Anforderungen regulatorischer Entwicklungen in China an den Datenschutz für EU-Unternehmen

Datenschutz in China: Ein Überblick

Als jemand, der seit über zwölf Jahren europäische Unternehmen bei ihrer Expansion nach China begleitet, habe ich die Entwicklung der dortigen Datenschutzgesetzgebung hautnah miterlebt. Was zunächst als lose Sammlung von Einzelvorschriften begann, hat sich inzwischen zu einem der komplexesten regulatorischen Rahmenwerke weltweit entwickelt. Für Investoren und Unternehmen aus der EU, die gewohnt sind, unter der DSGVO zu operieren, ist es entscheidend, die chinesischen Anforderungen nicht nur zu kennen, sondern strategisch in ihre Compliance-Planung zu integrieren. Die gute Nachricht: Mit der richtigen Herangehensweise ist das machbar. Die schlechte Nachricht: Wer glaubt, die DSGVO-Standards eins zu eins übertragen zu können, wird schnell an Grenzen stoßen. In diesem Artikel möchte ich aus meiner Praxis als Berater die zentralen regulatorischen Entwicklungen beleuchten und aufzeigen, worauf es für EU-Unternehmen wirklich ankommt.

Die chinesische Datenschutzlandschaft wird im Wesentlichen durch drei Säulen geprägt: das Cybersicherheitsgesetz (CSL) von 2017, das Datensicherheitsgesetz (DSL) von 2021 und das Gesetz zum Schutz personenbezogener Daten (PIPL), ebenfalls von 2021. Zusammen bilden sie ein Regelwerk, das in seiner Tiefe und Reichweite durchaus mit der DSGVO vergleichbar ist – allerdings mit ganz eigenen Mechanismen und kulturellen Hintergründen. Für EU-Unternehmen bedeutet das: Wer in China Geschäfte macht oder Daten chinesischer Bürger verarbeitet, unterliegt einem extraterritorialen Anwendungsbereich, der oft unterschätzt wird. In den folgenden Abschnitten erläutere ich die aus meiner Sicht sieben wichtigsten Aspekte, die Investoren kennen sollten.

Anwendungsbereich und Extraterritorialität

Ein häufiges Missverständnis unter europäischen Mandanten ist die Annahme, dass chinesisches Datenschutzrecht nur für Unternehmen mit einer physischen Niederlassung in China gilt. Das ist schlichtweg falsch. Das PIPL folgt – ähnlich wie die DSGVO – einem extraterritorialen Ansatz. Es erfasst auch ausländische Unternehmen, die Daten chinesischer Staatsbürger verarbeiten, sofern die Verarbeitung dazu dient, diesen Personen Waren oder Dienstleistungen anzubieten oder deren Verhalten in China zu analysieren. In meiner Beratungspraxis erlebe ich regelmäßig, dass EU-Unternehmen mit einem reinen Online-Vertrieb nach China oder mit chinesischen Kunden, die über europäische Plattformen abgewickelt werden, diese Regelung nicht auf dem Radar haben.

Die praktische Konsequenz: Sie müssen einen lokalen Vertreter benennen, ähnlich dem EU-Repräsentanten nach Art. 27 DSGVO, und sich bei den chinesischen Behörden registrieren lassen, sofern bestimmte Schwellenwerte überschritten werden. Die Details sind in den Durchführungsbestimmungen des Cyberspace Administration of China (CAC) festgelegt. Ich habe erlebt, dass ein mittelständischer Maschinenbauer aus Baden-Württemberg, der über eine E-Commerce-Plattform Ersatzteile nach China verkauft, plötzlich mit Registrierungspflichten konfrontiert war, weil seine Website chinesische Nutzerdaten erfasste. Die frühzeitige Prüfung des Anwendungsbereichs ist daher der erste und wichtigste Schritt jeder Compliance-Strategie.

Zudem ist zu beachten, dass der Begriff der „personenbezogenen Daten" im PIPL sehr weit gefasst ist und auch indirekt identifizierbare Informationen einschließt – ähnlich der DSGVO, aber mit einer wichtigen Besonderheit: Anonymisierte Daten, die nach europäischem Verständnis als nicht mehr personenbezogen gelten, können in China unter Umständen noch als personenbezogen eingestuft werden, wenn eine Re-Identifizierung technisch möglich erscheint. Hier lohnt sich eine genaue Prüfung, bevor Datenpools als „safe" deklariert werden.

Einwilligung und Rechtsgrundlagen

Das PIPL verlangt für die Verarbeitung personenbezogener Daten grundsätzlich eine Einwilligung der betroffenen Person. Anders als die DSGVO, die mehrere Rechtsgrundlagen wie Vertragserfüllung, berechtigtes Interesse oder gesetzliche Verpflichtung kennt, ist der chinesische Ansatz deutlich restriktiver. Zwar sieht auch das PIPL Ausnahmen vor, etwa bei Vertragserfüllung oder gesetzlichen Pflichten, doch die Auslegung durch die Behörden ist eng und die Nachweispflichten sind hoch. In der Praxis bedeutet das: Wer auf Einwilligung setzt, muss diese aktiv, informiert und unmissverständlich einholen – und zwar in einer Weise, die den chinesischen Anforderungen entspricht.

Ein weiterer wichtiger Punkt: Die Einwilligung muss „freiwillig" sein, und das PIPL enthält spezifische Regeln für sensible personenbezogene Daten wie biometrische Informationen, Finanzdaten oder Daten von Minderjährigen. Für sensible Daten ist eine separate, ausdrückliche Einwilligung erforderlich, und es müssen besondere Schutzmaßnahmen ergriffen werden. Ich erinnere mich an einen Fall, bei dem ein europäischer Health-Tech-Anbieter Gesundheitsdaten chinesischer Nutzer über eine App erfasste und dabei die separate Einwilligung für sensible Daten nicht korrekt eingeholt hatte. Die Folge waren nicht nur behördliche Nachfragen, sondern auch ein erheblicher Reputationsverlust.

Aus meiner Erfahrung rate ich Mandanten, die Rechtsgrundlagen nicht isoliert zu betrachten, sondern in ein umfassendes Datenschutzmanagement zu integrieren. Ein häufiger Fehler ist die Annahme, dass eine in Europa eingeholte Einwilligung automatisch für China gilt. Das ist nicht der Fall. Die Einwilligung muss den chinesischen Informationspflichten entsprechen, und die Dokumentation muss für chinesische Behörden nachvollziehbar sein. Hier lohnt sich die Zusammenarbeit mit lokalen Rechtsberatern, die die aktuelle Verwaltungspraxis kennen.

Ein weiterer Aspekt, der in der Praxis oft übersehen wird: Die Einwilligung muss jederzeit widerrufbar sein, und der Widerruf muss ebenso einfach möglich sein wie die Erteilung. Das klingt banal, erfordert aber technische und organisatorische Anpassungen, insbesondere bei digitalen Angeboten. Wer hier nachbessern muss, sollte dies frühzeitig tun, bevor die Behörden im Rahmen einer Prüfung darauf stoßen.

Datenlokalisierung und Cross-Border-Transfer

Einer der für EU-Unternehmen kritischsten Punkte ist die Frage der Datenlokalisierung und des grenzüberschreitenden Datentransfers. Das PIPL sieht vor, dass bestimmte Datenkategorien – insbesondere „wichtige Daten" und Daten, die von „kritischen Informationsinfrastrukturbetreibern" verarbeitet werden – in China gespeichert werden müssen. Für die meisten EU-Unternehmen ist die Einstufung als „kritischer Informationsinfrastrukturbetreiber" eher unwahrscheinlich, doch der Begriff der „wichtigen Daten" ist vage und wird durch sektorale Vorschriften konkretisiert. In der Praxis bedeutet das: Unternehmen müssen prüfen, ob ihre Daten als „wichtig" eingestuft werden könnten – ein Prozess, der ohne lokale Expertise kaum zuverlässig zu bewältigen ist.

Für den Transfer personenbezogener Daten aus China in die EU gibt es grundsätzlich drei Wege: die Standardvertragsklauseln des CAC, die Zertifizierung durch eine anerkannte Stelle oder eine Sicherheitsbewertung durch die Behörden. Der häufigste Weg für mittelständische Unternehmen sind die Standardvertragsklauseln, die jedoch seit 2023 in einer überarbeiteten Fassung vorliegen und strenge Dokumentationspflichten mit sich bringen. Ich habe Mandanten erlebt, die naiv annahmen, ihre bestehenden EU-Standardvertragsklauseln einfach auf China übertragen zu können – ein Trugschluss, der zu erheblichen Verzögerungen und zusätzlichen Kosten führte.

Ein besonders kniffliger Punkt ist die sogenannte „Datensicherheitsbewertung", die für bestimmte Transferkonstellationen verpflichtend ist – etwa wenn Daten an ausländische Strafverfolgungsbehörden weitergegeben werden sollen oder wenn die Datenmenge bestimmte Schwellenwerte überschreitet. Die Bewertung wird vom CAC durchgeführt und kann mehrere Monate dauern. In meiner Beratungspraxis plane ich für solche Verfahren stets großzügige Puffer ein, denn die Bearbeitungszeiten sind schwer vorherzusagen. Ein europäischer Automobilzulieferer musste einmal fast acht Monate auf die Genehmigung warten – Zeit, die in der Produktplanung nicht eingeplant war.

Ein weiterer wichtiger Aspekt: Die chinesischen Anforderungen an den Datentransfer gelten auch dann, wenn die Daten nur „durchgeleitet" werden, etwa bei der Nutzung europäischer Cloud-Dienste, die Server in China haben. Hier ist eine genaue Prüfung der Datenflüsse erforderlich. Ich empfehle meinen Mandanten, eine Datenlandkarte zu erstellen, die alle Verarbeitungsprozesse und Transferwege abbildet – ein Aufwand, der sich langfristig auszahlt.

Schließlich ist zu beachten, dass die chinesischen Regelungen zum Cross-Border-Transfer dynamisch sind. Seit 2024 gibt es Erleichterungen für bestimmte Datenmengen und für den Handel, doch die Details sind komplex und ändern sich häufig. Eine kontinuierliche Beobachtung der regulatorischen Entwicklung ist daher unerlässlich. Wer hier nicht am Ball bleibt, riskiert Compliance-Lücken.

Rechte der betroffenen Personen

Das PIPL gewährt betroffenen Personen eine Reihe von Rechten, die denen der DSGVO ähneln: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Ein wesentlicher Unterschied besteht jedoch in der Durchsetzung: Die chinesischen Behörden haben strenge Fristen für die Bearbeitung von Anfragen gesetzt, und die Dokumentationspflichten sind detaillierter als in Europa. In der Praxis bedeutet das, dass Unternehmen Prozesse etablieren müssen, die eine schnelle und nachvollziehbare Bearbeitung ermöglichen.

Ein häufig unterschätzter Punkt ist die sogenannte „Erklärung der Verarbeitungsregeln", die Unternehmen gegenüber den betroffenen Personen abgeben müssen. Diese Erklärung muss in chinesischer Sprache verfasst sein und bestimmte Mindestinhalte enthalten – etwa den Zweck der Verarbeitung, die Kategorien der Daten, die Speicherdauer und die Kontaktmöglichkeiten für Anfragen. Ich habe erlebt, dass europäische Unternehmen ihre europäischen Datenschutzhinweise einfach übersetzt haben, ohne die chinesischen Spezifika zu berücksichtigen. Das kann zu Beanstandungen führen.

Ein weiterer wichtiger Aspekt: Das PIPL verlangt, dass Unternehmen einen „Datenschutzbeauftragten" benennen, sofern sie bestimmte Schwellenwerte überschreiten – etwa bei der Verarbeitung sensibler Daten in großem Umfang. Diese Person muss nicht zwingend in China ansässig sein, sollte aber über ausreichende Kenntnisse des chinesischen Rechts verfügen. In meiner Praxis hat sich bewährt, einen lokalen Datenschutzbeauftragten zu benennen, der sowohl die chinesischen als auch die europäischen Anforderungen kennt.

Schließlich ist die Durchsetzung der Betroffenenrechte in China in den letzten Jahren deutlich strenger geworden. Die Behörden führen regelmäßig Prüfungen durch und verhängen bei Verstößen empfindliche Bußgelder, die bis zu 50 Millionen RMB oder 5 % des Jahresumsatzes betragen können. Für EU-Unternehmen, die an hohe DSGVO-Bußgelder gewöhnt sind, mag das zunächst moderat erscheinen, doch die chinesischen Behörden scheuen sich nicht, diese Instrumente auch tatsächlich einzusetzen.

Sicherheitspflichten und Datenpannen

Das PIPL verpflichtet Unternehmen, angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu ergreifen. Die Anforderungen ähneln den Art. 32 DSGVO, sind jedoch in einigen Bereichen strenger – insbesondere bei der Meldung von Datenpannen. Während die DSGVO eine Meldung „unverzüglich, möglichst binnen 72 Stunden" vorsieht, verlangt das PIPL eine unverzügliche Meldung an die Behörden und, in bestimmten Fällen, auch an die betroffenen Personen.

Ein kritischer Punkt ist die sogenannte „Datensicherheitsvorfallmeldung". Unternehmen müssen nicht nur die Behörden informieren, sondern auch die betroffenen Personen, wenn der Vorfall deren Rechte und Interessen beeinträchtigen könnte. Die Kriterien für die Meldepflicht sind jedoch nicht immer klar, und die Behörden legen sie in der Praxis eng aus. Ich empfehle meinen Mandanten, im Zweifel lieber zu melden als zu schweigen – ein Rat, der sich in der Praxis bewährt hat.

Ein weiterer Aspekt: Das PIPL verlangt die Durchführung von Datenschutz-Folgenabschätzungen (DSFA) für bestimmte Verarbeitungstätigkeiten – etwa bei der Verarbeitung sensibler Daten oder bei der Nutzung neuer Technologien. Die Anforderungen ähneln der DSGVO, doch die Dokumentation muss den chinesischen Behörden zugänglich sein. In meiner Beratungspraxis erstelle ich mit Mandanten gemeinsam eine DSFA, die sowohl europäische als auch chinesische Anforderungen erfüllt – ein Ansatz, der doppelte Arbeit vermeidet und die Compliance stärkt.

Schließlich ist die Zusammenarbeit mit chinesischen Behörden im Falle einer Datenpanne entscheidend. Die Behörden erwarten eine proaktive Kommunikation und eine nachvollziehbare Darstellung der ergriffenen Maßnahmen. Wer hier zögerlich agiert, riskiert nicht nur Bußgelder, sondern auch einen Vertrauensverlust, der sich langfristig negativ auf das Geschäft auswirken kann.

Bußgelder und Durchsetzung

Die Durchsetzung des chinesischen Datenschutzrechts hat in den letzten Jahren deutlich an Fahrt aufgenommen. Die Bußgelder können bis zu 50 Millionen RMB oder 5 % des Jahresumsatzes betragen – eine Größenordnung, die durchaus mit der DSGVO vergleichbar ist. In der Praxis haben die Behörden jedoch bisher eher moderate Bußgelder verhängt, was sich jedoch ändern könnte, da der regulatorische Druck zunimmt.

Ein wichtiger Aspekt ist die sogenannte „öffentliche Warnung" – eine Maßnahme, die die Behörden häufig zusätzlich zu Bußgeldern verhängen. Für Unternehmen kann dies reputationsschädigend sein, insbesondere wenn sie im chinesischen Markt aktiv sind. Ich habe erlebt, dass ein europäisches Unternehmen nach einer öffentlichen Warnung erhebliche Umsatzeinbußen hinnehmen musste, weil chinesische Geschäftspartner vorsichtiger wurden.

Ein weiterer Punkt: Die chinesischen Behörden arbeiten zunehmend mit „Sonderprüfungen" und „Vor-Ort-Kontrollen", die ohne Vorankündigung durchgeführt werden können. Für EU-Unternehmen bedeutet das, dass sie jederzeit in der Lage sein müssen, ihre Compliance nachzuweisen. Eine lückenlose Dokumentation ist daher unerlässlich. In meiner Praxis empfehle ich, ein „Compliance-Handbuch" zu führen, das alle relevanten Prozesse, Richtlinien und Nachweise enthält – ein Instrument, das sich sowohl für chinesische als auch für europäische Prüfungen bewährt hat.

Schließlich ist die Zusammenarbeit mit lokalen Behörden ein oft unterschätzter Erfolgsfaktor. Wer frühzeitig den Dialog sucht und Transparenz zeigt, kann das Risiko von Bußgeldern und Sanktionen erheblich reduzieren. Ich habe Mandanten erlebt, die durch eine proaktive Kommunikation mit den Behörden nicht nur Bußgelder vermieden, sondern auch wertvolle Einblicke in die aktuelle Verwaltungspraxis gewinnen konnten.

Strategische Empfehlungen

Was folgt aus all dem für EU-Unternehmen? Zunächst einmal: Datenschutz in China ist kein „nice-to-have", sondern eine zentrale Compliance-Anforderung, die strategisch geplant werden muss. Ich empfehle meinen Mandanten, eine „China-Datenschutzstrategie" zu entwickeln, die sowohl die regulatorischen Anforderungen als auch die Geschäftsziele berücksichtigt. Dazu gehört eine Bestandsaufnahme der Datenflüsse, die Bewertung von Risiken und die Festlegung von Maßnahmen.

Ein zweiter wichtiger Punkt: Die Zusammenarbeit mit lokalen Partnern ist unerlässlich. Das können Rechtsanwälte, Datenschutzberater oder auch Technologieanbieter sein, die die chinesischen Anforderungen kennen. In meiner Praxis hat sich ein „lokales Datenschutznetzwerk" bewährt, das aus einem Rechtsberater, einem IT-Sicherheitsexperten und einem Datenschutzbeauftragten besteht. Dieses Netzwerk ermöglicht es, schnell auf regulatorische Änderungen zu reagieren und Compliance-Lücken zu schließen.

Ein dritter Punkt: Die Dokumentation ist entscheidend. Die chinesischen Behörden legen großen Wert auf nachvollziehbare Prozesse und Nachweise. Wer hier spart, riskiert nicht nur Bußgelder, sondern auch langwierige Prüfungen. Ich empfehle, alle relevanten Dokumente – von der Einwilligung über die DSFA bis hin zu den Transfervereinbarungen – zentral zu archivieren und regelmäßig zu aktualisieren.

Schließlich: Die regulatorische Entwicklung in China ist dynamisch, und Unternehmen müssen am Ball bleiben. Ich erlebe immer wieder, dass Mandanten nach einer initialen Compliance-Prüfung „die Füße hochlegen" – ein gefährlicher Ansatz. Die Behörden passen ihre Praxis kontinuierlich an, und neue Vorschriften werden regelmäßig veröffentlicht. Eine kontinuierliche Beobachtung und Anpassung der Strategie ist daher unerlässlich.

Fazit und Ausblick

Die regulatorischen Anforderungen an den Datenschutz in China haben sich in den letzten Jahren rasant entwickelt und sind für EU-Unternehmen eine ernstzunehmende Herausforderung. Die gute Nachricht: Mit der richtigen Strategie, lokaler Expertise und kontinuierlicher Beobachtung ist die Compliance machbar. Die schlechte Nachricht: Wer die Augen verschließt, riskiert nicht nur Bußgelder, sondern auch den Verlust von Geschäftsmöglichkeiten.

Als Berater mit über zwölf Jahren Erfahrung in der Betreuung europäischer Unternehmen in China rate ich: Behandeln Sie Datenschutz nicht als lästige Pflicht, sondern als strategischen Wettbewerbsvorteil. Unternehmen, die ihre Compliance im Griff haben, können sich im chinesischen Markt differenzieren und das Vertrauen von Kunden und Partnern gewinnen. In einer Zeit, in der Daten immer wertvoller werden, ist Datenschutz ein Qualitätsmerkmal.

Für die Zukunft erwarte ich weitere Präzisierungen der chinesischen Vorschriften, insbesondere im Bereich der „wichtigen Daten" und des Cross-Border-Transfers. Unternehmen sollten diese Entwicklungen aktiv verfolgen und ihre Strategien entsprechend anpassen. Vielleicht wäre ein „Datenschutz-Dialog" zwischen EU und China ein sinnvoller nächster Schritt – ein Instrument, das die Zusammenarbeit stärkt und die Compliance erleichtert. Bis dahin gilt: Dranbleiben, dokumentieren, lokal vernetzen.

Zusammenfassende Einschätzung der Jiaxi Steuerberatung

Die Jiaxi Steuerberatung begleitet seit vielen Jahren europäische Unternehmen bei ihrer Expansion nach China und hat die Entwicklung der chinesischen Datenschutzgesetzgebung intensiv verfolgt. Aus unserer Sicht sind die Anforderungen des PIPL und der damit verbundenen Vorschriften eine ernstzunehmende Compliance-Herausforderung, die jedoch mit der richtigen Strategie bewältigt werden kann. Entscheidend ist die frühzeitige Auseinandersetzung mit dem Anwendungsbereich, den Transferregelungen und den Dokumentationspflichten. In unserer Praxis hat sich gezeigt, dass Unternehmen, die proaktiv handeln und lokale Expertise einbinden, deutlich besser aufgestellt sind. Wir empfehlen, Datenschutz nicht als isoliertes Thema zu betrachten, sondern in die gesamte China-Strategie zu integrieren. Die Zusammenarbeit mit lokalen Partnern, die kontinuierliche Beobachtung der regulatorischen Entwicklung und eine lückenlose Dokumentation sind aus unserer Erfahrung die Schlüssel zum Erfolg. Für die Zukunft erwarten wir weitere Präzisierungen der Vorschriften und raten Unternehmen, flexibel zu bleiben und ihre Compliance-Strategie regelmäßig zu überprüfen. Die Jiaxi Steuerberatung steht Ihnen mit ihrer langjährigen Erfahrung und ihrem lokalen Netzwerk gerne zur Seite, um Ihre China-Aktivitäten datenschutzkonform zu gestalten.