Eine deutsche Tochter und eine chinesische Muttergesellschaft tauschen täglich Daten aus: E-Mails, Bestellungen, Personalakten, Konstruktionsdaten, Buchhaltung. Für jede Richtung gilt ein anderes Recht. Daten aus der EU nach China regelt die europäische Datenschutz-Grundverordnung (DSGVO). Daten aus China in die EU regelt das chinesische Gesetz zum Schutz personenbezogener Informationen (PIPL) mit den Vorschriften der Cyberspace-Behörde CAC. Für Buchhaltungsdaten kommt das deutsche Steuerrecht hinzu. Dieser Beitrag zeigt die Regeln und eine Architektur, die alle drei erfüllt.
Richtung Deutschland → China: Kapitel V der DSGVO
Die DSGVO gilt für personenbezogene Daten, also alles, was sich auf einen Menschen bezieht: Namen, E-Mail-Adressen, Gehälter, Kundenkontakte. Reine Maschinen- oder Konstruktionsdaten ohne Personenbezug fallen nicht darunter. Für Übermittlungen in Länder außerhalb der EU gilt ein Grundsatz:
„Jedwede Übermittlung personenbezogener Daten, die bereits verarbeitet werden oder nach ihrer Übermittlung an ein Drittland oder eine internationale Organisation verarbeitet werden sollen, ist nur zulässig, wenn der Verantwortliche und der Auftragsverarbeiter die in diesem Kapitel niedergelegten Bedingungen einhalten …“
Art. 44 Satz 1 DSGVO
Der einfachste Weg wäre ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Für China gibt es keinen. Die Liste der Kommission nennt unter anderem Japan, die Republik Korea, das Vereinigte Königreich und die USA (für zertifizierte Unternehmen), China nicht. Deshalb braucht jede Übermittlung „geeignete Garantien“ nach Art. 46 DSGVO. In der Praxis sind das fast immer die Standardvertragsklauseln der Kommission vom 4. Juni 2021, ein fertiger Mustervertrag zwischen Datenexporteur und Datenimporteur. Konzerne können alternativ verbindliche interne Datenschutzvorschriften genehmigen lassen. Die Ausnahmen des Art. 49 DSGVO, etwa die ausdrückliche Einwilligung, tragen nur Einzelfälle, keinen laufenden Konzernbetrieb.
Die Transfer-Folgenabschätzung
Der Vertrag allein genügt nicht. Klausel 14 der Standardvertragsklauseln verlangt, dass beide Parteien die Rechtslage und Praxis im Zielland prüfen, einschließlich des Zugriffs von Behörden. Die Parteien müssen diese Beurteilung dokumentieren und der Aufsichtsbehörde auf Anfrage vorlegen. Diese Prüfung heißt im Fachjargon TIA, Transfer Impact Assessment. Der Europäische Datenschutzausschuss (EDPB) beschreibt dafür sechs Schritte, vom Erfassen der Datenflüsse bis zur regelmäßigen Neubewertung. Zwei Punkte überraschen viele Konzerne:
- Auch ein Fernzugriff aus einem Drittland, etwa für Support, gilt als Übermittlung.
- Eine im Auftrag des EDPB erstellte Rechtsstudie von 2021 kommt zu dem Ergebnis, dass der staatliche Zugriff auf personenbezogene Daten in China nicht wirksam begrenzt ist. Die Studie gibt nicht die offizielle Position des EDPB wieder. Sie zeigt aber, welche Risiken eine Prüfung abdecken muss.
Daraus folgt: Für Übermittlungen nach China braucht es zusätzliche technische Maßnahmen. Wirksam sind vor allem Verschlüsselung mit Schlüsseln, die in der EU bleiben, Pseudonymisierung und Datensparsamkeit. Verstöße gegen die Übermittlungsregeln können mit Geldbußen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 5 DSGVO).
Richtung China → Deutschland: PIPL und die Erleichterungen von 2024
Das chinesische Gesetz verlangt für die Übermittlung personenbezogener Informationen ins Ausland in der Regel eine von drei Grundlagen: eine Sicherheitsbewertung durch die CAC, eine Zertifizierung oder einen Standardvertrag nach chinesischem Muster (Art. 38 PIPL). Zusätzlich müssen die Betroffenen informiert werden und gesondert einwilligen (Art. 39 PIPL). Die CAC hat diese Regeln mit den „Vorschriften zur Förderung und Regulierung grenzüberschreitender Datenflüsse“ vom 22. März 2024 deutlich gelockert. Wichtig für Industriekonzerne:
| Situation | Folge nach den CAC-Vorschriften 2024 |
|---|---|
| Daten aus internationalem Handel, grenzüberschreitender Fertigung oder Vermarktung ohne personenbezogene oder „wichtige“ Daten | Keine Sicherheitsbewertung, kein Standardvertrag, keine Zertifizierung (Art. 3) |
| Erforderlich für einen Vertrag mit der betroffenen Person oder für grenzüberschreitendes Personalmanagement | Befreit (Art. 5) |
| Weniger als 100.000 Personen pro Kalenderjahr, keine sensiblen Daten | Befreit, außer für Betreiber kritischer Infrastruktur (Art. 5) |
| 100.000 bis unter 1 Million Personen oder unter 10.000 Personen mit sensiblen Daten | Standardvertrag oder Zertifizierung (Art. 8) |
| Ab 1 Million Personen, ab 10.000 Personen mit sensiblen Daten oder „wichtige Daten“ | Sicherheitsbewertung durch die CAC (Art. 7) |
„Wichtige Daten“ muss ein Unternehmen nur dann als solche melden, wenn Behörden es darüber informiert oder sie öffentlich so eingestuft haben (Art. 2). Pflichten zur Information und Einwilligung bleiben auch bei Befreiungen bestehen (Art. 10). Seit dem 1. Januar 2026 gelten zudem Durchführungsregeln für die Zertifizierung; das Zertifikat ist drei Jahre gültig, und Datenmengen dürfen nicht künstlich aufgeteilt werden. Wir zitieren die chinesischen Vorschriften nach dem offiziellen chinesischen Text der CAC; die deutschen Formulierungen sind eigene Übersetzungen.
Praxis für Konzern-IT: E-Mail, ERP, Cloud
- E-mail : Ein gemeinsames Postfachsystem mit Speicherort in China macht jede E-Mail mit Personenbezug zu einer Übermittlung. Besser ist ein eigener Mandant der deutschen Gesellschaft mit Speicherort in der EU und einer geregelten Verbindung zum Konzern.
- ERP: Die gesetzliche Buchhaltung der deutschen GmbH bleibt in Deutschland. Die Zentrale erhält Kennzahlen und Summen über eine Überleitung. Wie das aussieht, beschreibt der Beitrag Comprendre votre filiale allemande en 15 minutes.
- Cloud und Administration: Speicherregion und Administratorrechte gehören in den Vertrag. Ein Administrator in China, der auf EU-Daten zugreift, löst die Übermittlungsregeln aus.
- Personaldaten: Aus China in die EU oft nach Art. 5 der CAC-Vorschriften befreit; aus der EU nach China nur mit Standardvertragsklauseln und dokumentierter Prüfung.
„Die sauberste Architektur ist meist die einfachste: Personendaten aus Deutschland bleiben in der EU, die Zentrale sieht Kennzahlen. Was trotzdem nach China muss, läuft über Standardvertragsklauseln, eine dokumentierte Prüfung und Schlüssel, die in Europa liegen.“
Metehan Kurt, IT-Berater · DAVINCI Rechenzentrum
Steuerdaten: Bücher bleiben im Inland oder brauchen eine Bewilligung
Für Buchhaltungsdaten gilt zusätzlich die deutsche Abgabenordnung. Bücher sind grundsätzlich in Deutschland zu führen und aufzubewahren (§ 146 Abs. 2 AO). In einem anderen EU-Staat ist das ohne Antrag zulässig (§ 146 Abs. 2a AO). In einem Drittstaat wie China nur mit Bewilligung des Finanzamts, und nur wenn dessen Datenzugriff in vollem Umfang möglich ist (§ 146 Abs. 2b AO). Den Datenzugriff regelt § 147 Abs. 6 AO.
Hier können sich die Rechtsordnungen in die Quere kommen. Nach Art. 41 PIPL dürfen in China gespeicherte personenbezogene Informationen ohne Genehmigung chinesischer Behörden nicht an ausländische Justiz- oder Strafverfolgungsbehörden herausgegeben werden. Ob das eine deutsche Betriebsprüfung im Einzelfall berührt, ist eine Rechtsfrage für Anwälte beider Länder. Wir planen so, dass sie gar nicht erst entsteht: Die Bücher bleiben in Deutschland.
Angenommen, ein chinesischer Investor hat einen deutschen Automobilzulieferer übernommen und Teile der Fertigung verlagert. Konstruktionszeichnungen ohne Personenbezug fallen nicht unter die DSGVO. Die Kontaktdaten deutscher Kunden und die Personalakten der deutschen Belegschaft schon. Die Buchhaltung bleibt in DATEV in Deutschland, die Zentrale erhält die Kennzahlen.
Diese Architektur ist Teil unseres Konzepts aus Struktur, Buchhaltung und IT. Die steuerliche Seite verantwortet unsere Partnerkanzlei TABAK Steuerberatung. Rechtsberatung zum chinesischen Recht leisten wir nicht; dafür arbeiten wir mit Kanzleien vor Ort.
Nous parlons votre langue — un conseil direct, sans intermédiaire.
Questions fréquentes
Ist China für die DSGVO ein „sicheres Drittland“?
Nein. Die EU-Kommission hat für China keinen Angemessenheitsbeschluss erlassen. Übermittlungen brauchen geeignete Garantien nach Art. 46 DSGVO, meist Standardvertragsklauseln.
Reichen die Standardvertragsklauseln allein?
Nein. Klausel 14 verlangt eine dokumentierte Prüfung der Rechtslage im Zielland. Je nach Ergebnis sind zusätzliche Maßnahmen nötig, etwa Verschlüsselung mit Schlüsseln in der EU.
Brauchen wir für Personaldaten aus China eine Genehmigung der CAC?
Oft nicht. Grenzüberschreitendes Personalmanagement auf Grundlage rechtmäßiger Arbeitsregeln ist nach Art. 5 der CAC-Vorschriften 2024 befreit. Information und Einwilligung der Mitarbeiter bleiben aber Pflicht.
Ist Fernwartung aus China eine Datenübermittlung?
Ja, wenn dabei personenbezogene Daten aus der EU sichtbar werden. Der EDPB stuft auch den Fernzugriff aus einem Drittland als Übermittlung ein.
Dürfen wir die DATEV-Buchhaltung in China spiegeln?
Kennzahlen und Summen ja, im Rahmen der DSGVO. Die Bücher selbst dürfen nur mit Bewilligung des Finanzamts in einem Drittstaat geführt werden (§ 146 Abs. 2b AO).
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 44–49, 83
- Durchführungsbeschluss (EU) 2021/914 – Standardvertragsklauseln
- EU-Kommission: Angemessenheitsbeschlüsse
- EDPB: Recommendations 01/2020 (Version 2.0)
- EDPB: Legal study on government access to data in third countries (2021)
- CAC: Gesetz der VR China zum Schutz personenbezogener Informationen (PIPL), chinesisch
- CAC: Vorschriften zur Förderung und Regulierung grenzüberschreitender Datenflüsse (2024), chinesisch
- CAC: Bekanntmachung zur Zertifizierung für Datenexporte (2025), chinesisch
- § 146 AO – Ort der Buchführung
- § 147 AO – Aufbewahrung, Datenzugriff
Datenflüsse zwischen China und Deutschland ordnen.
Wir erfassen Ihre Datenflüsse, planen Speicherorte, Zugriffe und Verschlüsselung und stimmen die Buchhaltungsseite mit unserer Partnerkanzlei TABAK Steuerberatung ab.