Compliance mit der Personal Data (Privacy) Ordinance (PDPO) in Hongkong
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen der PDPO zu erfüllen: mit klaren Hinweisen zu Cookies, dem Scannen und Kategorisieren von Cookies und Nachweisen über erteilte Einwilligungen.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist die PDPO?
Die Personal Data (Privacy) Ordinance (PDPO), Kapitel 486 der Gesetze Hongkongs, ist das zentrale Datenschutzgesetz Hongkongs. Sie regelt, wie „Datennutzer“ (data users), also alle, die über die Erhebung, Speicherung, Verarbeitung oder Nutzung personenbezogener Daten bestimmen, mit Informationen über Einzelpersonen umgehen. Die Aufsicht führt der Privacy Commissioner for Personal Data (PCPD).
Im Mittelpunkt stehen sechs Datenschutzgrundsätze:
- Erhebung: Personenbezogene Daten müssen rechtmäßig und fair erhoben werden, für einen Zweck, der mit der Tätigkeit des Datennutzers zusammenhängt, und nicht mehr als nötig. Spätestens bei der Erhebung müssen Einzelpersonen erfahren, welchem Zweck die Daten dienen, an wen sie weitergegeben werden können, ob die Angabe freiwillig ist und wie sie Auskunft und Berichtigung beantragen können.
- Richtigkeit und Aufbewahrung: Daten müssen richtig sein und dürfen nicht länger als nötig aufbewahrt werden.
- Nutzung: Daten dürfen ohne die ausdrückliche und freiwillige Einwilligung der betroffenen Person nicht für einen neuen Zweck genutzt werden.
- Sicherheit: Daten müssen vor unbefugtem oder versehentlichem Zugriff, unbefugter oder versehentlicher Verarbeitung, Löschung, Verlust oder Nutzung geschützt werden.
- Offenheit: Datennutzer müssen ihre Richtlinien und Praktiken zu personenbezogenen Daten zugänglich machen.
- Auskunft und Berichtigung: Einzelpersonen können eine Kopie ihrer Daten anfordern und deren Berichtigung verlangen.
Die PDPO enthält außerdem besondere Regeln für die Nutzung personenbezogener Daten im Direktmarketing, für die die Einwilligung der betroffenen Person erforderlich ist.
Für wen gilt die PDPO?
Die PDPO gilt in Hongkong sowohl für den privaten als auch für den öffentlichen Sektor und erfasst jedes Unternehmen, das personenbezogene Daten in oder aus Hongkong erhebt oder nutzt. Unternehmen außerhalb Hongkongs, die personenbezogene Daten von Kunden in Hongkong erheben, sollten davon ausgehen, dass die PDPO für sie relevant ist.
Was passiert, wenn ich die PDPO nicht einhalte?
Der PCPD kann Beschwerden untersuchen und bei einem festgestellten Verstoß eine Durchsetzungsanordnung (enforcement notice) erlassen, die den Datennutzer verpflichtet, Abhilfe- und Vorbeugemaßnahmen zu ergreifen. Mögliche Folgen sind:
- Verstoß gegen eine Durchsetzungsanordnung: Eine Straftat, die bei der ersten Verurteilung mit einer Geldstrafe von bis zu 50.000 HK$ und 2 Jahren Freiheitsstrafe geahndet wird, zuzüglich einer täglichen Geldstrafe von bis zu 1.000 HK$, solange der Verstoß andauert.
- Straftaten im Direktmarketing: Geldstrafen von bis zu 500.000 HK$ und 3 Jahren Freiheitsstrafe, bis zu 1.000.000 HK$ und 5 Jahren, wenn personenbezogene Daten gegen Entgelt an Dritte weitergegeben werden.
- Schadensersatzansprüche: Einzelpersonen können auf dem Zivilrechtsweg Schadensersatz für Schäden verlangen, die durch einen Verstoß entstanden sind.
- Veröffentlichte Ergebnisse: Der PCPD kann einen Bericht über seine Untersuchung und seine Empfehlungen veröffentlichen, wenn dies im öffentlichen Interesse liegt.
Wann trat die PDPO in Kraft?
Die PDPO wurde 1995 verabschiedet und trat, mit Ausnahme einzelner Bestimmungen, im Dezember 1996 in Kraft. Mit umfangreichen Änderungen im Jahr 2012 kamen die Bestimmungen zum Direktmarketing hinzu, und mit Änderungen im Jahr 2021 wurde Doxxing zur Straftat.
Die PDPO einhalten
Die PDPO kennt keine eigene Einwilligungsregel für Cookies wie die DSGVO, doch Cookies und Tracking-Werkzeuge, die personenbezogene Daten erheben, unterliegen ihren Grundsätzen. Für einen Shopify-Shop, der an Kunden in Hongkong verkauft, heißt das: Informieren Sie Besucher spätestens bei der Erhebung klar darüber, welche personenbezogenen Daten über Cookies und ähnliche Werkzeuge erhoben werden, warum und an wen sie weitergegeben werden, zum Beispiel in einem Cookie-Banner und in einer Personal Information Collection Statement oder Datenschutzerklärung. Wenn Sie personenbezogene Daten für Direktmarketing nutzen, müssen Sie zuvor die Einwilligung des Kunden einholen, und für die Nutzung von Daten zu einem neuen, nicht damit zusammenhängenden Zweck ist eine ausdrückliche und freiwillige Einwilligung nötig.
Die Bestimmung der PDPO, die die Übermittlung personenbezogener Daten aus Hongkong heraus einschränken würde, ist noch nicht in Kraft, der PCPD veröffentlicht jedoch empfohlene Mustervertragsklauseln für solche Übermittlungen. Außerdem sollten Sie darauf vorbereitet sein, Anträge auf Auskunft und Berichtigung zu beantworten.
Eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance hilft bei den Aufgaben, die in Ihrem Shop-Frontend anfallen. Sie zeigt ein Cookie-Banner an und kann nicht notwendige Cookies blockieren, bis der Besucher einwilligt, scannt und kategorisiert die Cookies in Ihrem Shop automatisch und erstellt eine Cookie-Erklärung für Ihre Richtlinie. Sie speichert Einwilligungsprotokolle als Nachweis der Einwilligung, hilft Ihnen bei der Bearbeitung von Anfragen betroffener Personen und lässt Sie die Banner-Einstellungen per Geolokalisierung nach Region konfigurieren, sodass Besucher aus Hongkong ein Banner sehen, das auf die PDPO abgestimmt ist.
Die PDPO wird derzeit überarbeitet und kann sich ändern. Prüfen Sie Ihre Einrichtung daher bei Bedarf mit einem Rechtsbeistand.