliste, um Ihr Datenschutzprogramm zu überprüfen.

• Alle verarbeiteten personenbezogenen Daten identifizieren
• Sensible personenbezogene Daten identifizieren
• Feststellen, ob das föderale PDPL gilt
• Prüfen, ob eine branchenspezifische Ausnahme oder ein anderes Gesetz greift
• Feststellen, ob DIFC- oder ADGM-Regeln gelten
• Verantwortliche und Auftragsverarbeiter identifizieren
• Verarbeitungszwecke erfassen
• Die einschlägige Rechtsgrundlage bestimmen
• Einwilligungsmechanismen überprüfen
• Einwilligungen spezifisch und informiert gestalten
• Einwilligungsnachweise führen
• Angemessene Datenschutzhinweise veröffentlichen
• Verfahren für Betroffenenanfragen einrichten
• Auskunftsanfragen unterstützen
• Berichtigungsanfragen unterstützen
• Löschanfragen unterstützen
• Anfragen zur Einschränkung unterstützen
• Widersprüche unterstützen
• Anforderungen an Datenübermittlungen bewerten
• Internationale Übermittlungen überprüfen
• Auftragsverarbeiter Dritter identifizieren
• Verträge mit Auftragsverarbeitern überprüfen
• Anforderungen an den Datenschutzbeauftragten bewerten
• Folgenabschätzungen durchführen, sofern erforderlich
• Angemessene Sicherheitsmaßnahmen umsetzen
• Verfahren zur Reaktion auf Datenpannen einrichten
• Automatisierte Entscheidungen bewerten
• Profiling-Aktivitäten überprüfen
• Cookies und Tracking-Technologien überprüfen
• Einwilligung vor dem einschlägigen Tracking konfigurieren
• Aufbewahrungsfristen führen
• Entwicklungen zu den Ausführungsbestimmungen verfolgen
• Einschlägige branchenspezifische Anforderungen prüfen