TLDR; Nachstehend finden Sie die englisch übersetzte Fassung von Chinas Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse (促进和规范数据跨境流动规定, Erlass Nr. 16 der Cyberspace-Verwaltung Chinas), angenommen am 28. November 2023 und in Kraft seit 22. März 2024.
Wenn Ihr Unternehmen Kunden-, Beschäftigten- oder Betriebsdaten aus Festlandchina heraus bewegt, sind diese Bestimmungen die Regeln von 2024, die entscheiden, welchen grenzüberschreitenden Weg Sie beschreiten müssen — und in vielen üblichen Fällen, ob Sie überhaupt einen brauchen. Herausgegeben von der Cyberspace-Verwaltung Chinas als Erlass Nr. 16, lockern und präzisieren sie die Schwellenwerte, die die Maßnahmen zur Sicherheitsbewertung der Datenausfuhr, die Maßnahmen zum Standardvertrag für personenbezogene Daten und die Zertifizierung zum Schutz personenbezogener Daten auslösen, und sie fügen zusätzlich zu den durch das Gesetz zum Schutz personenbezogener Daten (PIPL) festgelegten Grundpflichten Ausnahmen und Negativlisten der Freihandelszonen hinzu. Da sie ändern, wann der jeweilige Weg gilt, sollten sie zusammen mit den Maßnahmen gelesen werden, die sie abwandeln.
Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse (angenommen am 28. November 2023; veröffentlicht und in Kraft seit 22. März 2024 durch Erlass Nr. 16 der Cyberspace-Verwaltung Chinas)
Artikel 1. Um die Datensicherheit zu wahren, die Rechte und Interessen an personenbezogenen Daten zu schützen und den rechtmäßigen, geordneten und freien Datenfluss zu fördern, und in Übereinstimmung mit dem „Cybersicherheitsgesetz der Volksrepublik China“, dem „Datensicherheitsgesetz der Volksrepublik China“, dem „Gesetz zum Schutz personenbezogener Daten der Volksrepublik China“ und anderen Gesetzen und Vorschriften werden diese Bestimmungen hinsichtlich der Umsetzung der Systeme der Datenausfuhr erlassen, einschließlich der Sicherheitsbewertung für die Datenausfuhr, des Standardvertrags für die Ausfuhr personenbezogener Daten und der Zertifizierung zum Schutz personenbezogener Daten.
Artikel 2. Datenverarbeiter haben wichtige Daten nach den einschlägigen Bestimmungen zu identifizieren und zu melden. Wurden Daten von den einschlägigen Stellen oder Regionen nicht als wichtige Daten mitgeteilt oder öffentlich bekannt gegeben, so ist ein Datenverarbeiter nicht verpflichtet, sie für eine Sicherheitsbewertung der Datenausfuhr als wichtige Daten zu melden.
Artikel 3. Werden in Tätigkeiten wie internationalem Handel, grenzüberschreitendem Transport, akademischer Zusammenarbeit, transnationaler Fertigung und Vermarktung erhobene und erzeugte Daten ins Ausland bereitgestellt, und enthalten solche Daten keine personenbezogenen Daten oder wichtigen Daten, so sind sie von der Pflicht befreit, eine Sicherheitsbewertung der Datenausfuhr zu melden, einen Standardvertrag für die Ausfuhr personenbezogener Daten zu schließen und eine Zertifizierung zum Schutz personenbezogener Daten zu bestehen.
Artikel 4. Werden von einem Datenverarbeiter im Ausland erhobene und erzeugte personenbezogene Daten zur Verarbeitung nach China übermittelt und dann ins Ausland bereitgestellt, und werden im Zuge der Verarbeitung keine inländischen personenbezogenen Daten oder wichtigen Daten eingeführt, so ist dies von der Pflicht befreit, eine Sicherheitsbewertung der Datenausfuhr zu melden, einen Standardvertrag für die Ausfuhr personenbezogener Daten zu schließen und eine Zertifizierung zum Schutz personenbezogener Daten zu bestehen.
Artikel 5. Stellt ein Datenverarbeiter personenbezogene Daten ins Ausland bereit und ist eine der folgenden Bedingungen erfüllt, so ist dies von der Pflicht befreit, eine Sicherheitsbewertung der Datenausfuhr zu melden, einen Standardvertrag für die Ausfuhr personenbezogener Daten zu schließen und eine Zertifizierung zum Schutz personenbezogener Daten zu bestehen:
(1) wenn es wirklich notwendig ist, personenbezogene Daten ins Ausland bereitzustellen, um einen Vertrag zu schließen oder zu erfüllen, bei dem die Einzelperson Vertragspartei ist, etwa grenzüberschreitendes Einkaufen, grenzüberschreitende Zustellung, grenzüberschreitende Überweisung, grenzüberschreitende Zahlung, grenzüberschreitende Kontoeröffnung, Flugticket- und Hotelbuchung, Visabearbeitung oder Prüfungsdienste;
(2) wenn es wirklich notwendig ist, personenbezogene Daten von Beschäftigten ins Ausland bereitzustellen, um eine grenzüberschreitende Personalverwaltung nach den rechtmäßig aufgestellten Arbeitsregeln und -ordnungen und den rechtmäßig geschlossenen Kollektivverträgen durchzuführen;
(3) wenn es wirklich notwendig ist, personenbezogene Daten ins Ausland bereitzustellen, um in einem Notfall das Leben, die Gesundheit und die Vermögenssicherheit natürlicher Personen zu schützen;
(4) wenn ein Datenverarbeiter, der kein Betreiber kritischer Informationsinfrastruktur ist, seit dem 1. Januar des laufenden Jahres kumulativ die personenbezogenen Daten von weniger als 100.000 Einzelpersonen (ohne sensible personenbezogene Daten) ins Ausland bereitgestellt hat.
Die im vorstehenden Absatz genannten ins Ausland bereitgestellten personenbezogenen Daten schließen keine wichtigen Daten ein.
Artikel 6. Im Rahmen des nationalen Systems zum klassifizierten und gestuften Schutz von Daten kann eine Pilot-Freihandelszone von sich aus eine Liste der Daten innerhalb der Zone aufstellen, die in den Verwaltungsbereich der Sicherheitsbewertung der Datenausfuhr, des Standardvertrags für die Ausfuhr personenbezogener Daten und der Zertifizierung zum Schutz personenbezogener Daten einzubeziehen sind (im Folgenden als „Negativliste“ bezeichnet); nach Genehmigung durch die Kommission für Cybersicherheit und Informatisierung auf Provinzebene ist die Liste bei der staatlichen Cyberspace-Verwaltung und der staatlichen Datenverwaltung zur Aktenführung einzureichen.
Stellt ein Datenverarbeiter innerhalb einer Pilot-Freihandelszone ins Ausland Daten bereit, die außerhalb der Negativliste liegen, so kann dies von der Pflicht befreit sein, eine Sicherheitsbewertung der Datenausfuhr zu melden, einen Standardvertrag für die Ausfuhr personenbezogener Daten zu schließen und eine Zertifizierung zum Schutz personenbezogener Daten zu bestehen.
Artikel 7. Stellt ein Datenverarbeiter Daten ins Ausland bereit und ist eine der folgenden Bedingungen erfüllt, so hat er über die Cyberspace-Verwaltung auf Provinzebene seines Standorts bei der staatlichen Cyberspace-Verwaltung eine Sicherheitsbewertung der Datenausfuhr zu melden:
(1) ein Betreiber kritischer Informationsinfrastruktur stellt personenbezogene Daten oder wichtige Daten ins Ausland bereit;
(2) ein Datenverarbeiter, der kein Betreiber kritischer Informationsinfrastruktur ist, stellt wichtige Daten ins Ausland bereit oder hat seit dem 1. Januar des laufenden Jahres kumulativ die personenbezogenen Daten von 1 Million oder mehr Einzelpersonen (ohne sensible personenbezogene Daten) oder die sensiblen personenbezogenen Daten von 10.000 oder mehr Einzelpersonen ins Ausland bereitgestellt.
Fällt ein Sachverhalt unter die in den Artikeln 3, 4, 5 oder 6 dieser Bestimmungen vorgesehenen Umstände, so gelten jene Bestimmungen.
Artikel 8. Hat ein Datenverarbeiter, der kein Betreiber kritischer Informationsinfrastruktur ist, seit dem 1. Januar des laufenden Jahres kumulativ die personenbezogenen Daten von 100.000 oder mehr, aber weniger als 1 Million Einzelpersonen (ohne sensible personenbezogene Daten) oder die sensiblen personenbezogenen Daten von weniger als 10.000 Einzelpersonen ins Ausland bereitgestellt, so hat er nach dem Recht mit dem ausländischen Empfänger einen Standardvertrag für die Ausfuhr personenbezogener Daten zu schließen oder eine Zertifizierung zum Schutz personenbezogener Daten zu bestehen.
Fällt ein Sachverhalt unter die in den Artikeln 3, 4, 5 oder 6 dieser Bestimmungen vorgesehenen Umstände, so gelten jene Bestimmungen.
Artikel 9. Das Ergebnis des Bestehens einer Sicherheitsbewertung der Datenausfuhr ist drei Jahre lang gültig, gerechnet ab dem Tag, an dem das Bewertungsergebnis ergeht. Ist es bei Ablauf der Gültigkeitsdauer notwendig, Datenausfuhrtätigkeiten fortzusetzen, und ist kein Umstand eingetreten, der eine erneute Meldung einer Sicherheitsbewertung der Datenausfuhr erfordern würde, so kann der Datenverarbeiter innerhalb von 60 Arbeitstagen vor Ablauf der Gültigkeitsdauer über die Cyberspace-Verwaltung auf Provinzebene seines Standorts bei der staatlichen Cyberspace-Verwaltung einen Antrag auf Verlängerung der Gültigkeitsdauer des Bewertungsergebnisses stellen. Mit Genehmigung der staatlichen Cyberspace-Verwaltung kann die Gültigkeitsdauer des Bewertungsergebnisses um drei Jahre verlängert werden.
Artikel 10. Stellt ein Datenverarbeiter personenbezogene Daten ins Ausland bereit, so hat er nach den Bestimmungen der Gesetze und Verwaltungsvorschriften Pflichten wie die Mitteilung, die Einholung der gesonderten Einwilligung der Einzelperson und die Durchführung einer Folgenabschätzung zum Schutz personenbezogener Daten zu erfüllen.
Artikel 11. Stellt ein Datenverarbeiter Daten ins Ausland bereit, so hat er die Bestimmungen der Gesetze und Vorschriften einzuhalten, seine Pflichten zum Datensicherheitsschutz zu erfüllen und technische und sonstige erforderliche Maßnahmen zu treffen, um die Sicherheit der Datenausfuhr zu wahren. Tritt ein Datensicherheitsvorfall ein oder kann er eintreten, so hat er Abhilfemaßnahmen zu treffen und umgehend der Cyberspace-Verwaltung auf oder oberhalb der Provinzebene und anderen einschlägigen zuständigen Behörden zu berichten.
Artikel 12. Die Cyberspace-Verwaltungen aller Orte haben die Anleitung und Aufsicht über die Datenausfuhrtätigkeiten von Datenverarbeitern zu stärken, das System der Sicherheitsbewertung der Datenausfuhr zu verbessern und zu vervollkommnen und den Bewertungsprozess zu optimieren; sie haben die ganzkettige und ganzfeldige Aufsicht vor, während und nach dem Ereignis zu stärken, und stellen sie fest, dass Datenausfuhrtätigkeiten ein verhältnismäßig großes Risiko bergen oder dass ein Datensicherheitsvorfall eingetreten ist, so haben sie den Datenverarbeiter zu Berichtigungen und zur Beseitigung verborgener Gefahren aufzufordern; verweigert ein Datenverarbeiter Berichtigungen oder verursacht er schwere Folgen, so ist nach dem Recht rechtliche Haftung zu verfolgen.
Artikel 13. Sind die einschlägigen Bestimmungen der am 7. Juli 2022 verkündeten „Maßnahmen zur Sicherheitsbewertung der Datenausfuhr“ (Erlass Nr. 11 der Cyberspace-Verwaltung Chinas), der am 22. Februar 2023 verkündeten „Maßnahmen zum Standardvertrag für die Ausfuhr personenbezogener Daten“ (Erlass Nr. 13 der Cyberspace-Verwaltung Chinas) und dergleichen mit diesen Bestimmungen unvereinbar, so gelten diese Bestimmungen.
Artikel 14. Diese Bestimmungen treten mit dem Tag ihrer Verkündung in Kraft.
Abschluss
Das Originaldokument wurde auf Chinesisch von der Cyberspace-Verwaltung Chinas veröffentlicht; wir haben es ins Englische übersetzt, was Sie oben gelesen haben. Diese Übersetzung dient allein dem schnellen Verständnis und ist auf eigenes Ermessen und Risiko zu verwenden — bestätigen Sie die geltenden Anforderungen stets mit qualifiziertem Rechtsbeistand.
Wenn Sie weitere Unterstützung durch unser Team benötigen, kontaktieren Sie uns noch heute, und unsere Fachleute helfen Ihnen, Ihre Präsenz in China von Grund auf rechtskonform zu halten.