Datenschutzrecht in Mitgliedstaaten des Golfkooperationsrates

Hinweis: Dieser Rechtsbericht wurde erstmals im Juli 2022 veröffentlicht und zuletzt überprüft im Mai 2025.

Seit der Einführung der europäischen Datenschutzgrundverordnung (DSGVO) im Jahr 2018 besteht eine erhöhte Sensibilität in Bezug auf die Verarbeitung von personenbezogenen Daten. Das europäische Regelwerk gilt vielerorts als Maßstab für einen rechtlichen Rahmen im Bereich des Datenschutzes. Auch die Mitgliedstaaten des Golfkooperationsrates (GCC) orientieren sich mit einigen Einschränkungen in ihren Datenschutzgesetzgebungen an der DSGVO.

Katar

Den Anfang machte am 16. November 2016 Katar mit dem Gesetz über den Schutz personenbezogener Daten. Das Gesetz regelt die faire und rechtmäßige Erhebung, Verwendung und Weitergabe personenbezogener Daten.

Ebenso schreibt es die Verpflichtung fest, Personen vor Beginn der Verarbeitung über die Art und Weise und die Zwecke der Verarbeitung personenbezogener Daten zu informieren.

Elektronisches Marketing an Einzelpersonen ist in Katar durch das Datenschutzgesetz seit 2016 nur auf der Grundlage der vorherigen Zustimmung der Person erlaubt. Darüber hinaus führte das Gesetz eine Reihe von individuellen Rechten ein: so können Betroffene eine einmal gegebene Einwilligung zur Datenverarbeitung widerrufen oder die Berichtigung oder Löschung personenbezogener Daten verlangen.

Einen besonderen Schutz räumt das Gesetz personenbezogenen Daten ein, die sich zum Beispiel auf die ethnische Herkunft oder die religiöse Überzeugung beziehen.

Bahrain

Am 1. August 2019 trat auch im Königreich Bahrain ein Gesetz über den Schutz personenbezogener Daten in Kraft, das sich an die DSGVO der EU anlehnt. Es handelt sich somit um das zweite nationale Gesetz in der Golfregion, das sich direkt mit dem Recht auf den Schutz personenbezogener Daten beschäftigt.

Es erlegt sogenannten Verantwortlichen, die personenbezogene Daten sammeln, bestimmte Verpflichtungen in Bezug auf deren Verwendung auf. Das Gesetz verlangt beispielsweise konkret von Unternehmen, dass sie personenbezogene Daten nach Treu und Glauben verarbeiten sowie Personen darüber informieren, wann genau ihre personenbezogenen Daten erhoben werden. Ebenso sieht das Datenschutzgesetz von Bahrain Individualrechte vor, die bei Verletzung der Pflichten zur Datenverarbeitung gegenüber einem Unternehmen geltend gemacht werden können. Über diese Rechte muss ein Unternehmen im Vorfeld einer Datenverarbeitung potentiell Betroffene ausdrücklich informieren.

VAE

Die Vereinigten Arabischen Emirate (VAE) haben am 2. Januar 2022 ein Bundesgesetz über den Schutz personenbezogener Daten erlassen. Dieses Gesetz markiert den Beginn einer neuen Entwicklung von Gesetzgebungsbestrebungen im Datenschutzrecht am Golf.

Denn das Datenschutzgesetz der VAE reklamiert für sich einen extraterritorialen Geltungsbereich. Damit gilt es nicht nur für Unternehmen mit Sitz in den VAE, die personenbezogene Daten im Ausland verarbeiten, sondern auch für Unternehmen mit Sitz außerhalb der VAE, die personenbezogene Daten innerhalb der VAE verarbeiten.

Die Verarbeitung personenbezogener Daten muss auch in den VAE nach Treu und Glauben, auf transparente und rechtmäßige Weise sowie für einen bestimmten und eindeutigen Zweck erfolgen. Personenbezogene Daten müssen richtig sein und sich auf den Zweck beschränken, für den die Verarbeitung erforderlich ist. Darüber hinaus sollten technische Maßnahmen getroffen werden, um unrichtige personenbezogene Daten zu berichtigen oder zu löschen. Personenbezogene Daten dürfen zudem nicht aufbewahrt werden, nachdem der Zweck der Verarbeitung erfüllt ist.

Auch nach dem Datenschutzgesetz der VAE haben die betroffenen Personen eine Reihe von Rechten, die mit denen anderer Datenschutzgesetze im GCC vergleichbar sind.

Ein neuer Aspekt des Datenschutzgesetzes der VAE ist die Möglichkeit, Daten in Länder außerhalb der VAE zu übermitteln. Voraussetzung dafür ist, dass ein Land über ein mit den VAE übereinstimmendes Schutzniveau für Datenverarbeitung verfügt.

Zum Thema: GTAI-Publikationen Recht kompakt VAE sowie Gesetze in den VAE

Oman

Oman hat das Gesetz zum Schutz personenbezogener Daten am 9. Februar 2022 verabschiedet. Nach dem Wortlaut des Gesetzes sind solche Daten geschützt, die eine natürliche Person identifizieren oder sie direkt oder indirekt mittels Zuordnung zu einer oder mehreren Identifikationsnummern identifizierbar machen. Dazu gehören beispielsweise der Name, die Personennummer oder auch andere elektronische Identifikatoren.

Es gibt jedoch eine Liste von Ausnahmen, in denen die Bestimmungen des Datenschutzgesetzes nicht anwendbar sind. Dazu gehören unter anderem Daten, die den Schutz der nationalen Sicherheit oder des öffentlichen Interesses betreffen, ebenso Daten, welche die ökonomischen Interessen des Sultanats berühren. Diese Ausnahmen, je nach dem wie sie interpretiert werden, können das Schutzniveau beträchtlich einschränken.

Die Durchführungsverordnung zum Datenschutzgesetz ist zwar seit Anfang 2024 in Kraft, bis zum 5. Februar 2026 gilt jedoch eine Schonfrist.

Saudi-Arabien

In Saudi-Arabien ist Ende September 2024 das erste Gesetz zur Regelung des Schutzes personenbezogener Daten in Kraft getreten. Wie die DSGVO hat auch der saudi-arabische Gesetzgeber die Verarbeitung personenbezogener Daten als Verbot mit Ausnahmevorbehalt ausgestaltet. Grundsätzlich ist demnach die Verarbeitung personenbezogener Daten verboten, es sei denn es gibt einen Erlaubnistatbestand wie die Einwilligung oder das berechtigte Interesse.

Außerdem regelt das saudische Datenschutzgesetz die Übermittlung personenbezogener Daten in das Ausland. Auch hier gibt es zahlreiche Ähnlichkeiten zum europäischen Datenschutzrecht. Demnach muss der Datenexport einen legitimen Zweck verfolgen und das Zielland ein angemessenes Datenschutzniveau haben, das dem saudischen ähnlich ist. 

Zum Thema: GTAI-Rechtsbericht Saudi-Arabien setzt neues Datenschutzrecht in Kraft, GTAI-Publikationen Recht kompakt Saudi-Arabien und Gesetze in Saudi-Arabien