Ein 15-Schritte-Leitfaden für Datenschutz, Privatsphäre und Cybersicherheit in China

Seit das Cybersicherheitsgesetz der VRC (CSL) am 1. Juni 2017 in Kraft getreten ist, hat China seine Gesetzgebung zum Datenschutz und zur Cybersicherheit beschleunigt. Die Durchsetzung hat sich allmählich normalisiert. Unterdessen stärkt das wegbereitende Zivilgesetzbuch – das ab nächstem Jahr gilt – den Schutz der Privatsphäre aus zivilrechtlicher Perspektive weiter. Insgesamt entwickelt sich China weltweit zu einer der wichtigsten Jurisdiktionen für Datenschutz und Privatsphäre.

Dieser Artikel bietet einen Überblick über Fragen des Datenschutzes, der Privatsphäre und der Cybersicherheit, die für in China tätige Unternehmen häufig und von Bedeutung sind. Wir hoffen, Unternehmen – insbesondere multinationale Konzerne – dabei zu unterstützen, sich in dem zunehmend komplexen Regulierungsrahmen auf diesem Gebiet zurechtzufinden.

1. Das zunehmend umfassende Rechtssystem verstehen

China verfügt über kein einzelnes, einheitliches Datenschutzgesetz. Vielmehr besteht der rechtliche Rahmen für den Datenschutz aus einem Flickenteppich fragmentierter Regeln aus verschiedenen Gesetzen, Massnahmen und branchenspezifischen Vorschriften mit gewissen Überschneidungen. Das CSL ist das erste nationale Gesetz, das den Schutz der Privatsphäre und die Datensicherheit regelt. Es bestehen jedoch nach wie vor einige Unsicherheiten bezüglich der Anwendung des Gesetzes. Zudem wurden von den Behörden Verwaltungsvorschriften, ministerielle Regeln und nationale Standards eingeführt, um die Umsetzung des Gesetzes zu unterstützen. Es wurden immer mehr nationale Standards eingeführt, darunter die Personal Information Security Specification. Solche Standards stellen empfohlene Best Practices dar und sind nicht rechtsverbindlich. Dennoch haben sich die Strafverfolgungs- und Aufsichtsbehörden stark an diesen Standards orientiert, um das CSL durchzusetzen. Da zudem das Gesetz zum Schutz personenbezogener Informationen und das Datensicherheitsgesetz ausgearbeitet werden, wird erwartet, dass das chinesische Datenschutzrechtssystem zunehmend gründlicher wird.

2. Umfassende Regulierungsbehörden

Die öffentlich-rechtliche Durchsetzung in China weist eine polyzentrische Landschaft auf, da es keine einzelne Datenschutz- oder Cybersicherheitsbehörde gibt. Speziell die vier wichtigsten involvierten Behörden sind die Cyberspace Administration of China (CAC), das Ministerium für Industrie und Informationstechnologie, das Ministerium für öffentliche Sicherheit und die Staatsverwaltung für Marktregulierung sowie deren lokale Gegenstücke. Darüber hinaus übernehmen Branchenbehörden wie die Nationale Gesundheitskommission die Überwachung und Verwaltung des Datenschutzes in ihren jeweiligen Bereichen.

3. App-Betrieb und Datenschutzrichtlinie

In China ist es erforderlich, in einer Anwendung eine Datenschutzrichtlinie vorzuweisen, wenn diese personenbezogene Daten erhebt. Seit Anfang 2019 führen die CAC und die drei anderen Hauptbehörden eine Sonderaktion («APP-Razzia») gegen die illegale Erhebung und Nutzung personenbezogener Daten durch Apps durch. Sie haben eine spezielle Arbeitsgruppe eingerichtet und mehrere neue Richtlinien herausgegeben. Derzeit haben sich die Durchsetzungsmassnahmen gegen Verletzungen personenbezogener Daten durch Apps allmählich normalisiert und dürften auf absehbare Zeit aktiv bleiben. Multinationalen Unternehmen wird daher geraten, sicherzustellen, dass ihre Apps den einschlägigen Gesetzen und Richtlinien entsprechen.

4. Multi-Level Protection 2.0

Das Multi-Level Protection Scheme verlangt, dass Netzwerke je nach ihrer Bedeutung und der Schwere des im Falle einer Beschädigung entstehenden Schadens unterschiedliche Schutzgrade aufweisen. Seit 2017 schreibt das CSL vor, dass China mehrstufige Cybersicherheitsschutzmassnahmen umsetzt. Dies bedeutete den Aufeingang zu «Multi-Level Protection 2.0». Unter diesem System traten 2019 drei wichtige nationale Standards in Kraft. Netzbetreiber sind verpflichtet, sich bei den Regulierungsbehörden für die Multi-Level-Protection-Registrierung einzureichen. Die entsprechenden Durchsetzungsmassnahmen bei Nichtbeachtung der Registrierungspflicht nehmen zu und sollten beachtet werden.

5. Bestimmung von CIIO

Gemäss dem CSL unterliegen Betreiber kritischer Informationsinfrastrukturen (CIIOs) höheren Cybersicherheitsanforderungen und strengeren Beschränkungen für den grenzüberschreitenden Datentransfer im Vergleich zu allgemeinen Netzbetreibern. Unterdessen sieht das CSL vor, dass sich kritische Informationsinfrastruktur (CII) auf Netzwerke oder Systeme bezieht, die öffentliche Kommunikations- und Informationsdienste, Energie, Verkehr, Wasserressourcen, Finanzen, öffentliche Dienstleistungen und E-Government-Angelegenheiten betreffen. Sie sollten vor «Schäden, Funktionsstörungen oder Datenlecks schützen, die die nationale Sicherheit, die Volkswirtschaft und das Wohlergehen der Bevölkerung oder öffentliche Interessen schwer gefährden können». Da diese Definitionen jedoch recht allgemein gehalten sind, werden spezifische Regeln zur CII/CIIO-Bestimmung in Zukunft voraussichtlich weiter präzisiert.

6. Datenlokalisierung und grenzüberschreitender Datentransfer

Gemäss Artikel 37 des CSL tragen CIIOs eine Verpflichtung zur Datenlokalisierung, wonach wichtige Daten und personenbezogene Informationen, die während des Betriebs der CIIOs in China erhoben und generiert werden, in China gespeichert werden müssen. Müssen solche Daten zu Geschäftszwecken ins Ausland übermittelt werden, ist gemäss den einschlägigen Vorschriften eine Sicherheitsbewertung durchzuführen. Im Anschluss an das CSL wurden drei Entwürfe von Ergänzungsverordnungen und Richtlinien herausgegeben, die den Anwendungsbereich der Sicherheitsbewertung von CIIOs auf allgemeine Netzbetreiber ausweiten. Bisher wurde jedoch keiner davon finalisiert. Ausserdem sind branchenspezifische Beschränkungen für Datenexporte beim Umgang mit besonderen Kategorien von Daten wie «humanen genetischen Ressourcen» zu beachten.

7. Datenschutz-Folgenabschätzung und Geschäftsinnovation

Ähnlich wie die Datenschutz-Folgenabschätzung und Privacy by Design unter der EU-Datenschutz-Grundverordnung führt Chinas nationaler Standard Personal Information Security Specification (PISS) Mechanismen für eine «Folgenabschätzung für die Sicherheit personenbezogener Informationen» und ein «Projekt zur Sicherheit personenbezogener Informationen» ein. Solche Mechanismen verlangen von Unternehmen, die möglichen Auswirkungen auf personenbezogene Informationen im Voraus zu bewerten. Sie sollten den Datenschutz in ihre Geschäftsinnovationen integrieren, damit potenzielle Datenschutzrisiken frühzeitig erkannt und gelöst werden können. Bemerkenswerterweise haben solche nationalen Standards keine Rechtskraft, aber die Bezugnahme darauf ist in der Praxis von hoher Bedeutung.

8. Datenschutzbeauftragte und Data Governance

Obwohl das Konzept eines Datenschutzbeauftragten im chinesischen Recht kein identisches Gegenstück hat, fordern die einschlägigen Gesetze und Vorschriften «Datensicherheitsfunktionen». Beispielsweise verlangt das CSL die Benennung einer «für Netzwerksicherheit verantwortlichen Person». In ähnlicher Weise verlangen die Bestimmungen zum Schutz von Online-Daten von Kindern die Benennung einer «für den Schutz personenbezogener Informationen von Kindern verantwortlichen Person». Zudem präzisiert die neueste PISS, die am 1. Oktober 2020 in Kraft getreten ist, die Anforderungen und Kriterien für die Benennung einer Abteilung und von Personal, die für den Schutz personenbezogener Informationen verantwortlich sind, sowie deren Aufgaben.

9. Globales IT-Beschaffungswesen und lokale Anpassung

Bei der globalen IT-Beschaffung sollte den Serverstandorten von Netzwerkprodukten und -diensten besondere Aufmerksamkeit geschenkt werden, da diese grenzüberschreitende Datenübertragungen beinhalten können. Wenn ein Unternehmen ein CIIO ist, müssen darüber hinaus noch strengere Anforderungen eingehalten werden. Das CSL verlangt, dass jeglicher Kauf von Netzwerkprodukten und -diensten durch CIIOs, der die nationale Sicherheit beeinträchtigen könnte, einem Sicherheitsüberprüfungsverfahren unterliegt. Die Massnahmen zur Überprüfung der Cybersicherheit – in Kraft seit dem 1. Juni 2020 – erläutern den Anwendungsbereich, das Verfahren und die Faktoren solcher Cybersicherheitsüberprüfungen.

10. Reaktion auf Datenpannen und Cybersicherheitsvorfälle

Das CSL verlangt von Netzbetreibern die Entwicklung eines Notfallreaktionsplans für Cybersicherheitsereignisse. Sie müssen umgehend auf Sicherheitsrisiken wie Systemfehler, Computerviren, Netzwerkangriffe und Eindringversuche reagieren. Im Falle einer drohenden Verletzung der Cybersicherheit hat der betroffene Betreiber unverzüglich den Notfallplan zu aktivieren und entsprechende Abhilfemassnahmen zu ergreifen. Er hat das Ereignis ausserdem der zuständigen Behörde zu melden. Auf dieser Grundlage haben CIIOs zudem regelmässige Notfallübungen zur Cybersicherheit zu organisieren. Darüber hinaus sieht ein Entwurf einer CII-Verordnung vor, dass die zuständigen Behörden der Branchen und Sektoren ihre Warn- und Informationsmeldesysteme sowie Notfallreaktionspläne für CIIs einrichten. Daher müssen CIIOs auch die entsprechenden Anforderungen der Branchenbehörden beachten.

11. Branchenspezifische Regulierung

Das CSL und seine begleitenden Verordnungen sind grundsätzlich für alle Lebensbereiche anwendbar. Verschiedene Branchen können jedoch aufgrund ihrer jeweiligen Eigenschaften unterschiedliche Schwerpunkte setzen, insbesondere solche, die sensible Informationen verarbeiten. Beispielsweise müssen im Gesundheitswesen pharmazeutische Daten, Krankenakten und andere gesundheitsbezogene Daten gemäss den relevanten Abteilungsregeln geschützt werden. In ähnlicher Weise verfügen das Finanzwesen, das Bildungswesen, der Transportsektor und andere Branchen über eigene sektorale Vorschriften zum Datenschutz, die von den Unternehmen der jeweiligen Branchen einzuhalten sind.

12. Strafrechtliche Durchsetzung des Datenschutzes

Die Verletzung personenbezogener Informationen von Bürgern kann strafrechtliche Konsequenzen nach sich ziehen. Das fehlbare Unternehmen kann mit einer Busse belegt werden, und direkt verantwortliche Personen können zu bis zu sieben Jahren Freiheitsstrafe oder Bussen sowie lebenslangen Verboten der Ausübung bestimmter Schlüsselpositionen verurteilt werden. Daher sollten wirksame Compliance-Richtlinien eingeführt und umgesetzt werden, um Unternehmensverhalten von individuellem Verhalten der Mitarbeitenden zu unterscheiden. Ausserdem verankert das chinesische Strafrecht die «Weigerung, die Pflichten der Sicherheitsverwaltung von Informationsnetzwerken zu erfüllen» als Straftatbestand, unter dem die Nichterfüllung relevanter Pflichten, wie etwa die Multi-Level-Protection-Registrierung, zu Bussen gegen das Unternehmen führen kann. Direkt verantwortliche oder leitende Personen können zu einer Freiheitsstrafe von nicht mehr als drei Jahren, Detension oder öffentlicher Überwachung und Bussen verurteilt werden.

13. Unternehmenshaftung und Risiken für das obere Management

Gemäss dem CSL kann die Nichteinhaltung der relevanten Datenschutz- und Cybersicherheitsanforderungen zu strengen Verwaltungsstrafen sowohl für Unternehmen als auch für direkt verantwortliche Personen führen. Konkret kann das fehlbare Unternehmen verwarnt und zur Mängelbehebung aufgefordert werden; rechtswidrige Gewinne können eingezogen werden; es kann zur Einstellung des Geschäftsbetriebs, zur Abschaltung der Website und/oder zum Entzug der Geschäftslizenz kommen; zudem droht eine Busse von bis zu 1 Mio. RMB (ca. USD 146,200). Darüber hinaus werden solche Strafen in der Kreditakte des Unternehmens vermerkt und öffentlich gemacht. Unterdessen können direkt verantwortliche Personen verwarnt, festgenommen, mit einer Busse von bis zu 100,000 RMB (USD 14,620) belegt und für bis zu fünf Jahre von Schlüsselpositionen im Bereich der Cybersicherheit ausgeschlossen werden.

14. Big Data und Wettbewerb

Daten wurden auf nationaler Ebene als Produktionsfaktor anerkannt, und das Konzept von Datenwerten ist weitgehend akzeptiert. Unternehmen konkurrieren heute um Datenwerte, und die Kämpfe um Daten werfen rechtliche Fragen hinsichtlich Eigentum und Wettbewerbsrecht auf. Obwohl die entsprechenden Gesetze hinterherhinken, wurden in der Praxis bereits absehbar werdende Regeln erarbeitet, um die Grenzen dessen zu definieren, was mit Datenwerten getan werden darf und was nicht. Dazu gehören Einschränkungen der Nutzung von Web-Crawler-Technologie in Zivilprozessen. Es wird erwartet, dass die traditionellen Regeln im Rahmen der bestehenden Wettbewerbsgesetze und -vorschriften künftig angepasst und aktualisiert werden, um auf den digitalen Bereich angewendet zu werden.

15. Private Rechtsdurchsetzung und kollektiver Rechtsschutz

Zivilprozesse sind für grosse Unternehmen stets eine mächtige Waffe, nicht zuletzt, wenn es um Daten geht. In den letzten Jahren haben sich aufgrund des steigenden Bewusstseins für die Bedeutung des Schutzes personenbezogener Daten immer mehr Einzelpersonen bereit erklärt, Fälle vor Gericht zu bringen. Dies macht Daten-Compliance dringlicher denn je. Bemerkenswerterweise Klagen im öffentlichen Interesse (PIL) gemäss dem Verbraucherschutzgesetz der VR China haben sich etabliert, um kollektiven Rechtsschutz zu erwirken. Obwohl PILs beim Datenschutz zahlenmässig noch in den Kinderschuhen stecken, wird prognostiziert, dass ihre Zahl mit der Entwicklung des chinesischen Datenschutzregimes weiter steigen wird.
Fazit und Ausblick
Die Covid-19-Pandemie hat die digitale Transformation der meisten Branchen beschleunigt. Unternehmen können daher mit intensiven Compliance-Fragen bezüglich des Datenschutzes konfrontiert sein. Wir empfehlen daher eine umfassende Überprüfung, um potenzielle Risiken frühzeitig zu erkennen und zu vermeiden. Mit der künftigen Verkündung des Personal Information Protection Law und des Data Security Law stehen Unternehmen möglicherweise vor noch grösseren Herausforderungen bezüglich Daten-Compliance. Es ist an der Zeit, Chinas Datenschutz- und Cybersicherheits- gesetze ernster als je zuvor zu nehmen.
Bild: kaboompics, Pixabay-Lizenz.