Kurzfassung: Nachstehend finden Sie die deutsche Übersetzung von Chinas Verordnung über die Verwaltung der Netzwerkdatensicherheit (网络数据安全管理条例, Anordnung Nr. 790 des Staatsrats), verkündet am 24. September 2024 und in Kraft seit dem 1. Januar 2025.
Wenn Ihr Unternehmen Daten von Nutzern in Festlandchina verarbeitet — ob Sie dort Apps, Plattformen, APIs oder Cloud-Dienste betreiben —, ist diese Verordnung das übergreifende Regelwerk, das die drei Kerndatengesetze des Landes zu einem einzigen Betriebsstandard verbindet. Erlassen vom Staatsrat, baut sie auf dem Cybersicherheitsgesetz, dem Datensicherheitsgesetz und dem PIPL auf und legt konkrete Pflichten für Netzwerkdatenverarbeiter dar: Sicherheitspflichten, Umgang mit personenbezogenen Informationen, Kontrollen wichtiger Daten, grenzüberschreitende Übermittlung und verschärfte Anforderungen für große Netzwerkplattformen.
Verordnung über die Verwaltung der Netzwerkdatensicherheit (Verkündet am 24. September 2024 durch Anordnung Nr. 790 des Staatsrats; in Kraft seit dem 1. Januar 2025)
Kapitel I — Allgemeine Bestimmungen
Artikel 1. Diese Verordnung wird im Einklang mit dem „Cybersicherheitsgesetz der Volksrepublik China“, dem „Datensicherheitsgesetz der Volksrepublik China“, dem „Gesetz zum Schutz personenbezogener Informationen der Volksrepublik China“ und anderen Gesetzen formuliert, um Netzwerkdatenverarbeitungstätigkeiten zu regulieren, die Netzwerkdatensicherheit zu gewährleisten, die rechtmäßige, angemessene und wirksame Nutzung von Netzwerkdaten zu fördern, die legitimen Rechte und Interessen von Einzelpersonen und Organisationen zu schützen und die nationale Sicherheit und das öffentliche Interesse zu wahren.
Artikel 2. Diese Verordnung gilt für Netzwerkdatenverarbeitungstätigkeiten, die innerhalb des Hoheitsgebiets der Volksrepublik China durchgeführt werden, sowie für deren Sicherheitsaufsicht und -verwaltung.
Diese Verordnung gilt auch für außerhalb des Hoheitsgebiets der Volksrepublik China durchgeführte Tätigkeiten der Verarbeitung personenbezogener Informationen natürlicher Personen innerhalb des Hoheitsgebiets der Volksrepublik China, wo die Umstände unter den zweiten Absatz des Artikels 3 des „Gesetzes zum Schutz personenbezogener Informationen der Volksrepublik China“ fallen.
Wo außerhalb des Hoheitsgebiets der Volksrepublik China durchgeführte Netzwerkdatenverarbeitungstätigkeiten die nationale Sicherheit oder das öffentliche Interesse der Volksrepublik China oder die legitimen Rechte und Interessen ihrer Bürger oder Organisationen schädigen, wird die rechtliche Haftung im Einklang mit dem Gesetz verfolgt.
Artikel 3. Die Arbeit an der Verwaltung der Netzwerkdatensicherheit hat an der Führung durch die Kommunistische Partei Chinas festzuhalten, die ganzheitliche Sicht der nationalen Sicherheit umzusetzen und die Förderung der Entwicklung und Nutzung von Netzwerkdaten mit der Gewährleistung der Netzwerkdatensicherheit zu koordinieren.
Artikel 4. Der Staat ermutigt die innovative Anwendung von Netzwerkdaten in allen Branchen und Bereichen, stärkt den Aufbau von Fähigkeiten zum Schutz der Netzwerkdatensicherheit, unterstützt Innovationen bei netzwerkdatenbezogenen Technologien, Produkten und Diensten, führt Bekanntmachung und Aufklärung über die Netzwerkdatensicherheit sowie die Ausbildung von Fachkräften durch und fördert die Entwicklung und Nutzung von Netzwerkdaten sowie die Entwicklung der Branche.
Artikel 5. Der Staat setzt einen klassifizierten und abgestuften Schutz von Netzwerkdaten um, je nach dem Grad der Bedeutung der Netzwerkdaten für die wirtschaftliche und soziale Entwicklung und dem Grad des Schadens für die nationale Sicherheit, das öffentliche Interesse oder die legitimen Rechte und Interessen von Einzelpersonen oder Organisationen, der entstehen würde, wenn die Daten manipuliert, beschädigt oder offengelegt oder rechtswidrig erlangt oder rechtswidrig genutzt würden.
Artikel 6. Der Staat beteiligt sich aktiv an der Formulierung internationaler Regeln und Standards im Zusammenhang mit der Netzwerkdatensicherheit und fördert internationalen Austausch und internationale Zusammenarbeit.
Artikel 7. Der Staat unterstützt einschlägige Branchenorganisationen bei der Formulierung von Verhaltenskodizes für die Netzwerkdatensicherheit im Einklang mit ihren Satzungen, bei der Stärkung der Selbstdisziplin der Branche, bei der Anleitung ihrer Mitglieder zur Stärkung des Netzwerkdatensicherheitsschutzes, bei der Anhebung des Niveaus des Netzwerkdatensicherheitsschutzes und bei der Förderung der gesunden Entwicklung der Branche.
Kapitel II — Allgemeine Regeln
Artikel 8. Keine Einzelperson oder Organisation darf Netzwerkdaten nutzen, um rechtswidrige Tätigkeiten auszuüben, und keine Einzelperson oder Organisation darf rechtswidrige Netzwerkdatenverarbeitungstätigkeiten wie das Stehlen oder anderweitige rechtswidrige Erlangen von Netzwerkdaten oder den rechtswidrigen Verkauf oder die rechtswidrige Bereitstellung von Netzwerkdaten an andere ausüben.
Keine Einzelperson oder Organisation darf Programme oder Werkzeuge bereitstellen, die dazu bestimmt sind, die im vorstehenden Absatz beschriebenen rechtswidrigen Tätigkeiten auszuüben; und wer weiß, dass eine andere Person die im vorstehenden Absatz beschriebenen rechtswidrigen Tätigkeiten ausübt, darf dieser Person keinen technischen Support wie Internetzugang, Server-Hosting, Netzwerkspeicher oder Kommunikationsübertragung bereitstellen oder Hilfe wie Werbeförderung oder Zahlungsabwicklung leisten.
Artikel 9. Netzwerkdatenverarbeiter haben im Einklang mit den Bestimmungen der Gesetze und Verwaltungsvorschriften und den zwingenden Anforderungen nationaler Standards und auf der Grundlage des abgestuften Cybersicherheits-Schutzschemas den Netzwerkdatensicherheitsschutz zu stärken, Netzwerkdatensicherheits-Verwaltungssysteme zu errichten und zu verbessern, technische Maßnahmen wie Verschlüsselung, Sicherung, Zugriffskontrolle und Sicherheitsauthentifizierung und andere notwendige Maßnahmen zu ergreifen, um Netzwerkdaten vor Manipulation, Beschädigung oder Offenlegung oder rechtswidriger Erlangung oder rechtswidriger Nutzung zu schützen, Netzwerkdatensicherheitsvorfälle zu behandeln, rechtswidrige und kriminelle Tätigkeiten abzuwehren, die gegen Netzwerkdaten gerichtet sind oder diese ausnutzen, und die Hauptverantwortung für die Sicherheit der von ihnen verarbeiteten Netzwerkdaten zu tragen.
Artikel 10. Die von Netzwerkdatenverarbeitern bereitgestellten Netzwerkprodukte und -dienste haben den zwingenden Anforderungen der einschlägigen nationalen Standards zu entsprechen; bei Entdeckung von Risiken wie Sicherheitsmängeln oder Schwachstellen in Netzwerkprodukten oder -diensten haben sie unverzüglich Abhilfemaßnahmen zu ergreifen, die Nutzer im Einklang mit den einschlägigen Bestimmungen umgehend zu informieren und den betreffenden zuständigen Behörden Meldung zu erstatten; wo die nationale Sicherheit oder das öffentliche Interesse gefährdet wird, hat der Netzwerkdatenverarbeiter den betreffenden zuständigen Behörden zudem binnen 24 Stunden Meldung zu erstatten.
Artikel 11. Netzwerkdatenverarbeiter haben Notfallpläne für Netzwerkdatensicherheitsvorfälle zu errichten und zu verbessern; wenn ein Netzwerkdatensicherheitsvorfall eintritt, haben sie unverzüglich den Notfallplan zu aktivieren, Maßnahmen zu ergreifen, um die Ausweitung des Schadens zu verhindern und Sicherheitsgefahren zu beseitigen, und den betreffenden zuständigen Behörden im Einklang mit den einschlägigen Bestimmungen Meldung zu erstatten.
Wo ein Netzwerkdatensicherheitsvorfall den legitimen Rechten und Interessen von Einzelpersonen oder Organisationen Schaden zufügt, hat der Netzwerkdatenverarbeiter die betroffenen Parteien umgehend über den Sicherheitsvorfall und die Risikolage, die schädlichen Folgen, die bereits ergriffenen Abhilfemaßnahmen und dergleichen durch Mittel wie Telefon, Textnachricht, Instant-Messaging-Werkzeug, E-Mail oder öffentliche Bekanntmachung zu benachrichtigen; wo Gesetze oder Verwaltungsvorschriften vorsehen, dass auf die Benachrichtigung verzichtet werden kann, sind jene Bestimmungen anzuwenden. Wo ein Netzwerkdatenverarbeiter im Zuge der Behandlung eines Netzwerkdatensicherheitsvorfalls Hinweise auf mutmaßliche rechtswidrige oder kriminelle Tätigkeiten entdeckt, hat er den Fall dem Organ für öffentliche Sicherheit und dem Organ für Staatssicherheit im Einklang mit den einschlägigen Bestimmungen zu melden und bei der Durchführung der Aufdeckungs-, Ermittlungs- und Behandlungsarbeit mitzuwirken.
Artikel 12. Wo ein Netzwerkdatenverarbeiter einem anderen Netzwerkdatenverarbeiter personenbezogene Informationen und wichtige Daten bereitstellt oder einen anderen Netzwerkdatenverarbeiter mit der Verarbeitung personenbezogener Informationen und wichtiger Daten beauftragt, hat er mittels eines Vertrags oder dergleichen mit dem Netzwerkdatenempfänger den Zweck, die Art und den Umfang der Verarbeitung und die Sicherheitsschutzpflichten und dergleichen zu vereinbaren und die Erfüllung der Pflichten des Netzwerkdatenempfängers zu beaufsichtigen. Aufzeichnungen über die Verarbeitung personenbezogener Informationen und wichtiger Daten, die einem anderen Netzwerkdatenverarbeiter bereitgestellt oder zur Verarbeitung beauftragt werden, sind mindestens 3 Jahre lang aufzubewahren.
Der Netzwerkdatenempfänger hat die Netzwerkdatensicherheits-Schutzpflichten zu erfüllen und die personenbezogenen Informationen und wichtigen Daten im Einklang mit dem vereinbarten Zweck, der vereinbarten Art, dem vereinbarten Umfang und dergleichen zu verarbeiten.
Wo zwei oder mehr Netzwerkdatenverarbeiter gemeinsam über den Zweck und die Art der Verarbeitung personenbezogener Informationen und wichtiger Daten entscheiden, haben sie ihre jeweiligen Rechte und Pflichten zu vereinbaren.
Artikel 13. Wo ein Netzwerkdatenverarbeiter Netzwerkdatenverarbeitungstätigkeiten durchführt, die die nationale Sicherheit berühren oder berühren können, hat er sich einer nationalen Sicherheitsüberprüfung im Einklang mit den einschlägigen Bestimmungen des Staates zu unterziehen.
Artikel 14. Wo ein Netzwerkdatenverarbeiter aufgrund einer Verschmelzung, Spaltung, Auflösung, eines Konkurses oder eines anderen derartigen Grundes Netzwerkdaten übertragen muss, hat der Netzwerkdatenempfänger die Netzwerkdatensicherheits-Schutzpflichten weiterhin zu erfüllen.
Artikel 15. Wo ein staatliches Organ einen Dritten mit dem Aufbau, Betrieb oder der Wartung eines E-Government-Systems oder der Speicherung oder Verarbeitung von Regierungsangelegenheitsdaten beauftragt, hat es im Einklang mit den einschlägigen Bestimmungen des Staates strenge Genehmigungsverfahren zu durchlaufen, die Netzwerkdatenverarbeitungsbefugnis, die Schutzverantwortlichkeiten und dergleichen des beauftragten Dritten klar festzulegen und die Erfüllung der Netzwerkdatensicherheits-Schutzpflichten durch den beauftragten Dritten zu beaufsichtigen.
Artikel 16. Wo ein Netzwerkdatenverarbeiter einem staatlichen Organ oder einem Betreiber kritischer Informationsinfrastruktur Dienste bereitstellt oder am Aufbau, Betrieb oder der Wartung anderer öffentlicher Infrastruktur oder öffentlicher Dienstsysteme teilnimmt, hat er die Netzwerkdatensicherheits-Schutzpflichten im Einklang mit den Bestimmungen der Gesetze und Vorschriften und den Bedingungen des Vertrags zu erfüllen und sichere, stabile und kontinuierliche Dienste bereitzustellen.
Ein im vorstehenden Absatz genannter Netzwerkdatenverarbeiter darf ohne Zustimmung der beauftragenden Partei nicht auf die Netzwerkdaten zugreifen, sie erlangen, zurückbehalten, nutzen, offenlegen oder an andere bereitstellen und darf keine Korrelationsanalyse der Netzwerkdaten durchführen.
Artikel 17. Informationssysteme, die staatlichen Organen Dienste bereitstellen, haben die Netzwerkdatensicherheitsverwaltung in Anlehnung an die Verwaltungsanforderungen für E-Government-Systeme zu stärken, um die Netzwerkdatensicherheit zu gewährleisten.
Artikel 18. Wo ein Netzwerkdatenverarbeiter automatisierte Werkzeuge nutzt, um auf Netzwerkdaten zuzugreifen oder diese zu erheben, hat er die Auswirkungen auf die Netzwerkdienste zu bewerten und darf nicht rechtswidrig in die Netze anderer eindringen oder den normalen Betrieb von Netzwerkdiensten stören.
Artikel 19. Netzwerkdatenverarbeiter, die generative Dienste künstlicher Intelligenz bereitstellen, haben die Sicherheitsverwaltung der Trainingsdaten und der Verarbeitungstätigkeiten der Trainingsdaten zu stärken und wirksame Maßnahmen zu ergreifen, um Netzwerkdatensicherheitsrisiken vorzubeugen und zu begegnen.
Artikel 20. Netzwerkdatenverarbeiter, die der Öffentlichkeit Produkte oder Dienste bereitstellen, haben öffentliche Aufsicht zu akzeptieren, bequeme Kanäle für Beschwerden und Meldungen zur Netzwerkdatensicherheit einzurichten, Informationen wie die Methoden für Beschwerden und Meldungen zu veröffentlichen und Beschwerden und Meldungen zur Netzwerkdatensicherheit umgehend anzunehmen und zu behandeln.
Kapitel III — Schutz personenbezogener Informationen
Artikel 21. Wo ein Netzwerkdatenverarbeiter vor der Verarbeitung personenbezogener Informationen Einzelpersonen im Einklang mit dem Gesetz durch Formulierung von Regeln zur Verarbeitung personenbezogener Informationen informiert, sind die Regeln zur Verarbeitung personenbezogener Informationen öffentlich und zentral anzuzeigen, leicht zugänglich und an auffälliger Stelle zu platzieren, und ihr Inhalt hat klar, konkret und leicht verständlich zu sein, einschließlich, aber nicht beschränkt auf das Folgende:
(1) der Name des Netzwerkdatenverarbeiters und seine Kontaktinformationen;
(2) der Zweck, die Art und die Typen der Verarbeitung personenbezogener Informationen, die Notwendigkeit der Verarbeitung sensibler personenbezogener Informationen und die Auswirkungen auf die Rechte und Interessen von Einzelpersonen;
(3) die Aufbewahrungsdauer der personenbezogenen Informationen und die Art der Verarbeitung nach Ablauf dieser Dauer; wo die Aufbewahrungsdauer schwer zu bestimmen ist, ist die Methode zur Bestimmung der Aufbewahrungsdauer klar festzulegen;
(4) die Methoden und Kanäle, mit denen Einzelpersonen ihre personenbezogenen Informationen einsehen, kopieren, übertragen, berichtigen, ergänzen oder löschen, deren Verarbeitung einschränken, ihre Konten kündigen und ihre Einwilligung widerrufen können, und dergleichen.
Wo ein Netzwerkdatenverarbeiter im Einklang mit dem vorstehenden Absatz Einzelpersonen über den Zweck, die Art und die Typen der Erhebung personenbezogener Informationen und der Bereitstellung an andere Netzwerkdatenverarbeiter sowie über die Informationen der Netzwerkdatenempfänger informiert, hat er diese in einer Liste oder ähnlichen Form darzulegen. Wo ein Netzwerkdatenverarbeiter die personenbezogenen Informationen von Minderjährigen unter 14 Jahren verarbeitet, hat er zudem eigene Regeln zur Verarbeitung personenbezogener Informationen zu formulieren.
Artikel 22. Wo ein Netzwerkdatenverarbeiter personenbezogene Informationen auf der Grundlage der Einwilligung der Einzelperson verarbeitet, hat er die folgenden Bestimmungen einzuhalten:
(1) die Erhebung personenbezogener Informationen hat auf das für die Bereitstellung des Produkts oder Dienstes Notwendige beschränkt zu sein; personenbezogene Informationen dürfen nicht über diesen Umfang hinaus erhoben werden, und die Einwilligung der Einzelperson darf nicht durch Mittel wie Irreführung, Betrug, Zwang oder dergleichen eingeholt werden;
(2) wo sensible personenbezogene Informationen wie biometrische Daten, religiöse Überzeugung, besondere Identität, medizinische Gesundheit, Finanzkonto oder Aufenthaltsort verarbeitet werden, ist die gesonderte Einwilligung der Einzelperson einzuholen;
(3) wo die personenbezogenen Informationen eines Minderjährigen unter 14 Jahren verarbeitet werden, ist die Einwilligung der Eltern oder anderer Erziehungsberechtigter des Minderjährigen einzuholen;
(4) personenbezogene Informationen dürfen nicht über den Zweck, die Art, die Typen und die Aufbewahrungsdauer der Verarbeitung hinaus verarbeitet werden, denen die Einzelperson zugestimmt hat;
(5) nachdem die Einzelperson ausdrücklich angegeben hat, dass sie der Verarbeitung ihrer personenbezogenen Informationen nicht zustimmt, darf nicht häufig um Einwilligung ersucht werden;
(6) wo sich der Zweck, die Art oder die Typen der Verarbeitung personenbezogener Informationen ändern, ist die Einwilligung der Einzelperson erneut einzuholen.
Wo Gesetze oder Verwaltungsvorschriften vorsehen, dass für die Verarbeitung sensibler personenbezogener Informationen eine schriftliche Einwilligung einzuholen ist, sind jene Bestimmungen anzuwenden.
Artikel 23. Wo eine Einzelperson verlangt, ihre personenbezogenen Informationen einzusehen, zu kopieren, zu berichtigen, zu ergänzen oder zu löschen oder deren Verarbeitung einzuschränken, oder eine Einzelperson ihr Konto kündigt oder ihre Einwilligung widerruft, hat der Netzwerkdatenverarbeiter das Verlangen umgehend anzunehmen und bequeme Methoden und Kanäle bereitzustellen, um die Einzelperson bei der Ausübung ihrer Rechte zu unterstützen; er darf keine unangemessenen Bedingungen festlegen, um die angemessenen Verlangen von Einzelpersonen einzuschränken.
Artikel 24. Wo es aufgrund der Nutzung automatisierter Erhebungstechnologie oder dergleichen unvermeidlich ist, dass nicht-wesentliche personenbezogene Informationen oder personenbezogene Informationen, für die die Einwilligung der Einzelperson nicht im Einklang mit dem Gesetz eingeholt wurde, erhoben werden, sowie wo eine Einzelperson ihr Konto kündigt, hat der Netzwerkdatenverarbeiter die personenbezogenen Informationen zu löschen oder zu anonymisieren. Wo die durch Gesetze oder Verwaltungsvorschriften vorgeschriebene Aufbewahrungsdauer noch nicht abgelaufen ist oder wo die Löschung oder Anonymisierung personenbezogener Informationen technisch schwer zu erreichen ist, hat der Netzwerkdatenverarbeiter jede Verarbeitung mit Ausnahme der Speicherung der Daten und der Ergreifung notwendiger Sicherheitsschutzmaßnahmen einzustellen.
Artikel 25. Für ein Verlangen auf Übertragung personenbezogener Informationen, das die folgenden Bedingungen erfüllt, hat der Netzwerkdatenverarbeiter einen Kanal bereitzustellen, über den ein anderer von der Einzelperson benannter Netzwerkdatenverarbeiter auf die einschlägigen personenbezogenen Informationen zugreifen und sie erlangen kann:
(1) die wahre Identität des Antragstellers kann überprüft werden;
(2) die zur Übertragung verlangten personenbezogenen Informationen sind personenbezogene Informationen, deren Bereitstellung die Einzelperson zugestimmt hat oder die auf der Grundlage eines Vertrags erhoben wurden;
(3) die Übertragung der personenbezogenen Informationen ist technisch machbar;
(4) die Übertragung der personenbezogenen Informationen schädigt nicht die legitimen Rechte und Interessen anderer.
Wo die Häufigkeit von Verlangen auf Übertragung personenbezogener Informationen und dergleichen einen angemessenen Rahmen deutlich überschreitet, kann der Netzwerkdatenverarbeiter auf der Grundlage der Kosten der Übertragung der personenbezogenen Informationen notwendige Gebühren erheben.
Artikel 26. Wo ein Netzwerkdatenverarbeiter außerhalb des Hoheitsgebiets der Volksrepublik China die personenbezogenen Informationen natürlicher Personen innerhalb des Hoheitsgebiets verarbeitet und im Einklang mit Artikel 53 des „Gesetzes zum Schutz personenbezogener Informationen der Volksrepublik China“ eine eigene Einrichtung errichtet oder einen Vertreter innerhalb des Hoheitsgebiets benennt, hat er den Namen der einschlägigen Einrichtung oder den Namen und die Kontaktinformationen des Vertreters und dergleichen bei der Cyberspace-Verwaltungsbehörde auf Ebene der bezirksfreien Stadt, in der er sich befindet, einzureichen; die Cyberspace-Verwaltungsbehörde hat die betreffenden zuständigen Behörden auf gleicher Ebene umgehend zu benachrichtigen.
Artikel 27. Netzwerkdatenverarbeiter haben regelmäßig entweder selbst oder durch Beauftragung einer Fachinstitution eine Compliance-Prüfung ihrer Einhaltung von Gesetzen und Verwaltungsvorschriften bei der Verarbeitung personenbezogener Informationen durchzuführen.
Artikel 28. Wo ein Netzwerkdatenverarbeiter die personenbezogenen Informationen von mehr als 10 Millionen Personen verarbeitet, hat er zudem die auf Verarbeiter wichtiger Daten anwendbaren Bestimmungen der Artikel 30 und 32 dieser Verordnung einzuhalten (nachstehend „Verarbeiter wichtiger Daten“).
Kapitel IV — Sicherheit wichtiger Daten
Artikel 29. Der nationale Koordinierungsmechanismus für die Datensicherheitsarbeit koordiniert die einschlägigen Behörden bei der Formulierung von Katalogen wichtiger Daten und der Stärkung des Schutzes wichtiger Daten. Jede Region und jede Behörde hat im Einklang mit dem System des klassifizierten und abgestuften Datenschutzes den spezifischen Katalog wichtiger Daten für ihre jeweilige Region und Behörde und für die einschlägigen Branchen und Bereiche festzulegen und den in den Katalog aufgenommenen Netzwerkdaten vorrangigen Schutz zu gewähren.
Netzwerkdatenverarbeiter haben wichtige Daten im Einklang mit den einschlägigen Bestimmungen des Staates zu identifizieren und zu deklarieren. Für als wichtige Daten bestätigte Daten hat die einschlägige Region oder Behörde den Netzwerkdatenverarbeiter umgehend zu informieren oder eine öffentliche Bekanntmachung zu machen. Der Netzwerkdatenverarbeiter hat seine Netzwerkdatensicherheits-Schutzverantwortlichkeiten zu erfüllen.
Der Staat ermutigt Netzwerkdatenverarbeiter, Technologien und Produkte wie Datenkennzeichnungen und -identifikatoren zu nutzen, um das Niveau der Sicherheitsverwaltung wichtiger Daten zu verbessern.
Artikel 30. Verarbeiter wichtiger Daten haben eine für die Netzwerkdatensicherheit verantwortliche Person und eine Netzwerkdatensicherheits-Verwaltungsstelle zu benennen. Die Netzwerkdatensicherheits-Verwaltungsstelle hat die folgenden Netzwerkdatensicherheits-Schutzverantwortlichkeiten wahrzunehmen:
(1) Formulierung und Umsetzung von Netzwerkdatensicherheits-Verwaltungssystemen, Betriebsverfahren und Notfallplänen für Netzwerkdatensicherheitsvorfälle;
(2) regelmäßige Organisation und Durchführung von Tätigkeiten wie der Überwachung von Netzwerkdatensicherheitsrisiken, Risikobewertung, Notfallübungen sowie Bekanntmachung, Aufklärung und Schulung, und umgehende Behandlung von Netzwerkdatensicherheitsrisiken und -vorfällen;
(3) Annahme und Behandlung von Beschwerden und Meldungen zur Netzwerkdatensicherheit.
Die für die Netzwerkdatensicherheit verantwortliche Person hat Fachwissen zur Netzwerkdatensicherheit und einschlägige Erfahrung in der Verwaltungsarbeit zu besitzen, hat Mitglied der Geschäftsführung des Netzwerkdatenverarbeiters zu sein und hat das Recht, die Netzwerkdatensicherheitslage unmittelbar den betreffenden zuständigen Behörden zu berichten.
Netzwerkdatenverarbeiter, die wichtige Daten der von den betreffenden zuständigen Behörden vorgeschriebenen spezifischen Typen und im vorgeschriebenen Umfang halten, haben Sicherheitshintergrundüberprüfungen der für die Netzwerkdatensicherheit verantwortlichen Person und des Personals in Schlüsselpositionen durchzuführen und die Schulung des betreffenden Personals zu stärken. Bei der Durchführung solcher Überprüfungen können sie beim Organ für öffentliche Sicherheit und beim Organ für Staatssicherheit um Hilfe ersuchen.
Artikel 31. Vor der Bereitstellung, beauftragten Verarbeitung oder gemeinsamen Verarbeitung wichtiger Daten hat ein Verarbeiter wichtiger Daten eine Risikobewertung durchzuführen, außer wo dies in Erfüllung einer gesetzlichen Pflicht oder gesetzlichen Verpflichtung geschieht.
Die Risikobewertung hat sich auf die Bewertung des Folgenden zu konzentrieren:
(1) ob die Bereitstellung, beauftragte Verarbeitung oder gemeinsame Verarbeitung der Netzwerkdaten sowie der Zweck, die Art und der Umfang und dergleichen der Verarbeitung der Netzwerkdaten durch den Netzwerkdatenempfänger rechtmäßig, ordnungsgemäß und notwendig sind;
(2) das Risiko, dass die bereitgestellten, zur Verarbeitung beauftragten oder gemeinsam verarbeiteten Netzwerkdaten manipuliert, beschädigt oder offengelegt oder rechtswidrig erlangt oder rechtswidrig genutzt werden, sowie das Risiko für die nationale Sicherheit, das öffentliche Interesse oder die legitimen Rechte und Interessen von Einzelpersonen oder Organisationen;
(3) die Integrität, Gesetzestreue und dergleichen des Netzwerkdatenempfängers;
(4) ob die Anforderungen zur Netzwerkdatensicherheit im einschlägigen geschlossenen oder zu schließenden Vertrag mit dem Netzwerkdatenempfänger den Netzwerkdatenempfänger wirksam zur Erfüllung der Netzwerkdatensicherheits-Schutzpflichten binden können;
(5) ob die ergriffenen oder zu ergreifenden technischen und Verwaltungsmaßnahmen und dergleichen Risiken wie die Manipulation, Beschädigung oder Offenlegung oder rechtswidrige Erlangung oder rechtswidrige Nutzung der Netzwerkdaten wirksam abwehren können;
(6) andere von den betreffenden zuständigen Behörden vorgeschriebene Bewertungsangelegenheiten.
Artikel 32. Wo ein Verarbeiter wichtiger Daten aufgrund einer Verschmelzung, Spaltung, Auflösung, eines Konkurses oder dergleichen die Sicherheit wichtiger Daten berühren kann, hat er Maßnahmen zur Gewährleistung der Netzwerkdatensicherheit zu ergreifen und den betreffenden zuständigen Behörden auf oder oberhalb der Provinzebene den Handhabungsplan für die wichtigen Daten und den Namen und die Kontaktinformationen des Empfängers und dergleichen zu melden; wo die zuständige Behörde nicht klar ist, hat er dem Koordinierungsmechanismus für die Datensicherheitsarbeit auf oder oberhalb der Provinzebene Meldung zu erstatten.
Artikel 33. Verarbeiter wichtiger Daten haben jährlich eine Risikobewertung ihrer Netzwerkdatenverarbeitungstätigkeiten durchzuführen und den betreffenden zuständigen Behörden auf oder oberhalb der Provinzebene einen Risikobewertungsbericht vorzulegen; die betreffenden zuständigen Behörden haben die Cyberspace-Verwaltungsbehörde und das Organ für öffentliche Sicherheit auf gleicher Ebene umgehend zu benachrichtigen.
Der Risikobewertungsbericht hat Folgendes zu enthalten:
(1) grundlegende Informationen über den Netzwerkdatenverarbeiter, Informationen über die Netzwerkdatensicherheits-Verwaltungsstelle und den Namen und die Kontaktinformationen der für die Netzwerkdatensicherheit verantwortlichen Person und dergleichen;
(2) den Zweck, die Typen, die Menge, die Art, den Umfang, die Speicherdauer, den Speicherort und dergleichen der Verarbeitung wichtiger Daten sowie die Situation der durchgeführten Netzwerkdatenverarbeitungstätigkeiten, nicht einschließlich des Inhalts der Netzwerkdaten selbst;
(3) das Netzwerkdatensicherheits-Verwaltungssystem und seine Umsetzung sowie die technischen Maßnahmen wie Verschlüsselung, Sicherung, Kennzeichnung und Identifizierung, Zugriffskontrolle und Sicherheitsauthentifizierung und andere notwendige Maßnahmen und deren Wirksamkeit;
(4) die entdeckten Netzwerkdatensicherheitsrisiken sowie die eingetretenen Netzwerkdatensicherheitsvorfälle und deren Behandlung;
(5) die Risikobewertungssituation für die Bereitstellung, beauftragte Verarbeitung oder gemeinsame Verarbeitung wichtiger Daten;
(6) die Situation der grenzüberschreitenden Bereitstellung von Netzwerkdaten;
(7) andere von den betreffenden zuständigen Behörden vorgeschriebene Meldeangelegenheiten.
Ein von einem großen Netzwerkplattform-Dienstanbieter, der wichtige Daten verarbeitet, vorgelegter Risikobewertungsbericht hat zusätzlich zu den im vorstehenden Absatz vorgeschriebenen Angelegenheiten die Sicherheit der Netzwerkdaten in seinen Schlüsselgeschäften und seiner Lieferkette und dergleichen vollständig zu erläutern.
Wo ein Verarbeiter wichtiger Daten Tätigkeiten der Verarbeitung wichtiger Daten ausübt, die die nationale Sicherheit gefährden können, ordnen die betreffenden zuständigen Behörden auf oder oberhalb der Provinzebene an, Maßnahmen wie Berichtigung oder die Einstellung der Verarbeitung wichtiger Daten zu ergreifen. Der Verarbeiter wichtiger Daten hat unverzüglich Maßnahmen im Einklang mit den einschlägigen Anforderungen zu ergreifen.
Kapitel V — Grenzüberschreitende Sicherheitsverwaltung von Netzwerkdaten
Artikel 34. Die nationale Cyberspace-Verwaltungsbehörde koordiniert die einschlägigen Behörden bei der Errichtung eines besonderen Arbeitsmechanismus für die Sicherheitsverwaltung nationaler Datenausfuhren, bei der Erforschung und Formulierung einschlägiger Richtlinien für die Sicherheitsverwaltung nationaler Netzwerkdatenausfuhren und bei der Koordinierung der Behandlung wesentlicher Angelegenheiten der Sicherheit von Netzwerkdatenausfuhren.
Artikel 35. Ein Netzwerkdatenverarbeiter darf Empfängern außerhalb des Hoheitsgebiets personenbezogene Informationen bereitstellen, wo eine der folgenden Bedingungen erfüllt ist:
(1) er hat eine von der nationalen Cyberspace-Verwaltungsbehörde organisierte Sicherheitsbewertung für Datenausfuhren bestanden;
(2) er hat eine Zertifizierung zum Schutz personenbezogener Informationen durch eine Fachinstitution im Einklang mit den Bestimmungen der nationalen Cyberspace-Verwaltungsbehörde durchlaufen;
(3) er entspricht den Bestimmungen zum Standardvertrag für die grenzüberschreitende Übermittlung personenbezogener Informationen, die von der nationalen Cyberspace-Verwaltungsbehörde formuliert wurden;
(4) es ist wirklich notwendig, Empfängern außerhalb des Hoheitsgebiets personenbezogene Informationen bereitzustellen, um einen Vertrag zu schließen oder zu erfüllen, bei dem die Einzelperson Vertragspartei ist;
(5) es ist wirklich notwendig, Empfängern außerhalb des Hoheitsgebiets die personenbezogenen Informationen von Beschäftigten bereitzustellen, um ein grenzüberschreitendes Personalmanagement im Einklang mit gesetzlich formulierten Arbeitsregeln und -vorschriften und einem gesetzlich geschlossenen Kollektivvertrag durchzuführen;
(6) es ist wirklich notwendig, Empfängern außerhalb des Hoheitsgebiets personenbezogene Informationen bereitzustellen, um eine gesetzliche Pflicht oder gesetzliche Verpflichtung zu erfüllen;
(7) es ist in einem Notfall wirklich notwendig, Empfängern außerhalb des Hoheitsgebiets personenbezogene Informationen bereitzustellen, um das Leben, die Gesundheit oder die Vermögenssicherheit einer natürlichen Person zu schützen;
(8) andere durch Gesetze, Verwaltungsvorschriften oder die nationale Cyberspace-Verwaltungsbehörde vorgeschriebene Bedingungen.
Artikel 36. Wo ein internationaler Vertrag oder eine internationale Vereinbarung, die die Volksrepublik China geschlossen hat oder der sie beigetreten ist, Bestimmungen über die Bedingungen und dergleichen für die Bereitstellung personenbezogener Informationen an Empfänger außerhalb des Hoheitsgebiets der Volksrepublik China enthält, können jene Bestimmungen befolgt werden.
Artikel 37. Wo wichtige Daten, die von einem Netzwerkdatenverarbeiter im Zuge von Tätigkeiten innerhalb des Hoheitsgebiets der Volksrepublik China erhoben und erzeugt werden, wirklich Empfängern außerhalb des Hoheitsgebiets bereitgestellt werden müssen, hat dies eine von der nationalen Cyberspace-Verwaltungsbehörde organisierte Sicherheitsbewertung für Datenausfuhren zu bestehen. Wo ein Netzwerkdatenverarbeiter wichtige Daten im Einklang mit den einschlägigen Bestimmungen des Staates identifiziert und deklariert, aber von der einschlägigen Region oder Behörde nicht als wichtige Daten informiert oder öffentlich bekannt gemacht wurde, ist er nicht verpflichtet, sie für die Sicherheitsbewertung für Datenausfuhren als wichtige Daten zu deklarieren.
Artikel 38. Nach Bestehen einer Sicherheitsbewertung für Datenausfuhren darf ein Netzwerkdatenverarbeiter, der Empfängern außerhalb des Hoheitsgebiets personenbezogene Informationen und wichtige Daten bereitstellt, den Zweck, die Art, den Umfang, die Typen, den Umfang und dergleichen der Datenausfuhr nicht überschreiten, die zum Zeitpunkt der Bewertung angegeben wurden.
Artikel 39. Der Staat ergreift Maßnahmen, um grenzüberschreitenden Sicherheitsrisiken und -bedrohungen für Netzwerkdaten vorzubeugen und ihnen zu begegnen. Keine Einzelperson oder Organisation darf Programme, Werkzeuge oder dergleichen bereitstellen, die dazu bestimmt sind, technische Maßnahmen zu beschädigen oder zu umgehen; und wer weiß, dass eine andere Person Tätigkeiten wie das Beschädigen oder Umgehen technischer Maßnahmen ausübt, darf dieser Person keinen technischen Support oder keine Hilfe bereitstellen.
Kapitel VI — Pflichten der Netzwerkplattform-Dienstanbieter
Artikel 40. Netzwerkplattform-Dienstanbieter haben durch Plattformregeln, Verträge oder dergleichen die Netzwerkdatensicherheits-Schutzpflichten der Drittanbieter von Produkten und Diensten, die auf ihre Plattformen zugreifen, klar festzulegen und die Drittanbieter von Produkten und Diensten anzuhalten, die Netzwerkdatensicherheitsverwaltung zu stärken.
Hersteller von Geräten wie intelligenten Endgeräten mit vorinstallierten Anwendungen unterliegen den Bestimmungen des vorstehenden Absatzes.
Wo ein Drittanbieter von Produkten oder Diensten Netzwerkdatenverarbeitungstätigkeiten unter Verstoß gegen die Bestimmungen der Gesetze oder Verwaltungsvorschriften oder der Plattformregeln oder Vertragsbedingungen ausübt und dadurch Nutzern Schaden zufügt, haben der Netzwerkplattform-Dienstanbieter, der Drittanbieter von Produkten oder Diensten und der Hersteller von Geräten wie intelligenten Endgeräten mit vorinstallierten Anwendungen die entsprechende Haftung im Einklang mit dem Gesetz zu tragen.
Der Staat ermutigt Versicherungsunternehmen, Haftpflichtversicherungsprodukte für Netzwerkdatenschäden zu entwickeln, und ermutigt Netzwerkplattform-Dienstanbieter und Hersteller von Geräten wie intelligenten Endgeräten mit vorinstallierten Anwendungen, eine solche Versicherung abzuschließen.
Artikel 41. Netzwerkplattform-Dienstanbieter, die App-Vertriebsdienste bereitstellen, haben Verifizierungsregeln für Anwendungen zu errichten und eine netzwerkdatensicherheitsbezogene Verifizierung durchzuführen. Bei Entdeckung, dass eine zur Verteilung anstehende oder bereits verteilte Anwendung nicht den Bestimmungen der Gesetze oder Verwaltungsvorschriften oder den zwingenden Anforderungen nationaler Standards entspricht, haben sie Maßnahmen wie Verwarnung, Verweigerung der Verteilung, Aussetzung der Verteilung oder Beendigung der Verteilung zu ergreifen.
Artikel 42. Wo ein Netzwerkplattform-Dienstanbieter Einzelpersonen mittels automatisierter Entscheidungsfindung Informationen ausspielt, hat er eine Option zum Ausschalten personalisierter Empfehlungen einzurichten, die leicht verständlich, zugänglich und bedienbar ist, und den Nutzern Funktionen wie die Ablehnung des Empfangs ausgespielter Informationen und das Löschen von Nutzer-Tags, die auf ihre persönlichen Merkmale abzielen, bereitzustellen.
Artikel 43. Der Staat treibt den Aufbau eines öffentlichen Dienstes zur Netzwerkidentitätsauthentifizierung voran und fördert dessen Anwendung nach dem Grundsatz der staatlichen Anleitung und der Freiwilligkeit der Nutzer.
Netzwerkplattform-Dienstanbieter werden ermutigt, Nutzer dabei zu unterstützen, den nationalen öffentlichen Dienst zur Netzwerkidentitätsauthentifizierung zur Registrierung und Überprüfung ihrer echten Identitätsinformationen zu nutzen.
Artikel 44. Große Netzwerkplattform-Dienstanbieter haben einen jährlichen Bericht über die gesellschaftliche Verantwortung beim Schutz personenbezogener Informationen zu veröffentlichen; der Inhalt des Berichts hat, ist aber nicht beschränkt auf, die Maßnahmen für und Ergebnisse des Schutzes personenbezogener Informationen, die Annahme von Anträgen von Einzelpersonen zur Ausübung ihrer Rechte und die Pflichterfüllung durch die hauptsächlich aus externen Mitgliedern bestehende Aufsichtsstelle für den Schutz personenbezogener Informationen und dergleichen zu umfassen.
Artikel 45. Wo ein großer Netzwerkplattform-Dienstanbieter Netzwerkdaten grenzüberschreitend bereitstellt, hat er die Anforderungen des Staates an die grenzüberschreitende Sicherheitsverwaltung von Daten einzuhalten, die einschlägigen technischen und Verwaltungsmaßnahmen zu verbessern und grenzüberschreitenden Sicherheitsrisiken für Netzwerkdaten vorzubeugen.
Artikel 46. Große Netzwerkplattform-Dienstanbieter dürfen Netzwerkdaten, Algorithmen, Plattformregeln oder dergleichen nicht nutzen, um die folgenden Tätigkeiten auszuüben:
(1) die Verarbeitung der von Nutzern auf der Plattform erzeugten Netzwerkdaten durch Mittel wie Irreführung, Betrug, Zwang oder dergleichen;
(2) die Einschränkung des Zugriffs und der Nutzung der von Nutzern auf der Plattform erzeugten Netzwerkdaten durch Nutzer ohne legitimen Grund;
(3) die Auferlegung einer unangemessenen Ungleichbehandlung von Nutzern, wodurch die legitimen Rechte und Interessen der Nutzer geschädigt werden;
(4) andere durch Gesetze oder Verwaltungsvorschriften verbotene Tätigkeiten.
Kapitel VII — Beaufsichtigung und Verwaltung
Artikel 47. Die nationale Cyberspace-Verwaltungsbehörde ist für die Gesamtkoordinierung der Netzwerkdatensicherheit und der damit verbundenen Beaufsichtigungs- und Verwaltungsarbeit zuständig.
Organe für öffentliche Sicherheit und Organe für Staatssicherheit übernehmen im Einklang mit den Bestimmungen der einschlägigen Gesetze, Verwaltungsvorschriften und dieser Verordnung die Verantwortung für die Beaufsichtigung und Verwaltung der Netzwerkdatensicherheit im Rahmen ihrer jeweiligen Pflichten und wehren rechtswidrige und kriminelle Tätigkeiten, die die Netzwerkdatensicherheit gefährden, im Einklang mit dem Gesetz ab und bekämpfen sie.
Die nationale Datenverwaltungsbehörde nimmt bei ihrer konkreten Wahrnehmung der Datenverwaltungsarbeit entsprechende Netzwerkdatensicherheitspflichten wahr.
Jede Region und jede Behörde ist für die in der Arbeit dieser Region oder Behörde erhobenen und erzeugten Netzwerkdaten und für die Sicherheit solcher Netzwerkdaten verantwortlich.
Artikel 48. Jede betreffende zuständige Behörde, die die Verantwortung für die Beaufsichtigung und Verwaltung der Netzwerkdatensicherheit für ihre eigene Branche oder ihren eigenen Bereich übernimmt, hat eine Netzwerkdatensicherheits-Schutzarbeitsstelle für diese Branche oder diesen Bereich zu benennen, Notfallpläne für Netzwerkdatensicherheitsvorfälle in dieser Branche oder diesem Bereich koordiniert zu formulieren und deren Umsetzung zu organisieren, regelmäßig Netzwerkdatensicherheits-Risikobewertungen für diese Branche oder diesen Bereich zu organisieren und durchzuführen, die Erfüllung der Netzwerkdatensicherheits-Schutzpflichten durch Netzwerkdatenverarbeiter zu beaufsichtigen und zu inspizieren und Netzwerkdatenverarbeiter anzuleiten und anzuhalten, bestehende Risiken und verborgene Gefahren umgehend zu beheben.
Artikel 49. Die nationale Cyberspace-Verwaltungsbehörde koordiniert die betreffenden zuständigen Behörden bei der umgehenden Erfassung, Analyse und Bewertung, Weitergabe und Veröffentlichung von Informationen im Zusammenhang mit Netzwerkdatensicherheitsrisiken und stärkt die Arbeit an der Weitergabe von Netzwerkdatensicherheitsinformationen, an der Überwachung und Frühwarnung von Netzwerkdatensicherheitsrisiken und -bedrohungen und an der Notfallreaktion auf Netzwerkdatensicherheitsvorfälle.
Artikel 50. Die betreffenden zuständigen Behörden können die folgenden Maßnahmen ergreifen, um die Netzwerkdatensicherheit zu beaufsichtigen und zu inspizieren:
(1) Verlangen vom Netzwerkdatenverarbeiter und seinem einschlägigen Personal, Erläuterungen zu den der Beaufsichtigung und Inspektion unterliegenden Angelegenheiten bereitzustellen;
(2) Einsicht in und Kopieren von Dokumenten und Aufzeichnungen im Zusammenhang mit der Netzwerkdatensicherheit;
(3) Inspektion des Betriebs von Netzwerkdatensicherheitsmaßnahmen;
(4) Inspektion von Ausrüstung und Gegenständen im Zusammenhang mit Netzwerkdatenverarbeitungstätigkeiten;
(5) andere durch Gesetze und Verwaltungsvorschriften vorgeschriebene notwendige Maßnahmen.
Netzwerkdatenverarbeiter haben mit der von den betreffenden zuständigen Behörden rechtmäßig durchgeführten Beaufsichtigung und Inspektion der Netzwerkdatensicherheit mitzuwirken.
Artikel 51. Wenn die betreffenden zuständigen Behörden die Netzwerkdatensicherheit beaufsichtigen und inspizieren, haben sie objektiv und fair zu sein und dürfen den inspizierten Einheiten keine Gebühren erheben.
Im Zuge der Beaufsichtigung und Inspektion der Netzwerkdatensicherheit dürfen die betreffenden zuständigen Behörden keine Geschäftsinformationen, die nicht mit der Netzwerkdatensicherheit zusammenhängen, einsehen oder erheben, und die erlangten Informationen dürfen nur für den Bedarf der Gewährleistung der Netzwerkdatensicherheit verwendet und nicht für einen anderen Zweck genutzt werden.
Wo die betreffenden zuständigen Behörden feststellen, dass die Netzwerkdatenverarbeitungstätigkeiten eines Netzwerkdatenverarbeiters ein verhältnismäßig großes Sicherheitsrisiko bergen, können sie im Einklang mit der vorgeschriebenen Zuständigkeit und den vorgeschriebenen Verfahren vom Netzwerkdatenverarbeiter verlangen, die einschlägigen Dienste auszusetzen, Plattformregeln zu ändern, technische Maßnahmen zu verbessern und dergleichen, um verborgene Gefahren für die Netzwerkdatensicherheit zu beseitigen.
Artikel 52. Bei der Beaufsichtigung und Inspektion der Netzwerkdatensicherheit haben die betreffenden zuständigen Behörden Koordinierung, Zusammenarbeit und Informationskommunikation zu stärken, die Häufigkeit und Art der Inspektionen angemessen festzulegen und unnötige Inspektionen sowie überschneidende, wiederholte Inspektionen zu vermeiden.
Compliance-Prüfungen zum Schutz personenbezogener Informationen, Risikobewertungen wichtiger Daten, Sicherheitsbewertungen für die grenzüberschreitende Übermittlung wichtiger Daten und dergleichen sind besser zu verknüpfen, um wiederholte Bewertungen und Prüfungen zu vermeiden. Wo sich der Inhalt einer Risikobewertung wichtiger Daten mit dem einer Evaluierung des abgestuften Cybersicherheitsschutzes überschneidet, können die jeweiligen Ergebnisse gegenseitig anerkannt werden.
Artikel 53. Die betreffenden zuständigen Behörden und ihr Personal haben im Einklang mit dem Gesetz Netzwerkdaten wie persönliche Privatsphäre, personenbezogene Informationen, Geschäftsgeheimnisse und vertrauliche Geschäftsinformationen, von denen sie bei der Erfüllung ihrer Pflichten Kenntnis erlangen, vertraulich zu behandeln und dürfen sie nicht weitergeben oder rechtswidrig an andere bereitstellen.
Artikel 54. Wo eine Organisation oder Einzelperson außerhalb des Hoheitsgebiets Netzwerkdatenverarbeitungstätigkeiten ausübt, die die nationale Sicherheit oder das öffentliche Interesse der Volksrepublik China gefährden oder die Rechte und Interessen an den personenbezogenen Informationen von Bürgern der Volksrepublik China verletzen, können die nationale Cyberspace-Verwaltungsbehörde zusammen mit den betreffenden zuständigen Behörden entsprechende notwendige Maßnahmen im Einklang mit dem Gesetz ergreifen.
Kapitel VIII — Rechtliche Haftung
Artikel 55. Bei Verstößen gegen die Bestimmungen des Artikels 12, der Artikel 16 bis 20, des Artikels 22, des ersten und zweiten Absatzes des Artikels 40, des Artikels 41 oder des Artikels 42 dieser Verordnung ordnen die zuständigen Behörden für Cyberspace-Angelegenheiten, Telekommunikation, öffentliche Sicherheit und dergleichen im Einklang mit ihren jeweiligen Pflichten Korrekturen an, erteilen eine Verwarnung und ziehen die rechtswidrigen Gewinne ein; wo die Korrektur verweigert wird oder die Umstände schwerwiegend sind, wird eine Geldbuße von nicht mehr als RMB 1.000.000 verhängt, und es können die Einstellung des einschlägigen Geschäfts, die Einstellung des Betriebs zur Berichtigung, der Widerruf der einschlägigen Betriebsgenehmigung oder der Widerruf der Betriebslizenz angeordnet und gegen den unmittelbar verantwortlichen Leiter und andere unmittelbar verantwortliche Personen eine Geldbuße von nicht weniger als RMB 10.000 und nicht mehr als RMB 100.000 verhängt werden.
Artikel 56. Bei Verstößen gegen die Bestimmungen des Artikels 13 dieser Verordnung ordnen die zuständigen Behörden für Cyberspace-Angelegenheiten, Telekommunikation, öffentliche Sicherheit, Staatssicherheit und dergleichen im Einklang mit ihren jeweiligen Pflichten Korrekturen an, erteilen eine Verwarnung und können zugleich eine Geldbuße von nicht weniger als RMB 100.000 und nicht mehr als RMB 1.000.000 verhängen und gegen den unmittelbar verantwortlichen Leiter und andere unmittelbar verantwortliche Personen eine Geldbuße von nicht weniger als RMB 10.000 und nicht mehr als RMB 100.000 verhängen; wo die Korrektur verweigert wird oder die Umstände schwerwiegend sind, wird eine Geldbuße von nicht weniger als RMB 1.000.000 und nicht mehr als RMB 10.000.000 verhängt, und es können die Einstellung des einschlägigen Geschäfts, die Einstellung des Betriebs zur Berichtigung, der Widerruf der einschlägigen Betriebsgenehmigung oder der Widerruf der Betriebslizenz angeordnet und gegen den unmittelbar verantwortlichen Leiter und andere unmittelbar verantwortliche Personen eine Geldbuße von nicht weniger als RMB 100.000 und nicht mehr als RMB 1.000.000 verhängt werden.
Artikel 57. Bei Verstößen gegen die Bestimmungen des zweiten Absatzes des Artikels 29, des zweiten und dritten Absatzes des Artikels 30, des Artikels 31 oder des Artikels 32 dieser Verordnung ordnen die zuständigen Behörden für Cyberspace-Angelegenheiten, Telekommunikation, öffentliche Sicherheit und dergleichen im Einklang mit ihren jeweiligen Pflichten Korrekturen an, erteilen eine Verwarnung und können zugleich eine Geldbuße von nicht weniger als RMB 50.000 und nicht mehr als RMB 500.000 verhängen und gegen den unmittelbar verantwortlichen Leiter und andere unmittelbar verantwortliche Personen eine Geldbuße von nicht weniger als RMB 10.000 und nicht mehr als RMB 100.000 verhängen; wo die Korrektur verweigert wird oder schwerwiegende Folgen wie das Leck einer großen Datenmenge verursacht werden, wird eine Geldbuße von nicht weniger als RMB 500.000 und nicht mehr als RMB 2.000.000 verhängt, und es können die Einstellung des einschlägigen Geschäfts, die Einstellung des Betriebs zur Berichtigung, der Widerruf der einschlägigen Betriebsgenehmigung oder der Widerruf der Betriebslizenz angeordnet und gegen den unmittelbar verantwortlichen Leiter und andere unmittelbar verantwortliche Personen eine Geldbuße von nicht weniger als RMB 50.000 und nicht mehr als RMB 200.000 verhängt werden.
Artikel 58. Bei Verstößen gegen andere einschlägige Bestimmungen dieser Verordnung verfolgen die betreffenden zuständigen Behörden die rechtliche Haftung im Einklang mit den einschlägigen Bestimmungen des „Cybersicherheitsgesetzes der Volksrepublik China“, des „Datensicherheitsgesetzes der Volksrepublik China“, des „Gesetzes zum Schutz personenbezogener Informationen der Volksrepublik China“ und anderer Gesetze.
Artikel 59. Wo ein Netzwerkdatenverarbeiter freiwillig die schädlichen Folgen einer rechtswidrigen Handlung beseitigt oder mindert, wo die rechtswidrige Handlung geringfügig ist und rechtzeitig korrigiert wird und keine schädlichen Folgen verursacht hat oder wo es sich um einen erstmaligen Verstoß mit geringfügigen schädlichen Folgen handelt, der rechtzeitig korrigiert wird, oder wo andere derartige Umstände vorliegen, wird im Einklang mit den Bestimmungen des „Verwaltungsstrafgesetzes der Volksrepublik China“ eine mildere oder gemilderte Verwaltungsstrafe verhängt oder keine Verwaltungsstrafe verhängt.
Artikel 60. Wo ein staatliches Organ die in dieser Verordnung festgelegten Netzwerkdatensicherheits-Schutzpflichten nicht erfüllt, ordnet sein übergeordnetes Organ oder die betreffende zuständige Behörde Korrekturen an; dem unmittelbar verantwortlichen Leiter und anderen unmittelbar verantwortlichen Personen werden Sanktionen im Einklang mit dem Gesetz auferlegt.
Artikel 61. Wo ein Verstoß gegen die Bestimmungen dieser Verordnung anderen Schaden zufügt, ist die zivilrechtliche Haftung im Einklang mit dem Gesetz zu tragen; wo der Verstoß eine Handlung darstellt, die gegen die Verwaltung der öffentlichen Sicherheit verstößt, wird im Einklang mit dem Gesetz eine Strafe der Verwaltung der öffentlichen Sicherheit verhängt; wo er eine Straftat darstellt, wird die strafrechtliche Haftung im Einklang mit dem Gesetz verfolgt.
Kapitel IX — Ergänzende Bestimmungen
Artikel 62. Die folgenden in dieser Verordnung verwendeten Begriffe haben die nachstehend dargelegten Bedeutungen:
(1) „Netzwerkdaten“ bezeichnet alle Arten elektronischer Daten, die über Netze verarbeitet und erzeugt werden.
(2) „Netzwerkdatenverarbeitungstätigkeiten“ bezeichnet Tätigkeiten wie die Erhebung, Speicherung, Nutzung, Verarbeitung, Übermittlung, Bereitstellung, Offenlegung und Löschung von Netzwerkdaten.
(3) „Netzwerkdatenverarbeiter“ bezeichnet eine Einzelperson oder Organisation, die bei Netzwerkdatenverarbeitungstätigkeiten eigenständig über den Zweck und die Art der Verarbeitung entscheidet.
(4) „Wichtige Daten“ bezeichnet Daten in einem bestimmten Bereich, einer bestimmten Gruppe oder einer bestimmten Region oder solche, die einen bestimmten Grad an Genauigkeit und Umfang erreichen, die, wenn sie manipuliert, beschädigt oder offengelegt oder rechtswidrig erlangt oder rechtswidrig genutzt werden, die nationale Sicherheit, den Wirtschaftsbetrieb, die soziale Stabilität oder die öffentliche Gesundheit und Sicherheit unmittelbar gefährden können.
(5) „Beauftragte Verarbeitung“ bezeichnet Netzwerkdatenverarbeitungstätigkeiten, mit deren Durchführung ein Netzwerkdatenverarbeiter eine Einzelperson oder Organisation im Einklang mit einem vereinbarten Zweck und einer vereinbarten Art beauftragt.
(6) „Gemeinsame Verarbeitung“ bezeichnet Netzwerkdatenverarbeitungstätigkeiten, bei denen zwei oder mehr Netzwerkdatenverarbeiter gemeinsam über den Zweck und die Art der Verarbeitung von Netzwerkdaten entscheiden.
(7) „Gesonderte Einwilligung“ bezeichnet eine spezifische und ausdrückliche Einwilligung, die eine Einzelperson speziell für eine bestimmte Verarbeitung ihrer personenbezogenen Informationen erteilt.
(8) „Große Netzwerkplattform“ bezeichnet eine Netzwerkplattform mit mehr als 50 Millionen registrierten Nutzern oder mehr als 10 Millionen monatlich aktiven Nutzern, mit komplexen Geschäftstypen, deren Netzwerkdatenverarbeitungstätigkeiten eine wichtige Bedeutung für die nationale Sicherheit, den Wirtschaftsbetrieb, die Volkswirtschaft und die Lebensgrundlage der Bevölkerung und dergleichen haben.
Artikel 63. Netzwerkdatenverarbeitungstätigkeiten, die Kerndaten betreffen, sind im Einklang mit den einschlägigen Bestimmungen des Staates durchzuführen.
Diese Verordnung gilt nicht für die Verarbeitung personenbezogener Informationen durch eine natürliche Person für persönliche oder familiäre Angelegenheiten.
Netzwerkdatenverarbeitungstätigkeiten, die Staatsgeheimnisse oder Dienstgeheimnisse betreffen, unterliegen den Bestimmungen des „Gesetzes der Volksrepublik China über die Wahrung von Staatsgeheimnissen“ und anderer Gesetze und Verwaltungsvorschriften.
Artikel 64. Diese Verordnung tritt am 1. Januar 2025 in Kraft.
Abschluss
Das Originaldokument wurde auf Chinesisch vom Staatsrat der Volksrepublik China veröffentlicht; wir haben es ins Deutsche übersetzt, was Sie oben lesen. Diese Übersetzung dient ausschließlich dem schnellen Verständnis und sollte nach eigenem Ermessen und auf eigenes Risiko verwendet werden — bestätigen Sie die aktuellen Anforderungen stets mit qualifiziertem Rechtsbeistand.
Wenn Sie weitere Hilfe von unserem Team benötigen, kontaktieren Sie uns noch heute, und unsere Experten helfen Ihnen, Ihre Präsenz in China von Grund auf konform zu halten.