Neue Datensicherheitsgesetze in China

Das Gesetzessystem besteht aus drei Säulen mit unterschiedlichen Fokus:

Seit 1. Juni 2017 gilt das Cybersecurity Law in China. Es regelt, dass Unternehmen ihre relevanten Daten in China speichern müssen und diese nur unter besonderen Voraussetzungen exportieren dürfen. Das Gesetz richtet sich insbesondere an Netzwerkbetreiber und damit auch an in China tätige internationale Unternehmen (Multinational Corporation MNC/Foreign Direct Investments FDI).

Ab 1. September 2021 gilt in China das neue Datensicherheitsgesetz (Data Security Law – DSL). Es wurde am 10. Juni 2021 vom Ständigen Ausschuss des Nationalen Volkskongress in China verabschiedet.

Das Datensicherheitsgesetz führt eine neue Ebene der Komplexität in Chinas Rechtssystem ein. Mit der Einführung von Konzepten wie “key data" und “important data” und der Ankündigung strikter Sicherheitsmaßnahmen, weist das DSL bereits auf mögliche weitere unterstützende Regularien wie “Wichtige Datenkataloge” und ähnliche Regeln hin.

Seit 1. November 2021 ist das „Personal Information Protection Law“ in Kraft, das erste eigene Gesetz des Landes betreffend den Schutz von persönlichen Informationen. Es betrifft die Verarbeitung von persönlichen Informationen: Sammeln, speichern, nutzen, verarbeiten, übermitteln, bereitstellen, veröffentlichen und löschen von persönlichen Informationen. Das Gesetz beinhaltet auch eine extraterritoriale Anwendbarkeit und findet so Anwendung auch auf eine außerhalb Chinas stattfindende Verarbeitung von persönlichen Daten natürlicher Personen in China.

Oft wird das PIPL als die “chinesische Datenschutzgrundverordnung” bezeichnet, da es die Rechte individueller Daten schützt. Neben Gemeinsamkeiten, gibt es aber auch zahlreiche Unterschiede zur EU-Datenschutzgrundverordnung.