Das vietnamesische Datenschutzgesetz 91/2025: Gesetz, Ausführungs- und Sanktionsdekret, Geltung seit 01.01.2026, Erleichterungen für kleine Unternehmen und Übergang von Dekret 13/2023

Problem in der Praxis

Drei Fehlannahmen begegnen in deutschen Konzernen regelmäßig. Die erste ist, dass sich mit dem neuen Gesetz nur die Rechtsgrundlage, nicht aber das Programm geändert habe, weil Dekret 13/2023 schon ähnliche Pflichten kannte. Das trifft für Begriffe und Grundstruktur teilweise zu, übersieht aber, dass die Pflichten heute aus einem Gesetz mit eigenen Bußgeldrahmen folgen, dass das Ausführungsrecht vollständig neu gefasst ist und dass Dekret 13/2023 seit dem 01.01.2026 nicht mehr gilt. Wer seine Dokumentation noch an Artikelnummern von Dekret 13/2023 ausrichtet, kann einer Prüfung nicht mehr belegen, welche geltende Norm er erfüllt.

Die zweite Fehlannahme betrifft die Erleichterungen. Aus "wir sind dort klein" wird geschlossen, die Tochter müsse weder Folgenabschätzung noch Datenschutzfunktion haben. Das Gesetz stellt die Erleichterung aber unter drei Rückausnahmen, von denen zwei in Industrie und Vertrieb häufig erfüllt sind: Beschäftigtendaten enthalten oft Angaben, die Dekret 356/2025 als sensibel einordnet, etwa zum Gesundheitszustand oder Bilder von Ausweiskarten, und ein Kundenportal oder eine App in Vietnam kann die Schwelle von 100.000 Betroffenen kumuliert erreichen. Außerdem befreit die Erleichterung nicht von der Folgenabschätzung für Datenübermittlungen ins Ausland, und solche Übermittlungen finden in fast jedem deutschen Konzern statt; ob für einen konkreten Fluss eine der eigenen Ausnahmen des Übermittlungsrechts greift, ist gesondert zu prüfen.

Die dritte Fehlannahme ist, dass alte Dossiers "weitergelten" und damit nichts zu tun sei. Art. 39 Abs. 2 schützt nur Dossiers, die die Fachbehörde vor dem 01.01.2026 entgegengenommen hat, und unterstellt ihre Aktualisierung dem neuen Gesetz. Ein Dossier, das zwar erstellt, aber nie eingereicht war, ist nicht geschützt.

CISO-Einordnung

Die Normenhierarchie. Das Gesetz 91/2025/QH15 umfasst 39 Artikel in fünf Kapiteln: allgemeine Bestimmungen (Art. 1 bis 8), Schutz personenbezogener Daten bei der Verarbeitung und in besonderen Tätigkeiten (Art. 9 bis 32), Kräfte und Bedingungen des Datenschutzes (Art. 33 bis 35), Verantwortlichkeiten von Staat und Unternehmen (Art. 36 und 37) sowie Schlussbestimmungen (Art. 38 und 39). Es verweist an vielen Stellen auf Einzelregelungen der Regierung. Diese stehen im Dekret 356/2025/NĐ-CP, das nach seinem Art. 1 eine Reihe ausdrücklich genannter Gesetzesbestimmungen ausführt, darunter die Listen der Grund- und sensiblen Daten, die Ausübung der Betroffenenrechte, die Form der Einwilligung, die Folgenabschätzungen, den Inhalt der Verstoßmeldung und die Erleichterungen nach Art. 38. Das Dekret 330/2026/NĐ-CP regelt die Verwaltungssanktionen für Cybersicherheit und Datenschutz gemeinsam. Für den CISO bedeutet das: Das Gesetz sagt, was gilt; das Ausführungsdekret sagt, wie es zu erfüllen ist; das Sanktionsdekret sagt, was ein Verstoß kostet. Rundschreiben des Ministeriums für Öffentliche Sicherheit gehören nicht zum Quellensatz dieses Tracks; die Musterformulare im Anhang von Dekret 356/2025 liegen nur in der Texterkennung vor und werden in diesem Überblick nicht ausgewertet.

Verhältnis zu anderem Recht. Datenschutz auf vietnamesischem Staatsgebiet richtet sich nach diesem Gesetz und dem übrigen einschlägigen Recht (Art. 5 Abs. 1). Gesetze und Resolutionen der Nationalversammlung, die vor dem Inkrafttreten erlassen wurden und den Datenschutz konkret regeln, gehen vor, soweit sie den Grundsätzen dieses Gesetzes nicht widersprechen (Art. 5 Abs. 2); spätere Gesetze müssen ausdrücklich bestimmen, wovon sie abweichen (Art. 5 Abs. 3). Für das Zusammenspiel mit dem Datengesetz sieht Art. 5 Abs. 4 eine Entlastung vor: Wer die Folgenabschätzung für Verarbeitung und für grenzüberschreitende Übermittlung nach diesem Gesetz durchführt, muss die entsprechenden Bewertungen nach dem Datenrecht nicht zusätzlich durchführen. In dieselbe Richtung ändert Art. 42 Abs. 3 Dekret 356/2025 das Ausführungsdekret zum Datengesetz für Kerndaten und wichtige Daten, die zugleich personenbezogen sind. Das Datengesetz selbst und das Cybersicherheitsrecht liegen außerhalb des Quellensatzes; wie weit sie neben dem Datenschutzgesetz eigene Pflichten begründen, beantwortet dieser Track nicht.

Die Grundsätze. Art. 3 nennt sechs Grundsätze. Für ein Unternehmen tragen vor allem drei: Erhebung und Verarbeitung nur im Rahmen eines bestimmten, klaren Zwecks; Richtigkeit der Daten und Speicherung nur so lange, wie es dem Zweck entspricht, soweit das Recht nichts anderes bestimmt; und abgestimmte institutionelle, technische und personelle Schutzmaßnahmen. Daneben stellt das Gesetz den Datenschutz ausdrücklich in den Zusammenhang nationaler Interessen, der Landesverteidigung, der Sicherheit und der Außenbeziehungen. Diese Verknüpfung ist mehr als Präambel: Sie kehrt in den verbotenen Handlungen und bei den Befugnissen der Behörde zur grenzüberschreitenden Übermittlung wieder.

Verbotene Handlungen und Rechtsfolgen. Art. 7 verbietet unter anderem die rechtswidrige Verarbeitung, die Behinderung des Datenschutzes, den Kauf und Verkauf personenbezogener Daten, soweit ein Gesetz nichts anderes bestimmt, sowie Aneignung, vorsätzliche Offenlegung und Verlust personenbezogener Daten. Art. 8 Abs. 1 sieht je nach Art, Schwere und Folgen eines Verstoßes Verwaltungssanktionen oder strafrechtliche Verantwortung vor, bei Schäden zusätzlich Schadensersatz. Die Höchstbeträge der Verwaltungsgeldbuße stehen im Gesetz selbst: beim Kauf und Verkauf personenbezogener Daten das Zehnfache der Einnahmen aus dem Verstoß (Abs. 3), bei Verstößen einer Organisation gegen die Regeln zur grenzüberschreitenden Übermittlung 5 % ihres Umsatzes im unmittelbar vorangegangenen Jahr (Abs. 4), für sonstige Verstöße 3 Milliarden VND (Abs. 5). Gibt es keine Einnahmen bzw. keinen Vorjahresumsatz oder liegt der so berechnete Betrag unter dem Höchstbetrag nach Abs. 5, gilt der Betrag nach Abs. 5. Die Beträge gelten für Organisationen; für natürliche Personen, die denselben Verstoß begehen, liegt das Höchstmaß bei der Hälfte (Abs. 6). Die Tatbestände und Einzelbeträge des Dekrets 330/2026 behandelt vn-pdpl-007.

Die Behördenstruktur. Die Regierung führt die staatliche Verwaltung des Datenschutzes einheitlich; federführend ist das Ministerium für Öffentliche Sicherheit (Bộ Công an), ausgenommen der Zuständigkeitsbereich des Verteidigungsministeriums, das dort selbst zuständig ist; Fachministerien sind für ihre Sektoren und die Volkskomitees der Provinzen im Rahmen ihrer Aufgaben zuständig (Art. 36). Operativ entscheidend ist die Fachbehörde für den Schutz personenbezogener Daten (cơ quan chuyên trách bảo vệ dữ liệu cá nhân), die nach Art. 33 Abs. 1 Buchst. a Gesetz 91/2025 dem Ministerium für Öffentliche Sicherheit angehört und nach Art. 39 Abs. 1 Dekret 356/2025 eine diesem unterstellte Einheit ist. Bei ihr sind Folgenabschätzungen einzureichen und Verstöße zu melden. Daneben gibt es das nationale Datenschutzportal (Cổng thông tin quốc gia về bảo vệ dữ liệu cá nhân), über das unter anderem Dossiers aktualisiert werden können (Art. 22 Abs. 3 Gesetz 91/2025) und das nach Art. 39 Abs. 2 Dekret 356/2025 Informationen und Anleitung bereitstellt sowie Hinweise entgegennimmt. Kontrollen der Datenschutztätigkeit richten sich nach dem Gesetz und den Regeln der Regierung (Art. 35); die Einzelheiten stehen in vn-pdpl-007.

Die Datenschutzkräfte im Unternehmen. Art. 33 Abs. 1 zählt zu den "Kräften des Datenschutzes" neben der Fachbehörde auch die Abteilungen und Personen in Organisationen sowie Dienstleister für den Datenschutz. Daraus folgt die Pflicht nach Art. 33 Abs. 2: Behörden und Organisationen benennen eine Abteilung oder Personen, die die Befähigung zum Datenschutz erfüllen, oder beauftragen einen Dienstleister. Voraussetzungen und Aufgaben regelt Dekret 356/2025; sie sind Gegenstand von vn-pdpl-004.

Die Erleichterungen nach Art. 38, genau gelesen. Zwei Gruppen, zwei unterschiedliche Rechtsfolgen:

• Kleine Unternehmen und Start-up-Unternehmen haben für fünf Jahre ab dem Inkrafttreten am 01.01.2026 das Wahlrecht, Art. 21, Art. 22 und Art. 33 Abs. 2 umzusetzen oder nicht (Art. 38 Abs. 2).
• Haushaltsbetriebe (hộ kinh doanh) und Kleinstunternehmen müssen Art. 21, Art. 22 und Art. 33 Abs. 2 nicht umsetzen; eine Befristung nennt der Wortlaut nicht (Art. 38 Abs. 3).

Für beide Gruppen gelten dieselben drei Rückausnahmen: Die Erleichterung entfällt, wenn das Unternehmen Dienste der Verarbeitung personenbezogener Daten anbietet, sensible personenbezogene Daten unmittelbar verarbeitet oder personenbezogene Daten einer großen Zahl Betroffener verarbeitet. Art. 41 Dekret 356/2025 konkretisiert das letzte Merkmal: Die Erleichterung entfällt ab dem Zeitpunkt, zu dem der Umfang 100.000 Betroffene oder mehr erreicht, gemessen an der kumulierten Gesamtmenge der verarbeiteten Daten. Es kommt also nicht auf einen Stichtagsbestand an, sondern auf die aufgelaufene Zahl, und die Pflicht beginnt ab dem Erreichen, nicht rückwirkend.

Drei Punkte lässt der Quellensatz offen. Er definiert nicht, wann ein Unternehmen klein, Kleinst- oder Start-up-Unternehmen ist; das folgt aus vietnamesischem Unternehmensrecht außerhalb des Quellensatzes. Er regelt nicht, ob bei einer Tochter eines großen Konzerns die Konzernzugehörigkeit zu berücksichtigen ist. Und er regelt nicht, ob die Zahl von 100.000 Betroffenen je Gesellschaft oder für eine Gruppe zu zählen ist. Wer sich auf die Erleichterung stützen will, braucht für alle drei Punkte eine vietnamesische Einschätzung.

Ebenso wichtig ist, was Art. 38 nicht erfasst. Die Folgenabschätzung für die grenzüberschreitende Übermittlung nach Art. 20 ist nicht genannt; ihre Erstellung und Einreichung bleibt Pflicht, soweit nicht die eigenen Ausnahmen des Übermittlungsrechts greifen. Art. 20 Abs. 2 nimmt die Fälle des Abs. 6 aus, darunter die Speicherung der Daten eigener Beschäftigter in Cloud-Diensten; Art. 17 Abs. 3 Dekret 356/2025 fügt weitere Fälle hinzu, darunter die grenzüberschreitende Personalverwaltung nach Arbeitsregeln und Kollektivvereinbarung im Rahmen des Rechts. Die Einzelheiten behandelt vn-pdpl-005. Weil Art. 22 aber auch die Aktualisierung des Übermittlungsdossiers regelt, reicht die Erleichterung dem Wortlaut nach bis zu dieser Aktualisierung; wie die Behörde das liest, ist nicht belegt. Auch die Meldung von Verstößen nach Art. 23, die Einwilligungsregeln und die Betroffenenrechte bleiben unberührt.

Der Übergang nach Art. 39. Absatz 1 betrifft laufende Verarbeitungen, für die vor dem 01.01.2026 eine Einwilligung der Betroffenen vorlag oder die auf einer Vereinbarung nach Dekret 13/2023 beruhten: Sie laufen weiter, ohne dass erneut eingewilligt oder neu vereinbart werden muss. Absatz 2 betrifft Folgenabschätzungsdossiers für die Verarbeitung und für die Übermittlung ins Ausland nach Dekret 13/2023: Hat die Fachbehörde sie vor dem 01.01.2026 entgegengenommen, bleiben sie verwendbar, und es muss kein neues Dossier nach dem Gesetz erstellt werden. Ihre Aktualisierung nach dem 01.01.2026 richtet sich aber nach dem neuen Gesetz, also nach Art. 22 mit seinem Rhythmus: halbjährlich, wenn sich etwas geändert hat, und sofort in den besonderen Fällen des Art. 22 Abs. 2, nach Art. 20 Abs. 2 Dekret 356/2025 binnen 10 Tagen; die Erleichterungen nach Art. 38 gelten auch hier, soweit ihre Voraussetzungen vorliegen. Weitere Übergangsregeln enthält das Gesetz außer den Erleichterungen nach Art. 38 nicht.

Umsetzungsperspektive

1. Rechtsgrundlagen umstellen. Richtlinien, Verarbeitungsverzeichnisse, Datenschutzhinweise und Verträge der vietnamesischen Gesellschaften von Dekret 13/2023 auf Gesetz 91/2025 und Dekret 356/2025 umstellen und die Artikelnummern neu zuordnen.
2. Dossiers inventarisieren. Für jedes Folgenabschätzungsdossier nach Dekret 13/2023 belegen, ob und wann die Fachbehörde es entgegengenommen hat. Nur dann greift Art. 39 Abs. 2; die Aktualisierung folgt in jedem Fall dem neuen Recht.
3. Einwilligungsbestand sichten. Feststellen, welche laufenden Verarbeitungen auf einer Einwilligung oder Vereinbarung aus der Zeit vor dem 01.01.2026 beruhen; nur diese profitieren von Art. 39 Abs. 1. Neue Zwecke brauchen eine eigene Grundlage nach dem neuen Gesetz (vn-pdpl-003).
4. Erleichterung nur mit Prüfvermerk. Wer sich auf Art. 38 Abs. 2 oder 3 stützt, dokumentiert die Unternehmensgröße nach vietnamesischem Recht, alle drei Rückausnahmen und eine laufende Zählung der kumulierten Betroffenen.
5. Art. 20 unabhängig davon planen. Die Übermittlungsfolgenabschätzung für Konzernflüsse nach Deutschland ist auch bei kleinen Töchtern zu erstellen und binnen der gesetzlichen Frist einzureichen, soweit keine eigene Ausnahme nach Art. 20 Abs. 6 Gesetz 91/2025 oder Art. 17 Abs. 3 Dekret 356/2025 greift, etwa für die Speicherung eigener Beschäftigtendaten in Cloud-Diensten oder für die grenzüberschreitende Personalverwaltung nach Arbeitsregeln und Kollektivvereinbarung; welche Flüsse darunterfallen, klärt vn-pdpl-005.
6. Zuständigkeit und Kanal klären. Ansprechpartner bei der Fachbehörde und Zugang zum nationalen Portal für Einreichung, Aktualisierung und Meldung vorbereiten, bevor sie gebraucht werden.

Typische Fehler

1. Die Dokumentation zitiert weiter Dekret 13/2023, obwohl es seit dem 01.01.2026 nicht mehr gilt.
2. "Klein" wird nach deutschem oder EU-Maßstab beurteilt statt nach vietnamesischem Recht.
3. Die Rückausnahme "sensible Daten unmittelbar verarbeiten" wird übersehen, obwohl Beschäftigten- und Finanzdaten häufig sensibel im Sinne von Art. 4 Dekret 356/2025 sind.
4. Die Schwelle von 100.000 Betroffenen wird als Stichtagsbestand gelesen statt als kumulierte Zahl.
5. Die Erleichterung nach Art. 38 wird auf die Übermittlungsfolgenabschätzung nach Art. 20 oder auf die Meldepflicht nach Art. 23 erstreckt.
6. Für Kleinstunternehmen und Haushaltsbetriebe wird die Fünfjahresfrist angenommen, für kleine Unternehmen und Start-ups dagegen eine Befreiung ohne Frist; es ist umgekehrt.
7. Ein nie eingereichtes Dossier nach Dekret 13/2023 wird als fortgeltend behandelt.
8. Die Bußgeldrahmen werden mit Beträgen aus Sekundärquellen statt aus Art. 8 Gesetz 91/2025 und Dekret 330/2026 kommuniziert.

Risiken und Trade-offs

Der zentrale Zielkonflikt betrifft die Erleichterungen. Ein Wahlrecht zu nutzen spart in der Tochter Aufwand für Folgenabschätzung und Datenschutzfunktion, verlagert aber das Risiko in die Frage, ob die Voraussetzungen tatsächlich vorlagen. Kippt eine Rückausnahme, etwa weil sensible Daten doch unmittelbar verarbeitet werden oder die kumulierte Zahl die Schwelle erreicht, fehlen Dossier und Zuständigkeit im ungünstigsten Moment. Für deutsche Konzerne, deren Konzernstandard ohnehin Folgenabschätzungen und eine benannte Datenschutzrolle vorsieht, ist der Verzicht auf die Erleichterung oft die billigere Variante.

Beim Übergang steht ein zweiter Konflikt an. Alte Dossiers weiterzuverwenden spart die Neuerstellung, bindet das Unternehmen aber an Inhalte, die unter Dekret 13/2023 entstanden sind und nach Art. 22 bei Änderungen halbjährlich, in den besonderen Fällen des Art. 22 Abs. 2 sofort, zu aktualisieren sind, soweit nicht die Erleichterungen nach Art. 38 greifen. Eine Neuerstellung auf dem Stand des neuen Rechts kann deshalb wirtschaftlicher sein, auch wenn sie nicht vorgeschrieben ist.

Schließlich die Sanktionsseite: Die umsatzbezogene Obergrenze für Übermittlungsverstöße bezieht sich auf den Umsatz "dieser Organisation" im Vorjahr. Wie Umsatz bei einer Konzerntochter zu bestimmen ist, beantwortet der Quellensatz nicht; eine Planung sollte deshalb nicht auf eine bestimmte Bezugsgröße wetten.

Entscheidungspunkte

• Stützen sich einzelne vietnamesische Gesellschaften auf Art. 38 Abs. 2 oder 3, und wer verantwortet den Nachweis aller Voraussetzungen einschließlich der Rückausnahmen?
• Erstellen wir Dossiers nach Dekret 13/2023 neu oder verwenden wir sie nach Art. 39 Abs. 2 weiter und aktualisieren sie nach Art. 22?
• Wer führt die laufende Zählung der kumulierten Betroffenen je Gesellschaft, und was löst das Erreichen der Schwelle aus?
• Wer hält den Kontakt zur Fachbehörde und den Zugang zum nationalen Portal?
• Welche vietnamesische Beratung klärt die offenen Punkte Unternehmensgröße, Konzernzugehörigkeit und Zählweise?

Praktische Empfehlungen

• Eine Rechtsstandstabelle je vietnamesischer Gesellschaft führen: geltende Norm, frühere Norm aus Dekret 13/2023, Umsetzungsstand, Datum.
• Die Erleichterung nach Art. 38 nur mit schriftlichem Prüfvermerk und einem Auslöser für die Neuprüfung nutzen.
• Die Übermittlungsfolgenabschätzung nach Art. 20 für alle Gesellschaften einplanen, unabhängig von ihrer Größe, und je Datenfluss dokumentieren, ob eine Ausnahme nach Art. 20 Abs. 6 Gesetz 91/2025 oder Art. 17 Abs. 3 Dekret 356/2025 greift.
• Für Altdossiers die Entgegennahme durch die Fachbehörde belegen und eine Aktualisierungsroutine nach Art. 22 einrichten.
• Bußgeldrahmen in der Leitungskommunikation nur aus Art. 8 Gesetz 91/2025 und, für Einzelbeträge, aus Dekret 330/2026 ableiten.
• Für alle Einordnungen im Grenzbereich vietnamesische Rechtsberatung einbinden; dieser Track ordnet ein, er entscheidet nicht.

Relevante Normreferenzen

• Gesetz 91/2025/QH15: Art. 1 (Anwendungsbereich, im Einzelnen vn-pdpl-002), Art. 2 (Begriffe), Art. 3 (Grundsätze), Art. 5 (Verhältnis zu anderem Recht, Abs. 4 Datenrecht), Art. 6 (internationale Zusammenarbeit), Art. 7 (verbotene Handlungen), Art. 8 (Rechtsfolgen und Höchstbeträge der Geldbuße), Art. 33 (Datenschutzkräfte, Abs. 2 Benennung oder Dienstleister), Art. 34 (Standards und technische Vorschriften), Art. 35 (Kontrolle), Art. 36 (staatliche Verwaltung), Art. 37 (Verantwortlichkeiten der Rollen), Art. 38 (Inkrafttreten, Erleichterungen Abs. 2 und 3), Art. 39 (Übergang von Dekret 13/2023).
• Dekret 356/2025/NĐ-CP: Art. 1 (Regelungsgegenstand), Art. 34 (Aufgaben des Ministeriums für Öffentliche Sicherheit, unter anderem Betrieb des Portals), Art. 39 (Fachbehörde und nationales Portal), Art. 41 (Anwendung von Art. 38 Abs. 2 und 3, Schwelle 100.000 Betroffene), Art. 42 (Inkrafttreten, Außerkrafttreten von Dekret 13/2023, Änderung des Ausführungsdekrets zum Datengesetz).
• Dekret 330/2026/NĐ-CP: Art. 1 (Regelungsgegenstand), Art. 80 (Inkrafttreten), Art. 81 (Übergang); Einzelheiten in vn-pdpl-007.
• Nicht im Quellensatz und deshalb nicht ausgewertet: Dekret 13/2023/NĐ-CP im Wortlaut, Datengesetz 60/2024/QH15 und sein Ausführungsdekret, Cybersicherheitsgesetz, Rundschreiben des Ministeriums für Öffentliche Sicherheit, Musterformulare im Anhang von Dekret 356/2025 (nur Texterkennung, nicht ausgewertet), vietnamesisches Recht zur Einstufung kleiner und kleinster Unternehmen.
• Abgrenzung: Die DSGVO-Seite des deutschen Unternehmens, einschließlich der Übermittlung aus der EU nach Vietnam, behandelt der dsgvo-Track (dsgvo-005; Datenpannen nach DSGVO in dsgvo-003); hier steht nur das vietnamesische Recht. Die Tracks lgpd (Brasilien) und dpdpa (Indien) sind vergleichbare Auslandstracks und nur Querverweis. Innerhalb dieses Tracks: Anwendungsbereich und Rollen in vn-pdpl-002, Einwilligung und Betroffenenrechte in vn-pdpl-003, Pflichten im Betrieb in vn-pdpl-004, grenzüberschreitende Übermittlung in vn-pdpl-005, Meldung von Verstößen in vn-pdpl-006, Sanktionen und Durchsetzung in vn-pdpl-007.