Wenn eine ausländische Marke in China eine WFOE (Unternehmen mit vollständig ausländischem Kapital), eine Repräsentanz oder einen grenzüberschreitenden Online-Shop gründet, beginnt sie unmittelbar damit, personenbezogene Daten von Mitarbeitern, Kunden, Interessenten und Partnern zu erheben. Chinas Gesetz zum Schutz personenbezogener Informationen (PIPL) bildet zusammen mit dem Cybersicherheitsgesetz (CSL) und dem Datensicherheitsgesetz (DSL) eines der strengsten Datenschutzregime der Welt. Nichtbeachtung ist kein theoretisches Risiko: Die Aufsichtsbehörden können grenzüberschreitende Datenflüsse blockieren, den Geschäftsbetrieb untersagen und Bußgelder von bis zu 5 % des weltweiten Jahresumsatzes verhängen. Dieser Leitfaden erklärt, was ausländische Unternehmen 2026 tatsächlich tun müssen.
Warum Datenschutz bei einem China-Markteintritt entscheidend ist
Markteintritt ist längst nicht mehr nur Fragen der Gründung und Besteuerung. In dem Moment, in dem Sie Daten einer chinesischen Person verarbeiten, betreten Sie einen streng regulierten Raum. Compliance von Tag eins an schützt Ihren Starttermin, das Vertrauen Ihrer Kunden und Ihre Fähigkeit, betriebliche Daten über Grenzen zu bewegen.
Die drei Säulen: PIPL, CSL und DSL
China regelt Daten durch drei sich überschneidende Gesetze. Das Cybersicherheitsgesetz (2017) führte Netzwerksicherheitspflichten und das Konzept der kritischen Informationsinfrastruktur (CII) ein. Das Datensicherheitsgesetz (2021) stuft Daten nach Wichtigkeit ein – es unterscheidet “wichtige Daten” und “Kerndaten” – und beschränkt die Auslandsübermittlung sensibler Datensätze. Das Gesetz zum Schutz personenbezogener Informationen (2021) ist Chinas eigenes Datenschutzgesetz, oft mit der EU-DSGVO verglichen, und regelt, wie jede Organisation personenbezogene Daten erhebt, speichert und teilt. Für ausländische Unternehmen greifen alle drei Gesetze, sobald Sie Daten in China verarbeiten oder von Ausland aus Personen in China ansprechen.
Wer muss sich halten? Die extraterritoriale Reichweite
Das PIPL gilt nicht nur für in China ansässige Einheiten, sondern auch für ausländische Verarbeiter, die (a) Personen in China Produkte oder Dienste anbieten oder (b) das Verhalten von Personen in China analysieren und bewerten. Ein ausländischer E-Commerce-Verkäufer, der an chinesische Verbraucher liefert, oder ein SaaS-Werkzeug, das ein China-Team nutzt, kann bereits ohne lokale Einheit in den Anwendungsbereich fallen. Deshalb muss die Markteintrittsplanung von Tag eins an einen Datenschutz-Arbeitsstrom enthalten.
Kernpflichten ausländischer Unternehmen
Ein konformes ausländisches Unternehmen sollte mindestens: (1) eine datenschutzrechtliche Erklärung auf Chinesisch veröffentlichen, die beschreibt, welche Daten und warum erhoben werden; (2) vor der Verarbeitung sensibler personenbezogener Daten eine wirksame Einwilligung einholen; (3) ein Datenverzeichnis und Verarbeitungsnachweise führen; (4) bei Überschreitung gesetzlicher Schwellenwerte einen Datenschutzbeauftragten benennen; (5) für risikoreiche Aktivitäten wie grenzüberschreitende Übermittlung oder Großverarbeitung eine Datenschutz-Folgenabschätzung (PIPIA) durchführen; und (6) Betroffenenrechte (Auskunft, Berichtigung, Löschung) beachten.
Grenzüberschreitende Datenübertragung: drei rechtliche Wege
Die Übermittlung personenbezogener Daten ins Ausland löst die Exportregeln des PIPL aus. Im Allgemeinen gibt es drei Optionen: (1) eine Sicherheitsbewertung durch die Cyberspace-Behörde (CAC), zwingend für wichtige Daten, für Verarbeiter mit mehr als einer Million betroffener Personen oder für sensible Daten von über 10.000 Personen; (2) Standardvertragsklauseln (SCC), die bei der provincialen CAC hinterlegt werden und sich für mittlere Übermittlungsvolumen eignen; (3) eine Zertifizierung durch eine von der CAC anerkannte Stelle. Seit 2024 haben mehrere Freihandelszonen “Negative Listen” veröffentlicht – fallen Ihre Daten nicht darunter, wird die Übermittlung stark vereinfacht. Der richtige Weg hängt von Datenmenge, Sensibilität und davon ab, ob Sie CII betreiben.
Cybersicherheit: MLPS 2.0 und CII
Neben dem Datenschutz müssen Netzbetreiber dem Mehrstufen-Schutzsystem (MLPS 2.0) folgen. Systeme werden nach Wichtigkeit eingestuft (Stufen 1–5); die meisten kommerziellen Systeme liegen in den Stufen 2–3 und erfordern Registrierung, Härtung und eine jährliche Überprüfung. Betreiber kritischer Informationsinfrastruktur tragen strengere Inlandsspeicher- und Übermittlungspflichten. Ausländische Unternehmen mit in China gehosteten Websites, Apps oder Backoffice-Systemen sollten die MLPS-Einstufung früh abschließen, um Startverzögerungen zu vermeiden.
Sanktionen und Vollzug
Verstöße können Warnungen, Einziehung unrechtmäßiger Erträge und Anordnungen zur Geschäftsunterbrechung nach sich ziehen. Schwerwiegende Verstöße werden mit Bußgeldern von bis zu 50 Millionen Renminbi oder 5 % des Vorjahresumsatzes geahndet, zuzüglich persönlicher Haftung der direkt verantwortlichen Leiter. Die Aufsichtsbehörden stimmen ihre Maßnahmen zunehmend über Behörden hinweg ab, und blockierte Datenübermittlungen können internationale Abläufe einfrieren.
Häufige Fragen
Müssen ausländische Unternehmen ohne China-Einheit die Regeln beachten?
Ja. Die extraterritoriale Reichweite des PIPL erfasst ausländische Verarbeiter, die Personen in China erreichen; möglicherweise müssen Sie einen lokalen Vertreter benennen.
Wann ist eine CAC-Sicherheitsbewertung nötig?
Bei Übermittlung wichtiger Daten, Verarbeitung von mehr als einer Million Personen oder Verarbeitung sensibler Daten von über 10.000 Personen. Kleinere Übermittlungen können SCC oder Zertifizierung nutzen.
Brauchen Sie einen lokalen Datenschutzbeauftragten?
Wenn das Verarbeitungsvolumen den Schwellenwert überschreitet oder Sie CII betreiben, ist ein Datenschutzbeauftragter (und bei ausländischen Verarbeitern ein lokaler Vertreter) zwingend.
Wie lange dauert eine CAC-Bewertung?
Die CAC-Prüfung hat offiziell bis zu 45 Werktage, doch Vorbereitung und provinciale Prüfung verlängern den Zeitplan meist auf mehrere Monate. Planen Sie früh.
Kann ich alles außerhalb Chinas speichern?
Nicht für in China erhobene personenbezogene Daten und wichtige Daten. Inlandspeicherung und Übermittlungsmechanismen sind vorgeschrieben; pauschale Auslagerung ist ein häufiger Verstoß.
Wie 泓盛澤 (Hongshengze) hilft
泓盛澤 (Hongshengze) unterstützt internationale Marken beim regelkonformen China-Eintritt. Neben WFOE und Markteintrittsgründung ordnen wir Ihre Datenflüsse, bereiten Datenschutzdokumente vor und stimmen den passenden Übermittlungsweg mit qualifizierten lokalen Kanzleien ab. Sprechen Sie mit uns, bevor Sie starten.