Frist und Verfahren für Stellungnahmen

Stellungnahmen müssen der CAC bis 7. September 2026 vorliegen. Sie können per E-Mail an shujuju@cac.gov.cn oder postalisch an das Büro für Netzwerkdatenverwaltung der CAC geschickt werden: 15 Fucheng Road, Bezirk Haidian, Peking 100048. Bei postalischen Einsendungen soll der Umschlag mit dem Hinweis auf die Konsultation gekennzeichnet werden.

Da es sich um einen Entwurf zur öffentlichen Anhörung handelt, sollten Unternehmen die Vorgaben als geplante und nicht als endgültige Compliance-Pflichten behandeln. Artikel 50 enthält noch kein Inkrafttretensdatum.

Wer könnte als großer Datenverarbeiter gelten?

Der Entwurf sieht keine Einstufung allein anhand einer festen Nutzerzahl vor. Stattdessen soll eine umfassende Bewertung erfolgen. Zu den relevanten Kriterien gehören, ob eine Organisation:

• personenbezogene Daten von mehr als 10 Millionen natürlichen Personen verarbeitet;
• wichtige Online-Dienste mit Verarbeitung personenbezogener Daten anbietet oder mehrere einschlägige Geschäftsbereiche betreibt; und
• erhebliche Auswirkungen auf die nationale Sicherheit, den wirtschaftlichen Betrieb, die soziale Stabilität, die öffentliche Gesundheit oder die Sicherheit hat.

Organisationen, die Daten von mehr als 10 Millionen Menschen verarbeiten, sowie solche, die nach eigener Einschätzung die weiter gefassten Kriterien erfüllen, müssten bei der CAC auf Provinzebene eine Einstufung beantragen. Die nationale CAC würde gemeinsam mit anderen zuständigen Behörden die Liste der großen Datenverarbeiter festlegen und veröffentlichen. Behörden könnten außerdem Organisationen, die offenbar die Voraussetzungen erfüllen, aber keinen Antrag gestellt haben, zur Einleitung des Verfahrens auffordern.

Damit könnten auch besonders einflussreiche Plattformen in den Anwendungsbereich fallen, wenn ihre Bedeutung und ihre Auswirkungen über die reine Zahl der Nutzer hinausgehen.

Mögliche Beschränkungen für ausländische Organisationen und Personen

Der Entwurf würde der nationalen Cyberspace-Aufsicht ermöglichen, ausländische Organisationen oder Personen öffentlich zu listen, deren Verarbeitung personenbezogener Daten die Rechte chinesischer Bürger verletzt oder Chinas nationale Sicherheit beziehungsweise öffentliche Interessen gefährdet. Für gelistete Empfänger könnten Beschränkungen oder Verbote beim Erhalt personenbezogener Daten aus China gelten.

Das wäre eine mögliche Compliance-Folge nicht nur für die chinesische Plattform, die Daten übermittelt, sondern auch für den Empfänger im Ausland. Die Risikoprüfung grenzüberschreitender Datenströme würde dadurch über eine herkömmliche Datenschutzprüfung hinausgehen.

Verarbeitung und Einwilligung

Betroffene große Datenverarbeiter müssten personenbezogene Daten nach den Grundsätzen der Rechtmäßigkeit, Angemessenheit, Erforderlichkeit und Redlichkeit verarbeiten. Die Erhebung wäre auf die für das jeweilige Produkt oder die jeweilige Dienstleistung erforderlichen Daten zu begrenzen und dürfte nicht übermäßig sein.

Wenn die Einwilligung die Rechtsgrundlage bildet, wäre für mehrere risikoreichere Verarbeitungsvorgänge eine gesonderte Einwilligung erforderlich, darunter:

• die Weitergabe von Informationen an einen anderen Datenverarbeiter;
• die Bereitstellung von Informationen außerhalb Chinas;
• die Veröffentlichung von Informationen; und
• die Verarbeitung sensibler personenbezogener Daten.

Eine Änderung des Zwecks, der Methode oder der Kategorien der Verarbeitung würde eine erneute Einwilligung erfordern. Außerdem soll es für betroffene Personen eine unkomplizierte Möglichkeit geben, ihre Einwilligung zurückzuziehen.

Für Kinder unter 14 Jahren wäre die Einwilligung eines Elternteils oder eines anderen gesetzlichen Vormunds nötig. Dafür müssten die Plattformen ein leicht zugängliches Verfahren zur Erteilung und zum Widerruf dieser Einwilligung bereitstellen.

Speicherung in China und Vorgaben für Rechenzentren

Personenbezogene Daten, die im Rahmen von Aktivitäten in China erhoben oder erzeugt werden, müssten innerhalb Chinas gespeichert werden. Das Rechenzentrum müsste sich in China befinden und die geltenden nationalen Vorgaben und Standards erfüllen. Der gesetzliche Vertreter oder die tatsächlich kontrollierende Person der Betreiberorganisation müsste zudem chinesischer Staatsbürger sein.

Auch die Betreiber der Rechenzentren würden eigene Pflichten erhalten. Sie müssten interne Kontrollmechanismen und Pläne für den Umgang mit Sicherheitsvorfällen unterhalten, Schwachstellen erkennen und beheben, die Plattform sowie Behörden gegebenenfalls informieren und bei der Reaktion auf Datenschutzverletzungen unterstützen.

Für Unternehmen, die externe Infrastruktur- oder Cloud-Anbieter nutzen, würden damit die Auswahl des Rechenzentrums, Vertragsgestaltung und laufende Kontrolle zu zentralen Bestandteilen des Datenschutzprogramms – und nicht bloß zu technischen oder einkäuferischen Fragen.

Grenzüberschreitende Übermittlungen blieben möglich, aber eingeschränkt

Die Pflicht zur Speicherung in China würde nicht automatisch jede Übermittlung ins Ausland ausschließen. Der Entwurf lässt grenzüberschreitende Bereitstellungen zu, wenn sie für das Geschäft tatsächlich erforderlich sind. Dafür müssten Unternehmen jedoch die einschlägigen chinesischen Exportmechanismen einhalten und die erforderliche gesonderte Einwilligung einholen.

In der Praxis müssten große Datenverarbeiter daher klar zwischen der Speicherung in China und der Weitergabe an einen Empfänger im Ausland unterscheiden. Die Speicherung im Inland wäre der Ausgangspunkt; die Auslandsübermittlung würde zusätzliche rechtliche und verfahrensbezogene Kontrollen auslösen.

Mehr Verantwortung auf Führungsebene und regelmäßige Berichte

Der Entwurf verlangt eine stärker formalisierte Datenschutzorganisation. Dazu gehört eine oder ein Datenschutzverantwortlicher für den Schutz personenbezogener Daten aus dem Senior Management. Berichte zum Entwurf nennen dafür unter anderem chinesische Staatsangehörigkeit, keinen ausländischen Daueraufenthaltsstatus oder langfristigen Aufenthaltstitel sowie Fachkenntnisse und einschlägige Erfahrung im Datenschutz.

Weitere geplante Governance-Maßnahmen sind:

• unmittelbar zugeordnete Compliance-Strukturen und klar verteilte Verantwortlichkeiten;
• regelmäßige Datenschutz-Folgenabschätzungen;
• wiederkehrende Compliance-Prüfungen;
• die Überwachung von Verarbeitungsvorgängen und Sicherheitslücken;
• Verfahren zur Risikoerkennung und -behebung;
• wirksame Kanäle für Beschwerden und die Ausübung individueller Rechte; sowie
• ein jährlich zu veröffentlichender Bericht zur gesellschaftlichen Verantwortung beim Schutz personenbezogener Daten.

Der Entwurf betont außerdem besondere Schutzmaßnahmen für Minderjährige, darunter praktikable Verfahren für die Zustimmung und den Widerruf durch Eltern oder Vormunde.

Unabhängige Aufsichtsausschüsse wären der größte strukturelle Einschnitt

Jeder betroffene Datenverarbeiter müsste einen Ausschuss für die Datenschutzaufsicht einrichten. Dieser soll die Verarbeitung personenbezogener Daten unabhängig überwachen.

Der geplante Ausschuss müsste:

• aus einer ungeraden Zahl von Mitgliedern bestehen;
• mindestens sieben Mitglieder haben;
• entsprechend der Größe des Geschäfts und der Nutzerbasis besetzt sein;
• zu mindestens zwei Dritteln aus externen Mitgliedern bestehen; und
• von einem externen Mitglied geleitet werden, das über ausgeprägte Fähigkeiten in der Prüfung der Datenschutz-Compliance verfügt.

Die externen Mitglieder müssten unabhängig, angesehen und in einschlägiger Compliance-Arbeit erfahren sein. Grundsätzlich dürften sie gleichzeitig für höchstens drei große Datenverarbeiter tätig sein.

Zu den Aufgaben des Ausschusses würden die Überwachung der Compliance und wesentlicher Datenschutzfragen, die Prüfung von Richtlinien und risikoreichen Verarbeitungsvorgängen, die Abgabe von Stellungnahmen oder Empfehlungen sowie die Unterstützung von Berichtswesen und Rechenschaftsstrukturen gehören. Das Unternehmen müsste dem Ausschuss ausreichende Ressourcen für seine Arbeit zur Verfügung stellen.

Damit ginge der Vorschlag deutlich über die bloße Ernennung einer Datenschutzbeauftragten oder eines Datenschutzbeauftragten hinaus. Er würde eine eigenständige, mehrheitlich extern besetzte Aufsichtsebene schaffen und Datenschutz-Governance fest in der Verantwortungsstruktur großer Organisationen verankern.

Was potenziell betroffene Unternehmen jetzt prüfen sollten

Kurzfristig sollten Unternehmen zunächst bewerten, ob sie entweder den Schwellenwert bei der Zahl betroffener Personen oder die weiter gefassten Kriterien zu Bedeutung und Auswirkungen erfüllen könnten. Anschließend können sie vor Ablauf der Frist am 7. September Stellungnahmen vorbereiten. Unternehmen mit möglichem Anwendungsbereich sollten außerdem mindestens folgende Punkte erfassen:

1. die Zahl und Kategorien der Personen, deren Daten verarbeitet werden;
2. die wichtigsten Dienste, Geschäftsbereiche und möglichen Auswirkungen auf öffentliche Interessen;
3. die Speicherorte chinesischer personenbezogener Daten und die Kontrolle über die betreffenden Rechenzentren;
4. Einwilligungsprozesse für sensible Daten, Weitergaben, Veröffentlichungen und Exporte;
5. Mechanismen für grenzüberschreitende Übermittlungen und die Empfänger im Ausland;
6. Zuständigkeiten des Senior Managements und Prüfungsstrukturen; sowie
7. die erforderliche Unabhängigkeit, Zusammensetzung und Ressourcenausstattung des Aufsichtsausschusses.

Der Entwurf kann noch geändert werden. Die Stoßrichtung ist jedoch klar: China erwägt ein System, das die größten und gesellschaftlich relevantesten Datenverarbeiter mit strengeren betrieblichen Kontrollen, Infrastruktur im Inland, Verantwortung auf Führungsebene und externer Datenschutzaufsicht belegen würde.

Frist und Verfahren für Stellungnahmen

Stellungnahmen müssen der CAC bis 7. September 2026 vorliegen. Sie können per E-Mail an shujuju@cac.gov.cn oder postalisch an das Büro für Netzwerkdatenverwaltung der CAC geschickt werden: 15 Fucheng Road, Bezirk Haidian, Peking 100048. Bei postalischen Einsendungen soll der Umschlag mit dem Hinweis auf die Konsultation gekennzeichnet werden.

Da es sich um einen Entwurf zur öffentlichen Anhörung handelt, sollten Unternehmen die Vorgaben als geplante und nicht als endgültige Compliance-Pflichten behandeln. Artikel 50 enthält noch kein Inkrafttretensdatum.

Wer könnte als großer Datenverarbeiter gelten?

Der Entwurf sieht keine Einstufung allein anhand einer festen Nutzerzahl vor. Stattdessen soll eine umfassende Bewertung erfolgen. Zu den relevanten Kriterien gehören, ob eine Organisation:

• personenbezogene Daten von mehr als 10 Millionen natürlichen Personen verarbeitet;
• wichtige Online-Dienste mit Verarbeitung personenbezogener Daten anbietet oder mehrere einschlägige Geschäftsbereiche betreibt; und
• erhebliche Auswirkungen auf die nationale Sicherheit, den wirtschaftlichen Betrieb, die soziale Stabilität, die öffentliche Gesundheit oder die Sicherheit hat.

Organisationen, die Daten von mehr als 10 Millionen Menschen verarbeiten, sowie solche, die nach eigener Einschätzung die weiter gefassten Kriterien erfüllen, müssten bei der CAC auf Provinzebene eine Einstufung beantragen. Die nationale CAC würde gemeinsam mit anderen zuständigen Behörden die Liste der großen Datenverarbeiter festlegen und veröffentlichen. Behörden könnten außerdem Organisationen, die offenbar die Voraussetzungen erfüllen, aber keinen Antrag gestellt haben, zur Einleitung des Verfahrens auffordern.

Damit könnten auch besonders einflussreiche Plattformen in den Anwendungsbereich fallen, wenn ihre Bedeutung und ihre Auswirkungen über die reine Zahl der Nutzer hinausgehen.

Mögliche Beschränkungen für ausländische Organisationen und Personen

Der Entwurf würde der nationalen Cyberspace-Aufsicht ermöglichen, ausländische Organisationen oder Personen öffentlich zu listen, deren Verarbeitung personenbezogener Daten die Rechte chinesischer Bürger verletzt oder Chinas nationale Sicherheit beziehungsweise öffentliche Interessen gefährdet. Für gelistete Empfänger könnten Beschränkungen oder Verbote beim Erhalt personenbezogener Daten aus China gelten.

Das wäre eine mögliche Compliance-Folge nicht nur für die chinesische Plattform, die Daten übermittelt, sondern auch für den Empfänger im Ausland. Die Risikoprüfung grenzüberschreitender Datenströme würde dadurch über eine herkömmliche Datenschutzprüfung hinausgehen.

Verarbeitung und Einwilligung

Betroffene große Datenverarbeiter müssten personenbezogene Daten nach den Grundsätzen der Rechtmäßigkeit, Angemessenheit, Erforderlichkeit und Redlichkeit verarbeiten. Die Erhebung wäre auf die für das jeweilige Produkt oder die jeweilige Dienstleistung erforderlichen Daten zu begrenzen und dürfte nicht übermäßig sein.

Wenn die Einwilligung die Rechtsgrundlage bildet, wäre für mehrere risikoreichere Verarbeitungsvorgänge eine gesonderte Einwilligung erforderlich, darunter:

• die Weitergabe von Informationen an einen anderen Datenverarbeiter;
• die Bereitstellung von Informationen außerhalb Chinas;
• die Veröffentlichung von Informationen; und
• die Verarbeitung sensibler personenbezogener Daten.

Eine Änderung des Zwecks, der Methode oder der Kategorien der Verarbeitung würde eine erneute Einwilligung erfordern. Außerdem soll es für betroffene Personen eine unkomplizierte Möglichkeit geben, ihre Einwilligung zurückzuziehen.

Für Kinder unter 14 Jahren wäre die Einwilligung eines Elternteils oder eines anderen gesetzlichen Vormunds nötig. Dafür müssten die Plattformen ein leicht zugängliches Verfahren zur Erteilung und zum Widerruf dieser Einwilligung bereitstellen.

Speicherung in China und Vorgaben für Rechenzentren

Personenbezogene Daten, die im Rahmen von Aktivitäten in China erhoben oder erzeugt werden, müssten innerhalb Chinas gespeichert werden. Das Rechenzentrum müsste sich in China befinden und die geltenden nationalen Vorgaben und Standards erfüllen. Der gesetzliche Vertreter oder die tatsächlich kontrollierende Person der Betreiberorganisation müsste zudem chinesischer Staatsbürger sein.

Auch die Betreiber der Rechenzentren würden eigene Pflichten erhalten. Sie müssten interne Kontrollmechanismen und Pläne für den Umgang mit Sicherheitsvorfällen unterhalten, Schwachstellen erkennen und beheben, die Plattform sowie Behörden gegebenenfalls informieren und bei der Reaktion auf Datenschutzverletzungen unterstützen.

Für Unternehmen, die externe Infrastruktur- oder Cloud-Anbieter nutzen, würden damit die Auswahl des Rechenzentrums, Vertragsgestaltung und laufende Kontrolle zu zentralen Bestandteilen des Datenschutzprogramms – und nicht bloß zu technischen oder einkäuferischen Fragen.

Grenzüberschreitende Übermittlungen blieben möglich, aber eingeschränkt

Die Pflicht zur Speicherung in China würde nicht automatisch jede Übermittlung ins Ausland ausschließen. Der Entwurf lässt grenzüberschreitende Bereitstellungen zu, wenn sie für das Geschäft tatsächlich erforderlich sind. Dafür müssten Unternehmen jedoch die einschlägigen chinesischen Exportmechanismen einhalten und die erforderliche gesonderte Einwilligung einholen.

In der Praxis müssten große Datenverarbeiter daher klar zwischen der Speicherung in China und der Weitergabe an einen Empfänger im Ausland unterscheiden. Die Speicherung im Inland wäre der Ausgangspunkt; die Auslandsübermittlung würde zusätzliche rechtliche und verfahrensbezogene Kontrollen auslösen.

Mehr Verantwortung auf Führungsebene und regelmäßige Berichte

Der Entwurf verlangt eine stärker formalisierte Datenschutzorganisation. Dazu gehört eine oder ein Datenschutzverantwortlicher für den Schutz personenbezogener Daten aus dem Senior Management. Berichte zum Entwurf nennen dafür unter anderem chinesische Staatsangehörigkeit, keinen ausländischen Daueraufenthaltsstatus oder langfristigen Aufenthaltstitel sowie Fachkenntnisse und einschlägige Erfahrung im Datenschutz.

Weitere geplante Governance-Maßnahmen sind:

• unmittelbar zugeordnete Compliance-Strukturen und klar verteilte Verantwortlichkeiten;
• regelmäßige Datenschutz-Folgenabschätzungen;
• wiederkehrende Compliance-Prüfungen;
• die Überwachung von Verarbeitungsvorgängen und Sicherheitslücken;
• Verfahren zur Risikoerkennung und -behebung;
• wirksame Kanäle für Beschwerden und die Ausübung individueller Rechte; sowie
• ein jährlich zu veröffentlichender Bericht zur gesellschaftlichen Verantwortung beim Schutz personenbezogener Daten.

Der Entwurf betont außerdem besondere Schutzmaßnahmen für Minderjährige, darunter praktikable Verfahren für die Zustimmung und den Widerruf durch Eltern oder Vormunde.

Unabhängige Aufsichtsausschüsse wären der größte strukturelle Einschnitt

Jeder betroffene Datenverarbeiter müsste einen Ausschuss für die Datenschutzaufsicht einrichten. Dieser soll die Verarbeitung personenbezogener Daten unabhängig überwachen.

Der geplante Ausschuss müsste:

• aus einer ungeraden Zahl von Mitgliedern bestehen;
• mindestens sieben Mitglieder haben;
• entsprechend der Größe des Geschäfts und der Nutzerbasis besetzt sein;
• zu mindestens zwei Dritteln aus externen Mitgliedern bestehen; und
• von einem externen Mitglied geleitet werden, das über ausgeprägte Fähigkeiten in der Prüfung der Datenschutz-Compliance verfügt.

Die externen Mitglieder müssten unabhängig, angesehen und in einschlägiger Compliance-Arbeit erfahren sein. Grundsätzlich dürften sie gleichzeitig für höchstens drei große Datenverarbeiter tätig sein.

Zu den Aufgaben des Ausschusses würden die Überwachung der Compliance und wesentlicher Datenschutzfragen, die Prüfung von Richtlinien und risikoreichen Verarbeitungsvorgängen, die Abgabe von Stellungnahmen oder Empfehlungen sowie die Unterstützung von Berichtswesen und Rechenschaftsstrukturen gehören. Das Unternehmen müsste dem Ausschuss ausreichende Ressourcen für seine Arbeit zur Verfügung stellen.

Damit ginge der Vorschlag deutlich über die bloße Ernennung einer Datenschutzbeauftragten oder eines Datenschutzbeauftragten hinaus. Er würde eine eigenständige, mehrheitlich extern besetzte Aufsichtsebene schaffen und Datenschutz-Governance fest in der Verantwortungsstruktur großer Organisationen verankern.

Was potenziell betroffene Unternehmen jetzt prüfen sollten

Kurzfristig sollten Unternehmen zunächst bewerten, ob sie entweder den Schwellenwert bei der Zahl betroffener Personen oder die weiter gefassten Kriterien zu Bedeutung und Auswirkungen erfüllen könnten. Anschließend können sie vor Ablauf der Frist am 7. September Stellungnahmen vorbereiten. Unternehmen mit möglichem Anwendungsbereich sollten außerdem mindestens folgende Punkte erfassen:

1. die Zahl und Kategorien der Personen, deren Daten verarbeitet werden;
2. die wichtigsten Dienste, Geschäftsbereiche und möglichen Auswirkungen auf öffentliche Interessen;
3. die Speicherorte chinesischer personenbezogener Daten und die Kontrolle über die betreffenden Rechenzentren;
4. Einwilligungsprozesse für sensible Daten, Weitergaben, Veröffentlichungen und Exporte;
5. Mechanismen für grenzüberschreitende Übermittlungen und die Empfänger im Ausland;
6. Zuständigkeiten des Senior Managements und Prüfungsstrukturen; sowie
7. die erforderliche Unabhängigkeit, Zusammensetzung und Ressourcenausstattung des Aufsichtsausschusses.

Der Entwurf kann noch geändert werden. Die Stoßrichtung ist jedoch klar: China erwägt ein System, das die größten und gesellschaftlich relevantesten Datenverarbeiter mit strengeren betrieblichen Kontrollen, Infrastruktur im Inland, Verantwortung auf Führungsebene und externer Datenschutzaufsicht belegen würde.