Artikel von burkardt & Partner Rechtsanwälte
Mehr als ein Jahr nach dem Inkrafttreten des Gesetzes der Volksrepublik China zum Schutz personenbezogener Daten („GSPD“) hat die Cyberspace Administration of China („CAC“) am 24. Februar 2023, die endgültige Fassung der Maßnahmen zum Standardvertrag für die grenzüberschreitende Datenübermittlung personenbezogener Daten („Maßnahmen“) veröffentlicht.
Die Maßnahmen sind die lang erwarteten Durchführungsbestimmungen zum Standardvertrag, welcher eine von drei im GSPD vorgesehenen Optionen zur grenzüberschreitenden Übermittlung personenbezogener Daten darstellt. Der Standardvertrag selbst befindet sich in der Anlage zu den Maßnahmen.
Nach dem Inkrafttreten der Maßnahmen am 1. Juni 2023, dürfen Verarbeiter personenbezogener Daten („Datenverarbeiter“), welche nicht der von der CAC organisierten Sicherheitsbewertung unterliegen (siehe unser Artikel ,,Sicherheitsbewertung für grenzüberschreitende Datentransfers aus China‘‘), personenbezogene Daten entweder auf Basis einer Zertifizierung oder auf Basis eines mit dem Datenempfänger im Ausland abgeschlossenen Standartvertrages ins Ausland übermitteln.
Datenverarbeiter sind nach den Maßnahmen u.a. verpflichtet, vor der Übermittlung der personenbezogenen Daten ins Ausland eine Datenschutzfolgeabschätzung durchzuführen, mit dem Datenempfänger im Ausland einen Standartvertrag abzuschließen, und diesen mit dem Bericht über die Datenschutzfolgeabschätzung innerhalb von zehn Arbeitstagen nach dem Inkrafttreten des Standartvertrages bei der zuständigen Behörde einzureichen.
Bei Verstößen gegen die Maßnahmen können Datenverarbeiter, „verantwortliche Personen“ sowie „andere direkt verantwortliche Personen“ nach dem GSPD mit hohen Geldbußen belegt und, soweit eine Straftat vorliegt, nach dem Strafgesetzbuch der VR China zur Verantwortung gezogen werden.
Die Maßnahmen sehen eine sechsmonatige Übergangsfrist vor, im Rahmen derer Datenverarbeiter bis zum 30. November 2023, die notwendigen Maßnahmen ergreifen und somit die Anforderungen für die grenzüberschreitende Übermittlung personenbezogener Daten erfüllen müssen.