Kurzfassung: Nachstehend finden Sie die deutsche Übersetzung von Chinas Maßnahmen zur Sicherheitsbewertung der Datenausfuhr (数据出境安全评估办法, Anordnung Nr. 11 der Cyberspace-Verwaltung Chinas), veröffentlicht am 7. Juli 2022 und in Kraft seit dem 1. September 2022.
Wenn Ihr Unternehmen personenbezogene Informationen oder „wichtige Daten“ aus Festlandchina heraus bewegt — an eine Muttergesellschaft, eine ausländische Cloud-Region oder einen Drittverarbeiter —, definieren diese Maßnahmen, wann eine solche Übermittlung zuerst eine staatlich durchgeführte Sicherheitsbewertung bestehen muss, statt einen leichteren Weg zu nehmen. Sie setzen die Regeln zur grenzüberschreitenden Übermittlung des Gesetzes zum Schutz personenbezogener Informationen (PIPL), das Datenklassifizierungsschema des Datensicherheitsgesetzes und das Regime der kritischen Informationsinfrastruktur des Cybersicherheitsgesetzes operativ um und legen harte Schwellenwerte fest, die eine verpflichtende Einreichung bei der Cyberspace-Verwaltung Chinas auslösen. Für viele internationale Unternehmen ist dies der folgenreichste Daten-Compliance-Kontrollpunkt, und einer, der mit Rechtsbeistand zu bestätigen ist, lange bevor Daten das Land verlassen.
Maßnahmen zur Sicherheitsbewertung der Datenausfuhr (Veröffentlicht am 7. Juli 2022 durch Anordnung Nr. 11 der Cyberspace-Verwaltung Chinas; in Kraft seit dem 1. September 2022)
Artikel 1. Diese Maßnahmen werden im Einklang mit dem „Cybersicherheitsgesetz der Volksrepublik China“, dem „Datensicherheitsgesetz der Volksrepublik China“, dem „Gesetz zum Schutz personenbezogener Informationen der Volksrepublik China“ und anderen Gesetzen und Vorschriften formuliert, um Datenausfuhrtätigkeiten zu regulieren, die Rechte und Interessen an personenbezogenen Informationen zu schützen, die nationale Sicherheit und das öffentliche Interesse der Gesellschaft zu wahren und den sicheren und freien grenzüberschreitenden Datenfluss zu fördern.
Artikel 2. Diese Maßnahmen gelten für die Sicherheitsbewertung wichtiger Daten und personenbezogener Informationen, die ein Datenverarbeiter im Zuge von Tätigkeiten innerhalb des Hoheitsgebiets der Volksrepublik China erhebt und erzeugt und ausländischen Empfängern bereitstellt. Wo Gesetze oder Verwaltungsvorschriften etwas anderes bestimmen, sind jene Bestimmungen anzuwenden.
Artikel 3. Die Sicherheitsbewertung der Datenausfuhr hält daran fest, die vorherige Bewertung mit fortlaufender Aufsicht und die Risiko-Selbstbewertung mit der Sicherheitsbewertung zu verbinden, um die Sicherheitsrisiken der Datenausfuhr abzuwehren und den rechtmäßigen, geordneten und freien Datenfluss zu gewährleisten.
Artikel 4. Wo ein Datenverarbeiter ausländischen Empfängern Daten unter einem der folgenden Umstände bereitstellt, hat er über die Cyberspace-Verwaltungsbehörde auf Provinzebene seines Standorts bei der nationalen Cyberspace-Verwaltungsbehörde eine Sicherheitsbewertung der Datenausfuhr anzumelden:
(1) wo ein Datenverarbeiter ausländischen Empfängern wichtige Daten bereitstellt;
(2) wo ein Betreiber kritischer Informationsinfrastruktur oder ein Datenverarbeiter, der die personenbezogenen Informationen von mehr als 1 Million Personen verarbeitet, ausländischen Empfängern personenbezogene Informationen bereitstellt;
(3) wo ein Datenverarbeiter, der seit dem 1. Januar des Vorjahres kumulativ die personenbezogenen Informationen von 100.000 Personen oder die sensiblen personenbezogenen Informationen von 10.000 Personen ausländischen Empfängern bereitgestellt hat, ausländischen Empfängern personenbezogene Informationen bereitstellt;
(4) andere Umstände, unter denen, wie von der nationalen Cyberspace-Verwaltungsbehörde vorgeschrieben, eine Sicherheitsbewertung der Datenausfuhr anzumelden ist.
Artikel 5. Vor der Anmeldung einer Sicherheitsbewertung der Datenausfuhr hat ein Datenverarbeiter eine Selbstbewertung der Risiken der Datenausfuhr durchzuführen, wobei er sich auf die folgenden Angelegenheiten konzentriert:
(1) die Rechtmäßigkeit, Legitimität und Notwendigkeit des Zwecks, Umfangs und der Methode der Datenausfuhr sowie der Verarbeitung der Daten durch den ausländischen Empfänger;
(2) den Umfang, die Reichweite, die Art und die Sensibilität der ausgeführten Daten sowie die Risiken, die die Datenausfuhr für die nationale Sicherheit, das öffentliche Interesse und die legitimen Rechte und Interessen von Einzelpersonen oder Organisationen darstellen kann;
(3) ob die Verantwortlichkeiten und Pflichten, die der ausländische Empfänger zu übernehmen zusagt, zusammen mit den Verwaltungs- und technischen Maßnahmen und Fähigkeiten zur Erfüllung dieser Verantwortlichkeiten und Pflichten die Sicherheit der ausgeführten Daten gewährleisten können;
(4) das Risiko, dass die Daten während und nach der Ausfuhr manipuliert, beschädigt, offengelegt, verloren oder übertragen oder rechtswidrig erlangt oder rechtswidrig genutzt werden, und ob die Kanäle zum Schutz der Rechte und Interessen an personenbezogenen Informationen ungehindert sind, unter anderem;
(5) ob der datenausfuhrbezogene Vertrag oder andere rechtlich bindende Dokumente, die mit dem ausländischen Empfänger zu schließen sind (nachstehend gemeinsam „Rechtsdokumente“), die Verantwortlichkeiten und Pflichten für den Datensicherheitsschutz angemessen festlegen;
(6) andere Angelegenheiten, die die Sicherheit der Datenausfuhr berühren können.
Artikel 6. Zur Anmeldung einer Sicherheitsbewertung der Datenausfuhr sind die folgenden Unterlagen einzureichen:
(1) ein Anmeldeformular;
(2) ein Selbstbewertungsbericht über die Risiken der Datenausfuhr;
(3) die zwischen dem Datenverarbeiter und dem ausländischen Empfänger zu schließenden Rechtsdokumente;
(4) andere für die Sicherheitsbewertungsarbeit erforderliche Unterlagen.
Artikel 7. Die Cyberspace-Verwaltungsbehörde auf Provinzebene hat innerhalb von 5 Werktagen ab dem Tag des Eingangs der Anmeldeunterlagen eine Vollständigkeitsprüfung abzuschließen. Wo die Anmeldeunterlagen vollständig sind, leitet sie diese an die nationale Cyberspace-Verwaltungsbehörde weiter; wo die Anmeldeunterlagen unvollständig sind, gibt sie diese an den Datenverarbeiter zurück und informiert ihn einmalig über die zu ergänzenden Unterlagen.
Die nationale Cyberspace-Verwaltungsbehörde hat innerhalb von 7 Werktagen ab dem Tag des Eingangs der Anmeldeunterlagen zu bestimmen, ob sie die Anmeldung annimmt, und den Datenverarbeiter schriftlich zu benachrichtigen.
Artikel 8. Die Sicherheitsbewertung der Datenausfuhr konzentriert sich auf die Bewertung der Risiken, die die Datenausfuhrtätigkeit für die nationale Sicherheit, das öffentliche Interesse und die legitimen Rechte und Interessen von Einzelpersonen oder Organisationen darstellen kann, hauptsächlich einschließlich der folgenden Angelegenheiten:
(1) die Rechtmäßigkeit, Legitimität und Notwendigkeit des Zwecks, Umfangs und der Methode der Datenausfuhr;
(2) die Auswirkungen auf die Sicherheit der ausgeführten Daten durch die Datensicherheitsschutz-Richtlinien, -Gesetze und -Vorschriften sowie das Cybersicherheitsumfeld des Landes oder der Region, in dem bzw. der sich der ausländische Empfänger befindet; und ob das Datenschutzniveau des ausländischen Empfängers die Anforderungen der Gesetze und Verwaltungsvorschriften der Volksrepublik China und der zwingenden nationalen Standards erfüllt;
(3) der Umfang, die Reichweite, die Art und die Sensibilität der ausgeführten Daten sowie das Risiko, dass sie während und nach der Ausfuhr manipuliert, beschädigt, offengelegt, verloren oder übertragen oder rechtswidrig erlangt oder rechtswidrig genutzt werden;
(4) ob die Datensicherheit und die Rechte und Interessen an personenbezogenen Informationen vollständig und wirksam gewahrt werden können;
(5) ob die zwischen dem Datenverarbeiter und dem ausländischen Empfänger zu schließenden Rechtsdokumente die Verantwortlichkeiten und Pflichten für den Datensicherheitsschutz angemessen festlegen;
(6) die Einhaltung der chinesischen Gesetze, Verwaltungsvorschriften und Behördenregeln;
(7) andere Angelegenheiten, deren Bewertung die nationale Cyberspace-Verwaltungsbehörde für notwendig hält.
Artikel 9. Ein Datenverarbeiter hat die Verantwortlichkeiten und Pflichten für den Datensicherheitsschutz in den mit dem ausländischen Empfänger geschlossenen Rechtsdokumenten ausdrücklich festzulegen, einschließlich mindestens des Folgenden:
(1) den Zweck, die Methode und den Umfang der Datenausfuhr sowie die Nutzung und Methode der Datenverarbeitung durch den ausländischen Empfänger;
(2) den Ort und Zeitraum der ausländischen Speicherung der Daten sowie die Maßnahmen zur Handhabung der ausgeführten Daten, sobald der Speicherzeitraum erreicht, der vereinbarte Zweck erfüllt oder die Rechtsdokumente beendet sind;
(3) bindende Anforderungen an die Weiterübermittlung der ausgeführten Daten durch den ausländischen Empfänger an andere Organisationen oder Einzelpersonen;
(4) die zu ergreifenden Sicherheitsmaßnahmen, wo es eine wesentliche Änderung der tatsächlichen Kontrolle oder des Geschäftsumfangs des ausländischen Empfängers oder eine Änderung der Datensicherheitsschutz-Richtlinien, -Gesetze und -Vorschriften und des Cybersicherheitsumfelds des Landes oder der Region gibt, in dem bzw. der er sich befindet, oder das Eintreten anderer Umstände höherer Gewalt, die es schwierig machen, die Datensicherheit zu gewährleisten;
(5) die Abhilfemaßnahmen, die Haftung für Verstöße und die Mittel der Streitbeilegung für die Verletzung der in den Rechtsdokumenten festgelegten Pflichten zum Datensicherheitsschutz;
(6) die Anforderungen an die ordnungsgemäße Durchführung der Notfallreaktion, wo die ausgeführten Daten dem Risiko ausgesetzt sind, manipuliert, beschädigt, offengelegt, verloren oder übertragen oder rechtswidrig erlangt oder rechtswidrig genutzt zu werden, sowie die Kanäle und Methoden zur Wahrung der Fähigkeit der Einzelpersonen, ihre Rechte und Interessen an personenbezogenen Informationen zu schützen.
Artikel 10. Nach Annahme einer Anmeldung organisiert die nationale Cyberspace-Verwaltungsbehörde auf Grundlage der Umstände der Anmeldung die einschlägigen Behörden des Staatsrats, die Cyberspace-Verwaltungsbehörden auf Provinzebene, Fachinstitutionen und andere zur Durchführung der Sicherheitsbewertung.
Artikel 11. Wo während der Sicherheitsbewertung festgestellt wird, dass die vom Datenverarbeiter eingereichten Anmeldeunterlagen die Anforderungen nicht erfüllen, kann die nationale Cyberspace-Verwaltungsbehörde von ihm verlangen, sie zu ergänzen oder zu korrigieren. Wo der Datenverarbeiter es ohne legitimen Grund versäumt, sie zu ergänzen oder zu korrigieren, kann die nationale Cyberspace-Verwaltungsbehörde die Sicherheitsbewertung beenden.
Der Datenverarbeiter ist für die Echtheit der von ihm eingereichten Unterlagen verantwortlich. Wo er vorsätzlich falsche Unterlagen einreicht, wird dies so behandelt, als hätte er die Bewertung nicht bestanden, und die entsprechende rechtliche Haftung wird im Einklang mit dem Gesetz verfolgt.
Artikel 12. Die nationale Cyberspace-Verwaltungsbehörde hat die Sicherheitsbewertung der Datenausfuhr innerhalb von 45 Werktagen ab dem Tag der Ausstellung der schriftlichen Annahmebenachrichtigung an den Datenverarbeiter abzuschließen; wo die Umstände komplex sind oder Unterlagen ergänzt oder korrigiert werden müssen, kann der Zeitraum angemessen verlängert werden, und der Datenverarbeiter ist über den voraussichtlichen Verlängerungszeitraum zu informieren.
Das Bewertungsergebnis ist dem Datenverarbeiter schriftlich mitzuteilen.
Artikel 13. Wo ein Datenverarbeiter Einwände gegen das Bewertungsergebnis hat, kann er innerhalb von 15 Werktagen nach Erhalt des Bewertungsergebnisses bei der nationalen Cyberspace-Verwaltungsbehörde eine Neubewertung beantragen; das Ergebnis der Neubewertung ist endgültig.
Artikel 14. Ein Ergebnis, das die Sicherheitsbewertung der Datenausfuhr besteht, ist 2 Jahre gültig, gerechnet ab dem Tag der Ausstellung des Bewertungsergebnisses. Wo während des Gültigkeitszeitraums einer der folgenden Umstände eintritt, hat der Datenverarbeiter die Bewertung erneut anzumelden:
(1) wo es eine Änderung des Zwecks, der Methode, des Umfangs oder der Art der ausländischen Empfängern bereitgestellten Daten oder der Nutzung oder Methode der Verarbeitung der Daten durch den ausländischen Empfänger gibt, die die Sicherheit der ausgeführten Daten berührt, oder wo der ausländische Speicherzeitraum für personenbezogene Informationen und wichtige Daten verlängert wird;
(2) wo es eine Änderung der Datensicherheitsschutz-Richtlinien, -Gesetze und -Vorschriften und des Cybersicherheitsumfelds des Landes oder der Region gibt, in dem bzw. der sich der ausländische Empfänger befindet, oder das Eintreten anderer Umstände höherer Gewalt, eine Änderung der tatsächlichen Kontrolle des Datenverarbeiters oder des ausländischen Empfängers oder eine Änderung der Rechtsdokumente zwischen dem Datenverarbeiter und dem ausländischen Empfänger, die die Sicherheit der ausgeführten Daten berührt;
(3) andere Umstände, die die Sicherheit der ausgeführten Daten berühren, treten ein.
Wo der Gültigkeitszeitraum abläuft und es notwendig ist, die Datenausfuhrtätigkeit fortzusetzen, hat der Datenverarbeiter die Bewertung 60 Werktage vor Ablauf des Gültigkeitszeitraums erneut anzumelden.
Artikel 15. Die an der Sicherheitsbewertungsarbeit beteiligten einschlägigen Institutionen und Personen haben im Einklang mit dem Gesetz die Staatsgeheimnisse, die persönliche Privatsphäre, personenbezogene Informationen, Geschäftsgeheimnisse, vertrauliche Geschäftsinformationen und andere Daten, von denen sie bei der Erfüllung ihrer Pflichten Kenntnis erlangen, vertraulich zu behandeln und dürfen solche Daten nicht offenlegen, rechtswidrig an andere bereitstellen oder rechtswidrig nutzen.
Artikel 16. Jede Organisation oder Einzelperson, die feststellt, dass ein Datenverarbeiter ausländischen Empfängern unter Verstoß gegen diese Maßnahmen Daten bereitstellt, kann dies einer Cyberspace-Verwaltungsbehörde auf oder oberhalb der Provinzebene melden.
Artikel 17. Wo die nationale Cyberspace-Verwaltungsbehörde feststellt, dass eine Datenausfuhrtätigkeit, die bereits die Bewertung bestanden hat, im Zuge der tatsächlichen Verarbeitung die Anforderungen an die Sicherheitsverwaltung der Datenausfuhr nicht mehr erfüllt, hat sie den Datenverarbeiter schriftlich zu benachrichtigen, die Datenausfuhrtätigkeit zu beenden. Wo der Datenverarbeiter die Datenausfuhrtätigkeit fortsetzen muss, hat er wie verlangt Berichtigungen vorzunehmen und nach Abschluss der Berichtigung die Bewertung erneut anzumelden.
Artikel 18. Verstöße gegen die Bestimmungen dieser Maßnahmen sind im Einklang mit dem „Cybersicherheitsgesetz der Volksrepublik China“, dem „Datensicherheitsgesetz der Volksrepublik China“, dem „Gesetz zum Schutz personenbezogener Informationen der Volksrepublik China“ und anderen Gesetzen und Vorschriften zu behandeln; wo eine Straftat vorliegt, wird die strafrechtliche Haftung im Einklang mit dem Gesetz verfolgt.
Artikel 19. „Wichtige Daten“ im Sinne dieser Maßnahmen bezeichnet Daten, die, einmal manipuliert, beschädigt oder offengelegt oder rechtswidrig erlangt oder rechtswidrig genutzt, die nationale Sicherheit, den Wirtschaftsbetrieb, die soziale Stabilität, die öffentliche Gesundheit und Sicherheit und dergleichen gefährden können.
Artikel 20. Diese Maßnahmen treten am 1. September 2022 in Kraft. Datenausfuhrtätigkeiten, die bereits vor Inkrafttreten dieser Maßnahmen durchgeführt werden und nicht den Bestimmungen dieser Maßnahmen entsprechen, haben die Berichtigung innerhalb von 6 Monaten ab dem Tag des Inkrafttretens dieser Maßnahmen abzuschließen.
Abschluss
Das Originaldokument wurde auf Chinesisch von der Cyberspace-Verwaltung Chinas veröffentlicht; wir haben es ins Deutsche übersetzt, was Sie oben lesen. Diese Übersetzung dient ausschließlich dem schnellen Verständnis und sollte nach eigenem Ermessen und auf eigenes Risiko verwendet werden — bestätigen Sie die aktuellen Anforderungen stets mit qualifiziertem Rechtsbeistand.
Wenn Sie weitere Hilfe von unserem Team benötigen, kontaktieren Sie uns noch heute, und unsere Experten helfen Ihnen, Ihre Präsenz in China von Grund auf konform zu halten.