Integritätslabels: Offizielle Politik / Durchsetzungs- und Monitoring-Daten / Externe Perspektive / Aktuelle FCM-Regierungsalternative
Die politische Fragestellung
Chinas Gesetz zum Schutz personenbezogener Daten (Personal Information Protection Law, PIPL), verabschiedet vom Ständigen Ausschuss des Nationalen Volkskongresses am 20. August 2021 und in Kraft seit dem 1. November 2021, verleiht Einzelpersonen durchsetzbare Rechte über die Art und Weise, wie Unternehmen ihre personenbezogenen Daten erheben und nutzen — Einwilligung, Zweckbindung sowie Auskunfts-, Löschungs- und Datenübertragungsrechte. Zusammen mit dem Cybersicherheitsgesetz (2017) und dem Datensicherheitsgesetz (in Kraft seit dem 1. September 2021) bildet es eines der weltweit strengsten Datenregulierungsrahmen für kommerzielle Akteure. Die Governance-Frage lautet, ob normale Bürgerinnen und Bürger einen gleichwertigen Schutz gegen übermäßige Datenerhebung durch staatliche Stellen genießen und ob die Durchsetzung transparent und konsistent genug ist, um dem Gesetz eine vorhersehbare Bedeutung zu geben.
Was die Politik richtig macht
Das Gesetz ist auf dem Papier tatsächlich verbraucherschützend, und das verdient faire Anerkennung. Sein einwilligungsbasiertes Modell, sein ausdrückliches Verbot „übermäßiger" Erhebung über das Mindestmaß hinaus, seine Regeln für sensible Informationen (Biometrie, Gesundheit, Finanzen und Daten Minderjähriger), seine extraterritoriale Reichweite bei der Verarbeitung der Daten chinesischer Einwohner im Ausland sowie seine Gateways für grenzüberschreitende Datenübermittlungen — Sicherheitsbewertung, Standardvertrag, Zertifizierung — sind vergleichbaren Rahmenwerken ebenbürtig und übertreffen sie in mancher Hinsicht. Die Bestimmungen der Cyberspace-Verwaltung Chinas (CAC) vom März 2024 zur Förderung und Regulierung grenzüberschreitender Datenflüsse zeigten zudem regulatorisches Lernen: Sie hoben die Mengenschwellen an (eine Million Personen für die obligatorische Sicherheitsbewertung; 100.000 bis eine Million für den Standardvertragsweg), nahmen gewöhnliche Handels- und akademische Daten aus, die keine personenbezogenen oder wichtigen Daten enthalten, und gewährten Freihandelszonen Ermessen per Negativliste — was die Compliance für kleine und mittlere Unternehmen erleichtert.
Was die Evidenz zeigt
Die Durchsetzung ist real, aber konzentriert und intransparent. Der Vorzeigefall bleibt die Strafe der CAC gegen Didi Global vom 21. Juli 2022: 8,026 Milliarden Yuan gegen das Unternehmen und jeweils 1 Million Yuan gegen dessen Chairman und Präsidenten, nach Feststellung von 16 Kategorien von Verstößen, darunter übermäßige Erhebung von Gesichtserkennungsdaten, Zwischenablage-Inhalten, Fotoalbum-Screenshots und im Klartext gespeicherten Ausweisnummern von Fahrern. Seither haben App-Regulierer die Entfernung oder Nachbesserung ganzer Chargen von Apps wegen Datenschutzverstößen angeordnet — Berichten zufolge, laut juristischen Analysen, darunter 106 Apps innerhalb weniger Tage nach Inkrafttreten des Gesetzes. Diese Daten sind keine repräsentative landesweite Erhebung der Unternehmens-Compliance und dürfen nicht zur Behauptung einer landesweiten Verstoßquote herangezogen werden; sie sind Beleg für selektive, aufsehenerregende Durchsetzung statt systematischer Aufsicht.
Die strukturelle Asymmetrie ist in die Architektur selbst eingeschrieben. Das PIPL widmet der Verarbeitung durch staatliche Organe ein eigenes Kapitel, doch die staatliche Datenerhebung läuft über parallele Regime der nationalen Sicherheit — Cybersicherheitsprüfung, Datensicherheitsprüfung — deren Umfang und Ergebnisse selten veröffentlicht werden. Die Grenze „wichtiger Daten" wird von den Behörden fallweise statt anhand eines veröffentlichten Katalogs gezogen. Es existiert kein konsolidiertes öffentliches Register der Durchsetzungsentscheidungen, sodass Bürgerinnen und Bürger sowie Unternehmen nur schwer nachvollziehen können, wie die Regeln in der Praxis angewendet werden.
Die historische FCM-Bilanz
Eine zeitgenössische Position der Bewegung für ein freies China (FCM) zum Gesetz zum Schutz personenbezogener Daten von 2021 oder zum Datensicherheitsgesetz von 2021 ist bislang nicht verifiziert worden. Die folgenden Empfehlungen sind ein aktueller Governance-Vorschlag und werden nicht rückdatiert.
Die FCM-Regierungsalternative
Ein Daten-Governance-System der Dritten Republik sollte Bürgerinnen und Bürger vor allen übermäßigen Datensammlern schützen, öffentlichen wie privaten. Konkret: (1) Eine gesetzliche Definition und einen illustrativen Katalog „wichtiger Daten" veröffentlichen, mit öffentlichem Konsultationsverfahren vor den Festlegungen, anstelle fallweiser administrativer Mitteilungen. (2) Richterliche Anordnungen oder eine gleichwertige unabhängige Genehmigung für den staatlichen Zugriff auf personenbezogene Daten verlangen, mit veröffentlichten aggregierten Statistiken zu Anträgen, Genehmigungen und Ablehnungen. (3) Ein einziges öffentliches Durchsetzungsregister schaffen — durchsuchbar, bei Bedarf anonymisiert — das jede Verwaltungssanktion, ihre Rechtsgrundlage und die angeordnete Abhilfe erfasst und von der Aufsichtsbehörde vierteljährlich aktualisiert wird. (4) Eine unabhängige Datenschutzkommission einrichten mit der Befugnis, sowohl kommerzielle als auch staatliche Datenverarbeiter zu untersuchen, die jährlich dem Gesetzgeber berichtet und Zeugenaussagen erzwingen kann. (5) Die Erhebung nach dem Mindestmaß als verbindliche Pflicht staatlicher Stellen kodifizieren, mit denselben Löschungs- und Auskunftsrechten, die Einzelpersonen gegenüber Unternehmen haben.
Wie Erfolg gemessen wird
- Anzahl und Wert der pro Jahr veröffentlichten Durchsetzungsentscheidungen, aufgeschlüsselt nach Sektor und Verstoßtyp.
- Anteil der Bewertungen grenzüberschreitender Datenübermittlungen, die innerhalb der gesetzlichen Fristen abgeschlossen wurden; veröffentlichte Ablehnungsgründe.
- Eingereichte und erledigte Bürgerbeschwerden, mit veröffentlichten Bearbeitungszeiten.
- Aggregierte Statistiken zu staatlichen Datenzugriffsanträgen (bewilligt, abgelehnt, angefochten).
- Unabhängige Umfrage zum Bewusstsein der Bürgerinnen und Bürger für ihre Löschungs-, Auskunfts- und Datenübertragungsrechte.
Quellen
- Gesetz zum Schutz personenbezogener Daten (Personal Information Protection Law), verabschiedet am 20. August 2021 (offizieller chinesischer Volltext, NVK):
http://www.npc.gov.cn/npc/c30834/202108/a8c4e3672c74491a80b53a172bb753fe.shtml
- Personal Information Protection Law (NPC English translation): http://en.npc.gov.cn.cdurl.cn/2021-12/29/c_694559.htm
- Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse, CAC-Anordnung Nr. 16, 22. März 2024 (Dokumentenseite):
https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm
- Full English translation of the Provisions: https://appinchina.co/government-documents/provisions-on-promoting-and-regulating-cross-border-data-flows/
- CAC-Strafentscheidung gegen Didi Global, 21. Juli 2022 (Bekanntmachung):
http://www.cac.gov.cn/2022-07/21/c_1660021534364976.htm
- Analysis of the Didi enforcement decision (Mayer Brown):
Verwandte Governance-Bereiche: Historical Chinese Policy & Democratic Responses ; Policy Scorecard & Outcomes ; Third Republic Governance Blueprints ; Policy Papers & Governing Alternatives
Sprachen: English · 简体中文 · 繁體中文 · Français · Deutsch · Español