Das Personal Information Protection Law (PIPL)<\/mark><\/strong> ist Chinas Antwort auf die globalen Datenschutzherausforderungen und gilt als eines der strengsten Datenschutzgesetze der Welt. In diesem Artikel werfen wir einen Blick auf die wichtigsten Bestimmungen des PIPL und was es f\u00fcr Unternehmen bedeutet, die chinesische Daten verarbeiten.<\/p>\n\n\n\n Am 20. August 2021 verabschiedete China mit dem Personal Information Protection Law<\/em> (PIPL)<\/a> ein neues, umfassendes Datenschutzgesetz, das am 01. November 2021 in Kraft trat. Das PIPL\u00a0 schafft einen klaren und einheitlichen Rahmen zum Schutz personenbezogener Daten und baut auf fr\u00fcheren Gesetzen wie dem Verbraucherschutzgesetz von 2014, dem Cybersicherheitsgesetz von 2017 und dem Datensicherheitsgesetz von 2021 auf. Auch f\u00fcr viele deutsche Unternehmen ist das PIPL relevant, da es auch f\u00fcr ausl\u00e4ndische Firmen gilt, die Daten chinesischer B\u00fcrgerInnen verarbeiten \u2013 unabh\u00e4ngig davon, wo diese erhoben werden. Damit m\u00fcssen deutsche Unternehmen, die Gesch\u00e4fte in China machen oder Produkte und Dienstleistungen f\u00fcr chinesische KundInnen anbieten, die strengen Vorgaben des PIPL einhalten.<\/p>\n\n\n\n Das PIPL hat einen weitreichenden Anwendungsbereich und betrifft nicht nur Unternehmen innerhalb Chinas. Nach Art. 3 PIPL<\/a> gilt es f\u00fcr alle Unternehmen, die personenbezogene Daten von Personen in China verarbeiten \u2013 unabh\u00e4ngig davon, wo sie ihren Sitz haben. Besonders relevant ist dies f\u00fcr ausl\u00e4ndische Unternehmen, die:<\/p>\n\n\n\n Kurz gesagt: <\/mark><\/strong>Jedes Unternehmen, das personenbezogene Daten von chinesischen B\u00fcrgerInnen erhebt oder verarbeitet, muss die Vorschriften des PIPL beachten, egal ob es sich in China oder im Ausland befindet.<\/p>\n\n\n\n Das PIPL legt klare Anforderungen f\u00fcr Unternehmen fest, die personenbezogene Daten verarbeiten. Hier sind die wichtigsten Punkte zusammengefasst:<\/p>\n\n\n\n Unternehmen d\u00fcrfen personenbezogene Daten nur dann verarbeiten, wenn eine der folgenden Bedingungen erf\u00fcllt ist:<\/p>\n\n\n\n Sensible Daten wie:<\/p>\n\n\n\n d\u00fcrfen nur unter strengen Bedingungen verarbeitet werden. In den meisten F\u00e4llen ist eine gesonderte Einwilligung<\/a> erforderlich, und zus\u00e4tzliche Sicherheitsma\u00dfnahmen m\u00fcssen getroffen werden.<\/p>\n\n\n\n Unternehmen m\u00fcssen die betroffenen Personen umfassend informieren, bevor Daten verarbeitet werden. Dazu geh\u00f6ren:<\/p>\n\n\n\n Diese Informationen m\u00fcssen klar und verst\u00e4ndlich vermittelt werden.<\/p>\n\n\n\n Unternehmen m\u00fcssen nach dem PIPL zus\u00e4tzlich:<\/p>\n\n\n\n Diese Ma\u00dfnahmen garantieren den umfassenden Schutz personenbezogener Daten und helfen, Verst\u00f6\u00dfe zu vermeiden.<\/p>\n\n\n\n Das PIPL sieht bei Verst\u00f6\u00dfen empfindliche Strafen vor, \u00e4hnlich wie die Datenschutz-Grundverordnung (DSGVO)<\/a>. Unternehmen, die gegen die Vorschriften versto\u00dfen, drohen Bu\u00dfgelder von bis zu 50 Millionen Yuan (ca. 6,6 Millionen Euro) oder bis zu 5 % des Jahresumsatzes.<\/p>\n\n\n\n Auch einzelne Verantwortliche sind betroffen: Direkt involvierte Personen, wie ManagerInnen oder Datenschutzbeauftragte, k\u00f6nnen mit Geldstrafen zwischen 100.000 und 1 Million Yuan belegt werden. Zus\u00e4tzlich kann ihnen untersagt werden, ihre Position als Gesch\u00e4ftsf\u00fchrende oder in einer anderen leitenden Funktion auszu\u00fcben.<\/p>\n\n\n\n Bei schwerwiegenden Verst\u00f6\u00dfen drohen Unternehmen weitere Sanktionen, wie die Einziehung illegaler Gewinne, der Entzug der Gesch\u00e4ftslizenz oder die Schlie\u00dfung des Betriebs. Zudem k\u00f6nnen Beh\u00f6rden eine \u00f6ffentliche Klage einleiten, wenn die Rechte einer gro\u00dfen Zahl von Personen verletzt wurden.<\/p>\n\n\n\n F\u00fcr deutsche Unternehmen ist der grenz\u00fcberschreitende Datentransfer unter dem PIPL ein besonders sensibler Bereich. Bisher waren internationale Daten\u00fcbertragungen durch das chinesische Cybersecurity-Gesetz<\/em> (CSL) stark reglementiert, vor allem durch Artikel 37<\/a>, der vorschreibt, dass personenbezogene Daten grunds\u00e4tzlich in China gespeichert werden m\u00fcssen. Das PIPL bringt einige Erleichterungen, bleibt jedoch weiterhin streng und stellt klare Anforderungen an den Transfer personenbezogener Daten ins Ausland.<\/p>\n\n\n\n Das PIPL setzt strenge Bedingungen f\u00fcr den Transfer personenbezogener Daten ins Ausland. Unternehmen d\u00fcrfen Daten nur dann ins Ausland \u00fcbertragen, wenn eine der folgenden Voraussetzungen erf\u00fcllt ist:<\/p>\n\n\n\n Zus\u00e4tzlich zu den oben genannten Anforderungen m\u00fcssen Unternehmen bei der \u00dcbermittlung personenbezogener Daten ins Ausland die folgenden Punkte sicherstellen:<\/p>\n\n\n\n Die Datenschutzgrundverordnung (DSGVO) und das chinesische Personal Information Protection Law (PIPL) weisen viele Gemeinsamkeiten auf, wenn es um den Schutz personenbezogener Daten geht. Hier sind die wichtigsten Punkte im \u00dcberblick:<\/p>\n\n\n\n Obwohl die DSGVO und das PIPL in vielen Bereichen \u00e4hnliche Ziele verfolgen, gibt es bedeutende Unterschiede zwischen den beiden Datenschutzgesetzen. Die wichtigsten Unterschiede sind:<\/p>\n\n\n\n Damit Sie den Anforderungen des PIPL gerecht werden, sollten Sie die folgenden Schritte beachten:<\/p>\n\n\n\n Stellen Sie sicher, dass jede Datenverarbeitung auf einer erlaubten Grundlage beruht, z. B. durch Einwilligung der Betroffenen oder zur Vertragserf\u00fcllung. Erstellen Sie klare Prozesse f\u00fcr die Einholung der Einwilligung, besonders bei sensiblen Daten und sorgen Sie f\u00fcr eine leicht verst\u00e4ndliche Einwilligungserkl\u00e4rung.<\/p>\n\n\n\n Das PIPL schreibt vor, dass personenbezogene Daten in China gespeichert werden m\u00fcssen, insbesondere bei gro\u00dfen Datenmengen oder sensiblen Informationen. Planen Sie die Implementierung lokaler Infrastrukturen zur Speicherung dieser Daten. \u00dcberlegen Sie, ob eine lokale Cloud-L\u00f6sung oder der Aufbau von Rechenzentren in China f\u00fcr Ihr Unternehmen sinnvoll ist.<\/p>\n\n\n\n Wenn Sie personenbezogene Daten ins Ausland \u00fcbermitteln m\u00f6chten, m\u00fcssen Sie sicherstellen, dass die CAC die \u00dcbertragung genehmigt oder entsprechende Standardklauseln verwendet werden. Stellen Sie sicher, dass Ihre IT- und Rechtsteams auf die Sicherheitsanforderungen vorbereitet sind und fr\u00fchzeitig eine Sicherheitsbewertung bei der CAC beantragen.<\/p>\n\n\n\n Nutzen Sie Standarddatentransferklauseln, um Daten sicher ins Ausland zu \u00fcbermitteln. Passen Sie Ihre Vertr\u00e4ge an, um die PIPL-Anforderungen abzudecken.<\/p>\n\n\n\n F\u00fchren Sie eine Datenschutz-Folgenabsch\u00e4tzung <\/a>durch, um Risiken im Zusammenhang mit Datenverarbeitung zu identifizieren und zu minimieren. Dokumentieren Sie diese Bewertungen und aktualisieren Sie sie regelm\u00e4\u00dfig.<\/p>\n\n\n\n Schulen Sie Ihre Mitarbeitenden zu den Anforderungen des PIPL<\/a> und sensibilisieren Sie sie f\u00fcr Datenschutzthemen. Regelm\u00e4\u00dfige Schulungen<\/a> sind entscheidend, um sicherzustellen, dass alle Mitarbeitenden die Notwendigkeit der Einhaltung der Datenschutzvorschriften verstehen.<\/p>\n\n\n\n Benennen Sie Datenschutzbeauftragte in China, die f\u00fcr die Einhaltung der Datenschutzvorschriften verantwortlich sind. Die Datenschutzbeauftragten sollten den \u00dcberblick \u00fcber die Datenverarbeitung behalten und sicherstellen, dass alle rechtlichen Anforderungen des PIPL erf\u00fcllt werden.<\/p>\n\n\n\n Erstellen Sie Notfallpl\u00e4ne<\/a> f\u00fcr Datenschutzverletzungen und f\u00fchren Sie regelm\u00e4\u00dfige Audits durch. Bereiten Sie sich darauf vor, Datenschutzverletzungen schnell zu melden und zu beheben.<\/p>\n\n\n\n Arbeiten Sie mit lokalen Anw\u00e4ltInnen und DatenschutzexpertInnen zusammen, um stets auf dem neuesten Stand der Vorschriften zu bleiben. Nutzen Sie Fachwissen vor Ort, um rechtliche Risiken zu minimieren.<\/p>\n\n\n\n Durch diese Ma\u00dfnahmen k\u00f6nnen deutsche Unternehmen die Anforderungen des PIPL erf\u00fcllen und rechtliche Probleme vermeiden.<\/p>\n\n\n\n Das PIPL stellt hohe Anforderungen an Unternehmen, die personenbezogene Daten chinesischer B\u00fcrgerInnen verarbeiten. Durch eine sorgf\u00e4ltige Planung, die Einhaltung der rechtlichen Vorgaben und die Implementierung von Sicherheits- und Schulungsma\u00dfnahmen k\u00f6nnen Unternehmen nicht nur rechtliche Risiken minimieren, sondern auch das Vertrauen ihrer KundInnen st\u00e4rken. Mit der richtigen Vorbereitung und Unterst\u00fctzung durch lokale ExpertInnen lassen sich die Herausforderungen des PIPL erfolgreich bew\u00e4ltigen.<\/p>\n\n\n\n Inhaltsangabe<\/p>\n Einf\u00fchrung in das PIPL<\/h2>\n\n\n\n
Anwendungsbereich des PIPL<\/h2>\n\n\n\n
\n
\n
![\"\"](\"https:\/\/lawpilots.com\/wp-content\/uploads\/2023\/04\/Newsletter-Grafiken-2-1-1024x341.png\")
<\/a><\/figure>\n\n\n\nPflichten f\u00fcr Unternehmen durch das PIPL<\/h2>\n\n\n\n
Rechtsgrundlage f\u00fcr die Datenverarbeitung<\/h3>\n\n\n\n
\n
Sensible personenbezogene Daten<\/h3>\n\n\n\n
\n
Informationspflichten<\/h3>\n\n\n\n
\n
Pflichten der Verantwortlichen<\/h3>\n\n\n\n
\n
Strafen bei Verst\u00f6\u00dfen gegen das PIPL<\/h3>\n\n\n\n
![\"\"](\"https:\/\/lawpilots.com\/wp-content\/uploads\/2023\/04\/Newsletter-Grafiken-4-2-1024x341.png\")
<\/a><\/figure>\n\n\n\nBedeutung f\u00fcr den internationalen Datenverkehr unter dem PIPL<\/h2>\n\n\n\n
Voraussetzungen f\u00fcr den internationalen Datentransfer<\/h3>\n\n\n\n
\n
Pflichten f\u00fcr Unternehmen beim Datentransfer<\/h3>\n\n\n\n
\n
![\"\"](\"https:\/\/lawpilots.com\/wp-content\/uploads\/2023\/04\/Internationaler-Datenschutz-1-1024x341.png\")
<\/a><\/figure>\n\n\n\nVergleich: DSGVO vs. PIPL<\/h2>\n\n\n\n
Gemeinsamkeiten<\/h3>\n\n\n\n
\n
Unterschiede<\/h3>\n\n\n\n
\n
![\"\"](\"https:\/\/lawpilots.com\/wp-content\/uploads\/2023\/04\/Newsletter-Grafiken-2-3-1024x341.png\")
<\/a><\/figure>\n\n\n\nCheckliste zur Einhaltung des PIPL<\/h2>\n\n\n\n
1. Rechtsgrundlage f\u00fcr Datenverarbeitung<\/h4>\n\n\n\n
2. Daten in China speichern<\/h4>\n\n\n\n
3. Sicherheitsbewertung durch die Beh\u00f6rden<\/h4>\n\n\n\n
4. Vertragliche Absicherung<\/h4>\n\n\n\n
5. Risiken bewerten<\/h4>\n\n\n\n
6. Mitarbeiterschulung<\/h4>\n\n\n\n
7. Datenschutzbeauftragte<\/h4>\n\n\n\n
8. Notfallpl\u00e4ne<\/h4>\n\n\n\n
9. Beratung durch ExpertInnen<\/h4>\n\n\n\n
Fazit<\/h2>\n\n\n\n
![\"\"](\"https:\/\/lawpilots.com\/wp-content\/uploads\/2023\/04\/Whitepaper-globaler-Datenschutz-1-1024x341.png\")
<\/a><\/figure>\n<\/div>\n\n\n\n\n \t\t\t\t\t\t\t\t