Gilt Chinas Datenschutzgesetz PIPL für Ihre Website?

Wenn Ihr Unternehmen in Deutschland oder Österreich sitzt, kennen Sie das Muster aus der DSGVO: Sie reicht über die EU hinaus, sobald jemand Menschen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet.²⁹ Chinas Personal Information Protection Law, kurz PIPL, kennt einen ähnlichen Gedanken, nur mit anderen Regeln.

Die meisten englischsprachigen Antworten im Netz sagen entweder „Das PIPL gilt für alle“ oder „nur, wenn Sie in China sind“. Der Gesetzestext liegt dazwischen, und das ist wichtig, wenn Sie chinesische Seiten und ein Kontaktformular planen.

Die deutschsprachigen Überblicke, die wir gelesen haben, etwa von Noerr und activeMind, stammen aus 2021 und 2022 und erklären vor allem das Gesetz selbst.³⁴³⁵ Hier geht es konkret um Ihre Website und Ihr Formular.

Hier steht, was das Gesetz sagt, was ungeklärt bleibt und welche Fragen Sie einem Berater vor Ort stellen sollten. Der Text gehört zu unserem Leitfaden über die rechtlichen Grundlagen einer Website in China.

Gilt das PIPL auch ohne Büro oder Server in China?

Ja, das kann es. Ihr Standort ist nicht das Kriterium. Artikel 3 wendet das PIPL auf Verarbeitungen außerhalb Chinas an, die Informationen von Menschen in China betreffen, und zwar in diesen Fällen:¹

• Der Zweck ist, Menschen in China Produkte oder Dienstleistungen bereitzustellen.
• Die Verarbeitung analysiert oder bewertet das Verhalten von Menschen in China.
• Weitere durch Gesetz oder Verwaltungsverordnung bestimmte Fälle.

Das ist die extraterritoriale Wirkung, von der deutsche Beiträge sprechen.³⁴³⁶ Das Hosting taucht in dieser Liste nicht auf. Chinafy schreibt, dass eine außerhalb Chinas gehostete Website erfasst ist, wenn sie Leads von chinesischen Nutzern sammelt.²⁰

Es gibt auch ein Beispiel aus der Rechtsprechung. In einem 2024 veröffentlichten Fall entschied das Internetgericht Guangzhou gegen eine französische Hotelgruppe, es ging um die Buchungsdaten eines Gastes.³⁶

Hunton beschreibt die Beklagte als in Frankreich registriert, mit einer außerhalb Chinas gehosteten Website, und als dem PIPL unterworfen, weil sie Informationen von Menschen in China erhob.³

Was gilt als Bereitstellen von Dienstleistungen für Menschen in China?

Eine offizielle Grenze haben wir nirgends gefunden. Sidley schrieb im Mai 2023, noch vor der Entscheidung aus Guangzhou, die volle Reichweite dieser Zuständigkeit „remains untested“, sei also unerprobt.¹¹

Mayer Brown wies 2021 auf einen Unterschied im Wortlaut zur DSGVO hin: Das PIPL spreche von „providing“, nicht von „offering“, und könne daher auch eine Website treffen, die gar nicht auf China zielt.⁸ In der deutschen Fassung der DSGVO steht an dieser Stelle „anzubieten“.²⁹

Prighter, ein Anbieter von Vertreterdiensten, schreibt, chinesische Behörden hätten keine Leitlinien veröffentlicht, und übernimmt deshalb Anhaltspunkte aus EU-Leitlinien zur DSGVO.¹⁰ Die veröffentlichten Ansichten im Überblick:

Ihre Website	Veröffentlichte Ansicht	Stand
Keine chinesische Fassung, gelegentlich eine Bestellung aus China	Eine globale E-Commerce-Website „may be caught“, könne also erfasst sein, weil ein Kunde in China sitzt, so Mayer Brown 8	Offen: eine Lesart von 2021, und wir haben dazu keinen offiziellen Text gefunden
Chinesische Sprache, Zahlung in RMB oder Lieferung nach China	Anzeichen für ein Angebot, so Prighter 10	Aus EU-Leitlinien übernommen, kein chinesischer Maßstab
Verhaltensbasierte Werbung oder Cookie-Tracking von Menschen in China	Ein Anzeichen für „Analyse“, so Prighter 10	Morrison Foerster sieht in Verhaltensanalysen eine eigene Grundlage für die Reichweite 7
Chinesische Seiten nur mit Anfrageformular, kein Online-Verkauf	In unseren Quellen nicht behandelt	Offen: Fragen Sie einen Berater vor Ort

Die letzte Zeile dürfte für viele ausländische Dienstleister der Normalfall sein, und sie ist am schlechtesten dokumentiert.

Eine chinesische Seite, die chinesische Kunden gewinnen soll, liegt nah an dem Zweck, den Artikel 3 beschreibt. Das ist unsere Lesart, kein Urteil. Vorsichtig planen heißt: so, als wären Sie erfasst.

1. 1Sprechen Ihre Seiten Kunden in China an?
2. 2Erheben Sie personenbezogene Informationen von ihnen oder verfolgen Sie ihr Verhalten?
3. 3Hängt die Erhebung damit zusammen, sie zu bedienen?
4. 4Dreimal JaPlanen Sie, als gelte das PIPL.
5. 5Zweifel bei einer FrageFragen Sie einen Berater vor Ort.

Gibt es für kleine Unternehmen eine leichtere Regelung?

Gehen Sie nicht davon aus. Das PIPL selbst kennt keine Mindestgröße, wie Morrison Foerster 2021 festhielt.⁷ Neue Regeln für kleine Verarbeiter (englisch meist „handlers“) gibt es zwar, aber sie sind womöglich nicht für Sie geschrieben.

China hat vereinfachte Maßnahmen für Verarbeiter mit Daten von weniger als 100.000 Personen veröffentlicht, in Kraft seit dem 1. September 2026.⁹²²

Artikel 2 wendet sie auf kleine Verarbeiter „innerhalb der Volksrepublik China“ an (unsere Übersetzung).⁹

Weder der Text noch die Fragen und Antworten der CAC, der chinesischen Internetaufsicht, noch die Beiträge von CMS und China Briefing sagen, dass ein ausländisches Unternehmen ohne Präsenz in China diese Regeln nutzen kann.^9232425 Die beiden Formulare im Anhang haben wir nicht gelesen.

Wichtig werden sie, wenn Sie eine kleine chinesische Tochtergesellschaft führen. Die Bestimmungen sehen diese Vereinfachungen vor:⁹

Thema	Vereinfachte Maßnahme
Datenschutzhinweis (Art. 4, 6)	Kürzerer Mindestinhalt. Die Veröffentlichung der Regeln kann genügen, wenn die Daten notwendig sind und nicht weitergegeben werden
Einwilligung (Art. 7)	Sie dürfen verarbeiten, was Menschen freiwillig und vollständig informiert angeben, um Ihre Leistung zu erhalten, im Rahmen der veröffentlichten Regeln
Grenzüberschreitend (Art. 10)	Keine Bewertung, kein Standardvertrag, keine Zertifizierung in aufgeführten Fällen, etwa wenn ein Vertrag es wirklich erfordert
Audits (Art. 13)	Mindestens alle fünf Jahre, mit einer Selbstprüfung aus dem Anhang, die fünf Jahre aufbewahrt wird
Geringfügige Verstöße (Art. 18)	Keine Strafe bei umgehender Korrektur ohne Schaden

Sensible Daten brauchen weiterhin eine gesonderte Einwilligung, und für unter 14-Jährige gelten eigene Regeln.⁹ Artikel 10 lässt die Pflichten zu Hinweis und gesonderter Einwilligung für ins Ausland übermittelte Daten bestehen.⁹

Was muss eine erfasste Website tun?

Sie muss sagen, was sie tut, eine Rechtsgrundlage haben und die Rechte der Menschen achten. Diese Regeln berühren eine typische Marketing-Website:

Pflicht	Quelle	Auf Ihrer Website
Hinweis vor der Erhebung	PIPL Art. 17 1	Wer Sie sind, Kontakt, Zweck, Methode, Datenarten, Speicherdauer, wie Rechte ausgeübt werden
Rechtsgrundlage	Art. 13 1	Unter anderem Einwilligung oder Erforderlichkeit für einen Vertrag mit dieser Person
Wirksame Einwilligung	Art. 14 bis 16 1	Informiert und ausdrücklich, leicht zu widerrufen, neue Einwilligung bei geändertem Zweck, keine Leistungsverweigerung wegen Daten, die Sie nicht brauchen
Nur das Nötige	Verordnung Art. 22 2	Keine Formularfelder über die Leistung hinaus
Weitergabe an ein anderes Unternehmen	Art. 23 1	Empfänger nennen, gesonderte Einwilligung einholen
Sensible Daten	Art. 28 bis 31 1	Gesonderte Einwilligung, unter 14 Jahren die der Eltern
Anfragen betroffener Personen	Art. 45, 47, 50 1	Ein funktionierender Weg für Auskunft, Kopie und Löschung

Was das für Ihr Lead-Formular bedeutet

Ihr Kontaktformular ist meist der wichtigste Punkt der Erhebung. Hier ein vorsichtiger Aufbau, den Sie mit Ihrem Berater durchgehen können.

1. Felder kürzen. Behalten Sie, was Sie zur Beantwortung der Anfrage brauchen.
2. Hinweis ans Formular setzen. Verlinken Sie die Regeln vor der Schaltfläche zum Absenden.
3. Marketing trennen. Bieten Sie Newsletter und Nachfassen als freiwillige, nicht vorangekreuzte Option an.
4. Partner getrennt behandeln. Erhält ein Vertriebspartner den Lead, nennen Sie ihn und holen Sie eine gesonderte Einwilligung ein.
5. Nachweise führen. Bei Schadensersatzansprüchen wird Verschulden nach Artikel 69 vermutet, Sie sollten also Belege haben.¹
6. Löschung einplanen. Sagen Sie, wie lange Sie einen Lead behalten und wie man die Entfernung verlangt.

Die Antwort auf eine Angebotsanfrage kann unter die Vertragsgrundlage von Artikel 13 fallen. Marketing folgt daraus nicht: Das Gericht in Guangzhou stellte fest, dass Marketing ohne Einwilligung für die Vertragserfüllung nicht erforderlich ist.⁴

Auch Formulardienste und CRM-Systeme gehören auf den Prüfstand. Ein für Sie tätiger Dienstleister fällt unter die beauftragte Verarbeitung, die eine Vereinbarung und Aufsicht verlangt.¹

Unser Leitfaden zu Formularen und reCAPTCHA in China behandelt die technische Seite.

PIPL und DSGVO: was sich nicht übertragen lässt

Vieles wirkt vertraut. Noerr schreibt, das PIPL ähnele „in vielerlei Hinsicht“ der DS-GVO, auch weil es die Datenverarbeitung im Grundsatz für unzulässig erklärt, und activeMind nennt die Rechtsgrundlagen stark ähnlich.³⁴³⁵ Usercentrics vergleicht den „Verarbeiter“ mit dem „Verantwortlichen“ der DSGVO.³⁶

Eine DSGVO-konforme Website ist trotzdem nicht automatisch PIPL-konform. Sechs Punkte, an denen sich die gelesenen Texte unterscheiden:

Punkt	DSGVO und deutsches Recht	PIPL
Reichweite ins Ausland	Art. 3 Abs. 2: Waren oder Dienstleistungen „anzubieten“ oder Verhalten in der Union zu beobachten 29	Art. 3: Produkte oder Dienstleistungen bereitzustellen, Verhalten zu analysieren oder zu bewerten, dazu eine Auffangklausel 1
Berechtigtes Interesse	Art. 6 Abs. 1 lit. f erlaubt es als Rechtsgrundlage 30	Art. 13 enthält keine solche Grundlage 1, so auch Noerr und Bär & Karrer 3437
Vertreter	Art. 27: schriftliche Benennung in der Union, mit Ausnahmen, etwa für gelegentliche Verarbeitung, die voraussichtlich zu keinem Risiko führt 31	Art. 53: Stelle oder Vertreter in China 1, laut K&L Gates unabhängig von der Datenmenge 15
Cookies	§ 25 TDDDG: Einwilligung, mit zwei Ausnahmen, etwa wenn unbedingt erforderlich 32	Keine ausdrückliche Regel gefunden, Quellen uneins 121314
Daten ins Ausland	Art. 44 bis 50, laut Österreichischer Datenschutzbehörde „bis auf wenige Sonderfälle genehmigungsfrei“ 33	Art. 38 und 39, siehe unten 1
Aufsicht	Art. 52: unabhängige Aufsichtsbehörden, so activeMind 35	Aufsichtsbehörden nicht unabhängig, so activeMind 35

Die Tabelle ist eine Lesehilfe, kein vollständiger Vergleich. Wichtig ist die Rechtsgrundlage: Wer Formulare und Newsletter gewohnheitsmäßig auf das berechtigte Interesse stützt, kann diese Gewohnheit nicht mitnehmen.¹³⁰

Brauchen Sie ein Cookie-Banner für chinesische Besucher?

Eine ausdrückliche Regel dazu haben wir nicht gefunden, und die Quellen sind uneins. FlexyConsent räumt selbst ein, dass das PIPL Cookies nicht eigens erwähnt.¹⁴

Quelle	Position
Morrison Foerster, August 2023	Banner nicht üblich und vom PIPL nicht ausdrücklich verlangt, „at least not yet“, also zumindest noch nicht 12
FlexyConsent, Juni 2026 (verkauft Einwilligungstools)	Websites sollten Besuchern in China eine geotargetierte Einwilligung zeigen 14
CookieChimp, undatiert (verkauft Einwilligungstools)	Opt-in vorgeschrieben, nicht notwendige Cookies standardmäßig aus 13

Die Aussagen der Anbieter sind kommerziell motiviert und stützen sich auf wenig oder nichts außer dem Gesetz. Trotzdem kann das Tracking von Menschen in China den Fall „Verhalten analysieren“ aus Artikel 3 berühren.¹

Aus Deutschland kennen Sie die Regel des § 25 TDDDG.³² Ob sie für einen Besucher in China greift, haben wir nicht geprüft, und sie beantwortet die chinesische Frage nicht. Ein Banner für die DSGVO belegt also nichts für das PIPL.

Kostenloser Check

Ist Ihre Website auf Baidu sichtbar?

Geben Sie Ihre Website ein. Wir prüfen Baidu, die Erreichbarkeit aus China und den Aufbau Ihrer Website und senden Ihnen den Bericht per E-Mail.

Ihre WebsiteWebsite prüfen

Muss Ihre Datenschutzerklärung auf Chinesisch sein?

Das Gesetz sagt das nicht, wir würden sie aber auf Chinesisch verfassen. Artikel 17 verlangt eine klare, verständliche Sprache und nennt keine bestimmte.¹

Anbieter wie FlexyConsent empfehlen Hinweise in vereinfachtem Chinesisch.¹⁴

Wer Ihre chinesische Seite liest und nur eine deutsche oder englische Erklärung findet, ist nicht ohne Weiteres informiert. Die Übersetzung zwingt Sie außerdem, genau zu benennen, was Sie tun.

Die Verordnung ergänzt, dass Verarbeitungsregeln gebündelt und leicht auffindbar sein sollen.²

Brauchen Sie einen Vertreter in China?

Fallen Sie unter den zweiten Absatz von Artikel 3, sagt der Text: ja. Artikel 53 verlangt von ausländischen Verarbeitern, in China eine Stelle einzurichten oder einen Vertreter zu benennen und deren Kontaktdaten zu melden.¹

Die Verordnung von 2024 nennt den Empfänger: die Cyberspace-Behörde auf Stadtebene am Sitz der Stelle oder des Vertreters.²

K&L Gates versteht die Pflicht als unabhängig von der Datenmenge und schrieb im Januar 2022, es gebe „no clear guidance“, also keine klare Anleitung, wie die Bestellung abläuft.¹⁵

Wir haben gesucht und seither kein veröffentlichtes Verfahren gefunden. Auch was geschieht, wenn Sie keinen Vertreter haben, konnten wir nicht belegen.

Das ist die erste Frage an einen Berater vor Ort.

Ist ein Lead an Ihre Zentrale eine grenzüberschreitende Übermittlung?

Das hängt davon ab, wer ihn erhoben hat. Am klarsten ist der Fall eines Unternehmens in China, das Daten ins Ausland gibt. Unklarer ist es, wenn Ihre Website außerhalb Chinas direkt erhebt.

Datenfluss	Einordnung
Chinesische Tochter oder ein Agent schickt Leads an Ihre Zentrale	Eine Übermittlung: Bedingungen von Art. 38, dazu Hinweis und gesonderte Einwilligung nach Art. 39 1, wobei die Fragen und Antworten der CAC die Einwilligung, nicht den Hinweis, entfallen lassen, wenn eine andere Grundlage aus Art. 13 greift 18
Ein Besucher in China schickt ein Formular an Ihre Website außerhalb Chinas	Umstritten, siehe unten
Sie geben diesen Lead zu Marketingzwecken an Partner außerhalb Chinas weiter	Das Verhalten, um das es in Guangzhou ging 4

Zur direkten Erhebung schrieb Withers 2023, die Frage sei umstritten. Die Kanzlei neigt zu der Ansicht, dass dies keine Übermittlung ins Ausland ist, und berichtet die Gegenansicht.¹⁶ CMS erwähnte 2022 diese Praktikerposition, aber auch einen Zertifizierungsentwurf, der das Gegenteil anzudeuten schien.¹⁷

Ein späteres CAC-Dokument weist in die andere Richtung. AllBright berichtet, dass die zweite Auflage des Bewertungsleitfadens 2024 die Verarbeitung nach Artikel 3 Absatz 2 in die Liste der Datenexporte aufnahm.²⁷

Damit ist Ihr Fall nicht entschieden. Laut AllBright gibt der Leitfaden keine klare Antwort, wenn keine andere chinesische Partei beteiligt ist.²⁷ Deheng weist darauf hin, dass es dann keinen inländischen Verarbeiter gibt, der eine Meldung vornehmen könnte.²⁸ Gelesen haben wir diese Kommentare, nicht den Leitfaden oder seine spätere dritte Auflage.

Hunton behandelt in seiner Zusammenfassung der CAC-Fragen und -Antworten vom 24. Juli 2026 die direkte Erhebung nicht, und das Dokument selbst haben wir nicht gelesen.¹⁸

Die gesonderte Einwilligung behandelt die Zusammenfassung dagegen: Sie muss konkret sein, darf nicht gebündelt werden und kann per Pop-up, unterschriebenem Dokument oder Antwort per E-Mail oder SMS erfolgen.¹⁸

Paul Weiss berichtet dieselbe Logik vom Gericht: Ein Kästchen unter einer allgemeinen Erklärung genügt nicht.⁵

Gehen Daten umgekehrt aus der EU an einen Partner in China, ist das eine andere Frage: Dafür gelten die Artikel 44 bis 50 DSGVO, die etwa die Österreichische Datenschutzbehörde beschreibt. Deren Seite nennt China nicht.³³ Noerr hielt 2021 einen Angemessenheitsbeschluss für China für wenig aussichtsreich.³⁴ Recording Law, eine kommerzielle Seite, deren Artikel nach eigener Angabe nicht anwaltlich geprüft ist, schreibt, mit Stand Oktober 2026 gebe es keinen solchen Beschluss.³⁸

Sammelt ein chinesischer Partner Ihre Leads, lesen Sie an chinesische Kunden verkaufen, ohne in China zu sein und arbeiten ohne chinesische Firma.

Wie hoch ist das reale Risiko für ein ausländisches Unternehmen?

Das Maximum ist hoch, aber die von uns gelesenen Fälle betreffen Unternehmen mit Bezug zu China. Das sehen Artikel 66 und Artikel 42 vor:¹

Situation	Folge
Jeder Verstoß	Anordnung zur Korrektur, Verwarnung, Einziehung rechtswidriger Gewinne, Aussetzung einer beanstandeten App
Weigerung, zu korrigieren	Bis zu RMB 1 Million, dazu RMB 10.000 bis 100.000 für die Verantwortlichen
Schwerer Fall	Bis zu RMB 50 Millionen oder 5 % des Vorjahresumsatzes, mögliche Betriebsaussetzung, dazu RMB 100.000 bis 1 Million für die Verantwortlichen
Ausländische Stelle verletzt Rechte chinesischer Bürger	Aufnahme in eine Liste, die die Bereitstellung von Daten an sie beschränkt (Art. 42)

Und das wurde tatsächlich berichtet:

Fall	Wer	Ergebnis
Internetgericht Guangzhou, veröffentlicht 2024	Französische Hotelgruppe, verbundene Gesellschaft in Shanghai mitverklagt	Schriftliche Entschuldigung, Löschung, RMB 20.000 34
CAC Shanghai, Mai 2025	Verbundene Gesellschaft einer Luxusmarke in Shanghai	Sanktioniert, Betrag von DLA Piper nicht genannt 19
CAC Shanghai, Fälle von 2025	Multinationales Unternehmen, von DLA Piper unter „domestic enterprises“ (inländische Unternehmen) der Hotel- und Immobilienbranche geführt	Bußgeld wegen Verstoßes gegen eine Entscheidung zur Übermittlungsbewertung, Betrag nicht genannt 19
CAC Shanghai, Juni 2026	Ctrip, Sitz in Shanghai	RMB 10 Millionen und eine Anordnung zur Korrektur 19

Eine CAC-Sanktion gegen ein ausländisches Unternehmen ohne Präsenz in China haben wir nicht gefunden. DLA Piper ergänzt, dass andere Provinzbehörden Fälle nicht so veröffentlichen wie Shanghai.¹⁹ Dass wir nichts gefunden haben, beweist keine Sicherheit und ersetzt kein Compliance-Konzept.

Der Fall aus Guangzhou ging auf die Klage eines einzelnen Kunden zurück, die Aufsicht ist also nicht der einzige Weg. Artikel 70 erlaubt außerdem Staatsanwaltschaften und benannten Organisationen, zu klagen, wenn viele Menschen betroffen sind.¹

Was Sie einen Berater vor Ort fragen sollten

Nehmen Sie diese Fragen mit, dazu eine Liste dessen, was Ihre Seiten erheben:

1. Erfüllen meine chinesischen Seiten Artikel 3, wenn man bedenkt, was ich verkaufe und wie?
2. Brauche ich einen Vertreter nach Artikel 53, und wer kann diese Rolle übernehmen?
3. Ist mein Formular eine grenzüberschreitende Übermittlung oder eine direkte Erhebung?
4. Welche Rechtsgrundlage passt zu einer Anfrage, und was braucht eine Einwilligung?
5. Wie sollten meine chinesische Datenschutzerklärung und mein Umgang mit Cookies aussehen?

Unsere Checkliste für eine China-taugliche Website hilft Ihnen, die Fakten vorher zu sammeln. Wenn Sie an Menschen in China verkaufen, planen Sie das vor dem Start, nicht danach.

Das Fazit

Wenn Ihre Seiten Kunden in China ansprechen und deren Daten erheben, planen Sie so, als gelte das PIPL, egal wo Ihr Server steht.

Beginnen Sie mit dem, was Sie kontrollieren: weniger Felder, ein klarer chinesischer Hinweis und eine eigene Einwilligung für Marketing.

Klären Sie die Fragen zu Vertreter und Übermittlung mit einem Berater vor Ort, denn die veröffentlichten Leitlinien beantworten sie nicht.

So kann Index in China helfen

Wir übersetzen Websites mit menschlicher Prüfung in vereinfachtes Chinesisch und arbeiten daran, dass chinesische Suchmaschinen sie indexieren.

Rechtsberatung leisten wir nicht, und wir sagen Ihnen, wenn Ihr Fall einen Berater vor Ort braucht. Unser Angebot ansehen oder ein 30-minütiges Gespräch buchen.

30-Minuten-Gespräch buchen

Monatsbericht BaiduIndexiert Bing ChinaIndexiert SogouIndexiert