Meldung von Datenschutzverstößen in Vietnam: 72 Stunden ab Entdeckung, Meldung an das Ministerium für Öffentliche Sicherheit und Sonderregeln für Finanz-, Standort- und biometrische Daten

Problem in der Praxis

Das erste Muster ist der falsche Auslöser. Wer sein Incident-Playbook an "personenbezogene Daten kompromittiert" ausrichtet, erfasst die vietnamesische Pflicht nur teilweise. Das Gesetz spricht von einem Verstoß gegen Datenschutzvorschriften. Darunter kann ein Datenabfluss fallen, aber ebenso eine Verarbeitung zu einem nicht vereinbarten Zweck oder die Missachtung von Betroffenenrechten, wenn die Schadensschwelle erreicht ist. Umgekehrt definiert der Quellensatz nicht, ob jeder Sicherheitsvorfall bereits ein Verstoß in diesem Sinn ist.

Das zweite Muster ist die Fristrechnung aus der falschen Perspektive. Die 72 Stunden laufen ab der Entdeckung des Verstoßes. In einem Konzern mit zentralem SOC in Deutschland entdeckt oft nicht die vietnamesische Gesellschaft den Vorfall, sondern die Konzernsicherheit. Wessen Kenntnis die Frist auslöst, regelt die Quelle nicht. Wer erst ab dem Zeitpunkt rechnet, an dem die Information die vietnamesische Geschäftsführung erreicht, geht ein Risiko ein, das niemand bewusst entschieden hat.

Das dritte Muster ist das Fehlen eines Adressaten. Die vietnamesische Fachbehörde ist eine Einheit des Ministeriums für Öffentliche Sicherheit, nicht eine unabhängige Datenschutzaufsicht nach europäischem Muster. Wer im Ereignisfall erst herausfinden muss, wohin und in welcher Form gemeldet wird, verliert Stunden. Das Formular 08 und der Weg über das nationale Portal gehören vorbereitet.

Das vierte Muster ist die Annahme, mit der Behördenmeldung sei alles erledigt. In den Sonderbereichen Finanzen, Standortdaten und Biometrie verlangt das vietnamesische Recht zusätzlich eine Benachrichtigung der Betroffenen, teils mit eigener Frist und Mindestinhalt.

CISO-Einordnung

Wer melden muss. Art. 23 Abs. 1 Gesetz 91/2025 richtet die Meldepflicht an den Verantwortlichen (bên kiểm soát dữ liệu cá nhân), den Verantwortlichen und Verarbeiter in einer Person (bên kiểm soát và xử lý dữ liệu cá nhân) und den Dritten (bên thứ ba), die einen Verstoß entdecken. Der Auftragsverarbeiter (bên xử lý dữ liệu cá nhân) muss nach demselben Absatz den Verantwortlichen beziehungsweise den Verantwortlichen und Verarbeiter in einer Person unverzüglich informieren; eine Stundenfrist nennt das Gesetz dafür nicht. Art. 28 Abs. 2 Dekret 356/2025 zählt bei den Absendern der Meldung nach der vorliegenden Texterkennung auch den Auftragsverarbeiter und den Dritten auf; ob das Dekret damit eine eigene Behördenmeldung des Auftragsverarbeiters vorsieht, lässt sich am OCR-Text nicht sicher entscheiden. Auch Art. 54 Abs. 1 Buchst. c Dekret 330/2026 geht davon aus, dass Auftragsverarbeiter der Behörde berichten, denn er ahndet Verantwortliche, Verantwortliche und Verarbeiter in einer Person und Auftragsverarbeiter, die der Behörde einen Datenleckvorfall berichten, dabei aber vorsätzlich Art, Umfang, Datenarten oder Zahl der betroffenen Personen verschleiern oder falsch angeben; eine eigene Meldepflicht mit Frist begründet er nicht. Eine Behördenmeldung des Auftragsverarbeiters ist also nicht ausgeschlossen. Für deutsche Unternehmen bedeutet das: Ist die deutsche Gesellschaft für eine Verarbeitung von Daten aus Vietnam selbst Verantwortliche, kann sie selbst meldepflichtig sein (zum Anwendungsbereich vn-pdpl-002); ist sie Auftragsverarbeiterin ihrer vietnamesischen Tochter, muss sie diese unverzüglich informieren.

Was die Pflicht auslöst. Gemeldet wird ein entdeckter Verstoß gegen Datenschutzvorschriften (vi phạm quy định về bảo vệ dữ liệu cá nhân), der Landesverteidigung, nationale Sicherheit oder soziale Ordnung und Sicherheit schädigen kann oder in Leben, Gesundheit, Ehre, Würde oder Vermögen der betroffenen Person eingreift. Das ist eine Schwelle mit zwei Gruppen: staatliche und gesellschaftliche Schutzgüter und individuelle Schutzgüter der betroffenen Person. Eine Bagatellgrenze nach Zahl der Betroffenen oder Datenmenge enthält Art. 23 nicht. Wie wahrscheinlich die Schädigung sein muss, konkretisiert die Quelle nicht.

Neben dieser Pflichtmeldung nennt Art. 23 Abs. 3 Gesetz 91/2025 Fälle, in denen Behörden, Organisationen und Einzelpersonen die Fachbehörde informieren: bei Entdeckung eines Verstoßes, bei Verarbeitung zu falschen Zwecken oder entgegen der Vereinbarung mit der betroffenen Person, bei Nichtgewährleistung oder fehlerhafter Erfüllung von Betroffenenrechten und in anderen gesetzlich bestimmten Fällen. Anders als Abs. 1 nennt Abs. 3 weder eine Frist noch eine Schadensschwelle und verwendet nicht das Wort für "müssen"; für sich genommen lässt der Wortlaut den Pflichtcharakter offen. Dekret 330/2026 ahndet in Art. 54 Abs. 2 aber ausdrücklich, die Fachbehörde in den ersten drei dieser Fälle nicht zu informieren (entdeckter Verstoß, zweck- oder vereinbarungswidrige Verarbeitung, nicht gewährleistete oder fehlerhaft erfüllte Betroffenenrechte); insoweit ist die Information als Pflicht zu behandeln. Die Frist von 72 Stunden und die Schadensschwelle des Abs. 1 lassen sich daraus nicht ableiten, und wen genau die Pflicht trifft, grenzen Abs. 3 und Art. 54 Abs. 2 nicht weiter ein als auf Behörden, Organisationen und Einzelpersonen. Für die Praxis heißt das: Die Frist von 72 Stunden steht in Abs. 1 und gilt für die dort genannten Adressaten bei Erreichen der dortigen Schwelle; die Informationspflicht nach Abs. 3 besteht daneben ohne Frist und ohne Schwelle, soweit Art. 54 Abs. 2 sie sanktioniert. Für den vierten Fall (andere gesetzlich bestimmte Fälle) hängt der Pflichtcharakter am jeweiligen Gesetz.

Frist und Fristbeginn. Spätestens 72 Stunden ab der Entdeckung des Verstoßes. Das Gesetz knüpft an die Entdeckung, nicht an die Bestätigung oder den Abschluss einer Untersuchung. Eine gestufte Meldung mit späterer Ergänzung sehen weder Art. 23 Gesetz noch Art. 28 Dekret ausdrücklich vor. Wessen Kenntnis im Konzern als Entdeckung gilt, regelt die Quelle nicht; eine vorsichtige Planung setzt beim ersten Erkennen im Konzern an.

An wen. An die Fachbehörde für Datenschutz (cơ quan chuyên trách bảo vệ dữ liệu cá nhân), nach Art. 33 Abs. 1 Gesetz 91/2025 beim Ministerium für Öffentliche Sicherheit angesiedelt und nach Art. 39 Abs. 1 Dekret 356/2025 eine Einheit dieses Ministeriums. Nach Art. 28 Abs. 2 Dekret 356/2025 geht die Meldung an die Behörde oder über das nationale Datenschutzportal (Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân), jeweils mit Formular 08 des Dekretanhangs. Die Behörde nimmt die Meldung entgegen und behandelt den Verstoß (Art. 23 Abs. 4 Gesetz).

Was hinein gehört. Art. 23 Abs. 5 Gesetz 91/2025 überlässt den Inhalt der Regierung; Art. 28 Abs. 1 Dekret 356/2025 verlangt auf Managementebene vier Blöcke: eine Beschreibung der Art des Verstoßes mit Zeit, Ort, Handlung, beteiligten Organisationen oder Personen, Datenarten und Datenmenge; die Kontaktdaten der Datenschutzabteilung, der Datenschutzperson oder des beauftragten Datenschutzdienstleisters; die möglichen Folgen und Schäden; und die Maßnahmen zur Behebung und Schadensminderung. Den Wortlaut des Formulars 08 gibt dieser Beitrag nicht wieder.

Was neben der Meldung gilt. Nach Art. 23 Abs. 2 Gesetz 91/2025 muss der Verantwortliche beziehungsweise der Verantwortliche und Verarbeiter in einer Person ein Protokoll (biên bản) erstellen, das das Auftreten des Verstoßes bestätigt, und mit der Behörde bei der Behandlung zusammenarbeiten. Nach Abs. 4 müssen Verantwortliche, Verantwortliche und Verarbeiter in einer Person, Dritte und weitere Beteiligte den Verstoß unterbinden, die Folgen beheben und mit der Behörde kooperieren. Art. 37 Abs. 1 Buchst. d Gesetz 91/2025 nimmt die Meldung nach Art. 23 in den Pflichtenkatalog des Verantwortlichen auf. Nach Art. 14 Dekret 356/2025 gehören die Entgegennahme und Meldung von Verstößen und ein Notfallplan für Datenschutzvorfälle zu den Aufgaben der Datenschutzabteilung beziehungsweise der Datenschutzperson (Einzelheiten zur Funktion in vn-pdpl-004).

Sonderbereich Finanzen. Nach Art. 8 Abs. 3 Dekret 356/2025 müssen Organisationen und Personen im Finanz-, Bank- und Kreditauskunftsbereich, die die Daten unmittelbar erhoben haben, binnen höchstens 72 Stunden nach Entdeckung einer Offenlegung oder eines Verlusts sensibler Daten der betroffenen Person sowohl die Fachbehörde als auch die betroffene Person informieren, mindestens mit dem Inhalt nach Art. 28 Abs. 1. Daneben verpflichtet Art. 27 Abs. 1 Buchst. d Gesetz 91/2025 diese Akteure, die betroffene Person bei Offenlegung oder Verlust von Informationen über Bank-, Finanz- und Kreditkonten sowie Kreditinformationen zu benachrichtigen; eine Frist nennt das Gesetz dort nicht.

Sonderbereich Standort- und biometrische Daten. Art. 29 Dekret 356/2025 verlangt bei Verstößen mit Standort- oder biometrischen Daten vom Verantwortlichen beziehungsweise Verantwortlichen und Verarbeiter in einer Person, die betroffenen Personen binnen höchstens 72 Stunden ab Entdeckung zu benachrichtigen, an die zuständige Behörde nach Art. 28 zu melden und eine Akte über den Verstoß zu führen, die mindestens sechs Jahre ab Behebung des Vorfalls aufzubewahren ist. Die Benachrichtigung der Betroffenen enthält mindestens Zeitpunkt und Art der Entdeckung, die betroffenen Datenarten, Schwere und Risiken, die ergriffenen und geplanten Maßnahmen, Handlungsempfehlungen für die Betroffenen und Kontaktdaten. Können nicht alle Betroffenen fristgerecht aus technischen oder dringenden Gründen erreicht werden, ist öffentlich über die offiziellen elektronischen Kanäle der Organisation zu informieren und die Einzelbenachrichtigung nachzuholen, sobald es technisch möglich ist. Wer nicht fristgerecht benachrichtigt oder die Pflicht absichtlich verzögert oder umgeht, muss mit Sanktionen rechnen. Für deutsche Unternehmen ist das relevant bei Zeiterfassung mit Fingerabdruck oder Gesichtserkennung, Zutrittskontrolle, Flotten- und Außendienstortung in Vietnam. Daneben verlangt Art. 31 Abs. 4 Buchst. b Gesetz 91/2025 eine Benachrichtigung der betroffenen Person, wenn die Verarbeitung biometrischer Daten ihr Schaden zufügt, nach näherer Regelung der Regierung.

Sanktionen. Verstöße gegen die Meldevorschriften sind in Art. 54 Dekret 330/2026 sanktioniert, darunter die unterlassene unverzügliche Information des Verantwortlichen durch den Auftragsverarbeiter, das fehlende Protokoll, vorsätzlich verschleiernde oder falsche Angaben zu Art, Umfang, Datenarten oder Zahl der betroffenen Personen in einem Bericht über einen Datenleckvorfall an die Behörde, die unterlassene Information nach Art. 23 Abs. 3, die Meldung später als 72 Stunden durch Verantwortliche, Verantwortliche und Verarbeiter in einer Person oder Dritte bei Verstößen, die Landesverteidigung, nationale Sicherheit oder soziale Ordnung und Sicherheit schädigen oder schädigen können oder in Leben, Gesundheit, Ehre, Würde oder Vermögen der betroffenen Person eingreifen, und unterlassene Unterbindung, Behebung oder Zusammenarbeit; Rahmen und Beträge behandelt vn-pdpl-007.

Umsetzungsperspektive

1. Auslöser im Playbook erweitern. Neben Sicherheitsvorfällen auch Zweckverstöße, vertragswidrige Verarbeitung und verletzte Betroffenenrechte mit Bezug zu Vietnam als mögliche Meldefälle aufnehmen und die Schwelle des Art. 23 Abs. 1 als Prüfschritt formulieren.
2. Fristbeginn konzernweit festlegen. Eine Regel, dass die 72 Stunden ab dem ersten Erkennen im Konzern geplant werden, und ein Eskalationsweg vom zentralen SOC zur vietnamesischen Gesellschaft binnen Stunden.
3. Rollen je Verarbeitung klären. Wo ist die deutsche Gesellschaft Verantwortliche und meldet selbst, wo ist sie Auftragsverarbeiterin und informiert den Verantwortlichen unverzüglich? Das gehört vor dem Ereignis in die Verträge.
4. Meldeweg vorbereiten. Formular 08, Zugang zum nationalen Portal, Ansprechpartner, Sprache und Freigabeweg für die Meldung festlegen; Kontaktdaten der Datenschutzfunktion aktuell halten, weil sie Pflichtinhalt sind.
5. Sonderbereiche markieren. Systeme mit Finanz-, Standort- oder biometrischen Daten aus Vietnam kennzeichnen und für sie die Benachrichtigung der Betroffenen vorbereiten; bei Standort- und biometrischen Daten mit Mindestinhalt nach Art. 29 Abs. 2 Dekret 356/2025 und dem öffentlichen Ersatzweg nach Abs. 3 für den Fall, dass technische oder dringende Gründe die fristgerechte Einzelbenachrichtigung verhindern, mit Nachholung der Einzelbenachrichtigung, sobald es technisch möglich ist.
6. Protokoll und Akte vorsehen. Das Protokoll nach Art. 23 Abs. 2 als festen Schritt aufnehmen; bei Standort- und biometrischen Daten die Aufbewahrung von mindestens sechs Jahren ab Behebung einplanen.
7. Parallelmeldungen koordinieren. Eine DSGVO-Meldung in Deutschland und die vietnamesische Meldung laufen getrennt, mit eigenen Adressaten, Schwellen und Inhalten; Abstimmung der Sachverhaltsdarstellung, nicht Übernahme einer Meldung in die andere.

Typische Fehler

1. Das Playbook kennt nur Sicherheitsvorfälle, obwohl das Gesetz an Verstöße gegen Datenschutzvorschriften anknüpft.
2. Die Frist wird ab Kenntnis der vietnamesischen Geschäftsführung gerechnet, obwohl die Konzernsicherheit den Vorfall Tage früher erkannt hat.
3. Die deutsche Gesellschaft hält sich nie für meldepflichtig, auch wenn sie für eine Verarbeitung von Daten aus Vietnam selbst Verantwortliche ist.
4. Der Auftragsverarbeiter wartet auf eine Bestätigung, bevor er den Verantwortlichen informiert, obwohl das Gesetz unverzügliche Information verlangt.
5. Die Meldung wird an eine vermeintliche Datenschutzaufsicht statt an die Fachbehörde beim Ministerium für Öffentliche Sicherheit oder das nationale Portal gerichtet.
6. In den Sonderbereichen Finanzen, Standortdaten und Biometrie wird die Benachrichtigung der Betroffenen vergessen.
7. Die DSGVO-Meldung wird übersetzt und als vietnamesische Meldung verwendet, ohne die vietnamesischen Pflichtinhalte zu prüfen.

Risiken und Trade-offs

Der zentrale Zielkonflikt liegt zwischen Fristtreue und Gewissheit. 72 Stunden ab Entdeckung lassen oft keine abgeschlossene Analyse zu, und eine ausdrückliche gestufte Meldung sehen Gesetz und Dekret nicht vor. Wer zu früh meldet, legt unvollständige Angaben gegenüber dem Ministerium für Öffentliche Sicherheit vor; wer wartet, riskiert die Frist und eine Sanktion nach Dekret 330/2026.

Bei der Schwelle steht Vorsicht gegen Aufwand. Die Schwelle verlangt keine eingetretene Schädigung staatlicher Schutzgüter, sondern lässt die Möglichkeit genügen, und für die individuellen Schutzgüter kennt sie keine Bagatellgrenze. Eine enge Lesart senkt die Zahl der Meldungen, eine weite erhöht die Sichtbarkeit gegenüber der Behörde, die zugleich Prüfungen und, bei Übermittlungen, Stopps anordnen kann (vn-pdpl-005).

Beim Konzernzuschnitt schließlich steht Zentralisierung gegen lokale Verantwortung. Ein zentrales SOC erkennt schneller, verlagert aber die Kenntnis in eine Gesellschaft, die für die betroffene Verarbeitung nicht zwingend die meldende Stelle ist. Wer meldet, richtet sich nach der Rolle: Ist die deutsche Gesellschaft selbst Verantwortliche, kann sie selbst meldepflichtig sein; ist es die vietnamesische Gesellschaft, muss die Kenntnis dorthin gelangen. Ohne verbindliche Eskalation entsteht genau die Lücke, die die Frist am meisten belastet.

Entscheidungspunkte

• Welche Gesellschaft meldet für welche Verarbeitung von Daten aus Vietnam, und ist das in den Konzernverträgen festgehalten?
• Ab wann rechnen wir die 72 Stunden, und wie schnell eskaliert das zentrale SOC an die vietnamesische Gesellschaft?
• Wie legen wir die Schwelle des Art. 23 Abs. 1 im Zweifel aus, und wer entscheidet im Ereignisfall?
• Wer gibt die Meldung an das Ministerium für Öffentliche Sicherheit frei, und in welcher Sprache wird sie abgegeben?
• Welche Systeme verarbeiten Finanz-, Standort- oder biometrische Daten aus Vietnam und brauchen deshalb einen Benachrichtigungsweg für Betroffene?

Praktische Empfehlungen

• Eine Vietnam-Seite im Incident-Playbook führen: Schwelle, Adressat, Formular 08, Portal, Frist, Protokoll, Sonderbereiche.
• Die Konzernsicherheit verpflichten, Vorfälle mit möglichem Vietnambezug unverzüglich an die vietnamesische Gesellschaft und die Datenschutzfunktion zu melden.
• Auftragsverarbeitungsverträge zwischen deutscher und vietnamesischer Gesellschaft um eine unverzügliche Informationspflicht ergänzen, die zur 72-Stunden-Frist passt.
• Für Finanz-, Standort- und biometrische Daten Textbausteine für die Benachrichtigung der Betroffenen vorbereiten; für Standort- und biometrische Daten zusätzlich den öffentlichen Ersatzweg nach Art. 29 Abs. 3 Dekret 356/2025, der nur greift, wenn technische oder dringende Gründe die fristgerechte Einzelbenachrichtigung verhindern, und die Einzelbenachrichtigung nicht ersetzt, sondern nachholen lässt, sobald es technisch möglich ist. Für den Finanzbereich nennt der Quellensatz keinen solchen Ersatzweg.
• Übungen so anlegen, dass die DSGVO-Meldung und die vietnamesische Meldung parallel geübt werden.
• Bei Zweifeln an Schwelle, Rolle oder Fristbeginn vietnamesische Rechtsberatung einholen; dieser Beitrag trifft keine Einzelfallentscheidung.

Relevante Normreferenzen

• Gesetz 91/2025/QH15: Art. 23 Abs. 1 bis 5 (Meldung von Verstößen: Adressaten, Schwelle, 72 Stunden ab Entdeckung, Information durch den Auftragsverarbeiter, Protokoll, Meldefälle, Unterbindung und Behebung, Inhalt durch die Regierung), Art. 27 Abs. 1 Buchst. d (Benachrichtigung Betroffener im Finanzbereich), Art. 31 Abs. 4 Buchst. b (Benachrichtigung bei Schaden durch biometrische Verarbeitung), Art. 33 Abs. 1 (Fachbehörde beim Ministerium für Öffentliche Sicherheit), Art. 37 Abs. 1 Buchst. d (Meldung als Pflicht des Verantwortlichen).
• Dekret 356/2025/ND-CP: Art. 8 Abs. 3 (Finanzbereich, 72 Stunden, Behörde und Betroffene), Art. 14 (Aufgaben der Datenschutzfunktion), Art. 28 (Inhalt der Meldung, Formular 08, Portal), Art. 29 (Standort- und biometrische Daten), Art. 39 (Fachbehörde und Portal).
• Dekret 330/2026/ND-CP: Art. 54 Abs. 1 bis 5 (Sanktionen bei Verstößen gegen die Meldevorschriften: Information durch den Auftragsverarbeiter, Protokoll, vorsätzlich verschleiernde oder falsche Angaben in Berichten über Datenleckvorfälle, unterlassene Information nach Art. 23 Abs. 3 Gesetz, Meldung später als 72 Stunden, Unterbindung und Zusammenarbeit, Folgenbeseitigung), Einzelheiten in vn-pdpl-007.
• Abgrenzung: Die Meldung einer Datenpanne nach der DSGVO an die deutsche Aufsichtsbehörde und die Benachrichtigung Betroffener nach EU-Recht beurteilen sich aus EU-Sicht und stehen im dsgvo-Track (dsgvo-003); hier steht nur die vietnamesische Seite. Die Tracks lgpd (lgpd-005) und dpdpa (dpdpa-005) behandeln die Meldung nach brasilianischem und indischem Recht als vergleichbare Auslandsfälle; Aussagen daraus gelten für Vietnam nicht. Innerhalb dieses Tracks stehen Anwendungsbereich und Rollen in vn-pdpl-002, die Datenschutzfunktion in vn-pdpl-004, die grenzüberschreitende Übermittlung in vn-pdpl-005 und Sanktionen in vn-pdpl-007.