Inhalt anzeigen
Das chinesische Personal Information Protection Law (PIPL) gilt seit dem 1. November 2021. Für deutsche Unternehmen ist nicht die Staatsangehörigkeit ihrer Kundschaft entscheidend, sondern wo sich die betroffenen Personen befinden und was mit ihren Daten geschieht. Das Gesetz kann nach Art. 3 auch eine Verarbeitung außerhalb Chinas erfassen, wenn sie Personen in China Produkte oder Dienstleistungen anbietet oder deren Verhalten analysiert.
Wann betrifft das PIPL ein Unternehmen aus Deutschland?
Prüfen Sie zuerst, ob Sie personenbezogene Informationen von Menschen in China verarbeiten. Bei einem Angebot an diese Personen oder einer Analyse ihres Verhaltens kann das PIPL auch ohne Niederlassung in China greifen. Bei anderen Verarbeitungsvorgängen ist der Anwendungsbereich gesondert zu beurteilen. Die DSGVO kann parallel anwendbar sein; ein DSGVO-konformer Prozess erfüllt das PIPL nicht automatisch.
Das PIPL kennt mehrere Grundlagen für eine Verarbeitung, darunter Einwilligung, Vertragserfüllung und gesetzliche Pflichten (Art. 13). Die pauschale Aussage, für jede Verarbeitung sei eine Einwilligung nötig, ist deshalb falsch. Für sensible Daten und bestimmte andere Vorgänge gelten zusätzliche Anforderungen. Auch staatliche Stellen sind im Gesetz ausdrücklich geregelt; sie sind nicht generell ausgenommen.
Daten aus China ins Ausland übermitteln
Eine Übermittlung aus China in die EU ist nicht allein wegen des europäischen Datenschutzniveaus frei zulässig. Das Unternehmen muss den Zweck, die Rechtsgrundlage, Informationspflichten und die Anforderungen der Art. 38 bis 43 PIPL prüfen. Je nach Fall kommen etwa eine behördliche Sicherheitsprüfung, eine Zertifizierung oder ein Standardvertrag in Betracht. Die Vorschriften der Cyberspace Administration of China (CAC) vom März 2024 sehen für bestimmte Konstellationen Ausnahmen von diesen Exportmechanismen vor. Ob eine Ausnahme greift, hängt insbesondere von Datenart, Empfänger, Zweck und Umfang ab; für wichtige Daten und Betreiber kritischer Informationsinfrastrukturen gelten besondere Regeln.
Wer Daten aus China überträgt, sollte den konkreten Datenfluss dokumentieren: Welche Personen sind betroffen, welche Daten gelangen wohin, wer erhält sie und auf welcher Grundlage? Eine pauschale Freigabe für einen Dienst oder ein Zielland lässt sich daraus nicht ableiten.
Rechte, Pflichten und Aufsicht
Das PIPL enthält Rechte auf Information, Auskunft, Berichtigung und Löschung sowie Anforderungen an Sicherheit und Rechenschaft. Bei einem Sicherheitsvorfall sind nach Art. 57 Abhilfemaßnahmen und grundsätzlich eine Meldung an die zuständigen Stellen und die betroffenen Personen vorgesehen; Einzelheiten hängen vom Fall ab. Schwere Verstöße können nach Art. 66 zu hohen Geldbußen führen. Diese Höchstwerte sind keine typische oder automatische Folge jedes Verstoßes.
Für eine konkrete Markteinführung oder einen grenzüberschreitenden Datenfluss ist eine Prüfung nach chinesischem Recht erforderlich. Dieser Überblick ersetzt keine fallbezogene Rechtsberatung.
Primärquellen
- PIPL, englische Fassung des Nationalen Volkskongresses (insbesondere Art. 3, 13 und 38–43).
- CAC: Vorschriften zu grenzüberschreitenden Datenflüssen vom 22. März 2024 (chinesischer Originaltext).
Quellen geprüft am 14. Oktober 2026.