Ugandas Datenschutzgesetz 2019 und KI: Compliance-Leitfaden PDPO

In Kampala gehört generative KI längst zum Büroalltag. Ein Bankanalyst lässt ChatGPT eine Kreditakte zusammenfassen, eine Kundenberaterin eines Telekomanbieters formuliert eine Antwort auf eine Beschwerde um, ein Personalleiter vergleicht Bewerbungen mit Copilot. Die Zeitersparnis ist echt, und kaum jemand möchte wieder darauf verzichten.

Das Problem ist, was mit der Anfrage mitreist. Eine nationale Identifikationsnummer, eine Telefonnummer mit Mobile-Money-Konto, eine Gehaltsabrechnung. In Uganda schützt ein konkretes Gesetz diese Informationen, der Data Protection and Privacy Act von 2019, und eine Aufsichtsbehörde erwartet, dass Unternehmen registriert sind und Rechenschaft ablegen können.

Ein Rechtsrahmen seit 2019

Der Data Protection and Privacy Act trat am 3. Mai 2019 in Kraft. Er baut auf Artikel 27 der ugandischen Verfassung auf, der die Privatsphäre bereits schützt. Die Durchführungsbestimmungen, die Data Protection and Privacy Regulations, gelten seit dem 12. März 2021.

Das Gesetz erfasst jede Person und jede Organisation, die in Uganda personenbezogene Daten erhebt, verarbeitet, speichert oder nutzt. Es gilt auch für Organisationen im Ausland, die Daten ugandischer Bürger verarbeiten. Eine regionale Tochtergesellschaft in Nairobi oder ein Shared-Service-Center in Dubai fällt also ebenfalls unter das Gesetz.

Das PDPO und die Registrierungspflicht

Die Aufsichtsbehörde heißt Personal Data Protection Office, kurz PDPO. Sie wurde durch das Gesetz geschaffen und ist bei der National Information Technology Authority angesiedelt, der NITA-U. Sie führt das nationale Datenschutzregister, nimmt Beschwerden entgegen und kann Abhilfemaßnahmen anordnen.

Ausländische Unternehmen überrascht oft die Registrierungspflicht. Die Verordnung von 2021 verpflichtet jeden Datensammler, Verantwortlichen und Auftragsverarbeiter, sich beim PDPO zu registrieren. Das gilt auch für Organisationen außerhalb Ugandas, die Daten ugandischer Bürger verarbeiten. Wer KI mit Kundendaten einsetzt, sollte also zuerst prüfen, ob das eigene Unternehmen im Register steht.

NIN und Mobile Money: Daten im Zentrum des Alltags

In Uganda fließen zwei Datenarten durch fast jedes Informationssystem.

• Die NIN, die nationale Identifikationsnummer der NIRA. Sie wird für die Kontoeröffnung, die Registrierung einer SIM-Karte und viele öffentliche Dienste verlangt.

• Mobile-Money-Kennungen, oft einfach eine Telefonnummer, verknüpft mit einer Transaktionshistorie. MTN MoMo und Airtel Money gehören für Millionen Ugander zum Alltag.

• Finanz- und Gesundheitsdaten, die das Gesetz als besondere personenbezogene Daten einstuft, zusammen mit religiösen oder weltanschaulichen Überzeugungen, politischen Meinungen und dem Sexualleben.

Ein Export von Mobile-Money-Transaktionen, der in einen KI-Assistenten kopiert wird, um „eine Auffälligkeit zu verstehen“, enthält fast immer mehrere dieser Elemente. Genau diese Art stiller Lecks beschreiben wir in der Anatomie eines KI-Datenlecks.

Was das Gesetz verlangt, wenn Ihre Teams KI nutzen

Kontrollierte Übermittlungen

Die meisten öffentlichen KI-Assistenten verarbeiten Daten außerhalb Ugandas. Das Gesetz erlaubt eine Verarbeitung oder Speicherung im Ausland nur, wenn das Zielland ein angemessenes Schutzniveau bietet oder die betroffene Person eingewilligt hat. Die Verordnung verbietet zudem die Weiterübermittlung in ein Drittland ohne Einwilligung. Ein Prompt mit Kundendaten kann so zu einer unzulässigen Übermittlung werden.

Meldung von Datenpannen

Hatte eine unbefugte Person möglicherweise Zugriff auf personenbezogene Daten, muss die Organisation das PDPO sofort informieren. Die Behörde entscheidet dann, ob die Betroffenen benachrichtigt werden. Registrierte Stellen reichen außerdem einen Jahresbericht über ihre Vorfälle ein.

Sanktionen, die auch die Leitung treffen

Die festen Geldbußen des Gesetzes sind oft niedrig, doch ein Gericht kann gegen ein Unternehmen eine Geldstrafe von bis zu 2 % des jährlichen Bruttoumsatzes verhängen. Für einige Verstöße drohen Freiheitsstrafen von bis zu zehn Jahren.

KI als nächster Schritt der Digitalpolitik Ugandas

Das Ministerium für IKT und Nationale Orientierung arbeitet an einer nationalen Strategie für neue Technologien, einschließlich KI. Sie wurde für Mitte 2026 angekündigt und soll ein Kapitel zu Ethik und Governance enthalten, das mit dem Gesetz von 2019 abgestimmt ist. Die Botschaft ist klar: KI soll sich innerhalb des bestehenden Datenschutzrahmens entwickeln, nicht daneben.

Unternehmen müssen also nicht auf ein eigenes KI-Gesetz warten. Die Regeln für ihre Prompts gibt es schon. Was unkontrollierte Nutzung kostet, zeigen wir in die realen Kosten von Schatten-KI 2026.

Aktionsplan in fünf Schritten

1. Registrierung prüfen beim PDPO, auch für Konzerngesellschaften außerhalb Ugandas.

2. KI-Nutzung erfassen nach Abteilung: Bankgeschäft, Kundenservice, Personal, Finanzen.

3. Verbotene Daten festlegen: NIN, Mobile-Money-Nummern, Gesundheitsdaten, Gehälter.

4. An der Quelle anonymisieren statt blockieren. Unser Artikel zur formatbewahrenden Anonymisierung erklärt, wie Antworten nützlich bleiben.

5. Nachweise sichern über verhinderte Vorfälle, für den Jahresbericht und den Austausch mit der Behörde.

Wie ZeusLock Unternehmen in Uganda unterstützt

ZeusLock läuft direkt auf den Geräten und Browsern Ihrer Mitarbeitenden. Bevor ein Prompt oder eine Datei ChatGPT, Copilot, Gemini oder Claude erreicht, erkennt die Lösung sensible Daten, etwa NIN, ugandische Telefonnummern und Zahlungskennungen. Je nach Regel werden sie formatbewahrend anonymisiert, der Nutzer wird gewarnt oder der Versand blockiert. Jedes Ereignis wird protokolliert und dient als Compliance-Nachweis.

Zusammenfassung

Uganda hat ein vollständiges Datenschutzgesetz, eine aktive Aufsichtsbehörde und eine Registrierungspflicht, die viele unterschätzen. Generative KI ändert diese Regeln nicht, sie vervielfacht nur die Gelegenheiten, gegen sie zu verstoßen. Wer seine Prompts heute schützt, kann KI ohne Sorge einführen.

Sie möchten sehen, wie Sie die Daten Ihrer ugandischen Kunden schützen? Fordern Sie eine ZeusLock-Demo an.