Kuwait hat kein einheitliches Datenschutzgesetz, das für jedes Unternehmen gilt. Personenbezogene Daten werden durch ein mehrschichtiges Regelwerk geschützt: Das Gesetz Nr. 20 von 2014 über elektronische Transaktionen und seine Durchführungsverordnung (Beschluss Nr. 48 von 2014) bilden die allgemeine Grundlage, die von der Regulierungsbehörde für Kommunikation und Informationstechnologie (CITRA) mit Beschluss Nr. 26 von 2024 erlassene Datenschutzverordnung bindet lizenzierte Telekommunikations- und Internetanbieter, und das Cybercrime-Gesetz Nr. 63 von 2015 ergänzt den strafrechtlichen Schutz. Dieser Beitrag erklärt, wer die Regeln beachten muss, wie Einwilligung und Transparenz funktionieren, welche Rechte Betroffene haben, wie schnell eine Datenpanne zu melden ist, wann Daten Kuwait verlassen dürfen und welche Sanktionen drohen.
Ein mehrschichtiger Rahmen statt eines einzigen Gesetzes
Das Gesetz Nr. 20 von 2014 über elektronische Transaktionen gilt für personenbezogene Daten, die in elektronischen Aufzeichnungen und Verarbeitungssystemen von Behörden, Unternehmen, nichtstaatlichen Einrichtungen und deren Beschäftigten geführt werden. Die CITRA, geschaffen durch das Gesetz Nr. 37 von 2014 in der Fassung des Gesetzes Nr. 98 von 2015, erlässt verbindliche Vorschriften für ihre Lizenznehmer im Telekommunikations- und Internetsektor. Das Cybercrime-Gesetz Nr. 63 von 2015 bestraft den unbefugten Zugriff auf Daten und Informationssysteme sowie deren Veränderung, Offenlegung oder Zerstörung, mit höheren Strafen, wenn die Daten personenbezogen oder staatlich sind.
Sektorgesetze fügen eigene Pflichten hinzu. Das Gesetz Nr. 70 von 2020 über die Ausübung des Arztberufs verpflichtet Gesundheitsdienstleister, Patientenakten sicher zu führen und vor einer Offenlegung in der Regel eine schriftliche Einwilligung des Patienten einzuholen, und Artikel 80 des Arbeitsgesetzes für den Privatsektor Nr. 6 von 2010 verpflichtet Arbeitgeber, für jeden Arbeitnehmer eine Akte zu führen. Der Rahmen ist national und nicht der DSGVO nachgebildet, die Pflichten addieren sich daher. Ein Unternehmen kann die Einwilligungs- und Richtigkeitspflichten des Gesetzes über elektronische Transaktionen schulden und als CITRA-Lizenznehmer zusätzlich die strengeren CITRA-Pflichten. Zu klären, welches Instrument welche Tätigkeit regelt, ist der erste Schritt jeder Prüfung.
Wen die CITRA-Verordnung heute erfasst
Der CITRA-Beschluss Nr. 26 von 2024 vom 7. Februar 2024 setzte die geltende Datenschutzverordnung in Kraft und hob die frühere Verordnung aus Beschluss Nr. 42 von 2021 samt Änderungen auf. Nach Artikel 1 gilt die Verordnung für von der CITRA lizenzierte Diensteanbieter, die personenbezogene Daten erheben, verarbeiten oder speichern, gleichgültig, ob die Verarbeitung in Kuwait oder im Ausland stattfindet. Die Definition umfasst lizenzierte Telekommunikations- und Internetanbieter und schließt lizenzierte Anbieter von Informationen oder Inhalten ein, die über Telekommunikationsnetze bereitgestellt werden. Nicht erfasst sind Praktiken im Zusammenhang mit Sicherheitsermittlungen, gerichtlichen Entscheidungen oder finanziellen Ansprüchen aus dem Abonnementvertrag.
Allein die Bedienung kuwaitischer Nutzer unterstellt ein Unternehmen nicht der Verordnung, denn Artikel 1 knüpft an den Besitz einer CITRA-Lizenz an. Die CITRA hat zudem im Februar 2024 mit Beschluss Nr. 34 von 2024 ihre Richtlinie zur Datenklassifizierung aufgehoben, sodass die früheren gestuften Speicherregeln nicht mehr gelten. Unser Standardrat lautet, früh zu klären, ob der Mandant eine CITRA-Lizenz hält, denn die strengsten Pflichten treffen die Lizenznehmer.
Einwilligung und rechtmäßige Erhebung
Artikel 4 des Gesetzes über elektronische Transaktionen verlangt die Einwilligung der Person, bevor elektronisch gehandelt wird; die Einwilligung kann sich aus einem Verhalten ergeben, das die Zustimmung klar erkennen lässt. Artikel 32 ist spezifischer: Erhebt eine Stelle personenbezogene Daten aus elektronischen Aufzeichnungen, darunter Angaben zu beruflichen Angelegenheiten, sozialem Status, Gesundheit oder Finanzlage einer Person, muss sie die Einwilligung einholen und den Erhebungszweck nennen. Nach den Artikeln 32 und 35 muss auch jeder spätere Zugriff, jede Offenlegung, Weitergabe oder Verarbeitung auf einer Einwilligung beruhen, mit rechtmäßigen Mitteln erfolgen und im erklärten Zweck bleiben.
Für CITRA-Lizenznehmer verlangen die Artikel 2 und 3 der Datenschutzverordnung die Einwilligung des Antragstellers und seine informierte Annahme der Datenbedingungen, bevor der Dienst erbracht wird. Artikel 3 nennt die Fälle, in denen Erhebung und Verarbeitung zulässig sind, darunter Einwilligung, gesetzliche Verpflichtung und Schutz der betroffenen Person, und verlangt die schriftliche Einwilligung des Erziehungsberechtigten bei Personen unter achtzehn Jahren. In jedem Fall muss der Lizenznehmer die Einwilligung nachweisen können. Bei der Prüfung von Einwilligungsabläufen achten wir auf vorangekreuzte Felder, gebündelte Zwecke und fehlende Nachweise.
Transparenz und Datenschutzerklärung
Die Transparenzpflichten in Kuwait sind konkret. Artikel 2 der Datenschutzverordnung verpflichtet den Lizenznehmer, seine Bedingungen und Diensteinformationen, einschließlich der Möglichkeit, Änderung oder Löschung von Daten zu beantragen, vor Erbringung des Dienstes klar auf Arabisch und Englisch darzustellen. Artikel 4 ergänzt klare Angaben zu den Praktiken des Lizenznehmers, zu Zweck und Grundlage der Verarbeitung, zur Aufbewahrungsdauer, soweit eine gilt, zu Identität, Standort und Kontaktdaten des Anbieters und dazu, ob die Daten innerhalb oder außerhalb Kuwaits gespeichert werden.
Der Lizenznehmer muss außerdem eine schriftliche Datenschutzerklärung zu Erhebung, Nutzung und Offenlegung führen und den Nutzern zugänglich machen. Das Regulierungsrahmenwerk der CITRA für Cloud Computing fügt lizenzierten Cloud-Anbietern parallele Pflichten hinzu, etwa die erhobenen Informationen zu beschreiben, für den Anbieter tätige Drittanbieter zu nennen und die Nutzer unverzüglich zu unterrichten, wenn ihre Daten durch Fusion, Liquidation oder Auflösung an neue Eigentümer übergehen. Eine zweisprachige Erklärung, die dem tatsächlichen Betrieb entspricht, ist ein regulatorisches Dokument, und eine kopierte Vorlage für ein anderes Produkt ist ein Haftungsrisiko.
Die Rechte der betroffenen Personen
Artikel 33 des Gesetzes über elektronische Transaktionen gibt jeder Person, deren Daten bei einer erfassten Stelle gespeichert sind, das Recht, Zugang zu den Daten und einen Nachweis darüber zu verlangen. Artikel 36 gewährt das Recht, die Daten zu ändern oder zu löschen und bei veränderten Umständen zu aktualisieren. Nach den Artikeln 25 und 26 der Durchführungsverordnung dürfen diese Anträge nur die betroffene Person oder ihr gesetzlicher Vertreter stellen; wo eine Löschung wegen einer Berichtigung zulässig ist, müssen die zuvor gespeicherten Informationen ohne jede Nutzung oder Handhabung aufbewahrt werden.
Die Datenschutzverordnung fügt Rechte für Nutzer von Lizenznehmern hinzu. Artikel 4 verlangt Verfahren, um Daten einzusehen, zu berichtigen oder zu entfernen, den Zugriff oder die Verarbeitung einzuschränken, der Verarbeitung zu widersprechen und die Übertragung der Daten zu verlangen, dazu ein einfaches Mittel zum Widerruf der Einwilligung. Daten sind zu entfernen, wenn die Einwilligung widerrufen wird, wenn sie für den gewünschten Dienst nicht mehr benötigt werden oder wenn das Abonnement endet; die Verordnung erlaubt jedoch Aufbewahrung und Nutzung für Sicherheitszwecke, gerichtliche Entscheidungen und finanzielle Ansprüche aus dem Abonnement. Ein Antragsweg, der in der Praxis funktioniert, ist eine Compliance-Pflicht.
Sicherheitsmaßnahmen und Verarbeitungsverzeichnisse
Artikel 35 des Gesetzes über elektronische Transaktionen verpflichtet die Stellen, die Richtigkeit der von ihnen gehaltenen personenbezogenen Daten zu prüfen und zu aktualisieren und angemessene Schutzmaßnahmen zu ergreifen. Artikel 2 seiner Durchführungsverordnung ergänzt, dass elektronische Aufzeichnungen einschließlich personenbezogener Daten in ihrer Originalform und für die zwischen den Parteien vereinbarten Fristen aufzubewahren sind. Artikel 5 der Datenschutzverordnung ist für Lizenznehmer konkreter: Maßnahmen, die der Tätigkeit und der Sensibilität der Daten entsprechen, Verschlüsselung, Vorkehrungen für Vertraulichkeit und Verfügbarkeit der Systeme und regelmäßige Tests der technischen und organisatorischen Maßnahmen.
Nach Artikel 5 müssen Lizenznehmer außerdem Verzeichnisse ihrer Verarbeitungstätigkeiten führen und der CITRA auf Verlangen zur Verfügung stellen. Sie benennen den Lizenznehmer und seine Kontaktdaten, die Verarbeitungszwecke, die Kategorien der betroffenen Personen und der Daten, jede Übermittlung außerhalb Kuwaits mit dem Zielland und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Wir erstellen sie aus der Datenlandkarte und nicht aus einer Vorlage, damit jeder Zweck und jeder Empfänger nachvollziehbar bleibt.
Meldung von Datenpannen: 24 Stunden und 72 Stunden
Nach Artikel 6 der Datenschutzverordnung muss ein Lizenznehmer die CITRA über die offiziellen Kanäle binnen vierundzwanzig Stunden nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten benachrichtigen. Die Meldung soll Art der Verletzung und Ausmaß des Abflusses, die Kategorien betroffener Nutzer, die betroffenen Sicherheitsstufen, den Kontaktweg des Datenschutzbeauftragten, die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen beschreiben. Artikel 6 sieht auch die Benachrichtigung der betroffenen Personen ohne numerische Frist vor und nimmt sie aus, wenn auf die Daten bereits angemessene technische und organisatorische Schutzmaßnahmen angewandt wurden.
Artikel 4 enthält eine gesonderte Regel. Werden vom Lizenznehmer gespeicherte personenbezogene Daten unzulässig offengelegt und schadet die Offenlegung oder der Zugriff einer großen Zahl von Nutzern, muss er die CITRA, die Nutzer und die Strafverfolgungsbehörden schnellstmöglich und in keinem Fall später als zweiundsiebzig Stunden benachrichtigen. Die beiden Vorschriften sind verschieden, und die zweite sagt nicht, wann die zweiundsiebzig Stunden beginnen. Wir planen daher nach der kürzeren Frist: ein erprobter Weg zur CITRA binnen eines Tages nach Kenntnis, mit Dokumentation des Entdeckungszeitpunkts ab der ersten Stunde.
Übermittlung von Daten außerhalb Kuwaits
Kuwait kennt keine allgemeine Pflicht zur Datenlokalisierung. Die Aufhebung der Richtlinie zur Datenklassifizierung beseitigte die früheren stufenbezogenen Speicherbeschränkungen, und private Stellen, die nur dem Gesetz über elektronische Transaktionen unterliegen, brauchen für die Übermittlung personenbezogener Daten ins Ausland im Allgemeinen keine behördliche Genehmigung, es sei denn, es geht um staatliche oder behördliche Informationen. Ihr grenzüberschreitender Umgang bleibt an die Einwilligungs-, Zweckbindungs- und Sicherheitspflichten der Artikel 32 und 35 gebunden, und Artikel 37 stellt Offenlegung oder Nutzung über den erklärten Zweck hinaus überall unter Strafe.
Lizenznehmer unterliegen Transparenzpflichten. Nach Artikel 4 der Datenschutzverordnung muss ein Lizenznehmer den Nutzern mitteilen, ob Daten innerhalb oder außerhalb Kuwaits gespeichert werden, und die betroffene Person vor einer Übermittlung ihrer Daten ins Ausland unterrichten. Artikel 5 verlangt das Zielland in den Verarbeitungsverzeichnissen, und Artikel 4 verlangt eine Mitteilung an die CITRA, wenn Nutzerdaten an ein verbundenes Unternehmen, eine Muttergesellschaft oder einen Dritten weitergegeben werden; der Lizenznehmer bleibt verantwortlich. Die Praxis deutet darauf hin, dass Lizenznehmer bei internationalen Übermittlungen das Gespräch mit der CITRA suchen müssen, obwohl keine Vorschrift ein Genehmigungsverfahren regelt; wir legen Übermittlungspläne daher der Behörde vor, statt sie als frei anzunehmen.
Direktwerbung und Einwilligung
Die Verwendung personenbezogener Daten für Werbung beruht auf Einwilligung. Artikel 4 der Datenschutzverordnung verlangt die vorherige Einwilligung der betroffenen Person, bevor ein Lizenznehmer personenbezogene Daten an einen Dritten für Werbung weitergibt, die nicht unmittelbar mit dem vom Nutzer gewünschten Dienst zusammenhängt. Nach Artikel 12 der CITRA-Vorschriften müssen Lizenznehmer eine Datenbank der Nutzer führen, die keine Spam-Nachrichten erhalten wollen, und kommerzielle Nachrichten dürfen nur zwischen 7 und 22 Uhr kuwaitischer Zeit versandt werden.
Die Instrumente der CITRA zum Schutz der Nutzerrechte fügen Verhaltensregeln hinzu. Nach Artikel 14 darf die Werbung eines Lizenznehmers Schwächen, Behinderungen, das Alter oder fehlende Kenntnisse von Verbrauchern nicht ausnutzen und keine Täuschung oder Irreführung einsetzen. Für Unternehmen außerhalb des Lizenzkreises bleiben Werbelisten personenbezogene Daten nach dem Gesetz über elektronische Transaktionen; sie ohne Einwilligung zu erheben oder für einen anderen als den erklärten Zweck zu nutzen, fällt unter Artikel 37.
Strafrechtliche Risiken bei unzulässigem Umgang
Artikel 37 des Gesetzes über elektronische Transaktionen enthält zwei Straftatbestände. Der erste ist der unbefugte Zugriff auf personenbezogene Daten, die in elektronischen Aufzeichnungen oder Verarbeitungssystemen erfasst sind und berufliche Angelegenheiten, sozialen Status, Gesundheit oder Finanzlage einer Person betreffen, sowie deren Offenlegung oder Veröffentlichung ohne Einwilligung der betroffenen Person oder ihres gesetzlichen Vertreters. Der zweite ist die Erhebung, Erfassung oder Verarbeitung solcher Daten mit unrechtmäßigen Mitteln oder ohne Einwilligung oder ihre Nutzung zu einem anderen als dem Erhebungszweck. Beide werden mit Freiheitsstrafe bis zu drei Jahren und Geldstrafe von 5.000 bis 20.000 KWD oder einer dieser Strafen bestraft; die verwendeten Mittel können eingezogen werden.
Das Cybercrime-Gesetz Nr. 63 von 2015 fügt Delikte auf Systemebene hinzu. Nach Artikel 2 wird der unbefugte Zugriff auf einen Computer, ein Datenverarbeitungssystem oder ein Informationsnetz mit Freiheitsstrafe bis zu sechs Monaten und Geldstrafe von 500 bis 2.000 KWD oder einer dieser Strafen bestraft. Führt der Zugriff zur Löschung, Veränderung, Beschädigung oder Offenlegung von Daten, steigt die Strafe auf bis zu zwei Jahre und 2.000 bis 5.000 KWD oder eine dieser Strafen, und bei personenbezogenen Daten auf bis zu drei Jahre und 3.000 bis 10.000 KWD oder eine dieser Strafen. Artikel 3 stellt den unbefugten Zugriff auf eingestufte Regierungsdaten mit Freiheitsstrafe bis zu drei Jahren und einer Geldstrafe von 3.000 bis 10.000 KWD oder einer dieser Strafen unter Strafe, bei Löschung, Zerstörung, Veröffentlichung oder Veränderung der Daten steigend auf bis zu zehn Jahre und 5.000 bis 20.000 KWD oder eine dieser Strafen. Dasselbe gilt für Daten über Bankkundenkonten.
Durchsetzung und Compliance-Prioritäten
Die CITRA setzt die Sektorregeln auf Grundlage des Gesetzes Nr. 37 von 2014 durch. Nach Artikel 49 kann sie einer Beschwerde gegen einen Lizenznehmer nachgehen und die Beseitigung des Verstoßes binnen neunzig Tagen verlangen. Auf dem Verwaltungsweg nach Artikel 64 kann ein nachgewiesener Verstoß gegen das Gesetz oder CITRA-Beschlüsse zu Verwarnung, Aussetzung oder Entzug der Lizenz und zu einer Geldbuße von bis zu 1.000.000 KWD je Verstoß führen, die bei Wiederholung verdoppelt wird. Die Verordnung selbst setzt keine Bußgelder fest und verweist nach Artikel 7 auf das Gesetz Nr. 37 von 2014. Artikel 7 räumte den Anbietern ab der Veröffentlichung im Februar 2024 ein Jahr zur Anpassung ein; diese Frist ist abgelaufen.
Öffentliche Angaben zu Bußgeldern sind begrenzt, weil Regulierer Falldaten in der Regel nicht veröffentlichen; der vernünftige Ansatz ist daher vorbeugend: ein dokumentierter Einwilligungs- und Zwecknachweis, eine zweisprachige Datenschutzerklärung, die den tatsächlichen Systemen entspricht, ein geprobter Meldeweg zur CITRA binnen vierundzwanzig Stunden, transparente Übermittlungen und aktuelle Verarbeitungsverzeichnisse. Stellen ohne Lizenz bleiben an das Gesetz über elektronische Transaktionen und die Strafvorschriften gebunden, und eine interne Prüfung vor einer Beschwerde kostet weit weniger als eine danach.
Was wir in einer Akte zu Datenschutz und Privatsphäre in Kuwait prüfen
Bei der Prüfung einer Datenschutzakte in Kuwait ordnen wir die Stelle zunächst ein: CITRA-Lizenznehmer nach Beschluss Nr. 26 von 2024 oder allein an das Gesetz über elektronische Transaktionen gebunden. Wir prüfen Einwilligungsformulierungen an den Artikeln 32 und 35, vergleichen die Datenschutzerklärung mit den Sprachpflichten des Artikels 2, kontrollieren die nach Artikel 5 verlangten Verarbeitungsverzeichnisse und proben den Vierundzwanzig-Stunden-Weg nach Artikel 6. Außerdem erfassen wir Übermittlungen ins Ausland, prüfen Werbeabläufe auf Widerspruchs- und Zeitregeln und bewerten das strafrechtliche Risiko nach Artikel 37 und dem Cybercrime-Gesetz.
Weitere Informationen finden Sie hier: unser Leitfaden zu Telekommunikation und IT in Kuwait und unser Kuwait-Compliance-Leitfaden, sowie unsere Praxis für Handels- und Gesellschaftsrecht.
Häufig gestellte Fragen
Gibt es in Kuwait ein einheitliches Datenschutzgesetz?
Nein. Personenbezogene Daten unterliegen dem Gesetz Nr. 20 von 2014 über elektronische Transaktionen als Grundlage, der CITRA-Datenschutzverordnung (Beschluss Nr. 26 von 2024) für lizenzierte Telekommunikations- und Internetanbieter und dem Cybercrime-Gesetz Nr. 63 von 2015, daneben Sektorgesetzen wie dem Gesetz Nr. 70 von 2020 über die Ausübung des Arztberufs.
Wer muss die CITRA-Datenschutzverordnung einhalten?
Nach Artikel 1 der mit Beschluss Nr. 26 von 2024 erlassenen Verordnung gilt sie für von der CITRA lizenzierte Diensteanbieter, die personenbezogene Daten erheben, verarbeiten oder speichern, darunter lizenzierte Telekommunikations- und Internetanbieter, gleichgültig, wo die Verarbeitung stattfindet.
Ist für die Erhebung personenbezogener Daten in Kuwait immer eine Einwilligung nötig?
Für Daten in elektronischen Aufzeichnungen verlangt Artikel 32 des Gesetzes über elektronische Transaktionen Einwilligung und Zweckangabe, und Artikel 4 lässt die Einwilligung aus klarem Verhalten folgen. CITRA-Lizenznehmer müssen die Einwilligung nach Artikel 3 der Verordnung in jedem Fall nachweisen können.
Wie schnell ist eine Datenpanne zu melden?
Ein CITRA-Lizenznehmer muss die CITRA nach Artikel 6 der Verordnung binnen vierundzwanzig Stunden nach Kenntnis der Verletzung benachrichtigen. Nach Artikel 4 ist eine Offenlegung, die einer großen Zahl von Nutzern schadet, der CITRA, den Nutzern und den Strafverfolgungsbehörden spätestens binnen zweiundsiebzig Stunden mitzuteilen.
Dürfen personenbezogene Daten aus Kuwait übermittelt werden?
Ja, eine allgemeine Lokalisierungspflicht gibt es nicht. Ein Lizenznehmer muss den Nutzern den Speicherort mitteilen, die betroffene Person vor einer Übermittlung ins Ausland unterrichten und das Zielland erfassen, und jede Stelle bleibt an die Einwilligungs- und Zweckgrenzen der Artikel 32 und 35 des Gesetzes über elektronische Transaktionen gebunden.
Ist Werbung durch Nachrichten geregelt?
Ja. Ein Lizenznehmer braucht nach Artikel 4 der Verordnung die vorherige Einwilligung der betroffenen Person, bevor er Daten für fremde Werbung an Dritte gibt, muss eine Datenbank der Widersprechenden führen und darf kommerzielle Nachrichten nur zwischen 7 und 22 Uhr kuwaitischer Zeit versenden.
Welche Strafen drohen bei unrechtmäßiger Verarbeitung personenbezogener Daten?
Artikel 37 des Gesetzes über elektronische Transaktionen sieht Freiheitsstrafe bis zu drei Jahren und Geldstrafe von 5.000 bis 20.000 KWD oder eine dieser Strafen vor, und das Cybercrime-Gesetz reicht bei erschwerten Taten gegen Regierungssysteme und Bankdaten bis zu zehn Jahren. Die CITRA kann einen Lizenznehmer nach Artikel 64 des Gesetzes Nr. 37 von 2014 zudem mit bis zu 1.000.000 KWD je Verstoß belegen.
Beraten Sie zur Datenschutz-Compliance in Kuwait?
Ja. Wir bestimmen die anwendbare Ordnung, entwerfen Einwilligungs- und Datenschutzdokumente, richten Verfahren für Datenpannen und Verarbeitungsverzeichnisse ein und führen die Kommunikation mit der CITRA. Bitte kontaktieren Sie uns über unsere Kontaktseite, um Ihre Situation zu besprechen.