Was ist Chinas PIPL (Gesetz zum Schutz personenbezogener Daten)?

Chinas Gesetz zum Schutz personenbezogener Daten (PIPL) ist eine wichtige Rechtsquelle für den Schutz personenbezogener Daten; eines der drei grundlegenden Gesetze in China zu datenbezogenen Angelegenheiten, zusammen mit dem Cybersicherheitsgesetz und dem Datensicherheitsgesetz. Das PIPL trat am 1. November 2021 in Kraft. Für SaaS-Unternehmen und Softwareentwickler mit chinesischen Nutzern ist die Einhaltung des PIPL eine Anforderung, und die Durchsetzungsverfahren sind strenger geworden.

PIPL hat eine sehr starke extraterritoriale Dimension. Die Bestimmungen beziehen sich auf jede Organisation, die personenbezogene Daten von Einzelpersonen in China verarbeitet. Dies umfasst Unternehmen ohne physische Präsenz in China, deren Aktivitäten die Bereitstellung von Produkten oder Dienstleistungen für chinesische Nutzer oder die Analyse ihrer Verhaltensmuster umfassen.

Die Rechtsgrundlage für die Verarbeitung personenbezogener Daten unter PIPL ist die Einwilligung, vertragliche Notwendigkeit, gesetzliche Pflicht und öffentliches Interesse (wobei die Einwilligung die bei weitem häufigste ist). Die Berücksichtigung von Praktiken zur Verarbeitung personenbezogener Daten könnte ein Schwerpunkt für Unternehmen sein.

Pflichten des Auftragsverarbeiters:

•   Erstellen Sie die Datenmanagementpläne und -verfahren innerhalb des Unternehmens.
•   Differenzieren Sie Schutzmaßnahmen für verschiedene Kategorien personenbezogener Daten.
•   Nutzen Sie technische Sicherheitsmaßnahmen: Verschlüsselung, De-Identifizierung, Zugriffskontrolle.
•   Führen Sie regelmäßige Schulungen zum Datenschutzbewusstsein mit den Mitarbeitern durch.
•   Obligatorische Selbstprüfung der Compliance durchführen; Unternehmen, die Daten von über 10 Millionen Personen verarbeiten, sind gemäß den PIPL Compliance Audit Measures, die seit dem 1. Mai 2025 in Kraft sind, zur Einhaltung verpflichtet und müssen mindestens alle zwei Jahre überprüft werden.
•   Pläne für Datenpannen vorbereiten und umsetzen, sofern vorhanden.

Einzelpersonen haben folgende Rechte gegenüber Datenverarbeitern:

•   Sie können informiert werden, Auskunft erhalten, Kopien anfordern, ihre personenbezogenen Daten berichtigen oder löschen oder übertragen lassen.
•   Einzelpersonen können die Verarbeitung einschränken oder blockieren
•   Die Begründung für die Verarbeitungsvorgänge erfragen

Das Management von PIPL betreffend grenzüberschreitende Datenübertragungen in Drittländer durch ausländische Unternehmen außerhalb Chinas birgt Aspekte im Zusammenhang mit finanziellen Strafen oder der Einhaltung von Vorschriften. Seit dem 1. Januar 2026 gibt es 3 formale Wege; Unternehmen müssen einen davon wählen.

Artikel 66 des PIPL legt finanzielle Anforderungen für bestimmte Verstöße fest, mit Höchstbeträgen von 50 Millionen RMB (ca. 6,9 Mio. $) oder 5 % des jährlichen weltweiten Umsatzes.
Die Anwendung von Durchsetzungsmaßnahmen hat sich von einem selektiven Ansatz verschoben. Eine gemeinsame Kampagne von CAC-MIIT-MPS, die im April 2026 gestartet wurde hat 33 nicht konforme Apps öffentlich benannt und eine Hinwendung zu routinemäßigen Durchsetzungsmaßnahmen signalisiert.