Compliance mit dem Personal Data Protection Law (PDPL) der VAE
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des PDPL der VAE zu erfüllen: Die App blockiert nicht notwendige Cookies bis zur Einwilligung, scannt und kategorisiert Cookies und speichert Einwilligungsnachweise.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist das PDPL?
Das Personal Data Protection Law (PDPL) ist das Bundesdatenschutzgesetz der Vereinigten Arabischen Emirate (VAE), erlassen als Federal Decree-Law No. 45 of 2021 Regarding the Protection of Personal Data. Es legt fest, wie personenbezogene Daten verarbeitet werden dürfen, welche Rechte Einzelpersonen an ihren Daten haben und welche Pflichten für die Unternehmen gelten, die sie erheben. Die Aufsicht führt das UAE Data Office, das im selben Jahr durch ein eigenes Gesetzesdekret eingerichtet wurde.
Das PDPL folgt vielen Konzepten der DSGVO der EU. Zu seinen wichtigsten Regeln gehören:
- Personenbezogene Daten dürfen ohne die Einwilligung der betroffenen Person nicht verarbeitet werden, sofern keine der gesetzlichen Ausnahmen greift, etwa die Erfüllung eines Vertrags oder einer rechtlichen Verpflichtung.
- Die Einwilligung muss konkret, klar und eindeutig sein, das Unternehmen muss sie nachweisen können, und Personen können sie jederzeit widerrufen.
- Einzelpersonen haben das Recht auf Information darüber, wie ihre Daten verarbeitet werden, und können Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen sowie bestimmten Verarbeitungen widersprechen.
- Unternehmen müssen personenbezogene Daten sicher aufbewahren, Datenpannen dem UAE Data Office melden und in manchen Fällen einen Datenschutzbeauftragten benennen.
- Personenbezogene Daten dürfen nur in Länder mit angemessenem Datenschutz oder unter den anderen gesetzlich festgelegten Bedingungen ins Ausland übermittelt werden.
Das PDPL gilt nicht im ganzen Land. Freihandelszonen mit eigenen Datenschutzgesetzen, etwa das Dubai International Financial Centre (DIFC) und der Abu Dhabi Global Market (ADGM), sind ausgenommen, ebenso bestimmte Datenarten, die eigenen Gesetzen unterliegen, etwa Gesundheits- und Bankdaten.
Für wen gilt das PDPL?
Das PDPL gilt für die Verarbeitung personenbezogener Daten von Personen, die in den VAE wohnen oder dort einen Geschäftssitz haben. Es erfasst in den VAE ansässige Unternehmen und auch Unternehmen außerhalb der VAE, die personenbezogene Daten von Personen in den VAE verarbeiten. Ein ausländischer Onlineshop, der an Kunden in den VAE verkauft, kann also in seinen Anwendungsbereich fallen.
Was passiert, wenn ich das PDPL nicht einhalte?
Ein Verstoß gegen das PDPL kann Folgendes nach sich ziehen:
- Beschwerden und Untersuchungen: Einzelpersonen können beim UAE Data Office Beschwerde einlegen, wenn sie glauben, dass ihre Daten rechtswidrig verarbeitet wurden, und das Data Office kann dies untersuchen.
- Verwaltungsstrafen: Das Data Office kann Verwaltungsstrafen verhängen. Das Gesetz überlässt es einem Beschluss des Kabinetts der VAE, die Verstöße und die Höhe der Verwaltungsstrafen festzulegen, sodass die genauen Bußgelder von diesen Durchführungsbestimmungen abhängen.
Da sich die Strafregeln aus Durchführungsverordnungen ergeben, sollten Sie deren aktuellen Stand prüfen, bevor Sie sich auf einen Betrag verlassen.
Wann trat das PDPL in Kraft?
Das PDPL wurde am 20. September 2021 erlassen und trat am 2. Januar 2022 in Kraft. Unternehmen haben ab dem Erlass der Durchführungsverordnungen sechs Monate Zeit, ihre Verarbeitung an das Gesetz anzupassen.
Das PDPL einhalten
Wenn Ihr Onlineshop an Kunden in den VAE verkauft, kann das PDPL für die personenbezogenen Daten gelten, die Sie von ihnen erheben, auch für Daten, die über Cookies und Tracking-Werkzeuge in Ihrem Shop-Frontend erhoben werden.
Für Cookies und Tracking sind die wichtigsten Punkte:
- Einwilligung: Die Einwilligung ist nach dem PDPL die Standard-Rechtsgrundlage. Bitten Sie bei Analyse-, Werbe- und anderen nicht notwendigen Cookies um Einwilligung, bevor sie gesetzt werden, formulieren Sie die Anfrage klar und verständlich und ermöglichen Sie es Besuchern, ihre Einwilligung so einfach zu widerrufen, wie sie sie erteilt haben.
- Information: Teilen Sie Besuchern mit, welche Daten Sie erheben, warum und an wen Sie sie weitergeben, einschließlich der Drittanbieter-Werkzeuge, die in Ihrem Shop Cookies setzen.
- Nachweis der Einwilligung: Das Gesetz verlangt, dass Sie die Einwilligung nachweisen können. Speichern Sie daher die Entscheidung jedes Besuchers.
- Grenzüberschreitende Übermittlungen: Viele Analyse- und Marketingwerkzeuge verarbeiten Daten außerhalb der VAE. Prüfen Sie, ob jede Übermittlung die Bedingungen des PDPL erfüllt.
- Anfragen betroffener Personen: Seien Sie darauf vorbereitet, Anträge auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit zu beantworten.
Wenn Ihr Unternehmen im DIFC oder im ADGM ansässig ist, gelten stattdessen die eigenen Datenschutzregeln der jeweiligen Freihandelszone mit ihren eigenen Anforderungen.
Damit das überschaubar bleibt, sollten Sie eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance in Betracht ziehen. Sie zeigt ein Cookie-Banner an, das nicht notwendige Cookies blockiert, bis der Besucher einwilligt, scannt Ihren Shop, um Cookies automatisch zu erkennen und zu kategorisieren, und erstellt eine Cookie-Erklärung für Ihre Richtlinienseite. Sie speichert Einwilligungsprotokolle als Nachweis der Entscheidung jedes Besuchers, hilft Ihnen bei der Bearbeitung von Anfragen betroffener Personen und zeigt Besuchern aus verschiedenen Ländern per Geolokalisierung regionsspezifische Banner-Einstellungen. Pandectes GDPR Compliance ist speziell für Shopify-Shops entwickelt.
Die Durchführungsbestimmungen zum PDPL werden noch weiterentwickelt. Prüfen Sie Ihre Einrichtung daher bei Bedarf mit einem Rechtsbeistand.