Wichtigste Erkenntnisse
- UAE PDPL: Federal Decree-Law No. 45 of 2021. In Kraft seit January 2, 2022. Aufsichtsbehörde: UAE Data Office (UAEDO).
- Grenzüberschreitende Übermittlungen erfordern angemessenen Schutz im Zielland oder Standard Contractual Clauses (SCCs) / Binding Corporate Rules (BCRs). Bis 2026 wurde noch keine offizielle UAE-Angemessenheitsliste veröffentlicht.
- Frist für vollständige Compliance: January 1, 2027. Die Durchführungsverordnungen stehen noch aus — Rechtsberatung wird für die konkrete Umsetzung empfohlen.
- DPIA erforderlich (Artikel 21) bei Hochrisiko-Verarbeitung: groß angelegtes Profiling, automatisierte Entscheidungen mit Rechtswirkung, grenzüberschreitende Übermittlungen in nicht-angemessene Rechtsräume.
- Betroffene Personen können automatisierten Entscheidungen widersprechen, die rechtliche oder erhebliche Wirkungen entfalten. Organisationen müssen auf Auskunftsersuchen die Logik der automatisierten Verarbeitung offenlegen.
- On-Premise-KI vor Ort: Inferenz findet innerhalb der UAE statt — personenbezogene Daten überschreiten keine Grenze — reduziert die PDPL-Exposition bei grenzüberschreitender Übermittlung durch Design.
- DIFC (DIFC Data Protection Law No. 5 of 2020, geändert im Juli 2025) und ADGM betreiben eigene Datenschutzregime; das föderale PDPL schließt Freizonen mit eigenen Gesetzen ausdrücklich aus.
- Sektoren: CBUAE hat die Sovereign Financial Cloud Services Infrastructure (SFCSI) am February 25, 2026 gestartet. Gesundheitswesen: DHA + ADHICS. Alle Sektorebenen bauen auf dem PDPL auf.
- *Keine Rechtsberatung. Konsultieren Sie eine qualifizierte UAE-Rechtsberatung oder einen DPO für Ihre konkreten Compliance-Pflichten.*
📍 In einem Satz
KI-Inferenz on-premise in der UAE zu betreiben beseitigt die grenzüberschreitende Übermittlung personenbezogener Daten gemäß Federal Decree-Law No. 45 of 2021 (UAE PDPL), weil Daten die nationale Infrastruktur nie verlassen.
💬 In einfachen Worten
Das UAE-Datenschutzgesetz besagt, dass Sie eine Genehmigung benötigen, um personenbezogene Daten in andere Länder zu senden. Wenn Ihre KI lokal innerhalb der UAE läuft, verlassen keine Daten das Land — also gilt die Übermittlungsregel nicht.
UAE PDPL: Gesetz, Aufsichtsbehörde und Zeitplan
Das UAE-Gesetz zum Schutz personenbezogener Daten (PDPL) ist das Federal Decree-Law No. 45 of 2021. Es trat am January 2, 2022 in Kraft und machte die UAE zum ersten Golfstaat mit einem umfassenden föderalen Datenschutzgesetz.
Aufsichtsbehörde: UAE Data Office (UAEDO). Das Data Office wurde durch das Federal Decree-Law No. 44 of 2021 errichtet, ein Begleitinstrument zum PDPL. Es ist befugt, Audits durchzuführen, Beschwerden zu untersuchen und Leitlinien zu erlassen.
Compliance-Frist: January 1, 2027. Organisationen müssen bis zu diesem Datum vollständige PDPL-Compliance-Programme eingerichtet haben.
Durchführungsverordnungen: noch ausstehend. Die Durchführungsverordnungen — die SCC-Vorlagen, den Angemessenheitsrahmen und sektorspezifische Regeln festlegen werden — waren Anfang 2026 noch nicht veröffentlicht. Dies schafft Unsicherheit bei der Umsetzung. Konsultieren Sie einen UAE-qualifizierten DPO oder eine Rechtsberatung für Ihre konkrete Situation.
- Gesetz: Federal Decree-Law No. 45 of 2021 zum Schutz personenbezogener Daten
- Inkrafttreten: January 2, 2022
- Aufsichtsbehörde: UAE Data Office (UAEDO), errichtet durch Federal Decree-Law No. 44 of 2021
- Ziel für vollständige Compliance: January 1, 2027
- Durchführungsverordnungen: ausstehend Anfang 2026
- Anwendungsbereich: gilt für die Verarbeitung personenbezogener Daten von UAE-Einwohnern durch UAE-Einheiten sowie für extraterritoriale Verarbeiter, die auf UAE-Einwohner abzielen
Wie Cloud-KI-APIs grenzüberschreitende Übermittlungsrisiken unter dem PDPL erzeugen
Wenn Sie eine Cloud-KI-API aufrufen, verlassen personenbezogene Daten die UAE. Ein typischer Unternehmens-Workflow — eine Kundenanfrage an einen in den USA oder der EU gehosteten API-Endpunkt zu senden — ist unter dem PDPL eine grenzüberschreitende Übermittlung, selbst wenn die Daten nur vorübergehend sind.
Das PDPL schränkt grenzüberschreitende Übermittlungen ein. Daten dürfen nur in ein Zielland fließen, wenn es ein vom UAE Data Office anerkanntes angemessenes Schutzniveau bietet oder wenn spezifische vertragliche Schutzmaßnahmen vorhanden sind (SCCs oder BCRs). Bis 2026 hatte das UAE Data Office keine formelle Angemessenheitsliste veröffentlicht.
Eine DPIA kann erforderlich sein. Bei einer Übermittlung in einen nicht-angemessenen Rechtsraum — was derzeit, solange die Angemessenheitsliste aussteht, alle Länder umfasst — kann vor der Übermittlung eine Datenschutz-Folgenabschätzung (Artikel 21) erforderlich sein.
Praktische Risikobeispiele:
- Kundensupport-Anfragen an GPT-4o (in den USA gehostet) senden: grenzüberschreitende Übermittlung von Anfrageinhalten, die personenbezogene Kennungen enthalten können
- Verwendung einer cloudbasierten Dokumenten-KI zur Verarbeitung von HR-Dateien: personenbezogene Daten von Mitarbeitenden werden außerhalb der UAE gesendet
- API-basierte Übersetzung von medizinischen Unterlagen: sensible besondere Datenkategorien verlassen die UAE ohne formellen SCC-Rahmen
- Cloud-LLM-Feinabstimmung mit proprietären Kundendaten: erhebliche Übermittlung personenbezogener Daten ohne im Land verbleibende Kopie
Wie On-Premise-KI die UAE-Datenresidenz und -Souveränität adressiert
On-Premise-KI-Inferenz bedeutet: Das Modell läuft auf Hardware innerhalb der UAE. Personenbezogene Daten werden lokal verarbeitet, Antworten werden lokal zurückgegeben, und zum Inferenzzeitpunkt überschreitet nichts eine Grenze.
Die Frage der grenzüberschreitenden Übermittlung entfällt. Wenn Daten die UAE-Infrastruktur nie verlassen, ist für die Inferenz kein Angemessenheitsbeschluss, keine SCC und kein BCR erforderlich. Die Residenz wird durch Design statt durch Vertrag gewahrt.
Lokale LLMs sind die primäre Umsetzung. Open-Weight-Modelle (Falcon 3, Llama 3.1, Qwen3, Jais und andere) können auf UAE-basierten Servern mit Ollama, vLLM oder llama.cpp bereitgestellt werden — alle ohne Daten an eine externe API zu senden.
Souveränität durch Design: Die Modellgewichte, die Konfiguration und alle Verarbeitungsprotokolle verbleiben innerhalb der UAE-Jurisdiktion. Dies steht im Einklang mit der UAE National AI Strategy 2031, die Daten als "Öl der Zukunft" rahmt, das eine inländische Governance erfordert.
- ✅ Inferenzdaten verbleiben in der UAE — keine grenzüberschreitende Übermittlung personenbezogener Daten zur Laufzeit
- ✅ Kein Angemessenheitsbeschluss oder SCC für den Inferenzschritt erforderlich
- ✅ Der DPIA-Umfang ist reduziert — die Verarbeitung ist lokal, nicht grenzüberschreitend
- ✅ Steht im Einklang mit den Zielen der UAE AI Strategy 2031 zur inländischen Daten-Governance
- ✅ Audit-Protokolle und Modellausgaben verbleiben innerhalb der UAE-Jurisdiktion
- ❌ Erfordert Hardware im Land (GPU-Server, NVMe-Speicher, Kühlung) oder UAE-basierte Cloud-GPU
- ❌ Der Download der Modellgewichte von Hugging Face erfordert weiterhin Internetzugang — Airgap nach dem initialen Abruf
- ❌ Das technische Team muss Modell-Updates, Monitoring und Sicherheit verwalten
Cloud-KI vs. On-Premise: Vergleich des grenzüberschreitenden PDPL-Risikos
Diese Tabelle vergleicht die PDPL-Compliance-Haltung von Cloud-KI-APIs gegenüber On-Premise-KI-Inferenz vor Ort. Keine Rechtsberatung — konsultieren Sie Ihren DPO.
| Faktor | Cloud-KI-API | On-Premise lokale KI |
|---|---|---|
| Überschreiten Daten die UAE-Grenze? | Ja — an US-/EU-Server gesendet | Nein — lokal verarbeitet |
| PDPL-Pflicht zur grenzüberschreitenden Übermittlung? | Ja — erfordert Angemessenheit oder SCCs | Nicht zutreffend (keine Übermittlung) |
| Angemessenheitsbeschluss erforderlich? | Ja (Liste noch nicht veröffentlicht) | Nein |
| SCC/BCR erforderlich? | Ja (Vorlagen der Durchführungsverordnungen stehen aus) | Nein |
| DPIA durch grenzüberschreitende Übermittlung ausgelöst? | Wahrscheinlich bei sensiblen Daten | Nicht durch Übermittlung (nur bei Hochrisiko-Verarbeitung) |
| Jurisdiktion der Audit-Protokolle? | Ausländische Jurisdiktion | UAE-Jurisdiktion |
| Durchsetzungsreichweite der UAEDO? | Unsicher bei ausländischen Anbietern | Klare UAE-Jurisdiktion |
| Abstimmung mit der UAE AI Strategy 2031? | Teilweise (ausländische Infrastruktur) | Vollständig (inländische Daten-Governance) |
Optionen für souveräne KI-Bereitstellung für UAE-Organisationen
Dies sind die praktischen Optionen, um KI innerhalb der UAE-Grenzen zu betreiben:
- Option 1 — Selbst gehosteter On-Premise-GPU-Server. Stellen Sie einen NVIDIA RTX 4090- oder A100-Server in Ihrem UAE-Rechenzentrum bereit. Betreiben Sie Ollama oder vLLM mit Falcon 3-7B, Llama 3.1-8B oder Qwen3-8B. Volle Souveränität: Ihre Hardware, Ihre Jurisdiktion.
- Option 2 — UAE-basierte Cloud-GPU. Nutzen Sie einen Cloud-GPU-Anbieter mit Rechenzentren, die physisch in der UAE stehen (G42 Cloud, Microsoft Azure UAE North, AWS Middle East UAE). Daten bleiben im Land. Prüfen Sie den DPA-Umfang sorgfältig — Azure UAE North wird unter den Microsoft-UAE-Bedingungen betrieben; verifizieren Sie die PDPL-Compliance mit dem Anbieter.
- Option 3 — Airgapped On-Premise-System. Für maximale Souveränität (Behörden, Verteidigung, Finanzaufsicht): Modellgewichte einmal abrufen, den Server airgappen, offline betreiben. Kein ausgehender Internetzugang zum Inferenzzeitpunkt. Siehe On-Prem Air-Gapped Local LLM.
- Option 4 — Hybrid: lokale Inferenz, Cloud-Feinabstimmung. Feinabstimmung auf anonymisierten oder synthetischen Daten (Cloud für nicht-personenbezogene Daten akzeptabel), die feinabgestimmten Gewichte lokal bereitstellen. Reduziert das Übermittlungsrisiko und nutzt zugleich Cloud-Rechenleistung für das Modelltraining.
- Empfohlene Modelle für souveräne UAE-Bereitstellung: Falcon 3 (1B–10B, TII Abu Dhabi — natives UAE-Modell), Jais (13B–30B, Core42/G42/MBZUAI — Arabisch-Englisch, Abu Dhabi), Llama 3.1 (8B–70B, Meta, Apache 2.0), Qwen3 (8B–32B, mehrsprachig inklusive Arabisch).
DIFC und ADGM: Datenschutzregime der Freizonen
Das UAE PDPL schließt Freizonen, die bereits eigene Datenschutzgesetze haben, ausdrücklich aus. Sowohl DIFC als auch ADGM erfüllen diese Voraussetzung.
DIFC (Dubai International Financial Centre): Arbeitet unter dem DIFC Data Protection Law No. 5 of 2020, einem an die DSGVO angelehnten Regime. Im Juli 2025 trat das Amendment Law No. 1 of 2025 in Kraft (wirksam ab 15. Juli 2025), das sich enger an internationale bewährte Verfahren anlehnt und verpflichtende dokumentierte Angemessenheitsbewertungen für grenzüberschreitende Übermittlungen einführt. Der DIFC Commissioner of Data Protection ist die Aufsichtsbehörde.
ADGM (Abu Dhabi Global Market): Eigener an die DSGVO angelehnter Datenschutzrahmen. Bemerkenswert ist die Aufnahme von "berechtigten Interessen" als zulässige Rechtsgrundlage — eine Grundlage, die unter dem föderalen PDPL nicht verfügbar ist, das stärker auf Einwilligung setzt.
Dreischichtige Compliance: Organisationen, die sowohl im UAE-Festland als auch in einer Freizone tätig sind, müssen die Compliance unter beiden Regimen verwalten. Eine UAE-Holdinggesellschaft mit einer DIFC-Tochtergesellschaft unterliegt sowohl dem föderalen PDPL als auch dem DIFC-Recht.
- DIFC: DIFC Data Protection Law No. 5 of 2020 + Amendment Law No. 1 of 2025 (15. Juli 2025)
- ADGM: ADGM Data Protection Regulations (an die DSGVO angelehnt, inklusive Grundlage "berechtigte Interessen")
- Das föderale PDPL schließt Freizonen mit eigenen Gesetzen aus (DIFC, ADGM)
- Konzerne mit mehreren Einheiten: ordnen Sie jede juristische Einheit separat ihrem geltenden Regime zu
- Vorteil von On-Premise-KI: In-Zone-Hardware erfüllt alle drei Regime gleichzeitig
Branchenspezifische KI-Compliance-Überlegungen in der UAE
Das föderale PDPL ist die Grundlage. Regulierte Sektoren fügen darüber hinaus weitere Anforderungen hinzu:
- Bank- und Finanzwesen (CBUAE, DFSA): Die Central Bank of the UAE startete am February 25, 2026 als Teil des FIT Programme die weltweit erste Sovereign Financial Cloud Services Infrastructure (SFCSI). Finanzinstitute, die Kundendaten verarbeiten, unterliegen CBUAE-Governance-Anforderungen, die auf das PDPL aufsetzen. Die DFSA deckt DIFC-regulierte Firmen separat ab.
- Gesundheitswesen (DHA, ADHICS): Gesundheitsdaten sind unter dem PDPL personenbezogene Daten der "besonderen Kategorie" und genießen erhöhten Schutz. Die Dubai Health Authority (DHA) und der Abu Dhabi Healthcare Information and Cyber Security Standard (ADHICS) fügen sektorspezifische Daten-Governance-Anforderungen hinzu. In klinischen Umgebungen eingesetzte KI muss sowohl das PDPL als auch die gesundheitsrechtlichen Rahmenwerke berücksichtigen.
- Behörden und öffentlicher Sektor: Behörden verarbeiten Daten in der Regel standardmäßig innerhalb der inländischen UAE-Infrastruktur. Die UAE AI Strategy 2031 schreibt inländische Daten-Governance-Rahmenwerke für staatliche KI vor. On-Premise-KI ist die standardsichere Option für staatliche Bereitstellungen.
- Telekommunikation: Bestehende telekommunikationsrechtliche Rahmenwerke decken Telekommunikationsdaten ab. Das PDPL fügt eine föderale Überlagerung für personenbezogene Daten hinzu, die von Telekommunikationsbetreibern verarbeitet werden.
Häufige Fragen zum UAE PDPL und zur KI-Compliance
Ist das UAE PDPL der DSGVO ähnlich?
Das UAE PDPL ist von der DSGVO inspiriert, aber nicht identisch. Wesentliche Unterschiede: Das PDPL stützt sich stärker auf die Einwilligung als Rechtsgrundlage (die DSGVO erlaubt auch berechtigte Interessen, was keine Standard-PDPL-Grundlage ist); die Durchführungsverordnungen stehen noch aus (die DSGVO-Umsetzung ist ausgereift); und die Durchsetzung entwickelt sich noch. Die Datenschutzgesetze von DIFC und ADGM sind enger an die DSGVO angelehnt und schließen berechtigte Interessen ein.
Schreibt das UAE PDPL eine Datenlokalisierung vor — die physische Speicherung von Daten innerhalb der UAE?
Das föderale PDPL schreibt keine Datenlokalisierung ausdrücklich vor (also keine Speicherung aller Daten im Land). Es regelt grenzüberschreitende Übermittlungen — und verlangt angemessenen Schutz oder vertragliche Schutzmaßnahmen, wenn Daten die UAE verlassen. Sektorspezifische Regeln (z. B. die CBUAE SFCSI für Finanzdienstleistungen) können jedoch faktisch zur Speicherung im Land drängen. On-Premise-KI erreicht die Residenz, indem die Verarbeitung lokal gehalten wird.
Welche Strafen drohen bei Nichteinhaltung des UAE PDPL?
Bis 2026 war der Strafrahmen aus den Durchführungsverordnungen nicht veröffentlicht. Der PDPL-Gesetzestext sieht Strafen einschließlich Geldbußen vor, aber konkrete Beträge und Durchsetzungsverfahren standen mit den Durchführungsverordnungen aus. Diese Unsicherheit selbst ist ein Grund, vor der Frist im Januar 2027 konforme Praktiken zu etablieren. Konsultieren Sie eine UAE-Rechtsberatung für die aktuellsten Hinweise zu Strafen.
Bedeutet der lokale Betrieb von KI automatisch, dass ich PDPL-konform bin?
Nein — die lokale KI-Bereitstellung adressiert das grenzüberschreitende Übermittlungsrisiko, macht Sie aber nicht automatisch konform. Sie benötigen weiterhin: eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten, eine DPIA für Hochrisiko-Aktivitäten, Verfahren für die Rechte betroffener Personen (Auskunft, Löschung, Widerspruch) sowie Richtlinien zu Datenspeicherung und Sicherheit. Lokale KI ist eine erhebliche Compliance-Hilfe, aber keine vollständige Lösung.
Was ist das UAE Data Office und was tut es?
Das UAE Data Office (UAEDO) ist die föderale Datenschutzaufsichtsbehörde, die durch das Federal Decree-Law No. 44 of 2021 errichtet wurde. Es überwacht die Umsetzung des PDPL, führt Audits durch, untersucht Beschwerden und erlässt Leitlinien. Anfang 2026 baute das Data Office noch seine Durchsetzungskapazität auf und sollte die Durchführungsverordnungen voraussichtlich vor der Frist im Januar 2027 veröffentlichen.
Gilt das UAE PDPL für mein Unternehmen, wenn wir außerhalb der UAE ansässig sind?
Das PDPL hat einen extraterritorialen Anwendungsbereich: Es kann für Organisationen außerhalb der UAE gelten, die personenbezogene Daten von UAE-Einwohnern oder Personen in der UAE verarbeiten. Die genaue extraterritoriale Reichweite wird durch die Durchführungsverordnungen geklärt. Organisationen mit UAE-Kunden oder -Nutzern sollten ihre Pflichten unabhängig vom Standort des Hauptsitzes bewerten.
Wie führe ich eine DPIA für ein KI-Projekt unter dem UAE PDPL durch?
Gemäß Artikel 21 ist eine DPIA für Verarbeitungen erforderlich, die wahrscheinlich ein hohes Risiko mit sich bringen: automatisierte Entscheidungsfindung, groß angelegtes Profiling, Verarbeitung sensibler Daten oder grenzüberschreitende Übermittlungen in nicht-angemessene Rechtsräume. Die DPIA sollte dokumentieren: Art und Zweck der Verarbeitung, Notwendigkeitsbewertung, identifizierte Risiken und Minderungsmaßnahmen. Aktualisieren Sie die DPIA, wenn sich Umfang oder Zweck ändern.
Benötige ich unter dem PDPL einen Auftragsverarbeitungsvertrag (DPA) mit meinem Cloud-KI-Anbieter?
Ja — wenn ein Cloud-Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, benötigen Sie eine vertragliche Vereinbarung, die seine Verarbeitungspflichten regelt, ähnlich einem DPA nach Artikel 28 DSGVO. Cloud-KI-Anbieter sollten einen UAE-PDPL-konformen Auftragsverarbeitungsvertrag anbieten. Ist eine grenzüberschreitende Übermittlung beteiligt, sind zusätzlich SCCs oder BCRs erforderlich (Vorlagen der Durchführungsverordnungen stehen aus).
Was ist der Unterschied zwischen dem Festland-PDPL, dem DIFC-Recht und dem ADGM-Recht?
Festland-UAE-Einheiten unterliegen dem föderalen PDPL (Federal Decree-Law No. 45 of 2021). DIFC-Einheiten folgen dem DIFC Data Protection Law No. 5 of 2020 (geändert im Juli 2025). ADGM-Einheiten folgen den ADGM Data Protection Regulations. Das PDPL schließt Freizonen mit eigenen Gesetzen ausdrücklich aus. Konzerne mit mehreren Einheiten müssen jede juristische Einheit ihrem geltenden Regime zuordnen.
Welche Open-Weight-KI-Modelle eignen sich am besten für die souveräne UAE-Bereitstellung?
Drei starke Optionen: Falcon 3 (1B–10B, vom Technology Innovation Institute, Abu Dhabi — eine UAE-native Modellfamilie), Jais (13B–30B, von Core42/G42/MBZUAI, Abu Dhabi — Arabisch-Englisch zweisprachig) und Llama 3.1 (8B–70B, Meta, Apache 2.0). Alle können mit Ollama oder vLLM on-premise bereitgestellt werden. Falcon und Jais sind besonders auf die KI-Souveränitätsziele der UAE ausgerichtet. Siehe unseren Leitfaden zu den besten arabischen lokalen LLMs.
Quellen
- UAE Federal Decree-Law No. 45 of 2021 zum Schutz personenbezogener Daten — uaepdpl.com
- UAE Data Office (UAEDO) — uaedataoffice.gov.ae
- DIFC Data Protection Law No. 5 of 2020 und Amendment Law No. 1 of 2025 — difc.ae/business/laws-and-regulations/
- ADGM Data Protection Regulations — adgm.com/setting-up/financial-services-regulations
- CBUAE Sovereign Financial Cloud Services Infrastructure (SFCSI) Ankündigung, February 25, 2026 — centralbank.ae
- Securiti UAE PDPL Overview — securiti.ai/uae-personal-data-protection-law
- Chambers and Partners — Data Protection & Privacy 2026, UAE — practiceguides.chambers.com