PIPL in der Praxis: Was ausländische Unternehmen tatsächlich tun müssen

Ein Produktmanager in Berlin pusht ein Feature-Update. Ein Wachstumsteam in London führt über eine Agentur in Shanghai eine Kampagne durch. Ein SaaS-Anbieter in Singapur speichert stillschweigend Kundensupportprotokolle, die die Namen, Telefonnummern und ID-Fragmente von Benutzern in Chengdu enthalten. Keines dieser Teams glaubt, in China tätig zu sein. Sie alle sind im Sinne des Gesetzes zum Schutz personenbezogener Daten Verarbeiter chinesischer personenbezogener Daten – und alle fallen in den Geltungsbereich.

Drei Jahre nach Inkrafttreten des Gesetzes zum Schutz personenbezogener Daten hat sich die regulatorische Lage so weit gefestigt, dass die Haltung „Wir warten ab, wie es ausgeht“ nicht mehr vertretbar ist. Die Cyberspace Administration of China hat Durchführungsmaßnahmen erlassen, diese überarbeitet und Schwellenwerte klargestellt. Ausländische Unternehmen verfügen nun über genügend Signale, um eine praktikable Compliance-Grundlinie aufzubauen. In diesem Artikel wird dargelegt, wie diese Grundlinie in der Praxis aussieht.

Der extraterritoriale Auslöser wird von den meisten Teams unterschätzt

PIPL gilt für die Verarbeitung innerhalb Chinas und – was noch wichtiger ist – für die Verarbeitung außerhalb Chinas, die sich an Personen in China zum Zweck der Bereitstellung von Produkten oder Dienstleistungen oder der Analyse ihres Verhaltens richtet. Die Formulierung ist umfassend und zielgerichtet. Eine Verbraucher-App, die auf Mandarin in einem globalen App-Store verfügbar ist, eine B2C-Website, die an Adressen auf dem Festland liefert, eine Analysepipeline, die Benutzer nach chinesischen Städten segmentiert: All dies ist ein plausibler Auslöser.

Die praktische Konsequenz ist, dass der Umfang selten ein klares Ja oder Nein ist. Es geht darum, welche Produktlinien, welche Nutzergruppen und welche Datensätze in den Wirkungsbereich des Gesetzes fallen. Die erste Compliance-Aufgabe besteht daher nicht darin, eine Datenschutzerklärung zu verfassen. Dabei handelt es sich um Kartierungsdaten: Sie identifizieren, wo chinesische personenbezogene Daten in Ihre Systeme gelangen, wo sie gespeichert werden, wer sie berührt und wo sie sie verlassen. Bis diese Karte existiert, ist jede nachgelagerte Steuerung eine Vermutung.

Einwilligung: Rechtsgrundlage, kein Kontrollkästchen

PIPL wird oft als ein konsensorientiertes System beschrieben, und in ausländischen Vorstandsetagen wird dies mit „Hinzufügen eines Kontrollkästchens“ übersetzt. Das unterschätzt die Verpflichtung. PIPL erkennt mehrere Rechtsgrundlagen an – vertragliche Notwendigkeit, gesetzliche Pflicht, Personalverwaltung, öffentliches Interesse und andere –, aber die Zustimmung bleibt das Arbeitstier, und das Gesetz legt hohe Standards für das fest, was zählt.

Die Einwilligung gemäß PIPL muss informiert, freiwillig und ausdrücklich erfolgen. Wenn es sich bei der Verarbeitung um sensible personenbezogene Daten (Finanzkonten, Gesundheit, biometrische Daten, personenbezogene Daten von Minderjährigen unter 14 Jahren, Standortverfolgung und ähnliche Kategorien) oder eine grenzüberschreitende Übermittlung handelt, ist eine gesonderte Einwilligung erforderlich. „Getrennt“ bedeutet genau das: ein eindeutiger, spezifischer Vertragsakt, nicht ein Absatz, der in einer allgemeinen Annahmeerklärung vergraben ist.

Eine praktikable Zustimmungsarchitektur für ausländische Unternehmen umfasst im Allgemeinen:

1. Eine mehrschichtige Mitteilung, die in einfachem Chinesisch die Identität des Verarbeiters, die Kategorien personenbezogener Daten, die Zwecke, die Aufbewahrungsfrist und die Rechte des Benutzers angibt.
2. Granulare Umschaltmöglichkeiten für sensible Verarbeitungskategorien und für Marketing, getrennt von der Einwilligung zum Kerndienst.
3. Ein eindeutiger grenzüberschreitender Einwilligungsfluss, der den ausländischen Empfänger, die Zielgerichtsbarkeit und den Zweck der Übermittlung benennt.
4. Ein Widerrufsmechanismus, der genauso einfach zu verwenden ist wie der ursprüngliche Einwilligungsablauf, ohne dunkle Muster.
5. Ein Prüfprotokoll, das für jeden Benutzer aufzeichnet, wozu, wann und gegen welche Version des Hinweises zugestimmt wurde.

Der letzte Punkt ist wichtiger, als die Teams erwarten. Aufsichtsbehörden und Gegenparteien verlangen zunehmend Beweise statt Behauptungen.

Grenzüberschreitender Transfer: drei Wege, eine Entscheidung

Die Verlagerung chinesischer persönlicher Daten ins Ausland ist der Bereich, in dem ausländische Unternehmen am häufigsten feststellen, dass ihre bestehende Architektur nicht konform ist. PIPL bietet drei Hauptmechanismen, die durch nachfolgende CAC-Maßnahmen verfeinert werden:- CAC-Sicherheitsbewertung. Obligatorisch für Betreiber kritischer Informationsinfrastrukturen, für Auftragsverarbeiter, die personenbezogene Daten über vorgeschriebene Mengenschwellenwerte verarbeiten, und für die Übertragung „wichtiger Daten“. Dies ist eine von der Regierung durchgeführte Überprüfung, keine Selbstzertifizierung.

• Standardvertragsklauseln (China SCCs). Ein Mustervertrag zwischen dem chinesischen Exporteur und dem ausländischen Empfänger, eingereicht beim CAC der Provinz zusammen mit einer Folgenabschätzung zum Schutz personenbezogener Daten. Geeignet für Übertragungen mittlerer Volumina unterhalb der Bemessungsschwellen.
• Zertifizierung zum Schutz personenbezogener Daten. Ausgestellt von CAC-akkreditierten Stellen. In der Praxis ist dieser Weg am nützlichsten für konzerninterne Transfers innerhalb multinationaler Unternehmen.

Mit den Lockerungen von 2024 wurden Ausnahmen für bestimmte Transfers mit geringem Volumen, Transfers, die zur Erfüllung eines Vertrags mit der Einzelperson erforderlich sind (grenzüberschreitender E-Commerce, Reisebuchungen, Visumanträge) und Personaltransfers, die für die grenzüberschreitende Beschäftigungsverwaltung erforderlich sind, eingeführt. Diese Ausnahmen sind real, aber begrenzt. Dabei kommt es auf die Mengenangaben, die Art der vertraglichen Notwendigkeit und darauf an, ob es sich um sensible personenbezogene Daten handelt. Es ist ein häufiger Fehler, eine Ausnahme als eine dauerhafte Haltung ohne regelmäßige Überprüfung zu behandeln.

Welcher Weg auch immer angewendet wird, jede grenzüberschreitende Übermittlung erfordert eine Folgenabschätzung zum Schutz personenbezogener Daten – dokumentiert, mindestens drei Jahre lang aufbewahrt und aktualisiert, wenn sich die Verarbeitung wesentlich ändert.

Die realistische Compliance-Grundlinie

Für ein ausländisches Unternehmen mittlerer Größe, das chinesische Benutzerdaten verarbeitet, sieht eine vertretbare Ausgangslage ungefähr so aus:

• Eine Datenkarte, die alle chinesischen personenbezogenen Informationsströme abdeckt und mindestens einmal jährlich aktualisiert wird.
• Eine Datenschutzerklärung in chinesischer Sprache und eine Einwilligungsarchitektur, die zwischen allgemeiner, sensibler und grenzüberschreitender Einwilligung unterscheidet.
• Ein benannter Vertreter oder eine Organisation innerhalb Chinas, sofern erforderlich, mit veröffentlichten Kontaktdaten.
• Ein ausgewählter grenzüberschreitender Transfermechanismus – Bewertung, SCCs oder Zertifizierung – mit der zugrunde liegenden Folgenabschätzung in den Akten.
• Sorgfaltspflicht des Anbieters für alle Weiterverarbeiter, die mit den Daten in Berührung kommen, einschließlich Cloud- und Analyseanbietern.
• Ein Verfahren zur Reaktion auf Vorfälle, das den Benachrichtigungserwartungen von PIPL an Aufsichtsbehörden und betroffene Personen entspricht.
• Interne Schulung für Produkt-, Technik- und Marketingteams darüber, was eine neue Folgenabschätzung auslöst.

Nichts davon ist exotisch. Es handelt sich im Großen und Ganzen um dieselbe Disziplin, die bereits in einem ausgereiften DSGVO-Programm praktiziert wird, mit chinesischspezifischen Überlagerungen in Bezug auf die Granularität der Einwilligung, grenzüberschreitende Einreichungen und Sprache.

Wo ausländische Teams normalerweise etwas falsch machen

Drei Muster wiederholen sich. Erstens: Behandeln Sie PIPL als eine Übersetzungsübung für eine DSGVO-Mitteilung – die beiden Regelungen überschneiden sich, weichen jedoch hinsichtlich der Einwilligung, der grenzüberschreitenden Mechanismen und der Rolle des Staates voneinander ab. Zweitens: Da die Daten außerhalb Chinas gehostet werden, gilt PIPL nicht. Extraterritorialität ist die Regel, nicht die Ausnahme. Drittens: Warten Sie mit der grenzüberschreitenden Einreichung, bis eine Regulierungsbehörde oder ein chinesischer kommerzieller Kontrahent dies verlangt. Ab diesem Zeitpunkt haben Sie keinen Einfluss mehr auf den Zeitplan.

Insbesondere der CAC-Sicherheitsbewertungsweg ist kein Prozess, der eine Vorbereitung in letzter Minute belohnt. SCC-Einreichungen sind schneller, erfordern aber dennoch eine ordnungsgemäß nachgewiesene Folgenabschätzung.

Die Einhaltung des Datenschutzes in China ist letztendlich eine Frage der betrieblichen Reife und nicht der rechtlichen Klugheit. Die Regeln sind erkennbar. Die Kosten, die sich daraus ergeben, sie zu ignorieren – Durchsetzungsmaßnahmen, blockierte Überweisungen, verlorene Geschäftsabschlüsse mit chinesischen Partnern, die nun selbst die Fragen stellen – werden immer konkreter.

Für ausländische Teams, die in der VR China qualifizierte Beratung zu einer bestimmten Transferstruktur, einem Einwilligungsablauf oder einer Einreichung benötigen, bringt der Service von Serene Jade [Chinese Lawyer] (/products/chinese-lawyer) Sie mit einem als Anwalt zugelassenen Anwalt auf dem Festland und in Hongkong zusammen.

FAQ

Brauchen wir ein chinesisches Unternehmen, nur um Standardvertragsklauseln einzureichen? Nicht unbedingt. Der chinesische Exporteur gemäß den Standardvertragsklauseln ist derjenige, der über die personenbezogenen Daten in China verfügt – das kann Ihre örtliche Tochtergesellschaft, ein Joint-Venture-Partner oder eine chinesische Plattform sein, über die Sie tätig sind. Wenn Sie überhaupt nicht anwesend sind, stellt sich die Frage, ob Sie einen benannten Vertreter gemäß Artikel 53 des PIPL ernennen sollten.Zählt das Senden von Daten nach Hongkong als grenzüberschreitende Übertragung? Ja. Für PIPL-Zwecke wird Hongkong als außerhalb des chinesischen Festlandes behandelt, sodass für Überweisungen dorthin einer der drei Mechanismen oder eine gültige Ausnahmeregelung erforderlich ist, genauso wie für Überweisungen nach London oder Frankfurt.

Können wir uns auf die Ausnahmeregelung zur vertraglichen Notwendigkeit für unsere SaaS-Kundendaten berufen? Nur wenn die Übermittlung wirklich erforderlich ist, um den von der Person eingegangenen Vertrag zu erfüllen – beispielsweise die Erfüllung einer von ihr aufgegebenen Bestellung. B2B-SaaS-Übertragungen von Endbenutzerdaten, Analysen und die meisten Marketinganwendungsfälle fallen nicht darunter und erfordern SCCs, Zertifizierungen oder Bewertungen.