Die meisten englischsprachigen Zusammenfassungen von Chinas grenzüberschreitenden Datenregeln beschreiben das Regime, wie es 2021 stand, und hören dort auf. Die drei Compliance-Wege, die sie auflisten, sind real, aber ein Instrument von 2024 befreite dann einen großen Anteil gewöhnlicher Unternehmen von allen dreien – und der Unterschied zwischen „im Geltungsbereich“ und „befreit“ ist eine spezifische, zählbare Zahl.
Diese Seite zitiert die maßgeblichen Artikel und sagt, was jeder für ein ausländisches Unternehmen bedeutet, das eine Website oder App betreibt, die Nutzer in Festlandchina erreicht. Volltexte sind unten verlinkt; nichts hier ersetzt es, sie zu lesen oder chinesischen Rechtsrat einzuholen.
Instrumente: 《中华人民共和国个人信息保护法》 — Gesetz zum Schutz personenbezogener Informationen (PIPL), in Kraft seit dem 1. November 2021, wobei Kapitel 3 das grenzüberschreitende Kapitel ist; und 《促进和规范数据跨境流动规定》 — Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse, Erlass Nr. 16 der Cyberspace Administration of China, in Kraft seit dem 22. März 2024.
Das Gesetz erreicht Sie, bevor es irgendein Server tut
第三条 在中华人民共和国境内处理自然人个人信息的活动，适用本法。
在中华人民共和国境外处理中华人民共和国境内自然人个人信息的活动，有下列情形之一的，也适用本法：（一）以向境内自然人提供产品或者服务为目的；（二）分析、评估境内自然人的行为；（三）法律、行政法规规定的其他情形。
Artikel 3. Dieses Gesetz gilt für die Verarbeitung personenbezogener Informationen natürlicher Personen innerhalb des Hoheitsgebiets der Volksrepublik China. Es gilt auch für die Verarbeitung außerhalb des Hoheitsgebiets von personenbezogenen Informationen natürlicher Personen innerhalb des Hoheitsgebiets, wenn: (1) der Zweck ist, Personen innerhalb des Hoheitsgebiets Produkte oder Dienstleistungen bereitzustellen; (2) das Verhalten von Personen innerhalb des Hoheitsgebiets analysiert oder bewertet wird; (3) andere gesetzlich oder durch Verwaltungsvorschrift vorgesehene Umstände vorliegen.
In der Praxis: Dies ist der Artikel, der Menschen überrascht. PIPL wird nicht dadurch ausgelöst, dass man Infrastruktur in China aufstellt. Es wird dadurch ausgelöst, dass man auf Menschen in China zielt. Eine vollständig in Frankfurt gehostete Site, ohne chinesische Einheit und ohne Festland-Server, die chinesische Nutzer vermarktet oder Analytics zu ihrem Verhalten betreibt, ist im Geltungsbereich dieses Gesetzes. Zu entscheiden, nicht aus China heraus zu bedienen, nimmt Sie nicht heraus. Dasselbe gilt für die Werkzeuge hinter der Site: Als wir für unsere China-SaaS-Compliance-Zählung im Oktober 2026 763 SaaS-Dienste gegen ihre eigene Dokumentation prüften, hielten 755 von ihnen personenbezogene Daten, die für Nutzer in Festlandchina eine grenzüberschreitende Übermittlung unter den folgenden Artikeln sind.
Personenbezogene Informationen hinauszusenden, erfordert einen von drei Wegen
第三十八条 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：（一）依照本法第四十条的规定通过国家网信部门组织的安全评估；（二）按照国家网信部门的规定经专业机构进行个人信息保护认证；（三）按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；（四）法律、行政法规或者国家网信部门规定的其他条件。
Artikel 38. Wenn ein Verarbeiter personenbezogener Informationen aus geschäftlichen oder anderen Gründen wirklich personenbezogene Informationen außerhalb des Hoheitsgebiets bereitstellen muss, muss er eine der folgenden Bedingungen erfüllen: (1) eine von der staatlichen Cyberspace-Behörde organisierte Sicherheitsbewertung gemäß Artikel 40 bestehen; (2) eine Zertifizierung zum Schutz personenbezogener Informationen von einer professionellen Stelle erhalten, wie von der staatlichen Cyberspace-Behörde vorgeschrieben; (3) einen Vertrag mit dem ausländischen Empfänger unter Verwendung des von der staatlichen Cyberspace-Behörde formulierten Standardvertrags schließen, der die Rechte und Pflichten beider Parteien festlegt; (4) andere Bedingungen, die durch Gesetz, Verwaltungsvorschrift oder die staatliche Cyberspace-Behörde vorgeschrieben sind.
In der Praxis: Sicherheitsbewertung, Zertifizierung oder Standardvertrag. Diese drei sind, was fast jede Zusammenfassung auflistet. Was die meisten von ihnen weglassen, ist, dass Ziffer (4) nicht dekorativ ist – sie ist der Haken, an dem die Bestimmungen von 2024 hängen, und der Grund, warum die obige Liste nicht mehr die ganze Antwort ist.
Und gesonderte Einwilligung, zusätzlich zu welcher Einwilligung Sie auch schon hatten
第三十九条 个人信息处理者向中华人民共和国境外提供个人信息的，应当向个人告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类以及个人向境外接收方行使本法规定权利的方式和程序等事项，并取得个人的单独同意。
Artikel 39. Ein Verarbeiter personenbezogener Informationen, der personenbezogene Informationen außerhalb des Hoheitsgebiets bereitstellt, muss die Person über Namen bzw. Bezeichnung des ausländischen Empfängers, Kontaktdaten, Zweck und Methode der Verarbeitung, die Kategorien personenbezogener Informationen sowie darüber informieren, wie die Person ihre nach diesem Gesetz vorgesehenen Rechte gegenüber dem ausländischen Empfänger ausüben kann – und muss die gesonderte Einwilligung der Person einholen.
In der Praxis: 单独同意, gesonderte Einwilligung, ist ein eigener Akt. Eine allgemeine Datenschutzrichtlinien-Zustimmung trägt sie nicht. Diese Pflicht überlebt die Befreiungen von 2024 – von der Sicherheitsbewertung befreit zu sein, befreit Sie nicht davon, die Menschen zu informieren und sie spezifisch zu fragen.
Lokalisierung gilt für eine definierte Gruppe, nicht für jeden
第四十条 关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估……
Artikel 40. Betreiber kritischer Informationsinfrastrukturen und Verarbeiter personenbezogener Informationen, deren Verarbeitung die von der staatlichen Cyberspace-Behörde festgelegte Menge erreicht, müssen innerhalb des Hoheitsgebiets der Volksrepublik China gesammelte und generierte personenbezogene Informationen innerhalb des Hoheitsgebiets speichern. Wenn es wirklich nötig ist, sie ins Ausland bereitzustellen, müssen sie eine von der staatlichen Cyberspace-Behörde organisierte Sicherheitsbewertung bestehen …
In der Praxis: Datenlokalisierung in China wird häufig als pauschale Regel beschrieben. Lesen Sie das Subjekt des Satzes: Sie knüpft an Betreiber kritischer Informationsinfrastrukturen und an Verarbeiter oberhalb eines Mengenschwellenwerts an. Die meisten ausländischen Unternehmenssites sind weder noch. Anzunehmen, dass Lokalisierung auf Sie zutrifft, wenn sie es nicht tut, ist auf dieselbe Weise teuer wie anzunehmen, dass sie es nicht tut, wenn sie es doch tut.
Die Bestimmungen von 2024 sind, wo die Schwellenwerte tatsächlich leben
第五条 数据处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：……（四）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。
Artikel 5. Wenn ein Datenverarbeiter personenbezogene Informationen ins Ausland bereitstellt und eine der folgenden Bedingungen erfüllt, ist er von der Beantragung einer Datenexport-Sicherheitsbewertung, vom Abschluss eines Standardvertrags für den Export personenbezogener Informationen und von der Zertifizierung zum Schutz personenbezogener Informationen befreit: … (4) ein Datenverarbeiter, der kein Betreiber kritischer Informationsinfrastrukturen ist, der seit dem 1. Januar des laufenden Jahres kumulativ die personenbezogenen Informationen von weniger als 100.000 Personen (ohne sensible personenbezogene Informationen) ins Ausland bereitgestellt hat.
In der Praxis: Dies ist der mit Abstand folgenreichste Satz für ein gewöhnliches ausländisches Unternehmen, und es ist der, der in den meisten vor 2024 geschriebenen Leitfäden fehlt. Unter 100.000 Personen pro Jahr, keine sensiblen Daten, kein CIIO – und alle drei Wege von Artikel 38 fallen weg. Der Zähler läuft pro Kalenderjahr und setzt sich am 1. Januar zurück.
Artikel 5 befreit auch Übermittlungen, die zur Erfüllung eines Vertrags nötig sind, dessen Partei die Person ist – der Text nennt grenzüberschreitendes Einkaufen, Versand, Überweisung, Zahlung, Kontoeröffnung, Flug- und Hotelbuchung, Visabearbeitung und Prüfungsdienste – sowie grenzüberschreitendes Personalmanagement unter rechtmäßigen Arbeitsregeln.
Die zwei Schwellenwerte darüber
第八条 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。
Artikel 8. Ein Datenverarbeiter, der kein Betreiber kritischer Informationsinfrastrukturen ist, der seit dem 1. Januar des laufenden Jahres kumulativ die personenbezogenen Informationen von 100.000 oder mehr, aber weniger als 1.000.000 Personen (ohne sensible personenbezogene Informationen) oder die sensiblen personenbezogenen Informationen von weniger als 10.000 Personen ins Ausland bereitgestellt hat, muss gemäß dem Gesetz einen Standardvertrag mit dem ausländischen Empfänger schließen oder eine Zertifizierung zum Schutz personenbezogener Informationen erhalten.
第七条 ……（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。
Artikel 7. … (2) ein Datenverarbeiter, der kein Betreiber kritischer Informationsinfrastrukturen ist, der wichtige Daten ins Ausland bereitstellt oder der seit dem 1. Januar des laufenden Jahres kumulativ die personenbezogenen Informationen von 1.000.000 oder mehr Personen (ohne sensible personenbezogene Informationen) oder die sensiblen personenbezogenen Informationen von 10.000 oder mehr Personen ins Ausland bereitgestellt hat – muss eine Sicherheitsbewertung über seine provinzielle Cyberspace-Behörde beantragen.
In der Praxis: drei Bänder, eine Achse. Unter 100.000 Personen: befreit. Zwischen 100.000 und 1.000.000, oder beliebige sensible Daten unter 10.000 Personen: Standardvertrag oder Zertifizierung. Bei oder über 1.000.000, oder 10.000 Personen sensibler Daten, oder beliebige wichtige Daten: Sicherheitsbewertung. Betreiber kritischer Informationsinfrastrukturen sitzen außerhalb der Bänder und gehen ungeachtet dessen zur Bewertung. Eine bestandene Bewertung ist drei Jahre gültig und kann auf Antrag um weitere drei verlängert werden.
Und ein ausländischer Verarbeiter muss jemanden hier haben
第五十三条 本法第三条第二款规定的中华人民共和国境外的个人信息处理者，应当在中华人民共和国境内设立专门机构或者指定代表，负责处理个人信息保护相关事务……
Artikel 53. Ein Verarbeiter personenbezogener Informationen außerhalb des Hoheitsgebiets, der unter den zweiten Absatz von Artikel 3 fällt, muss innerhalb des Hoheitsgebiets der Volksrepublik China eine dedizierte Stelle einrichten oder einen Vertreter benennen, der für Angelegenheiten des Schutzes personenbezogener Informationen verantwortlich ist …
In der Praxis: Wenn Artikel 3 Sie erfasst, folgt Artikel 53. Die Pflicht, einen benannten lokalen Verantwortungspunkt zu haben, hängt nicht davon ab, eine ICP-Registrierung zu halten oder irgendeine Festland-Infrastruktur zu betreiben.
Was Nichteinhaltung kostet
第六十六条 ……情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿……
Artikel 66. … wo die Umstände schwerwiegend sind, ordnet die Behörde auf Provinzebene oder darüber die Nachbesserung an, zieht rechtswidrige Gewinne ein und verhängt ein Bußgeld von bis zu RMB 50 Millionen oder bis zu 5 Prozent des Umsatzes des Vorjahres und kann die Aussetzung des betreffenden Geschäfts oder die Aussetzung zur Nachbesserung anordnen …
In der Praxis: Anders als beim Registrierungsregime ist dieses tatsächlich monetär, und die Umsatz-Ziffer ist dem Wortlaut nach nicht auf den Umsatz einer chinesischen Tochtergesellschaft begrenzt. Der erste Absatz desselben Artikels erlaubt auch eine Anordnung, eine nicht regelkonforme Anwendung auszusetzen oder zu beenden.
Was diese Instrumente nicht entscheiden
- Ob Sie eine ICP-Registrierung brauchen. Ein anderes Regime mit einem anderen Auslöser – das Bedienen aus Festlandchina heraus. Wir legen dar, was die Registrierungsregel verlangt.
- Ob Ihre Site erreichbar ist. Nichts in PIPL lässt eine Seite laden. Das ist das andere Tor, und wir haben gemessen, was jedes Auslieferungsarrangement tatsächlich einbringt.
- Wichtige Daten. Artikel 2 der Bestimmungen von 2024 sagt, dass ein Verarbeiter Daten nicht als wichtige Daten deklarieren muss, es sei denn, eine zuständige Behörde oder Region hat es ihm mitgeteilt oder als solche veröffentlicht – eine bedeutende Änderung gegenüber dem Zwang zur Selbsteinschätzung.
Warum das Architektur entscheidet, nicht nur Papierkram
Die zwei Tore sind getrennt, aber sie interagieren hier. Aus Festlandchina heraus zu bedienen, stellt Sie in das ICP-Registrierungsregime; es schafft nicht von sich aus ein grenzüberschreitendes Übermittlungsproblem, und es kann eines reduzieren, denn Daten, die innerhalb des Hoheitsgebiets gesammelt und gehalten werden, werden gar nicht exportiert. Von außerhalb zu bedienen, vermeidet das Registrierungsregime und lässt Artikel 3 dennoch auf Sie zutreffen. Keine der beiden Richtungen ist kostenlos, und die Wahl wird einmal getroffen, früh, im Auslieferungsdesign – weshalb wir Erreichbarkeit und Erlaubnis als eine Entscheidung behandeln statt als zwei. Unsere Referenzseite zu Auslieferungsoptionen legt dar, wie sie zusammenpassen.
Primärquellen: 《中华人民共和国个人信息保护法》, Volltext veröffentlicht von der Cyberspace Administration of China: cac.gov.cn; unsere artikelweise englische Wiedergabe ist unter China Personal Information Protection Law. 《促进和规范数据跨境流动规定》（国家互联网信息办公室令第16号）, Volltext im Staatsrats-Amtsblatt: Staatsrats-Amtsblatt, 2024, Nr. 15.
Die Übersetzungen oben stammen von uns und dienen nur der Orientierung. Wo das Englische und das Chinesische voneinander abweichen, ist das Chinesische maßgeblich. Die Schwellenwerte sind so angegeben, wie sie in den Instrumenten mit Stand vom 28. August 2026 erscheinen. Diese Seite ist keine Rechtsberatung.