Sanktionen und Durchsetzung nach dem vietnamesischen Datenschutzgesetz: verbotene Handlungen, Bußgeldobergrenzen mit Umsatzbezug, Dekret 330/2026 und behördliche Kontrolle

Problem in der Praxis

Das erste Muster ist die Annahme, ein neues Datenschutzgesetz werde in den ersten Jahren mit Nachsicht vollzogen. Das vietnamesische Recht ist anders gebaut: Die Aufsicht liegt beim Ministerium für Öffentliche Sicherheit (Bộ Công an), das Sanktionsdekret ist ein gemeinsames Dekret für Cybersicherheit und Datenschutz, und Bußgeldbefugnisse liegen bis zur Gemeindeebene bei der Polizei. Wer Vietnam als Randmarkt behandelt, übersieht, dass formale Pflichten wie die Einreichung der Folgenabschätzung innerhalb von 60 Tagen eigene Bußgeldtatbestände haben und mit Betriebsanordnungen verbunden werden können.

Das zweite Muster ist die falsche Einordnung von Datenflüssen. Eine Übermittlung gegen Entgelt, die nicht unter einen der gesetzlichen Fälle der Weitergabe nach Art. 17 Abs. 1 Gesetz 91/2025 fällt, kann als verbotener Kauf und Verkauf personenbezogener Daten gewertet werden, mit einer Höchstgrenze, die sich an den Einnahmen bemisst. Umgekehrt stellt Art. 17 Abs. 2 klar, dass eine Weitergabe in den Fällen des Abs. 1 kein Kauf und Verkauf ist, gleich ob sie entgeltlich ist oder nicht.

Das dritte Muster ist die Fixierung auf das Bußgeld. Für ein produzierendes oder vertreibendes Unternehmen ist eine angeordnete Unterbrechung der Verarbeitung oder der Übermittlung in die Konzernsysteme operativ oft folgenreicher als die Geldbuße selbst.

CISO-Einordnung

Die verbotenen Handlungen (Art. 7 Gesetz 91/2025). Das Gesetz verbietet erstens die Verarbeitung personenbezogener Daten gegen den vietnamesischen Staat oder in einer Weise, die Landesverteidigung, nationale Sicherheit, öffentliche Ordnung oder die Rechte und Interessen von Behörden, Organisationen und Personen beeinträchtigt. Zweitens verbietet es, Datenschutztätigkeiten zu behindern oder sie für Rechtsverstöße auszunutzen. Drittens verbietet es die rechtswidrige Verarbeitung allgemein, das Nutzen fremder Daten oder das Überlassen eigener Daten für rechtswidrige Handlungen, den Kauf und Verkauf personenbezogener Daten, soweit ein Gesetz nichts anderes bestimmt, und das Aneignen sowie das vorsätzliche Offenlegen oder Verlieren von Daten. Für einen CISO ist vor allem der letzte Punkt wichtig: Ob sich das Wort "vorsätzlich" (cố ý) nur auf das Offenlegen oder auch auf das Verlieren von Daten bezieht, lässt der Wortlaut offen; ob ein fahrlässiger Datenverlust unter das Verbot fällt, beantwortet der Gesetzestext nicht ausdrücklich.

Drei Wege der Rechtsfolge (Art. 8 Abs. 1). Verstöße können je nach Art, Ausmaß und Folgen verwaltungsrechtlich sanktioniert oder strafrechtlich verfolgt werden; daneben besteht die Pflicht zum Schadensersatz nach den gesetzlichen Vorschriften. Das Gesetz weist dem Verantwortlichen (bên kiểm soát dữ liệu cá nhân) die Verantwortung gegenüber der betroffenen Person für Schäden aus der Verarbeitung zu (Art. 37 Abs. 1 Buchst. g) und dem Auftragsverarbeiter (bên xử lý dữ liệu cá nhân) die Verantwortung gegenüber dem Verantwortlichen (Art. 37 Abs. 2 Buchst. d). Betroffene haben nach Art. 4 Abs. 1 Buchst. đ das Recht, sich zu beschweren, Anzeige zu erstatten, zu klagen und Schadensersatz zu verlangen. Das vietnamesische Strafrecht und das allgemeine Schadensersatzrecht liegen dem Quellensatz nicht vor; dieser Artikel trifft dazu keine Aussage.

Die gesetzlichen Höchstgrenzen (Art. 8 Abs. 3 bis 7). Die Verwaltungssanktionen richten sich nach Art. 8 Abs. 3 bis 7 und dem Recht über die Behandlung von Verwaltungsverstößen (Art. 8 Abs. 2); letzteres liegt dem Quellensatz nicht vor.

• Kauf und Verkauf personenbezogener Daten: höchstens das Zehnfache der Einnahmen aus dem Verstoß (khoản thu có được từ hành vi vi phạm). Gibt es keine Einnahmen oder liegt der so berechnete Betrag unter der allgemeinen Höchstgrenze, gilt die allgemeine Höchstgrenze von 3 Milliarden VND.
• Grenzüberschreitende Übermittlung: für Organisationen höchstens 5 % des Umsatzes des unmittelbar vorangegangenen Jahres dieser Organisation (doanh thu của năm trước liền kề của tổ chức đó). Gibt es keinen Vorjahresumsatz oder liegt der so berechnete Betrag unter 3 Milliarden VND, gilt die allgemeine Höchstgrenze von 3 Milliarden VND.
• Alle anderen Verstöße im Datenschutz: höchstens 3 Milliarden VND.
• Die drei Grenzen gelten für Organisationen; für Einzelpersonen, die dieselbe Handlung begehen, gilt die Hälfte (Art. 8 Abs. 6). Die Methode zur Berechnung der Einnahmen aus dem Verstoß regelt die Regierung (Art. 8 Abs. 7), umgesetzt in Art. 6 Dekret 330/2026.

Worauf sich der Umsatz bezieht. Bezugsgröße der 5-%-Grenze ist nach dem Gesetzeswortlaut der Vorjahresumsatz "dieser Organisation", also der Organisation, die gegen die Übermittlungsregeln verstoßen hat. Das Gesetz spricht weder von Gruppen- oder Konzernumsatz noch beschränkt es den Umsatz ausdrücklich auf Vietnam. Dekret 330/2026 wiederholt in Art. 7 Abs. 4 Buchst. b die gesetzliche Grenze im selben Wortlaut. In der konkreten umsatzbezogenen Bußgeldstufe für Übermittlungsverstöße (Art. 56 Abs. 3 Dekret 330/2026) stellt das Dekret dagegen auf den Gesamtumsatz des vorangegangenen Geschäftsjahres auf dem vietnamesischen Markt ab. Ob die gesetzliche Höchstgrenze bei einer ausländischen Organisation auch einen außerhalb Vietnams erzielten Umsatz erfasst, regeln die vorliegenden Quellen nicht ausdrücklich. Diese Frage gehört zur vietnamesischen Rechtsberatung.

Wie Einnahmen bestimmt werden (Art. 6 Dekret 330/2026). Einnahmen aus einem Datenschutzverstoß sind der gesamte Wert an Geld, Wertpapieren, Vermögen oder sonstigen materiellen Vorteilen, die direkt oder indirekt aus dem Verstoß erlangt wurden, und zwar je Verstoß und je Begehung. Beim unerlaubten Kauf und Verkauf zählt der gesamte Transaktionswert laut Vertrag, Rechnung, Zahlungsbeleg, Nachrichtenverlauf oder Kontoauszug; bei unerlaubter Erhebung, Verarbeitung, Nutzung oder Weitergabe ohne Verkauf zählt der gesamte tatsächliche Umsatz aus der Geschäftstätigkeit, in der die rechtswidrig verarbeiteten Daten genutzt wurden. In beiden Fällen werden Kosten nicht abgezogen. Für ein Unternehmen, das Kundendaten rechtswidrig in einer Vertriebskampagne nutzt, kann damit der Kampagnenumsatz und nicht der Gewinn die Bemessungsgrundlage sein.

Aufbau des Sanktionsdekrets 330/2026/ND-CP. Das Dekret regelt Verwaltungssanktionen für Cybersicherheit und Datenschutz gemeinsam. Der Datenschutzabschnitt (laut Art. 7 Abs. 1 Mục 6 des Kapitels II) umfasst die Art. 39 bis 71 und ordnet jedem Pflichtenbereich des Gesetzes eigene Tatbestände zu: Grundsätze und Verbote, Einwilligung, Betroffenenrechte, Erhebung, Weitergabe, Löschung, Kauf und Verkauf, Meldung von Verstößen, Folgenabschätzung, grenzüberschreitende Übermittlung, Datenschutzpersonal, Dienstleister sowie Sonderbereiche wie Beschäftigtendaten, Gesundheit und Versicherung, Werbung, soziale Netzwerke, Big Data, künstliche Intelligenz, Cloud, Standort- und biometrische Daten. Die Beträge im Datenschutzabschnitt gelten für Organisationen; begeht eine Einzelperson dieselbe Handlung, gilt die Hälfte (Art. 7 Abs. 1). Hauptsanktionen sind Verwarnung und Geldbuße; als Zusatzsanktionen kommen der befristete Entzug von Lizenzen und Bescheinigungen für 1 bis 24 Monate (darunter die Bescheinigung für das Geschäft mit Datenverarbeitungsdiensten), die befristete Aussetzung der Tätigkeit für 1 bis 24 Monate, die Einziehung von Tatmitteln und die Ausweisung ausländischer Täter in Betracht, jeweils nur, soweit der einzelne Tatbestand in Kapitel II sie vorsieht (Art. 4). Zehn Arten von Abhilfemaßnahmen (Art. 5) reichen vom Löschen rechtswidrig verarbeiteter Daten über die Herausgabe rechtswidrig erlangter Vorteile und die öffentliche Entschuldigung bis zur erzwungenen Erfüllung der Betroffenenrechte. Ergibt sich bei der Prüfung ein Verdacht auf eine Straftat, wird der Fall nach den Vorschriften des Rechts über Verwaltungsverstöße an die Strafverfolgung abgegeben (Art. 4 Abs. 4).

Beispiele aus dem Datenschutzabschnitt. Die folgenden Spannen gelten für Organisationen und sind in der Texterkennungsfassung des Dekrets eindeutig lesbar; sie sind Auswahl, keine vollständige Übersicht.

• Mängel der Einwilligung, etwa voreingestellte Zustimmung, irreführende Gestaltung zwischen Zustimmung und Ablehnung, fehlende Einwilligung je Zweck oder fehlende Nachweisprotokolle: 30 bis 50 Millionen VND; das vorsätzliche Weiterverarbeiten nach einem Stopp- oder Beschränkungsverlangen der betroffenen Person oder nach schriftlicher Aufforderung der Behörde und das Werten von Schweigen als Zustimmung: 50 bis 70 Millionen VND (Art. 43).
• Meldung eines Verstoßes der in Art. 23 Abs. 1 Gesetz 91/2025 genannten Schwere durch Verantwortliche, kombinierte Verantwortliche und Verarbeiter oder Dritte später als 72 Stunden nach der Entdeckung: 40 bis 60 Millionen VND; ein Auftragsverarbeiter, der einen entdeckten Verstoß seinem Verantwortlichen nicht rechtzeitig meldet: 10 bis 20 Millionen VND; unterlassene Maßnahmen zum Stoppen des Verstoßes und zur Folgenbeseitigung oder fehlende Zusammenarbeit mit der Behörde: 60 bis 80 Millionen VND (Art. 54).
• Fehlende, nicht fristgerecht eingereichte oder nicht aktualisierte Folgenabschätzung der Verarbeitung: 20 bis 30 Millionen VND; vorsätzlich gefälschte Zahlen oder verfälschte Angaben darin oder die Weigerung, die Unterlagen auf schriftliche Aufforderung der zuständigen Abteilung des Ministeriums für Öffentliche Sicherheit zu berichtigen oder zu vervollständigen: 50 bis 100 Millionen VND. Wer die Verarbeitung beginnt, ohne die Unterlagen zu erstellen und am Unternehmenssitz vorzuhalten, kann zusätzlich verpflichtet werden, die Verarbeitung einzustellen, bis die Pflicht erfüllt und von der Fachbehörde bestätigt ist (Art. 55).
• Formale Mängel bei der grenzüberschreitenden Übermittlung, etwa fehlende oder verspätete Folgenabschätzung der Übermittlung, oder ein fehlender Kontrollmechanismus beziehungsweise eine fehlende Verpflichtung des Empfängers für Weiterübermittlungen an Dritte, wenn das dazu führt, dass Daten vietnamesischer Staatsangehöriger außerhalb des in der Folgenabschätzung angegebenen Umfangs verarbeitet werden: 30 bis 50 Millionen VND; kein Vertrag und kein anderes Übermittlungsdokument, das Übermittler und Empfänger an Datenschutzpflichten bindet, oder keine klare Festlegung, wer nach der Übermittlung die Betroffenenrechte erfüllt, fehlende Einwilligung in den Übermittlungszweck oder fehlende Information der Betroffenen, fehlende Sicherheitsmaßnahmen, fehlende Mitwirkung an oder Behinderung der Kontrolle oder Fortsetzung trotz Stoppanordnung: 50 bis 100 Millionen VND (Art. 56 Abs. 1 und 2).
• Umsatzbezogene Stufe (Art. 56 Abs. 3): Wer übermittelt, ohne eine Folgenabschätzung zu erstellen, Datenflüsse verschweigt oder falsch angibt und dadurch einen Datenverlust oder eine Offenlegung verursacht, oder trotz Stoppanordnung weiter übermittelt, wird mit einem Prozentsatz des Gesamtumsatzes des vorangegangenen Geschäftsjahres auf dem vietnamesischen Markt belegt. Die Stufen richten sich nach der Zahl der vietnamesischen Staatsangehörigen, deren Daten durch den Verstoß offengelegt oder verloren wurden, und beginnen ab 10.000 solcher Betroffenen bei 1 bis 2 %; die oberste Stufe von 3 bis 5 % gilt ab einer Million solcher Betroffenen oder, gesondert, bei fortgesetzter Übermittlung trotz Stoppanordnung mit Schaden für Landesverteidigung oder nationale Sicherheit. Die bloße Zahl der von einer regelwidrigen Übermittlung erfassten Personen bestimmt die Stufe nicht. Fehlt ein Umsatz auf dem vietnamesischen Markt oder liegt der Prozentbetrag unter 3 Milliarden VND, gelten feste Spannen bis höchstens 3 Milliarden VND (Art. 56 Abs. 4). Zusätzlich kann die grenzüberschreitende Übermittlung für 6 bis 12 Monate ausgesetzt werden (Art. 56 Abs. 5).
• Datenschutzpersonal: Verwarnung oder 10 bis 20 Millionen VND etwa für fehlende Vertraulichkeitsvereinbarung oder fehlende Schulung; 20 bis 30 Millionen VND für die Bestellung von Personal, das die Qualifikationsanforderungen nicht erfüllt, oder für eine fehlende förmliche Bestellung (Art. 57).
• Beschäftigtendaten: 50 bis 70 Millionen VND etwa für Überwachungssoftware oder Kameras am Arbeitsplatz ohne Information der Beschäftigten oder für fehlende Löschung nach Vertragsende, soweit nichts anderes vereinbart oder gesetzlich bestimmt ist; 70 bis 100 Millionen VND für die Nutzung von Daten aus rechtswidrigen technischen Überwachungsmaßnahmen (Art. 61).
• Unerlaubter Kauf und Verkauf: das Zwei- bis Zehnfache der Einnahmen; ohne Einnahmen gelten nach der Zahl der Betroffenen und nach Grund- oder sensiblen Daten gestufte feste Spannen, die bei 70 bis 100 Millionen VND beginnen und bei Verstößen, die unter anderem Landesverteidigung, Sicherheit und Ordnung, Leben, Gesundheit, Ehre, Würde oder Vermögen der Betroffenen verletzen, 1 bis 3 Milliarden VND erreichen (Art. 53).

Wer sanktioniert. Die Bußgeldbefugnis liegt nach Art. 72 bis 79 Dekret 330/2026 vor allem bei der Volkspolizei (Công an nhân dân) und reicht je nach Ebene von einem Teil der Höchstgrenze, etwa bis zu 50 % beim Leiter der Polizei auf Gemeindeebene, bis zur vollen Höchstgrenze beim Direktor der Provinzpolizei und bei den Leitern der im Dekret genannten Fachabteilungen des Ministeriums für Öffentliche Sicherheit. Daneben sind die Vorsitzenden der Volkskomitees, bestimmte Inspektionen, Grenzschutz, Küstenwache und Leiter von Fachbehörden befugt, jeweils in ihrem Zuständigkeitsbereich. Für Einzelpersonen gilt jeweils die Hälfte der Befugnis (Art. 7 Abs. 2).

Elektronisches Verfahren (Art. 8 Dekret 330/2026). Elektronische Beweismittel, die auf Geräten und Systemen des Betroffenen oder Dritter erhoben werden, sind rechtlich verwertbar. Protokolle und Bußgeldentscheidungen können elektronisch erstellt, digital signiert und zugestellt werden; hat der Betroffene keinen Zugang zum elektronischen System, wird die Entscheidung per Kurznachricht oder E-Mail mitgeteilt. Entscheidungen sind innerhalb der darin genannten Frist zu befolgen; wer das nicht freiwillig tut, wird nach dem Recht über Verwaltungsverstöße vollstreckt und trägt die Vollstreckungskosten (Art. 6 Abs. 3 und 6).

Verjährung und Übergang. Die Verjährungsfrist für Verwaltungsverstöße in Cybersicherheit und Datenschutz beträgt ein Jahr (Art. 3 Abs. 1 Dekret 330/2026). Als Ende eines Verstoßes gilt der Tag, an dem die Pflicht erfüllt wurde, oder der Tag, an dem der Verstoß tatsächlich endete und die Behörde das bestätigt hat (Art. 3 Abs. 2). Für Verstöße vor dem Inkrafttreten des Dekrets, die erst danach entdeckt werden oder noch in Prüfung oder Bearbeitung sind, gelten die Sanktionsdekrete, die zur Tatzeit galten; regelt Dekret 330/2026 für sie keine oder eine mildere Haftung, gilt Dekret 330/2026 (Art. 81 Abs. 1). Bereits vor dem Inkrafttreten erlassene, noch nicht vollständig vollzogene Bußgeldentscheidungen werden nach der erlassenen Entscheidung weiter vollzogen (Art. 81 Abs. 3); Beschwerden gegen vorher erlassene Entscheidungen richten sich nach dem Recht, das bei Erlass der Entscheidung galt (Art. 81 Abs. 4). Welches Sanktionsdekret für Datenschutzverstöße zwischen dem 01.01.2026 und dem 19.08.2026 galt, regeln die vorliegenden Quellen nicht.

Kontrolle (Art. 35 Gesetz 91/2025, Art. 31 Dekret 356/2025). Das Gesetz verweist für die Kontrolle auf das Gesetz und die Regelungen der Regierung (Art. 35). Nach Art. 31 Dekret 356/2025 wird regelmäßig und anlassbezogen kontrolliert, etwa bei Verdacht auf Rechtsverstöße oder auf Weisung der zuständigen Stellen. Kontrolliert werden können insbesondere Organisationen, die personenbezogene Daten verarbeiten, die Folgenabschätzungen für Verarbeitung und grenzüberschreitende Übermittlung erstellen müssen, die Datenverarbeitungsdienste anbieten oder die an Verstößen beteiligt sind. Gegenstand sind der Umsetzungsstand des Datenschutzes, die Folgenabschätzungen und das Geschäft mit Datenverarbeitungsdiensten. Die Fachbehörde kündigt eine Kontrolle 15 Tage vorher mit Zeit, Inhalt und Zusammensetzung an; bei einer anlassbezogenen Kontrolle zur raschen Aufklärung und Unterbindung eines Verstoßes darf sie ohne Vorankündigung kontrollieren. Die kontrollierte Stelle muss die Inhalte vorbereiten. Für grenzüberschreitende Übermittlungen sieht Art. 20 Abs. 4 Gesetz 91/2025 eigens regelmäßige Kontrollen höchstens einmal im Jahr und anlassbezogene Kontrollen bei Rechtsverstößen oder Datenverlusten vor; nach Art. 20 Abs. 5 kann die Fachbehörde die Übermittlung stoppen, wenn übermittelte Daten für Tätigkeiten genutzt werden, die Landesverteidigung oder nationale Sicherheit schädigen können. Verantwortliche und Auftragsverarbeiter müssen mit dem Ministerium für Öffentliche Sicherheit zusammenarbeiten und Informationen für Ermittlungen bereitstellen (Art. 37 Abs. 1 Buchst. i und Abs. 2 Buchst. e).

Umsetzungsperspektive

1. Bußgeldrelevante Formalpflichten zuerst schließen. Folgenabschätzung der Verarbeitung und der Übermittlung erstellen, fristgerecht einreichen und aktualisieren, Datenschutzpersonal förmlich bestellen und schulen, Einwilligungen protokollieren. Diese Pflichten haben eigene Tatbestände; bei fehlender Folgenabschätzung zu Beginn der Verarbeitung und bei bestimmten Übermittlungsverstößen kann zusätzlich angeordnet werden, Verarbeitung oder Übermittlung bis zur Bestätigung durch die Behörde einzustellen. Erleichterungen für kleine Unternehmen behandelt vn-pdpl-001.
2. Konzernflüsse nach Vietnam und aus Vietnam erfassen. Für jede Übermittlung in Konzernsysteme einen Vertrag oder ein anderes bindendes Übermittlungsdokument, die erforderliche Einwilligung in den Übermittlungszweck und, davon getrennt, die Information der Betroffenen über die Übermittlung ins Ausland, den Empfänger und den Verarbeitungszweck sowie Sicherheitsmaßnahmen nachweisen können; die Information ersetzt keine erforderliche Einwilligung, dazu die Folgenabschätzung, soweit kein Ausnahmefall vorliegt; ausgenommen sind nach Art. 20 Abs. 6 Gesetz 91/2025 etwa die Speicherung eigener Beschäftigtendaten in Cloud-Diensten und nach Dekret 356/2025 weitere Fälle (vn-pdpl-005).
3. Entgeltliche Datenweitergaben prüfen. Jede Weitergabe gegen Entgelt einem Fall des Art. 17 Abs. 1 Gesetz 91/2025 zuordnen; fehlt die Zuordnung, besteht das Risiko des verbotenen Kaufs und Verkaufs.
4. Meldeweg für 72 Stunden einrichten. Verstöße, die Landesverteidigung, nationale Sicherheit, öffentliche Ordnung oder Leben, Gesundheit, Ehre, Würde oder Vermögen der Betroffenen gefährden können, sind vom Verantwortlichen, vom kombinierten Verantwortlichen und Verarbeiter oder vom Dritten, der den Verstoß entdeckt, der Fachbehörde spätestens 72 Stunden nach Entdeckung zu melden; ein Auftragsverarbeiter meldet einen entdeckten Verstoß rechtzeitig seinem Verantwortlichen (Art. 23 Abs. 1 Gesetz 91/2025). Einzelheiten in vn-pdpl-006.
5. Kontrollbereitschaft herstellen. Unterlagen so führen, dass sie bei einer angekündigten Kontrolle innerhalb von 15 Tagen und bei einer unangekündigten sofort vorgelegt werden können.
6. Elektronische Zustellwege überwachen. Protokolle und Entscheidungen können elektronisch erstellt und zugestellt werden; wer keinen Zugang zum elektronischen System hat, erhält die Mitteilung per Kurznachricht oder E-Mail. Entscheidungen sind in der darin genannten Frist zu befolgen. Wann eine solche Frist bei einer elektronischen Mitteilung zu laufen beginnt, regeln die vorliegenden Quellen nicht; die Überwachung aller Kanäle ist deshalb eine organisatorische Vorsorge.
7. Vietnamesische Umsatzzahlen belegbar führen. Weil die umsatzbezogene Stufe des Dekrets am Umsatz auf dem vietnamesischen Markt ansetzt, sollte dieser je Gesellschaft eindeutig belegbar sein.

Typische Fehler

1. Es wird angenommen, die Höchstgrenze von 3 Milliarden VND gelte für jeden Verstoß; für Kauf und Verkauf und für Übermittlungsverstöße setzt das Gesetz einnahmen- bzw. umsatzbezogene Grenzen.
2. Der Umsatzbezug wird ohne Prüfung als Weltumsatz der Gruppe oder als reiner Vietnam-Umsatz verstanden; das Gesetz nennt den Vorjahresumsatz der verstoßenden Organisation, das Dekret in seiner konkreten Stufe den Umsatz auf dem vietnamesischen Markt.
3. Einnahmen aus einem Verstoß werden als Gewinn verstanden; Art. 6 Dekret 330/2026 lässt keinen Kostenabzug zu.
4. Die Folgenabschätzung wird als interne Dokumentation behandelt, nicht als Einreichungspflicht mit Frist, eigenem Tatbestand und möglicher Stoppanordnung.
5. Mitarbeiterüberwachung wird ohne Information der Beschäftigten eingeführt.
6. Die Strafbarkeit wird ausgeblendet, obwohl Art. 8 Abs. 1 Gesetz 91/2025 neben der Verwaltungssanktion die strafrechtliche Verfolgung vorsieht.
7. Es wird übersehen, dass auch Einzelpersonen sanktioniert werden können, mit der Hälfte der Grenzen für Organisationen.

Risiken und Trade-offs

Der erste Zielkonflikt liegt zwischen Zentralisierung und lokaler Erfüllung. Konzernweite Systeme außerhalb Vietnams sind effizient, machen aber die Verarbeitung in Vietnam erhobener Daten auf Plattformen außerhalb Vietnams zur grenzüberschreitenden Übermittlung (Art. 20 Abs. 1 Gesetz 91/2025). Sie ist grundsätzlich mit einer eingereichten Folgenabschätzung verbunden, außer in den Ausnahmefällen, etwa der Speicherung eigener Beschäftigtendaten in Cloud-Diensten (Art. 20 Abs. 6 Gesetz 91/2025) oder den weiteren Fällen des Dekrets 356/2025. Bei bestimmten Verstößen, etwa einer Übermittlung ohne Folgenabschätzung, kann die Fachbehörde anordnen, die Übermittlung bis zur Bestätigung vollständiger Unterlagen einzustellen; bei Verstößen der umsatzbezogenen Stufe kann sie zusätzlich für 6 bis 12 Monate ausgesetzt werden. Ein Konzern muss deshalb abwägen, welche Prozesse eine solche Unterbrechung verkraften.

Der zweite betrifft die Bemessungsgrundlage. Bei umsatzbezogenen Übermittlungsverstößen bestimmt die Zahl der vietnamesischen Staatsangehörigen, deren Daten offengelegt oder verloren wurden, die Stufe; beim Kauf und Verkauf ohne Einnahmen bestimmen die Zahl der Betroffenen, ohne Beschränkung auf vietnamesische Staatsangehörige, und die Unterscheidung zwischen Grund- und sensiblen Daten die Spanne. Datenminimierung und Segmentierung begrenzen damit nicht nur das Schadensausmaß, sondern auch die Bußgeldstufe.

Der dritte betrifft die Rechtsunsicherheit. Die Dekrete liegen amtlich nur als gescannte Fassung vor, der Umsatzbezug des Gesetzes ist nicht ausdrücklich auf Vietnam beschränkt, und die Rechtslage vor dem 19.08.2026 ist im Quellensatz nicht geklärt. Bevor ein Unternehmen mit konkreten Beträgen plant, sollte es die maßgeblichen Stellen am amtlichen Original prüfen und lokal beraten lassen.

Entscheidungspunkte

• Welche Gesellschaft ist für welche Verarbeitung in Vietnam Verantwortlicher, und wessen Umsatz wäre Bezugsgröße?
• Welche Datenflüsse nach Deutschland oder in Drittländer sind betriebskritisch, und wie lange könnten wir eine Stoppanordnung überbrücken?
• Wer ist Ansprechpartner gegenüber der Fachbehörde, und wer überwacht elektronische Zustellungen?
• Gibt es entgeltliche Datenweitergaben, die keinem Fall des Art. 17 Abs. 1 Gesetz 91/2025 zugeordnet sind?
• Wer entscheidet im Kontroll- oder Sanktionsfall über Abhilfe und Verteidigung, und welche vietnamesische Rechtsberatung ist eingebunden?

Praktische Empfehlungen

• Ein Register der Einreichungen bei der Fachbehörde führen, mit Fristen (60 Tage für die Ersteinreichung) und Aktualisierungsanlässen.
• Für jede grenzüberschreitende Übermittlung den Vertrag oder das sonstige bindende Übermittlungsdokument, die erforderliche Einwilligung in den Übermittlungszweck, getrennt davon die Information der Betroffenen über Auslandsübermittlung, Empfänger und Zweck sowie die Sicherheitsmaßnahmen dokumentiert vorhalten.
• Ein Kontroll-Paket vorbereiten: Folgenabschätzungen, Bestellungsurkunde des Datenschutzpersonals, Einwilligungsnachweise, Verfahren für Betroffenenrechte, Meldeprotokolle.
• Beschäftigtenüberwachung nur mit dokumentierter Information der Beschäftigten einsetzen.
• Für jede Bewertung einer konkreten Bußgeldhöhe oder einer Strafbarkeit vietnamesische Rechtsberatung einbinden und die einschlägigen Stellen des Dekrets 330/2026 am Seitenbild des amtlichen Originals prüfen lassen.

Relevante Normreferenzen

• Gesetz 91/2025/QH15 (Luật Bảo vệ dữ liệu cá nhân), Công báo Nr. 971 und 972 vom 24.07.2025: Art. 1 Abs. 2 (Anwendungsbereich, auch ausländische Organisationen mit Bezug zu Daten vietnamesischer Staatsangehöriger), Art. 4 Abs. 1 Buchst. đ (Beschwerde, Klage, Schadensersatz), Art. 7 (verbotene Handlungen), Art. 8 (Rechtsfolgen, Höchstgrenzen, Umsatz- und Einnahmenbezug, Hälfte für Einzelpersonen, Berechnungsmethode durch die Regierung), Art. 17 Abs. 1 und 2 (Weitergabe, Abgrenzung zum Kauf und Verkauf), Art. 20 Abs. 4 und 5 (Kontrolle und Stopp grenzüberschreitender Übermittlungen), Art. 23 Abs. 1 (72-Stunden-Meldung), Art. 33 Abs. 1 Buchst. a (Fachbehörde beim Ministerium für Öffentliche Sicherheit), Art. 35 (Kontrolle), Art. 36 (staatliche Verwaltung), Art. 37 (Verantwortung von Verantwortlichem und Auftragsverarbeiter), Art. 38 Abs. 1 (Inkrafttreten 01.01.2026).
• Dekret 330/2026/ND-CP vom 19.08.2026 (Verwaltungssanktionen Cybersicherheit und Datenschutz), Texterkennungsfassung: Art. 1 bis 8 (Anwendungsbereich, Verjährung, Sanktionsformen, Abhilfemaßnahmen, Einnahmenbegriff, Bußgeldgrenzen, elektronisches Verfahren), Art. 39 bis 71 (Datenschutztatbestände, hier Beispiele aus Art. 43, 53 bis 57 und 61), Art. 72 bis 79 (Zuständigkeiten), Art. 80 (Inkrafttreten), Art. 81 (Übergang).
• Dekret 356/2025/ND-CP vom 31.12.2025 (Ausführungsdekret), Texterkennungsfassung: Art. 31 (Kontrolle), Art. 39 (Fachbehörde).
• Nicht im Quellensatz und deshalb nicht ausgewertet: Recht über die Behandlung von Verwaltungsverstößen, Strafgesetzbuch, allgemeines Schadensersatzrecht, Cybersicherheitsgesetz, Durchführungsrundschreiben des Ministeriums für Öffentliche Sicherheit, Vorgänger-Sanktionsregeln vor Dekret 330/2026.
• Abgrenzung: Bußgelder und Aufsicht nach der DSGVO für das deutsche Unternehmen selbst beurteilen sich aus EU-Sicht und stehen im dsgvo-Track (Datenpannen in dsgvo-003, Drittlandübermittlung in dsgvo-005); hier steht ausschließlich die vietnamesische Seite. Vergleichbare Sanktionsregime anderer Länder stehen in lgpd-007 und dpdpa-007 und dienen nur als Querverweis. Pflichten, deren Verletzung die Sanktionen auslöst, behandeln vn-pdpl-003 bis vn-pdpl-006; Überblick in vn-pdpl-001, Anwendungsbereich in vn-pdpl-002. Sanktionen für Cybersicherheitsverstöße aus demselben Dekret sind nicht Gegenstand dieses Tracks.