Daten von Mitarbeitern in China an die Zentrale im Ausland: die HR-Ausnahme

1. Ermitteln, was die Zentrale tatsächlich einsehen kann

Erfassen Sie die Arbeitgebergesellschaft in China, die Empfänger und Dienstleister im Ausland, Zugriffsorte, Nutzer, Zwecke, Datenfelder und Aufbewahrungsfristen. Berücksichtigen Sie Anhänge und Fernzugriffe und nicht nur exportierte Tabellen. Die Fragen und Antworten der chinesischen Cyberspace-Verwaltung (CAC) vom Oktober 2025 erläutern, dass der Zugriff aus dem Ausland auf in China gespeicherte Daten eine Datenübermittlung ins Ausland darstellen kann. Greifen Mitarbeiter einer ausländischen Organisation während ihres Aufenthalts in China auf Daten zu, ohne sie ins Ausland zu übertragen, gilt dies nicht allein wegen der ausländischen Eigenschaft der Organisation als Datenübermittlung ins Ausland.

Dokumentieren Sie für jedes angeforderte Datenfeld die konkrete Personalentscheidung und weshalb identifizierbare Informationen diesem Empfänger zur Verfügung gestellt werden müssen. Prüfen Sie beispielsweise, ob die Zentrale jede einzelne Bankkontonummer oder nur die Gesamtsumme der Entgeltzahlungen benötigt; dies ist eine Frage der Erforderlichkeit und keine Annahme, eine der beiden Gestaltungen sei stets rechtmäßig. Trennen Sie optionale Konzernanalysen und Bewerbungsunterlagen von der Mitarbeiterverwaltung. Ein einziges System kann Datenflüsse mit unterschiedlichen Rechtsgrundlagen enthalten.

2. Die HR-Ausnahme belegen, statt ihre konzernweite Geltung vorauszusetzen

Artikel 5(1)(2) der Bestimmungen zur Förderung und Regulierung grenzüberschreitender Datenflüsse betrifft Mitarbeiterinformationen, deren Übermittlung ins Ausland für die grenzüberschreitende Personalverwaltung nach rechtmäßig erlassenen betrieblichen Arbeitsregelungen und rechtmäßig abgeschlossenen Kollektivverträgen tatsächlich erforderlich ist. Bei Übermittlungen, die diese Voraussetzungen erfüllen, entfallen die Anmeldung zur Sicherheitsbewertung, der Abschluss des vorgeschriebenen Standardvertrags für die Übermittlung personenbezogener Informationen ins Ausland und die Zertifizierung zum Schutz personenbezogener Informationen. Artikel 5 nimmt „wichtige Daten“ von der Ausnahme aus. Sind die Voraussetzungen nicht nachgewiesen, prüfen Sie den anwendbaren Übermittlungsweg gesondert, bevor der Zugriff beginnt.

Bewahren Sie die tatsächlich geltenden chinesischen Regelungen, die Unterlagen zu den Kollektivverträgen und die Nachweise über ihren rechtmäßigen Erlass beziehungsweise Abschluss und ihre Umsetzung auf. Eine Vorlage der Zentrale oder der Hinweis, die Plattform sei praktisch, genügt nicht. Die Fragen und Antworten vom Oktober 2025 verlangen für Personalausweise, Reisepässe und Bankkonten von Mitarbeitern eine auf den konkreten Sachverhalt bezogene Prüfung der Erforderlichkeit und Datenminimierung. Die Ausnahme ist keine allgemeine Erlaubnis, diese Unterlagen hochzuladen. Entfernen Sie Datenfelder oder beschränken Sie den Zugriff aus dem Ausland, wenn das Projekt sie nicht rechtfertigen kann.

3. Einwilligung und Übermittlungsverfahren getrennt prüfen

Artikel 13 des Gesetzes der Volksrepublik China zum Schutz personenbezogener Informationen (PIPL) legt Rechtsgrundlagen für die Verarbeitung fest, darunter die erforderliche Personalverwaltung nach den dort bezeichneten rechtmäßigen Regelungen und Kollektivverträgen. Die Fragen und Antworten der CAC vom Juli 2026 bestätigen, dass eine unter Artikel 13(1)(2)–(7) fallende Übermittlung ins Ausland keine Einwilligung der betroffenen Person erfordert, die Informationspflicht über die Auslandsübermittlung aber bestehen bleibt. Dokumentieren Sie, weshalb die konkrete Tätigkeit eine Rechtsgrundlage erfüllt, die ohne Einwilligung auskommt. Die bloße Berechtigung zu einer Ausnahme vom Übermittlungsverfahren ersetzt diese Prüfung nicht.

Die Information nach Artikel 39 sollte den Empfänger im Ausland und seine Kontaktdaten, die Zwecke, Verarbeitungsmethoden, Informationskategorien sowie die Wege und Verfahren zur Ausübung von Rechten gegenüber diesem Empfänger nennen. Erfüllen Sie auch die allgemeinen Informationspflichten nach Artikel 17, einschließlich der Aufbewahrungsdauer. Soweit eine gesonderte Einwilligung erforderlich ist, holen Sie eine konkrete, informierte Entscheidung statt einer gebündelten Ermächtigung ein. Prüfen Sie bei sensiblen Informationen nach den Artikeln 28–30 den spezifischen Zweck, die hinreichende Erforderlichkeit, strenge Schutzmaßnahmen und die zusätzliche Erläuterung der Notwendigkeit und der Auswirkungen auf Rechte und Interessen.

4. Bewerbungsdaten anhand ihrer konkreten Umstände prüfen

Die Fragen und Antworten vom Juli 2026 ziehen eine konkrete Grenze: Ist die Zentrale oder eine verbundene Gesellschaft im Ausland nicht an Einstellungsentscheidungen in China beteiligt, fehlt es an der Erforderlichkeit einer Übermittlung von Bewerberlebensläufen ins Ausland. Ist sie unmittelbar beteiligt, beschränken Sie die betroffenen Bewerber und Datenfelder auf das für diese Entscheidung erforderliche Minimum und erfüllen Sie die einschlägigen Übermittlungsanforderungen. Ordnen Sie nicht automatisch jeden Bewerber als Mitarbeiter ein, der unter die HR-Ausnahme fällt.

Klären Sie vor der Aktivierung eines globalen Bewerbungsmoduls, wer tatsächlich die Entscheidung trifft, welche Kandidaten im Ausland geprüft werden müssen und wann der Zugriff endet. Ein breiter Bewerberpool für künftige Konzernstellen verfolgt einen anderen Zweck als die Entscheidung über eine einzelne offene Stelle in China. Prüfen Sie diesen Zweck und seine Rechtsgrundlage gesondert; übernehmen Sie die Begründung für eine aktuelle Einstellung nicht ungeprüft. Bilden Sie diese Unterscheidung in den Systemberechtigungen und in der Information an Betroffene ab, nicht nur in einem Rechtsvermerk.

5. Bewertung und Freigabeunterlagen vervollständigen

Die Artikel 55–56 des PIPL verlangen vor einer Übermittlung ins Ausland eine Bewertung der Auswirkungen auf den Schutz personenbezogener Informationen sowie Aufzeichnungen über die Verarbeitung. Prüfen Sie Rechtmäßigkeit, Erforderlichkeit, Auswirkungen auf Einzelpersonen, Risiken und Schutzmaßnahmen. Bewahren Sie den Bewertungsbericht und die Verarbeitungsaufzeichnungen mindestens 3 Jahre auf. Dies bedeutet nicht, dass jedes zugrunde liegende Personaldokument 3 Jahre aufzubewahren ist: Artikel 19 verlangt grundsätzlich die kürzeste für den Zweck erforderliche Aufbewahrungsdauer, sofern Gesetze oder Verwaltungsverordnungen nichts anderes vorsehen.

Stellen Sie die Übersicht der Datenflüsse, die Prüfung der Erforderlichkeit für jedes Datenfeld, die Unterlagen zu Regelungen und Kollektivverträgen, die Bewertung der Ausnahme oder eines alternativen Übermittlungswegs, die Informationen an Betroffene und gegebenenfalls erforderliche Einwilligungsnachweise, die Folgenbewertung, die Vereinbarungen mit Empfängern und die Zugriffskontrollen zusammen. Artikel 38 verlangt Maßnahmen, die sicherstellen, dass der Empfänger im Ausland die Schutzstandards des PIPL erfüllt; bei einem mit der Verarbeitung beauftragten Dienstleister sind außerdem die vertraglichen Vereinbarungen und Vorkehrungen zur Überwachung nach Artikel 21 erforderlich. Legen Sie die Zuständigkeiten für Löschung, Anträge zur Ausübung von Rechten und Vorfälle fest. Überprüfen Sie die Analyse erneut, bevor Sie weitere Empfänger, Datenfelder oder Verwendungszwecke hinzufügen.

Übermitteln Sie für eine erste rechtliche Prüfung eine nicht vertrauliche Beschreibung der chinesischen Gesellschaft, des Zwecks der Personalverwaltung, der Standorte der Empfänger, der ungefähren Mitarbeiterzahl und der vorgesehenen Datenkategorien. Senden Sie bei der ersten Anfrage keine Personalausweise, Bankdaten oder Lebensläufe von Mitarbeitern beziehungsweise Bewerbern. Vereinbaren Sie ein sicheres Prüfverfahren für die ausführlichen Unterlagen.