Kurzfassung: Nachstehend finden Sie die deutsche Übersetzung von Chinas Maßnahmen zum Standardvertrag für die grenzüberschreitende Übermittlung personenbezogener Informationen (个人信息出境标准合同办法, Anordnung Nr. 13 der Cyberspace-Verwaltung Chinas), veröffentlicht am 24. Februar 2023 und in Kraft seit dem 1. Juni 2023.
Wenn Ihr Unternehmen personenbezogene Informationen von Kunden, Beschäftigten oder Nutzern aus Festlandchina heraus bewegt — an ausländische Server, verbundene Unternehmen oder Dienstleister —, legen diese Maßnahmen einen der rechtmäßigen Ausfuhrwege dar, die durch das Gesetz zum Schutz personenbezogener Informationen (PIPL) geschaffen wurden: den „Standardvertrag“-Weg des PIPL-Artikels 38(3), der Verarbeitern personenbezogener Informationen offensteht, deren Mengen unter den Schwellenwerten liegen, die andernfalls eine staatlich geführte Sicherheitsbewertung erfordern würden. Sie definieren, wer qualifiziert ist, die Folgenabschätzung zum Schutz personenbezogener Informationen, die zuerst abgeschlossen werden muss, den Vertrag, der mit dem ausländischen Empfänger zu unterzeichnen ist, und die Registrierung binnen 10 Werktagen, die der Cyberspace-Verwaltung auf Provinzebene geschuldet ist, sobald dieser Vertrag in Kraft tritt. Zusammen mit dem Datensicherheitsgesetz und dem Cybersicherheitsgesetz bildet das PIPL den Kern des grenzüberschreitenden Datenregimes, das jedes internationale Unternehmen mit qualifiziertem Rechtsbeistand bestätigen sollte, bevor es Daten vom Festland ausführt.
Maßnahmen zum Standardvertrag für die grenzüberschreitende Übermittlung personenbezogener Informationen (Veröffentlicht am 24. Februar 2023 durch Anordnung Nr. 13 der Cyberspace-Verwaltung Chinas; in Kraft seit dem 1. Juni 2023)
Artikel 1. Diese Maßnahmen werden im Einklang mit dem „Gesetz zum Schutz personenbezogener Informationen der Volksrepublik China“ und anderen Gesetzen und Vorschriften formuliert, um die Rechte und Interessen an personenbezogenen Informationen zu schützen und die grenzüberschreitende Übermittlung personenbezogener Informationen zu regulieren.
Artikel 2. Diese Maßnahmen gelten, wo ein Verarbeiter personenbezogener Informationen Empfängern außerhalb des Hoheitsgebiets der Volksrepublik China personenbezogene Informationen bereitstellt, indem er mit dem ausländischen Empfänger einen Standardvertrag für die grenzüberschreitende Übermittlung personenbezogener Informationen (nachstehend „Standardvertrag“) schließt.
Artikel 3. Die Durchführung der grenzüberschreitenden Übermittlung personenbezogener Informationen durch Abschluss eines Standardvertrags hat daran festzuhalten, autonomes Kontrahieren mit registrierungsbasierter Verwaltung und den Schutz von Rechten und Interessen mit der Vermeidung von Risiken zu verbinden, um den sicheren und freien grenzüberschreitenden Fluss personenbezogener Informationen zu gewährleisten.
Artikel 4. Ein Verarbeiter personenbezogener Informationen, der personenbezogene Informationen durch Abschluss eines Standardvertrags ins Ausland bereitstellt, hat alle folgenden Bedingungen gleichzeitig zu erfüllen:
(1) Er ist kein Betreiber kritischer Informationsinfrastruktur;
(2) er verarbeitet die personenbezogenen Informationen von weniger als 1 Million Personen;
(3) er hat seit dem 1. Januar des Vorjahres kumulativ die personenbezogenen Informationen von weniger als 100.000 Personen ins Ausland bereitgestellt;
(4) er hat seit dem 1. Januar des Vorjahres kumulativ die sensiblen personenbezogenen Informationen von weniger als 10.000 Personen ins Ausland bereitgestellt.
Wo Gesetze, Verwaltungsvorschriften oder die nationale Cyberspace-Verwaltung etwas anderes bestimmen, sind jene Bestimmungen maßgeblich.
Ein Verarbeiter personenbezogener Informationen darf keine Mittel wie das Aufteilen von Mengen anwenden, um über einen Standardvertrag personenbezogene Informationen ins Ausland bereitzustellen, die von Gesetzes wegen einer Sicherheitsbewertung für die grenzüberschreitende Übermittlung unterzogen werden sollten.
Artikel 5. Vor der Bereitstellung personenbezogener Informationen ins Ausland hat ein Verarbeiter personenbezogener Informationen eine Folgenabschätzung zum Schutz personenbezogener Informationen durchzuführen, wobei er sich auf Folgendes konzentriert:
(1) die Rechtmäßigkeit, Legitimität und Notwendigkeit des Zwecks, Umfangs und der Mittel, mit denen der Verarbeiter personenbezogener Informationen und der ausländische Empfänger die personenbezogenen Informationen verarbeiten;
(2) den Umfang, die Reichweite, die Kategorien und die Sensibilität der ins Ausland zu übermittelnden personenbezogenen Informationen sowie die Risiken, die die grenzüberschreitende Übermittlung für die Rechte und Interessen an personenbezogenen Informationen darstellen kann;
(3) die Pflichten, die der ausländische Empfänger zu übernehmen zusagt, und ob die Verwaltungs- und technischen Maßnahmen, Fähigkeiten und dergleichen zur Erfüllung dieser Pflichten die Sicherheit der ins Ausland übermittelten personenbezogenen Informationen gewährleisten können;
(4) das Risiko, dass die personenbezogenen Informationen nach der grenzüberschreitenden Übermittlung manipuliert, beschädigt, offengelegt, verloren oder rechtswidrig genutzt werden, und ob die Kanäle zur Wahrung der Rechte und Interessen an personenbezogenen Informationen ungehindert sind, unter anderem;
(5) die Auswirkungen, die die Richtlinien und Vorschriften zum Schutz personenbezogener Informationen des Landes oder der Region, in dem bzw. der sich der ausländische Empfänger befindet, auf die Erfüllung des Standardvertrags haben;
(6) andere Angelegenheiten, die die Sicherheit der grenzüberschreitenden Übermittlung personenbezogener Informationen berühren können.
Artikel 6. Der Standardvertrag ist streng im Einklang mit dem Anhang zu diesen Maßnahmen zu schließen. Die nationale Cyberspace-Verwaltung kann den Anhang je nach den tatsächlichen Umständen anpassen.
Ein Verarbeiter personenbezogener Informationen kann mit dem ausländischen Empfänger andere Bedingungen vereinbaren, sofern sie nicht mit dem Standardvertrag in Konflikt stehen.
Die grenzüberschreitende Übermittlung personenbezogener Informationen darf erst durchgeführt werden, nachdem der Standardvertrag in Kraft getreten ist.
Anmerkung der Redaktion: Die in diesem Artikel genannte Standardvertragsvorlage ist ein gesonderter Anhang zum Originaldokument und wird in dieser Übersetzung nicht wiedergegeben; hier werden nur die dreizehn Artikel der Maßnahmen übersetzt.
Artikel 7. Ein Verarbeiter personenbezogener Informationen hat innerhalb von 10 Werktagen ab dem Tag, an dem der Standardvertrag in Kraft tritt, eine Registrierung bei der Cyberspace-Verwaltung auf Provinzebene des Ortes, an dem er sich befindet, zu hinterlegen. Für die Registrierung sind die folgenden Unterlagen einzureichen:
(1) der Standardvertrag;
(2) der Bericht über die Folgenabschätzung zum Schutz personenbezogener Informationen.
Der Verarbeiter personenbezogener Informationen ist für die Echtheit der hinterlegten Unterlagen verantwortlich.
Artikel 8. Wo während der Gültigkeitsdauer des Standardvertrags einer der folgenden Umstände eintritt, hat der Verarbeiter personenbezogener Informationen eine erneute Folgenabschätzung zum Schutz personenbezogener Informationen durchzuführen, den Standardvertrag zu ergänzen oder neu zu schließen und die entsprechenden Registrierungsformalitäten abzuschließen:
(1) Es tritt eine Änderung des Zwecks, Umfangs, der Kategorien, der Sensibilität, der Mittel oder des Speicherorts der ins Ausland bereitgestellten personenbezogenen Informationen oder des Zwecks oder der Mittel ein, mit denen der ausländische Empfänger die personenbezogenen Informationen verarbeitet, oder der Zeitraum der ausländischen Speicherung der personenbezogenen Informationen wird verlängert;
(2) es tritt eine Änderung der Richtlinien und Vorschriften zum Schutz personenbezogener Informationen des Landes oder der Region ein, in dem bzw. der sich der ausländische Empfänger befindet, oder es tritt eine andere derartige Änderung ein, die die Rechte und Interessen an personenbezogenen Informationen berühren kann;
(3) andere Umstände, die die Rechte und Interessen an personenbezogenen Informationen berühren können.
Artikel 9. Die Cyberspace-Verwaltung und ihr Personal haben im Einklang mit dem Gesetz jede persönliche Privatsphäre, personenbezogene Informationen, Geschäftsgeheimnisse, vertrauliche Geschäftsinformationen und dergleichen, von denen sie bei der Erfüllung ihrer Pflichten Kenntnis erlangen, vertraulich zu behandeln und dürfen solche Informationen nicht offenlegen, rechtswidrig an andere bereitstellen oder rechtswidrig nutzen.
Artikel 10. Jede Organisation oder Einzelperson, die feststellt, dass ein Verarbeiter personenbezogener Informationen unter Verstoß gegen diese Maßnahmen personenbezogene Informationen ins Ausland bereitstellt, kann dies der Cyberspace-Verwaltung auf oder oberhalb der Provinzebene melden.
Artikel 11. Wo die Cyberspace-Verwaltung auf oder oberhalb der Provinzebene feststellt, dass eine grenzüberschreitende Übermittlung personenbezogener Informationen verhältnismäßig große Risiken birgt oder dass ein Sicherheitsvorfall personenbezogener Informationen eingetreten ist, kann sie im Einklang mit dem Gesetz ein regulatorisches Gespräch mit dem Verarbeiter personenbezogener Informationen führen. Der Verarbeiter personenbezogener Informationen hat wie verlangt Berichtigungen vorzunehmen und die verborgenen Gefahren zu beseitigen.
Artikel 12. Verstöße gegen die Bestimmungen dieser Maßnahmen sind im Einklang mit dem „Gesetz zum Schutz personenbezogener Informationen der Volksrepublik China“ und anderen Gesetzen und Vorschriften zu behandeln; wo eine Straftat vorliegt, wird die strafrechtliche Haftung im Einklang mit dem Gesetz verfolgt.
Artikel 13. Diese Maßnahmen treten am 1. Juni 2023 in Kraft. Grenzüberschreitende Übermittlungen personenbezogener Informationen, die bereits vor der Umsetzung dieser Maßnahmen durchgeführt werden und nicht den Bestimmungen dieser Maßnahmen entsprechen, sind innerhalb von 6 Monaten ab dem Tag des Inkrafttretens dieser Maßnahmen zu berichtigen.
Abschluss
Das Originaldokument wurde auf Chinesisch von der Cyberspace-Verwaltung Chinas veröffentlicht; wir haben es ins Deutsche übersetzt, was Sie oben lesen. Diese Übersetzung dient ausschließlich dem schnellen Verständnis und sollte nach eigenem Ermessen und auf eigenes Risiko verwendet werden — bestätigen Sie die aktuellen Anforderungen stets mit qualifiziertem Rechtsbeistand.
Wenn Sie weitere Hilfe von unserem Team benötigen, kontaktieren Sie uns noch heute, und unsere Experten helfen Ihnen, Ihre Präsenz in China von Grund auf konform zu halten.