B2B-Besuchererkennung in den Vereinigten Arabischen Emiraten

Nicht als Recht der VAE. Der föderale Rahmen ist Federal Decree-Law No. 45 of 2021 (PDPL) mit Aufsicht durch das UAE Data Office; Einheiten in den Freizonen DIFC oder ADGM unterliegen stattdessen den dortigen eigenen Datenschutzgesetzen und Aufsichtsbehörden. Die DSGVO kann über ihren extraterritorialen Anwendungsbereich parallel gelten, etwa wenn ein VAE-Unternehmen Personen in der EU adressiert. In der Praxis heißt das: Ein VAE-Reseller mit EU-Kunden muss unter Umständen zwei Regime gleichzeitig erfüllen, und ein europäischer Anbieter, der ans Festland verkauft, sollte konsequent unter dem PDPL antworten, statt vertraute DSGVO-Formulierungen unreflektiert zu übertragen. Das richtige Gesetz beim Namen zu nennen, fällt emiratischen Einkaufs- und Rechtsteams sofort auf.

Ja, und es sollte als Drittlandübermittlung dokumentiert werden. Das PDPL erlaubt Übermittlungen in Jurisdiktionen mit anerkannt angemessenem Schutzniveau und andernfalls auf Basis vertraglicher Garantien, ausdrücklicher Einwilligung oder weiterer definierter Gründe. lead.box verarbeitet Besucherdaten in ISO-zertifizierten EU-Rechenzentren und veröffentlicht Auftragsverarbeitungsvertrag und versionierte Subprozessoren-Liste als Nachweis der Garantien. Die eigene Übermittlungsbewertung eines VAE-Kunden sollte sich auf Verarbeitungsort, vertragliche Grundlage und Subprozessoren-Liste stützen, statt pauschal zu behaupten, es finde keine Übermittlung statt — das PDPL verlangt, die Bewegung von Daten aus den Emiraten heraus zu dokumentieren, nicht sie zu ignorieren.

Das Recht der jeweiligen Freizone. Eine DIFC-Einheit unterliegt dem DIFC Data Protection Law und dem DIFC Commissioner of Data Protection, eine ADGM-Einheit den ADGM-Regelungen und deren Aufsicht. Diese Regime stehen der DSGVO strukturell näher, mit eigenen Registrierungserwartungen, Übermittlungsmechanik und Durchsetzungspraxis — kläre daher den Freizonen-Sitz der vertragsschließenden Einheit, bevor du entscheidest, welchen Rahmen die Dokumentation adressiert. Viele Gruppen betreiben eine Festland-Handelseinheit neben einer DIFC- oder ADGM-Holding oder Finanzeinheit, und beide können unter unterschiedlichen Datenschutzregimen stehen, obwohl sie dieselbe Marke und dasselbe Bürogebäude teilen.

Die Einwilligung ist im PDPL die Hauptgrundlage, das Gesetz nennt aber alternative Gründe, darunter die Verarbeitung zur Wahrung berechtigter Interessen des Verantwortlichen unter Bedingungen und im Rahmen der Grundrechte der Betroffenen. Weil die Erkennung Organisationen und keine benannten Personen auflöst, zählen praktisch Transparenz in der Datenschutzerklärung, ein verfügbarer Widerspruchsweg und eine dokumentierte Abwägung von Interesse gegen Besucherrechte. Die endgültige Entscheidung, worauf du dich stützt und wie du das festhältst, bleibt bei dir als Verantwortlichem; lead.box liefert die technischen Fakten — keine Cookies nötig, kein Einzelprofiling — die diese Bewertung einfach machen.

Telekommunikation und bestimmte digitale Dienste in den VAE fallen unter die Telecommunications and Digital Government Regulatory Authority, TDRA, die Betreiber und ausgewählte digitale Dienste reguliert, nicht gewöhnliche Firmenwebsites. Ein Besuchererkennungs-Snippet ist kein Telekomdienst und fällt nicht unter die TDRA-Lizenzierung, dennoch braucht eine VAE-Seite eine korrekte Cookie- oder Tracking-Angabe, weil der Identifier von lead.box First-Party und funktional ist und kein Werbe-Cookie — genau diese Unterscheidung trennt ihn von den Tracking-Kategorien, auf die TDRA- und Verbraucherschutz-Hinweise abzielen. Das in der Datenschutzerklärung zu dokumentieren, nimmt der vorsichtigen IT- oder Rechtsabteilung den häufigsten Einwand vorweg.

Größere emiratische Gruppen und staatsnahe Einheiten führen häufig auch bei kleineren SaaS-Käufen einen dokumentierten Lieferantenrisikoprozess durch, prüfen Handelslizenz oder Freizonen-Registrierung der Gegenpartei und verlangen den Auftragsverarbeitungsvertrag samt Subprozessoren-Liste vor statt nach Vertragsschluss. Weil die Durchführungsdetails des PDPL noch reifen, ergänzen Prüfende sie oft mit einer internen Checkliste nach internationalen Standards — ein Anbieter mit bereits veröffentlichtem, versioniertem DPA und Subprozessoren-Register kommt hier schneller durch als einer, der maßgeschneiderte Klauseln entwerfen soll. Halte eigene Registrierungsangaben und einen VAE-Ansprechpartner bereit, da viele Prüfende einen Austausch von Firmenidentifikatoren auf Augenhöhe erwarten.

Eine generelle PDPL-Regel, die personenbezogene Daten wie bei manchen Golfstaaten im Regierungssektor zwingend im Land hält, existiert nicht, aber regulierte Sektoren — Banken unter der Zentralbank sowie bestimmte Regierungsstellen — können eigene Residenzerwartungen über das föderale Gesetz hinaus setzen. Für einen gewöhnlichen B2B-Käufer ist die Verarbeitung in ISO-zertifizierten EU-Rechenzentren im Rahmen einer dokumentierten Übermittlung akzeptierte Praxis; bei einer regulierten Finanz- oder Regierungsgegenpartei kläre früh, ob deren interne Richtlinie In-Country-Hosting verlangt, unabhängig davon, was das PDPL selbst erlaubt — diese Vorgabe steht über dem allgemeinen Gesetz, statt es zu ersetzen.

Der Tag ist ein kurzes First-Party-Skript; sobald er live ist, erscheinen typischerweise innerhalb eines Tages benannte Firmen, jeweils mit Branche, Größenklasse und besuchten Seiten, ohne persönliche Kontaktdaten. Von dort leiten VAE-Teams Treffer häufig direkt ins CRM oder per Webhook an den Vertrieb weiter, exportieren Listen als CSV oder Excel für regionale Distributoren, fügen Kolleginnen und Kollegen in Dubai und Abu Dhabi als weitere Sitzplätze hinzu und passen den Plan selbst an oder kündigen ihn ohne Rückhaltegespräch — ein Self-Service-Muster, das dem Umgang emiratischer B2B-Teams mit Software eher entspricht als ein fest verhandelter Vertrag.