Welche Golfstaaten verfügen über Datenschutzgesetze, und wie unterscheiden sie sich?
Kurze Antwort: Fünf der sechs GCC-Staaten verfügen mittlerweile über umfassende Datenschutzgesetze — Saudi-Arabien, die VAE, Bahrain, Katar und Oman. Kuwait bildet die Ausnahme und verfolgt stattdessen einen sektoralen Ansatz. Die Unterschiede liegen vor allem in der Strenge der Einwilligungsanforderungen, der Präferenz für Datenlokalisierung und dem Übermittlungsmechanismus.
Das regionale Bild
| Rechtsraum | Status | Unterscheidungsmerkmal |
|---|---|---|
| Saudi-Arabien | PDPL in Kraft (volle Wirksamkeit ab September 2024) | Stärkste Präferenz für Lokalisierung; von der SDAIA genehmigte SCCs |
| VAE | Bundesdekret-Gesetz 45/2021 | DSGVO-ähnliche Rechtsgrundlagen; DIFC und ADGM betreiben eigenständige Regelwerke |
| Bahrain | In Kraft seit 2019 | Stark an der DSGVO orientiert; extraterritoriale Reichweite; ausgereifte Durchsetzung |
| Katar | In Kraft seit 2017 | Früheste Regelung in der Region; stärker einwilligungszentriert |
| Oman | Volle Wirksamkeit 5. Februar 2026 | Orientiert sich an DSGVO-Grundsätzen; Übergangsfrist läuft aus |
| Kuwait | Kein umfassendes Gesetz | Nur sektoral — CITRA-Regelung für Telekommunikation und IT |
Status zum Zeitpunkt der Veröffentlichung; bitte mit lokaler Rechtsberatung bestätigen.
Die wichtigste Unterscheidungsachse
In der Praxis unterscheiden sich diese Regelwerke vor allem in zwei Punkten:
- Strenge der Einwilligung. Katar und Saudi-Arabien tendieren zu einem einwilligungszentrierten Ansatz. Die VAE erlauben eine breitere Palette an Rechtsgrundlagen, näher an der DSGVO.
- Präferenz für Lokalisierung. Saudi-Arabien ist hier am strengsten; die VAE und Katar verfolgen einen stärker risikobasierten, schutzmaßnahmenorientierten Ansatz.
Warum eine Architektur alle sechs beantwortet
Die Regelwerke sind sich beim Mechanismus uneinig, stimmen aber in der Substanz überein: das Minimum erheben, es absichern, kontrollieren, wohin es gelangt.
Da Cyber Crucible niemals Schlüssel, Zugangsdaten, Token oder Inhalte erhebt und air-gapped mit null ausgehender Telemetrie betrieben werden kann, fällt die Antwort auf die Frage „Welche personenbezogenen Daten hält dieser Anbieter, und wohin gelangen sie?" in jedem dieser Regelwerke kurz aus. Wer die strengste Anforderung — Saudi-Arabien — erfüllt, deckt die übrigen mit ab.
Oman hat kurzfristig Priorität für alle, die ihren Stack noch nicht überprüft haben, angesichts des Termins im Februar 2026.
Länderspezifische Details finden sich in den Country Compliance Guides.