Neue chinesische Bestimmungen für kleine Datenverarbeiter

Unter "kleinen Verarbeitern persönlicher Daten" in China versteht Art. 2 Abs. 2 der Bestimmungen solche Verarbeiter, die personenbezogene Daten von weniger als 100.000 Personen verarbeiten.

Die neuen Bestimmungen führen insbesondere das chinesische Gesetz zum Schutz persönlicher Informationen (Personal Information Protection Law - PIPL; vgl. Art. 62 Nr. 2 PIPL) und die Regelungen zur Verwaltung der Netzwerkdatensicherheit näher aus und sollen nach ihrem Art. 1 die innovative Entwicklung kleiner und mittlerer Unternehmen fördern.

In den neuen Bestimmungen ist für kleine Verarbeiter unter anderem Folgendes zur Vereinfachung vorgesehen:

Gemäß Art. 4 der Bestimmungen müssen kleine Datenverarbeiter grundsätzlich lediglich über folgende Punkte informieren: Name des Verarbeiters, verantwortliche Stelle für Anfragen von betroffenen Personen und deren Kontaktdaten sowie Verarbeitungszwecke und -methoden, Kategorien der verarbeiteten personenbezogenen Daten und Speicherfristen. Werden persönliche Daten offline gesammelt, können zur Offenlegung der Verarbeitungsregeln Datenschutzmitteilungen an prominenter Stelle in den Geschäftsräumen ausgehangen werden.

Haben kleine Verarbeiter ihre Verarbeitungsregeln entsprechend offengelegt und ihre Informationspflichten erfüllt, dürfen sie die notwendigen personenbezogenen Daten einer Person, die diese freiwillig bereitstellt, um Produkte oder Dienstleistungen zu erhalten, danach verarbeiten. Bezüglich sensibler Daten ist allerdings weiter insbesondere die separate Einwilligung der Person erforderlich (vgl. Art. 7 der Bestimmungen).

Artikel 10 der Bestimmungen listet bestimmte Fälle auf, in denen kleine Datenverarbeiter, die personenbezogene Daten (außer wichtige Daten) ins Ausland exportieren, neben der Notwendigkeit keine der sonst für den grenzüberschreitenden Transfer nötigen Bedingungen - Sicherheitsbewertung, Standardvertrag oder Zertifizierung - erfüllen müssen.

Diese im Wesentlichen bereits bekannten Fallgruppen sind nach Art. 10 der Bestimmungen unter anderem:

• Vertragsabschlüsse und -erfüllungen wie grenzüberschreitende Einkäufe oder Hotelbuchungen;
• grenzüberschreitendes Personalmanagement;
• Schutz von Leben, Gesundheit und Sicherheit der Person im Notfall;
• Erfüllung gesetzlicher Verpflichtungen;
• Verarbeiter, die keine Betreiber kritischer Informationsinfrastrukturen sind und seit 1. Januar des laufenden Jahres insgesamt personenbezogene Daten (ohne sensible Daten) von unter 100.000 Personen ins Ausland transferiert haben.

Informationspflichten und die Einholung der individuellen Einwilligung sind weiterhin zu erfüllen. Ist eine Sicherheitsbewertung erforderlich, kann bei kleinen Verarbeitern künftig zunächst die lokale Cyberspace-Behörde auf Provinzebene eine Empfehlung erarbeiten, die sie an die Cyberspace Administration of China (CAC) weitergibt.

Kleine Datenverarbeiter haben nach Art. 13 der Bestimmungen mindestens alle fünf Jahre anstelle eines großen Compliance-Audits lediglich eine vereinfachte Selbstbewertung vorzunehmen. Hierfür findet sich eine Liste mit 24 Punkten auf Chinesisch in Anhang 1 der Bestimmungen. Liegt eine gültige Zertifizierung vor, sind nach Art. 17 Abs. 2 der Bestimmungen Ausnahmen von den Audit-Anforderungen möglich.

Des Weiteren können gemäß Art. 14 der Bestimmungen kleine Verarbeiter Datenschutz-Folgenabschätzungen nach einem vereinfachten einseitigen Formular in Anhang 2 der Bestimmungen (ebenfalls auf Chinesisch) durchführen.

Ferner sind auch mildere Sanktionen bei Verstößen durch kleine Datenverarbeiter vorgesehen (siehe Art. 18 und 19 der Bestimmungen).

Nach ihrem Art. 22 werden die neuen Bestimmungen am 1. September 2026 in Kraft treten.

Zum Thema: 

• CAC und Ministry of Public Security: "Provisions on Simplified Measures for Personal Information Protection for Small-Scale Personal Information Processors" vom 22. Juli 2026 auf Chinesisch