Ein Technologieprojekt in Kuwait kann sich in drei Rechtspositionen zugleich befinden: Es kann lizenzierte Telekommunikationsinfrastruktur betreiben, lizenzierte Netze als Kunde nutzen und Software betreiben, die keine sektorale Lizenz berührt. Diese Unterscheidung ist die erste Aufgabe, denn die Communication and Information Technology Regulatory Authority, CITRA, reguliert den Sektor nach Gesetz Nr. 37 von 2014. Dieser Beitrag ordnet die Lizenz-, Frequenz-, Gerätezulassungs-, Datenschutz-, E-Transaktions- und Cybercrime-Regeln, die bestimmen, was ein kuwaitischer Technologiedienst rechtlich versprechen darf, und beschreibt, wie unsere Kanzlei sie vor Einführung, Vertrag oder Änderung prüft.
Erst die Dienstleistung kartieren, dann Lizenzfragen stellen
Listen Sie, was der Kunde in Kuwait tatsächlich erhält: Konnektivität, Hosting, Cloud-Kapazität, eine Plattform, Inhalte, Zahlungsunterstützung oder reine Software. Halten Sie dann fest, wer jeden Teil betreibt, denn die rechtliche Antwort unterscheidet sich für Netzbetreiber, Internetdienstanbieter, Cloud-Anbieter und Anwendungsanbieter. Eine TMT-Bezeichnung auf einer Präsentation legt nicht fest, welche Regeln gelten; unsere ständige Empfehlung ist, jede Funktion anhand der gesetzlichen Definitionen in Artikel 1 des Gesetzes Nr. 37/2014 einzuordnen, bevor eine Regulierungsfrage beantwortet wird.
Zeichnen Sie den Kundenweg von der Registrierung bis zur Kündigung nach und vergleichen Sie das Unternehmen, das auf der Website, im Vertrag und auf der Rechnung genannt wird. Notieren Sie ausländische Infrastruktur, Fernadministration und Konzerngesellschaften, die kritische Funktionen erfüllen, ohne im Vertrag zu erscheinen. Wechselt ein Lieferant, muss schriftlich feststehen, welche Einheit dem Kunden gegenüber verantwortlich bleibt, denn Aufsicht und Gerichte suchen den eingetragenen Betreiber, nicht die Marke.
Das CITRA-Lizenzsystem nach Gesetz Nr. 37/2014
Artikel 16 erlaubt die Errichtung, den Betrieb, die Verwaltung oder das öffentliche Angebot öffentlicher Telekommunikationsnetze, Internetdienste sowie internationaler oder terrestrischer Telekommunikation, und selbst deren Bewerbung, nur mit einer CITRA-Lizenz. Artikel 21 teilt das Feld: Dienste, die auf knappe staatliche Ressourcen wie Frequenzen und landesweite Glasfaser angewiesen sind, werden im Wege öffentlicher Ausschreibungen lizenziert, während andere öffentliche Dienstlizenzen zu Bedingungen des CITRA-Verwaltungsrats vergeben werden, für die sich jeder Qualifizierte nach Artikel 22 bewerben kann. Nach Artikel 24 werden die Ressourcenlizenzen per Amiri-Dekret erteilt; die übrigen ergehen durch Beschluss des CITRA-Verwaltungsrats und werden durch einen öffentlich-rechtlichen Vertrag geregelt, der Laufzeit, Verlängerung, Gebühren und die der CITRA geschuldeten Erträge festlegt.
Private Netze haben eigene Regeln. Nach den Artikeln 17 und 18 legt die CITRA Typen, Leitlinien und technische Bedingungen privater Netze fest, die ohne CITRA-Lizenz, getrennt von jeder Frequenzlizenz, nicht errichtet oder betrieben werden dürfen; Artikel 19 erlaubt ihre Verbindung nur über öffentliche Netze aufgrund schriftlicher Vereinbarungen. Die harte Grenze ist Artikel 20: Wer ein privates Netz besitzt oder verwaltet, darf darüber keine öffentlichen Telekommunikationsdienste erbringen. Wenn wir ein Firmennetz prüfen, das zu einem Dienst für verbundene Unternehmen, Mieter oder Kunden gewachsen ist, entscheidet diese Vorschrift, ob es eine interne Einrichtung oder ein unlizenzierter öffentlicher Dienst ist.
Frequenzen, Funkstationen und Gerätezulassung
Das Frequenzspektrum ist nach Artikel 26 eine nationale Ressource, und Artikel 27 untersagt die Nutzung jeglicher Funkfrequenzen ohne die erforderliche Lizenz, vorbehaltlich enger Ausnahmen für Streitkräfte und Sicherheitsbehörden. Nach Artikel 30 darf niemand eine Funkstation auf kuwaitischem Gebiet besitzen, nutzen oder einführen ohne Lizenz und CITRA-Genehmigung, und Artikel 32 bindet den Lizenznehmer an die zugeteilten Frequenzen, Gerätespezifikationen, den Standort und die geografischen Grenzen der Lizenz.
Geräte unterliegen einem eigenen Regime. Nach den Artikeln 43 bis 45 setzt die CITRA technische Regeln und Normen für Telekommunikations- und Endgeräte, nicht konforme Geräte dürfen nicht genutzt, geliefert oder verkauft werden, und die Einfuhr eines Geräts mit nicht bekanntgegebenen Spezifikationen erfordert vorherige CITRA-Zustimmung. Artikel 46 untersagt Handel und Besitz von Abhörgeräten außerhalb der zuständigen staatlichen Stellen. Strafrechtliche Folgen treten hinzu: Die Artikel 76 und 77 stützen dies mit Strafvorschriften gegen Einfuhr und Handel nicht konformer Geräte.
Der Lizenzlebenszyklus: Verlängerung, Änderung und Widerruf
Lizenzen werden nach Artikel 33 auf feste, verlängerbare Laufzeiten erteilt. Die CITRA kann Bedingungen nach Artikel 34 in einem schriftlichen Verfahren ändern, das dem Lizenznehmer Gründe, eine Umsetzungsfrist und ein Widerspruchsrecht einräumt, mit Anfechtung vor dem zuständigen Gericht. Der Widerruf nach Artikel 35 setzt einen schweren Verstoß gegen Lizenz, Gesetz oder Ratsanweisungen oder schweren Schaden für Dritte voraus, in der Regel nach schriftlicher Abmahnung und dreißigtägiger Heilungsfrist; Artikel 36 fügt den Widerruf wegen nicht gezahlter Erträge hinzu, Artikel 37 wegen fehlender technischer Mittel zur Sicherung und Speicherung dessen, was das Netz durchläuft.
Die Folgen sind streng. Nach Artikel 39 muss ein vom Widerruf benachrichtigter Lizenznehmer neue Anmeldungen einstellen und darf nur noch zur Überführung der Teilnehmer mit CITRA-Zustimmung tätig werden. Artikel 40 sperrt einen neuen Antrag für zwei Jahre, Artikel 38 schließt jede Erstattung von Erträgen aus, und Artikel 41 wahrt die Schadensersatzansprüche Betroffener. Artikel 42 rundet das Bild ab: Die Lizenz ist persönlich und nicht übertragbar, es sei denn, der Rat genehmigt eine Übertragung zu den vorgeschriebenen Bedingungen.
Nutzerschutz und die Pflicht zur Kontinuität
Das Gesetz legt den Lizenznehmern laufende Verbraucherpflichten auf. Artikel 47 verpflichtet jeden Anbieter öffentlicher Dienste zu einer eigenen Beschwerdestelle; Artikel 48 erlaubt Preisänderungen erst nach Anzeige in zwei lokalen Tageszeitungen mindestens sieben Tage vorab und vorheriger Mitteilung an die CITRA; Artikel 49 ermächtigt die CITRA, Beschwerden zu untersuchen und die Beseitigung eines Verstoßes innerhalb von neunzig Tagen anzuordnen; Artikel 50 verlangt einen jährlichen technischen, administrativen und finanziellen Bericht über die Fortsetzungsfähigkeit des Dienstes.
Zwei Schutzrechte verdienen in jeder Vertragsprüfung Beachtung. Artikel 51 erklärt Telefongespräche und private Telekommunikation für vertraulich und rechtlich geschützt, und Artikel 53 untersagt die Sperrung oder Kündigung von Diensten, es sei denn wegen erheblicher Netzschäden, gesetzes- oder sittenwidrigem Gebrauch oder nicht gezahlter Entgelte nach schriftlicher Mahnung; die Trennung wegen Streitigkeiten zwischen Lizenznehmern ist außerhalb der nach Artikel 25 geschlossenen Interconnection-Vereinbarungen verboten. Die Strafvorschriften der Artikel 75 bis 79 stützen das System und ahnden Frequenzmissbrauch, Störungen und unbefugtes Abhören mit Freiheits- und Geldstrafen.
Datenschutz: die CITRA-Datenschutzverordnung
Kuwait hat kein allgemeines Datenschutzgesetz, doch der Telekom- und Internetsektor ist reguliert. Die CITRA erließ die Data Privacy Protection Regulation durch Beschluss Nr. 26 von 2024, veröffentlicht in Kuwait Al-Youm (Nr. 1675) am 18. Februar 2024 und unter Aufhebung der Verordnung Nr. 42 von 2021; sie gilt für CITRA-lizenzierte Telekommunikations- und Internetanbieter. Sie begründet Pflichten zu Einwilligung, Transparenz, Sicherheit, Übermittlungsanzeige und Verletzungsmeldung: Lizenzierte müssen Nutzer vor der Erhebung über Art und Zweck der Verwendung ihrer personenbezogenen Daten informieren, Nutzungsbedingungen bereitstellen, Berichtigung oder Löschung ermöglichen und die von ihnen gehaltenen Daten einstufen; die CITRA-Klassifizierungsrichtlinie, die hierfür einst galt, wurde durch Beschluss Nr. 34 von 2024 aufgehoben, sodass nun die bewährte Praxis gilt.
Für ein Technologieunternehmen ohne CITRA-Lizenz gilt die Verordnung nicht unmittelbar, doch die Lücke sollte nicht als Freiraum gelesen werden. Vertragliche Vertraulichkeit, Artikel 51 des Gesetzes Nr. 37/2014, Strafrecht und Sektorregeln binden den Umgang mit Kundendaten gleichwohl, und Konzernstrukturen ziehen eine nicht lizenzierte Einheit häufig in die Pflichten der lizenzierten hinein. Bei der Prüfung eines kuwaitischen Datenflusses klären wir zuerst, ob irgendeine Stelle der Kette CITRA-lizenziert ist, denn das entscheidet, welche Pflichten das Projekt treffen.
Cloud-Dienste und das CITRA-Cloud-Framework
Die CITRA reguliert Cloud über ihr Cloud Computing Regulatory Framework, das Cloud-Anbieter mit Rechenzentren in Kuwait und die darauf aufbauenden Plattform- und Softwaredienste erfasst. Das Framework unterscheidet die Informationsklassen, die ein Anbieter verarbeiten darf, schreibt Sicherheits-, Transparenz- und Registrierungserwartungen für lizenzierte Anbieter vor. Die gesonderte Datenklassifizierungsrichtlinie, neben der es einst stand, wurde durch Beschluss Nr. 34 von 2024 aufgehoben. Wer in Kuwait in die Cloud wechselt, sollte klären, ob der Anbieter bei der CITRA registriert oder lizenziert ist und wo die Daten physisch liegen.
Die praktischen Fragen sind ebenso vertraglich wie regulatorisch. Der Vertrag sollte Rechenzentrumsstandort, verarbeitbare Datenkategorien, Grenzen der Untervergabe und das Schicksal der Daten beim Ausstieg regeln. Verkauft ein kuwaitischer Lizenznehmer Kapazität eines ausländischen Cloud-Betreibers weiter, bleibt der Lizenznehmer der CITRA gegenüber verantwortlich, und der Kunde sollte wissen, welche Einheit welche Pflicht trägt. Unsere Prüfungen kartieren diese Ketten vor der Migration, nicht nach dem Vorfall.
Elektronische Transaktionen nach Gesetz Nr. 20/2014
Gesetz Nr. 20 von 2014 über elektronische Transaktionen gibt dem Technologievertrag sein rechtliches Fundament. Artikel 3 verleiht elektronischen Aufzeichnungen, Dokumenten, Nachrichten, Transaktionen und Signaturen in zivil-, handels- und verwaltungsrechtlichen Vorgängen dieselbe Rechtswirkung wie ihren schriftlichen Entsprechungen, und Artikel 4 schützt die Gegenseite: Niemand ist verpflichtet, ohne Einverständnis elektronisch zu handeln. Artikel 9 stellt die Wirksamkeitsbedingungen einer elektronischen Aufzeichnung auf: Integrität der Daten seit der Erstellung, jederzeitige Wiederauffindbarkeit, Identifikation des Erstellers mit Datum und Uhrzeit sowie Speicherung im vorgeschriebenen Format.
Für Signaturen definieren die Artikel 19 und 20 die geschützte elektronische Signatur: Sie muss den Unterzeichner identifizieren, ausschließlich mit ihm verbunden sein, mit einem unter seiner alleinigen Kontrolle stehenden Werkzeug erstellt werden und jede spätere Änderung erkennbar machen, wobei ein Zertifikat die Gültigkeit belegt. Artikel 14 bestätigt die Beweiskraft der aufbewahrten Aufzeichnung, soweit kein anderes Gesetz Schriftform verlangt. Wenn wir Plattformbedingungen, Onboarding-Abläufe oder E-Signatur-Einführungen prüfen, entscheiden diese Vorschriften, ob Klick, Protokoll und Zertifikat in einem kuwaitischen Streit Bestand haben.
Cybercrime-Risiken nach Gesetz Nr. 63/2015
Gesetz Nr. 63 von 2015 zur Bekämpfung von Informationstechnologieverbrechen umreißt die Schattenseite. Artikel 2 ahndet den unbefugten Zugang zu einem Computer, Informationssystem oder Netz mit Freiheitsstrafe bis zu sechs Monaten und Geldstrafe von fünfhundert bis zweitausend Dinar oder einer dieser Strafen; führt der Zugang zu Löschung, Beschädigung, Offenlegung oder Veränderung von Daten, steigt das Maximum auf zwei Jahre und zweitausend bis fünftausend Dinar oder eine dieser Strafen. Artikel 3 ahndet Zugang zur Erlangung geheimer Regierungsdaten mit bis zu drei Jahren und einer Geldstrafe von dreitausend bis zehntausend Dinar oder einer dieser Strafen, ansteigend auf zehn Jahre und eine Geldstrafe von fünftausend bis zwanzigtausend Dinar oder eine dieser Strafen bei Löschung, Beschädigung, Zerstörung, Veröffentlichung oder Veränderung der Daten.
Artikel 4 erfasst die Behinderung des Zugangs zu Websites und das Abhören von Übertragungen. Für einen Technologiebetreiber gilt die Lehre in beide Richtungen: Systeme gegen diese Straftaten härten, und zugleich Personal von Verhalten abhalten, etwa dem Ausspähen der Systeme eines Lieferanten oder früheren Partners im Streit, das das Gesetz ohne Ausnahme für gute Absichten unter Strafe stellt. Incident-Response-Pläne sollten Protokolle und Beweise sichern, damit das Opfer einer Tat nach Artikel 2 oder 3 eine Strafanzeige mit verwertbarem Beweismaterial stützen kann.
Kundenversprechen mit der Lieferkette abstimmen
Lesen Sie die Kundenbedingungen gegen die darunterliegenden Netz-, Cloud-, Sicherheits- und Supportverträge. Verspricht die Website ununterbrochenen Dienst, während ein vorgelagerter Lieferant Ausfälle ausschließt, muss jemand diese Lücke besitzen, und zwar die Partei, die sie am besten steuern kann. Legen Sie Service Levels, Wartungshinweise, Zugangsrechte, Subunternehmerkontrollen und Vorfallkontakte in betrieblichen Begriffen fest und prüfen Sie sie gegen regulatorische Pflichten, die nicht wegverhandelt werden können, wie die Beschwerdestellenpflicht in Artikel 47 und den Kontinuitätsschutz in Artikel 53.
Simulieren Sie vor Unterzeichnung einen Lieferantenausfall. Wer entdeckt ihn, wer prüft Logs, wer autorisiert die Behebung, wer informiert den Kunden, mit welchen gesicherten Beweisen? Eine Reaktionszeit, die der darunterliegende Anbieter nicht stützt, ist eine Last, kein Verkaufsargument. Weicht der eingetragene Lizenznehmer vom kundenorientierten Unternehmen ab, muss die Weitergabe der CITRA-Pflichten ausdrücklich geregelt sein: Die Aufsicht verfolgt den Lizenznehmer, der Kunde die Marke.
Ausstieg und Wandel planen, bevor Abhängigkeit entsteht
Regeln Sie den Ausstieg, solange das Verhältnis intakt ist: Exportformat, Umstellungsunterstützung, Kündigungsfrist, Löschungsnachweise und die Behandlung von Domains, Telefonnummern, Konten und lizenzierten Frequenzen, soweit einschlägig. Testen Sie, ob ein Ersatzlieferant tatsächlich ohne Verlust von Aufzeichnungen übernehmen könnte, und halten Sie fest, wem Konfigurationsdateien und Migrationsdokumentation gehören. Nach Artikel 39 des Gesetzes Nr. 37/2014 darf selbst ein widerrufener Lizenznehmer nur noch zur Überführung der Teilnehmer tätig werden, was zeigt, wie das Gesetz die Dienstkontinuität priorisiert.
Ein neues Zahlungsmodul, Netzpartner, eine Cloud-Region oder eine Inhaltsfunktion kann die rechtliche Einordnung des gesamten Dienstes ändern. Bauen Sie einen Produktänderungs-Auslöser ein, der die Lizenzanalyse nach den Artikeln 16 bis 24, die Datenschutzprüfung nach der Datenschutzverordnung bei Beteiligung eines Lizenznehmers und die Lieferantenprüfung erneut durchlaufen lässt, und führen Sie eine datierte Entscheidungsakte, die die genehmigte Version von geplanten Einführungen trennt. Diese Akte ist meist das Erste, was eine Behörde, ein Gericht oder ein Due-Diligence-Team anfordert.
Was wir vor einer kuwaitischen Technologie-Einführung oder -Änderung prüfen
Unsere Erstprüfungsakte umfasst: die Dienst- und Einheitenkarte über den Kundenweg; die Lizenzanalyse nach den Artikeln 16 bis 24 des Gesetzes Nr. 37/2014 einschließlich der Privatnetzgrenzen der Artikel 17 bis 20; Frequenz- und Geräteprüfungen nach den Artikeln 27, 30 und 43 bis 45; Kundenbedingungen gegen die Lieferkette und die Nutzerschutzpflichten der Artikel 47 bis 53; den Datenfluss gegen die Datenschutzverordnung, soweit eine Stelle CITRA-lizenziert ist; den Status des Cloud-Anbieters nach dem CITRA-Cloud-Framework; die Wirksamkeit elektronischer Verträge nach Gesetz Nr. 20/2014; Vorfall-, Beweis- und Ausstiegstests; sowie datierte kuwaitische Gutachten zu jeder offenen Frage.
Weitere Informationen finden Sie hier: unser Kuwait-Datenschutz-Leitfaden und unser Kuwait-IP-Leitfaden, sowie unsere Praxis für Handels- und Gesellschaftsrecht.
Häufig gestellte Fragen
Braucht jedes Technologieunternehmen in Kuwait eine CITRA-Lizenz?
Nein. Artikel 16 des Gesetzes Nr. 37/2014 betrifft öffentliche Telekommunikationsnetze, Internetdienste und internationale oder terrestrische Telekommunikation; wer nur Software schreibt oder Geräte weiterverkauft, ohne Netze zu betreiben oder öffentliche Telekomdienste zu erbringen, fällt in der Regel nicht unter die Lizenzpflicht, wenngleich Geräteimporte und -verkäufe den Zulassungsregeln der Artikel 43 bis 45 unterliegen. Wir bestätigen die Einordnung anhand der aktuellen CITRA-Praxis vor der Einführung.
Darf ein Unternehmen verbundene Firmen über sein privates Netz versorgen?
Nur in Grenzen. Die Artikel 17 und 18 verlangen eine CITRA-Lizenz für private Netze und lassen der CITRA deren technische Bedingungen, und Artikel 20 untersagt öffentliche Telekommunikationsdienste über ein privates Netz. Sobald Dritte außerhalb der privaten Gruppe Konnektivität erhalten, droht die Einstufung als unlizenzierter öffentlicher Dienst mit den strafrechtlichen Folgen des Gesetzes.
Wie werden kuwaitische Telekomlizenzen tatsächlich vergeben?
Nach Artikel 24 des Gesetzes Nr. 37/2014 werden Lizenzen für Dienste auf knappen staatlichen Ressourcen, etwa Frequenzen und landesweite Glasfaser, per Amiri-Dekret im Wege öffentlicher Ausschreibungen nach Artikel 21 erteilt, während andere öffentliche Dienstlizenzen durch Beschluss des CITRA-Verwaltungsrats ergehen und durch einen öffentlich-rechtlichen Vertrag geregelt werden, der Laufzeit, Gebühren und Erträge festlegt. Lizenzen sind nach Artikel 42 persönlich und nicht übertragbar, es sei denn, der Rat genehmigt die Übertragung.
Sind elektronische Signaturen in Kuwait gültig?
Ja. Artikel 3 des Gesetzes Nr. 20/2014 verleiht elektronischen Aufzeichnungen und Signaturen in zivil-, handels- und verwaltungsrechtlichen Vorgängen dieselbe Rechtswirkung wie Schriftform, sofern die gesetzlichen Bedingungen erfüllt sind, und die Artikel 19 und 20 definieren die geschützte elektronische Signatur mit Zertifikat. Wir empfehlen eine geschützte Signatur und die vollständige Aufbewahrung der Aufzeichnung nach Artikel 9.
Welches Datenschutzrecht gilt für eine kuwaitische App oder Plattform?
Es gibt kein umfassendes Datenschutzgesetz. Die CITRA-Datenschutzverordnung, erlassen durch Beschluss Nr. 26/2024 und an die Stelle der Verordnung von 2021 tretend, bindet CITRA-lizenzierte Telekom- und Internetanbieter mit Pflichten zu Einwilligung, Transparenz, Sicherheit, Übermittlungsanzeige und Verletzungsmeldung. Andere Unternehmen werden durch Vertrag, die Vertraulichkeitsregel des Artikels 51 des Gesetzes Nr. 37/2014 und allgemeines Strafrecht erfasst; der Datenschutzrahmen wird daher meist vertraglich gebaut.
Kann ein Lieferantenstreit meinen Dienst abschalten?
Nicht rechtmäßig. Artikel 53 des Gesetzes Nr. 37/2014 untersagt die Sperrung oder Kündigung von Diensten für Nutzer, außer bei erheblichem Netzschaden, rechtswidrigem Gebrauch oder Nichtzahlung nach schriftlicher Mahnung, und schützt Nutzer vor Abschaltung wegen finanzieller oder technischer Streitigkeiten zwischen Lizenznehmern. Hängt Ihre Kontinuität von einem einzigen Lieferanten ab, hat der gesetzliche Schutz dennoch Grenzen, sodass vertragliche Ausweichregelungen unverzichtbar bleiben.
Welche strafrechtlichen Risiken bestehen bei Netzen und Geräten?
Die Artikel 75 bis 79 des Gesetzes Nr. 37/2014 ahnden Frequenzmissbrauch, Störungen, nicht konforme Geräte und Abhörausrüstung mit Freiheits- und Geldstrafen, und die Artikel 2 und 3 des Gesetzes Nr. 63/2015 ahnden unbefugten Zugang zu Systemen und zu geheimen Regierungsdaten, in schweren Fällen mit bis zu zehn Jahren. Geräteimporte benötigen CITRA-Konformität nach den Artikeln 43 bis 45, und Mitarbeitende dürfen niemals ohne Befugnis auf fremde Systeme zugreifen, auch nicht zur Aufklärung eines Streits.
Wie beauftragen wir die Kanzlei mit einer kuwaitischen Technologiefrage?
Senden Sie Dienstbeschreibung, Vertragsentwürfe und Lieferantenliste über die Kontaktseite; wir umreißen eine Erstprüfung zu Lizenzierung, Datenschutz, Vertragsgestaltung und Ausstieg. Frühe Prüfung ist erheblich günstiger als Umstrukturierung, nachdem die CITRA oder eine Vertragspartei das Thema aufgeworfen hat.