Arbeitsbereich

Leitfaden · Chinesische Verordnung

PIPL: Chinas Datengesetz einfach erklärt

Die PIPL ist das Gesetz zum Schutz personenbezogener Informationen im chinesischen Festland. Sie erfasst auch Unternehmen von außerhalb, die Dienste anbieten oder das Verhalten von Personen im Land analysieren, verlangt in mehreren Fällen eine gesonderte Einwilligung und sieht Bußgelder von bis zu 5 % des Umsatzes vor. Hier sehen Sie, was das für eine Website mit chinesischen Besuchern bedeutet.

Datenschutz meiner Website prüfenLeitfaden lesen
  • ✓Basiert auf der offiziellen Übersetzung des Gesetzes, veröffentlicht vom Nationalen Volkskongress
  • ✓Beispiele für Websites mit Anzeigen, auch aus Brasilien
  • ✓Lesen, ohne die Website zu verändern
50 Mio.Yuan oder bis zu 5 % des Umsatzes des Vorjahres: Höchstgrenze der Geldbuße in schweren Fällen
14Jahre: darunter sind die Daten des Kindes sensibel und erfordern die Einwilligung der Eltern
3Wege, Daten aus China zu senden: Sicherheitsprüfung, Standardvertrag oder Zertifizierung
2021Jahr, in dem das Gesetz am 1. November in Kraft trat

Was es ist

Chinas allgemeines Gesetz zu personenbezogenen Daten

Das Gesetz zum Schutz personenbezogener Informationen der Volksrepublik China, bekannt als PIPL, wurde am 20. August 2021 verabschiedet und trat am 1. November 2021 in Kraft. Es wirkt zusammen mit dem Cybersicherheitsgesetz und dem Datensicherheitsgesetz und gilt für das chinesische Festland. Hongkong und Macau haben eigene Gesetze.

Die Koordination der Aufsicht liegt bei der Cyberspace Administration of China, der CAC, die auch die ergänzenden Regeln veröffentlicht. Weitere Regierungsstellen kontrollieren in ihren Bereichen.

Das Gesetz gilt für die Datenverarbeitung innerhalb Chinas und auch außerhalb, wenn das Ziel ist, Personen im Land Produkte oder Dienste anzubieten oder ihr Verhalten zu analysieren und zu bewerten. Eine ausländische Website, die chinesische Besucher für Anzeigen profiliert, kann daher dem Gesetz unterliegen.

Von der PIPL erfasste Unternehmen von außerhalb müssen in China eine Stelle einrichten oder einen Vertreter benennen, der sich um den Datenschutz kümmert, und diese Kontaktdaten den Behörden mitteilen. Das Gesetz erlaubt der CAC außerdem, ausländische Organisationen, die die Rechte chinesischer Bürger verletzen, auf eine Beschränkungsliste zu setzen.

Checkliste

Was Sie erfüllen müssen

Was das PIPL von einer Website mit Anzeigen verlangt, die Daten von Personen auf dem chinesischen Festland verarbeitet.

  1. Vor der Verarbeitung informieren

    Informieren Sie vor der Verarbeitung der Daten in klarer Sprache darüber, wer Sie sind und wie man Sie kontaktiert, über die Zwecke, die Arten, die Datentypen, die Speicherdauer und wie man Rechte ausübt. Google verlangt außerdem, dass die Erklärung sagt, dass Dritte wie Google Cookies verwenden, um Anzeigen auszuspielen.

  2. Ausdrückliche und leicht widerrufbare Einwilligung

    Die Einwilligung muss freiwillig, ausdrücklich und informiert sein und muss erneut eingeholt werden, wenn sich der Zweck ändert. Die Person kann sie widerrufen, und die Website muss dafür einen einfachen Weg bieten. Bei Google-Tags kann der Consent Mode nur für China auf verweigert starten.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CN']
});

  3. Gesonderte Einwilligung für Partner

    Bevor Sie Daten an einen anderen Verarbeiter weitergeben, etwa einen Werbepartner, nennen Sie dessen Namen und Kontakt und holen Sie eine gesonderte Einwilligung ein.

    Beispiel

    Zulassen, dass unsere unten aufgeführten Werbepartner meine Daten erhalten: Ja oder Nein.

  4. Option ohne Personalisierung

    Marketing durch automatisierte Entscheidungen muss eine Option bieten, die die persönlichen Merkmale des Besuchers nicht nutzt, oder einen einfachen Weg zum Ablehnen.

  5. Sensible Daten und Personen unter 14 Jahren

    Sensible Daten erfordern eine gesonderte Einwilligung und eine Erklärung, warum sie nötig sind. Daten von Personen unter 14 Jahren erfordern die Einwilligung der Eltern oder Erziehungsberechtigten.

  6. Übermittlung außerhalb Chinas

    Informieren Sie, wer die Daten im Ausland erhält, über den Zweck und wie man Rechte ausübt, und holen Sie eine gesonderte Einwilligung ein. Nutzen Sie außerdem einen der Wege des Gesetzes, etwa Sicherheitsbewertung, Zertifizierung oder Standardvertrag.

  7. Folgenabschätzung

    Führen Sie die Bewertung durch, bevor Sie sensible Daten verarbeiten, automatisierte Entscheidungen nutzen, Daten weitergeben oder ins Ausland senden. Bewahren Sie den Bericht und die Aufzeichnungen mindestens drei Jahre auf.

  8. Vertreter in China

    Wenn die Website außerhalb Chinas liegt und das Gesetz sie erfasst, richten Sie im Land eine Stelle ein oder benennen Sie einen Vertreter und teilen Sie den Behörden die Kontaktdaten mit. Klären Sie mit Ihrer Rechtsabteilung, ob Ihre Website darunter fällt.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für China weder eine zertifizierte CMP noch hat es eine eigene Meldung dafür, daher sind die folgenden Links der offizielle Gesetzestext, die Regel der CAC und die Google-Seiten zur Einrichtung nach Region.

Definitionen

Die Begriffe, denen Sie begegnen werden

Die Namen erinnern an die DSGVO, aber der Inhalt jedes Begriffs weist wichtige Unterschiede auf.

Personenbezogene Information

Jede Information, die mit einer identifizierten oder identifizierbaren Person verbunden ist, elektronisch oder anders erfasst. Anonymisierte Daten sind ausgenommen.

Sensible Information

Biometrie, Religion, besondere Identitäten, Gesundheit, Finanzkonten, Standortverfolgung und alle Daten von Personen unter 14 Jahren.

Prozessor

Wer über Zweck und Art der Verarbeitung entscheidet, das Gegenstück zum Verantwortlichen der DSGVO. Wer in seinem Auftrag verarbeitet, ist der beauftragte Dritte.

Gesonderte Einwilligung

Eine eigene Einwilligung, nur für diese bestimmte Nutzung erteilt, die nicht mit der allgemeinen Zustimmung zu den Bedingungen oder zur Richtlinie vermischt wird.

Rechtsgrundlagen und Einwilligung

In China ist die Einwilligung die Regel

Die PIPL listet die Fälle auf, in denen die Verarbeitung erlaubt ist: Einwilligung, Erforderlichkeit für einen Vertrag oder die Personalverwaltung, Erfüllung einer gesetzlichen Pflicht, gesundheitliche Notlagen und Schutz des Lebens, journalistische Berichterstattung im öffentlichen Interesse und angemessene Nutzung bereits veröffentlichter Daten. Anders als DSGVO und LGPD gibt es keine Grundlage des berechtigten Interesses.

Deshalb ist für Anzeigen-Cookies, Zielgruppenprofile und Remarketing die Einwilligung der normale Weg. Sie muss freiwillig, ausdrücklich und in voller Kenntnis erteilt werden. Ändern sich Zweck, Art oder Datentyp, muss erneut gefragt werden. Die Person kann die Einwilligung jederzeit widerrufen, und die Website muss dafür einen einfachen Weg bieten.

Das Gesetz verlangt in bestimmten Fällen eine gesonderte Einwilligung: Daten an einen anderen Verarbeiter weitergeben, personenbezogene Daten veröffentlichen, sensible Informationen verarbeiten und Daten aus China senden. In der Praxis deckt eine allgemeine Zustimmung im Banner weder die Weitergabe an Werbepartner noch die internationale Übermittlung ab.

Für Marketing und Anzeigen auf Grundlage automatisierter Entscheidungen muss die Website außerdem eine Option anbieten, die die persönlichen Merkmale des Besuchers nicht nutzt, oder einen einfachen Weg zur Ablehnung. Daten von Personen unter 14 Jahren erfordern die Einwilligung der Eltern oder Erziehungsberechtigten und eigene Verarbeitungsregeln.

Rechte der Personen

Was der chinesische Besucher verlangen kann

Die Website muss einen praktischen Weg haben, Anfragen entgegenzunehmen, und einen Grund nennen, wenn sie eine ablehnt.

Wissen und entscheiden

Über die Verarbeitung informiert werden und darüber entscheiden, auch die Nutzung der eigenen Daten einschränken oder ablehnen.

Einsehen und kopieren

Die von der Website gespeicherten personenbezogenen Informationen einsehen und eine Kopie erhalten.

Übertragbarkeit

Verlangen, dass die Daten an einen anderen Verarbeiter übertragen werden, zu den von der CAC festgelegten Bedingungen.

Berichtigen und ergänzen

Die Berichtigung falscher Daten und die Ergänzung unvollständiger Daten verlangen.

Löschen

Die Löschung verlangen, wenn der Zweck erfüllt ist, die Einwilligung widerrufen wurde oder die Verarbeitung unrechtmäßig ist.

Erläuterung

Verlangen, dass die Website die Verarbeitungsregeln erklärt, und wichtige Entscheidungen ablehnen, die nur von einem automatisierten System getroffen werden.

Pflichten

Was eine Website, die der PIPL unterliegt, tun muss

  1. Vor der Verarbeitung informierenGeben Sie gut sichtbar und in klarer Sprache an, wer verantwortlich ist und wie man ihn erreicht, die Zwecke, die Arten der Verarbeitung, die Datentypen, die Speicherdauer und wie die Rechte ausgeübt werden. Die Richtlinie auf Chinesisch zu haben, hilft dem Besucher beim Verstehen.
  2. Die richtige Einwilligung einholenNutzen Sie einen Banner mit ausdrücklicher Zustimmung für Anzeigen-Cookies und holen Sie eine gesonderte Einwilligung für die Weitergabe an Partner, sensible Daten und die Übermittlung ins Ausland ein.
  3. Die Auswirkungen bewertenFühren Sie eine Folgenabschätzung durch, bevor Sie sensible Daten verarbeiten, automatisierte Entscheidungen nutzen, Daten an Dritte weitergeben oder aus China senden, und bewahren Sie die Dokumentation mindestens drei Jahre auf.
  4. Schützen und reagierenErgreifen Sie Sicherheitsmaßnahmen und leiten Sie bei einem Datenleck sofort Korrekturen ein und informieren Sie die Behörden und in der Regel die betroffenen Personen.
  5. Einen Vertreter benennenWenn die Website außerhalb Chinas liegt und vom Gesetz erfasst wird, richten Sie eine Stelle ein oder benennen Sie einen Vertreter im Land und teilen Sie die Daten den Behörden mit.
  6. Den Übermittlungsweg wählenUm Daten aus China zu senden, geben Sie Name und Kontakt des Empfängers im Ausland an, holen Sie eine gesonderte Einwilligung ein und nutzen Sie einen von drei Wegen: Sicherheitsprüfung der CAC, Standardvertrag oder Zertifizierung. Die Regeln vom März 2024 schufen Ausnahmen und Stufen nach Volumen. Die Zertifizierung gilt zum Beispiel für alle, die im Jahr nicht sensible Daten von 100.000 bis 1 Million Personen gesendet haben.

Durchsetzung und Strafen

Die Sanktionen der PIPL

Das Gesetz kombiniert Anordnungen zur Korrektur, Bußgelder für das Unternehmen und die verantwortlichen Personen sowie Auswirkungen auf die Bonitätshistorie.

Übliche Fälle

Anordnung zur Korrektur, Verwarnung, Einziehung unrechtmäßiger Gewinne und Aussetzung von Apps. Korrigiert das Unternehmen nicht, droht ein Bußgeld von bis zu 1 Million Yuan.

Schwere Fälle

Bußgeld von bis zu 50 Millionen Yuan oder bis zu 5 % des Umsatzes des Vorjahres, dazu Aussetzung der Tätigkeit und Entzug von Lizenzen.

Verantwortliche Personen

Führungskräfte und direkt Verantwortliche können in schweren Fällen 100.000 bis 1 Million Yuan zahlen müssen und für eine bestimmte Zeit von Leitungspositionen ausgeschlossen werden.

Öffentliche Historie

Verstöße werden in der Bonitätshistorie des Unternehmens erfasst und veröffentlicht, was bei Lizenzen und Verträgen in China ins Gewicht fällt.

Zeitleiste

Vom Gesetz zu den ergänzenden Regeln

Die PIPL wird seit ihrem Inkrafttreten durch Vorschriften der CAC weiter konkretisiert.

  1. 20. August 2021

    Gesetz verabschiedet

    Der Ständige Ausschuss des Nationalen Volkskongresses verabschiedet die PIPL.

  2. 1. November 2021

    Inkrafttreten

    Das Gesetz gilt für die Datenverarbeitung innerhalb und außerhalb Chinas.

  3. 1. September 2022

    Sicherheitsprüfung

    Die Regeln der CAC-Sicherheitsprüfung für den Versand von Daten ins Ausland treten in Kraft.

  4. 1. Juni 2023

    Standardvertrag

    Das offizielle Vertragsmuster für die internationale Übermittlung personenbezogener Daten tritt in Kraft.

  5. 22. März 2024

    Flexiblere Regeln

    Neue Regeln schaffen Ausnahmen und Stufen nach Volumen für den Versand von Daten ins Ausland.

  6. 1. Mai 2025

    Compliance-Audits

    Die Regeln für Audits zur Einhaltung des Schutzes personenbezogener Informationen treten in Kraft.

  7. 1. Januar 2026

    Zertifizierung

    Die Verordnung zur Zertifizierung tritt in Kraft, der letzte der drei Wege für die internationale Übermittlung.

Für alle mit AdSense oder Ad Manager

Was sich in der Praxis für die Einnahmen ändert

Google verlangt für China weder eine zertifizierte CMP noch das IAB TCF. Diese Anforderung gilt für den Europäischen Wirtschaftsraum, das Vereinigte Königreich und die Schweiz.

Trotzdem erhebt die Website über Cookies, Analytics und Pixel Daten chinesischer Besucher. Wenn sie das tut, um ihr Verhalten zu analysieren, fällt sie in den Anwendungsbereich der PIPL. Der sichere Weg ist, das chinesische Festland in der CMP als Region mit vorheriger Einwilligung zu behandeln, mit Banner mit ausdrücklicher Zustimmung und ohne dass vor der Auswahl etwas ausgelöst wird.

Stellen Sie sich eine brasilianische Importwebsite vor, die eine chinesische Seite hat, um Lieferanten anzuziehen. Das Kontaktformular erfasst Name, Firma und WeChat. Diese Website braucht eine klare Datenschutzerklärung, eine Einwilligung für die Datennutzung und besondere Sorgfalt, wenn sie die Kontakte an Partner weitergeben will.

Für die meisten Inhaltswebsites ist das praktische Ergebnis einfach: die CMP nach Region konfigurieren, eine vollständige Richtlinie pflegen und keine sensiblen Daten chinesischer Besucher erheben.

In der Praxis

Was bei chinesischen Besuchern erlaubt ist und was nicht

Alltagsbeispiele für Websites, die Publikum vom chinesischen Festland empfangen.

Erlaubt

  • Einen Einwilligungsbanner nur für Besucher vom chinesischen Festland zeigen, in der CMP nach Region konfiguriert
  • Anzeigen- und Analytics-Cookies nach ausdrücklicher Zustimmung laden
  • Nicht personalisierte Anzeigen für alle anbieten, die keine profilbasierten Anzeigen wollen
  • Unbedingt notwendige Cookies nutzen, etwa das, das die Auswahl im Banner speichert
  • In der Richtlinie gut sichtbar erklären, wer die Daten erhält und in welchen Ländern

Nicht erlaubt

  • Weiter zu surfen als Einwilligung werten
  • Im selben Klick die Zustimmung zu den Bedingungen und die Weitergabe an Partner vermischen
  • Genauen Standort oder Gesundheitsdaten ohne gesonderte Einwilligung erheben
  • Daten von Personen unter 14 Jahren ohne Einwilligung der Eltern erheben
  • Hongkong und Macau so behandeln, als folgten sie der PIPL

Häufige Fehler

Wo Websites am häufigsten ausrutschen

Häufige Fehler auf Websites mit chinesischem Publikum.

Auf das berechtigte Interesse setzen

Die PIPL kennt diese Grundlage nicht. Tracking für Anzeigen ohne Einwilligung bleibt ohne Rechtfertigung.

Eine Zustimmung für alles

Das Gesetz verlangt eine gesonderte Einwilligung für die Weitergabe an Dritte, sensible Daten und die Übermittlung ins Ausland. Eine einzige allgemeine Schaltfläche deckt diese Fälle nicht ab.

Vergessen, dass Standort sensibel ist

Die Verfolgung des individuellen Standorts ist eine sensible Information. Den genauen Standort nur zu erfragen, um lokale Inhalte zu zeigen, kann unnötig sein.

Glauben, dass wenig Traffic vom Gesetz befreit

Auch bei wenigen chinesischen Besuchern erfassen Cookies und Pixel weiter ihre Daten, und das Gesetz nennt kein Mindestvolumen für Hinweis und Einwilligung.

Richtlinie ohne Empfänger

Das Gesetz verlangt Name und Kontakt der Empfänger der Daten im Ausland. Allgemeine Texte genügen nicht.

Kein Kanal für Anfragen

Die Website muss Anfragen auf Auskunft, Berichtigung und Löschung entgegennehmen und erklären, wenn sie eine ablehnt.

In ConsentMode

Was die Prüfung für China kontrolliert

  • Öffnet die Website als Besucher vom chinesischen Festland und hält fest, ob der Banner erscheint und die Zustimmung ausdrücklich ist.
  • Listet Cookies, Pixel und Netzwerkanfragen vor und nach der Auswahl auf und zeigt, was vor der Einwilligung ausgelöst wird.
  • Erkennt die CMP am Seitencode und liest die an Google gesendeten Consent-Mode-Signale.
  • Prüft, ob die Datenschutzerklärung Verantwortlichen, Zwecke, Datentypen, Speicherdauer, Empfänger und Rechte nennt.
  • Prüft Formulare, die Standort, Gesundheit oder Daten von Minderjährigen abfragen.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Meine Website ist brasilianisch. Gilt die PIPL für mich?

Sie kann gelten, wenn die Website Personen auf dem chinesischen Festland Produkte oder Dienste anbietet oder ihr Verhalten analysiert, wie es das Tracking für Anzeigen tut. Bei Fragen zu Vertreter oder Übermittlung holen Sie lokalen Rechtsrat ein.

Was ist eine gesonderte Einwilligung?

Es ist eine eigene Zustimmung, nur für diese Nutzung, etwa die Weitergabe von Daten an Partner oder die Übermittlung ins Ausland. Sie darf nicht in der allgemeinen Zustimmung zu den Bedingungen versteckt sein.

Meine Website liegt in Brasilien. Gelten die Regeln zur internationalen Übermittlung für mich?

Sie wurden hauptsächlich für diejenigen gedacht, die Daten in China erheben und ins Ausland senden. Eine in Brasilien gehostete Website, die Daten direkt vom chinesischen Besucher erhebt, wird von der extraterritorialen Regel des Gesetzes erfasst, und die genaue Einordnung in die Übermittlungsregeln ist eine Auslegungsfrage, für die sich lokaler Rechtsrat lohnt.

Gilt die PIPL für Hongkong und Taiwan?

Nein. Die PIPL gilt für das chinesische Festland. Hongkong und Macau haben eigene Datenschutzgesetze, und auch Taiwan hat seines.

Wer überwacht das Gesetz?

Die Cyberspace Administration of China koordiniert die Aufsicht und erlässt ergänzende Regeln. Andere Stellen wirken in ihren Bereichen.

Können Bußgelder auch Personen treffen?

Ja. In schweren Fällen können Führungskräfte und direkt Verantwortliche 100.000 bis 1 Million Yuan zahlen müssen und für eine bestimmte Zeit von Leitungspositionen ausgeschlossen werden.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Sehen Sie, wie Ihre Website einen chinesischen Besucher behandelt

Die Prüfung öffnet die Website vom chinesischen Festland aus und zeigt, was vor der Einwilligung ausgelöst wird, ohne etwas zu ändern.

Audit starten