Compliance mit dem chinesischen Personal Information Protection Law (PIPL)
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des PIPL zu erfüllen: Die App holt die Einwilligung vor nicht notwendigen Cookies ein, scannt und kategorisiert Cookies und speichert Einwilligungsnachweise.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist das PIPL?
Das Personal Information Protection Law of the People’s Republic of China (PIPL) ist Chinas umfassendes Gesetz zum Schutz personenbezogener Informationen. Es legt fest, wie Organisationen, die das Gesetz „Verarbeiter personenbezogener Informationen“ nennt, Informationen über identifizierte oder identifizierbare Personen erheben, speichern, nutzen, weitergeben und löschen. Viele seiner Konzepte kennen Sie aus der DSGVO, einige seiner Einwilligungsregeln sind jedoch strenger.
Zu den wichtigsten Grundsätzen des PIPL gehören:
- Die Verarbeitung braucht eine Rechtsgrundlage, und für die meisten Marketing- und Tracking-Zwecke ist das die Einwilligung der betroffenen Person, die freiwillig, ausdrücklich und in voller Kenntnis der Sachlage erteilt werden muss.
- Betroffene Personen müssen vor der Verarbeitung erfahren, wer ihre Informationen verarbeitet, zu welchen Zwecken, auf welche Weise, wie lange und wie sie ihre Rechte ausüben können.
- Eine gesonderte Einwilligung ist erforderlich für die Verarbeitung sensibler personenbezogener Informationen, die Weitergabe an einen anderen Verarbeiter, die Veröffentlichung und die Übermittlung außerhalb Chinas.
- Informationen über Kinder unter 14 Jahren gelten als sensibel und erfordern die Einwilligung eines Elternteils oder Vormunds.
- Betroffene Personen können ihre Einwilligung jederzeit widerrufen und müssen dafür eine bequeme Möglichkeit erhalten.
- Betroffene Personen haben das Recht auf Auskunft, Kopie, Berichtigung und Löschung ihrer Informationen.
Für wen gilt das PIPL?
Das PIPL gilt für die Verarbeitung personenbezogener Informationen in China. Es gilt auch für Verarbeitungen außerhalb Chinas, wenn sie dazu dienen, Menschen in China Produkte oder Dienstleistungen anzubieten oder ihr Verhalten zu analysieren oder zu bewerten. Ein Onlineshop im Ausland, der an Kunden in China verkauft, kann daher erfasst sein, und solche Verarbeiter müssen einen Vertreter benennen oder eine Niederlassung in China einrichten.
Was passiert, wenn ich das PIPL nicht einhalte?
Das PIPL wird von der Cyberspace Administration of China (CAC) durchgesetzt, die die Durchsetzung koordiniert, gemeinsam mit anderen Behörden in deren jeweiligen Zuständigkeitsbereichen. Mögliche Folgen sind:
- Anordnungen zur Abhilfe und Verwarnungen: Anordnungen, den Verstoß zu beheben, die Einziehung rechtswidrig erzielter Gewinne und die Sperrung von Apps oder Diensten, die Informationen rechtswidrig verarbeiten.
- Bußgelder: Bis zu 1 Million RMB, wenn ein Verstoß nicht behoben wird. Bei schweren Verstößen bis zu 50 Millionen RMB oder 5 % des Vorjahresumsatzes.
- Persönliche Haftung: Verantwortliche Führungskräfte können mit Bußgeldern zwischen 100.000 RMB und 1 Million RMB belegt und für einen bestimmten Zeitraum von leitenden Positionen ausgeschlossen werden.
- Geschäftliche Einschränkungen: In schweren Fällen die Aussetzung des Geschäftsbetriebs und der Entzug von Geschäftslizenzen.
- Kreditauskünfte: Verstöße werden in Kreditauskünften vermerkt und können veröffentlicht werden.
Außerdem können betroffene Personen zivilrechtlich Schadensersatz für Schäden durch rechtswidrige Verarbeitung verlangen.
Wann trat das PIPL in Kraft?
Das PIPL wurde am 20. August 2021 verabschiedet und trat am 1. November 2021 in Kraft. Die CAC hat seitdem weitere Vorschriften erlassen, darunter Regeln aus dem Jahr 2024, die einige Anforderungen an grenzüberschreitende Übermittlungen lockern.
Das PIPL einhalten
Für einen Shopify-Shop, der an Kunden in China verkauft, ist die Einwilligung der sichtbarste Teil des PIPL. Analyse-, Werbe- und andere Tracking-Werkzeuge, die personenbezogene Informationen erheben, sollten erst laufen, wenn der Besucher ausdrücklich zugestimmt hat, und ein Besucher, der ablehnt, muss den Shop trotzdem nutzen können, es sei denn, die Informationen sind für die Erbringung des Dienstes wirklich nötig. Ihre Datenschutzerklärung sollte Ihre Verarbeitung in klarer Sprache beschreiben, und Besucher brauchen eine bequeme Möglichkeit, ihre Einwilligung später zu widerrufen.
Grenzüberschreitende Übermittlungen verdienen besondere Aufmerksamkeit, denn die meisten Shops senden Kundendaten an Plattform-, Zahlungs- und Marketinganbieter außerhalb Chinas. Das PIPL verlangt dafür einen Übermittlungsmechanismus, etwa den Standardvertrag der CAC, sofern keine Ausnahme greift. Die Regeln der CAC von 2024 nehmen einige Übermittlungen aus, zum Beispiel solche, die zur Erfüllung eines Vertrags mit dem Kunden nötig sind, etwa bei einem grenzüberschreitenden Kauf. Betroffene Personen müssen aber dennoch über den Empfänger im Ausland informiert werden und gesondert einwilligen. Außerdem sollten Sie darauf vorbereitet sein, Anfragen von Personen auf Auskunft, Berichtigung oder Löschung ihrer Informationen zu beantworten.
Eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance hilft bei den Aufgaben, die in Ihrem Shop-Frontend anfallen. Sie zeigt ein Cookie-Banner an und blockiert nicht notwendige Cookies, bis der Besucher einwilligt, scannt und kategorisiert die Cookies in Ihrem Shop automatisch und erstellt eine Cookie-Erklärung für Ihre Richtlinie. Sie speichert Einwilligungsprotokolle als Nachweis der Einwilligung, hilft Ihnen bei der Bearbeitung von Anfragen betroffener Personen und lässt Sie die Banner-Einstellungen per Geolokalisierung nach Region konfigurieren, sodass Besucher aus China ein Banner sehen, das auf das PIPL abgestimmt ist.
Übermittlungsmechanismen, Vertreter in China und branchenspezifische Vorschriften gehen über das hinaus, was ein Einwilligungstool abdecken kann. Prüfen Sie Ihre Einrichtung daher bei Bedarf mit einem Rechtsbeistand.