德国子公司与中国母公司之间每天都在交换数据：电子邮件、订单、人事档案、设计数据、财务账目。不同的传输方向适用不同的法律。从欧盟传往中国的数据，受欧盟《通用数据保护条例》（DSGVO，即GDPR）规制；从中国传往欧盟的数据，受中国《个人信息保护法》（PIPL）及国家互联网信息办公室（CAC，简称网信办）相关规定规制。涉及财务数据的，还须遵守德国税法。本文为您梳理这些规则，并介绍一套能同时满足三方面要求的架构。

德国 → 中国方向：DSGVO第五章

DSGVO适用于个人数据，即一切与自然人相关的信息：姓名、电子邮箱地址、薪资、客户联系人等。不涉及个人的纯机器数据或设计数据不在其列。向欧盟以外国家传输数据，遵循以下基本原则：

“任何正在处理或拟在传输至第三国或国际组织后进行处理的个人数据，只有在控制者和处理者遵守本章所规定条件的情况下，方可进行传输……”（译文）

Art. 44 Satz 1 DSGVO

最简便的途径是欧盟委员会作出的充分性认定（Art. 45 DSGVO），但中国并未获得此项认定。委员会的名单包括日本、韩国、英国以及美国（限经认证的企业）等，其中没有中国。因此，每一次数据传输都需要依据Art. 46 DSGVO提供“适当保障措施”。在实务中，这几乎总是指欧盟委员会2021年6月4日发布的标准合同条款——一份供数据输出方与数据接收方直接使用的范本合同。集团企业也可以选择申请批准具有约束力的公司规则。Art. 49 DSGVO规定的例外情形（例如明示同意）只适用于个别情况，无法支撑集团的日常运营。

传输影响评估

仅有合同还不够。标准合同条款第14条要求双方审查目的地国的法律状况和实践，包括政府机关的数据访问。双方须将评估结果形成书面记录，并在监管机构要求时提交。这项审查在业内称为TIA（Transfer Impact Assessment，传输影响评估）。欧洲数据保护委员会（EDPB）为此规定了六个步骤，从梳理数据流向到定期重新评估。有两点常常出乎集团企业的意料：

由此可见，向中国传输数据需要采取额外的技术措施，其中最有效的是：密钥保留在欧盟境内的加密、假名化处理以及数据最小化。违反数据传输规则的，最高可处2,000万欧元或全球年营业额4%的罚款（Art. 83 Abs. 5 DSGVO）。

中国 → 德国方向：PIPL与2024年的便利化措施

根据中国法律，向境外提供个人信息通常须具备以下三项依据之一：通过网信办组织的安全评估、经专业机构进行个人信息保护认证，或按照中国标准合同范本订立合同（PIPL第三十八条）。此外，还须告知个人并取得其单独同意（PIPL第三十九条）。网信办于2024年3月22日发布《促进和规范数据跨境流动规定》，大幅放宽了上述要求。对工业集团而言，以下几点尤为重要：

情形依据2024年网信办规定的处理方式
国际贸易、跨国生产制造或市场营销中产生的数据，不含个人信息或“重要数据”免予安全评估、免予订立标准合同、免予认证（第三条）
为订立、履行个人作为一方当事人的合同所必需，或用于跨境人力资源管理免予申报（第五条）
每个自然年度少于10万人，且不含敏感个人信息免予申报，关键信息基础设施运营者除外（第五条）
10万人以上、不满100万人，或不满1万人的敏感个人信息订立标准合同或通过认证（第八条）
100万人以上、1万人以上的敏感个人信息，或涉及“重要数据”网信办安全评估（第七条）

只有在相关部门已告知或已公开发布认定的情况下，企业才须将数据作为“重要数据”申报（第二条）。即便享受豁免，告知和取得同意的义务依然存在（第十条）。此外，自2026年1月1日起，个人信息出境认证的实施规则正式施行：认证有效期为三年，且不得人为拆分数据量。本文所引中国法规以网信办发布的官方中文文本为准；本页德文版中的相关表述为我方自行翻译。

集团IT实务：电子邮件、ERP、云服务

“最规范的架构往往也是最简单的：德国的个人数据留在欧盟，总部查看关键指标。确需传往中国的数据，则通过标准合同条款、书面评估以及存放在欧洲的密钥来处理。”

Metehan Kurt，IT顾问 · DAVINCI Rechenzentrum

税务数据：账簿留在德国，否则须经批准

对于财务数据，还须遵守德国《税收通则》（AO）。账簿原则上须在德国境内记载和保存（§ 146 Abs. 2 AO）。存放于其他欧盟国家无需申请（§ 146 Abs. 2a AO）。存放于中国等第三国，则须经税务局批准，且前提是税务局能够完整访问数据（§ 146 Abs. 2b AO）。数据访问由§ 147 Abs. 6 AO规定。

在这一点上，两国法律体系可能发生冲突。根据PIPL第四十一条，未经中国主管机关批准，不得向外国司法或执法机构提供存储于中国境内的个人信息。这是否会在个案中影响德国的税务稽查，属于需要两国律师判断的法律问题。我们的规划思路是从源头上避免这一问题：账簿留在德国。

典型案例

假设一家中国投资者收购了一家德国汽车零部件供应商，并将部分生产转移出去。不涉及个人信息的设计图纸不受DSGVO约束，而德国客户的联系方式和德国员工的人事档案则受其约束。账务保留在德国的DATEV系统中，总部获取关键指标。

这套架构是我们“架构、账务、IT”一体化方案的组成部分。税务方面由我们的合作事务所TABAK Steuerberatung负责。我们不提供中国法律咨询；这方面我们与当地律师事务所合作。

我们以中文为您服务——直接沟通，无需中间人。

常见问题

就DSGVO而言，中国是“安全的第三国”吗？

不是。欧盟委员会尚未对中国作出充分性认定。数据传输须依据Art. 46 DSGVO提供适当保障措施，通常采用标准合同条款。

仅靠标准合同条款就够了吗？

不够。第14条要求对目的地国的法律状况进行书面评估。根据评估结果，可能还需要采取额外措施，例如密钥保留在欧盟境内的加密。

从中国传输人事数据，是否需要网信办批准？

通常不需要。依据2024年网信办规定第五条，按照依法制定的劳动规章制度开展的跨境人力资源管理可予豁免。但告知员工并取得其同意仍是法定义务。

从中国进行远程运维，是否属于数据传输？

是的，只要在此过程中能够看到来自欧盟的个人数据。EDPB同样将从第三国进行的远程访问认定为数据传输。

我们能否在中国镜像DATEV账务数据？

在DSGVO框架内，关键指标和汇总数据可以。账簿本身只有经税务局批准，才能在第三国记载（§ 146 Abs. 2b AO）。

参考来源

Metehan Kurt

IT顾问 · DAVINCI Rechenzentrum GmbH 总经理

在中型企业及跨国集团IT领域拥有25年以上经验，专长为IT取证。本文经税务师Fatma Tabak专业审核。

作者简介 →

理顺中德之间的数据流。

我们为您梳理数据流向，规划存储地点、访问权限和加密方案，并与合作事务所TABAK Steuerberatung协调账务方面的安排。

预约IT咨询 → 了解服务：IT咨询 →