Über Tmall Global, JD Worldwide, Xiaohongshu oder Douyin Ihre Marke in China zu verkaufen, erreicht hunderte Millionen Verbraucher. Sobald Sie jedoch Name, Telefonnummer, Lieferadresse oder Browserverhalten eines chinesischen Kunden erfassen, fallen Sie unter das PIPL (Gesetz zum Schutz personenbezogener Informationen) — Chinas GDPR-ähnliches Datenschutzgesetz. Für ausländische Marken, die 2026 einen Markteintritt in China planen, ist Datenkomplianz längst kein nachgelagertes Technikthema mehr, sondern eine Marktzugangsvoraussetzung. Dieser Leitfaden erklärt, was ausländische E-Commerce-Marken über PIPL, grenzüberschreitende Datenübermittlung und die MLPS-2.0-Sicherheitsbasis wissen müssen — und wie man die Komplianz vor dem Launch aufbaut.
Warum Datenkomplianz eine Markteintrittsfrage ist
Viele Gründer behandeln Datenschutzrecht als nachträglichen Patch. In China ist es eine Vorab-Bedingung. Die Aufsicht erwartet eine klare Rechtsgrundlage, eine datenschutzrechtliche Erklärung auf Chinesisch und einen definierten grenzüberschreitenden Übermittlungsmechanismus, bevor Sie bezahlten Traffic ausbauen. Eine Komplianzlücke kann Ihren Shop einfrieren, eine Plattformabrechnung blockieren oder eine Strafe auslösen, die Ihr Marketingbudget sprengt. Klug ist es, Datenflüsse bereits bei der Gesellschaftsgründung zu entwerfen — nicht nach den ersten 10.000 Bestellungen.
PIPL-Grundlagen, die jede ausländische Marke kennen sollte
Was zählt als personenbezogene Information
PIPL schützt „personenbezogene Informationen” — alle Daten zu einer identifizierten oder identifizierbaren natürlichen Person. Dazu gehören Name, Ausweisnummer, Telefonnummer, Adresse, Bestellhistorie, Gerätekennung, Standortdaten und Verhaltens-Tracking-Cookies. „Sensible personenbezogene Informationen” (Biometrie, Religionszugehörigkeit, Gesundheit, Finanzkonten) unterliegen strengeren Regeln.
Einwilligung und die Regel der „gesonderten Einwilligung”
Die Verarbeitung erfordert grundsätzlich eine informierte Einwilligung. Bestimmte Hochrisikotätigkeiten — Daten ins Ausland übermitteln, sensible Informationen verarbeiten oder Profiling für automatische Entscheidungen — erfordern eine „gesonderte Einwilligung” durch eine klare, bestätigende Handlung, nicht versteckt in einer AGB-Checkbox. Ihre chinesische Datenschutzerklärung muss leicht auffindbar, in einfachem Chinesisch verfasst und konkret zu Zweck, Umfang und ausländischen Empfängern sein.
Grenzüberschreitende Datenübermittlung 2026
Werden in China erhobene personenbezogene Daten auf einen Server oder ein Team außerhalb des chinesischen Festlands übertragen, greifen PIPLs Auslandsübermittlungsregeln. Es gibt drei Hauptwege.
CAC-Sicherheitsbewertung
Großvolumige oder sensible Übermittlungen bzw. Daten von Schlüsselplattformen erfordern in der Regel eine Sicherheitsbewertung bei der CAC (Cyberadministration Chinas). Dies ist der schwerste Weg und passt für Hochvolumen-Betreiber.
Standardvertrag (SCC) plus Anmeldung
Die meisten ausländischen Marken nutzen den Standardvertrags-Mechanismus: Sie schließen den von der CAC vorgegebenen Vertrag mit dem ausländischen Empfänger, führen eine PIPIA (Datenschutz-Folgenabschätzung) durch und melden beides bei der örtlichen CAC an. Dieser Weg passt für mittelvolumigen grenzüberschreitenden E-Commerce.
Zertifizierung
Übermittlungen innerhalb einer Unternehmensgruppe oder an zertifizierte Auftragsverarbeiter können sich auf eine von der CAC anerkannte Zertifizierung stützen. Nützlich für globale Unternehmen, die Daten zwischen verbundenen Gesellschaften bewegen.
MLPS 2.0 — die technische Sicherheitsbasis
Neben Datenschutzpapieren muss jedes System, das chinesische Nutzerdaten verarbeitet, die MLPS 2.0 (Multi-Level-Protection-Scheme) erfüllen. Sie stuft Ihr System nach Auswirkung ein, melden es beim öffentlichen Sicherheitsbüro an, setzen erforderliche Kontrollen um und bestehen eine Bewertung. Selbst ein einfaches Shop-Backend, CRM oder Analyse-Dashboard kann unter MLPS-Pflichten fallen. Planen Sie das in Ihr IT-Budget ein.
Cookies, Tracking und Marketingdaten
Pixel, Retargeting-Tags und Analytik-SDKs erfassen allesamt personenbezogene Informationen. Bevor Sie Xiaohongshu- oder Douyin-Werbepixel laufen lassen, die ein globales Dashboard speisen, sichern Sie eine Rechtsgrundlage und einen Übermittlungsweg ab. Viele Marken leiten Chinas Kampagnendaten über einen lokalen Data Clean Room oder ein in China gehostetes Warehouse, um die grenzüberschreitende Exposition zu senken.
Praktische Komplianz-Checkliste 2026
1. Benennen Sie eine Person für Datenschutz oder einen lokalen Ansprechpartner.
2. Veröffentlichen Sie eine datenschutzrechtliche Erklärung und Cookie-Hinweis auf Chinesisch.
3. Kartieren Sie jeden Datenfluss: was Sie erheben, wo es gespeichert wird, wer darauf zugreift.
4. Wählen Sie einen Übermittlungsweg (Standardvertrag-Anmeldung ist die gängige Wahl) und führen Sie eine PIPIA durch.
5. Melden Sie Systeme nach MLPS 2.0 an und wenden Sie Basis-Kontrollen an.
6. Bewahren Sie Einwilligungs- und Folgenabschätzungsunterlagen für Kontrollen auf.
Brauche ich eine China-Gesellschaft für PIPL?
Nicht zwingend. Auch ein ausländisches Unternehmen ohne lokale Tochtergesellschaft kann „Verarbeiter personenbezogener Informationen” sein und muss komplianzpflichtig sein. Mit einer WFOE (Wholly Foreign-Owned Enterprise) erhalten Sie jedoch einen lokalen gesetzlichen Vertreter, ein Festland-Bankkonto und einen registrierten Sitz, den die Aufsicht erreichen kann — was Anmeldungen und Plattformabrechnung spürbar vereinfacht.
Kann ich China-Kundendaten in meinem globalen CRM speichern?
Nur über einen konformen Übermittlungsweg. Liegt Ihr globales CRM außerhalb Chinas, benötigen Sie eine SCC-Anmeldung (oder einen anderen Weg) plus gesonderte Einwilligung. Viele Marken betreiben eine China-lokale CRM-Instanz oder eine Bonded-Datenzone, um laufende grenzüberschreitende Übermittlungen zu vermeiden.
Welche Strafen drohen bei Nicht-Einhaltung?
PIPL sieht Bußgelder von bis zu 5 % des Vorjahresumsatzes oder 50 Millionen RMB (je nachdem, was höher ist) vor, zuzüglich möglicher Dienstsperrung und persönlicher Haftung der verantwortlichen Manager. Die Aufsicht kann auch eine Plattform anweisen, einen nicht konformen Händler zu delisten.
Ändert grenzüberschreitender E-Commerce die Regeln?
Die Bonded- (1210) und Direct- (9610) Modelle ändern, wo Daten entstehen und wer sie verarbeitet, aber PIPL gilt weiterhin für die personenbezogenen Informationen chinesischer Verbraucher. Planen Sie die Komplianz pro Kanal, einschließlich Logistik- und Zolldatenverarbeitern.
Datenkomplianz ist der stille Torwächter des China-Markteintritts. Marken, die PIPL-ready Datenflüsse aufbauen, den richtigen Übermittlungsweg wählen und MLPS 2.0 von Tag eins erfüllen, vermeiden kostspielige Stopps und gewinnen das Vertrauen der Verbraucher. Hongshengze hilft ausländischen Marken, eine WFOE zu gründen, konforme Datenflüsse aufzubauen und auf Tmall Global, JD Worldwide, Xiaohongshu und Douyin mit Zuversicht zu starten.