Vietnam: Folgenabschätzung, Datenschutzpersonal und Betriebspflichten nach Gesetz 91/2025 und Dekret 356/2025, mit Beschäftigtendaten, Sonderbereichen und den Erleichterungen für kleine Unternehmen

Problem in der Praxis

Deutsche Unternehmen verbinden das Wort Folgenabschätzung häufig mit einer Prüfung, die nur bei besonders riskanten Vorhaben anfällt und intern bleibt. In Vietnam ist es anders angelegt: Art. 21 Gesetz 91/2025 nennt keine Risikoschwelle, verlangt ein Dossier auf Organisationsebene, und der Verantwortliche muss es einreichen. Wer die vietnamesische Tochter als Vertriebs- oder Fertigungseinheit ohne eigenes Datenschutzprogramm betreibt, hat damit oft schon die 60-Tage-Frist ab dem ersten Verarbeitungstag versäumt.

Die zweite Falle ist das Personal. Ein Konzerndatenschutzbeauftragter in Deutschland erfüllt Art. 33 Abs. 2 nicht automatisch: Benannt wird für die vietnamesische Organisation, förmlich und schriftlich, und die benannte Person muss die Qualifikationsanforderungen des Dekrets erfüllen. Wird ein externer Dienstleister beauftragt, verlangt das Dekret eine Prüfung seiner Eignung, einen Vertrag und die Bekanntgabe gegenüber Betroffenen und Beteiligten.

Die dritte Falle ist die Erleichterung für kleine Unternehmen. Eine vietnamesische Tochter mit wenigen Beschäftigten wirkt klein, verarbeitet aber vielleicht Gesundheitsdaten von Beschäftigten oder Kundendaten in großer Zahl. Dann greift die Rückausnahme, und die Pflichten gelten voll.

CISO-Einordnung

Folgenabschätzung: wer, wann, was. Art. 2 Nr. 12 Gesetz 91/2025 versteht unter der Folgenabschätzung die Analyse und Bewertung möglicher Risiken der Verarbeitung, um risikomindernde Maßnahmen zu ergreifen. Nach Art. 21 Abs. 1 erstellen Verantwortliche (bên kiểm soát dữ liệu cá nhân) und Stellen in kombinierter Rolle (bên kiểm soát và xử lý dữ liệu cá nhân) das Dossier, bewahren es auf und reichen ein Original binnen 60 Tagen ab dem ersten Verarbeitungstag ein; zuständige staatliche Stellen sind nach Abs. 6 ausgenommen. Nach Abs. 2 erfolgt die Abschätzung einmal für die gesamte Tätigkeitsdauer und wird nach Art. 22 aktualisiert. Verarbeiter (bên xử lý dữ liệu cá nhân) erstellen und bewahren ihr Dossier nach Abs. 3 gemäß Vereinbarung mit dem Verantwortlichen. Die Behörde prüft und verlangt Nachbesserung, wenn das Dossier unvollständig oder nicht ordnungsgemäß ist (Abs. 4), und bei Änderungen des eingereichten Inhalts ist das Dossier zu ergänzen (Abs. 5).

Art. 19 Dekret 356/2025 konkretisiert das Verfahren. Verantwortliche, Stellen in kombinierter Rolle und Verarbeiter legen ihr Dossier ab Beginn der Verarbeitung an. Es besteht aus einem Bericht nach dem Formular Nr. 10 im Anhang des Dekrets, einer Kopie der Verträge oder Vereinbarungen über die Verarbeitung und den eigenen Richtlinien, Verfahren und Formularen. Der Bericht beschreibt auf Managementebene unter anderem die beteiligten Stellen und die Datenschutzzuständigen, Zwecke, Datenarten, Verarbeitungsvorgänge und Datenflüsse, Einwilligung und Löschkonzept, das Schutzkonzept, das Ergebnis einer Compliance-Bewertung sowie Risiken, mögliche Schäden und Gegenmaßnahmen. Das Dossier muss jederzeit für Prüfungen bereitliegen und ist binnen 60 Tagen ab Beginn der Verarbeitung mit dem Formular Nr. 02a oder 02b online, persönlich oder per Post einzureichen. Die Behörde teilt nach Art. 19 Abs. 5 binnen 15 Tagen mit, ob es den Anforderungen genügt. Für die Nachbesserung unvollständiger Unterlagen nennt Abs. 6 eine Frist von 30 Tagen; der Satzbau lässt offen, ob sie die Aufforderung der Behörde oder die Nachbesserung durch das Unternehmen betrifft. Wird nicht ordnungsgemäß nachgebessert, prüft die Behörde Verwaltungssanktionen (vn-pdpl-007).

Eine offene Stelle für Auftragsverarbeiter: Das Gesetz nennt für sie in Art. 21 Abs. 3 nur Erstellen und Aufbewahren nach Vereinbarung, das Dekret nennt sie in Art. 19 Abs. 1 und 6 ausdrücklich mit und formuliert die Einreichungspflicht in Abs. 4 ohne ausdrücklichen Adressaten. Ob ein Verarbeiter selbst einreichen muss, ist damit aus dem Quellensatz nicht eindeutig zu beantworten.

Fortschreibung. Nach Art. 22 Abs. 1 Gesetz 91/2025 werden die Folgenabschätzung und die Abschätzung für grenzüberschreitende Übermittlungen halbjährlich aktualisiert, wenn sich etwas geändert hat, und sofort in den Fällen des Abs. 2. Art. 20 Dekret 356/2025 bindet die halbjährliche Aktualisierung an die erste Einreichung und an zwei Anlässe: einen neuen Verarbeitungs- oder Übermittlungszweck und das Hinzukommen oder den Wechsel eines Verantwortlichen, Verarbeiters oder Dritten. Sofort, nach dem Dekret binnen 10 Tagen, ist zu aktualisieren bei Umstrukturierung, Einstellung der Tätigkeit, Auflösung oder Insolvenz, bei geänderten Angaben zum Datenschutzdienstleister und bei neuen oder geänderten Geschäftszweigen mit Datenbezug, die im Dossier angegeben sind. Die Aktualisierung erfolgt mit dem Formular Nr. 03a oder 03b über das nationale Datenschutzportal (Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân) oder bei der Behörde.

Übergang und Verhältnis zum Datengesetz. Dossiers, die die Behörde vor dem 01.01.2026 nach Dekret 13/2023/ND-CP entgegengenommen hat, gelten nach Art. 39 Abs. 2 Gesetz 91/2025 fort; ein neues Dossier ist nicht nötig, Aktualisierungen richten sich aber nach dem neuen Recht. Wie Verarbeitungen zu behandeln sind, die vor 2026 begonnen haben und für die kein solches Dossier eingereicht wurde, regelt die Quelle nicht ausdrücklich. Nach Art. 5 Abs. 4 Gesetz 91/2025 ersetzt die Folgenabschätzung nach diesem Gesetz die Risikobewertung nach dem Recht über Daten; das Datengesetz selbst liegt nicht im Quellensatz.

Datenschutzabteilung oder -person. Art. 33 Abs. 2 verpflichtet Organisationen, eine Abteilung oder Personen mit hinreichender Befähigung für den Datenschutz (bộ phận, nhân sự bảo vệ dữ liệu cá nhân) zu benennen oder einen Datenschutzdienstleister zu beauftragen. Dekret 356/2025 regelt die Einzelheiten:

• Benennung: nach Art. 13 Abs. 1 durch ein förmliches Schriftstück der Organisation mit Aufgabenzuweisung, Funktionen und Befugnissen.
• Qualifikation intern benannter Personen und aller Mitglieder einer Datenschutzabteilung (Art. 13 Abs. 2 und 3): Abschluss auf College-Niveau oder höher, mindestens zwei Jahre Berufserfahrung seit dem Abschluss in einem der genannten Felder wie Recht, IT, Cybersicherheit, Datensicherheit, Risikomanagement, Compliance oder Personal, und eine Schulung in Datenschutzrecht und Fachkompetenz.
• Pflichten der Organisation: Auswahl und Bewertung der Person, Schulung, und eine Vertraulichkeitsvereinbarung, in der Haftungsfreistellungen für den Fall von Verstößen oder Schäden vereinbart werden können (Art. 13 Abs. 4 bis 6).
• Externe Einzelperson als Dienstleister (Art. 15): College-Niveau, mindestens drei Jahre einschlägige Berufserfahrung seit dem Abschluss und vertiefte Schulung; die beauftragende Organisation prüft die Eignung, schließt einen Vertrag und gibt die Person gegenüber Betroffenen und Beteiligten bekannt.
• Externe Organisation als Dienstleister (Art. 16): eine Organisation oder ein Unternehmen mit Funktion, Aufgabe oder Geschäftstätigkeit in Technologie, Recht oder Beratung zu Technologie oder Recht, mindestens drei Personen mit der Qualifikation nach Art. 15, bereits erbrachte einschlägige Leistungen etwa in Sicherheit, IT oder Datenschutzberatung und ein Befähigungsdossier; die beauftragende Organisation prüft das Dossier, schließt einen Dienstleistungsvertrag und eine Vereinbarung über die Verarbeitung und gibt den Dienstleister bekannt. Interne Benennung und externe Beauftragung lassen sich kombinieren.

Die Aufgaben beschreibt Art. 14 Dekret 356/2025 auf Managementebene: Datenschutzrichtlinien, Verfahren und Formulare aufbauen, Betroffenenrechte umsetzen, die Einhaltung periodisch mit einem Bericht bewerten, die Dossiers für Folgenabschätzung und Übermittlung erstellen, Verstöße entgegennehmen und melden, Schulungen planen, technische Schutzmaßnahmen und einen Notfallplan umsetzen und Entscheidungen vorbereiten. Eine einzelne Datenschutzperson wirkt bei Richtlinien, Betroffenenrechten, Compliance-Bewertung, Schulungen und technischen Maßnahmen beratend und mitwirkend mit; die Dossiers für Folgenabschätzung und Übermittlung erstellt sie nach Art. 14 Abs. 2 Buchst. d selbst, ebenso nimmt sie Verstöße entgegen und meldet sie. Die Kontaktdaten der Datenschutzzuständigen gehören in den Bericht zur Folgenabschätzung und, bei Cloud-Verträgen, nach Art. 12 Abs. 2 Dekret 356/2025 in den Vertrag. Ob ein Konzerndatenschutz in Deutschland als Dienstleister nach Art. 16 in Betracht kommt, regelt die Quelle nicht ausdrücklich; ein Sitz in Vietnam wird dort nach dem Wortlaut nicht verlangt, der Tätigkeitsbereich in Technologie, Recht oder entsprechender Beratung, die Qualifikations- und die Bekanntgabepflichten gelten aber.

Grundpflichten nach Art. 37. Der Verantwortliche legt in Verträgen die Pflichten der Parteien fest, bestimmt Zweck und Mittel in Dokumenten und Vereinbarungen mit der betroffenen Person, trifft geeignete organisatorische und technische Maßnahmen und überprüft sie, meldet Verstöße nach Art. 23 (vn-pdpl-006), wählt geeignete Verarbeiter aus, gewährleistet die Betroffenenrechte (vn-pdpl-003), haftet gegenüber der Person für Schäden aus der Verarbeitung, verhindert unbefugte Datenerhebung aus seinen Systemen und arbeitet mit dem Ministerium für Öffentliche Sicherheit zusammen, einschließlich Auskünften für Ermittlungen. Der Verarbeiter darf Daten erst nach Abschluss eines Vertrags entgegennehmen, verarbeitet vertragsgemäß, trifft die Schutzmaßnahmen, haftet gegenüber dem Verantwortlichen, verhindert unbefugte Erhebung und arbeitet ebenfalls mit den Behörden zusammen. Stellen in kombinierter Rolle tragen beide Pflichtenkreise.

Sicherheit. Das Gesetz enthält keinen eigenen Katalog technischer Maßnahmen. Es verlangt geeignete institutionelle, technische und personelle Maßnahmen (Art. 3 Nr. 4), angemessene organisatorische und technische Maßnahmen mit Überprüfung (Art. 37 Abs. 1 Buchst. c) und Schutz bei der Speicherung (Art. 18 Abs. 1). Verschlüsselte Daten bleiben nach Art. 12 Abs. 1 personenbezogen; Daten, deren Personenbezug entfernt wurde, sind es nach Art. 2 Nr. 1 nicht mehr, wobei die Entfernung nach Art. 14 Abs. 6 streng zu kontrollieren und eine Re-Identifizierung grundsätzlich untersagt ist. Für sensible Daten verlangt Art. 4 Abs. 2 Dekret 356/2025 Regeln zur Zugriffsbeschränkung, Verarbeitungsverfahren und Sicherheitsmaßnahmen. Nationale Standards und technische Vorschriften nach Art. 34 Gesetz liegen nicht im Quellensatz.

Beschäftigtendaten (Art. 25). Bei der Einstellung darf nur nach Informationen gefragt werden, die dem Einstellungszweck dienen; sie dürfen nur dafür und für andere vereinbarte Zwecke genutzt werden, ihre Verarbeitung braucht die Einwilligung der Bewerber, und bei Nichteinstellung sind sie zu löschen, sofern nichts anderes vereinbart ist. Im Arbeitsverhältnis gelten dieses Gesetz, das Arbeits- und Beschäftigungsrecht und das Datenrecht; Beschäftigtendaten sind für die gesetzliche oder vereinbarte Frist zu speichern und bei Vertragsende zu löschen, sofern nichts anderes vereinbart oder gesetzlich bestimmt ist. Technische Überwachungsmaßnahmen sind nur zulässig, wenn sie rechtmäßig sind, die Rechte der Beschäftigten wahren und die Beschäftigten sie kennen; Daten aus rechtswidrigen Maßnahmen dürfen nicht verarbeitet werden. Arbeitsrecht und Datengesetz liegen nicht im Quellensatz.

Sonderbereiche, soweit für deutsche Unternehmen typisch.

• Videoaufnahmen an öffentlichen Orten und bei öffentlichen Veranstaltungen (Art. 32): ohne Einwilligung zulässig unter anderem zum Schutz rechtmäßiger Rechte und Interessen von Stellen und Personen, mit Hinweis an die Betroffenen, soweit das Recht nichts anderes bestimmt, Zweckbindung und Speicherung nur so lange wie nötig. Ob ein Werksgelände ein öffentlicher Ort ist, regelt die Quelle nicht.
• Standort- und biometrische Daten (Art. 31): Ortung etwa über RFID nur mit Einwilligung, auf behördliches Verlangen oder bei abweichender gesetzlicher Regelung; für Biometrie physische Sicherung, Zugriffsbeschränkung und Überwachung, und Benachrichtigung der Person, wenn ihr durch die Verarbeitung biometrischer Daten ein Schaden entsteht (Art. 31 Abs. 4 Buchst. b). Unabhängig von einem Schaden verlangt Art. 29 Dekret 356/2025 bei einem Datenschutzvorfall mit Standort- oder biometrischen Daten von Verantwortlichen und Stellen in kombinierter Rolle, die betroffenen Personen binnen 72 Stunden ab Feststellung zu benachrichtigen, die zuständige Behörde zu informieren und den Vorfall zu dokumentieren; ist die rechtzeitige Benachrichtigung aller Personen aus technischen oder dringenden Gründen nicht möglich, sind eine öffentliche Mitteilung über die eigenen elektronischen Kanäle und die Benachrichtigung, sobald technisch möglich, vorgeschrieben. Einzelheiten zur Meldung stehen in vn-pdpl-006. Das betrifft etwa biometrische Zeiterfassung. Biometrische Daten sind nach Dekret 356/2025 sensible Daten (vn-pdpl-002).
• Big Data, KI, Blockchain, Metaverse und Cloud (Art. 30 Gesetz, Art. 9 bis 12 Dekret 356/2025): Zweckbindung, integrierte Sicherheitsmaßnahmen, Risikoklassifizierung bei KI-Verarbeitung; das Dekret verlangt unter anderem für Big Data mindestens Mehrfaktor-Authentisierung je nach Sensibilität, bei automatisierter Verarbeitung in KI-Systemen Information der Betroffenen, Erklärung der Funktionsweise und eine Möglichkeit, nicht teilzunehmen, für Cloud-Verträge Regelungen zu vietnamesischem Datenschutzrecht, Rollen, Sicherheitsmaßnahmen, Löschung und Betroffenenrechten, Verschlüsselung im Ruhezustand und bei der Übertragung, für Blockchain das Verbot, personenbezogene Daten unmittelbar auf der Kette zu speichern (zulässig sind nur Daten nach Entfernung des Personenbezugs oder Hashwerte), und eine jährliche Compliance-Bewertung für Stellen, die personenbezogene Daten in KI-, Metaverse- oder Blockchain-Systemen verarbeiten, und für Cloud-Anbieter.
• Werbung (Art. 28): Die Vorschrift richtet sich vor allem an Anbieter von Werbedienstleistungen; die Verarbeitung von Kundendaten für dieses Geschäft braucht die Einwilligung in Kenntnis von Inhalt, Methode, Form und Häufigkeit der Werbung und eine Ablehnungsmöglichkeit, und Verantwortliche dürfen Daten an Werbedienstleister nur nach Maßgabe des Rechts weitergeben. Für jeden, der Daten für verhaltensbasierte, zielgerichtete oder personalisierte Werbung nutzt, gilt zusätzlich: Erhebung über das Verfolgen von Websites und Apps nur mit Einwilligung, eine Möglichkeit, das Teilen von Daten abzulehnen, festgelegte Speicherdauer und Löschung, wenn die Daten nicht mehr nötig sind.
• Gesundheit und Versicherung (Art. 26): Einwilligung bei Erhebung und Verarbeitung von Gesundheitsinformationen, außer in Fällen des Art. 19 Abs. 1; der Wortlaut knüpft an Gesundheitsinformationen an, nicht an einen bestimmten Adressatenkreis. Finanzsektor und Kreditinformationen (Art. 27 Gesetz, Art. 8 Dekret) und soziale Netzwerke (Art. 29) betreffen nur Unternehmen dieser Branchen und werden hier nicht vertieft.

Erleichterungen für kleine Unternehmen (Art. 38 Abs. 2 und 3). Kleine Unternehmen (doanh nghiệp nhỏ) und Start-ups (doanh nghiệp khởi nghiệp) haben für fünf Jahre ab Inkrafttreten des Gesetzes das Recht, zu wählen, ob sie die Folgenabschätzung (Art. 21), ihre Aktualisierung (Art. 22) und die Benennung nach Art. 33 Abs. 2 umsetzen. Haushaltsbetriebe (hộ kinh doanh) und Kleinstunternehmen (doanh nghiệp siêu nhỏ) müssen diese drei Pflichten nicht erfüllen, ohne dass das Gesetz dafür eine Frist nennt. Beide Erleichterungen gelten nicht für Unternehmen, die Datenverarbeitung als Dienstleistung anbieten, die unmittelbar sensible Daten verarbeiten oder die Daten einer großen Zahl von Personen verarbeiten; nach Art. 41 Dekret 356/2025 ist das der Fall ab dem Zeitpunkt, zu dem die kumulierte Gesamtmenge der verarbeiteten Daten 100.000 betroffene Personen oder mehr erreicht.

Vier Punkte sind für deutsche Konzerne wichtig. Erstens stehen die Kriterien, nach denen ein Unternehmen klein, ein Start-up oder ein Kleinstunternehmen ist, nicht im Quellensatz, und ob die Konzernzugehörigkeit dabei zählt, sagt die Quelle nicht. Zweitens befreit die Erleichterung nur von diesen drei Pflichten; Einwilligung, Betroffenenrechte, Art. 37 und Art. 25 gelten weiter. Drittens konkretisiert die Quelle nicht, wann eine Verarbeitung sensibler Daten "unmittelbar" ist; wer etwa Gesundheitsdaten von Beschäftigten verarbeitet, sollte die Rückausnahme prüfen lassen. Viertens nennt Art. 38 die Folgenabschätzung für grenzüberschreitende Übermittlungen nach Art. 20 nicht, wohl aber Art. 22, der auch deren Aktualisierung regelt; wie das zusammenpasst, sagt die Quelle nicht (vn-pdpl-005).

Wer Datenverarbeitung als Dienstleistung anbietet, unterliegt nach Art. 21 bis 27 Dekret 356/2025 eigenen Voraussetzungen und einem Bescheinigungsverfahren; das behandelt dieser Artikel nicht. Unternehmen, die eine Folgenabschätzung durchführen müssen, gehören nach Art. 31 Abs. 2 Dekret 356/2025 ausdrücklich zum Kreis der Prüfungsadressaten; die Kontrolle insgesamt ordnet vn-pdpl-007 ein.

Umsetzungsperspektive

1. Status der vietnamesischen Einheit klären. Rolle (Verantwortlicher, Verarbeiter, kombinierte Rolle), Größenklasse nach vietnamesischem Recht und die drei Rückausnahmen prüfen und schriftlich festhalten; bei Unsicherheit lokale Rechtsberatung.
2. Folgenabschätzung als Organisationsdossier aufsetzen. Bericht, Verträge und Richtlinien zusammenführen, Datenflüsse dokumentieren, und die 60-Tage-Frist ab dem ersten Verarbeitungstag in den Gründungsprozess neuer Einheiten einbauen. Neue Zwecke und neue Tätigkeiten einer Einheit, die bereits verarbeitet, laufen nicht über eine neue Erstfrist, sondern über die Aktualisierungsanlässe nach Art. 22 Gesetz und Art. 20 Dekret; sie gehören deshalb in den Projektprozess als Aktualisierungsprüfung.
3. Fortschreibung organisieren. Auslöser für die halbjährliche und für die Zehntagesaktualisierung definieren, etwa neue Zwecke, neue Dienstleister, Umstrukturierungen und Wechsel des Datenschutzdienstleisters.
4. Datenschutzzuständigkeit förmlich benennen. Schriftliche Benennung für die vietnamesische Organisation, Qualifikationsnachweise ablegen, Vertraulichkeitsvereinbarung schließen, Schulungen planen; bei externen Dienstleistern Eignungsprüfung, Vertrag und Bekanntgabe.
5. Verträge nach Art. 37 nachziehen. Rollen, Pflichten und Haftung mit Verarbeitern und Cloud-Anbietern regeln, Datenannahme erst nach Vertragsschluss.
6. Beschäftigtenprozesse anpassen. Bewerberdaten mit Einwilligung und Löschung bei Absage, Löschkonzept bei Vertragsende, transparente Überwachungsmaßnahmen.
7. Sonderbereiche inventarisieren. Videoüberwachung, biometrische Zeiterfassung, Cloud, KI und Marketing gegen Art. 28 bis 32 und die Dekretregeln abgleichen.

Typische Fehler

1. Die Folgenabschätzung wird nur für einzelne riskante Projekte durchgeführt und nicht eingereicht, obwohl Art. 21 keine Risikoschwelle nennt.
2. Die 60-Tage-Frist ab dem ersten Verarbeitungstag wird bei Gründung einer vietnamesischen Einheit oder bei Aufnahme der ersten Verarbeitung übersehen.
3. Nach der Einreichung wird nicht aktualisiert, obwohl neue Zwecke, Dienstleister oder Umstrukturierungen das verlangen.
4. Der Konzerndatenschutz wird als erfüllt angesehen, ohne förmliche Benennung für die vietnamesische Organisation und ohne Qualifikationsnachweis.
5. Ein externer Datenschutzdienstleister wird beauftragt, aber nicht gegenüber Betroffenen und Beteiligten bekanntgegeben.
6. Die Tochter beruft sich auf die Erleichterung für kleine Unternehmen, obwohl sie sensible Daten unmittelbar verarbeitet oder 100.000 betroffene Personen erreicht hat.
7. Aus der Erleichterung wird eine Befreiung von allen Pflichten abgeleitet.
8. Bewerberdaten werden nach einer Absage ohne Vereinbarung weiter aufbewahrt.
9. Überwachungstechnik am Arbeitsplatz wird eingesetzt, ohne dass die Beschäftigten sie kennen.

Risiken und Trade-offs

Der Grundkonflikt liegt zwischen einem schlanken Dossier und einem belastbaren. Ein knappes Dossier ist schnell eingereicht, provoziert aber Nachbesserungsverlangen und bei Prüfungen Fragen; ein ausführliches Dossier legt mehr offen und muss bei jeder Änderung fortgeschrieben werden.

Beim Personal steht interne Benennung gegen externe Beauftragung. Intern benannte Personen kennen den Betrieb, müssen aber die Qualifikationsanforderungen erfüllen und geschult werden; ein externer Dienstleister bringt Qualifikation mit, verlangt aber Eignungsprüfung, Verarbeitungsvereinbarung und Bekanntgabe. Eine Kombination ist zulässig und oft der realistische Weg für Tochtergesellschaften.

Bei der Erleichterung für kleine Unternehmen schließlich spart die Wahl, nicht umzusetzen, kurzfristig Aufwand, verlagert aber das Risiko auf den Zeitpunkt, zu dem eine Rückausnahme greift, etwa beim Erreichen von 100.000 betroffenen Personen. Wer die Erleichterung nutzt, muss diese Schwelle überwachen.

Entscheidungspunkte

• Ist unsere vietnamesische Einheit Verantwortlicher, Verarbeiter oder beides, und wer bestätigt das?
• Nutzen wir die Erleichterung nach Art. 38, und wer überwacht die Rückausnahmen, insbesondere sensible Daten und die Schwelle von 100.000 Personen?
• Wer erstellt, reicht ein und schreibt die Folgenabschätzung fort, und wer verfolgt die Antwort der Behörde?
• Benennen wir intern, beauftragen wir extern oder kombinieren wir beides?
• Welche Sonderbereiche, etwa Videoüberwachung, Biometrie, Cloud oder KI, setzen wir in Vietnam ein, und sind sie im Dossier abgebildet?
• Wie stimmen wir die vietnamesische Folgenabschätzung mit der Übermittlungsabschätzung nach Art. 20 (vn-pdpl-005) und mit den DSGVO-Prozessen der Muttergesellschaft ab?

Praktische Empfehlungen

• Einen Kalender mit Einreichungs- und Aktualisierungsanlässen führen, gekoppelt an Projekt-, Einkaufs- und Umstrukturierungsprozesse.
• Für die Folgenabschätzung das amtliche Formular aus dem Dekret verwenden und den Inhalt am Original prüfen; der Korpus gibt keine Formularinhalte wieder.
• Die Benennung der Datenschutzzuständigen mit Qualifikationsnachweis, Vertraulichkeitsvereinbarung und Schulungsplan dokumentieren.
• Die Größenklasse der vietnamesischen Einheit und die Rückausnahmen jährlich und bei Anlass neu prüfen.
• Beschäftigten- und Bewerberprozesse auf Einwilligung, Zweckbindung, Löschung und Transparenz von Überwachungsmaßnahmen ausrichten.
• Für die Einordnung im Einzelfall die spezialisierte Datenschutzbehörde beim Ministerium für Öffentliche Sicherheit oder vietnamesische Rechtsberatung einbeziehen.

Relevante Normreferenzen

• Gesetz 91/2025/QH15: Art. 2 Nr. 1 und 12 (Begriffe), Art. 3 Nr. 4 (Schutzmaßnahmen als Grundsatz), Art. 5 Abs. 4 (Verhältnis zum Datenrecht), Art. 12 (Verschlüsselung), Art. 14 Abs. 6 (Entfernung des Personenbezugs), Art. 18 Abs. 1 (Speicherung), Art. 21 (Folgenabschätzung), Art. 22 (Aktualisierung), Art. 25 (Beschäftigtendaten), Art. 26 bis 32 (Sonderbereiche), Art. 33 (Datenschutzkräfte, Abs. 2 Benennungspflicht), Art. 34 (Standards), Art. 37 (Pflichten der Verantwortlichen und Verarbeiter), Art. 38 Abs. 2 bis 4 (Erleichterungen), Art. 39 Abs. 2 (Fortgeltung von Dossiers nach Dekret 13/2023).
• Dekret 356/2025/ND-CP: Art. 4 Abs. 2 (sensible Daten), Art. 8 bis 12 (Finanzen, Big Data, KI und Metaverse, Blockchain, Cloud), Art. 13 bis 16 (Datenschutzpersonal und -dienstleister), Art. 19 (Folgenabschätzung, Formulare Nr. 10 und Nr. 02a/02b), Art. 20 (Aktualisierung, Formular Nr. 03a/03b), Art. 21 bis 27 (Datenverarbeitung als Dienstleistung, nicht vertieft), Art. 31 (Prüfungen), Art. 41 (Anwendung von Art. 38 Abs. 2 und 3 Gesetz).
• Abgrenzung: Rollen und sensible Daten in vn-pdpl-002; Einwilligung und Betroffenenrechte in vn-pdpl-003; Folgenabschätzung für grenzüberschreitende Übermittlungen (Art. 20) in vn-pdpl-005; Meldung von Verstößen (Art. 23) in vn-pdpl-006; Sanktionen und Kontrolle in vn-pdpl-007. Ob die deutsche Muttergesellschaft für dieselben Vorgänge eine Datenschutz-Folgenabschätzung oder einen Datenschutzbeauftragten nach EU-Recht braucht, beurteilt sich aus EU-Sicht im dsgvo-Track (etwa dsgvo-004); dieser Artikel trifft keine DSGVO-Rechtsaussage. lgpd-004 und dpdpa-004 behandeln vergleichbare Fragen für Brasilien und Indien und dienen nur als Querverweis.