Vietnam hat durch das Gesetz zum Schutz personenbezogener Daten Nr. 91/2025/QH15 und die dazugehörigen Durchführungsbestimmungen einen umfassenden Regelungsrahmen zum Schutz personenbezogener Daten eingeführt. Der Regelungsrahmen gilt umfassend für Organisationen, die personenbezogene Daten erheben, verwenden, speichern, offenlegen, übermitteln oder anderweitig verarbeiten.
Angesichts des weiten Anwendungsbereichs der Gesetzgebung unterliegen die meisten in Vietnam tätigen Unternehmen deren Anforderungen. Bereits routinemäßige Tätigkeiten im Zusammenhang mit Mitarbeiterdaten, Kundendatenbanken, cloudbasierten Systemen und Übermittlungen an ausländische Hauptsitze können Compliance-Pflichten auslösen.
Da bei bestimmten Verstößen gegen die Anforderungen an grenzüberschreitende Übermittlungen Verwaltungsstrafen von bis zu 5 % des Gesamtumsatzes der Organisation im vorangegangenen Geschäftsjahr und bei schwerwiegenden Compliance-Verstößen bis zu 3 Mrd. VND verhängt werden können, ist der Schutz personenbezogener Daten zu einem erheblichen rechtlichen und geschäftlichen Risiko geworden.
Überprüfung und Lokalisierung der Einwilligungsmechanismen
Grundsätzlich müssen Organisationen eine wirksame Einwilligung einholen, sofern nach vietnamesischem Recht keine gesetzliche Ausnahme greift.
Übliche Praktiken wie eine konkludente Einwilligung, Schweigen, das Ausbleiben einer Antwort oder die Einbindung einer Datenschutzeinwilligung in globale Unternehmensrichtlinien werden nach vietnamesischem Recht grundsätzlich nicht als wirksame Einwilligungsmechanismen anerkannt.
Erstellung der erforderlichen Folgenabschätzungs-Dossiers
Organisationen, die personenbezogene Daten verarbeiten, müssen grundsätzlich ein Dossier zur Folgenabschätzung der Verarbeitung personenbezogener Daten (DPIA) erstellen. Werden personenbezogene Daten außerhalb Vietnams übermittelt, unter anderem an ausländische Hauptsitze, verbundene Unternehmen oder auf ausländischen Servern gehostete Systeme, kann zusätzlich ein Dossier zur Folgenabschätzung grenzüberschreitender Übermittlungen personenbezogener Daten (TIA) erforderlich sein.
Diese Dossiers müssen grundsätzlich innerhalb von 60 Tagen nach Beginn der jeweiligen Verarbeitungs- oder Übermittlungstätigkeiten fertiggestellt und den zuständigen Behörden vorgelegt werden. Sie sind von der Organisation für behördliche Prüfungen und Audits aufzubewahren.
Benennung eines qualifizierten Datenschutzbeauftragten (DPO)
Vorbehaltlich anwendbarer Ausnahmen kann von Organisationen verlangt werden, einen qualifizierten DPO gemäß den vietnamesischen gesetzlichen Anforderungen zu benennen. Die Benennung sollte formal dokumentiert werden, und multinationale Unternehmensgruppen sollten prüfen, ob bestehende Datenschutzfunktionen auf Gruppenebene den lokalen Anforderungen entsprechen.
Einrichtung interner Datenschutzrichtlinien und Governance-Strukturen
Organisationen wird dringend empfohlen, ein formelles Datenschutzrichtlinien-Framework einzuführen, das Datenerhebung, Aufbewahrung, Zugriffskontrolle, Lieferantenmanagement und Reaktion auf Vorfälle abdeckt. In der Praxis gehört das Fehlen dokumentierter interner Richtlinien häufig zu den ersten Punkten, die bei behördlichen Prüfungen festgestellt werden.
Der neue vietnamesische Regelungsrahmen zum Schutz personenbezogener Daten sieht einige der derzeit strengsten Verwaltungsstrafen nach vietnamesischem Recht vor.
Zusätzlich zu Geldstrafen können die Behörden eine Reihe von Korrektur- und Durchsetzungsmaßnahmen verhängen, darunter die Aussetzung von Verarbeitungstätigkeiten für personenbezogene Daten, die Aussetzung grenzüberschreitender Datenübermittlungen, verpflichtende Abhilfemaßnahmen und Entschädigungen für betroffene Personen.
Wir unterstützen multinationale Unternehmensgruppen und Unternehmen mit ausländischen Investitionen dabei, ihre globalen Datenschutzprogramme an die vietnamesischen Anforderungen zum Schutz personenbezogener Daten anzupassen und das regulatorische Risiko zu minimieren:
Durchführung von Datenschutz-Compliance-Audits zur Identifizierung von Lücken zwischen globalen Datenschutz-Frameworks und den vietnamesischen gesetzlichen Anforderungen;
Erstellung der für die Verarbeitung personenbezogener Daten und grenzüberschreitende Übermittlungen erforderlichen DPIA- und TIA-Dokumentation;
Implementierung praktischer Compliance-Instrumente, einschließlich Einwilligungsmechanismen und interner Richtlinien.
