Wie man ein Data-Broker, Lead-Generation oder Customer-Intelligence-Geschäft strukturiert

Banken und Lizenzbehörden betrachten die Tätigkeit. Datenkäufer betrachten den Bestand. Ein Verzeichnis von Geschäftskontakten, eine Maschine zur Gewinnung von Verbraucherkontakten, ein Dienst zum Abgleich von Identitäten und ein Bewertungsmodell sind verschiedene Produkte, auch wenn ein einziges Dashboard alle vier vorne zeigt. Jedes steht und fällt damit, woher seine Felder stammen und was die Quelle erlaubte. Ein Lebensmittelhersteller begegnet derselben Frage, behandelt im Leitfaden zur Fischverarbeitung, der die Genehmigung des Ministeriums von der Lizenz trennt.

Beginnen Sie mit einem Register. Erfassen Sie für jedes Feld, das Sie verkaufen möchten, die Quelle, worin die Person oder die Quelle eingewilligt hat und ob die beabsichtigte Weiterverwendung mit dieser Herkunft vereinbar ist. Die Compliance-Abteilung eines Käufers, eine Bank und jede Anfrage einer Behörde werden davon ausgehen.

Wenn Sie das Register für ein Feld nicht ausfüllen können, ist dieses Feld nicht verkaufsreif. Keine Lizenz ändert daran etwas.

Das Gesetz gilt für die Verarbeitung personenbezogener Daten ganz oder teilweise durch elektronische Systeme, innerhalb wie außerhalb der VAE. Diese Formulierung ist wichtig für ein Unternehmen, das im Ausland erhebt und in den VAE verkauft, oder umgekehrt.

Die Verarbeitung ohne Einwilligung des Dateninhabers ist untersagt, es sei denn, sie ist zum Schutz eines öffentlichen Interesses oder zur Durchführung von Rechtsverfahren und zur Wahrnehmung von Rechten erforderlich. Für einen Broker liegt die Last damit bei der Quelle: Eine bei einem Dritten gekaufte Liste ist nur so rechtmäßig wie die Einwilligung, auf der sie beruht. Das Bundesgesetz Nr. 15 von 2020 über den Verbraucherschutz ergänzt, dass Lieferanten Verbraucherdaten nicht für Marketingzwecke verwenden dürfen.

Dateninhaber können die Berichtigung unrichtiger personenbezogener Daten verlangen und die Einschränkung oder Einstellung der Verarbeitung beantragen. Ein Unternehmen, das eine Datei auf Personenebene weiterverkauft, braucht einen funktionierenden Weg für diese Ersuchen und eine Möglichkeit, sie an Käufer weiterzugeben.

Das Gesetz stellt zudem Anforderungen an die grenzüberschreitende Übermittlung und Weitergabe personenbezogener Daten. Anreicherungsdienste, die Dateien an Offshore-Auftragsverarbeiter senden, sowie Käufer, die Exporte ins Ausland mitnehmen, fallen darunter.

Prüfen Sie die aktuellen Durchführungsverordnungen und etwaige sektorspezifische Vorschriften beim UAE Data Office, bevor Sie das Produkt finalisieren.

Der Verkauf von Leads bedeutet, dass jemand kontaktiert wird. TDRA gibt an, mit einer eigenen Regulierungsrichtlinie darauf hinzuwirken, aufdringliche Marketing-SMS einzudämmen, ermutigt Lizenznehmer, klare Opt-in- und Opt-out-Verfahren anzubieten, überwacht die Einhaltung durch regelmäßige Berichterstattung und schreibt strenge Maßnahmen gegen Absender vor, die keine vorherige Einwilligung haben.

Für ein Unternehmen der Lead-Generierung macht dies den Einwilligungsnachweis zum eigentlichen Vermögenswert. Ein Lead ohne Einwilligungsnachweis für den Kanal, über den er kontaktiert werden soll, ist für den Käufer ein Haftungsrisiko. Erfassen Sie die Einwilligung zum Zeitpunkt der Erhebung, führen Sie sie zusammen mit dem Lead und verkaufen Sie sie mit dem Lead.

Gesondert stellt TDRA ein No Objection Certificate für die Ausübung von E-Aktivitäten aus, das wirtschaftliche Tätigkeiten online über Websites, Apps oder Social-Media-Konten abdeckt. Wenn Sie eine verbraucherorientierte Website oder App betreiben, um Leads zu erfassen, fragen Sie TDRA, ob dieses Zertifikat für Sie gilt.

Legen Sie fest, wer Verantwortlicher und wer Auftragsverarbeiter ist, bevor der Vertrag entworfen wird. Ein Unternehmen, das über Zweck und Mittel der Datenverarbeitung entscheidet, trägt andere Pflichten als eines, das Daten nur auf Weisung eines Kunden verarbeitet. Ein Anreicherungsdienst, der mit Kundendateien arbeitet, hat eine andere Rolle als der Inhaber der proprietären Datenbank, die angereichert wird.

Betreibt eine Gruppe mehrere Produkte, ist eine Aufteilung nach Datenrisiko in der Regel sauberer. Ein Firmografik-Produkt, ein Verbraucher-Lead-Geschäft und ein Verarbeitungsdienst haben jeweils ihr eigenes Ausfallrisiko, und eine Geltendmachung von Betroffenenrechten oder ein Quellenmangel in einem Bereich sollte die Verkäuflichkeit der anderen nicht beeinträchtigen. Die Wahl zwischen einer Gesellschaft auf dem mainland und einer Freizone folgt später: Ein Rechtsträger im DIFC etwa bringt das Datenschutzrecht des DIFC ins Spiel. Klären Sie daher zuerst, welchen Rechtsrahmen das Datenmodell erfüllen kann.

Der Rechtsträger, der die Kundenverträge unterzeichnet, sollte derjenige sein, der für die Daten einstehen kann. Er führt das Verfahren für Betroffenenrechte durch, setzt Beschränkungen der Weiterverwendung durch und steht für die Quellenzusicherungen ein. Strukturen, die auf einen günstigen Gründungspreis ausgerichtet sind, scheitern erfahrungsgemäß am ersten Fragebogen eines Käufers, der wissen will, wer für die Quellen einsteht.

Hier kommt es mehr auf Personen als auf Räumlichkeiten an. Sie benötigen einen benannten Verantwortlichen für den Datenschutz, jemanden, der für Sicherheit und Aufbewahrung zuständig ist, und jemanden, der die Sorgfaltspflichten gegenüber Kunden wahrnimmt. Ein kleines Unternehmen kann Rollen bündeln, aber jede Rolle muss zugewiesen sein.

Eine Bank, die die Unterlagen eines Datenunternehmens prüft, will sehen, was verkauft wird, an wen und zu welchen Bedingungen. Verträge, die die Weiterverwendung beschränken, eine Datenschutzerklärung, die zum Register passt, und ein Plan für Datenpannen machen aus einem vorsichtigen Compliance-Prüfer einen Kunden. Die Leistung Vorbereitung des Firmenbankkontos umfasst, wie diese Unterlagen mit der Tätigkeit der Handelslizenz und dem Kontoprofil abgestimmt werden. Die Kosten hängen vom gewählten Weg ab und davon, wie viel Governance das Produkt erfordert. Velarozone geht so vor, dass zuerst das Register aufgebaut wird; die Velarozone Servicegebühr wird in der Mandatsvereinbarung einzeln aufgeführt.