# VAE PDPL für SMS- und WhatsApp-Marketing im Jahr 2026: Einwilligung, grenzüberschreitende Übermittlungen und der aktuelle Stand der Gesetzgebung

> Das Datenschutzgesetz der VAE ist seit dem 2. Januar 2022 in Kraft, doch die Durchführungsverordnungen waren zum Zeitpunkt unserer Prüfung im September 2026 noch nicht im Portal für Bundesgesetzgebung zu finden. Dies sind die Auswirkungen auf SMS- und WhatsApp-Marketing: Einwilligung, Abmeldung, grenzüberschreitende Übermittlungen, die Ausnahmen für DIFC und ADGM, OTP-Verkehr und eine praktische Checkliste.

- Kanonische URL: https://www.broadnet.me/de/blog/uae-pdpl-sms-whatsapp-marketing-2026
- Sprache: de
- Zuletzt aktualisiert: 2026-10-20
- Herausgeber: BroadNet (https://www.broadnet.me)

- Veröffentlicht: 2026-09-26
- Autor: BroadNet Regulatory Affairs

Das Datenschutzgesetz der VAE (PDPL), das Bundesdekret-Gesetz Nr. 45 von 2021, gilt seit dem 2. Januar 2022 und legt die Einwilligung als standardmäßige Rechtsgrundlage für die Verarbeitung personenbezogener Daten fest, wobei es eine kurze Liste von Ausnahmen gibt, die das Marketing nicht umfasst. Für SMS- und WhatsApp-Kampagnen bedeutet dies eine nachweisbare Opt-in-Einwilligung, eine einfache Möglichkeit zum Widerruf sowie das Recht jedes Empfängers, Direktmarketing zu untersagen. Die Durchführungsverordnungen, die Fristen für Verstöße, Kontrollen bei Übermittlungen und die sechsmonatige Compliance-Frist festlegen, waren bei unserer Prüfung im September 2026 noch nicht im VAE-Gesetzgebungsportal gelistet, während die Spam-Richtlinie der TDRA bereits strikte Regeln für jeden Marketingtext mit einem VAE-Link vorgibt.

> Dieser Leitfaden fasst den Stand der öffentlichen Gesetzestexte zum 26. September 2026 zusammen. Es handelt sich um allgemeine Informationen, nicht um Rechtsberatung — bestätigen Sie Ihre Verpflichtungen mit einem Rechtsbeistand oder der zuständigen Behörde, bevor Sie sich auf diese Informationen verlassen.

## Wichtigste Erkenntnisse

- Der PDPL wurde am 20. September 2021 erlassen, am 26. September 2021 im Amtsblatt veröffentlicht und trat am 2. Januar 2022 in Kraft. Er gilt für Unternehmen innerhalb der VAE sowie für Unternehmen im Ausland, die personenbezogene Daten von Personen in den VAE verarbeiten.
- Artikel 4 untersagt die Verarbeitung personenbezogener Daten ohne die Einwilligung der betroffenen Person und listet Ausnahmen wie die Erfüllung eines Vertrags oder die Einhaltung einer gesetzlichen Verpflichtung auf. Marketing gehört nicht dazu, weshalb die Opt-in-Einwilligung die praktische Grundlage für werbliche SMS und WhatsApp bildet.
- Artikel 17 gibt jedem das Recht, der Verarbeitung zu Zwecken des Direktmarketings, einschließlich des damit verbundenen Profilings, zu widersprechen und diese zu stoppen.
- Die Durchführungsverordnungen sollten innerhalb von sechs Monaten nach dem Gesetz vorliegen, waren jedoch zum Zeitpunkt unserer Prüfung noch nicht im Portal für Bundesgesetzgebung aufgeführt. Unternehmen haben ab deren Erlass sechs Monate Zeit, um ihren Status zu regulieren (Artikel 29).
- Unternehmen in Freizonen mit eigener Datenschutzgesetzgebung — die DIFC und ADGM — fallen nicht unter den PDPL und folgen ihren eigenen Gesetzen.
- Zudem schreibt die Richtlinie der TDRA die Aufzeichnung von Opt-in-Einwilligungen vor, eine Abmeldung in jeder Marketing-SMS, eine AD-Absenderkennung sowie das Verbot von Marketing-Texten zwischen 21:00 und 07:00 Uhr.

## Was ist der PDPL der VAE und auf wen findet er Anwendung?

Das Bundesdekret-Gesetz Nr. 45 von 2021 zum Schutz personenbezogener Daten ist das bundesweite Datenschutzgesetz der VAE. Das Portal für die Gesetzgebung der VAE führt es als aktiv auf, erlassen am 20. September 2021, veröffentlicht im Amtsblatt Nr. 712 (Ergänzung) am 26. September 2021 und in Kraft seit dem 2. Januar 2022. Gemäß Artikel 2 gilt es für jede betroffene Person mit Wohnsitz oder Geschäftssitz in den VAE, für jeden Verantwortlichen oder Auftragsverarbeiter in den VAE (unabhängig vom Standort der betroffenen Person) sowie für jeden Verantwortlichen oder Auftragsverarbeiter außerhalb der VAE, der personenbezogene Daten von betroffenen Personen innerhalb des Landes verarbeitet. Eine Marke in Europa oder Asien, die Kunden in Dubai per SMS kontaktiert, fällt somit in den Anwendungsbereich.

Personenbezogene Daten sind weit gefasst definiert – Name, Stimme, Bild, Identifikationsnummer, elektronische Kennung und Standort sind alle aufgeführt – daher stellt eine Mobilfunknummer, die mit einem Kundendatensatz verknüpft ist, personenbezogene Daten dar. Artikel 2 schließt Regierungsdaten und -behörden, Sicherheits- und Justizdaten, die rein private Nutzung sowie Gesundheits- und Bankdaten, die ihrer eigenen Gesetzgebung unterliegen, sowie Unternehmen in Freizonen mit eigener Datenschutzgesetzgebung aus.

## Ist der PDPL im Jahr 2026 vollständig in Kraft?

Das Gesetz ist in Kraft; die Details fehlen jedoch. Artikel 28 forderte innerhalb von sechs Monaten Durchführungsverordnungen, und mehrere Verpflichtungen hängen von diesen ab: die Frist für die Benachrichtigung bei Datenschutzverletzungen (Artikel 9), die Schwellenwerte für einen Datenschutzbeauftragten (Artikel 10) und die Kontrollen für grenzüberschreitende Übermittlungen (Artikel 23). Artikel 26 überlässt Verstöße und Verwaltungssanktionen einer separaten Entscheidung des Kabinetts.

Als wir am 26. September 2026 nachprüften, waren im Portal für die Gesetzgebung der VAE keine Durchführungsverordnungen aufgeführt: Die Seite des Gesetzes, wie sie am 27. August 2026 erfasst wurde, zeigte immer noch den 20. September 2021 als letzte Aktualisierung an, und die Liste der zugehörigen Gesetzgebung nannte keine Durchführungsverordnung. Das Regierungsportal u.ae (aktualisiert am 4. Dezember 2025) besagt, dass das UAE Data Office, das durch das Bundesdekret-Gesetz Nr. 44 von 2021 errichtet wurde, "als bundesweite Datenschutzbehörde fungieren wird". Einige kommerzielle Websites geben an, dass die Verordnungen im Jahr 2026 erlassen wurden; betrachten Sie dies als unbestätigt, es sei denn, es wird eine Nummer einer Kabinettsentscheidung zitiert, die Sie im offiziellen Portal abrufen können.

Artikel 29 räumt Verantwortlichen und Auftragsverarbeitern nach deren Erlass sechs Monate Zeit zur Umsetzung ein, die einmalig durch das Kabinett verlängert werden kann – Programme, die den Text des Gesetzes bereits erfüllen, müssen also nur wenig ändern.

## Benötigen Sie für Marketing-SMS und WhatsApp in den VAE eine Einwilligung?

Ja, in der Praxis. Artikel 4 beginnt mit einem Verbot – "Es ist untersagt, personenbezogene Daten ohne die Einwilligung des Eigentümers zu verarbeiten" – und listet dann elf Ausnahmen auf, wie etwa die Erfüllung eines Vertrags mit der betroffenen Person oder die Erfüllung einer Verpflichtung nach einem anderen Gesetz der VAE. Es gibt keine allgemeine Ausnahme für "berechtigte Interessen" wie im DIFC-Gesetz, daher hat eine Werbekampagne an Personen, die nie eingewilligt haben, keine offensichtliche Rechtsgrundlage.

Die Einwilligung muss in einer „spezifischen, eindeutigen und unmissverständlichen Weise“ durch eine „eindeutige positive Erklärung oder Handlung“ erfolgen (Artikel 1). Gemäß Artikel 6 muss der Verantwortliche in der Lage sein, dies nachzuweisen; die Anfrage muss „klar, einfach, unmissverständlich und leicht zugänglich“ sein und das Recht beinhalten, die Einwilligung jederzeit problemlos zu widerrufen. Artikel 13 ergänzt, dass die Personen vor Beginn der Verarbeitung über die Zwecke, die Empfänger der Daten innerhalb und außerhalb der VAE sowie über die Schutzmaßnahmen für die grenzüberschreitende Verarbeitung informiert werden müssen.

Die Telekommunikationsvorschriften verfolgen denselben Ansatz: Die Regulatory Policy der TDRA zu unaufgeforderten elektronischen Kommunikationen (Version 1.1, 13. Juni 2022) deckt alle Textnachrichten mit einem VAE-Bezug ab, einschließlich solcher, deren Empfänger in den VAE ansässig ist, und verbietet die Zustellung von Marketing-Texten ohne nachgewiesene Einwilligung. WhatsApp ergänzt die Richtlinie von Meta: Unternehmen müssen eine Opt-in-Genehmigung einholen, die „bestätigt, dass der Empfänger nachfolgende Nachrichten oder Anrufe von einem bestimmten Unternehmen erhalten möchte“, den Namen dieses Unternehmens nennen und die geltenden Gesetze einhalten. Siehe [WhatsApp Business API](https://www.broadnet.me/products/whatsapp-business-api).

## Was verlangt die TDRA für Marketing-Texte?

Die Richtlinie bindet die lizenzierten Netzbetreiber, die diese in jeden Messaging-Service-Vertrag aufnehmen müssen, sodass jede Marke, die über sie sendet, diese Vorgaben übernimmt:

| Anforderung | Inhalt der TDRA-Richtlinie | Klausel |
|---|---|---|
| Opt-in-Einwilligung | Keine Marketing-Texte, es sei denn, die Einwilligung des Empfängers wurde eingeholt, verifiziert und nachgewiesen | 8.2, 9.2.2 |
| Einwilligungsnachweis | Datum, Uhrzeit, der Wortlaut oder Inhalt, mit dem der Kunde seine Einwilligung erteilt hat, Identität und Telefonnummer; wird aufbewahrt, solange Marketing-Texte versendet werden | 5.6, 5.7 |
| Einwilligungsanfragen | Eine Marke (Messaging-Service-Abonnent) darf die Einwilligung nicht über SMS oder einen Sprachanruf einholen | 9.2.5 |
| Abmeldung | Jeder Marketing-Text muss eine kostenlose Möglichkeit zur Abmeldung enthalten; Texte dürfen nicht dazu verwendet werden, Personen von der Abmeldung abzubringen | 5.8–5.10 |
| Absenderkennung | Marketing-Absender tragen den AD-Code, gefolgt vom Namen des Absenders | 8.8 |
| Sendezeiten | Keine Marketingtexte zwischen 21:00 Uhr und 07:00 Uhr | 8.3, 9.2.4 |
| Recycelte Nummern | Einwilligungen, die an eine Nummer gebunden sind, die den Besitzer wechselt, werden widerrufen | 8.11 |

Für das Telemarketing gilt eine weitere Regelung. Die Cabinet Resolution No. 56 von 2024 beschränkt Marketinganrufe auf den Zeitraum von 9:00 bis 18:00 Uhr und untersagt die Kontaktaufnahme mit Nummern im Do Not Call Register; zudem umfasst ihre Definition von Telemarketing auch Marketing-Textnachrichten. Wir erläutern die Überschneidungen in [VAE-Kabinettsbeschluss 56 erklärt](https://www.broadnet.me/blog/uae-tdra-cabinet-decision-56-explained); die Zusammenfassung für das Land finden Sie unter [SMS-Vorschriften in den VAE](https://www.broadnet.me/regulations/uae), und der vollständige Prozess für die Absenderkennung ist in [Absenderkennung in den VAE registrieren](https://www.broadnet.me/answers/sender-id-registration-uae-tdra) beschrieben.

## Behandelt der PDPL OTPs und transaktionale Nachrichten unterschiedlich?

Das Gesetz nennt keine spezifischen Nachrichtentypen, aber seine Ausnahmen übernehmen die Einordnung. Ein Einmalpasswort, das der Nutzer gerade angefordert hat, eine Lieferaktualisierung oder ein Beleg sind für die Erbringung der Dienstleistung erforderlich und fallen somit unter die vertragliche Ausnahme in Artikel 4(9). Werbebotschaften unterliegen keiner solchen Ausnahme, und Artikel 17 erlaubt es dem Empfänger, diese jederzeit zu stoppen. Die TDRA-Richtlinie zielt gleichermaßen nur auf Marketingtexte ab – also solche, die Waren, Dienstleistungen oder Geschäftsmöglichkeiten anbieten oder bewerben oder um Spenden bitten.

Halten Sie die Kanäle getrennt: separate Absenderkennungen (AD- ist nur für Marketing), separate Vorlagen und keine Angebote innerhalb eines OTP oder einer Bestellbestätigung – andernfalls wird dies als Marketing eingestuft. Banken unterliegen einem zusätzlichen Authentifizierungsregime, das in [Ist SMS OTP verboten?](https://www.broadnet.me/blog/sms-otp-bank-regulation-uae-india-philippines-2026) behandelt wird; siehe auch [OTP](https://www.broadnet.me/products/otp).

| Nachricht | Typische Grundlage unter der PDPL | Gelten TDRA-Marketingregeln? | Abmeldung |
|---|---|---|---|
| OTP oder Login-Code, den der Nutzer angefordert hat | Vertrag / Dienstleistung, die der Nutzer angefordert hat (Art. 4(9)) | Nein — kein Marketingtext | Nicht auf den Code selbst anwendbar |
| Bestell-, Liefer- oder Terminaktualisierung | Vertrag (Art. 4(9)) | Nein, sofern es kein Angebot enthält | Präferenz-Einstellung anbieten |
| Gesetzlich vorgeschriebene Mitteilung | Rechtliche Verpflichtung nach einer anderen Rechtsvorschrift (Art. 4(10)) | Nein | Nicht anwendbar |
| Werbung, Angebot oder Newsletter | Einwilligung (Art. 4, Art. 6) | Ja — Opt-in, AD-Absender, Abmeldung, 07:00–21:00 | Verpflichtend; unverzüglich umsetzen (Art. 17) |

## Dürfen Kundendaten die VAE verlassen?

Ja, innerhalb gewisser Grenzen. Artikel 22 erlaubt Übermittlungen in Länder, die über eine Datenschutzgesetzgebung mit einer gerichtlichen oder regulatorischen Behörde verfügen, die diese durchsetzen kann, oder mit denen die VAE ein bilaterales oder multilaterales Datenschutzabkommen haben, sofern dies vom UAE Data Office genehmigt wurde. Besteht kein solcher Schutz, erlaubt Artikel 23 dennoch eine Übermittlung auf Basis eines Vertrages, der den Empfänger an die gesetzlichen Standards bindet, unter der ausdrücklichen Einwilligung der betroffenen Person (sofern die Übermittlung nicht im Widerspruch zum öffentlichen Interesse oder der Sicherheit der VAE steht), oder wenn die Übermittlung zur Erfüllung eines Vertrages mit der betroffenen Person erforderlich ist, unter anderem. Die detaillierten Kontrollen werden wiederum den Durchführungsverordnungen überlassen.

Das PDPL legt keine pauschale Lokalisierungsvorschrift fest, aber Artikel 7 schreibt vor, dass Ihr Verarbeitungsverzeichnis „alle Daten im Zusammenhang mit der grenzüberschreitenden Bewegung und Verarbeitung“ personenbezogener Daten enthalten muss. Fragen Sie jeden Anbieter, wo Kontaktlisten, Nachrichteninhalte und Zustellberichte gespeichert werden; die Optionen von BroadNet finden Sie auf unserer Seite zum Thema [Data Residency](https://www.broadnet.me/security/data-residency).

## Wie verhält es sich mit Unternehmen in DIFC und ADGM?

Artikel 2 des PDPL schließt „Unternehmen und Betriebe in Freizonen“ aus, die über eine eigene Datenschutzgesetzgebung verfügen. Zwei Finanzfreizonen tun dies: Das Dubai International Financial Centre wendet sein Datenschutzgesetz, das DIFC Gesetz Nr. 5 von 2020 (konsolidiert im Juli 2025 nach Änderungen in 2022 und 2025), auf Verantwortliche und Auftragsverarbeiter an, die in der DIFC ansässig sind, sowie auf die Verarbeitung in der DIFC; der Abu Dhabi Global Market erließ am 14. Februar 2021 seine Data Protection Regulations 2021, die von seinem eigenen Office of Data Protection beaufsichtigt werden.

Die praktischen Unterschiede für Marketer: Das DIFC-Gesetz führt berechtigte Interessen neben der Einwilligung (Artikel 10) als Rechtsgrundlage auf und gibt Einzelpersonen das Recht, jederzeit der Verarbeitung zu Direktmarketingzwecken zu widersprechen. Ein Unternehmen in diesen Zonen folgt dem jeweiligen Zonengesetz zum Datenschutz — aber seine Marketingtexte werden dennoch über Netzwerke der VAE übertragen, sodass die Regeln des TDRA zu Einwilligung, Abmeldung, AD- und Zeitfenstern weiterhin für die SMS selbst gelten.

## UAE PDPL-Checkliste für SMS- und WhatsApp-Marketing

1. Ermitteln Sie, welche Systeme VAE-Nummern, Nachrichteninhalte und Zustellberichte speichern, und halten Sie die Rechtsgrundlage für jeden Datenfluss fest — Vertrag für OTPs, Einwilligung für Marketing (Artikel 7).
2. Holen Sie die Marketing-Einwilligung durch eine eindeutige, positive Handlung über ein Webformular, einen App-Bildschirm oder im Geschäft ein, niemals durch eine unaufgeforderte SMS oder einen Anruf, und nennen Sie Ihren Unternehmensnamen.
3. Speichern Sie den Nachweis der Einwilligung: Datum, Uhrzeit, angezeigter Wortlaut, Identität und Nummer (TDRA 5.6) und bewahren Sie diesen so lange auf, wie Sie Nachrichten versenden.
4. Fügen Sie jeder Marketing-SMS eine kostenlose, funktionierende Abmeldung hinzu und respektieren Sie Widersprüche gegen Direktmarketing unverzüglich (PDPL Artikel 17).
5. Verwenden Sie eine AD-Absenderkennung für Werbezwecke und einen separaten Absender für OTPs und Warnmeldungen; halten Sie Angebote aus transaktionalen Vorlagen fern.
6. Planen Sie Werbeversandzeiten zwischen 07:00 und 21:00 Uhr UAE-Zeit und prüfen Sie das engere Zeitfenster der Resolution 56 mit Ihrem Rechtsbeistand.
7. Informieren Sie die Personen vor der Verarbeitung darüber, wohin ihre Daten fließen, auch ins Ausland, und fügen Sie Transferklauseln in jeden Lieferantenvertrag ein (Artikel 13, 22 und 23).
8. Erstellen Sie jetzt einen Plan zur Reaktion auf Datenschutzverletzungen; die Durchführungsverordnungen werden die Meldefrist festlegen, und Sie werden nach deren Erlass sechs Monate Zeit haben, um die Anforderungen zu erfüllen.

> BroadNet ist seit 2003 im Geschäft, hat seinen Hauptsitz in der Dubai Internet City, hält ISO 27001, ISO 27018 sowie SOC 2 Type II und übernimmt im Rahmen des Onboardings die Registrierung der UAE-Absenderkennung bei den Netzbetreibern. Siehe [A2P SMS](https://www.broadnet.me/products/a2p-sms) und [UAE-Abdeckung](https://www.broadnet.me/coverage/uae).

## Häufig gestellte Fragen

### Ist die UAE PDPL bereits in Kraft?

Ja. Das Bundesdekretgesetz Nr. 45 von 2021 ist seit dem 2. Januar 2022 in Kraft; lediglich die entsprechenden Durchführungsverordnungen stehen noch aus.

### Wurden die PDPL-Durchführungsverordnungen bereits erlassen?

Nach den offiziellen Aufzeichnungen bisher nicht. Artikel 28 sah deren Erlass innerhalb von sechs Monaten nach Inkrafttreten des Gesetzes vor, aber zum Zeitpunkt unserer Prüfung im September 2026 war im Portal für die Gesetzgebung der VAE keine Durchführungsverordnung gelistet. Sobald diese erlassen werden, gewährt Artikel 29 den Unternehmen sechs Monate Zeit für die Umsetzung.

### Benötige ich eine Einwilligung, um Marketing-SMS in den VAE zu versenden?

Ja. Das PDPL verbietet die Verarbeitung personenbezogener Daten ohne Einwilligung, sofern keine Ausnahme vorliegt; Marketing gehört nicht zu diesen Ausnahmen. Die Richtlinien des TDRA untersagen zudem separat die Zustellung von Marketingtexten, sofern die Einwilligung des Empfängers nicht eingeholt, verifiziert und nachgewiesen wurde.

### Findet das PDPL auch auf Unternehmen außerhalb der VAE Anwendung?

Ja. Artikel 2 erstreckt sich auf Verantwortliche und Auftragsverarbeiter außerhalb der VAE, die personenbezogene Daten von betroffenen Personen innerhalb der VAE verarbeiten. Somit fällt eine ausländische Marke, die SMS an Einwohner der VAE versendet, in den Anwendungsbereich.

### Fallen OTP-Nachrichten unter das PDPL?

Das Gesetz findet Anwendung, aber ein vom Nutzer angefordertes Einmalpasswort fällt unter die vertragliche Ausnahme in Artikel 4, und OTPs sind keine Marketingtexte. Daher gelten die TDRA-Regeln zu Opt-in, AD-Kennung und Versandzeiten für sie nicht.

### Wie hoch sind die Bußgelder gemäß dem VAE PDPL?

Das Gesetz legt diese nicht fest. Artikel 26 überlässt die Liste der Verstöße und Verwaltungssanktionen einer Kabinettsentscheidung, die wir bis September 2026 nicht veröffentlicht finden konnten. Behandeln Sie jede spezifische Bußgeldhöhe, die ohne Entscheidungsnummer angegeben wird, mit Vorsicht.

### Gilt die PDPL in DIFC und ADGM?

Nein. Unternehmen in Freizonen mit eigener Datenschutzgesetzgebung sind ausgeschlossen. Die DIFC wendet das DIFC Law No. 5 of 2020 an und die ADGM ihre Data Protection Regulations 2021; die SMS-Regeln der TDRA gelten jedoch weiterhin für Marketingtexte, die aus diesen Zonen versendet werden.

### Zu welchen Zeiten darf ich in den VAE Marketing-SMS versenden?

Die TDRA-Richtlinie untersagt Marketing-Texte zwischen 21:00 Uhr und 7:00 Uhr. Die Cabinet Resolution No. 56 von 2024 beschränkt Marketing-Anrufe auf 9:00 Uhr–18:00 Uhr und definiert Telemarketing so, dass es auch Marketing-Texte einschließt; daher nutzen viele Absender das engere Zeitfenster; bitte mit der Rechtsabteilung klären.

Wir haben alle untenstehenden Texte am 26. September 2026 gelesen und dabei Kopien von web.archive.org verwendet, falls eine offizielle Website unsere Server blockiert hat; siehe unsere [Redaktionsrichtlinien](https://www.broadnet.me/about/editorial-standards).

## Quellen

- Bundesdekret-Gesetz Nr. (45) von 2021 zum Schutz personenbezogener Daten, offizieller englischer Text, UAE Legislation Portal (abgerufen am 26. September 2026 aus der web.archive.org-Kopie vom 7. September 2026): [uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972).
- UAE Legislation Portal — Gesetzeseite (Status, Veröffentlichung, Amtsblatt und Inkrafttreten) wie am 27. August 2026 erfasst, sowie zugehörige Gesetzgebungen wie am 5. Januar 2026 erfasst: [uaelegislation.gov.ae](https://uaelegislation.gov.ae/en/legislations/1972/related-legislations).
- Das offizielle Portal der Regierung der VAE — Datenschutzgesetze, aktualisiert am 4. Dezember 2025 (abgerufen am 26. September 2026): [u.ae](https://u.ae/en/about-the-uae/digital-uae/data/data-protection-laws).
- TDRA — Richtlinie zur Regulierung unerwünschter elektronischer Kommunikation, Version 1.1, 13. Juni 2022 (eingesehen über die web.archive.org-Kopie): [tdra.gov.ae](https://tdra.gov.ae/-/media/About/regulations-and-ruling/EN/cellular-phone-spam-regulatory-policy-English.ashx).
- DIFC — Datenschutzgesetz, DIFC Gesetz Nr. 5 von 2020, konsolidierte Fassung Juli 2025 (abgerufen am 26. September 2026): [difc.com](https://www.difc.com/business/laws-and-regulations/legal-database/difc-laws/data-protection-law-difc-law-no-5-2020).
- ADGM — ADGM erlässt seine neuen Datenschutzbestimmungen 2021, 14. Februar 2021: [adgm.com](https://www.adgm.com/media/announcements/adgm-enacts-its-new-data-protection-regulations-2021).
- Meta — WhatsApp Business Plattform, Einholung der Einwilligung (abgerufen am 26. September 2026): [developers.facebook.com](https://developers.facebook.com/docs/whatsapp/overview/getting-opt-in).
- Ministerium für Wirtschaft — Briefing zu den Kabinettsbeschlüssen Nr. 56 und Nr. 57 von 2024, 29. August 2024: [moet.gov.ae](https://www.moet.gov.ae/en/-/ministry-of-economy-and-telecommunications-and-digital-government-regulatory-authority-review-regulatory-legislations-in-organizing-operational-mechanisms-for-telemarketing-companies-in-the-uae-and-enhancing-consumer-protection-in-line-with-best-practices).