Grenzüberschreitende Übermittlung nach vietnamesischem Datenschutzrecht: Transfer-Folgenabschätzung, 60-Tage-Einreichung und was das für Konzernsysteme in Deutschland bedeutet

Problem in der Praxis

Das erste Muster ist die Verwechslung mit europäischen Denkmustern. Wer aus der DSGVO kommt, sucht nach einem Angemessenheitsbeschluss oder nach Standardvertragsklauseln und findet beides im vietnamesischen Recht nicht. Daraus wird entweder geschlossen, es gebe gar keine Regel, oder es wird ein EU-Vertragswerk für ausreichend gehalten. Beides geht am Gesetz vorbei: Vietnam verlangt keine Genehmigung und kein bestimmtes Vertragsmuster, aber ein eingereichtes, behördlich prüfbares Dossier mit eigener Frist.

Das zweite Muster ist die Annahme, ein konzerninterner Fluss sei keine Übermittlung. Das Gesetz unterscheidet nicht zwischen Konzern und Dritten. Die vietnamesische Tochter, die Daten an die deutsche Muttergesellschaft gibt, übermittelt an eine Organisation im Ausland. Und auch die bloße Nutzung eines Systems außerhalb Vietnams für in Vietnam erhobene Daten ist ein eigener Tatbestand, ohne dass eine zweite Organisation beteiligt sein muss.

Das dritte Muster betrifft die Frist. Die 60 Tage laufen ab der ersten Übermittlung. Ein Rollout, bei dem die vietnamesische Gesellschaft ab einem Stichtag im zentralen System arbeitet, startet die Frist an diesem Tag, nicht bei Abschluss des Projekts und nicht erst bei Aufforderung durch die Behörde. Wer die Folgenabschätzung als Projektdokumentation am Ende plant, ist oft schon zu spät.

Das vierte Muster ist das Überdehnen der Ausnahmen. "Es sind doch nur HR-Daten" ist keine Ausnahme. Die Cloud-Ausnahme des Gesetzes betrifft die Speicherung der Daten der eigenen Beschäftigten einer Organisation in einem Cloud-Dienst; die HR-Ausnahme des Dekrets ist an die Personalverwaltung nach Arbeitsordnung, Arbeitsreglement und Tarifvertrag gebunden. Ob ein konkretes Konzern-HR-System darunterfällt, ist eine Frage des Zuschnitts, nicht der Datenkategorie.

CISO-Einordnung

Die drei Tatbestände. Art. 20 Abs. 1 Gesetz 91/2025 nennt als grenzüberschreitende Übermittlung erstens die Übertragung von in Vietnam gespeicherten personenbezogenen Daten in ein Datenspeichersystem außerhalb Vietnams, zweitens die Übermittlung durch eine Stelle in Vietnam an eine Organisation oder Person im Ausland und drittens die Nutzung einer Plattform außerhalb Vietnams durch eine Stelle in Vietnam oder im Ausland, um in Vietnam erhobene personenbezogene Daten zu verarbeiten. Art. 17 Abs. 1 Dekret 356/2025 führt das aus und nennt beim Speicherfall ausdrücklich Server außerhalb Vietnams und Cloud-Dienste ausländischer Anbieter. Als Handelnde nennt das Dekret den Verantwortlichen (bên kiểm soát dữ liệu cá nhân), den Verantwortlichen und Verarbeiter in einer Person (bên kiểm soát và xử lý dữ liệu cá nhân), den Auftragsverarbeiter (bên xử lý dữ liệu cá nhân) und Dritte (bên thứ ba). Die Pflicht trifft also nicht nur den Verantwortlichen.

Für ein deutsches Unternehmen ist der dritte Tatbestand der folgenreichste: Er erfasst ausdrücklich auch Stellen im Ausland, die eine Plattform außerhalb Vietnams nutzen, um in Vietnam erhobene Daten zu verarbeiten. Das passt zum Anwendungsbereich des Gesetzes, der ausländische Organisationen einschließt, die unmittelbar an der Verarbeitung von Daten vietnamesischer Staatsangehöriger beteiligt sind oder damit in Verbindung stehen (Art. 1 Abs. 2, Einzelheiten in vn-pdpl-002). Eine deutsche Muttergesellschaft, die selbst in Vietnam Daten erhebt und in Deutschland verarbeitet, kann damit eigene Adressatin sein, nicht nur ihre Tochter.

Die Kernpflicht: Dossier und Einreichung. Nach Art. 20 Abs. 2 Gesetz 91/2025 erstellt, wer eine der drei Tätigkeiten ausübt, ein Dossier der Transfer-Folgenabschätzung und reicht ein Original bei der zuständigen Fachbehörde für Datenschutz (cơ quan chuyên trách bảo vệ dữ liệu cá nhân) ein, und zwar binnen 60 Tagen ab dem ersten Tag der grenzüberschreitenden Übermittlung. Die Behörde ist nach Art. 33 Abs. 1 Gesetz 91/2025 beim Ministerium für Öffentliche Sicherheit angesiedelt; Art. 39 Abs. 1 Dekret 356/2025 bezeichnet sie als Einheit dieses Ministeriums. Eine Genehmigung vor der Übermittlung verlangt das Gesetz nicht. Erstellt sein muss das Dossier aber vor oder während der Übermittlung: Art. 56 Abs. 1 Buchst. a Dekret 330/2026 sanktioniert es, das Dossier nicht vor oder während der Übermittlung zu erstellen, Buchst. b die nicht fristgerechte Einreichung binnen 60 Tagen. Nach Art. 18 Abs. 4 Dekret 356/2025 erfolgt die Einreichung online, persönlich oder per Post mit einem Begleitformular des Dekretanhangs (Muster 01a für Organisationen, 01b für Einzelpersonen), und das Dossier muss jederzeit für Prüfungen der Behörde verfügbar sein.

Was in das Dossier gehört, auf Managementebene. Art. 18 Abs. 2 und 3 Dekret 356/2025 legen fest, dass das Dossier aus einem Bericht nach Muster 09 des Dekretanhangs, einer Kopie des Vertrags oder Übermittlungsdokuments, das Übermittelnden und Empfänger bindet und ihre Verantwortung festlegt, sowie den einschlägigen Datenschutzrichtlinien, Verfahren und Formularen besteht. Der Bericht behandelt unter anderem die Beteiligten und die Kontaktdaten der Datenschutzfunktion auf beiden Seiten, Zweck, Datenarten und Datenflüsse mit Flussdiagramm, den Umgang mit Einwilligung, Speicherung und Löschung, die Sicherheitsmaßnahmen nach der Übermittlung und das System des Empfängers, die Weitergabe durch den Empfänger an Dritte, eine Selbstbewertung der Einhaltung sowie eine Bewertung des Schutzniveaus beim Empfänger mit Risiken, möglichen Schäden und Gegenmaßnahmen. Den Wortlaut des Musters gibt dieser Beitrag nicht wieder; maßgeblich ist der Dekretanhang.

Daraus folgt eine unbequeme Einsicht: Der Bericht verlangt eine Bewertung des Schutzniveaus beim Empfänger. Für eine vietnamesische Tochter heißt das, dass sie Auskünfte über das deutsche Zielsystem braucht, die nur die Konzern-IT liefern kann. Die Folgenabschätzung ist damit faktisch eine Aufgabe des Empfängers, auch wenn formal der Übermittelnde einreicht.

Prüfung durch die Behörde. Nach Art. 18 Abs. 5 Dekret 356/2025 bewertet die Behörde das Dossier und teilt binnen 15 Tagen mit, ob es den Anforderungen genügt oder nicht. Ist es unvollständig oder nicht ordnungsgemäß, fordert sie nach Abs. 6 zur Vervollständigung auf. Der Übermittelnde muss binnen 30 Tagen ab Zugang der Aufforderung vervollständigen; das ergibt sich aus Art. 56 Abs. 1 Buchst. c Dekret 330/2026, der die Nichtvervollständigung innerhalb dieser Frist als Verstoß ahndet. Wer nicht ordnungsgemäß vervollständigt, muss nach Art. 18 Abs. 6 Dekret 356/2025 damit rechnen, dass die Behörde Verwaltungssanktionen prüft.

Einmalig, aber fortzuschreiben. Art. 20 Abs. 3 Gesetz 91/2025 bestimmt, dass die Transfer-Folgenabschätzung einmal für die gesamte Tätigkeitsdauer der Stelle durchgeführt und nach Art. 22 fortgeschrieben wird. Das Gesetz verlangt dort eine halbjährliche Aktualisierung bei Änderungen und eine sofortige Aktualisierung bei Umstrukturierung, Einstellung der Tätigkeit, Auflösung oder Insolvenz, bei geänderten Angaben zum Datenschutzdienstleister und bei neuen oder geänderten datenbezogenen Geschäftsfeldern, die im Dossier angegeben sind; die Aktualisierung erfolgt über das nationale Datenschutzportal (Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân) oder bei der Behörde. Art. 20 Dekret 356/2025 präzisiert: halbjährlich ab der ersten Einreichung, wenn neue Übermittlungszwecke entstehen oder Verantwortliche, Verarbeiter oder Dritte hinzukommen oder wechseln; binnen 10 Tagen in den drei Fällen der sofortigen Aktualisierung; mit Formular 03a oder 03b, online, persönlich oder per Post. Für Konzerne ist der Wechsel eines Beteiligten der praktisch häufigste Auslöser: ein neuer Hosting-Dienstleister, ein neues Shared-Service-Center, eine neue Konzerngesellschaft als Empfängerin.

Die Ausnahmen, mit ihren Voraussetzungen. Art. 20 Abs. 6 Gesetz 91/2025 nimmt von der Transfer-Folgenabschätzung aus: Übermittlungen durch zuständige staatliche Stellen; Organisationen, die personenbezogene Daten ihrer eigenen Beschäftigten in einem Cloud-Dienst speichern; Betroffene, die ihre eigenen Daten selbst übermitteln; und weitere von der Regierung bestimmte Fälle. Diese weiteren Fälle nennt Art. 17 Abs. 3 Dekret 356/2025: Presse- und Medientätigkeit nach den Rechtsvorschriften; die grenzüberschreitende Übermittlung bereits nach den Rechtsvorschriften veröffentlichter Daten (ob sich "veröffentlicht" auf die Daten oder auf die Übermittlung bezieht, lässt der Text nicht eindeutig erkennen); Notfälle, in denen die Übermittlung zum Schutz von Leben, Gesundheit und Vermögenssicherheit einer Person oder zur Erfüllung gesetzlicher Aufgaben und Pflichten wirklich erforderlich ist; die Übermittlung zur grenzüberschreitenden Personalverwaltung nach Arbeitsordnung, Arbeitsreglement und Tarifvertrag gemäß den Rechtsvorschriften; und die Bereitstellung von Daten zum Abschluss von Verträgen oder zur Durchführung von Verfahren im Zusammenhang mit grenzüberschreitendem Transport, Logistik, Geldüberweisung, Zahlung, Hotel, Visa- oder Stipendienantrag. Ob sich der Vertragsschluss in dieser letzten Fallgruppe nur auf die genannten Bereiche bezieht oder allgemein gilt, lässt der Wortlaut offen; eine allgemeine Ausnahme für jede Vertragsdurchführung, etwa jedes CRM, sollte daraus nicht abgeleitet werden.

Drei Grenzen der Ausnahmen gelten durchgehend. Erstens befreien sie nach ihrem Wortlaut nur von der Transfer-Folgenabschätzung, also von Dossier, Einreichung und Fortschreibung; die übrigen Pflichten des Gesetzes, etwa zur Rechtsgrundlage der Verarbeitung (vn-pdpl-003), zur Verarbeitungs-Folgenabschätzung nach Art. 21 und zu Beschäftigtendaten nach Art. 25 (vn-pdpl-004), bleiben. Zweitens nimmt das Gesetz die Prüf- und Stoppbefugnisse der Behörde aus Art. 20 Abs. 4 und 5 nicht von den Ausnahmen aus. Drittens muss jede Ausnahme mit allen ihren Merkmalen vorliegen: Die Cloud-Ausnahme betrifft Daten der eigenen Beschäftigten der speichernden Organisation in einem Cloud-Dienst; die HR-Ausnahme des Dekrets ist an die Personalverwaltung nach Arbeitsordnung, Arbeitsreglement und Tarifvertrag gebunden, und ob diese drei Grundlagen kumulativ vorliegen müssen, lässt der Text nicht sicher erkennen.

Aufsicht und Stopp. Nach Art. 20 Abs. 4 Gesetz 91/2025 entscheidet die Behörde über regelmäßige Prüfungen grenzüberschreitender Übermittlungen höchstens einmal im Jahr und über anlassbezogene Prüfungen, wenn Verstöße festgestellt werden oder ein Vorfall mit Offenlegung oder Verlust personenbezogener Daten eintritt. Art. 31 Dekret 356/2025 regelt das Prüfverfahren allgemein; Prüfgegenstand sind ausdrücklich auch die Transfer-Folgenabschätzungen, angekündigt wird 15 Tage vorher, anlassbezogene Prüfungen können ohne Ankündigung erfolgen. Nach Art. 20 Abs. 5 Gesetz 91/2025 kann die Behörde verlangen, die Übermittlung einzustellen, wenn sie feststellt, dass die übermittelten Daten für Tätigkeiten verwendet werden, die Landesverteidigung oder nationale Sicherheit schädigen können; Art. 17 Abs. 2 Dekret 356/2025 ergänzt den Fall von Datenschutzverstößen, die Landesverteidigung oder nationale Sicherheit schädigen können. Daneben gibt es einen Stopp als Folgenbeseitigung nach dem Sanktionsdekret: Nach Art. 56 Abs. 6 Buchst. b Dekret 330/2026 kann angeordnet werden, die Übermittlung einzustellen, bis die Dossierpflichten vollständig erfüllt sind und die Behörde dies bestätigt hat, und zwar bei fehlender Erstellung oder nicht fristgerechter Einreichung des Dossiers (Abs. 1 Buchst. a und b) sowie bei fehlendem bindendem Vertrag oder Übermittlungsdokument oder fehlender klarer Festlegung der Verantwortung für die Betroffenenrechte nach der Übermittlung und bei fehlender Einwilligung für den Übermittlungszweck oder fehlender Information der Betroffenen über die Übermittlung ins Ausland (Abs. 2 Buchst. a und b). Ein Stopp ist damit nicht nur bei Verteidigungs- und Sicherheitsbezügen möglich, sondern auch bei diesen Dossier- und Vertragsverstößen; die Architektur sollte ihn verkraften.

Sanktionsrahmen. Art. 8 Abs. 4 Gesetz 91/2025 setzt das Höchstbußgeld für Organisationen, die gegen die Übermittlungsregeln verstoßen, auf 5 % des Umsatzes des unmittelbar vorangegangenen Jahres; fehlt ein solcher Umsatz oder liegt der so berechnete Betrag unter dem allgemeinen Höchstbetrag von 3 Milliarden VND nach Abs. 5, gilt dieser. Für Einzelpersonen gilt nach Abs. 6 die Hälfte. Die Bußgeldtatbestände im Einzelnen stehen in Art. 56 Dekret 330/2026 und werden in vn-pdpl-007 behandelt; das Dekret bemisst die prozentualen Bußgelder am Umsatz auf dem vietnamesischen Markt im vorangegangenen Geschäftsjahr (Art. 56 Abs. 3). Es sanktioniert unter anderem auch die fehlende Einwilligung für den Übermittlungszweck und die fehlende Information der Betroffenen über die Übermittlung ins Ausland, den Empfänger und den Zweck (Art. 56 Abs. 2 Buchst. b); woraus diese Pflichten im Gesetz folgen, behandelt vn-pdpl-003.

Altfälle und Nachbarrecht. Nach Art. 39 Abs. 2 Gesetz 91/2025 bleiben Dossiers zur Übermittlung ins Ausland, die nach dem abgelösten Dekret 13/2023 vor dem 01.01.2026 von der Behörde entgegengenommen wurden, weiter verwendbar; ein neues Dossier ist dafür nicht nötig, die Fortschreibung folgt aber dem neuen Recht. Nach Art. 5 Abs. 4 Gesetz 91/2025 entfällt bei einer Transfer-Folgenabschätzung nach diesem Gesetz die Risikobewertung und Folgenabschätzung für grenzüberschreitende Übermittlungen nach dem Datengesetz. Das Datengesetz selbst liegt dem Korpus nicht vor; darüber hinaus trifft dieser Beitrag keine Aussage.

Kleine Unternehmen. Die Erleichterungen für kleine, Start-up-, Kleinst- und Haushaltsunternehmen nach Art. 38 Abs. 2 und 3 Gesetz 91/2025 betreffen Art. 21, Art. 22 und Art. 33 Abs. 2, nicht Art. 20. Für die Transfer-Folgenabschätzung selbst gibt es danach keine Größenerleichterung; die Fortschreibung nach Art. 22 kann für berechtigte Unternehmen unter den dortigen Rückausnahmen entfallen oder wählbar sein. Ob eine vietnamesische Konzerntochter ein kleines Unternehmen im Sinne des vietnamesischen Rechts ist, lässt sich aus dem Quellensatz nicht bestimmen (siehe vn-pdpl-001).

Umsetzungsperspektive

1. Flüsse inventarisieren, nach den drei Tatbeständen. Für jedes System mit Daten aus Vietnam festhalten: Liegen die Daten in Vietnam und werden verlagert, gibt eine Stelle in Vietnam an eine Stelle im Ausland, oder verarbeitet jemand in Vietnam erhobene Daten auf einer Plattform außerhalb Vietnams? Zentrale HR-, CRM-, ERP-, Ticket- und Kollaborationssysteme gehören dazu. Ob ein bloßer Fernzugriff aus dem Ausland auf Systeme in Vietnam einen der Tatbestände erfüllt, regelt das Gesetz nicht ausdrücklich; solche Zugriffe gehören deshalb ebenfalls in das Inventar und in die Prüfung.
2. Den Übermittelnden je Fluss bestimmen. Wer reicht ein, die vietnamesische Tochter, die deutsche Mutter oder beide? Die Rollen nach vn-pdpl-002 klären und festhalten; die Pflicht trifft nach Dekret alle Rollen, die tatsächlich übermitteln.
3. Fristbeginn steuern. Den Tag der ersten Übermittlung bewusst festlegen und das Dossier vorher fertigstellen. Bei Rollouts mit Testdaten aus Produktion beginnt die Frist mit dem ersten echten Datensatz.
4. Empfängerseite liefern lassen. Die deutsche Konzern-IT stellt die Angaben zu System, Sicherheitsmaßnahmen, Schutzniveau und Weitergabe an Dritte bereit, die der Bericht verlangt, und zwar in einer Form, die die vietnamesische Seite einreichen kann.
5. Ausnahmen begründet zuordnen. Wird eine Ausnahme in Anspruch genommen, die konkrete Norm, alle ihre Merkmale und die Begründung festhalten. Bei der HR-Ausnahme gehören die zugrunde liegende Arbeitsordnung, das Arbeitsreglement und gegebenenfalls der Tarifvertrag in die Akte.
6. Fortschreibung an Änderungsprozesse koppeln. Neue Zwecke, neue Dienstleister, neue Empfängergesellschaften und Umstrukturierungen lösen eine Aktualisierung aus, im Fall des Dekrets teils binnen 10 Tagen. Das gehört in Change- und Lieferantenmanagement, nicht in einen Jahreskalender.
7. Altdossiers prüfen. Für Dossiers nach Dekret 13/2023 den Eingangsnachweis der Behörde sichern; die Übergangsregel setzt voraus, dass die Behörde das Dossier vor dem 01.01.2026 entgegengenommen hat.

Typische Fehler

1. Ein konzerninterner Fluss wird nicht als Übermittlung behandelt, obwohl das Gesetz nicht zwischen Konzern und Dritten unterscheidet.
2. Die Frist wird ab Projektende oder ab einer behördlichen Anfrage gerechnet statt ab der ersten Übermittlung.
3. Ein EU-Vertragswerk wird als Ersatz für das vietnamesische Dossier angesehen.
4. Die Cloud-Ausnahme wird auf jedes HR-System angewandt, auch wenn nicht die Organisation die Daten ihrer eigenen Beschäftigten in einem Cloud-Dienst speichert, sondern eine andere Konzerngesellschaft die Daten für eigene Zwecke erhält.
5. Die HR-Ausnahme des Dekrets wird ohne Bezug auf Arbeitsordnung, Arbeitsreglement oder Tarifvertrag in Anspruch genommen.
6. Eine Ausnahme wird als Befreiung von allen Pflichten verstanden, obwohl sie nur die Transfer-Folgenabschätzung betrifft.
7. Die Folgenabschätzung wird einmal eingereicht und nie fortgeschrieben, obwohl neue Beteiligte und neue Zwecke eine Aktualisierung auslösen.
8. Die deutsche Mutter hält sich für unbeteiligt, obwohl sie als ausländische Stelle, die in Vietnam erhobene Daten auf einer Plattform außerhalb Vietnams verarbeitet, selbst unter den dritten Tatbestand fallen kann.

Risiken und Trade-offs

Der zentrale Zielkonflikt liegt zwischen Konzernarchitektur und lokalem Verfahren. Ein zentrales System senkt Betriebs- und Sicherheitskosten, erzeugt aber eine Übermittlung mit Dossier, Frist und Fortschreibung und macht den Konzern für die vietnamesische Behörde prüfbar. Eine lokale Datenhaltung in Vietnam kann die Tatbestände vermeiden, wenn die Daten Vietnam nicht verlassen und nicht auf einer Plattform außerhalb Vietnams verarbeitet werden; wie Fernzugriffe aus dem Ausland einzuordnen sind, regelt das Gesetz nicht ausdrücklich. Sie erhöht zugleich den eigenen Betriebs- und Sicherheitsaufwand in Vietnam.

Bei den Ausnahmen steht Aufwand gegen Rechtssicherheit. Die HR- und die Cloud-Ausnahme können viel Arbeit sparen, sind aber an Merkmale gebunden, deren Auslegung der Quellensatz nicht abschließend klärt. Wer sich auf sie stützt und falsch liegt, hat kein verspätetes, sondern gar kein Dossier, und das im Bereich des umsatzbezogenen Bußgeldrahmens. Ein vorsorglich eingereichtes Dossier kostet Aufwand und legt Strukturen gegenüber dem Ministerium für Öffentliche Sicherheit offen; das ist eine Leitungsentscheidung.

Schließlich das Offenlegungsrisiko: Das Dossier enthält Systemdiagramme, Sicherheitsmaßnahmen und Datenflüsse des Empfängers. Zum weiteren Umgang der Behörde mit diesen Angaben trifft dieser Beitrag keine Aussage. Das Sicherheitsteam sollte entscheiden, welcher Detaillierungsgrad den Anforderungen genügt, ohne unnötig Angriffsfläche zu dokumentieren.

Entscheidungspunkte

• Welche Systeme mit Daten aus Vietnam betreiben wir außerhalb Vietnams, und welcher der drei Tatbestände trifft jeweils zu?
• Wer reicht je Fluss ein, die vietnamesische Gesellschaft, die deutsche Gesellschaft oder beide, und wer verantwortet die Fortschreibung?
• Stützen wir uns auf die HR- oder Cloud-Ausnahme, und sind wir bereit, die Merkmale zu dokumentieren, oder reichen wir vorsorglich ein?
• Welcher Detaillierungsgrad zu System und Sicherheitsmaßnahmen geht in das Dossier, und wer gibt ihn frei?
• Wie verankern wir die Auslöser der Fortschreibung in Change-, Lieferanten- und Umstrukturierungsprozessen?
• Wie reagieren wir auf eine Aufforderung zur Einstellung der Übermittlung, und gibt es dafür einen technischen Rückfallweg?

Praktische Empfehlungen

• Ein Übermittlungsregister für Vietnam führen: System, Tatbestand, Übermittelnder, Empfänger, Datum der ersten Übermittlung, Einreichungsdatum, Ausnahme mit Begründung, letzte Fortschreibung.
• Die Folgenabschätzung als gemeinsame Leistung von vietnamesischer Gesellschaft und Konzern-IT organisieren, mit benannter Verantwortung auf beiden Seiten.
• Neue Rollouts erst produktiv schalten, wenn das Dossier eingereicht oder fristgerecht einreichbar ist.
• Bei Beschäftigtendaten getrennt prüfen, ob die Cloud-Ausnahme des Gesetzes oder die HR-Ausnahme des Dekrets mit allen Merkmalen trägt; im Zweifel vietnamesische Rechtsberatung einholen.
• Den Bericht so aufbauen, dass Änderungen an Beteiligten und Zwecken als Delta nachgetragen werden können.
• Die Formulare und das Muster des Dekretanhangs im Original verwenden; dieser Beitrag gibt sie nicht wieder.

Relevante Normreferenzen

• Gesetz 91/2025/QH15: Art. 1 Abs. 2 (Anwendungsbereich einschließlich ausländischer Stellen), Art. 2 Nr. 7 bis 10 (Rollen), Art. 5 Abs. 4 (Verhältnis zum Datengesetz), Art. 8 Abs. 4 bis 6 (Bußgeldrahmen für Übermittlungsverstöße), Art. 20 Abs. 1 bis 7 (grenzüberschreitende Übermittlung: Tatbestände, Dossier und 60-Tage-Frist, Einmaligkeit, Prüfung, Stopp, Ausnahmen, Ermächtigung der Regierung), Art. 22 (Fortschreibung), Art. 33 Abs. 1 (Fachbehörde beim Ministerium für Öffentliche Sicherheit), Art. 38 Abs. 2 und 3 (Erleichterungen ohne Art. 20), Art. 39 Abs. 2 (Übergang für Dossiers nach Dekret 13/2023).
• Dekret 356/2025/ND-CP: Art. 17 Abs. 1 (Tatbestände und Handelnde), Art. 17 Abs. 2 (Stopp), Art. 17 Abs. 3 (weitere Ausnahmen), Art. 18 (Dossier, Bericht nach Muster 09, Einreichung mit Muster 01a oder 01b, 15 Tage Bewertung, Vervollständigung), Art. 20 (Fortschreibung, 10 Tage, Muster 03a oder 03b), Art. 31 (Prüfung), Art. 39 Abs. 1 (Fachbehörde), Art. 42 Abs. 1 und 2 (Inkrafttreten 01.01.2026, Außerkrafttreten Dekret 13/2023).
• Dekret 330/2026/ND-CP: Art. 56 (Sanktionen bei Verstößen gegen die Übermittlungsregeln; Abs. 1 Buchst. a bis c Erstellung vor oder während der Übermittlung, Einreichung binnen 60 Tagen, Vervollständigung binnen 30 Tagen ab Aufforderung; Abs. 3 Umsatzbezug vietnamesischer Markt; Abs. 6 Buchst. b Einstellung der Übermittlung bis zur vollständigen Erfüllung der Dossierpflichten und deren Bestätigung durch die Behörde), Einzelheiten in vn-pdpl-007.
• Abgrenzung: Ob und wie Daten aus Deutschland oder der EU nach Vietnam übermittelt werden dürfen und wie die in Deutschland empfangenen Daten nach der DSGVO zu behandeln sind, beurteilt sich aus EU-Sicht und steht im dsgvo-Track (dsgvo-005); hier steht nur die vietnamesische Seite. Die Tracks lgpd (lgpd-006) und dpdpa (dpdpa-006) behandeln die Übermittlung nach brasilianischem und indischem Recht als vergleichbare Auslandsfälle; Aussagen daraus gelten für Vietnam nicht. Innerhalb dieses Tracks stehen Anwendungsbereich und Rollen in vn-pdpl-002, Rechtsgrundlagen in vn-pdpl-003, Verarbeitungs-Folgenabschätzung und Beschäftigtendaten in vn-pdpl-004, die Meldung von Verstößen in vn-pdpl-006 und Sanktionen in vn-pdpl-007.