Vietnam: Einwilligung, Verarbeitung ohne Einwilligung und Betroffenenrechte nach Gesetz 91/2025 und Dekret 356/2025, mit den Fristen für Widerruf, Auskunft und Löschung

Problem in der Praxis

Deutsche Unternehmen bringen nach Vietnam meist ein Datenschutzprogramm mit, das auf eine Vielzahl von Rechtsgrundlagen zugeschnitten ist, und übertragen es unverändert. Das führt zu drei typischen Lücken.

Die erste ist die Grundlage selbst. Wer Verarbeitungen in Vietnam auf ein allgemeines Interesse des Unternehmens stützen will, findet im Katalog des Art. 19 Abs. 1 Gesetz 91/2025 keine entsprechende Generalklausel. Eigene Interessen des Unternehmens schützt der Katalog nur im Zusammenhang mit der notwendigen Abwehr gegen eine Verletzungshandlung, und für diesen Buchstaben trägt das Unternehmen die Beweislast. Was nicht von Art. 19 oder einem anderen Gesetz gedeckt ist, braucht eine Einwilligung.

Die zweite ist die Form. Eine Häkchen-Lösung mit vorausgewähltem Feld, eine einzige undifferenzierte Zustimmung zu mehreren Zwecken oder eine Einwilligung, die als Bedingung für einen anderen Zweck abgefragt wird, scheitern an Art. 9 Abs. 4 Gesetz 91/2025 und an Art. 6 Abs. 3 Dekret 356/2025. Fehlt der gespeicherte Nachweis, wer wann was erlaubt hat, trägt das Unternehmen im Streit das Risiko.

Die dritte sind die Fristen. Ein Betroffenenprozess, der für Anträge einen Monat Bearbeitungszeit einplant, reißt in Vietnam schon die Antwortfrist von zwei Arbeitstagen und, je nach Recht, die Ausführungsfrist von 10, 15 oder 20 Tagen. Besonders oft unterschätzt: Wenn die Daten bei einem Dienstleister oder in einem Konzernsystem in Deutschland liegen, muss der vietnamesische Verantwortliche diese Stellen innerhalb der Frist mitnehmen.

CISO-Einordnung

Was eine wirksame Einwilligung ausmacht. Art. 9 Abs. 2 Gesetz 91/2025 knüpft die Wirksamkeit an Freiwilligkeit und an die Kenntnis von drei Dingen: Art der verarbeiteten Daten und Zweck, Identität des Verantwortlichen (bên kiểm soát dữ liệu cá nhân) oder der Stelle in kombinierter Rolle (bên kiểm soát và xử lý dữ liệu cá nhân) sowie Rechte und Pflichten der betroffenen Person. Nach Art. 9 Abs. 3 muss die Einwilligung klar und spezifisch ausgedrückt werden, in einer Form, die sich drucken oder schriftlich kopieren lässt, einschließlich elektronischer oder überprüfbarer Formate. Art. 9 Abs. 4 fügt vier Grundsätze hinzu: Einwilligung je Zweck; keine Koppelung an eine Pflichteinwilligung für Zwecke, die vom Vereinbarungsinhalt abweichen; Geltung, bis die Person sie ändert oder das Recht etwas anderes bestimmt; und Schweigen oder ausbleibende Reaktion gelten nicht als Einwilligung.

Dekret 356/2025 konkretisiert die Form in Art. 6. Jede Methode muss überprüfbar machen, dass die Person eingewilligt hat, wann und mit welchem Inhalt. Als Wege nennt das Dekret unter anderem Schriftform, aufgezeichnete Anrufe, Zustimmung per Kurznachricht und technische Einwilligungsfunktionen in E-Mail, Website, Plattform oder App, dazu andere geeignete Wege, die sich drucken oder kopieren lassen. Der Verantwortliche muss die Einwilligung speichern und trägt im Streitfall die Beweislast. Voreingestellte Zustimmung und unklare oder irreführende Hinweise, die Zustimmung und Ablehnung verwischen, sind untersagt; Voreinstellungen müssen den Datenschutzgrundsätzen genügen. Bei sensiblen Daten (dữ liệu cá nhân nhạy cảm) muss die Person darauf hingewiesen werden, dass es sich um sensible Daten handelt. Welche Daten sensibel sind, ordnet vn-pdpl-002 ein.

Einwilligung vor der Erhebung. Art. 11 Abs. 1 Gesetz 91/2025 verlangt die Einwilligung vor der Erhebung, sofern das Recht nichts anderes bestimmt. Analyse und Zusammenführung dürfen Unternehmen nach Art. 11 Abs. 3 nur aus Datenquellen betreiben, die rechtmäßig verarbeitet werden dürfen. Das betrifft Datenanreicherung und Auswertungen über zugekaufte oder fremde Bestände unmittelbar.

Verarbeitung ohne Einwilligung (Art. 19). Der Katalog des Art. 19 Abs. 1 umfasst den Schutz von Leben, Gesundheit, Ehre, Würde, Rechten und rechtmäßigen Interessen der Person oder anderer in dringenden Fällen sowie die notwendige Abwehr gegen Handlungen, die eigene oder fremde Rechte, berechtigte Interessen oder Interessen des Staates oder von Organisationen verletzen; für diesen Buchstaben tragen Verantwortliche, Verarbeiter, Stellen in kombinierter Rolle und Dritte die Beweislast. Weiter erfasst sind Notstand, Gefahren für die nationale Sicherheit sowie die Bekämpfung von Aufruhr, Terrorismus, Kriminalität und Rechtsverstößen; die Tätigkeit staatlicher Stellen und die staatliche Verwaltung; die Erfüllung einer Vereinbarung der betroffenen Person mit der jeweiligen Stelle nach Maßgabe des Rechts; und andere gesetzlich geregelte Fälle. Für ein Unternehmen ist die Vereinbarung, also etwa Arbeits- oder Kundenvertrag, die tragende Grundlage neben der Einwilligung. Welche anderen Gesetze, etwa Arbeits- oder Steuerrecht, eine Verarbeitung ohne Einwilligung erlauben, liegt im Quellensatz nicht vor; dazu trifft dieser Artikel keine Aussage.

Art. 19 Abs. 2 verlangt von jeder Stelle, die ohne Einwilligung verarbeitet, einen Überwachungsmechanismus: festgelegte Verfahren und Verantwortlichkeiten, angemessene Schutzmaßnahmen mit regelmäßiger Risikobewertung, periodische Prüfung der Einhaltung und einen Weg für Hinweise und Beschwerden. Das ist keine Erleichterung, sondern eine eigene Organisationspflicht.

Widerruf und Einschränkung (Art. 10). Die betroffene Person kann den Widerruf (rút lại sự đồng ý) und die Einschränkung der Verarbeitung (hạn chế xử lý) verlangen, wenn sie Zweifel an Umfang oder Zweck der Verarbeitung oder an der Richtigkeit der personenbezogenen Daten hat, außer in den Fällen des Art. 19 oder wenn das Recht anderes bestimmt. Ob sich die Zweifelsbedingung nur auf die Einschränkung oder auch auf den Widerruf bezieht, lässt der Satzbau offen; Art. 4 Abs. 1 Buchst. b nennt das Recht auf Widerruf ohne diese Bedingung. Der Antrag ist schriftlich, auch elektronisch oder in überprüfbarer Form, an den Verantwortlichen oder die Stelle in kombinierter Rolle zu richten und wird nach Recht und Vereinbarung der Parteien abgewickelt. Der Verantwortliche nimmt ihn entgegen, führt ihn aus und verlangt die Ausführung auch vom Verarbeiter (bên xử lý dữ liệu cá nhân). Der Widerruf wirkt nicht zurück auf die Verarbeitung vor dem Antrag.

Die Betroffenenrechte (Art. 4). Die Person hat ein Recht auf Kenntnis der Verarbeitung, auf Einwilligung, Ablehnung und Widerruf, auf Einsicht und Berichtigung, auf Bereitstellung, Löschung und Einschränkung, auf Widerspruch, auf Beschwerde, Anzeige, Klage und Schadensersatz nach Maßgabe des Rechts und darauf, dass zuständige Behörden oder beteiligte Stellen Schutzmaßnahmen für ihre Daten ergreifen. Das Gesetz stellt der Rechtsausübung Grenzen gegenüber: Nach Art. 4 Abs. 3 muss die Person im Rahmen des Rechts und ihrer vertraglichen Pflichten und zum Schutz ihrer eigenen rechtmäßigen Interessen handeln, darf die rechtlichen Pflichten der Verantwortlichen und Verarbeiter nicht behindern und keine Rechte des Staates oder anderer verletzen. Umgekehrt dürfen Unternehmen die Ausübung nach Art. 4 Abs. 4 nicht erschweren oder behindern.

Einzelne Rechte haben eigene Bedingungen. Die Löschung findet nach Art. 14 Abs. 1 unter anderem auf Antrag der Person statt, die dabei mögliche Risiken und Schäden für sich akzeptiert und die Grundsätze des Art. 4 Abs. 3 einhält, außerdem nach Zweckerfüllung, nach Ablauf gesetzlicher Speicherfristen, auf behördliche Entscheidung und nach Vereinbarung. Nach Art. 14 Abs. 2 wird ein Löschantrag nicht erfüllt in den Fällen des Art. 19 oder wenn die Löschung gegen Art. 4 Abs. 3 verstieße. Die Löschung muss sicher sein und eine unbefugte Wiederherstellung verhindern; Verarbeiter und Dritte sind einzubeziehen. Ist Berichtigung (Art. 13 Abs. 3) oder Löschung (Art. 14 Abs. 5) aus berechtigtem Grund nicht möglich, ist die anfragende Person beziehungsweise die betroffene Person zu informieren. Die Bereitstellung an die Person selbst ist nach Art. 15 Abs. 2 Buchst. a ausgeschlossen, wenn sie Verteidigung, nationale Sicherheit oder öffentliche Ordnung schädigen oder Leben, Gesundheit oder Eigentum anderer verletzen könnte.

Die Fristen nach Dekret 356/2025. Art. 4 Abs. 5 Gesetz 91/2025 verpflichtet Verantwortliche und Stellen in kombinierter Rolle, Anträge zeitnah in den gesetzlichen Fristen zu erfüllen, und überlässt die Einzelheiten der Regierung. Art. 5 Dekret 356/2025 regelt sie so: Zunächst muss der Verantwortliche klare Verfahren, Abläufe und Formulare für die Rechte schaffen, Zuständigkeiten festlegen und die Person über das Verfahren informieren (Abs. 1). Geht ein verfahrensgemäßer Antrag ein, ist in jedem der geregelten Fälle innerhalb von zwei Arbeitstagen zu antworten und die Person vollständig über das Verfahren zu informieren. Für die Ausführung gilt:

• Widerruf, Einschränkung und Widerspruch (Abs. 2): Ausführung in 15 Tagen; müssen Verarbeiter oder Dritte zur Einstellung der Verarbeitung aufgefordert werden, in 20 Tagen. Diese Fristen gelten nicht bei Verarbeitung ohne Einwilligung nach Art. 19 Gesetz 91/2025. Einmalige Verlängerung um höchstens 15 Tage.
• Einsicht, Berichtigung und Bereitstellung (Abs. 3): Ausführung in 10 Tagen; müssen Verarbeiter oder Dritte die Daten berichtigen, in 15 Tagen. Einmalige Verlängerung um höchstens 10 Tage.
• Löschung (Abs. 4): Ausführung in 20 Tagen; müssen Verarbeiter oder Dritte eingebunden werden, in 30 Tagen, wobei der Satz an dieser Stelle neben der Löschung auch Bereitstellung und Einschränkung nennt. Einmalige Verlängerung um höchstens 20 Tage.
• Verlangen von Schutzmaßnahmen (Abs. 5): Ausführung in 15 Tagen, einmalige Verlängerung um höchstens 15 Tage.

Jede Verlängerung ist nach Art und Komplexität des Antrags nur einmal zulässig, die Gründe sind der Person mitzuteilen, und der Verantwortliche muss beweisen, dass sie notwendig und angemessen war. Drei Punkte lässt die Quelle offen: Die Zweitagesfrist ist ausdrücklich in Arbeitstagen bemessen, die Ausführungsfristen nur in "Tagen", ohne dass das Dekret sagt, ob Kalender- oder Arbeitstage gemeint sind; ob die Ausführungsfrist ab Eingang oder ab der Antwort läuft, sagt Art. 5 nicht ausdrücklich; und wie der Satz zu Verarbeitern und Dritten in Abs. 4 sich zu den Fristen in Abs. 2 und 3 verhält, regelt der Text nicht. Für das Recht auf Kenntnis und für Beschwerde, Klage und Schadensersatz nennt Art. 5 keine eigene Frist.

Weitergabe im Inland und im Konzern (Art. 15 bis 17). Die Bereitstellung an andere Stellen braucht nach Art. 15 Abs. 2 Buchst. b die Einwilligung, soweit das Recht nichts anderes bestimmt. Die Übertragung (chuyển giao) ist nach Art. 17 Abs. 1 unter anderem mit Einwilligung, zwischen Abteilungen derselben Stelle für den festgelegten Zweck, bei Umstrukturierungen, an Verarbeiter oder Dritte zur Verarbeitung nach Maßgabe des Rechts, auf behördliches Verlangen und in den Fällen des Art. 19 Abs. 1 zulässig; in diesen Fällen gilt sie nach Abs. 2 nicht als verbotener Kauf oder Verkauf von Daten (Art. 7 Nr. 6), auch wenn Entgelt fließt. Für entgeltliche Übertragungen mit Einwilligung oder an Verarbeiter oder Dritte, die der Erbringung eines Dienstes für die Person oder ihren rechtmäßigen Interessen dienen, stellt Art. 7 Abs. 3 Dekret 356/2025 zusätzliche Bedingungen: ein transparentes technisches Verfahren, mit dem die Person für jede einzelne Übertragung genau und klar einwilligt, in Kenntnis von Zweck und Empfänger; Verarbeitung nur für den eingewilligten Zweck und im Rahmen der eingetragenen Geschäftstätigkeit; Begrenzung der Daten auf diesen Zweck; keine Bildung von Datenbeständen für andere Zwecke; klare Rollenverteilung; und eine Vereinbarung vor der Übertragung. Art. 7 Abs. 1 Dekret 356/2025 verlangt für Übertragungen mit Einwilligung, bei Umstrukturierung und an Verarbeiter oder Dritte (Art. 17 Abs. 1 Buchst. a, c und d) eine Vereinbarung mit dem Empfänger, die unter anderem Zweck, Datenkategorien, Dauer und Löschung sowie die Verantwortung für Schutz, Betroffenenrechte und Verstöße festlegt; für sensible Daten sind zusätzliche Schutzmaßnahmen bei der Übertragung vorgeschrieben, und für die interne Weitergabe zwischen Abteilungen ein Kontrollverfahren gegen unbefugte Weitergabe an Dritte. Für Übertragungen in den Fällen des Art. 19 Abs. 1 (Art. 17 Abs. 1 Buchst. e) nennt Art. 7 Abs. 1 Dekret keine Vereinbarungspflicht. Stellt ein Unternehmen Daten auf einen einzelnen konkreten Antrag der betroffenen Person nach Art. 15 Abs. 2 bereit, gilt das nach Art. 7 Abs. 6 Dekret nicht als Übertragung, und die Regeln des Art. 7 sind nicht anzuwenden. Veröffentlichen darf ein Unternehmen personenbezogene Daten nach Art. 16 Gesetz 91/2025 nur für einen bestimmten Zweck, in einem dazu passenden Umfang, ohne die Rechte der Person zu verletzen, und nur mit Einwilligung, nach gesetzlicher Regelung, im Fall des Art. 19 Abs. 1 Buchst. b oder zur Erfüllung vertraglicher Pflichten. Ob Konzerngesellschaften "dieselbe Stelle" im Sinne des Art. 17 Abs. 1 Buchst. b sind, regelt die Quelle nicht; der Wortlaut spricht von Abteilungen innerhalb einer Stelle. Geht die Weitergabe nach Deutschland, kommt Art. 20 hinzu (vn-pdpl-005).

Übergang. Nach Art. 39 Abs. 1 Gesetz 91/2025 laufen Verarbeitungen, die vor dem Inkrafttreten am 01.01.2026 mit Einwilligung oder auf Vereinbarung nach Dekret 13/2023/ND-CP begonnen wurden, weiter, ohne dass Einwilligung oder Vereinbarung neu einzuholen sind. Die Fortgeltung betrifft nach dem Wortlaut laufende Verarbeitungen; für neue Zwecke gilt Art. 9.

Umsetzungsperspektive

1. Verarbeitungen Grundlagen zuordnen. Für jede Verarbeitung der vietnamesischen Einheit festhalten, ob sie auf Einwilligung, auf einer Vereinbarung mit der Person, auf einem anderen Fall des Art. 19 Abs. 1 oder auf einem anderen Gesetz beruht. Wo ein anderes Gesetz behauptet wird, die Norm konkret benennen lassen.
2. Einwilligungsstrecken umbauen. Je Zweck eine eigene Einwilligung, kein Vorauswahlfeld, keine Koppelung an andere Zwecke, Hinweis bei sensiblen Daten, und ein gespeicherter Nachweis über Person, Zeitpunkt und Inhalt.
3. Überwachungsmechanismus für Art. 19 einrichten. Verfahren, Verantwortliche, Risikobewertung, periodische Prüfung und Beschwerdeweg auch für die Verarbeitungen dokumentieren, die keine Einwilligung brauchen.
4. Betroffenenprozess auf vietnamesische Fristen auslegen. Eingangskanal, Zweitagesantwort, Fristen je Recht, Verlängerungsbegründung und Mitteilung an die Person; die Fristzählung im Zweifel konservativ ansetzen.
5. Dienstleister und Konzernsysteme vertraglich einbinden. Verarbeiter und Dritte müssen Widerruf, Einschränkung, Berichtigung und Löschung in den Fristen des Dekrets mittragen können; das gehört in die Vereinbarungen nach Art. 7 Dekret 356/2025 und in die Verträge nach Art. 37 Abs. 2 Gesetz 91/2025.
6. Altbestände nach Dekret 13/2023 sichten. Fortgeltende Einwilligungen dokumentieren und neue Zwecke getrennt behandeln.

Typische Fehler

1. Eine Verarbeitung wird auf ein allgemeines Unternehmensinteresse gestützt, obwohl Art. 19 Abs. 1 eine solche Generalklausel nicht enthält.
2. Eine einzige undifferenzierte Zustimmung zu mehreren Zwecken oder eine voreingestellte Zustimmung wird eingesetzt; ein gemeinsames Dokument mit klar getrennten, zweckbezogenen Einwilligungen schließen die Normen dagegen nicht allein wegen des gemeinsamen Dokuments aus.
3. Die Einwilligung wird als Bedingung für einen anderen Zweck abgefragt, der nicht Inhalt der Vereinbarung ist.
4. Es fehlt der gespeicherte Nachweis über Person, Zeitpunkt und Inhalt der Einwilligung.
5. Bei sensiblen Daten unterbleibt der Hinweis auf die Sensibilität.
6. Für Verarbeitungen ohne Einwilligung wird kein Überwachungsmechanismus nach Art. 19 Abs. 2 eingerichtet.
7. Der Betroffenenprozess plant Wochen statt zwei Arbeitstage für die erste Antwort ein, oder verlängert mehrfach und ohne Begründung.
8. Löschanträge werden pauschal abgelehnt, ohne einen Fall des Art. 19 oder des Art. 4 Abs. 3 zu benennen, oder ohne die Person über einen berechtigten Hinderungsgrund zu informieren.
9. Die konzerninterne Weitergabe wird als Weitergabe zwischen Abteilungen derselben Stelle behandelt, ohne dass die Quelle das trägt.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen Einwilligung und Vereinbarung. Die Einwilligung ist flexibel, aber widerruflich und formstreng; die Vereinbarung ist stabiler, trägt aber nur, was zu ihrer Erfüllung nach Maßgabe des Rechts gehört. Wer Zwecke über die Vereinbarung abwickelt, die mit ihr wenig zu tun haben, riskiert, dass sie nicht getragen sind; wer alles auf Einwilligung stellt, schafft viele Widerrufspunkte mit Fristen von 15 Tagen.

Bei den Fristen steht Zentralisierung gegen lokale Bearbeitung. Ein Konzernprozess in Deutschland bündelt Wissen, erreicht aber die Zweitagesantwort nur mit einer vietnamesischen Eingangsstelle und klaren Übergaben. Ein lokaler Prozess ist schnell, braucht aber Zugriff auf alle Systeme, in denen die Daten liegen.

Bei der Verfahrensgestaltung schließlich hilft die Bindung der Fristen an verfahrensgemäße Anträge, Anträge geordnet zu bearbeiten; ein Verfahren, das die Ausübung erschwert, kollidiert aber mit Art. 4 Abs. 4.

Entscheidungspunkte

• Welche Verarbeitungen der vietnamesischen Einheit stützen wir auf Einwilligung, welche auf Vereinbarung, welche auf andere Fälle des Art. 19, und wer bestätigt die Zuordnung?
• Wer verantwortet den Überwachungsmechanismus nach Art. 19 Abs. 2?
• Wo gehen Betroffenenanträge in Vietnam ein, und wer stellt die Zweitagesantwort sicher?
• Wie zählen wir die Ausführungsfristen, solange die Quelle Kalender- oder Arbeitstage offenlässt?
• Welche Verarbeiter und Konzerngesellschaften müssen in den Fristen mitwirken, und ist das vertraglich gesichert?
• Wie behandeln wir Einwilligungen, die nach Dekret 13/2023 eingeholt wurden, wenn ein neuer Zweck hinzukommt?

Praktische Empfehlungen

• Ein Verzeichnis der Verarbeitungen mit Grundlage, Nachweis und verantwortlicher Stelle führen; bei Einwilligung den Speicherort des Nachweises angeben.
• Einwilligungstexte je Zweck formulieren und die drei Kenntnisinhalte des Art. 9 Abs. 2 abdecken.
• Den Betroffenenprozess als festes Verfahren mit Formular und Eingangsbestätigung aufsetzen, ohne die Ausübung zu erschweren.
• Verlängerungen nur mit schriftlicher Begründung zulassen und die Begründung aufbewahren.
• Für Verarbeiter und Konzerngesellschaften Reaktionszeiten vereinbaren, die innerhalb der längeren Dekretfristen liegen.
• Bei Grenzfällen, insbesondere bei der Frage, ob ein anderes Gesetz eine Verarbeitung ohne Einwilligung trägt, die spezialisierte Datenschutzbehörde beim Ministerium für Öffentliche Sicherheit oder vietnamesische Rechtsberatung einbeziehen.

Relevante Normreferenzen

• Gesetz 91/2025/QH15: Art. 4 (Rechte und Pflichten der betroffenen Person, Abs. 5 Fristenpflicht), Art. 7 Nr. 6 (Verbot des Kaufs und Verkaufs), Art. 9 (Einwilligung), Art. 10 (Widerruf und Einschränkung), Art. 11 (Erhebung, Analyse und Zusammenführung), Art. 13 (Berichtigung), Art. 14 (Löschung und Entfernung des Personenbezugs), Art. 15 (Bereitstellung), Art. 16 (Veröffentlichung), Art. 17 (Übertragung), Art. 19 (Verarbeitung ohne Einwilligung), Art. 39 Abs. 1 (Fortgeltung nach Dekret 13/2023).
• Dekret 356/2025/ND-CP: Art. 5 (Verfahren und Fristen der Betroffenenrechte), Art. 6 (Form der Einwilligung), Art. 7 (Übertragung), Art. 42 (Inkrafttreten, Außerkrafttreten von Dekret 13/2023).
• Abgrenzung: Anwendungsbereich, Rollen sowie Grund- und sensible Daten in vn-pdpl-002; Folgenabschätzung, Datenschutzpersonal, Beschäftigtendaten und Sonderbereiche in vn-pdpl-004; grenzüberschreitende Übermittlung (Art. 20) in vn-pdpl-005; Meldung von Verstößen (Art. 23) in vn-pdpl-006; Sanktionen in vn-pdpl-007. Die DSGVO-Seite des deutschen Unternehmens beurteilt sich aus EU-Sicht im dsgvo-Track, etwa dsgvo-005 für die Übermittlung; dieser Artikel trifft keine DSGVO-Rechtsaussage. lgpd-003 und dpdpa-003 behandeln die vergleichbaren Fragen für Brasilien und Indien und dienen nur als Querverweis.