Implementierung von CRM-Systemen unter Einhaltung chinesischer Datenschutzbestimmungen

Einleitung: Warum das Thema jetzt entscheidend ist

Als Berater mit über zwölf Jahren Erfahrung in der Betreuung ausländischer Unternehmen in China erlebe ich immer wieder, wie unterschätzt die Komplexität der chinesischen Datenschutzgesetze gerade bei CRM-Projekten wird. Viele Investoren denken zunächst: „Wir haben doch eine Datenschutzerklärung und ein Häkchen im Formular – das reicht.“ Doch weit gefehlt. Die Implementierung eines CRM-Systems in China ist kein reines IT-Projekt, sondern ein juristisches, organisatorisches und kulturelles Unterfangen. Wer hier oberflächlich bleibt, riskiert nicht nur Bußgelder, sondern auch den Verlust von Betriebsgenehmigungen oder das Vertrauen der Kunden. In diesem Artikel möchte ich aus der Praxis heraus erklären, wie ausländische Unternehmen CRM-Systeme rechtskonform einführen können – und worauf es wirklich ankommt.

Die zentrale Herausforderung liegt darin, dass chinesische Datenschutzvorschriften – insbesondere das **PIPL** (Personal Information Protection Law) – nicht einfach eine Übersetzung der DSGVO sind. Sie haben eigene Begriffe, eigene Aufsichtsbehörden und eigene Durchsetzungsmechanismen. Ein CRM-System, das in Europa funktioniert, kann in China illegal sein, wenn es personenbezogene Daten ohne separate Einwilligung, ohne lokale Speicherung oder ohne Sicherheitsbewertung verarbeitet. Genau hier setzt dieser Artikel an: Er zeigt, wie Sie von der Planung bis zum Betrieb eines CRM-Systems die chinesischen Datenschutzbestimmungen einhalten und gleichzeitig die Effizienz Ihrer Vertriebs- und Marketingprozesse nicht verlieren.

Ich werde das Thema aus acht Aspekten beleuchten: von der Rechtsgrundlage über die Datenlokalisierung, Einwilligungsmanagement, Auftragsverarbeitung, Sicherheitsmaßnahmen, Mitarbeiterschulung, Audit-Trails bis hin zur Notfallplanung. Jeder Aspekt hat es in sich, und ich werde versuchen, Ihnen nicht nur theoretische Konzepte, sondern auch konkrete Erfahrungen und branchenübliche Fallstricke zu vermitteln. Lassen Sie uns also eintauchen – es lohnt sich, denn ein rechtskonformes CRM ist kein Kostenfaktor, sondern ein Wettbewerbsvorteil.

Rechtsgrundlagen prüfen

Bevor Sie überhaupt einen Server aufstellen oder eine Software auswählen, müssen Sie die relevanten chinesischen Gesetze und Vorschriften kennen. Die drei Säulen sind das **PIPL** (Personal Information Protection Law, seit 2021), das **DSL** (Data Security Law) und das **CSL** (Cybersecurity Law). Dazu kommen zahlreiche Durchführungsbestimmungen, technische Standards und regionale Regelungen – etwa für Shanghai, Peking oder die Greater Bay Area. Als Investor sollten Sie sich nicht auf allgemeine Aussagen verlassen, sondern prüfen, welche Kategorien personenbezogener Daten Ihr CRM verarbeitet: Handelt es sich um normale Kontaktdaten, um sensible Daten wie Gesundheits- oder Finanzinformationen, oder um Daten von Minderjährigen? Je nach Kategorie gelten unterschiedliche Pflichten.

Ein häufiger Fehler ist die Annahme, dass die Einwilligung des Kunden ausreicht. Das PIPL verlangt jedoch in vielen Fällen eine **separate, ausdrückliche Einwilligung** – insbesondere bei sensiblen Daten, bei der Weitergabe an Dritte oder bei grenzüberschreitender Übermittlung. Zudem muss der Verantwortliche nachweisen können, dass die Einwilligung freiwillig, informiert und spezifisch erfolgt ist. In der Praxis bedeutet das: Ihre CRM-Formulare müssen nicht nur einen Haken haben, sondern auch klar und verständlich in Chinesisch (oder einer anderen von der Aufsichtsbehörde akzeptierten Sprache) darüber informieren, welche Daten zu welchem Zweck verarbeitet werden. Ich habe erlebt, dass Unternehmen ihre europäischen Standardtexte einfach maschinell übersetzt haben – das reicht nicht, weil die chinesischen Aufsichtsbehörden bei unklarer Sprache schnell von einem Verstoß ausgehen.

Ein weiterer wichtiger Punkt: Das PIPL unterscheidet zwischen **„Verarbeiter“** und **„Auftragsverarbeiter“**. Wenn Ihr CRM-Anbieter in China ansässig ist, agiert er möglicherweise als Auftragsverarbeiter – dann brauchen Sie einen schriftlichen Vertrag, der die Pflichten nach PIPL abbildet. Wenn der Anbieter außerhalb Chinas sitzt, findet eine grenzüberschreitende Übermittlung statt, die zusätzliche Genehmigungen oder Standardvertragsklauseln erfordert. In meiner Beratungspraxis rate ich dazu, frühzeitig einen chinesischen Rechtsanwalt einzuschalten, der auf Datenschutz spezialisiert ist. Die Kosten dafür sind gering im Vergleich zu den Risiken – ein Bußgeld kann bis zu 50 Millionen RMB oder 5 % des Jahresumsatzes betragen.

Schließlich sollten Sie prüfen, ob Ihr CRM-System auch andere Gesetze berührt, etwa das **Arbeitsrecht** (wenn Mitarbeiterdaten erfasst werden) oder das **Verbraucherschutzrecht** (bei Marketingaktivitäten). Ich erinnere mich an einen Fall, bei dem ein deutscher Maschinenbauer sein CRM in China einführte und dabei die Daten von chinesischen Handelsvertretern speicherte, ohne deren schriftliche Einwilligung zur Weitergabe an die Zentrale in Europa einzuholen. Das führte zu einer Untersuchung durch die Cyberspace-Administration. Die Lektion: **Rechtsgrundlagen sind kein einmaliges Projekt, sondern ein fortlaufender Prozess.**

Datenlokalisierung beachten

Die Datenlokalisierung ist wohl der kritischste Punkt bei der CRM-Implementierung in China. Das **CSL** und das **PIPL** verlangen, dass personenbezogene Daten chinesischer Bürger grundsätzlich innerhalb Chinas gespeichert werden. Eine Übermittlung ins Ausland ist nur unter strengen Bedingungen erlaubt – etwa wenn die Einwilligung vorliegt, ein Standardvertrag mit der ausländischen Empfängerstelle geschlossen wurde oder eine Sicherheitsbewertung durch die Behörden erfolgt ist. In der Praxis bedeutet das: Sie können nicht einfach Ihre europäische CRM-Cloud nutzen und die Daten in Frankfurt oder Virginia speichern. Sie brauchen entweder eine lokale Instanz in China oder einen chinesischen Cloud-Anbieter, der die Daten in China hält.

Oft höre ich: „Wir nutzen doch eine Private Cloud in Shanghai – das reicht doch.“ Ja, aber Vorsicht: Auch bei einer lokalen Speicherung müssen Sie sicherstellen, dass kein Fernzugriff aus dem Ausland möglich ist, der als Übermittlung gewertet werden könnte. Das PIPL definiert „Übermittlung“ nicht nur als physisches Verschieben von Daten, sondern auch als **Ermöglichung des Zugriffs** von außerhalb Chinas. Wenn Ihr IT-Team in Deutschland also direkt auf die chinesische CRM-Datenbank zugreift, liegt eine grenzüberschreitende Übermittlung vor – und die ist genehmigungspflichtig. In einem Projekt für einen Automobilzulieferer haben wir deshalb eine **Zero-Trust-Architektur** implementiert: Der Zugriff erfolgt nur über einen in China gehosteten Jump-Server, alle administrativen Tätigkeiten werden protokolliert, und das europäische Team erhält nur aggregierte, anonymisierte Reports.

Ein weiterer Fallstrick: Viele ausländische CRM-Anbieter (z. B. Salesforce, HubSpot) bieten keine vollständig in China gehostete Lösung an. Dann müssen Sie entweder auf einen lokalen Anbieter wie **Yonyou, Kingdee oder Weimob** ausweichen oder eine **Private-Cloud-Instanz** bei einem chinesischen Rechenzentrum aufbauen. Letzteres ist teuer und komplex, aber oft die einzige Möglichkeit, die Datenlokalisierungspflicht zu erfüllen, ohne die Funktionalität Ihres globalen CRM aufzugeben. Ich rate dazu, frühzeitig mit dem Anbieter zu klären, ob er einen **„China Data Residency“-Modus** anbietet – und ob dieser wirklich alle Daten (auch Backups, Logs, Metadaten) in China hält.

Schließlich sollten Sie bedenken, dass die Datenlokalisierung nicht nur die Speicherung, sondern auch die **Verarbeitung** betrifft. Wenn Ihr CRM-System automatische Analysen durchführt (z. B. Lead-Scoring, Kundenprognosen), müssen diese Prozesse ebenfalls in China stattfinden. Ein Cloud-Dienst, der die Daten zur Analyse an einen Server in Singapur schickt, verstößt gegen die Lokalisierungspflicht. In der Praxis bedeutet das: Sie brauchen eine **lokale Rechenkapazität** oder zumindest eine vertragliche Zusicherung, dass keine Daten das Hoheitsgebiet verlassen. Ich habe Unternehmen gesehen, die wegen eines einzigen API-Calls zu einem US-amerikanischen Analyse-Tool eine Geldstrafe von mehreren Millionen RMB zahlen mussten – das ist kein Kavaliersdelikt.

Einwilligung managen

Das Einwilligungsmanagement ist das Herzstück jedes datenschutzkonformen CRM. Unter dem PIPL muss die Einwilligung **informiert, freiwillig, spezifisch und eindeutig** sein. Das bedeutet: Keine vorangekreuzten Kästchen, keine Bündelung mit anderen Zustimmungen, keine unklaren Formulierungen. In der Praxis müssen Sie für jede Verarbeitungstätigkeit – also für jede Art der Nutzung personenbezogener Daten – eine separate Einwilligung einholen. Das gilt für die Erhebung, die Speicherung, die Weitergabe an Dritte, die Profilbildung und die grenzüberschreitende Übermittlung. Ihr CRM-System muss daher in der Lage sein, **dynamische Einwilligungen** zu verwalten: Der Kunde kann zustimmen, ablehnen oder später widerrufen – und das System muss den Widerruf sofort umsetzen.

Ein häufiges Problem: Viele CRM-Systeme aus Europa oder den USA haben Einwilligungsmechanismen, die auf die DSGVO zugeschnitten sind. Die DSGVO erlaubt in bestimmten Fällen berechtigtes Interesse oder Vertragserfüllung als Rechtsgrundlage. Das PIPL kennt diese Konzepte nicht – es verlangt fast immer eine **ausdrückliche Einwilligung**. Wenn Sie also ein CRM einsetzen, das standardmäßig mit „berechtigtem Interesse“ arbeitet, müssen Sie es umkonfigurieren. In einem Projekt für einen Online-Händler haben wir das CRM so angepasst, dass jeder Datensatz mit einem **Einwilligungs-Tag** versehen wird, der angibt, für welche Zwecke die Einwilligung gilt und wann sie abläuft. Das System verweigert die Verarbeitung, wenn kein gültiges Tag vorhanden ist.

Ein weiterer wichtiger Aspekt: Die Einwilligung muss **nachweisbar** sein. Das PIPL verlangt, dass der Verantwortliche im Streitfall die Einwilligung des Betroffenen vorlegen kann. Ihr CRM muss also nicht nur die Einwilligung speichern, sondern auch **Zeitstempel, IP-Adresse, verwendete Formulierung und Version der Datenschutzerklärung**. Ich empfehle, für jede Einwilligung ein eigenes Audit-Log zu führen, das manipulationssicher ist. In der Praxis hat sich bewährt, die Einwilligung als **separates Datenobjekt** im CRM zu führen, das mit dem Kundenprofil verknüpft ist. So können Sie bei einer Prüfung durch die Behörden schnell und lückenlos nachweisen, dass alle Voraussetzungen erfüllt waren.

Schließlich müssen Sie auch den **Widerruf** der Einwilligung effizient handhaben. Das PIPL gibt dem Betroffenen das Recht, seine Einwilligung jederzeit zu widerrufen – und der Widerruf muss genauso einfach sein wie die Erteilung. Ihr CRM sollte daher eine **Self-Service-Option** bieten, über die Kunden ihre Einwilligungen einsehen, ändern oder zurückziehen können. Wenn das nicht möglich ist, müssen Sie zumindest sicherstellen, dass eingehende Widerrufe (per E-Mail, Telefon oder Formular) innerhalb einer angemessenen Frist – ich empfehle 72 Stunden – im System umgesetzt werden. Andernfalls drohen Bußgelder und Reputationsschäden.

Auftragsverarbeitung regeln

Wenn Sie ein CRM-System von einem externen Anbieter beziehen – sei es ein lokaler chinesischer Anbieter oder ein internationaler mit China-Instanz –, dann liegt in der Regel eine **Auftragsverarbeitung** vor. Das PIPL verlangt, dass Sie als Verantwortlicher mit dem Auftragsverarbeiter einen **schriftlichen Vertrag** schließen, der die Pflichten und Haftungen klar regelt. Dieser Vertrag muss mindestens Folgendes enthalten: den Gegenstand und die Dauer der Verarbeitung, die Art und den Zweck der Verarbeitung, die Kategorien der personenbezogenen Daten, die Pflichten des Auftragsverarbeiters (z. B. Sicherheitsmaßnahmen, Meldung von Datenschutzverletzungen), die Rechte des Verantwortlichen (z. B. Audit-Rechte) und die Bedingungen für die Beendigung. Ohne einen solchen Vertrag riskieren Sie, dass die Behörden die Verarbeitung als illegal einstufen.

In der Praxis habe ich oft gesehen, dass Unternehmen einfach die **Standardvertragsklauseln** ihrer europäischen Muttergesellschaft verwenden. Das ist gefährlich, weil das PIPL andere Begriffe und Pflichten kennt. Ein Beispiel: Das PIPL verlangt, dass der Auftragsverarbeiter **unverzüglich** den Verantwortlichen über eine Datenschutzverletzung informiert – ohne schuldhafte Verzögerung. Die DSGVO spricht von „unverzüglich“ (ohne unangemessene Verzögerung), was ähnlich klingt, aber in der Auslegung Unterschiede aufweist. Ich rate dazu, den Vertrag von einem chinesischen Anwalt prüfen zu lassen und ihn an die **konkreten Gegebenheiten Ihres CRM** anzupassen. Dazu gehört auch, dass der Auftragsverarbeiter keine Unterauftragsverarbeiter ohne Ihre Zustimmung einsetzen darf.

Ein weiterer kritischer Punkt: Die **Haftung** bei Verstößen. Das PIPL erlaubt es dem Verantwortlichen und dem Auftragsverarbeiter, die Haftung vertraglich zu regeln – aber gegenüber dem Betroffenen haftet in der Regel der Verantwortliche. Das bedeutet: Wenn Ihr CRM-Anbieter einen Fehler macht und Daten leaken, sind Sie als Verantwortlicher der erste Ansprechpartner für die Behörden und die Betroffenen. Sie können zwar im Innenverhältnis Regress beim Anbieter nehmen, aber das hilft nicht, wenn der Anbieter insolvent ist oder seinen Sitz im Ausland hat. Deshalb empfehle ich, **Sicherheiten** zu verlangen – etwa eine Bankgarantie oder eine Versicherung – und den Anbieter genau zu prüfen. In einem Fall habe ich erlebt, dass ein lokaler CRM-Anbieter ohne Versicherung war und nach einem Datenleck zahlungsunfähig wurde – der Verantwortliche blieb auf den Kosten sitzen.

Schließlich sollten Sie auch die **Beendigung** der Auftragsverarbeitung regeln. Was passiert mit den Daten, wenn Sie den Anbieter wechseln oder der Vertrag ausläuft? Das PIPL verlangt, dass der Auftragsverarbeiter die Daten nach Weisung des Verantwortlichen **löscht oder zurückgibt** – und zwar so, dass sie nicht wiederhergestellt werden können. Ihr Vertrag muss also klare Fristen und Verfahren für die Datenrückgabe oder -löschung vorsehen. Ich empfehle, die Löschung durch ein **Audit-Zertifikat** nachzuweisen und im CRM-System sicherzustellen, dass keine Kopien oder Backups zurückbleiben. Das ist in der Praxis oft aufwendig, aber unverzichtbar.

Sicherheit gewährleisten

Die technische und organisatorische Sicherheit ist ein zentraler Bestandteil der PIPL-Compliance. Das Gesetz verlangt, dass der Verantwortliche **angemessene Maßnahmen** ergreift, um personenbezogene Daten zu schützen – dazu gehören Verschlüsselung, Zugriffskontrolle, Anonymisierung, Pseudonymisierung und regelmäßige Sicherheitsüberprüfungen. Für CRM-Systeme bedeutet das: Sie müssen sicherstellen, dass alle Daten – sowohl bei der Übertragung als auch im Ruhezustand – **verschlüsselt** sind. Das gilt auch für Backups und Logs. Ich habe Unternehmen gesehen, die ihre CRM-Datenbank unverschlüsselt in einer Public Cloud betrieben haben – das ist ein grober Verstoß, der bei einer Prüfung sofort auffällt.

Ein weiterer wichtiger Aspekt ist die **Zugriffskontrolle**. Nicht jeder Mitarbeiter sollte auf alle Daten zugreifen können. Das PIPL verlangt das **Prinzip der minimalen Berechtigung** – also nur diejenigen Personen, die für ihre Aufgabe unbedingt Zugriff brauchen, dürfen Daten einsehen oder verarbeiten. In der Praxis bedeutet das: Sie brauchen ein **Rollen- und Berechtigungskonzept** in Ihrem CRM, das genau definiert, wer welche Daten sehen, ändern oder löschen darf. Ich empfehle, zusätzlich eine **Multi-Faktor-Authentifizierung** für alle administrativen Zugriffe einzuführen und alle Zugriffe zu protokollieren. In einem Projekt für einen Pharmahersteller haben wir eine **dynamische Zugriffskontrolle** implementiert, die den Zugriff auf sensible Kundendaten nur während der Geschäftszeiten und nur von bestimmten IP-Adressen aus erlaubt.

Ein oft unterschätzter Punkt ist die **Sicherheit der Lieferkette**. Ihr CRM-System besteht nicht nur aus der Software, sondern auch aus Servern, Netzwerken, Betriebssystemen und Drittanbieter-Diensten. Das PIPL verlangt, dass Sie auch diese Komponenten absichern – etwa durch regelmäßige **Penetrationstests**, **Schwachstellen-Scans** und **Patch-Management**. Ich rate dazu, mindestens einmal jährlich ein unabhängiges Sicherheitsaudit durchzuführen und die Ergebnisse der Aufsichtsbehörde auf Verlangen vorzulegen. In einem Fall hat ein Unternehmen nach einem Hackerangriff auf sein CRM festgestellt, dass eine veraltete Open-Source-Bibliothek die Ursache war – die Behörde hat dies als Verstoß gegen die Sicherheitspflichten gewertet und ein Bußgeld verhängt.

Schließlich sollten Sie auch **Notfallpläne** für Datenschutzverletzungen haben. Das PIPL verlangt, dass Sie eine Verletzung unverzüglich den Betroffenen und der zuständigen Behörde melden – es sei denn, die Verletzung ist voraussichtlich nicht schwerwiegend. Ihr CRM-System sollte daher in der Lage sein, **automatische Warnungen** bei verdächtigen Aktivitäten zu generieren und einen **Incident-Response-Prozess** zu unterstützen. Ich empfehle, regelmäßig **Notfallübungen** durchzuführen, damit im Ernstfall alle Beteiligten wissen, was zu tun ist. In meiner Erfahrung sind die meisten Unternehmen nicht auf einen Datenleck vorbereitet – das rächt sich, wenn die Behörde innerhalb von 72 Stunden einen Bericht verlangt.

Mitarbeiter schulen

Technik allein reicht nicht – der Faktor Mensch ist oft die größte Schwachstelle. Das PIPL verlangt, dass der Verantwortliche **Schulungen** für alle Mitarbeiter durchführt, die personenbezogene Daten verarbeiten. Das betrifft nicht nur Ihr internes Team, sondern auch externe Dienstleister, Callcenter-Mitarbeiter und Vertriebspartner, die Zugriff auf Ihr CRM haben. In der Praxis bedeutet das: Sie brauchen ein **Schulungskonzept**, das regelmäßig wiederholt wird und dokumentiert ist. Ich empfehle, mindestens einmal jährlich eine **Datenschutzschulung** durchzuführen und neue Mitarbeiter sofort nach Eintritt zu schulen. Die Schulung sollte nicht nur die rechtlichen Grundlagen vermitteln, sondern auch konkrete **Verhaltensregeln** für den Umgang mit CRM-Daten – etwa: Keine Kundendaten auf private USB-Sticks kopieren, keine Screenshots in sozialen Medien teilen, keine Daten an externe Empfänger ohne Vertrag senden.

Ein häufiger Fehler ist die Annahme, dass die Schulung „einfach mal so“ gemacht werden kann. Das PIPL verlangt jedoch, dass die Schulung **nachweisbar** ist. Sie müssen also Teilnehmerlisten, Schulungsinhalte und Testate dokumentieren. Ich rate dazu, am Ende jeder Schulung einen **kurzen Test** durchzuführen und die Ergebnisse aufzubewahren. In einem Projekt für einen Logistikkonzern haben wir ein **E-Learning-Modul** entwickelt, das die Mitarbeiter in Chinesisch und Englisch schult und automatisch Zertifikate ausstellt. Das hat nicht nur die Compliance verbessert, sondern auch das Bewusstsein für Datenschutz im Alltag geschärft.

Ein weiterer wichtiger Aspekt: Die **Vertraulichkeitserklärungen**. Jeder Mitarbeiter, der Zugriff auf CRM-Daten hat, sollte eine **schriftliche Vertraulichkeitsvereinbarung** unterzeichnen, die ihn verpflichtet, die Daten nur für die vorgesehenen Zwecke zu verwenden und nach Beendigung des Arbeitsverhältnisses alle Kopien zu löschen. Das PIPL verlangt zwar keine explizite Vertraulichkeitserklärung, aber sie ist ein wichtiges Beweismittel, wenn es zu einem Verstoß kommt. Ich empfehle, die Vereinbarung in die **Arbeitsverträge** zu integrieren und bei externen Dienstleistern separate **NDAs** abzuschließen. In einem Fall hat ein Unternehmen einen Mitarbeiter entlassen, der Kundendaten an einen Wettbewerber weitergegeben hatte – dank der Vertraulichkeitserklärung konnte der Verstoß schnell nachgewiesen und rechtliche Schritte eingeleitet werden.

Schließlich sollten Sie auch die **Unternehmenskultur** in den Blick nehmen. Datenschutz ist kein einmaliges Projekt, sondern eine **Haltung**, die von der Führungsebene vorgelebt werden muss. Wenn das Management Datenschutz als lästige Pflicht betrachtet, werden die Mitarbeiter es genauso sehen. Ich rate dazu, regelmäßig **interne Kommunikation** zum Thema Datenschutz zu betreiben – etwa durch Newsletter, Aushänge oder Team-Meetings. In meiner Erfahrung sind die Unternehmen am erfolgreichsten, die Datenschutz als Teil ihrer **Corporate Social Responsibility** verstehen und nicht nur als juristische Notwendigkeit. Das schafft Vertrauen bei Kunden und Mitarbeitern – und das ist langfristig mehr wert als jedes Bußgeld.

Audit-Trails führen

Audit-Trails sind das Gedächtnis Ihres CRM-Systems. Das PIPL verlangt, dass Sie **nachweisen** können, dass Sie die Datenschutzvorschriften einhalten. Dazu gehört, dass Sie für jede Verarbeitungstätigkeit dokumentieren, wer wann welche Daten zu welchem Zweck verarbeitet hat. Ihr CRM-System muss daher über eine **lückenlose Protokollierung** verfügen. Das betrifft nicht nur Änderungen an Kundendaten, sondern auch Zugriffe, Exporte, Löschungen und Einwilligungen. In der Praxis bedeutet das: Sie brauchen ein **Audit-Log**, das manipulationssicher ist und mindestens für die gesetzlich vorgeschriebene Frist – in der Regel drei Jahre – aufbewahrt wird. Ich empfehle, die Logs **unveränderbar** zu speichern (z. B. durch Write-Once-Read-Many-Technologie) und regelmäßig zu sichern.

Ein häufiges Problem: Viele CRM-Systeme protokollieren zwar Änderungen, aber nicht **wer** die Änderung vorgenommen hat. Das ist ein gravierender Mangel, denn im Streitfall müssen Sie nachweisen können, welcher Mitarbeiter für einen Verstoß verantwortlich ist. Ihr CRM sollte daher **Benutzerkonten** mit eindeutigen IDs führen und jede Aktion mit dem Benutzer verknüpfen. In einem Projekt für einen Finanzdienstleister haben wir ein **zentrales Log-Management** eingeführt, das alle CRM-Aktivitäten in Echtzeit erfasst und bei verdächtigen Mustern Alarm auslöst. Das hat nicht nur die Compliance verbessert, sondern auch die interne Revision erheblich erleichtert.

Ein weiterer wichtiger Aspekt: Die **Aufbewahrungsfristen**. Das PIPL verlangt, dass personenbezogene Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Ihr CRM muss also in der Lage sein, **automatische Löschroutinen** auszuführen – etwa nach Ablauf der Einwilligung, nach Beendigung der Geschäftsbeziehung oder nach Ablauf gesetzlicher Aufbewahrungsfristen. Ich rate dazu, für jede Datenkategorie eine **Löschfrist** zu definieren und im CRM zu hinterlegen. In der Praxis hat sich bewährt, die Löschung durch ein **Vier-Augen-Prinzip** zu genehmigen und zu dokumentieren. So vermeiden Sie versehentliche Löschungen und haben gleichzeitig einen Nachweis für die Behörden.

Schließlich sollten Sie auch **externe Audits** in Betracht ziehen. Das PIPL verlangt zwar keine regelmäßigen externen Prüfungen, aber sie sind ein wichtiges Instrument, um die eigene Compliance zu überprüfen und zu verbessern. Ich empfehle, mindestens alle zwei Jahre ein **Datenschutzaudit** durch eine unabhängige Wirtschaftsprüfungsgesellschaft oder einen spezialisierten Anwalt durchführen zu lassen. Die Ergebnisse können Sie nutzen, um Schwachstellen zu beheben und gegenüber Kunden und Behörden Ihre Sorgfalt zu belegen. In meiner Erfahrung sind die Unternehmen am besten aufgestellt, die Audits nicht als lästige Pflicht, sondern als **Chance zur Verbesserung** begreifen.

Notfallplan erstellen

Ein Notfallplan für Datenschutzverletzungen ist kein Nice-to-have, sondern eine **gesetzliche Pflicht**. Das PIPL verlangt, dass Sie bei einer Verletzung unverzüglich die Betroffenen und die zuständige Behörde informieren – es sei denn, die Verletzung ist voraussichtlich nicht schwerwiegend. Was „unverzüglich“ bedeutet, ist nicht genau definiert, aber in der Praxis geht man von **72 Stunden** aus, ähnlich wie bei der DSGVO. Ihr Notfallplan muss also klar regeln, wer im Ernstfall welche Schritte einleitet, wen er informiert und wie die Kommunikation mit den Betroffenen und der Behörde erfolgt. Ich empfehle, den Plan **schriftlich** zu fixieren und regelmäßig zu üben – mindestens einmal jährlich.

Ein häufiger Fehler: Unternehmen haben zwar einen Notfallplan, aber er ist **veraltet** oder **unvollständig**. Beispielsweise fehlen aktuelle Kontaktdaten der Behörden, oder die Zuständigkeiten sind nicht klar geregelt. In einem Fall habe ich erlebt, dass ein Unternehmen nach einem Datenleck drei Tage brauchte, um den Vorfall zu melden – weil niemand wusste, wer die Behörde kontaktieren soll. Das führte zu einem Bußgeld wegen verspäteter Meldung. Ihr Notfallplan sollte daher **regelmäßig aktualisiert** werden – mindestens einmal jährlich – und alle relevanten Stakeholder einbeziehen: IT, Recht, Kommunikation, Geschäftsführung und externe Dienstleister.

Ein weiterer wichtiger Aspekt: Die **Kommunikation** im Notfall. Das PIPL verlangt, dass Sie die Betroffenen **klar und verständlich** über die Verletzung informieren – welche Daten betroffen sind, welche Folgen drohen und welche Maßnahmen Sie ergriffen haben. Die Kommunikation sollte in **Chinesisch** erfolgen (oder in der Sprache, in der die Betroffenen angesprochen wurden). Ich rate dazu, **Vorlagen** für solche Mitteilungen vorzubereiten, damit im Ernstfall keine Zeit verloren geht. In einem Projekt für einen E-Commerce-Anbieter haben wir eine **mehrsprachige Notfallkommunikation** aufgebaut, die automatisch aus dem CRM heraus versendet werden kann. Das hat die Reaktionszeit erheblich verkürzt.

Schließlich sollten Sie auch die **Nachbereitung** regeln. Nach einem Vorfall müssen Sie analysieren, wie es dazu kommen konnte, und Maßnahmen ergreifen, um ähnliche Vorfälle in Zukunft zu vermeiden. Das PIPL verlangt zwar keine explizite Nachbereitung, aber sie ist ein wichtiger Bestandteil eines **kontinuierlichen Verbesserungsprozesses**. Ich empfehle, nach jedem Vorfall – und sei er noch so klein – ein **Post-Mortem** durchzuführen und die Ergebnisse in den Notfallplan einfließen zu lassen. In meiner Erfahrung sind die Unternehmen am resilientesten, die aus Fehlern lernen und ihre Prozesse ständig anpassen.

Fazit und Ausblick

Die Implementierung eines CRM-Systems unter Einhaltung chinesischer Datenschutzbestimmungen ist eine komplexe Aufgabe, die juristisches Know-how, technisches Verständnis und organisatorische Sorgfalt erfordert. In diesem Artikel habe ich acht Aspekte beleuchtet: von den Rechtsgrundlagen über die Datenlokalisierung, das Einwilligungsmanagement, die Auftragsverarbeitung, die Sicherheit, die Mitarbeiterschulung, die Audit-Trails bis hin zum Notfallplan. Jeder dieser Aspekte ist wichtig, und keiner darf vernachlässigt werden. Als Berater mit über zwölf Jahren Erfahrung in der Betreuung ausländischer Unternehmen in China weiß ich, dass die größte Gefahr nicht in den offensichtlichen Verstößen liegt, sondern in den **übersehenen Details** – etwa einem unklaren Einwilligungstext, einem fehlenden Auftragsverarbeitungsvertrag oder einem unzureichenden Audit-Log.

Die gute Nachricht: Mit der richtigen Vorbereitung und der Unterstützung erfahrener Berater ist die Compliance erreichbar. Unternehmen, die frühzeitig in Datenschutz investieren, gewinnen nicht nur Rechtssicherheit, sondern auch das **Vertrauen ihrer Kunden** – und das ist in China ein entscheidender Wettbewerbsvorteil. In Zukunft werden die Anforderungen eher strenger als lockerer werden: Die chinesischen Behörden haben angekündigt, die Durchsetzung des PIPL zu intensivieren, und neue Technologien wie KI und Big Data werden zusätzliche Regulierungen nach sich ziehen. Mein Rat an Investoren: Betrachten Sie Datenschutz nicht als Kostenfaktor, sondern als **strategische Investition** in Ihren China-Erfolg. Und scheuen Sie sich nicht, externe Expertise einzuholen – die Kosten dafür sind gering im Vergleich zu den Risiken, die Sie vermeiden.

Abschließend möchte ich Ihnen eine **vorausschauende Überlegung** mitgeben: Die Digitalisierung in China schreitet rasant voran, und CRM-Systeme werden immer leistungsfähiger – aber auch immer datenintensiver. Wer heute die Grundlagen der Compliance legt, wird morgen die Früchte ernten. Wer sie ignoriert, riskiert nicht nur Bußgelder, sondern auch den Ausschluss vom chinesischen Markt. Ich hoffe, dieser Artikel hat Ihnen geholfen, die Komplexität zu verstehen und die richtigen Schritte einzuleiten. Bei Fragen stehe ich Ihnen gerne zur Verfügung – denn Datenschutz ist eine Gemeinschaftsaufgabe, bei der wir alle voneinander lernen können.

Zusammenfassende Einschätzung von Jiaxi Steuerberatung

Die Jiaxi Steuerberatung begleitet seit über 14 Jahren ausländische Unternehmen bei der Registrierung und Compliance in China. Aus unserer Sicht ist die Implementierung eines CRM-Systems unter Einhaltung der chinesischen Datenschutzbestimmungen eine der anspruchsvollsten Aufgaben, die wir in der Praxis sehen. Viele Unternehmen unterschätzen die **Datenlokalisierungspflicht** und die **separate Einwilligung** – beides führt regelmäßig zu Bußgeldern und Verzögerungen. Wir empfehlen dringend, vor der Einführung eines CRM-Systems eine **Datenschutz-Folgenabschätzung** durchzuführen und einen chinesischen Anwalt für Datenschutzrecht hinzuzuziehen. Zudem raten wir dazu, die **Auftragsverarbeitung** vertraglich wasserdicht zu regeln und **Audit-Trails** sowie **Notfallpläne** von Anfang an mitzudenken. Unsere Erfahrung zeigt: Wer Datenschutz als integralen Bestandteil der CRM-Strategie begreift, spart langfristig Kosten und gewinnt das Vertrauen von Kunden und Behörden. Die Jiaxi Steuerberatung steht Ihnen mit ihrem interdisziplinären Team aus Steuerberatern, Juristen und IT-Spezialisten zur Seite – von der ersten Planung bis zur laufenden Compliance. Zögern Sie nicht, uns für ein unverbindliches Erstgespräch zu kontaktieren. Gemeinsam sorgen wir dafür, dass Ihr CRM in China nicht nur funktioniert, sondern auch rechtssicher ist.