Tansanias Datenschutzgesetz 2022, PDPC und KI im Unternehmen

Ob in Dar es Salaam oder Arusha: KI-Assistenten gehören inzwischen zu den normalen Arbeitswerkzeugen. Ein Spediteur im Hafen lässt die Korrespondenz mit einem chinesischen Kunden übersetzen, ein Safari-Veranstalter erstellt Angebote mit ChatGPT, das Kreditteam einer Bank fasst Kundenakten mit Copilot zusammen. Der Nutzen ist greifbar, gerade in einem Land, in dem zwischen Swahili und Englisch gearbeitet wird.

Doch bei jeder dieser Nutzungen verlassen Daten das Unternehmen. Seit dem Inkrafttreten des Personal Data Protection Act von 2022 hat Tansania einen klaren Rahmen für diese Datenflüsse, mit einer eigenen Behörde und genauen Pflichten. Die meisten Mitarbeitenden denken dabei an Effizienz, nicht an Datenschutz. Gerade deshalb lohnt sich ein genauer Blick auf die Regeln. Das sollten Unternehmen wissen.

Das Gesetz von 2022 und die Datenschutzkommission

Das Parlament verabschiedete den Personal Data Protection Act (Gesetz Nr. 11 von 2022) am 1. November 2022, in Kraft trat er am 1. Mai 2023. Er schafft die Personal Data Protection Commission, kurz PDPC, die über seine Anwendung wacht. Zwei Verordnungen von 2023 ergänzen ihn: eine zur Erhebung und Verarbeitung von Daten, eine zur Bearbeitung von Beschwerden.

Das Gesetz gilt für öffentliche und private Organisationen gleichermaßen. Es enthält zudem eine breite Liste sensibler personenbezogener Daten: genetische und biometrische Daten, Daten über Kinder, Informationen zu Finanztransaktionen, Gesundheitsdaten, ethnische oder tribale Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen und Gewerkschaftszugehörigkeit.

Pflicht zur Registrierung bei der PDPC

Das ist die sichtbarste Pflicht des Gesetzes. Wer in Tansania personenbezogene Daten erheben oder verarbeiten will, muss bei der Kommission registriert sein. Das Zertifikat gilt fünf Jahre, die Verlängerung ist drei Monate vor Ablauf zu beantragen. Die PDPC hat die Registrierungsfrist mehrfach verschoben und schließlich den 30. April 2025 als endgültigen Termin festgelegt.

Für ein Unternehmen, das KI einführt, ist die Registrierung kein bloßer Verwaltungsakt. Sie beschreibt die durchgeführten Verarbeitungen. Nutzen Ihre Teams KI-Assistenten mit Kunden- oder Mitarbeiterdaten, muss diese Nutzung zu dem passen, was Sie angemeldet haben.

Die Sanktionen sind nicht symbolisch. Gibt ein Unternehmen Daten ohne Einwilligung weiter, drohen Geldstrafen von bis zu 5 Milliarden Tansania-Schilling. Führungskräfte, die den Verstoß genehmigt oder geduldet haben, können zudem persönlich haftbar gemacht werden.

Übermittlungen ins Ausland: die eigentliche KI-Frage

Fast alle öffentlichen KI-Assistenten verarbeiten Daten auf Servern außerhalb Tansanias. Praktisch wird damit jeder Prompt mit personenbezogenen Daten zu einer internationalen Übermittlung.

Das Gesetz verbietet solche Übermittlungen nicht, regelt sie aber. Sie sind zulässig, wenn das Zielland ein angemessenes Schutzniveau bietet oder geeignete Garantien bestehen. Die Kommission kann Übermittlungen in bestimmte Länder zudem einschränken, und jede gesetzwidrige Übermittlung ist verboten. Zusätzliche Formalitäten bei der Kommission können anfallen: Prüfen Sie diese, bevor Sie ein externes KI-Tool mit echten Daten nutzen.

Den Netzwerkzugang zu KI-Tools zu sperren, löst das Problem nicht, wie wir in warum Netzwerk-DLP an ChatGPT scheitert erklären.

KI und automatisierte Entscheidungen: was das Gesetz schon regelt

Ein eigenes KI-Gesetz hat Tansania noch nicht. Im September 2025 erklärte das Ministerium für Kommunikation und Informationstechnologie, es stelle eine nationale Leitlinie für den verantwortungsvollen Einsatz von KI fertig. Das Gesetz von 2022 enthält aber bereits eine sehr praktische Regel: Jede Person hat das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden.

Für eine Bank, die KI bei der Kreditvergabe testet, oder eine Personalabteilung, die Bewerbungen vorsortiert, bedeutet das: Ein Mensch muss tatsächlich mitentscheiden. Und man muss wissen, welche Daten das Tool verwendet hat.

Das Gesetz gibt Betroffenen außerdem das Recht, über die Erhebung ihrer Daten und deren Zweck informiert zu werden, Auskunft zu erhalten und Daten berichtigen zu lassen. Unternehmen müssen solche Anfragen klar beantworten können, auch dann, wenn ein KI-Tool beteiligt war.

Riskante Situationen in tansanischen Unternehmen

• Banken und Mobile Money: ein Transaktionsauszug, der zur Klärung eines Streitfalls in einen Assistenten kopiert wird.

• Logistik und Hafen: Manifeste und Empfängerlisten mit Namen, Telefonnummern und Ausweisnummern.

• Tourismus: Passkopien und medizinische Angaben von Reisenden, die zur Reiseplanung hochgeladen werden.

• Gesundheit: Patientenberichte, die in einer Privatklinik von einer KI zusammengefasst werden.

• Personalwesen: Lebensläufe und NIDA-Ausweisnummern, die massenhaft verglichen werden.

Was diese unsichtbare Nutzung kostet, zeigen wir in die realen Kosten von Schatten-KI 2026.

Aktionsplan für die Compliance

1. PDPC-Zertifikat bestätigen und prüfen, ob die KI-Nutzung zu den angemeldeten Verarbeitungen passt.

2. KI-Tools erfassen, nach Abteilung und Datenart.

3. Übermittlungen dokumentieren, die Tansania verlassen, samt den Garantien, die sie absichern.

4. Menschen in den Prozess einbinden bei jeder Entscheidung, die Kunden oder Mitarbeitende betrifft.

5. Daten an der Quelle filtern, bevor sie den Arbeitsplatz verlassen.

Für die strukturierte Einführung nutzen Sie unser 90-Tage-Rollout-Playbook für KI-DLP.

Zusammenfassung

Tansania hat sich für ein modernes Gesetz entschieden, mit Registrierungspflicht, strengen Regeln für Übermittlungen und einem ausdrücklichen Recht gegenüber automatisierten Entscheidungen. ZeusLock hilft Unternehmen, diese Regeln einzuhalten, ohne auf KI zu verzichten: Auf Geräten und Browsern installiert, erkennt es sensible Daten in Prompts und Dateien, anonymisiert sie formatbewahrend, warnt oder blockiert und protokolliert jedes Ereignis als Compliance-Nachweis.

Sie möchten sehen, wie das für Ihre Teams in Tansania funktioniert? Fordern Sie eine ZeusLock-Demo an.