APPI

Die Zweckanforderungen des APPI sind besonders wichtig: Der Nutzungszweck sollte so konkret sein, dass die betroffene Person verstehen kann, wie ihre personenbezogenen Informationen verwendet werden. Allgemeine Beschreibungen wie lediglich „Verbesserung von Dienstleistungen“ sind möglicherweise nicht konkret genug.

Nutzungszweck nach dem APPI

Eine der zentralen Anforderungen des APPI besteht darin, dass Unternehmen den Nutzungszweck personenbezogener Informationen so genau wie möglich festlegen müssen.

Der Zweck sollte so konkret sein, dass:

• die Organisation versteht, wie die Informationen genutzt werden
• Betroffene vernünftigerweise absehen können, wie ihre Informationen genutzt werden
• die Organisation nachweisen kann, dass die nachfolgende Verarbeitung mit dem angegebenen Zweck vereinbar ist

Organisationen sollten daher vage Zweckangaben vermeiden und klare Aufzeichnungen über die Zwecke führen, die jeder Kategorie personenbezogener Informationen zugeordnet sind.

Beispiel

Anstelle von:

„Zur Verbesserung unserer Dienstleistungen.“

Ein konkreterer Zweck könnte erläutern, dass Kundeninformationen genutzt werden, um:

• angeforderte Dienstleistungen zu erbringen
• Kundensupportanfragen zu bearbeiten
• servicebezogene Mitteilungen zu versenden
• die Nutzung der Dienstleistungen für festgelegte Geschäftszwecke zu analysieren

Die angemessene Formulierung hängt von den tatsächlichen Verarbeitungstätigkeiten ab.

Einwilligung nach dem APPI

Das APPI verlangt nicht für jede Art der Verarbeitung personenbezogener Informationen eine Einwilligung.

Die Einwilligung spielt jedoch in mehreren Situationen eine wichtige Rolle, darunter:

• die Verarbeitung bestimmter sensibler personenbezogener Informationen
• die Weitergabe personenbezogener Daten an Dritte in Fällen, in denen eine Einwilligung erforderlich ist
• bestimmte Übermittlungen personenbezogener Daten an Dritte im Ausland
• Verarbeitungen, die nach den geltenden Bestimmungen anderweitig eine Genehmigung der betroffenen Person erfordern

Wo eine Einwilligung erforderlich ist, sollten Organisationen sicherstellen, dass die betroffene Person auf Grundlage angemessener Informationen über die Verarbeitung eine informierte Entscheidung treffen kann.

Sensible personenbezogene Informationen

Das APPI kennt besonders schutzbedürftige personenbezogene Informationen, die üblicherweise als sensible personenbezogene Informationen bezeichnet werden.

Diese Kategorie umfasst Informationen zu Aspekten wie:

• Ethnische Herkunft
• Weltanschauung
• Sozialer Status
• Krankengeschichte
• Vorstrafen
• Opfer einer Straftat geworden zu sein
• Sonstige nach dem APPI festgelegte Informationen

Grundsätzlich muss eine Organisation die vorherige Einwilligung der betroffenen Person einholen, bevor sie besonders schutzbedürftige personenbezogene Informationen erhebt, vorbehaltlich gesetzlicher Ausnahmen.

Organisationen, die solche Informationen verarbeiten, sollten daher gesonderte Kontrollen für Identifizierung, Erhebung, Zugriff, Offenlegung und Einwilligung unterhalten.

Weitergabe von Daten an Dritte

Das APPI beschränkt grundsätzlich die Weitergabe personenbezogener Daten an Dritte ohne vorherige Einwilligung der betroffenen Person, vorbehaltlich gesetzlich festgelegter Ausnahmen.

Zu den Ausnahmen können unter anderem folgende Fälle gehören:

• Weitergabe, die gesetzlich vorgeschrieben ist
• Situationen, in denen es um den Schutz von Leben, Leib oder Eigentum geht und die Einholung einer Einwilligung schwierig ist
• Fälle im Bereich der öffentlichen Gesundheit oder des Kinderschutzes
• bestimmte Übermittlungen an Stellen, die festgelegte Voraussetzungen erfüllen
• sonstige gesetzliche Ausnahmen

Die PPC bestätigt, dass zu Dritten auch ein Familienmitglied oder eine andere Person außerhalb des betreffenden Unternehmens gehören kann.

Opt-out-Verfahren

Das APPI sieht einen begrenzten Rahmen vor, nach dem bestimmte Weitergaben an Dritte statt aufgrund einer individuellen Einwilligung über ein Opt-out-Verfahren erfolgen können, sofern die geltenden gesetzlichen Anforderungen erfüllt sind.

Dies ist kein allgemeiner Ersatz für eine Einwilligung und erfordert angemessene Benachrichtigungs- und behördliche Verfahren.

Einwilligung für sensible personenbezogene Informationen vs. Weitergabe an Dritte

Diese Anforderungen sollten nicht als ein und dieselbe APPI-Pflicht behandelt werden.

Sensible personenbezogene Informationen

Vor der Erhebung besonders schutzbedürftiger personenbezogener Informationen ist grundsätzlich eine vorherige Einwilligung erforderlich, vorbehaltlich von Ausnahmen.

Weitergabe an Dritte

Vor der Weitergabe personenbezogener Daten an Dritte ist grundsätzlich eine vorherige Einwilligung erforderlich, vorbehaltlich gesetzlicher Ausnahmen und des begrenzten Opt-out-Rahmens.

Internationale Übermittlungen

Zusätzliche Anforderungen gelten, wenn personenbezogene Daten an Dritte in einem anderen Land weitergegeben werden.

Die Unterscheidung dieser Einwilligungsszenarien hilft Organisationen, präzisere Compliance-Workflows für das APPI aufzubauen.

Rechte der Betroffenen nach dem APPI

Das APPI gewährt Betroffenen Rechte in Bezug auf gespeicherte personenbezogene Daten.

Je nach den Umständen können Betroffene unter anderem folgende Maßnahmen verlangen:

• Mitteilung des Nutzungszwecks
• Offenlegung gespeicherter personenbezogener Daten
• Berichtigung unrichtiger Informationen
• Ergänzung von Informationen
• Löschung, soweit anwendbar
• Aussetzung der Nutzung
• Vernichtung, soweit anwendbar
• Aussetzung der Weitergabe an Dritte
• Sonstige im APPI vorgesehene Abhilfemaßnahmen

Organisationen sollten ein dokumentiertes Verfahren für die Entgegennahme, Authentifizierung, Prüfung und Beantwortung von Anfragen Betroffener einrichten.

Datenschutzhinweise und Transparenz

Organisationen sollten Betroffenen angemessene Informationen darüber bereitstellen, wie ihre personenbezogenen Informationen verarbeitet werden.

Datenschutzinformationen sollten relevante Punkte behandeln, etwa:

• Identität des Unternehmens
• Nutzungszweck
• Kategorien der erhobenen Informationen
• Art der Verarbeitung
• Rechte und Verfahren für Anfragen
• Weitergaben an Dritte
• Internationale Übermittlungen, soweit anwendbar
• Gesetzlich vorgeschriebene sicherheitsbezogene Informationen

Aufgrund der Transparenzanforderungen des APPI ist der Datenschutzhinweis ein wichtiger Bestandteil des Compliance-Rahmens der Organisation.

Datensicherheit und Sicherheitsmanagement

Das APPI verpflichtet Organisationen, notwendige und angemessene Sicherheitsmaßnahmen zu ergreifen, um das Abfließen, den Verlust oder die Beschädigung personenbezogener Informationen zu verhindern.

Sicherheitsmaßnahmen können Folgendes umfassen:

Organisatorische Kontrollen

• Interne Datenschutzrichtlinien
• Zugewiesene Verantwortlichkeiten
• Verfahren für das Zugriffsmanagement
• Mitarbeiterschulungen
• Verfahren zur Reaktion auf Vorfälle
• Überwachung von Dritten

Technische Kontrollen

• Zugriffskontrollen
• Authentifizierung
• Verschlüsselung, soweit angemessen
• Überwachung
• Schwachstellenmanagement
• Schutz vor unbefugtem Zugriff

Physische Kontrollen

• Gesicherte Einrichtungen
• Schutz von Dokumenten und Speichermedien
• Maßnahmen zur Verhinderung von Diebstahl oder Verlust

Die PPC nennt organisatorische, personelle, physische und technische Sicherheitsmaßnahmen als maßgebliche Bestandteile der Sicherheitskontrollen nach dem APPI.

Meldung von Datenschutzverletzungen

Das APPI legt Pflichten im Zusammenhang mit bestimmten Vorfällen fest, bei denen personenbezogene Daten abfließen, verloren gehen oder beschädigt werden.

Tritt eine meldepflichtige Verletzung ein, muss das Unternehmen die erforderlichen Abhilfe- und Meldemaßnahmen ergreifen, einschließlich der Benachrichtigung der PPC und der betroffenen Personen, soweit anwendbar.

Auch ausländische Unternehmen, die dem APPI unterliegen, können unter diese Anforderungen fallen, wenn der Vorfall personenbezogene Informationen betrifft, die von der extraterritorialen Anwendung des APPI erfasst sind.

Organisationen sollten Folgendes unterhalten:

• Verfahren zur Erkennung von Vorfällen
• Kriterien zur Einstufung von Verletzungen
• Interne Eskalationsprozesse
• Verfahren für Meldungen an Behörden
• Verfahren zur Benachrichtigung Betroffener
• Aufzeichnungen über Abhilfemaßnahmen
• Nachweise über Korrekturmaßnahmen

Grenzüberschreitende Datenübermittlungen

Das APPI enthält spezifische Anforderungen für den Fall, dass personenbezogene Daten an Dritte außerhalb Japans weitergegeben werden.

Grundsätzlich muss ein Unternehmen die Einwilligung der betroffenen Person einholen, bevor es personenbezogene Daten an Dritte im Ausland weitergibt, sofern kein geltender gesetzlicher Mechanismus und keine Ausnahme greift.

Die Organisation kann sich auch auf vorgeschriebene Alternativen stützen, unter anderem in Fällen, in denen:

• der Empfänger in einem Land ansässig ist, dem ein gleichwertiges Schutzniveau für personenbezogene Informationen zuerkannt wurde
• der Empfänger ein System eingerichtet hat, das die erforderlichen Standards für die fortlaufende Umsetzung gleichwertiger Schutzmaßnahmen erfüllt
• eine gesetzliche Ausnahme greift

Die aktuellen Leitlinien der PPC zu internationalen Übermittlungen verlangen zudem, dass Betroffenen angemessene Informationen bereitgestellt werden, wenn die Einwilligung als Übermittlungsmechanismus genutzt wird.

Erforderliche Informationen bei bestimmten Übermittlungen ins Ausland

Wird eine Einwilligung für die Weitergabe personenbezogener Daten an Dritte im Ausland eingeholt, muss die betroffene Person die erforderlichen Informationen über die Übermittlung ins Ausland erhalten.

Dazu können gehören:

• Name des Ziellandes
• Informationen über das System zum Schutz personenbezogener Informationen in diesem Land
• Informationen über die vom Empfänger umgesetzten Schutzmaßnahmen
• Sonstige nach den geltenden Vorschriften erforderliche Informationen

Die PPC betont ausdrücklich, dass Organisationen die mit internationalen Übermittlungen verbundenen Risiken bewerten und Betroffenen verständliche Informationen bereitstellen sollten.

APPI und Cookies

Das APPI ist kein eigenständiges Gesetz zur Cookie-Einwilligung.

Cookies, Werbekennungen, Gerätekennungen, Analysetechnologien und andere Online-Kennungen können jedoch je nachdem, wie die Informationen erhoben, zusammengeführt, weitergegeben und genutzt werden, unter die Vorschriften des APPI fallen.

Organisationen sollten prüfen:

• ob die Technologie personenbezogene Informationen erhebt
• ob Informationen mit einer identifizierbaren Person verknüpft werden können
• den Nutzungszweck
• ob die Informationen an Dritte weitergegeben werden
• ob die Vorschriften zu personenbezogenen Bezugsinformationen anwendbar sind
• ob Anbieter im Ausland die Informationen erhalten
• ob eine Einwilligung oder ein anderer rechtlicher Mechanismus erforderlich ist

Bei Websites sollten Organisationen daher ihre Cookies und Tracker erfassen, anstatt davon auszugehen, dass jedes Cookie ein APPI-Einwilligungsbanner erfordert.

Personenbezogene Bezugsinformationen

Das APPI enthält auch Vorschriften zu personenbezogenen Bezugsinformationen. Dazu können Informationen über eine Person gehören, die selbst keine personenbezogenen Informationen darstellen, aber zu personenbezogenen Daten werden können, wenn ein Empfänger sie erhält.

So können bestimmte Online-Kennungen oder browsingbezogene Informationen zusätzliche Prüfung erfordern, wenn sie an ein anderes Unternehmen weitergegeben werden, bei dem zu erwarten ist, dass es sie als personenbezogene Daten erhält.

Die PPC stellt klar, dass die maßgebliche Vorschrift für Dritte gilt, wenn zu erwarten ist, dass der Empfänger die personenbezogenen Bezugsinformationen als personenbezogene Daten erlangt.

Dies ist besonders für Werbung, Analysen, Reichweitenmessung und Ökosysteme für den Datenaustausch relevant.

Pseudonymisierte und anonymisierte Informationen

Das APPI sieht spezifische Rahmen vor für:

• Pseudonym verarbeitete Informationen
• Anonym verarbeitete Informationen

Diese Rahmen können es Organisationen ermöglichen, umgewandelte Informationen für festgelegte Zwecke zu nutzen, wobei andere Pflichten als für gewöhnliche personenbezogene Informationen gelten.

Das bloße Maskieren oder Anonymisieren von Informationen führt jedoch nicht automatisch dazu, dass sie rechtlich als pseudonym oder anonym verarbeitete Informationen eingestuft werden. Die geltenden gesetzlichen Verarbeitungsstandards müssen eingehalten werden.

Aufbewahrung und Löschung von Daten

Organisationen sollten angemessene Richtlinien für die Aufbewahrung und Löschung personenbezogener Informationen festlegen.

Bei der Aufbewahrungspraxis sollte Folgendes berücksichtigt werden:

• der Zweck, für den die Informationen erhoben wurden
• ob eine weitere Aufbewahrung erforderlich ist
• geltende gesetzliche Anforderungen
• Anfragen von Betroffenen
• Sicherheitsanforderungen
• vertragliche Pflichten
• interne Aufbewahrungspläne

Nicht mehr benötigte Informationen sollten sicher gelöscht oder anderweitig gemäß den geltenden Anforderungen des APPI behandelt werden.

APPI und Auftragsverarbeiter

Organisationen setzen häufig Dienstleister, Cloud-Plattformen, Analyseanbieter, Marketingplattformen und andere Anbieter zur Verarbeitung personenbezogener Informationen ein.

Unternehmen sollten daher angemessene Kontrollen über ausgelagerte Verarbeitungen unterhalten, darunter:

• Sorgfaltsprüfung von Anbietern
• Vertragliche Anforderungen
• Sicherheitsmaßnahmen
• Umfang der Verarbeitung
• Vertraulichkeit
• Meldung von Vorfällen
• Management von Unterauftragnehmern
• Löschung und Rückgabe von Daten
• Grenzüberschreitende Verarbeitung
• Überwachung der Compliance

Wenn ein Dienstleister im Ausland personenbezogene Daten erhält, sollten Organisationen die geltenden Anforderungen des APPI an internationale Übermittlungen gesondert prüfen.

APPI-Änderung 2026

Japan hat im Juli 2026 nach der Zustimmung des Parlaments (Diet) eine weitere Änderung des APPI verabschiedet.

Die Änderung wurde am 17. Juli 2026 verkündet. Nach Angaben der PPC treten die meisten Bestimmungen zu einem durch Kabinettsverordnung festzulegenden Zeitpunkt innerhalb von zwei Jahren nach der Verkündung in Kraft. Die zugehörigen Kabinettsverordnungen, PPC-Vorschriften und Leitlinien werden derzeit noch ausgearbeitet.

Organisationen sollten daher unterscheiden zwischen:

Aktuellen Anforderungen des APPI

Vorschriften, die bereits in Kraft sind und für gegenwärtige Verarbeitungstätigkeiten gelten.

Bevorstehenden Änderungen des APPI

Anforderungen, die durch die Änderung von 2026 eingeführt werden und nach ihrem jeweiligen Inkrafttreten gelten.

Die APPI-Inhalte von ConsentX sollten überprüft werden, sobald die Durchführungsvorschriften und Leitlinien fertiggestellt sind.

Durchsetzung des APPI

Die Personal Information Protection Commission (PPC) ist Japans wichtigste Datenschutzbehörde und spielt eine zentrale Rolle bei der Überwachung der Einhaltung des APPI.

Die PPC stellt Leitlinien, FAQs, Vorschriften, Informationen zur Durchsetzung und Leitlinien zu internationalen Übermittlungen für Organisationen bereit, die dem APPI unterliegen.