Ägypten verfügt heute über ein vollständiges Datenschutzregime. Das Gesetz Nr. 151 von 2020 zum Schutz personenbezogener Daten setzt die Regeln, und der Minister für Kommunikation und Informationstechnologie hat die zugehörige Durchführungsverordnung mit Beschluss Nr. 816 von 2025 erlassen. Damit begann die einjährige Frist, in der Unternehmen ihre Lage in Ordnung bringen müssen. Diese Frist endet um den Wechsel von Oktober zu November 2026, sodass das Regime in der Praxis bald durchsetzbar wird. Von unserem Büro in Kairo aus beraten wir Verantwortliche und Auftragsverarbeiter zu dem, was das Gesetz verlangt: Einwilligung, Betroffenenrechte, Lizenzen und Genehmigungen, Datenschutzbeauftragter, Meldung von Datenschutzverletzungen, grenzüberschreitende Übermittlungen, Direktmarketing und Sanktionen. Dieser Beitrag stellt diese Pflichten nach Gesetz und Artikelnummer dar.
Der Rahmen: Gesetz 151 von 2020, Durchführungsverordnung und Cyberkriminalitätsgesetz
Das Gesetz Nr. 151 von 2020 schützt personenbezogene Daten, die ganz oder teilweise elektronisch bei einem Inhaber, Verantwortlichen oder Auftragsverarbeiter verarbeitet werden, und es schützt ausschließlich natürliche Personen. Es hat das Zentrum für den Schutz personenbezogener Daten geschaffen, eine öffentliche Wirtschaftsbehörde beim Minister für Kommunikation und Informationstechnologie, die Lizenzen und Genehmigungen erteilt, Beschwerden und Verletzungsmeldungen entgegennimmt, prüft und sanktioniert. Die Durchführungsverordnung, erlassen mit Ministerbeschluss Nr. 816 von 2025 und in Kraft ab dem Tag nach ihrer Veröffentlichung im Amtsblatt, regelt die Verfahren, Gebühren und technischen Standards, die das Gesetz offen gelassen hat.
Neben dem Datenschutzgesetz steht das Gesetz Nr. 175 von 2018 zur Bekämpfung von Informationstechnologiedelikten. Artikel 2 verpflichtet Diensteanbieter, Identifikations-, Verkehrs- und Endgerätedaten der Nutzer 180 Tage lang aufzubewahren und vertraulich zu behandeln, und Artikel 25 bestraft, wer die Privatsphäre verletzt oder personenbezogene Daten ohne Einwilligung einem elektronischen System oder einer Website zur Bewerbung von Waren oder Dienstleistungen überlässt. Beide Gesetze überschneiden sich, sodass ein Vorfall zugleich aufsichtsrechtliche Pflichten nach Gesetz 151 und strafrechtliche Risiken nach Gesetz 175 auslösen kann.
Anwendungsbereich: Wer erfasst ist und was ausgenommen bleibt
Die Erlassartikel des Gesetzes Nr. 151 von 2020 erstrecken seine Strafvorschriften auf Ägypter überall, auf in Ägypten ansässige Nichtägypter und auf Nichtägypter im Ausland, wenn die Tat auch am Begehungsort strafbar ist und die Daten Ägypter oder in Ägypten ansässige Ausländer betreffen. Für die Straftaten sind die Wirtschaftsgerichte zuständig. Ein ausländisches Unternehmen, das Daten ägyptischer Nutzer verarbeitet, kann das Gesetz daher nicht als rein örtliche Angelegenheit behandeln, und Artikel 4 verlangt von einem im Ausland ansässigen Verantwortlichen die Benennung eines Vertreters in Ägypten nach den Vorgaben der Durchführungsverordnung.
Ausgenommen sind Daten, die natürliche Personen für persönliche Zwecke halten, Daten für die amtliche Statistik, Daten, die ausschließlich zu journalistischen oder Medienzwecken und in zutreffender Form verarbeitet werden, Daten in gerichtlichen Beschlagnahmeprotokollen, Ermittlungen und Gerichtsverfahren, Daten der nationalen Sicherheitsbehörden sowie Daten der Zentralbank Ägyptens und der von ihr beaufsichtigten Einrichtungen, mit Ausnahme von Geldtransfer- und Wechselstuben. Wir prüfen jede Ausnahme am Sachverhalt, bevor sich ein Mandant auf sie stützt, denn Ausnahmen werden eng ausgelegt.
Die Übergangsfrist und die Frist im November 2026
Artikel 6 des Erlassgesetzes gibt den dem Gesetz unterliegenden Stellen ein Jahr ab Erlass der Durchführungsverordnung, um ihre Lage in Ordnung zu bringen. Nach Berichten von Kanzleien und Presse wurde die Verordnung am 1. November 2025 erlassen (wir fanden keine Fassung im Amtsblatt), weshalb Kanzleien das Fristende je nach Zählweise mit dem 31. Oktober oder dem 1. November 2026 angeben. Die Verordnung wurde erst Ende Dezember 2025 öffentlich zugänglich, und einige Kommentatoren fragen, ob das Zentrum einen späteren Termin anlegen könnte. Wir raten Mandanten, mit dem gesetzlichen Datum zu planen und sich nicht auf eine Verlängerung zu verlassen, da in den von uns geprüften Quellen keine angekündigt wurde.
Das Zentrum hat ein elektronisches Portal für Anträge auf Lizenzen, Genehmigungen und Akkreditierungen eröffnet. Für die Anlage eines Profils und die Antragstellung ist eine Authentifizierung über die staatliche Plattform Digital Egypt erforderlich, die an eine ägyptische Personalausweisnummer gebunden ist, sodass ein ausländischer Verantwortlicher einen ordnungsgemäß bevollmächtigten Vertreter vor Ort braucht. Nach Artikel 27 des Gesetzes hat das Zentrum neunzig Tage Zeit, über einen vollständigen Antrag zu entscheiden, und Schweigen gilt als Ablehnung. Wer spät einreicht, kann bei Ablauf der Übergangsfrist noch ohne Lizenz sein, weshalb wir zur sofortigen Antragstellung raten.
Einwilligung und rechtmäßige Verarbeitung
Artikel 2 des Gesetzes Nr. 151 von 2020 verbietet es, personenbezogene Daten ohne ausdrückliche Einwilligung der betroffenen Person auf irgendeine Weise zu erheben, zu verarbeiten, offenzulegen oder preiszugeben, soweit das Gesetz nichts anderes erlaubt. Artikel 3 verlangt, dass Daten für legitime, bestimmte und erklärte Zwecke erhoben, zutreffend und gesichert sind, rechtmäßig und zweckgemäß verarbeitet und nicht länger als nötig aufbewahrt werden. Nach Artikel 6 ist die Verarbeitung rechtmäßig bei ausdrücklicher Einwilligung, bei Erforderlichkeit für einen Vertrag oder einen Rechtsanspruch, bei einer gesetzlichen Pflicht oder gerichtlichen Anordnung oder beim berechtigten Recht des Verantwortlichen, sofern es die Grundrechte der betroffenen Person nicht überwiegt.
Artikel 2 der Durchführungsverordnung ergänzt, dass eine natürliche Person, die Daten zum Erhalt einer rechtmäßigen Leistung bereitstellt, als einwilligend in Erhebung und Verarbeitung für diesen Zweck allein gilt und die Daten ohne vorherige Einwilligung nicht für andere Zwecke verwendet werden dürfen. Die Verordnung verlangt zudem die Genehmigung des Zentrums für den Mechanismus der Datenerhebung und Einwilligung, einschließlich der Einwilligung eines Erziehungsberechtigten bei Kindern. In unserer Prüfung testen wir jeden Einwilligungsdialog an diesen beiden Artikeln, denn ein Hinweis, der nicht zu den tatsächlichen Zwecken passt, ist der häufigste Mangel.
Betroffenenrechte, Anträge und Beschwerden
Artikel 2 gibt der betroffenen Person das Recht auf Kenntnis und Zugang zu ihren Daten, auf Widerruf der Einwilligung, auf Berichtigung, Änderung, Löschung, Ergänzung oder Aktualisierung, auf Beschränkung der Verarbeitung auf einen bestimmten Umfang, auf Benachrichtigung über eine Verletzung und auf Widerspruch gegen eine Verarbeitung, die ihren Grundrechten und Grundfreiheiten widerspricht. Mit Ausnahme des Rechts auf Benachrichtigung über eine Verletzung trägt die betroffene Person die Kosten der Leistung, und das Zentrum setzt die Gebühren bis zu einer Obergrenze von 20.000 EGP fest. Nach den Artikeln 10 und 32 ist über einen schriftlichen Antrag binnen sechs Arbeitstagen zu entscheiden, eine Ablehnung muss begründet sein, und Schweigen gilt als Ablehnung.
Artikel 33 erlaubt der betroffenen Person oder einer Person mit unmittelbarem Interesse, sich beim Zentrum zu beschweren, das ermittelt und binnen dreißig Arbeitstagen entscheidet. Die beschwerte Partei muss die Entscheidung binnen sieben Arbeitstagen nach Zustellung umsetzen und dem Zentrum einen Nachweis der Umsetzung übermitteln. Artikel 37 bestraft einen Inhaber, Verantwortlichen oder Auftragsverarbeiter, der diese Rechte rechtswidrig verweigert, mit einer Geldstrafe von 100.000 bis 1.000.000 EGP. Wir bauen daher ein Antragsverfahren mit einer Sechs-Tage-Uhr, Identitätsprüfung und protokolliertem Grund für jede Ablehnung.
Pflichten von Verantwortlichen und Auftragsverarbeitern und der Datenschutzbeauftragte
Artikel 4 verlangt vom Verantwortlichen, Daten rechtmäßig zu erlangen, auf Richtigkeit und Relevanz zu prüfen, technische und organisatorische Maßnahmen anzuwenden, Daten nach Zweckerfüllung zu löschen, es sei denn, sie werden in nicht identifizierbarer Form aufbewahrt, Unrichtigkeiten zu berichtigen, ein Verzeichnis der Datenkategorien, Empfänger, Löschmechanismen, Übermittlungen und Sicherheitsmaßnahmen zu führen, eine Lizenz oder Genehmigung des Zentrums einzuholen und Kontrollen zuzulassen. Artikel 5 enthält parallele Pflichten für Auftragsverarbeiter, die auf Grundlage einer schriftlichen Vereinbarung handeln. Sind mehrere Verantwortliche beteiligt, haftet jeder einzeln für die volle Einhaltung.
Artikel 8 verlangt, dass der gesetzliche Vertreter eines Verantwortlichen oder Auftragsverarbeiters in der Rechtsform einer juristischen Person einen qualifizierten Mitarbeiter zum Datenschutzbeauftragten bestellt, ihn im Register des Zentrums eintragen lässt und die Bestellung öffentlich bekannt macht. Artikel 9 legt die Aufgaben des Beauftragten fest: regelmäßige Prüfungen, Kontakt zum Zentrum, Bearbeitung von Betroffenenanträgen, Meldung von Verletzungen und Schulung der Mitarbeiter. Die Artikel 7 bis 12 der Durchführungsverordnung verlangen Qualifikationen, eine Prüfung des Zentrums, ein sauberes Führungszeugnis, einen eindeutigen Beauftragtencode und eine Mitteilung an das Zentrum fünfzehn Tage vor dem Wechsel eines Beauftragten.
Lizenzen und Genehmigungen
Artikel 26 des Gesetzes erlaubt dem Zentrum, Lizenzen und Genehmigungen an Verantwortliche und Auftragsverarbeiter zu erteilen, für elektronisches Direktmarketing, für Videoüberwachung im öffentlichen Raum, für sensible Daten und für grenzüberschreitende Übermittlungen, sowie Akkreditierungen an Datenschutzberater. Er begrenzt Lizenzgebühren auf 2.000.000 EGP und Gebühren für Genehmigungen und Akkreditierungen auf 500.000 EGP. Artikel 19 der Durchführungsverordnung sieht eine zusammengefasste Jahreslizenz für juristische Personen vor, mit nach der Zahl der gehaltenen Datensätze gestaffelten Gebühren, und setzt für die größten Inhaber die Gebühr auf das gesetzliche Maximum von 666.666 EGP im Jahr, 2.000.000 EGP über drei Jahre.
Eine Genehmigung nach Artikel 20 der Verordnung ist vorübergehend und gilt höchstens ein Jahr. Lizenzanträge müssen den Einwilligungsmechanismus, die elektronischen Aufzeichnungen, die Sicherheitsmaßnahmen, den Vertrag und die Unabhängigkeit des Beauftragten sowie die Einhaltung für sensible Daten und Kinderdaten nach Artikel 21 belegen. Das Zentrum muss nach Artikel 27 des Gesetzes binnen neunzig Tagen nach vollständiger Akte entscheiden. Der Betrieb ohne Lizenz ist nach Artikel 45 eine Straftat, die mit einer Geldstrafe von 500.000 bis 5.000.000 EGP geahndet wird, weshalb in jedem Mandat die Einordnung des Lizenztyps an erster Stelle steht.
Meldung von Datenschutzverletzungen: 72 Stunden und drei Arbeitstage
Artikel 7 des Gesetzes verpflichtet Verantwortliche und Auftragsverarbeiter, dem Zentrum jede Verletzung personenbezogener Daten in ihrem Besitz binnen zweiundsiebzig Stunden nach Kenntnis zu melden, und unverzüglich, wenn die Verletzung die nationale Sicherheit berührt. Binnen derselben zweiundsiebzig Stunden sind dem Zentrum Art, Form, Ursachen und geschätzter Umfang, die Kontaktdaten des Beauftragten, die wahrscheinlichen Folgen, die ergriffenen Maßnahmen und die Dokumentation des Vorfalls mitzuteilen. Die betroffene Person ist binnen drei Arbeitstagen nach der Meldung an das Zentrum zu benachrichtigen.
Artikel 5 der Durchführungsverordnung verlangt die Meldung über das elektronische Portal oder die Hotline des Zentrums, mit Aufzeichnung des Zeitpunkts der Kenntnis und der Meldung, und fügt hinzu, dass die Mitteilung an die betroffene Person die ergriffenen Sicherheitsmaßnahmen beschreiben muss. Die Missachtung von Artikel 7 wird nach Artikel 38 mit einer Geldstrafe von 300.000 bis 3.000.000 EGP bestraft. In der Praxis laufen die zweiundsiebzig Stunden ab Kenntnis und nicht ab Feststellung der Ursache, sodass ein Notfallplan von der ersten Stunde an einen benannten Entscheider und ein Beweisprotokoll braucht.
Grenzüberschreitende Übermittlungen
Artikel 14 des Gesetzes verbietet es, personenbezogene Daten ins Ausland zu übermitteln, dort zu speichern oder zu teilen, es sei denn, das Zielland bietet einen Schutz, der nicht niedriger ist als nach dem Gesetz, und das Zentrum lizenziert oder genehmigt die Übermittlung. Artikel 15 nennt Ausnahmen, die die ausdrückliche Einwilligung der betroffenen Person verlangen, darunter medizinische Versorgung, Rechtsansprüche, die Erfüllung eines Vertrags zugunsten der betroffenen Person, justizielle Zusammenarbeit, Finanztransfers und internationale Abkommen. Artikel 16 erlaubt die Bereitstellung von Daten für einen anderen Verantwortlichen außerhalb Ägyptens nur unter einer Lizenz, bei übereinstimmenden Tätigkeiten, berechtigtem Interesse und nicht niedrigerem Schutz.
Artikel 16 der Durchführungsverordnung verlangt eine Lizenz oder Genehmigung und die Einwilligung der betroffenen Person, beschränkt Übermittlungen auf die in der Lizenz genannten Länder und lässt das Zentrum die Länder veröffentlichen, die es nach Gesetzgebung, Sicherheitsmaßnahmen und Entschädigungsregeln für angemessen hält. Das Zentrum entscheidet nach Artikel 26 der Verordnung binnen neunzig Geschäftstagen. Verstöße werden nach Artikel 42 mit Freiheitsstrafe von mindestens drei Monaten und einer Geldstrafe von 500.000 bis 5.000.000 EGP oder einer dieser Strafen geahndet. Cloud-Hosting im Ausland ist eine Übermittlung, weshalb wir vor der Antragstellung jedes System und jeden Standort von Unterauftragsverarbeitern erfassen.
Sensible Daten, Kinder und Direktmarketing
Artikel 12 verbietet es, sensible personenbezogene Daten ohne Lizenz des Zentrums und, außer in gesetzlich erlaubten Fällen, ohne schriftliche und ausdrückliche Einwilligung zu erheben, zu übermitteln, zu speichern oder zu verarbeiten. Sensible Daten umfassen Gesundheits-, genetische und biometrische Daten, Finanzdaten, religiöse Überzeugungen, politische Meinungen und den Sicherheitsstatus, und Kinderdaten gelten stets als sensibel. Artikel 15 der Durchführungsverordnung verlangt die schriftliche Einwilligung eines Erziehungsberechtigten für Kinder unter fünfzehn Jahren und dessen Einwilligung für Jugendliche von fünfzehn bis achtzehn. Artikel 41 bestraft den rechtswidrigen Umgang mit sensiblen Daten mit mindestens drei Monaten Freiheitsstrafe und einer Geldstrafe von 500.000 bis 5.000.000 EGP oder einer dieser Strafen.
Artikel 17 erlaubt elektronisches Direktmarketing nur mit vorheriger Einwilligung, klar erkennbarem Absender mit gültiger Adresse, ausdrücklicher Werbekennzeichnung und einfacher Abmeldemöglichkeit. Artikel 18 verbietet die Offenlegung der Kontaktdaten des Empfängers und verlangt die Aufbewahrung der Einwilligungsnachweise drei Jahre ab der letzten Nachricht. Artikel 18 der Durchführungsverordnung fügt eine Marketinglizenz und die Löschung bei Widerruf hinzu. Artikel 43 ahndet Verstöße mit 200.000 bis 2.000.000 EGP. Wir prüfen Listen, Abmeldeabwicklung und Agenturverträge, bevor eine Kampagne lizenziert wird.
Sanktionen, Haftung und Vergleich
Artikel 36 bestraft die rechtswidrige Erhebung, Verarbeitung, Offenlegung oder Übermittlung ohne Einwilligung oder gesetzliche Grundlage mit 100.000 bis 1.000.000 EGP und, wenn die Tat aus Gewinnsucht oder in Schädigungsabsicht gegenüber der betroffenen Person erfolgt, mit mindestens sechs Monaten Freiheitsstrafe und 200.000 bis 2.000.000 EGP oder einer dieser Strafen. Artikel 39 bestraft den gesetzlichen Vertreter, der keinen Beauftragten bestellt, und Artikel 40 den Beauftragten, der die Pflichten aus Artikel 9 vernachlässigt. Nach Artikel 47 wird auch die Person bestraft, die die Einrichtung tatsächlich leitet, wenn sie von dem Verstoß wusste, und die Einrichtung haftet gesamtschuldnerisch für den Schadensersatz.
Artikel 30 gibt dem Zentrum nach einer Verwarnung Verwaltungssanktionen: Aussetzung, Entzug oder Aufhebung einer Lizenz, Veröffentlichung der Verstöße und technische Aufsicht auf Kosten des Verletzers. Artikel 48 verdoppelt die Strafen bei Rückfall und ordnet die Veröffentlichung von Verurteilungen an. Artikel 49 erlaubt bei den meisten Straftaten einen Vergleich mit dem Zentrum oder dem Geschädigten in jeder Lage bis zum rechtskräftigen Urteil, gegen Zahlung der Hälfte der Mindestgeldstrafe vor Klageerhebung oder der Hälfte der Höchstgeldstrafe danach. Der Vergleich beendet das Strafverfahren, sodass frühzeitiger Kontakt zum Zentrum das Risiko senken kann.
Was wir in einer Akte zu Datenschutz und Privatsphäre in Ägypten prüfen
Bei der Prüfung einer ägyptischen Datenschutzakte klären wir zuerst, ob der Mandant Verantwortlicher, Auftragsverarbeiter oder beides ist und welche Lizenzen und Genehmigungen daraus folgen. Dann testen wir die Einwilligungstexte an den Artikeln 2, 3 und 6, prüfen das Sechs-Tage-Antragsverfahren, bestätigen die Bestellung des Datenschutzbeauftragten nach den Artikeln 8 und 9 und proben den Meldeweg von zweiundsiebzig Stunden nach Artikel 7. Wir erfassen jede Übermittlung ins Ausland anhand der Artikel 14 bis 16, prüfen Marketingabläufe anhand der Artikel 17 und 18 und bereiten die Lizenzakte für das Portal des Zentrums vor Fristablauf vor.
Weitere Informationen finden Sie hier: unser Leitfaden zu den Anreizen des Investitionsgesetzes 72/2017 und unser Ägypten-Gründungsleitfaden, sowie unsere Praxis für Handels- und Gesellschaftsrecht.
Häufig gestellte Fragen
Ist das ägyptische Datenschutzgesetz in Kraft?
Ja. Das Gesetz Nr. 151 von 2020 ist in Kraft, und seine Durchführungsverordnung wurde mit Beschluss Nr. 816 von 2025 erlassen. Artikel 6 des Erlassgesetzes gab den Stellen ein Jahr ab Erlass dieser Verordnung, um ihre Lage in Ordnung zu bringen; diese Frist endet um den Wechsel von Oktober zu November 2026.
Brauche ich eine Lizenz des Zentrums für den Schutz personenbezogener Daten?
In der Regel ja. Artikel 4 des Gesetzes verlangt vom Verantwortlichen eine Lizenz oder Genehmigung, und Artikel 45 ahndet Verstöße gegen die Lizenzvorschriften mit 500.000 bis 5.000.000 EGP. Für Marketing, Überwachung und grenzüberschreitende Übermittlungen gelten gesonderte Lizenzen oder Genehmigungen.
Brauche ich einen Datenschutzbeauftragten?
Ja, wenn Sie eine juristische Person sind. Artikel 8 verlangt, dass der gesetzliche Vertreter einen qualifizierten Mitarbeiter bestellt, ihn beim Zentrum registrieren lässt und die Bestellung bekannt macht, und Artikel 39 ahndet das Unterlassen mit 200.000 bis 2.000.000 EGP.
Wie schnell muss eine Verletzung gemeldet werden?
Binnen zweiundsiebzig Stunden nach Kenntnis nach Artikel 7, und unverzüglich, wenn die nationale Sicherheit betroffen ist. Die betroffene Person ist binnen drei Arbeitstagen nach der Meldung an das Zentrum zu informieren.
Darf ich Daten ägyptischer Kunden im Ausland speichern?
Nur mit Lizenz oder Genehmigung des Zentrums und Einwilligung der betroffenen Person, in ein Land, das das Zentrum für angemessen geschützt hält, nach Artikel 14 des Gesetzes und Artikel 16 der Durchführungsverordnung. Die nicht genehmigte Übermittlung ist nach Artikel 42 strafbar.
Wie lange habe ich Zeit, einen Auskunftsantrag zu beantworten?
Sechs Arbeitstage ab Einreichung nach den Artikeln 10 und 32, mit Begründung bei jeder Ablehnung. Über eine Beschwerde beim Zentrum wird nach Artikel 33 binnen dreißig Arbeitstagen entschieden.
Was sind die Höchststrafen?
Sie hängen vom Verstoß ab. Geldstrafen reichen bis 5.000.000 EGP, und für Straftaten mit sensiblen Daten und Übermittlungen nach den Artikeln 41 und 42 gilt Freiheitsstrafe; bei Wiederholung verdoppeln sich die Strafen nach Artikel 48, und das Gesetz Nr. 175 von 2018 fügt eigene Strafen für Verletzungen der Privatsphäre hinzu.
Beraten Sie zur Einhaltung des ägyptischen Datenschutzrechts?
Ja. Wir ordnen Ihre Rolle ein, bereiten Lizenz- und Genehmigungsakten vor, entwerfen Einwilligungs- und Datenschutzdokumente, richten Verfahren für Datenschutzverletzungen ein und vertreten Mandanten vor dem Zentrum. Bitte kontaktieren Sie uns über unsere Kontaktseite, um Ihre Situation zu besprechen.