Die Auswirkungen von Chinas neuem Datenschutzgesetz auf internationale Organisationen

Kurzfassung: Im November 2021 setzte China seine Version der DSGVO in Kraft, das Gesetz zum Schutz personenbezogener Informationen (PIPL). Chinas PIPL betrifft die meisten ausländischen Unternehmen bei der Erhebung und Handhabung personenbezogener Informationen, die in China erhoben werden. Dieser Artikel betrachtet die Unterschiede und Gemeinsamkeiten zwischen DSGVO und PIPL. Und er hebt die Anforderungen hervor, mit denen Ihr Unternehmen mit Chinas PIPL konform bleibt.

Im Oktober 2021 kündigte Yahoo Inc. an, sich aus China zurückzuziehen. Dies ist das zweite bekannte US-Technologieunternehmen, das seine China-Aktivitäten in weniger als einem Monat verkleinert, nach der Schließung von Microsofts sozialem Netzwerk LinkedIn.

LinkedIn erklärte, es habe entschieden, seinen Betrieb in China einzustellen, nachdem es sich einem „deutlich herausfordernderen Betriebsumfeld und größeren Compliance-Anforderungen“ gegenübersah.

Sowohl Yahoos als auch LinkedIns Rückzug aus China fällt mit Chinas aktualisiertem Gesetz zum Schutz personenbezogener Informationen (PIPL) zusammen, das am 1. November 2021 in Kraft trat.

Dieser Beitrag schlüsselt das PIPL, seine Datenverarbeitung und Einwilligungsanforderungen auf, zeigt, wie es sich zur DSGVO verhält, und erörtert, wie Ihr ausländisches Unternehmen Compliance sicherstellen kann.

Was ist das Gesetz zum Schutz personenbezogener Informationen?

Das Gesetz zum Schutz personenbezogener Informationen, auch bekannt als PIPL, ist Chinas erstes umfassendes Datenschutzgesetz.

Das PIPL hilft, den Rahmen zu bilden, der Chinas Regierung eine breite Durchsetzungsfähigkeit gibt — was zu einem stärker regulierten Umfeld für international in China tätige Unternehmen führt.

Sein Rahmenwerk ähnelt in Umfang und Reichweite der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union. Beide Gesetze verlangen:

1. einen rechtmäßigen Zweck für Datenerhebung und -verarbeitung,
2. die Einwilligung der Verbraucher zur Verarbeitung von Daten und
3. geben Verbrauchern das Recht, auf ihre Informationen zuzugreifen oder sie zu löschen.

Ein wesentlicher Unterschied zur DSGVO wird jedoch beeinflussen, wie internationale Unternehmen grenzüberschreitende Datenübermittlungen handhaben.

„If companies are compliant with Europe's GDPR, they are going to be finely complying with the Chinese privacy law“

Alexa Lee

Senior Manager für Policy beim Information Technology Industry Council

Zentrale Definitionen

Personenbezogene Informationen sind alle Arten von Informationen und Daten, die auf elektronischem oder anderem Wege aufgezeichnet werden und sich auf identifizierte oder identifizierbare Einzelpersonen beziehen.

Handhabung (oder Verarbeitung) personenbezogener Informationen umfasst die Erhebung, Speicherung, Nutzung, Verarbeitung, Übermittlung, Bereitstellung, Offenlegung, Löschung usw. personenbezogener Informationen.

Verarbeiter personenbezogener Informationen bezeichnet Organisationen und Einzelpersonen, die bei Tätigkeiten der Handhabung personenbezogener Informationen eigenständig über Zwecke und Methoden der Handhabung entscheiden.

Was ist der Zweck des Gesetzes zum Schutz personenbezogener Informationen?

Artikel 1 des Gesetzes besagt, dass der Zweck des PIPL ist:

1. personenbezogene Informationsrechte und -interessen zu schützen,
2. Tätigkeiten der Handhabung personenbezogener Informationen zu standardisieren,
3. die vernünftige Nutzung personenbezogener Informationen zu fördern.

Der Zweck des Gesetzes, wie in Artikel 2 beschrieben, besteht darin, den personenbezogenen Informationen chinesischer Bürger rechtlichen Schutz zu bieten, und besagt: „Keine Organisation oder Einzelperson darf die personenbezogenen Informationen, Rechte und Interessen von Bürgern verletzen“.

Für wen gilt das PIPL?

Artikel 3 legt dar, dass das Gesetz für jede Organisation oder jedes Unternehmen gilt, das „die personenbezogenen Informationen von Einzelpersonen innerhalb der Grenzen der Volksrepublik China handhabt“.

Welche Einwilligung ist erforderlich, um personenbezogene Informationen in China zu erheben und zu verarbeiten?

Die vom PIPL verlangte Einwilligung ähnelt stark der DSGVO. Kapitel 2 des Gesetzes legt fest, dass die Einwilligung des Nutzers nur dann als gültig gilt, wenn sie wissentlich und ausdrücklich erteilt wird. Das bedeutet, dass Ihre Organisation den Einzelpersonen den vollen Umfang der Verarbeitungsmethoden und der beabsichtigten Nutzung personenbezogener Informationen in klaren und einfachen Worten darlegen muss.

Nutzer haben außerdem das Recht, ihre Einwilligung jederzeit zu widerrufen, und Ihre Organisation muss eine einfache Möglichkeit dazu bieten.

Praktisch bedeutet das, dass Einwilligungsbanner und Opt-outs, die für die DSGVO-Compliance eingerichtet wurden, die Anforderung unter dem PIPL wahrscheinlich erfüllen.

Eine Einwilligung ist auch erforderlich, um Marketing gegenüber Einzelpersonen durch die Verarbeitung personenbezogener Informationen zu betreiben. Das PIPL legt außerdem fest, dass Unternehmen Verbrauchern Optionen bieten müssen, die nicht auf personenbezogene Daten abzielen, oder eine Möglichkeit, die Verarbeitung ihrer Daten abzulehnen.

Ändern sich die Verarbeitungsmethode oder die beabsichtigte Nutzung zu irgendeinem Zeitpunkt, muss Ihre Organisation die Erlaubnis der Einzelperson zur Verarbeitung der Daten erneut einholen.

Welche Anforderungen und Beschränkungen gelten für die Datenverarbeitung in China?

Sobald eine Organisation die rechtliche Grundlage für die Verarbeitung personenbezogener Informationen nachgewiesen hat, legt das PIPL eine Reihe von Anforderungen und Beschränkungen fest, um die Verarbeitung zu regulieren, einschließlich besonderer Regeln für international in China tätige Organisationen.

Zu diesen Regeln gehören:

1. In China ansässige Organisationen müssen eine spezialisierte Stelle einrichten oder einen Vertreter für die Datenschutz-Compliance benennen.

2. Grenzüberschreitende Datenübermittlungen müssen der Cyberspace Administration of China zur Genehmigung vorgelegt werden.

3. Ausländische Unternehmen, die in China tätig sind, müssen einen lokalen Vertreter benennen, der die Verantwortung für die PIPL-Compliance trägt.

4. Zwischen Verantwortlichen und Verarbeitern sind Datenverarbeitungsverträge erforderlich.

5. Organisationen müssen Risikobewertungen durchführen, bevor sie sensible Daten verarbeiten, Daten ins Ausland übermitteln oder sensible Daten für automatisierte Entscheidungsfindung nutzen.

6. Datenverarbeiter müssen Daten innerhalb Festlandchinas lokalisieren.

Die Auswirkungen des PIPL auf international in China tätige Organisationen

Chinas Ansatz, wie Ihre internationale Organisation grenzüberschreitende Datenübermittlung handhaben muss, ist restriktiver als unter der DSGVO, wie in Kapitel III des PIPL beschrieben.

Artikel 40 besagt, dass Ihre Organisation „personenbezogene Informationen, die innerhalb der Grenzen Chinas erhoben und erzeugt werden, im Inland speichern soll“.

Wenn Ihre Organisation personenbezogene Informationen tatsächlich außerhalb Chinas bereitstellen muss, legt Artikel 38 das erforderliche Verfahren zum Export von Daten dar, das eines der folgenden umfasst:

• das Bestehen einer Sicherheitsbewertung, die von der staatlichen Abteilung für Cybersicherheit und Informatisierung gemäß Artikel 40 dieses Gesetzes organisiert wird;
• die Durchführung einer Zertifizierung zum Schutz personenbezogener Informationen durch eine spezialisierte Stelle gemäß den Bestimmungen der staatlichen Abteilung für Cybersicherheit und Informatisierung;
• den Abschluss eines Vertrags mit der ausländischen empfangenden Seite gemäß einem Standardvertrag, der von der staatlichen Abteilung für Cyberspace und Informatisierung formuliert wird, und die Vereinbarung der Rechte und Pflichten beider Seiten;
• andere Bedingungen, die in Gesetzen oder Verwaltungsvorschriften oder von der staatlichen Abteilung für Cybersicherheit und Informatisierung vorgesehen sind.

Rechtliche Haftung

Kapitel 7 beschreibt die rechtliche Haftung und die Strafen für nicht konforme Organisationen.

Ein Verstoß gegen dieses neue Gesetz kann die Fähigkeit eines internationalen Unternehmens, in China Geschäfte zu machen, erheblich beeinträchtigen.

Stellen Sie sich vor, Ihr ausländisches Unternehmen prüft die Gelegenheit, nach China zu expandieren. Angenommen, Ihre Website greift auf personenbezogene Daten in China zu und verstößt gegen PIPL-Anforderungen. In diesem Fall könnte Ihr Unternehmen auf eine „schwarze Liste“ gesetzt werden, was es daran hindern würde, in den chinesischen Markt einzutreten. So zwingt das PIPL jedes ausländische Unternehmen, das auf personenbezogene Daten in China zugreift, die notwendigen Schutzmaßnahmen zur Sicherstellung der Compliance umzusetzen.

Unternehmen, die bereits in China tätig sind, stehen vor einem anderen Risiko. Ein Verstoß würde ein Unternehmen dem Risiko aussetzen, seine Geschäftslizenz zu verlieren, sowie erheblichen finanziellen Strafen von bis zu 50 Millionen RMB oder 5 % seines Jahresumsatzes.

Wie können internationale Organisationen konform bleiben?

Wie Tesla mit dem PIPL konform bleibt

Internationale Organisationen wie der Elektroauto-Gigant Tesla haben ihr eigenes Rechenzentrum eingerichtet, um mit dem Gesetz konform zu bleiben.

Teslas innerhalb Festlandchinas erzeugte Daten werden auf diesen Servern lokalisiert. Dieser Schritt von Tesla vermeidet grenzüberschreitende Datenübermittlung und Sicherheitsbewertungen durch chinesische Cybersicherheitsbeamte.

Wie kann Ihr Unternehmen mit Chinas DSGVO konform bleiben?

Wenn es nicht machbar ist, eigene Rechenzentren wie Tesla zu bauen, und Ihr Unternehmen plant, in China tätig zu sein — anders als Yahoo und LinkedIn —, ist das in Ordnung. Sie haben ein paar Optionen, um konform zu bleiben:

Option 1: Traditioneller VPS-(Virtual-Private-Server-)Hosting-Ansatz

Beauftragen Sie eine Agentur oder nutzen Sie interne technische Ressourcen, um alle sensiblen Daten Ihrer Organisation bei lokalen Cloud-Anbietern wie Alibaba Cloud, Tencent Cloud, AWS China und Azure China zu speichern. Diese Option gibt Ihnen tendenziell mehr Kontrolle darüber, was Sie mit den Servern tun können, aber sie ist auch ein zweischneidiges Schwert, weil sie hohe Kosten für den Serverbetrieb und die Wartung mit sich bringt.

Option 2: Einen modernen Jamstack in China mit 21YunBox nutzen

Viele agile Start-ups und Unternehmen haben die Jamstack-Architektur breit übernommen. 21YunBox ist der einzige Anbieter, der Ihren Jamstack in China zum Leben bringt, ohne in China Gesetze zu brechen.

Darüber hinaus bietet 21YunBox Analytics Ihrer Marketingabteilung eine vollständig konforme Lösung, um Google Analytics und andere Drittanbieter-Analyseprogramme zu beheben, die in China nicht funktionieren. Da Sie keinen Tracking-Code oder kein Skript auf Ihrer Website installieren müssen, gibt 21YunBox Analytics Ihrer Site volle Compliance und keinen Nachteil bei der Web-Analyse.

Option 3: No-Code- oder Low-Code-Ansatz

Wenn Sie Ihre Daten für berechtigte geschäftliche Zwecke aus China heraus bewegen müssen, bietet Ihnen Kapitel 3 des PIPL einen Weg, wie oben erwähnt.

Eine Sicherheitsbewertung ist erforderlich, um personenbezogene Daten rechtmäßig aus China heraus zu bewegen. Sie können sich eine Sicherheitsbewertung wie das Erhalten einer Geschäfts- oder ICP-Lizenz vorstellen. Die Sicherheitsbewertung sollte unkompliziert sein, wenn Sie ein ehrliches Geschäft betreiben und die Daten für berechtigte geschäftliche Zwecke sind.

Wir können Sie durch die Sicherheitsbewertung vom technischen Ende der Datenübermittlung begleiten. Sobald der Papierkram der Sicherheitsbewertung genehmigt ist, sorgt unser Website Performance Optimizer dafür, dass Ihre Site konform in China funktioniert.