Neuerdings spielt der Schutz personenbezogener, wichtiger und anderer Daten in China eine immer größere Rolle und die Gesetzeslage wird stetig angepasst. Nach dem Erlass des Cybersicherheitsgesetzes im Jahr 2017, traten 2021 gleich drei wichtige Datenschutzvorschriften in Kraft, die zusammen die rechtliche Grundlage für den Datenschutz in China bilden:

•  Das Gesetz der Volksrepublik China zum Schutz persönlicher Daten (GSPD) vom 1. November 2021

•  Das Datensicherheitsgesetz der VR China vom 1. September 2021 und

•  Das 4. Buch des Zivilgesetzbuches der VR China vom 1. Januar 2021.

Das GSPD zielt darauf ab, die Daten und Rechte natürlicher Personen zu schützen. Im Gegensatz zur DSGVO verfolgt das GSPD aber auch ein darüberhinausgehendes Ziel, nämlich den Schutz der nationalen Sicherheit und des öffentlichen Interesses, was bei der Auslegung und Umsetzung des Gesetztes zu beachten ist.

Ähnlich wie die DSGVO besitzt das GSPD auch grenzüberschreitende Wirkung. Das bedeutet, dass auch europäische Unternehmen, die in den Anwendungsbereich des GSPD fallen, die Datenschutzanforderungen des GSPD in Europa einhalten müssen. Andernfalls drohen nicht nur deren Tochtergesellschaften, sondern auch deren lokale Datenschutzverantwortlichen in China zivilrechtliche und strafrechtliche Sanktionen.

Für viele in Europa ansässige Unternehmen stellt sich die Herausforderung, die für diese nach dem GSPD bestehenden gesetzliche Pflichten überhaupt zu identifizieren. Erschwerend ist dabei die Tatsache, dass GSPD und DSGVO nur teilweise deckungsgleich hinsichtlich ihrer Anforderungen sind. Es reicht daher nicht aus, die für die Einhaltung der DSGVO im europäischen Mutterunternehmen getroffenen Maßnahmen einfach auf die chinesische Tochtergesellschaft zu übertragen!

Vor diesem Hintergrund lassen sich ergebnisorientierte, zielgerichtete und praxisnahe Lösungen für eine Datenschutzkonformität der europäischen Mutter und der Tochtergesellschaft in China sicherstellen, wenn man – wie wir – beide Gesetze und Rechtsordnungen kennt und berücksichtigen kann.

Unseren Artikel mit der übersichtlichen Darstellung der wichtigsten Unterschiede zwischen der DGVO und dem GSPD finden Sie HIER.

Die Datenschutzgesetze betreffen Unternehmen innerhalb, aber auch außerhalb Chinas, und zwar branchenunabhängig! Fast bei jeder Betriebstätigkeit müssen datenschutzrechtliche Vorgaben in Erwägung gezogen werden.

Für Konzerne mit Tochtergesellschaften in China und Unternehmen, die in oder mit China Geschäfte machen ist es wichtig, deren Datenschutzmanagementsysteme und Datenschutzmaßnahmen an die aktuellen gesetzlichen Anforderungen anzupassen, um eine Datenschutzkonformität in China sicherzustellen. 

Grundsätzlich liegt die Verantwortung für die Umsetzung des GSPD bei der Geschäftsführung eines Unternehmens.

Unsere Praxiserfahrungen zeigen, dass bei behördlichen Untersuchungen aus Anlass eines möglichen Datenverstoßes der Nachweis eines guten Datenschutzmanagementsystems und effektiver Datenschutzmaßnahmen zu milderen Sanktionen oder sogar zum Verzicht der Ahndung durch die Datenschutzbehörden beitragen können. 

Deshalb ist eine abwartende Haltung nicht zu empfehlen, insbesondere in Anbetracht der Tatsache, dass - anders als bei der DSGVO - ein Datenschutzverstoß in China nicht nur die Haftung des Unternehmens als juristische Person, sondern auch die persönliche Haftung des Managements nach sich ziehen kann.

Rechtswidrige Datenverarbeitung oder rechtsmissbräuchlicher Umgang mit Daten kann schwerwiegende Folgen für Ihr Unternehmen und dessen Geschäftsführung haben. Die Einhaltung der Datenschutzvorschriften wird durch die chinesischen Behörden streng überwacht und Rechtsverstöße zunehmend geahndet. Bei einem Datenschutzverstoß drohen, neben Bußgeldern von bis zu RMB 50 Millionen (ca. EUR 6,8 Millionen) bzw. 5% des Vorjahresumsatzes und Verwaltungsmaßnahmen einschließlich der Beschlagnahme der rechtswidrig erlangten Einnahmen oder dem Verbot der Geschäftstätigkeit, auch zivil- und strafrechtliche Haftung der handelnden und verantwortlichen Personen. Die für die Datenverarbeitung verantwortlichen Personen können zusätzlich mit einem Bußgeld von bis zu RMB 1 Million (ca. EUR 136,000) belegt werden.