Der Datenschutz im Nahen Osten und in Nordafrika ist kein Flickenteppich aus Entwürfen mehr. Ägypten, Saudi-Arabien, die Vereinigten Arabischen Emirate, Katar und Bahrain haben jeweils ein geltendes Datenschutzgesetz, und Kuwait reguliert über einen Beschluss der Regulierungsbehörde CITRA, ein Gesetz über elektronische Transaktionen und ein Cyberkriminalitätsgesetz. Die Regeln unterscheiden sich bei Anwendungsbereich, Einwilligung, Meldefristen, Übermittlungen und Sanktionen, sodass ein in der Region tätiges Unternehmen die Richtlinie eines Landes nicht einfach in ein anderes übertragen kann. Von unseren Büros in Kuwait und Kairo aus vergleicht Hind Bin Al Sheikh & Partners die sechs Regime nach Gesetz und Artikelnummer, damit Compliance-Teams sehen, wo ein Programm mehrere Länder abdeckt und wo lokale Arbeit unvermeidlich bleibt.
Sechs Rechtsordnungen, sechs Modelle
Saudi-Arabien, die VAE, Katar, Bahrain und Ägypten stützen sich jeweils auf ein eigenes Gesetz: das mit Königlichem Dekret Nr. M/19 erlassene und durch das Königliche Dekret Nr. M/148 geänderte Gesetz zum Schutz personenbezogener Daten in Saudi-Arabien, das Bundesgesetzesdekret Nr. 45 von 2021 in den VAE, das Gesetz Nr. 13 von 2016 in Katar, das Gesetz Nr. 30 von 2018 in Bahrain und das Gesetz Nr. 151 von 2020 in Ägypten. Jedes Gesetz hat eine eigene Aufsichtsstelle, und die Einzelheiten stehen in Durchführungsverordnungen oder Beschlüssen.
Kuwait bildet die Ausnahme. Es gibt kein allgemeines Datenschutzgesetz. Der Beschluss Nr. 26 von 2024 der Regulierungsbehörde für Kommunikation und Informationstechnologie (CITRA) regelt lizenzierte Telekommunikations- und Internetanbieter, das Gesetz Nr. 20 von 2014 über elektronische Transaktionen erfasst personenbezogene Daten in elektronischen Aufzeichnungen, und das Gesetz Nr. 63 von 2015 über Cyberkriminalität begründet strafrechtliche Verantwortung. Ein Mandant beginnt daher mit der Frage, welches Regime für welche Einheit und Tätigkeit gilt.
Anwendungsbereich: Wer in welchem Land erfasst ist
Saudi-Arabien wendet sein Gesetz nach Artikel 2 auf die Verarbeitung personenbezogener Daten von Personen im Königreich an, auch von außerhalb des Königreichs, und nimmt die persönliche und familiäre Nutzung aus, solange sie nicht veröffentlicht oder offengelegt wird. Das VAE-Gesetz gilt nach Artikel 2 für Verantwortliche und Auftragsverarbeiter in den VAE sowie für solche außerhalb, die Daten von Betroffenen in den VAE verarbeiten, und nimmt Regierungsdaten, Sicherheits- und Justizbehörden, Gesundheits- und Bankdaten mit eigener Gesetzgebung sowie Unternehmen in Freizonen mit eigenem Datenrecht wie DIFC und ADGM aus. Artikel 2 des katarischen Gesetzes erfasst personenbezogene Daten bei elektronischer Verarbeitung.
Ägypten schützt nur natürliche Personen, mit strafrechtlicher Reichweite auf bestimmte Taten im Ausland, und nimmt persönliche Nutzung, amtliche Statistik, Journalismus, Gerichtsakten, nationale Sicherheitsbehörden sowie von der Zentralbank beaufsichtigte Einrichtungen aus, mit Ausnahme von Geldtransfer- und Wechselstuben. Kuwaits CITRA-Verordnung gilt nach Artikel 1 für CITRA-lizenzierte Diensteanbieter, im Inland wie im Ausland, während andere Einrichtungen auf das Gesetz Nr. 20 von 2014 angewiesen sind. Artikel 2 des bahrainischen Gesetzes gilt für automatisierte Verarbeitung und für strukturierte manuelle Dateien.
Stand der Regime im Jahr 2026
Die Durchführungsverordnung Ägyptens wurde mit MCIT-Beschluss Nr. 816 von 2025 erlassen (Sekundärquellen datieren ihn auf den 1. November 2025), und die einjährige Frist zur Regularisierung endet je nach Zählweise um den 31. Oktober oder 1. November 2026, sodass Ägypten die nächste Frist hat. Das saudische Gesetz trat am 14. September 2023 mit einer einjährigen Korrekturphase in Kraft, die inzwischen abgelaufen ist. Katar und Bahrain sind seit Jahren durchsetzbar, Bahrain seit dem 1. August 2019.
Die VAE sind anders gelagert. Artikel 28 des Bundesgesetzesdekrets Nr. 45 von 2021 wies den Ministerrat an, die Durchführungsverordnung binnen sechs Monaten zu erlassen, und Artikel 29 gibt Verantwortlichen sechs Monate ab deren Erlass zur Anpassung. Sekundärquellen berichten jedoch, dass die Verordnung weiterhin nicht veröffentlicht ist und nach Artikel 26 keine Liste von Verwaltungssanktionen erlassen wurde. Wir behandeln das Gesetz als in Kraft und weisen darauf hin, dass seine operativen Einzelheiten offen sind. Die einjährige Schonfrist des Artikels 7 des CITRA-Beschlusses, gerechnet ab der Veröffentlichung im Februar 2024, ist abgelaufen.
Einwilligung und Rechtsgrundlagen
Die Einwilligung ist fast überall die Grundregel. Artikel 5 des saudischen Gesetzes in geänderter Fassung verlangt eine ausdrückliche Einwilligung, sofern kein Grund nach Artikel 6 greift, und Artikel 6 fügt in geänderter Fassung das berechtigte Interesse hinzu. Artikel 4 des VAE-Gesetzes verbietet die Verarbeitung ohne Einwilligung vorbehaltlich bestimmter Ausnahmen, und Artikel 6 verlangt, dass der Verantwortliche die Einwilligung nachweisen kann und der Widerruf einfach ist. Artikel 4 des katarischen Gesetzes erlaubt die Verarbeitung nur mit Einwilligung, es sei denn, sie ist für einen legitimen Zweck erforderlich, und Artikel 5 gibt das Widerrufsrecht. Artikel 4 des bahrainischen Gesetzes verbietet die Verarbeitung ohne Einwilligung außer für Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen oder berechtigte Interessen.
Ägypten verlangt nach Artikel 2 des Gesetzes 151 eine ausdrückliche Einwilligung, mit Rechtsgrundlagen in Artikel 6. Kuwaits CITRA-Verordnung verlangt für Lizenznehmer nach den Artikeln 2 und 3 Einwilligung und deren Nachweis, und das Gesetz Nr. 20 von 2014 verlangt nach den Artikeln 32 und 35 Einwilligung und Zweckangabe für personenbezogene Daten in elektronischen Aufzeichnungen. In der Praxis genügt ein einheitlicher Einwilligungsablauf, der ausdrücklich, zweckbezogen, nachweisbar und leicht widerruflich ist, für die meisten dieser Prüfungen.
Rechte der Betroffenen
Die Rechte sind in den VAE, in Saudi-Arabien und in Ägypten am weitesten. Die Artikel 13 bis 18 des VAE-Gesetzes geben Auskunft, Datenübertragbarkeit, Berichtigung und Löschung, Einschränkung, Widerspruch gegen Direktwerbung und Widerspruch gegen automatisierte Entscheidungen. Artikel 4 des saudischen Gesetzes gibt die Rechte auf Information, Zugang, Kopie, Berichtigung und Vernichtung. Artikel 2 des ägyptischen Gesetzes gibt Kenntnis, Zugang, Widerruf, Berichtigung, Löschung, Einschränkung und Widerspruch, und die Artikel 10 und 32 setzen eine Antwortfrist von sechs Arbeitstagen.
Die Artikel 5 und 6 des katarischen Gesetzes geben Widerruf, Widerspruch, Löschung, Berichtigung, Zugang und eine Kopie gegen höchstens die Servicegebühr. Die Artikel 17 bis 23 des bahrainischen Gesetzes betreffen Information, Zugang, Widerspruch gegen Direktwerbung, Widerspruch gegen schädigende Verarbeitung und automatisierte Entscheidungen sowie Berichtigung, Sperrung und Löschung. Kuwaits CITRA-Verordnung ergänzt für Lizenznehmer nach Artikel 4 Zugang, Berichtigung, Entfernung, Einschränkung, Widerspruch und Übertragbarkeit.
Pflichten der Verantwortlichen, Verzeichnisse und Beauftragte
Bei Verzeichnissen und Beauftragten gehen die Regime am weitesten auseinander. Artikel 8 des ägyptischen Gesetzes verlangt von einer juristischen Person die Bestellung eines registrierten Datenschutzbeauftragten. Artikel 10 des VAE-Gesetzes verlangt einen Datenschutzbeauftragten bei risikoreicher, systematischer oder umfangreicher Verarbeitung sensibler Daten. Artikel 10 des bahrainischen Gesetzes schafft den von der Behörde akkreditierten Datenschutz-Guardian. Artikel 31 des saudischen Gesetzes verlangt Verzeichnisse der Verarbeitungstätigkeiten, die die zuständige Behörde anfordern kann. Kuwaits CITRA-Verordnung verlangt Verarbeitungsverzeichnisse in Artikel 5.
Die Artikel 8 und 11 des katarischen Gesetzes verlangen vom Verantwortlichen den Schutz der Daten, die Prüfung der Datenschutzmaßnahmen vor neuen Verarbeitungen, die Bestimmung und Schulung der Auftragsverarbeiter und ein internes Datenverwaltungssystem. Sicherheitspflichten finden sich überall: Artikel 13 in Katar, Artikel 20 in den VAE, Artikel 19 in Saudi-Arabien, Artikel 8 in Bahrain, Artikel 4 in Ägypten und Artikel 5 der CITRA-Verordnung in Kuwait. Ein einheitlicher Sicherheitsstandard, der diesen Artikeln zugeordnet ist, vermeidet doppelte Arbeit.
Lizenzen, Registrierung und Anmeldung
Ägypten ist das lizenzintensivste Regime. Artikel 26 des Gesetzes 151 erlaubt dem Zentrum für den Schutz personenbezogener Daten, Lizenzen und Genehmigungen für Verantwortliche und Auftragsverarbeiter zu erteilen, und Artikel 4 verlangt vom Verantwortlichen, eine zu besitzen, sodass das Antragsportal vor der Frist im November 2026 wichtig wird. Bahrain verlangt nach Artikel 14 die vorherige Anmeldung automatisierter Verarbeitung bei der Behörde und nach Artikel 15 die vorherige Genehmigung bestimmter Vorgänge.
Katar verlangt nach Artikel 16 die Genehmigung der zuständigen Abteilung für die Verarbeitung personenbezogener Daten besonderer Art. Artikel 33 des saudischen Gesetzes gibt der Behörde Befugnisse bei Akkreditierung und Tätigkeitsanforderungen, und die Änderung hat die frühere Registrierungspflicht des Artikels 32 aufgehoben. In den VAE kennt das Gesetz keinen allgemeinen Lizenzschritt. Kuwait knüpft Pflichten an den Besitz einer CITRA-Lizenz, sodass die erste Frage bei einem kuwaitischen Mandanten lautet, ob er Lizenznehmer ist.
Fristen für die Meldung von Datenschutzverletzungen
Die Fristen unterscheiden sich und sind eine häufige Falle. Artikel 6 in Kuwait verpflichtet einen Lizenznehmer, die CITRA binnen 24 Stunden nach Kenntnis zu benachrichtigen, und Artikel 4 nennt gesondert 72 Stunden für schädigende Offenlegungen großen Umfangs. Artikel 7 in Ägypten verlangt die Meldung an das Zentrum binnen 72 Stunden und an die betroffene Person binnen drei Arbeitstagen. Artikel 20 des saudischen Gesetzes in geänderter Fassung verlangt die Benachrichtigung der zuständigen Behörde, und Artikel 24 der Durchführungsverordnung nennt 72 Stunden, wo die Voraussetzungen vorliegen.
Artikel 9 des VAE-Gesetzes verlangt die Meldung an das Datenbüro mit Beschreibung der Verletzung, Angaben zum Beauftragten, wahrscheinlichen Folgen und Abhilfemaßnahmen innerhalb der Frist, die die noch nicht erlassene Durchführungsverordnung festlegt. Artikel 14 in Katar verlangt die Benachrichtigung der Person und der zuständigen Abteilung, wenn eine Verletzung schweren Schaden verursachen kann, ohne Stundenangabe. Sekundärquellen berichten von einer 72-Stunden-Frist in Bahrain, die wir als nicht an einen von uns gelesenen Artikel gebunden kennzeichnen. Die vernünftige Gruppenregel ist ein interner Eskalationsweg von 24 Stunden, der die strengste Frist erfüllen kann.
Grenzüberschreitende Übermittlungen
Übermittlungen erfordern die meiste örtliche Analyse. Artikel 29 des saudischen Gesetzes in geänderter Fassung erlaubt Übermittlungen nur für bestimmte Zwecke und unter Bedingungen, die die nationale Sicherheit und lebenswichtige Interessen schützen, nach der Verordnung über die Übermittlung personenbezogener Daten aus dem Königreich. Artikel 22 des VAE-Gesetzes erlaubt Übermittlungen in Länder mit angemessenem, vom Datenbüro anerkanntem Schutz, und Artikel 23 erlaubt Übermittlungen auf Grundlage von Verträgen und anderen Garantien, wenn der Schutz nicht angemessen ist. Artikel 12 des bahrainischen Gesetzes verbietet Übermittlungen außer in Länder auf der Liste der Behörde oder mit deren Einzelfallgenehmigung, und Artikel 13 nennt Ausnahmen.
Artikel 14 des ägyptischen Gesetzes verlangt angemessenen Schutz und eine Lizenz des Zentrums, und die Durchführungsverordnung fügt Einwilligung und benannte Länder hinzu. Artikel 15 des katarischen Gesetzes geht in die andere Richtung: Ein Verantwortlicher darf den grenzüberschreitenden Datenfluss nicht beschränken, es sei denn, die Verarbeitung verstößt gegen das Gesetz oder kann schweren Schaden verursachen. Kuwait kennt keine allgemeine Lokalisierungsregel, und private Einrichtungen nach dem Gesetz Nr. 20 von 2014 brauchen für Übermittlungen ins Ausland in der Regel keine Genehmigung, außer es handelt sich um staatliche oder behördliche Informationen. Eine Übermittlungskarte nach Ländern ist das erste Ergebnis, das wir erstellen.
Sensible Daten, Kinder und Direktwerbung
Sensible Daten unterliegen zusätzlichen Bedingungen. Artikel 12 in Ägypten verlangt eine Lizenz des Zentrums und schriftliche Einwilligung. Artikel 16 in Katar definiert Daten besonderer Art, darunter Kinder und Gesundheit, und verlangt die Genehmigung der zuständigen Abteilung, während Artikel 17 die Einwilligung der Eltern für kinderbezogene Websites verlangt. Artikel 5 in Bahrain stellt besondere Bedingungen für sensible Daten auf. Artikel 4 der VAE behandelt sensible Daten nach eigenen Ausnahmen, und Artikel 35 des saudischen Gesetzes stellt die Offenlegung sensibler Daten in Schädigungsabsicht oder zum persönlichen Vorteil unter Strafe.
Auch die Werberegeln unterscheiden sich. Artikel 22 in Katar verlangt vorherige Einwilligung, die Identität des Absenders, einen Werbehinweis und eine einfache Abmeldeadresse. Artikel 25 des saudischen Gesetzes beschränkt die Nutzung persönlicher Kontaktwege für Werbung, und Artikel 26 erlaubt die Nutzung für Marketing nur bei direkt mit Einwilligung erhobenen Daten. Artikel 17 des VAE-Gesetzes gibt ein Widerspruchsrecht gegen Direktwerbung, die Artikel 19 und 20 in Bahrain betreffen den Widerspruch gegen Direktwerbung, Artikel 17 in Ägypten verlangt vorherige Einwilligung, und Artikel 4 der CITRA-Verordnung verlangt vorherige Einwilligung für Marketing durch Dritte.
Sanktionen und Durchsetzung
Artikel 35 des saudischen Gesetzes in geänderter Fassung bestraft die Offenlegung sensibler Daten in Schädigungsabsicht oder zum persönlichen Vorteil mit Freiheitsstrafe bis zu zwei Jahren und Geldstrafe bis zu 3.000.000 SAR oder einer dieser Strafen, und Artikel 36 erlaubt eine Verwarnung oder eine Geldstrafe bis zu 5.000.000 SAR für andere Verstöße, die bei Wiederholung verdoppelt werden kann. Artikel 23 in Katar sieht Strafen bis zu 1.000.000 QAR für Verstöße gegen bestimmte Artikel vor, Artikel 24 bis zu 5.000.000 QAR für Verstöße gegen die Artikel 13, 16(3) und 17, und Artikel 25 erfasst juristische Personen. Die Geldstrafen in Ägypten reichen von 100.000 bis 5.000.000 EGP, mit Freiheitsstrafe bei Straftaten zu sensiblen Daten und Übermittlungen nach den Artikeln 41 und 42.
In Kuwait sieht Artikel 37 des Gesetzes Nr. 20 von 2014 Freiheitsstrafe bis zu drei Jahren und eine Geldstrafe von 5.000 bis 20.000 KWD oder eine dieser Strafen vor, und Artikel 64 des Gesetzes Nr. 37 von 2014 wird so gelesen, dass er für Lizenznehmer Geldstrafen bis zu 1.000.000 KWD je Verstoß erlaubt. In den VAE gibt es nach Artikel 26 noch keine veröffentlichte Sanktionsliste, und die Straftaten in Bahrain betreffen sensible Daten, rechtswidrige Übermittlungen und unterlassene Meldungen, mit einer von Sekundärquellen berichteten Geldstrafe bis zu 20.000 BHD oder Freiheitsstrafe bis zu einem Jahr.
Was wir in einer MENA-Datenschutzakte prüfen
Bei der Prüfung einer länderübergreifenden Datenschutzakte ordnen wir zuerst jede Einheit und Tätigkeit ihrem Regime zu, und für Kuwait prüfen wir, ob der Mandant eine CITRA-Lizenz hält. Danach gleichen wir Einwilligungstexte, Betroffenenverfahren und Verzeichnisse am strengsten anwendbaren Artikel an, bauen einen einheitlichen Eskalationsweg, der die Fristen von 24 und 72 Stunden erfüllen kann, erfassen Übermittlungen Land für Land und bereiten die ägyptische Lizenzakte vor der Frist im November 2026 vor.
Weitere Informationen finden Sie hier: unser Kuwait-Datenschutzleitfaden und unser Ägypten-Datenschutzleitfaden, sowie unsere Praxis für Handels- und Gesellschaftsrecht.
Häufig gestellte Fragen
Gibt es ein einheitliches Datenschutzgesetz für die gesamte MENA-Region?
Nein. Jedes Land hat sein eigenes Regime: das Gesetz Nr. 151 von 2020 in Ägypten, das Gesetz zum Schutz personenbezogener Daten in Saudi-Arabien, das Bundesgesetzesdekret Nr. 45 von 2021 in den VAE, das Gesetz Nr. 13 von 2016 in Katar und das Gesetz Nr. 30 von 2018 in Bahrain, während Kuwait auf dem CITRA-Beschluss Nr. 26 von 2024 für CITRA-Lizenznehmer, dem Gesetz Nr. 20 von 2014 und dem Gesetz Nr. 63 von 2015 beruht.
Hat Kuwait ein Datenschutzgesetz?
Kein allgemeines. Der CITRA-Beschluss Nr. 26 von 2024 gilt nach Artikel 1 für CITRA-Lizenznehmer, und andere Einrichtungen fallen unter das Gesetz Nr. 20 von 2014 über elektronische Transaktionen und das Cyberkriminalitätsgesetz.
Welches Land hat die nächste Compliance-Frist?
Ägypten. Die einjährige Frist nach dem Durchführungsbeschluss Nr. 816 von 2025 endet um den 31. Oktober oder 1. November 2026.
Ist die VAE-Durchführungsverordnung erlassen?
Sekundärquellen berichten, dass sie nicht veröffentlicht ist, obwohl Artikel 28 des Bundesgesetzesdekrets Nr. 45 von 2021 sie binnen sechs Monaten vorsah. Wir behandeln das Gesetz als in Kraft und beobachten die Verordnung.
Wie schnell muss eine Verletzung gemeldet werden?
Das hängt vom Land ab. Artikel 6 in Kuwait setzt 24 Stunden für CITRA-Lizenznehmer, Artikel 7 in Ägypten setzt 72 Stunden, Artikel 24 der saudischen Durchführungsverordnung setzt 72 Stunden, wo er anwendbar ist, und Artikel 14 in Katar nennt keine Stundenzahl. Ein interner 24-Stunden-Weg erfüllt die strengste Regel.
Dürfen personenbezogene Daten diese Länder verlassen?
Oft ja, unter Bedingungen. Artikel 29 in Saudi-Arabien, die Artikel 22 und 23 in den VAE, die Artikel 12 und 13 in Bahrain und Artikel 14 in Ägypten setzen Übermittlungsbedingungen, während Artikel 15 in Katar Beschränkungen des Datenflusses begrenzt und Kuwait keine allgemeine Lokalisierungsregel kennt.
Was sind die höchsten Strafen?
Artikel 36 in Saudi-Arabien erlaubt Geldstrafen bis zu 5.000.000 SAR, die bei Wiederholung verdoppelt werden können, Artikel 24 in Katar bis zu 5.000.000 QAR, und Ägypten kennt Geldstrafen bis zu 5.000.000 EGP, jeweils mit Freiheitsstrafe bei einigen Straftaten.
Beraten Sie zur grenzüberschreitenden Datenschutz-Compliance?
Ja. Wir ordnen jede Einheit ein, bestimmen das anwendbare Regime, entwerfen Einwilligungs- und Datenschutzdokumente, bereiten Lizenzakten in Ägypten vor und übernehmen den Kontakt zu Behörden. Bitte kontaktieren Sie uns über unsere Kontaktseite, um Ihre Situation zu besprechen.