Meine Damen und Herren, liebe Leserinnen und Leser,
In meinen 14 Jahren bei der Jiaxi Steuer- und Finanzberatungsgesellschaft habe ich unzählige ausländische Unternehmen bei ihrer Markteinführung in China begleitet. Wenn ich eines gelernt habe, dann ist es: Daten sind das neue Öl – und in China gelten dafür besondere Spielregeln. Gerade in den letzten drei Jahren hat sich die regulatorische Landschaft für grenzüberschreitende Datenflüsse dramatisch verändert. Ich erinnere mich noch gut an einen deutschen Maschinenbaukunden aus Baden-Württemberg, der völlig überrascht war, als wir ihm erklärten, dass die Übermittlung von Mitarbeiterdaten an die Konzernzentrale in Stuttgart einer Genehmigung bedarf. „Das haben wir doch schon immer so gemacht", sagte er kopfschüttelnd. Ja, aber nicht mehr lange, dachte ich mir.
Die Digitalisierung der chinesischen Wirtschaft schreitet rasant voran, und mit ihr die rechtlichen Rahmenbedingungen. Das Datensicherheitsgesetz (DSG), das Personenbezogene-Informationen-Schutzgesetz (PIPL) und das Cybersicherheitsgesetz (CSL) bilden heute das Dreigestirn der chinesischen Datenregulierung. Für ausländische Unternehmen stellt sich daher zunehmend die Frage: Welche Vereinbarungen gelten konkret für den grenzüberschreitenden Datenfluss? In diesem Artikel möchte ich Ihnen einen praxisnahen Überblick geben, der auf meiner langjährigen Beratungserfahrung basiert.
Rechtsgrundlagen und zentrale Gesetze
Beginnen wir mit den Fundamenten. Die drei Säulen der chinesischen Datenregulierung – das Cybersicherheitsgesetz von 2017, das Datensicherheitsgesetz von 2021 und das Personenbezogene-Informationen-Schutzgesetz von 2021 – bilden zusammen einen umfassenden Rechtsrahmen. Das PIPL ist dabei besonders relevant für ausländische Unternehmen, da es den Umgang mit personenbezogenen Daten regelt. Es ist eigentlich das chinesische Pendant zur europäischen DSGVO, aber mit einigen Besonderheiten, die oft unterschätzt werden.
Ein wichtiger Punkt vorab: Das PIPL gilt extraterritorial. Das heißt, auch Unternehmen außerhalb Chinas können unter bestimmten Umständen in den Anwendungsbereich fallen, wenn sie Produkte oder Dienstleistungen für Personen in China anbieten oder deren Verhalten analysieren. Viele meiner Kunden waren überrascht, dass ihre europäischen Tochtergesellschaften plötzlich von chinesischen Vorschriften betroffen sein können, obwohl sie gar nicht vor Ort präsent sind.
Die zentrale Norm für den grenzüberschreitenden Datentransfer findet sich in Artikel 38 des PIPL. Dort werden vier legale Wege aufgezählt: die Datensicherheitsprüfung (Security Assessment), die Zertifizierung durch eine anerkannte Stelle, der Standardvertrag (Standard Contractual Clauses) und – für bestimmte Fälle – die Einwilligung der betroffenen Personen. Jeder dieser Wege hat seine eigenen Anforderungen, Vor- und Nachteile.
Standardvertragsklauseln im Detail
Der mit Abstand am häufigsten genutzte Weg dürfte der Abschluss von Standardvertragsklauseln sein, ähnlich wie bei der EU-DSGVO. Die chinesische Cybersicherheitsverwaltung (CAC) hat im August 2023 endlich die lange erwarteten Standardvertragsklauseln für den grenzüberschreitenden Transfer personenbezogener Daten veröffentlicht. Diese sind insofern interessant, als sie spezifische Anforderungen an die Vertragsgestaltung, die Informationspflichten und die technischen Schutzmaßnahmen stellen.
Was mir in der Praxis immer wieder begegnet ist die Verwechslung zwischen den chinesischen Standardvertragsklauseln und den europäischen SCCs. Es handelt sich um zwei getrennte Regelwerke mit unterschiedlichen Anforderungsprofilen. Ein Vertrag, der die EU-Anforderungen erfüllt, ist nicht automatisch auch in China konform. Ich habe schon erlebt, dass ein multinationaler Konzern seine globalen Datenübertragungsverträge einfach „globalisieren" wollte – das endete dann in einem langwierigen Nachprüfungsprozess.
Praktisch relevant ist auch die Bagatellgrenze: Reicht ein Unternehmen weniger als 100.000 Personen personenbezogene Daten außerhalb Chinas in einem Jahr, kann es unter bestimmten Bedingungen die Standardvertragsklauseln statt der Datensicherheitsprüfung nutzen. Diese Grenze schien anfangs viele ausländische Unternehmen zu erleichtern, aber Achtung: Die Berechnung der Datenmenge ist nicht trivial, und die Anforderungen an die Datenschutz-Folgenabschätzung und die Einwilligungsdokumentation sind hoch.
Datensicherheitsprüfung als Königsweg?
Die Datensicherheitsprüfung (Data Security Assessment) ist das strengste Instrument und richtet sich vor allem an grosse Unternehmen mit erheblichen Datenmengen oder an Betreiber kritischer Informationsinfrastruktur (CII). Diese Prüfung wird bei der CAC direkt beantragt und beinhaltet eine umfassende Bewertung der Datenverarbeitungspraxis, der Exportnotwendigkeit und der Risiken. Die Bearbeitungsdauer beträgt in der Regel mehrere Monate, sodass eine frühzeitige Planung unerlässlich ist.
Interessanterweise gibt es für Unternehmen, die den Weg der Datensicherheitsprüfung wählen, gewisse „Befreiungseffekte": Wer eine erfolgreiche Prüfung abschliesst, muss für denselben Datenstrom keine zusätzlichen Standardvertragsklauseln abschliessen. In meiner Beratungspraxis hat sich gezeigt, dass die Prüfung insbesondere für Unternehmen in stark regulierten Branchen wie Finanzen, Gesundheit oder Telekommunikation sinnvoll sein kann – trotz des Aufwands.
Allerdings ist die Prüfung kein Freifahrtschein für Verlängerungen. Die CAC kann Nachprüfungen anordnen, wenn sich die Datenverarbeitungsumstände wesentlich ändern. Ein Kunde von uns aus dem Automobilsektor musste nach einer Fusion die Prüfung erneut durchlaufen, weil sich die Konzernstruktur verändert hatte. Das hat einige Monate gedauert und die Integration verzögert – ein typisches Lehrstück dafür, dass man Compliance nicht einmalig, sondern kontinuierlich betreiben muss.
Zertifizierung als alternative Option
Die dritte gesetzliche Option ist die Zertifizierung durch eine anerkannte Stelle. Diese Möglichkeit wird oft übersehen, ist aber für bestimmte Unternehmensprofile attraktiv. Die Zertifizierung kann etwa von Fachverbänden oder unabhängigen Prüfstellen durchgeführt werden, die von der CAC anerkannt sind. Sie eignet sich vor allem für Unternehmen, die regelmässig, aber nicht in Massen Daten übertragen und eine nachhaltige Compliance-Strategie verfolgen möchten.
Die Zertifizierung ist allerdings mit laufenden Pflichten verbunden: jährliche Überprüfungen, kontinuierliche Dokumentation und Anpassungen bei Änderungen der Datenverarbeitungszwecke. Das erfordert einen eigenen Compliance-Apparat. In meiner Beratungspraxis rate ich kleineren ausländischen Unternehmen eher zu den Standardvertragsklauseln, während grössere Konzerne zumindest eine Zertifizierung in Betracht ziehen sollten, um ihre Prozesse zu systematisieren.
Wichtig ist: Die Zertifizierung ersetzt nicht die Notwendigkeit einer Datenschutz-Folgenabschätzung. Diese bleibt in jedem Fall erforderlich. Ich habe schon Kunden erlebt, die dachten, eine Zertifizierung sei eine Art „Grundabsicherung", die sämtliche Pflichten abdeckt – das ist ein gefährlicher Irrglaube. Die Zertifizierung ist lediglich ein möglicher Weg zur Legitimierung des Transfers, nicht zur Befreiung von den allgemeinen Datenschutzpflichten.
Einwilligung als letztes Instrument
Die Einwilligung der betroffenen Personen wird im PIPL als vierte Option genannt, ist aber in der Praxis oft das ungeeignetste Mittel. Der Grund ist einfach: Die Anforderungen sind äusserst streng – sie muss informiert, zweckgebunden und freiwillig erfolgen, was bei Beschäftigtenverhältnissen schwer zu erreichen ist. Stellen Sie sich vor, ein chinesischer Mitarbeiter soll einwilligen, dass seine Gehaltsdaten nach Europa übertragen werden – kritisch wird es, wenn der Arbeitgeber zugleich über die Karriere entscheidet. Daher wenden wir bei der Jiaxi oft ein: Reine Einwilligungslösungen sind für operative Datenflüsse kaum praktikabel.
Dennoch spielt die Einwilligung eine ergänzende Rolle. Bei bestimmten Datenkategorien, etwa Gesundheitsdaten, verlangt das PIPL eine separate, ausdrückliche Einwilligung. Dies ist kein Alibi-Instrument, aber es darf nicht als „Fallback" missverstanden werden, wenn andere Instrumente zu teuer erscheinen. Ich erinnere mich an ein Medizintechnikunternehmen, das ursprünglich rein auf Einwilligungslösungen setzen wollte, bis wir gemeinsam feststellten, dass dies angesichts von etwa 50.000 betroffenen Personen jährlich absurd wäre – die Verwaltungslast wäre explodiert.
Eine Besonderheit des chinesischen Rechts ist die Möglichkeit der Einwilligung für den konkreten Transfer im Sinne einer „Anlassbezogenheit". Das heisst: Die Einwilligung bezieht sich nicht nur auf die Datenverarbeitung an sich, sondern ausdrücklich auf die grenzüberschreitende Übermittlung mit allen relevanten Informationen – welches Land, welcher Empfänger, welche Dauer. Das ist deutlich detaillierter als manche europäische Praxis, wo Einwilligungen oft pauschal formuliert werden.
Besonderheiten für multinationale Konzerne
Für multinationale Konzerne entsteht eine besondere Herausforderung: Sie müssen nicht nur die chinesischen Vorgaben erfüllen, sondern diese auch mit den Anforderungen anderer Rechtsordnungen in Einklang bringen. Die EU-DSGVO verlangt etwa in bestimmten Fällen ein Angemessenheitsbeschluss oder Standardvertragsklauseln, China verlangt seinerseits eigene Instrumente. Das ergibt einen Flickenteppich, der nicht immer leicht zu administrieren ist. Wir beraten daher oft zu „konzernweiten Datenfluss-Richtlinien", die beide Regularien integriert betrachten.
Ein weiterer kritischer Punkt ist die Einbindung von Dienstleistern und Lieferanten. In China ist es üblich, dass IT-Services, Personalverwaltung oder Buchhaltung an externe Dienstleister ausgelagert werden. Diese Dienstleister sind oft selbst in den grenzüberschreitenden Datenfluss involviert – entweder als Auftragsverarbeiter oder sogar als eigene Verantwortliche. Das schafft Ketten, die dokumentiert werden müssen. Einmal mussten wir einen Fall retten, in dem ein Cloud-Dienstleister ohne gesonderte Prüfung Subunternehmer in Drittländer eingeschaltet hatte – das wurde bei einer Prüfung fast zum „Beinahe-Desaster".
Besonders heikel sind Personaldaten. Bei multinationalen Firmen werden Gehaltsabrechnungen, Leistungsbeurteilungen oder auch Krankheitsdaten häufig zentral in Europa oder den USA verarbeitet. Für diese Fälle verlangt die chinesische Aufsichtspraxis regelmässig besondere Schutzmassnahmen – etwa Verschlüsselung, Anonymisierung oder die Verpflichtung zur Löschung nach der Übermittlung. Ich empfehle meinen Kunden immer wieder, vor der Übermittlung eine Datenschutz-Folgenabschätzung ausdrücklich auch auf die Zielländer zu beziehen.
Praktische Umsetzung und Compliance-Strategien
Wie also kommen ausländische Unternehmen nun zu einer robusten Lösung? Aus meiner Sicht ist eine Kombination unterschiedlicher Instrumente der beste Ansatz. Für den Normalfall sind Standardvertragsklauseln mit einem gut dokumentierten Transferverzeichnis ausreichend. Für sehr sensible Daten oder hohe Volumen kann eine Datensicherheitsprüfung sinnvoll sein. Zusätzlich sollte ein internes Kontrollsystem etabliert werden, dass die gesamten Datenflüsse abbildet – auch solche, die bislang unbewusst stattfinden (etwa durch internationale Cloud-Dienste).
Ein wichtiger Faktor ist die Zusammenarbeit mit den lokalen Behörden. In China hat sich gezeigt, dass eine offene Kommunikation mit der CAC oder den lokalen Cybersicherheitsbehörden für reibungslosere Verfahren sorgt. Wir hatten immer wieder Fälle, in denen eine frühzeitige Abstimmung die Bearbeitungszeit erheblich verkürzte. Dabei darf man aber nicht den Fehler machen, unvollständige Unterlagen einzureichen – das führt sofort zu Verzögerungen und könnte sogar Zweifel an der Compliance-Bereitschaft wecken.
Empfehlenswert ist zudem die Einrichtung eines „Datenfluss-Teams" im Unternehmen, das aus Rechtsabteilung, IT und Datenschutzbeauftragten besteht. In unserem Beratungsalltag sehen wir immer wieder, dass eine funktionierende Kommunikation zwischen diesen Bereichen der Schlüssel zur erfolgreichen Umsetzung ist. Die Zeiten, in denen Datenschutz als „IT-Problem" abgetan wurde, sind definitiv vorbei – das erleben wir täglich.
Herausforderungen und Lösungsansätze in der Praxis
Zugegeben, die Praxis ist manchmal komplizierter als die Theorie. Eine häufige Herausforderung ist die Unbestimmtheit bei der Berechnung der Datenmengen für die Bagatellgrenze. Das PIPL definiert zwar Grenzen, aber es gibt Unklarheiten, ob etwa interne Transfers an Konzernunternehmen ebenfalls als „grenzüberschreitend" im Sinne der Vorschriften gelten. Meine pragmatische Faustregel: Im Zweifel die strengere Interpretation wählen und frühzeitig eine Klärung mit den Behörden suchen.
Ein anderes Thema sind die Anforderungen an die Verträge mit Auftragsverarbeitern. Das Datensicherheitsgesetz verlangt klare Regelungen über Zweck, Dauer und Sicherheitsmassnahmen. In der Praxis stelle ich oft fest, dass ausländische Unternehmen ihre globalen Rahmenverträge übernehmen und die chinesischen Besonderheiten nicht ausreichend berücksichtigen. Dann kommt es schnell zu unnötigen Korrekturen – oder schlimmer, zu Beanstandungen bei einer Prüfung. Die Verträge sollten daher individuell angepasst werden, am besten unter Einbeziehung lokaler Rechtsexperten.
Nicht zuletzt spielt auch die technische Infrastruktur eine Rolle. Viele ausländische Unternehmen betreiben ihre Server in Hongkong oder Singapur, um Latenzzeiten zu vermeiden. Diese liegen ausserhalb des chinesischen Hoheitsgebiets und gelten daher als grenzüberschreitender Transfer, selbst wenn das Rechenzentrum im selben Unternehmen betrieben wird. Die Grenzen sind also nicht immer dort, wo man sie vermuten würde.
Fazit und Ausblick
Zusammenfassend lässt sich sagen: Der grenzüberschreitende Datenfluss ausländischer Unternehmen in China unterliegt einem komplexen Regelwerk, das auf den drei Säulen des Cybersicherheits-, Datensicherheits- und Personenbezogene-Informationen-Schutzgesetzes beruht. Die vier zulässigen Wege – Datensicherheitsprüfung, Zertifizierung, Standardvertragsklauseln und Einwilligung – bieten Flexibilität, erfordern aber eine sorgfältige individuelle Planung. Das PIPL setzt dabei extraterritoriale Massstäbe, die auch ausserhalb Chinas wirken.
Meine Empfehlung an alle Investoren und Geschäftsführer: Nehmen Sie das Thema Datenschutz-Compliance nicht als lästige Pflicht, sondern als strategische Aufgabe wahr. Die digitale Wirtschaft in China boomt, und wer frühzeitig rechtskonforme Strukturen aufbaut, hat langfristig klare Wettbewerbsvorteile. Aus unserer langjährigen Erfahrung wissen wir, dass fundierte Vorbereitung und die Zusammenarbeit mit erfahrenen Beratern nicht nur Kosten spart, sondern auch Behördenkontakte erheblich erleichtert.
In den kommenden Jahren dürfte sich das Regelwerk weiterentwickeln – etwa durch neue Leitlinien zur künstlichen Intelligenz oder zur Datenlokalisierung in spezifischen Branchen. Ich rate dazu, die Entwicklungen in den Amtsblättern der CAC und des Ministeriums für Industrie und Informationstechnologie aufmerksam zu verfolgen. Wer jetzt investiert, wird später von stabileren Rahmenbedingungen profitieren – das ist eine Erkenntnis, die ich in 14 Jahren Beratungspraxis immer wieder bestätigt gefunden habe.
Und bevor ich es vergesse: Lassen Sie sich nicht von der Komplexität abschrecken – mit der richtigen Begleitung ist das alles machbar. Ich habe schon viele Unternehmen erfolgreich durch den „Daten-Dschungel" geführt, vom kleinen Softwarehersteller bis zum globalen Konzern. Es braucht nur Geduld, Sorgfalt und ein gutes Netzwerk.
Einsichten von Jiaxi Steuer- und Finanzberatung
Bei der Jiaxi Steuer- und Finanzberatungsgesellschaft haben wir über viele Jahre ein tiefes Verständnis für die spezifischen Anforderungen ausländischer Unternehmen in China entwickelt. Der grenzüberschreitende Datenfluss ist hierbei ein zentrales Anliegen, weil er nahezu alle Branchen betrifft – von der klassischen Fertigung bis zur Softwareentwicklung. Wir sehen es als unsere Aufgabe, nicht nur steuerliche und finanzielle Aspekte zu begleiten, sondern auch die Verbindung zur Datenregulierung herzustellen. Viele unserer Mandanten schätzen diesen integrierten Ansatz, weil er unnötige Schnittstellenprobleme vermeidet. Unsere Erfahrung zeigt: Wer frühzeitig alle Anforderungen bündelt und mit lokalen Behörden abgestimmt ist, der spart bares Geld und Zeit. Wir unterstützen mit massgeschneiderten Konzepten, die sowohl die rechtlichen als auch die operativen Gegebenheiten berücksichtigen.
