Ein Compliance-Programm in Ägypten ruht auf wenigen Gesetzen mit echten Sanktionen: dem Datenschutzgesetz, Gesetz Nr. 151 von 2020, mit seiner Durchführungsverordnung in Form des Ministerialbeschlusses Nr. 816 von 2025; dem Geldwäschegesetz, Gesetz Nr. 80 von 2002; dem Wettbewerbsgesetz, Gesetz Nr. 3 von 2005 in der Fassung des Gesetzes Nr. 175 von 2022; und den Bestechungsvorschriften des Strafgesetzbuchs. Unser Büro in Kairo liest diese Texte so, wie es sie anwendet, und prüft jede Kontrolle an einem realen Vorgang statt an einem Richtliniendokument.
Der gesetzliche Rahmen: vier Regime und ein Nachweisstandard
Vier Regime decken die meisten Compliance-Fragen von Unternehmen in Ägypten ab. Das Gesetz Nr. 151 von 2020 regelt personenbezogene Daten und wird vom Zentrum für den Schutz personenbezogener Daten durchgesetzt. Das Gesetz Nr. 80 von 2002 regelt die Geldwäsche und errichtet bei der Zentralbank von Ägypten die Einheit zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung. Das Gesetz Nr. 3 von 2005 regelt Kartelle, Vertikalbeschränkungen und Zusammenschlüsse. Das Strafgesetzbuch, Gesetz Nr. 58 von 1937, stellt die Bestechung in den Artikeln 103 bis 111 unter Strafe. Branchenaufsichten setzen eigene Regeln obendrauf.
Der Maßstab, den wir anlegen, ist in allen gleich: Eine Kontrolle existiert nur, wenn sie belegt werden kann. Für jedes Regime fragen wir, wer die Pflicht trägt, welche Aufzeichnung ihre Erfüllung beweist und was eine Aufsichtsbehörde oder Staatsanwaltschaft zuerst prüfen würde. Nach Artikel 4 des Gesetzes Nr. 151 von 2020 muss der Verantwortliche die Mittel zum Nachweis seiner Compliance bereitstellen und Inspektionen zulassen; die anderen Regime kommen über Aufbewahrungspflichten und Ermittlungsbefugnisse zum selben Ergebnis.
Datenschutzrecht: Anwendungsbereich, Begriffe und Ausnahmen
Artikel 1 des Gesetzes Nr. 151 von 2020 definiert personenbezogene Daten als alle Daten zu einer identifizierten oder direkt oder indirekt identifizierbaren natürlichen Person und erfasst die Verarbeitung mit elektronischen oder technischen Mitteln. Sensible Daten umfassen Gesundheits-, genetische, biometrische und Finanzdaten, religiöse Überzeugungen, politische Ansichten und Strafregisterdaten; Daten von Kindern sind stets sensibel. Artikel 2 der Einführungsartikel erstreckt das Gesetz auf bestimmtes Verhalten von Nichtägyptern außerhalb Ägyptens, wenn die betroffene Person Ägypter oder in Ägypten ansässiger Ausländer ist.
Artikel 3 der Einführungsartikel nennt die Ausnahmen: Daten, die Einzelpersonen für den persönlichen Gebrauch halten, amtliche Statistiken, ausschließlich zu Medienzwecken verarbeitete Daten, Gerichtsakten und Verfahren, Daten der Behörden der nationalen Sicherheit sowie Daten der Zentralbank von Ägypten und der von ihr beaufsichtigten Stellen, wobei Geldtransfer- und Wechselstubenunternehmen ausgenommen sind. Bevor wir ein Datenprogramm aufbauen, ordnen wir jede Geschäftslinie diesen Ausnahmen zu, denn eine Bank und ein Einzelhändler derselben Gruppe können auf verschiedenen Seiten liegen.
Pflichten des Verantwortlichen, Einwilligung und Anfragen betroffener Personen
Artikel 4 des beigefügten Gesetzes nennt die Pflichten des Verantwortlichen. Er muss Daten nach Einwilligung der betroffenen Person oder in den gesetzlich erlaubten Fällen erheben, ihre Richtigkeit und Zweckmäßigkeit sicherstellen, sie mit technischen und organisatorischen Maßnahmen schützen, sie nach Erreichen des Zwecks löschen oder ohne Personenbezug aufbewahren, Fehler sofort berichtigen und ein Verzeichnis der Kategorien, Empfänger, Aufbewahrung und Sicherheitsmaßnahmen führen. Er muss außerdem eine Lizenz oder Genehmigung des Zentrums einholen und, wenn er im Ausland sitzt, einen Vertreter in Ägypten benennen.
Nach Artikel 32 kann eine betroffene Person von jedem Inhaber, Verantwortlichen oder Auftragsverarbeiter die Ausübung ihrer Rechte verlangen, und der Empfänger muss binnen sechs Arbeitstagen antworten. Nach Artikel 33 geht eine Beschwerde an das Zentrum, das binnen dreißig Arbeitstagen entscheidet, und der Beschwerdegegner muss die Entscheidung binnen sieben Arbeitstagen umsetzen. Wir testen diese Kette mit einer echten Anfrage: Wer nimmt sie entgegen, wer entscheidet, wer durchsucht die Systeme und wer belegt das Antwortdatum.
Meldung von Datenpannen: 72 Stunden und drei Arbeitstage
Artikel 7 des Gesetzes Nr. 151 von 2020 verpflichtet den Verantwortlichen oder Auftragsverarbeiter, jede Verletzung des Schutzes personenbezogener Daten binnen zweiundsiebzig Stunden dem Zentrum zu melden, bei Berührung der nationalen Sicherheit sofort. Die Meldung muss die Verletzung und die ergriffenen Maßnahmen beschreiben, und die Durchführungsverordnung bestätigt dieselben beiden Fristen. Die betroffene Person ist binnen drei Arbeitstagen nach der Meldung an das Zentrum zu informieren.
Diese Fristen lassen keine Zeit, nach dem Ereignis zu klären, wer zuständig ist. Unsere ständige Empfehlung ist ein schriftlicher Vorfallsweg, der benennt, wer das Ereignis einstuft, wer die Meldung an das Zentrum unterzeichnet, wer die betroffenen Personen kontaktiert und wer das Verzeichnis der Verletzungen führt. Wir testen ihn mit einer Planübung und prüfen, dass die Frist ab dem Zeitpunkt läuft, zu dem das Unternehmen von der Verletzung erfährt.
Datenschutzbeauftragter, Lizenzen und Durchführungsverordnung
Artikel 8 verpflichtet den gesetzlichen Vertreter einer juristischen Person, einen kompetenten Mitarbeiter als Datenschutzbeauftragten zu ernennen, der im Register des Zentrums eingetragen und bekannt gemacht wird. Artikel 9 macht ihn für die Anwendung des Gesetzes verantwortlich. Nach den Artikeln 26 und 27 erteilt das Zentrum Lizenzen und Genehmigungen, entscheidet binnen neunzig Tagen nach vollständigen Unterlagen und wertet Schweigen als Ablehnung. Die Durchführungsverordnung erging als Ministerialbeschluss Nr. 816 von 2025 des Ministers für Kommunikation und Informationstechnologie; Sekundärquellen datieren ihn auf den 1. November 2025, in Kraft seit dem 2. November 2025, und eine Fassung im Amtsblatt wurde nicht gefunden.
Artikel 6 der Einführungsartikel gewährt den Adressaten ein Jahr ab Erlass der Durchführungsverordnung, um ihre Lage anzupassen. Streng gelesen endet diese Frist um den 1. November 2026. Kommentatoren weisen darauf hin, dass das Zentrum die Frist länger laufen lassen könnte; wir planen daher mit dem früheren Datum und beobachten offizielle Hinweise. Gebührenstufen, Verzeichnisse und die Registrierung des Beauftragten stehen in der Verordnung und werden am aktuellen Text geprüft.
Grenzüberschreitende Übermittlung und elektronisches Direktmarketing
Artikel 14 des Gesetzes Nr. 151 von 2020 erlaubt die Übermittlung personenbezogener Daten ins Ausland nur, wenn das Schutzniveau im Drittstaat den Anforderungen des Gesetzes entspricht und die Übermittlung vom Zentrum lizenziert ist. Artikel 16 erlaubt die Offenlegung gegenüber einem Verantwortlichen oder Auftragsverarbeiter im Ausland mit Lizenz, wenn Tätigkeit oder Zweck übereinstimmen, ein berechtigtes Interesse besteht und der Schutz im Ausland nicht geringer ist als in Ägypten. Wir erfassen jeden Cloud-Dienst, jede Konzerngesellschaft und jeden Dienstleister, der ägyptische Daten erhält, bevor wir zu einer Struktur raten.
Artikel 17 verbietet elektronisches Direktmarketing, es sei denn, die betroffene Person hat eingewilligt, der Absender ist identifiziert, eine gültige Adresse ist angegeben, die Nachricht ist als Werbung gekennzeichnet und eine klare Abmeldemöglichkeit besteht. Artikel 18 verlangt einen bestimmten Zweck und elektronische Einwilligungsnachweise für drei Jahre ab der letzten Mitteilung. Artikel 26 fügt eine Lizenz für elektronisches Direktmarketing hinzu. Ein Einwilligungsnachweis, der nicht vorgelegt werden kann, ist in der Praxis keine Einwilligung.
Sanktionen im Datenschutz und Durchsetzung
Artikel 36 ahndet die unbefugte Erhebung, Verarbeitung oder Offenlegung elektronisch verarbeiteter personenbezogener Daten mit einer Geldstrafe von 100.000 bis 1.000.000 ägyptischen Pfund und sieht Freiheitsstrafe von mindestens sechs Monaten sowie Geldstrafe von 200.000 bis 2.000.000 Pfund oder einer dieser Strafen vor, wenn die Tat zum Vorteil oder zum Schaden der betroffenen Person erfolgt. Artikel 41 bestraft die Verarbeitung sensibler Daten ohne Einwilligung mit mindestens drei Monaten Freiheitsstrafe und Geldstrafe von 500.000 bis 5.000.000 Pfund oder einer dieser Strafen. Artikel 38 ahndet Verstöße gegen die Pflichten von Verantwortlichen und Auftragsverarbeitern mit 300.000 bis 3.000.000 Pfund.
Artikel 47 macht den faktischen Geschäftsführer einer juristischen Person haftbar. Artikel 48 verdoppelt die Strafen bei Wiederholung und ordnet die Veröffentlichung des Urteils an, und Artikel 49 erlaubt den Vergleich bei Vergehen. Artikel 30 lässt dem Zentrum die Verwarnung, Aussetzung oder Aufhebung von Lizenzen und die Veröffentlichung von Verstößen. Die Wirtschaftsgerichte sind nach Artikel 5 der Einführungsartikel zuständig.
Geldwäschebekämpfung: Pflichten von Finanzinstituten und nichtfinanziellen Unternehmen
Artikel 3 des Gesetzes Nr. 80 von 2002 errichtet bei der Zentralbank von Ägypten die Einheit zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung, und Artikel 7 überträgt ihr die Prüfung der Einhaltung durch Finanzinstitute sowie nichtfinanzielle Unternehmen und Berufe. Artikel 8 verpflichtet sie, der Einheit unverzüglich jede Transaktion zu melden, bei der sie Erträge aus Straftaten, Geldwäsche oder Terrorismusfinanzierung vermuten, oder jeden Versuch, unabhängig vom Wert, und Sorgfaltspflichten gegenüber Kunden umzusetzen.
Artikel 9 verlangt, Aufzeichnungen über inländische und internationale Transaktionen mit ausreichenden Angaben zu ihrer Identifizierung sowie über Kunden und wirtschaftlich Berechtigte mindestens fünf Jahre ab Ende der Beziehung oder Schließung des Kontos aufzubewahren, länger auf Verlangen der Einheit oder der Ermittler. Artikel 9 bis 1 verpflichtet Finanzinstitute, nichtfinanzielle Unternehmen und jeden Inhaber einschlägiger Vermögenswerte, die Mechanismen der Einheit für gezielte finanzielle Sanktionen, einschließlich Einfrierung, umzusetzen. Wir prüfen, ob das Überwachungssystem tatsächlich Meldungen erzeugt.
Sanktionen bei Geldwäsche und Kooperation
Artikel 14 bestraft Geldwäsche und den Versuch mit Freiheitsstrafe bis zu sieben Jahren und einer Geldstrafe in doppelter Höhe der betroffenen Mittel; beschlagnahmte Mittel werden eingezogen. Artikel 15 bestraft Verstöße gegen die Artikel 8, 9 und 11 mit Freiheitsstrafe und Geldstrafe von 100.000 bis 500.000 Pfund oder einer dieser Strafen. Artikel 15 bis bestraft Verstöße gegen Artikel 9 bis 1 mit Freiheitsstrafe bis zu einem Jahr oder Geldstrafe von 100.000 bis 300.000 Pfund.
Haben mehrere Personen an der Tat mitgewirkt, lässt Artikel 17 das Gericht denjenigen von der Freiheitsstrafe und der Geldstrafe nach Artikel 14 befreien, der sie den zuständigen Behörden meldet, bevor diese davon erfahren, oder dessen Meldung zur Festnahme der übrigen oder zur Beschlagnahme der Mittel führt; die Einziehung bleibt jedoch bestehen. Die Meldung ist damit eine Entscheidung mit rechtlichem Gewicht, und wir sorgen dafür, dass die Person, die meldet, und die Person, die über die Meldung entscheidet, klar getrennt und dokumentiert sind.
Korruptionsbekämpfung nach dem Strafgesetzbuch
Die Artikel 103 bis 111 des Strafgesetzbuchs, Gesetz Nr. 58 von 1937, stellen die Bestechung öffentlicher Amtsträger unter Strafe. Artikel 103 definiert die Tat durch Zahlung, Geschenk oder Versprechen an einen Amtsträger, damit er eine Amtshandlung vornimmt oder unterlässt, und Artikel 107 bis befreit den Bestechenden oder Vermittler, der die Tat den Behörden meldet oder gesteht. Artikel 111 bestimmt, wer als Amtsträger gilt, und Artikel 106 bis (b), 2018 eingefügt, erfasst die Bestechung ausländischer Amtsträger.
Artikel 105 bis erweitert die Tat auf Vorstandsmitglieder, Manager und Angestellte von Aktiengesellschaften und bestimmten gemeinnützigen Einrichtungen, und Artikel 106 erfasst Beschäftigte, die ohne Wissen ihres Arbeitgebers einen Vorteil annehmen. Ein Unternehmen, dessen Mitarbeiter oder Vermittler beteiligt sind, trägt neben dem individuellen Risiko vertragliche, lizenzrechtliche und Reputationsfolgen. Strafrahmen nennen wir hier nicht, weil sie im Einzelfall am aktuellen Text geprüft werden.
Wettbewerbs-Compliance: Kartelle, Vertikalbeschränkungen und Fusionskontrolle
Artikel 6 des Gesetzes Nr. 3 von 2005 verbietet Absprachen zwischen Wettbewerbern über Preise, Marktaufteilung, abgestimmte Teilnahme an Ausschreibungen oder Produktionsbeschränkung, und die Artikel 7 und 8 behandeln Vertikalvereinbarungen und den Missbrauch einer beherrschenden Stellung. Artikel 22 ahndet einen Verstoß gegen Artikel 6 mit 2 bis 12 Prozent der Produkterlöse während des Verstoßzeitraums oder mit 500.000 bis 500 Millionen Pfund, wenn der Erlös nicht bestimmbar ist. Artikel 26 beendet das Strafverfahren gegen den ersten Beteiligten, der der Behörde ein Kartell mit Beweisen meldet.
Seit dem Gesetz Nr. 175 von 2022 muss ein Zusammenschluss, der die Schwellen des Artikels 19 bis erreicht, der Behörde angezeigt werden, und nach Artikel 19 bis A darf er vor der Genehmigung nicht vollzogen werden. Die inländische Schwelle liegt bei einem gemeinsamen ägyptischen Umsatz oder Vermögen über 900 Millionen Pfund, wobei mindestens zwei Beteiligte je über 200 Millionen Pfund liegen; die weltweite Schwelle bei 7,5 Milliarden Pfund, wobei mindestens ein Beteiligter in Ägypten über 200 Millionen Pfund liegt. Artikel 22 bis D ahndet die unterlassene Anmeldung mit 1 bis 10 Prozent des Umsatzes, Vermögens oder Transaktionswerts. Das Regime gilt seit dem 1. Juni 2024 vollständig.
Was wir in einer ägyptischen Compliance-Akte prüfen
Wenn unser Büro in Kairo ein Compliance-Programm prüft, beginnen wir mit einer datierten Stichprobe statt mit einer Richtlinie. Wir nehmen eine Vertragsfreigabe, eine Zahlung und eine Datenanfrage und verfolgen jede vom Antrag bis zum Archiv anhand des Gesetzes Nr. 151 von 2020, der Artikel 8 und 9 des Gesetzes Nr. 80 von 2002, der Artikel 6 und 19 bis A des Gesetzes Nr. 3 von 2005 und der Artikel 103 bis 111 des Strafgesetzbuchs. Wir halten fest, wer freigegeben, wer gezahlt, wer die Aufzeichnung abgelegt hat und welche Ausnahme einen eigenen Genehmigungsweg hatte, und wir halten Hinweisaufnahme, Sachverhaltsklärung und Entscheidung als getrennte Rollen.
Weitere Informationen finden Sie hier: unser Ägypten-Datenschutz-Leitfaden und unser Ägypten-Handels- und Gesellschaftsrecht-Leitfaden, sowie unsere Praxis für Handels- und Gesellschaftsrecht.
Häufig gestellte Fragen
Wann müssen wir eine Datenpanne in Ägypten melden?
Artikel 7 des Gesetzes Nr. 151 von 2020 verlangt die Meldung an das Zentrum für den Schutz personenbezogener Daten binnen zweiundsiebzig Stunden, sofort bei Berührung der nationalen Sicherheit, und die Information der Betroffenen binnen drei Arbeitstagen nach der Meldung an das Zentrum.
Brauchen wir einen Datenschutzbeauftragten?
Ja, wenn Sie als juristische Person Verantwortlicher oder Auftragsverarbeiter sind. Artikel 8 des Gesetzes Nr. 151 von 2020 verpflichtet den gesetzlichen Vertreter, einen kompetenten Mitarbeiter zu ernennen, ihn beim Zentrum zu registrieren und die Ernennung bekannt zu machen.
Wann endet die Übergangsfrist nach der Durchführungsverordnung?
Artikel 6 der Einführungsartikel gewährt ein Jahr ab Erlass des Beschlusses Nr. 816 von 2025, den Sekundärquellen auf den 1. November 2025 datieren, mit Wirkung ab dem 2. November 2025 (keine Fassung im Amtsblatt gefunden); streng gelesen also etwa den 1. November 2026. Wir raten, mit diesem Datum zu planen.
Dürfen wir Daten an eine ausländische Konzerngesellschaft senden?
Nur wenn Artikel 14 des Gesetzes Nr. 151 von 2020 erfüllt ist: Das ausländische Schutzniveau muss dem ägyptischen Standard entsprechen, und die Übermittlung muss vom Zentrum lizenziert sein. Artikel 42 bestraft einen Verstoß mit Freiheitsstrafe und Geldstrafe von 500.000 bis 5.000.000 Pfund oder einer dieser Strafen.
Müssen wir einen Verdachtsfall unabhängig vom Wert melden?
Ja. Artikel 8 des Gesetzes Nr. 80 von 2002 verpflichtet Finanzinstitute sowie nichtfinanzielle Unternehmen und Berufe, der Einheit vermutete Erträge, Geldwäsche oder einen Versuch unverzüglich zu melden, gleich welchen Werts, und Artikel 9 verlangt Aufzeichnungen für mindestens fünf Jahre.
Welche Strafe droht bei Geldwäsche?
Nach Artikel 14 des Gesetzes Nr. 80 von 2002 Freiheitsstrafe bis zu sieben Jahren und Geldstrafe in doppelter Höhe der betroffenen Mittel, dazu Einziehung. Haben mehrere Personen an der Tat mitgewirkt, lässt Artikel 17 das Gericht denjenigen von der Freiheitsstrafe und der Geldstrafe nach Artikel 14 befreien, der meldet, bevor die Behörden von der Tat erfahren; die Einziehung bleibt jedoch bestehen.
Müssen wir einen Zusammenschluss bei der Wettbewerbsbehörde anmelden?
Ja, wenn er die Schwellen des Artikels 19 bis des Gesetzes Nr. 3 von 2005 erreicht, und er darf nach Artikel 19 bis A nicht vor der Genehmigung vollzogen werden. Wird die Anmeldung unterlassen, verhängt Artikel 22 bis D eine Geldbuße von 1 bis 10 Prozent des Umsatzes, Vermögens oder Transaktionswerts.
Kann Ihre Kanzlei unser Compliance-Programm prüfen und eine interne Untersuchung durchführen?
Ja. Unser Büro in Kairo prüft Kontrollen an den genannten Gesetzen und hält Hinweisaufnahme, Sachverhaltsklärung und Entscheidung getrennt. Bitte kontaktieren Sie uns über unsere Kontaktseite.