Compliance mit dem Gesetz zum Schutz personenbezogener Daten Vietnams

Vietnams Rahmen für den Schutz personenbezogener Daten

Vietnams aktueller Rahmen für den Schutz personenbezogener Daten beruht auf dem Gesetz Nr. 91/2025/QH15 zum Schutz personenbezogener Daten, dem Dekret Nr. 356/2025/ND-CP, das die Umsetzung des Gesetzes im Detail regelt, sowie gegebenenfalls auf weiteren Vorschriften und branchenspezifischen Anforderungen.

• Gesetz Nr. 91/2025/QH15 zum Schutz personenbezogener Daten
• Dekret Nr. 356/2025/ND-CP, das die Umsetzung des Gesetzes im Detail regelt
• Weitere Vorschriften und branchenspezifische Anforderungen, soweit einschlägig

Das Gesetz erkennt die Einwilligung als wichtige Rechtsgrundlage für die Verarbeitung an, doch die Einwilligung ist nicht die einzige mögliche Grundlage für die Verarbeitung personenbezogener Daten. Organisationen sollten die einschlägige Rechtsgrundlage bestimmen und die entsprechenden gesetzlichen Anforderungen erfüllen, bevor sie Daten verarbeiten.

Wird eine Einwilligung verlangt oder herangezogen, sollten Organisationen sicherstellen, dass sie ordnungsgemäß eingeholt wird und nachgewiesen werden kann. Dekret 356/2025/ND-CP sieht reproduzierbare Formen der Einwilligung vor, darunter schriftliche und elektronische Verfahren.

Was sind personenbezogene Daten nach vietnamesischem Recht?

Vietnams Gesetz zum Schutz personenbezogener Daten definiert personenbezogene Daten weit als digitale Daten oder Informationen in anderer Form, die eine bestimmte Person identifizieren oder zu ihrer Identifizierung beitragen.

Der Rahmen unterscheidet zwischen einfachen und sensiblen personenbezogenen Daten; die genaue Einordnung beider Kategorien wird durch Regierungsvorschriften festgelegt.

Organisationen sollten daher ein Datenverzeichnis führen, das sowohl die Art der verarbeiteten personenbezogenen Daten ausweist als auch, ob diese in eine besonders geschützte Kategorie fallen.

Einfache personenbezogene Daten

Einfache personenbezogene Daten umfassen allgemeine persönliche Angaben und Hintergrunddaten, die in Geschäftsbeziehungen und sozialen Beziehungen verwendet werden und zu den von der Regierung festgelegten Kategorien gehören.

Dazu können je nach anwendbarer Einordnung etwa Angaben gehören, die zur Identifizierung einer Person oder zur Kommunikation mit ihr dienen.

Sensible personenbezogene Daten

Sensible personenbezogene Daten sind personenbezogene Daten, die mit der Privatsphäre einer Person verbunden sind und deren Verletzung die berechtigten Rechte und Interessen der Betroffenen unmittelbar beeinträchtigen könnte.

Die genaue Einordnung sensibler personenbezogener Daten wird durch Regierungsvorschriften festgelegt.

Rechtsgrundlagen für die Verarbeitung personenbezogener Daten

Nach dem aktuellen vietnamesischen Recht ist die Einwilligung nicht für jede Verarbeitungstätigkeit pauschal erforderlich.

Das Gesetz definiert die Einwilligung als Erlaubnis der betroffenen Person zur Verarbeitung ihrer personenbezogenen Daten, sofern das Gesetz nichts anderes bestimmt.

Organisationen sollten daher klären:

• welche personenbezogenen Daten verarbeitet werden;
• warum die Daten verarbeitet werden;
• welche Rechtsgrundlage die Verarbeitung erlaubt;
• ob eine Einwilligung erforderlich ist;
• welche Informationen bereitgestellt werden müssen;
• welche Schutzmaßnahmen gelten; und
• ob eine Folgenabschätzung oder eine andere Dokumentation erforderlich ist.

Das ist eine wesentliche Änderung gegenüber der Darstellung, Vietnams Rahmen verlange schlicht eine Einwilligung für jede Verarbeitung.

Anforderungen an die Einwilligung

Ist die Einwilligung die einschlägige Rechtsgrundlage, sollten Unternehmen ihre Einwilligungsmechanismen so gestalten, dass sie klar, nachweisbar und angemessen dokumentiert sind.

Nach dem aktuellen Rahmen gilt:

• Die Einwilligung ist eine von der betroffenen Person erteilte Erlaubnis zur Verarbeitung;
• die einschlägigen rechtlichen Anforderungen bestimmen, wann eine Einwilligung erforderlich ist;
• Organisationen sollten die Grundlage der Verarbeitung nachweisen können;
• die Einwilligung sollte, soweit erforderlich, über einen geeigneten und reproduzierbaren Mechanismus erfasst werden; und
• Organisationen sollten Nachweise zur Stützung der Verarbeitungstätigkeit aufbewahren.

Dekret 356/2025/ND-CP erkennt unter anderem schriftliche Einwilligung, aufgezeichnete Anrufe, SMS, E-Mail, Websites, Plattformen, Anwendungen und andere reproduzierbare oder überprüfbare Verfahren an.

Die Einwilligung ersetzt keine Datenschutz-Governance

Ein Einwilligungsbanner allein begründet noch keine vollständige Compliance.

Unternehmen sollten das Einwilligungsmanagement mit folgenden Bereichen verbinden:

• Datenschutzhinweise;
• Datenverzeichnisse;
• Verarbeitungsverzeichnisse;
• Prozesse für Betroffenenrechte;
• Löschkonzepte;
• Sicherheitsmaßnahmen;
• Dienstleistersteuerung;
• Kontrollen grenzüberschreitender Übermittlungen; und
• Dokumentation von Folgenabschätzungen, soweit einschlägig.

Datenschutzhinweise und Transparenz

Organisationen sollten Personen angemessen über die Verarbeitung ihrer personenbezogenen Daten informieren.

Ein praxistauglicher Datenschutzhinweis sollte, soweit relevant, erläutern:

• welche personenbezogenen Daten erhoben werden;
• den Zweck der Verarbeitung;
• wie die Daten genutzt werden;
• die einschlägige Rechtsgrundlage;
• relevante Empfänger oder Kategorien von Empfängern;
• Überlegungen zur Speicherdauer;
• internationale oder grenzüberschreitende Übermittlungen;
• die Rechte der betroffenen Personen;
• wie Personen ihre Rechte ausüben können;
• Kontaktdaten für datenschutzbezogene Anfragen; und
• weitere nach geltendem Recht erforderliche Angaben.

Bei Websites und Anwendungen sollte sich die Transparenz auch auf Cookies, Analysedienste, Werbetechnologien, Tracking-Technologien und andere Online-Kennungen erstrecken, soweit dabei personenbezogene Daten verarbeitet werden.

Rechte der betroffenen Personen

Vietnams Gesetz zum Schutz personenbezogener Daten gewährt betroffenen Personen Rechte und begründet entsprechende Pflichten für Organisationen, die personenbezogene Daten verarbeiten.

Je nach den Umständen sollten Organisationen darauf vorbereitet sein, Anfragen zu folgenden Punkten zu bearbeiten:

• Zugang zu personenbezogenen Daten;
• Berichtigung oder Aktualisierung unrichtiger Daten;
• Widerruf der Einwilligung, wenn die Verarbeitung auf ihr beruht;
• Löschung, soweit rechtlich einschlägig;
• Einschränkung der Verarbeitung, soweit einschlägig;
• Widerspruch oder andere nach dem Gesetz anerkannte Rechte; und
• weitere Rechte nach dem Gesetz zum Schutz personenbezogener Daten und den Durchführungsvorschriften.

Organisationen sollten einen internen Ablauf für die Annahme, Authentifizierung, Verfolgung und Beantwortung von Betroffenenanfragen innerhalb der gesetzlichen Fristen einrichten.

Personenbezogene Daten von Kindern

Die Verarbeitung personenbezogener Daten von Kindern erfordert nach Vietnams Datenschutzrahmen zusätzliche Schutzmaßnahmen.

Unternehmen, die Dienste für Kinder anbieten oder wissentlich personenbezogene Daten von Kindern verarbeiten, sollten prüfen:

• altersbezogene Anforderungen;
• Anforderungen an die Einwilligung;
• die erforderliche Einbeziehung von Eltern oder gesetzlichen Vertretern;
• geeignete Datenschutzhinweise;
• Datenminimierung;
• Sicherheitsvorkehrungen; und
• Anforderungen an Speicherdauer und Löschung.

Auf Kinder ausgerichtete Dienste sollten diese Anforderungen in die Produktgestaltung einbeziehen, statt sie nachträglich zu behandeln.

Verarbeitung sensibler personenbezogener Daten

Sensible personenbezogene Daten genießen nach Vietnams Rahmen einen erhöhten Schutz.

Unternehmen, die sensible personenbezogene Daten verarbeiten, sollten die betreffende Kategorie bestimmen und prüfen, ob zusätzliche Pflichten in folgenden Bereichen gelten:

• Rechtsgrundlage;
• Transparenz;
• Sicherheit;
• Datenschutz-Governance;
• Folgenabschätzungen;
• Zugriffskontrollen;
• Speicherdauer;
• Datenübermittlungen; und
• Umgang mit Sicherheitsvorfällen.

Ein Datenschutzprogramm sollte ein klares Verzeichnis führen, das zeigt, wo sensible personenbezogene Daten erhoben, verarbeitet, gespeichert oder übermittelt werden.

Folgenabschätzungen für die Verarbeitung personenbezogener Daten

Vietnams aktueller Rahmen enthält für bestimmte Verarbeitungstätigkeiten Anforderungen an Folgenabschätzungen.

Organisationen sollten prüfen, ob ihre Verarbeitung ein Dossier zur Folgenabschätzung der Verarbeitung personenbezogener Daten erfordert, und sicherstellen, dass die erforderliche Dokumentation geführt und nach den geltenden Vorschriften eingereicht wird.

Eine wirksame Abschätzung sollte berücksichtigen:

• Kategorien personenbezogener Daten;
• Verarbeitungszwecke;
• Verarbeitungsmethoden;
• Risiken für die betroffenen Personen;
• Sicherheitsvorkehrungen;
• Speicherdauer;
• Vereinbarungen zur Datenweitergabe;
• Auftragsverarbeiter und Dritte;
• grenzüberschreitende Verarbeitung; und
• Maßnahmen zur Minderung der festgestellten Risiken.

Grenzüberschreitende Datenübermittlungen

Die grenzüberschreitende Verarbeitung ist nach Vietnams aktuellem Recht ein wichtiger Compliance-Bereich.

Dekret 356/2025/ND-CP definiert grenzüberschreitende Übermittlungstätigkeiten weit und umfasst auch Fälle, in denen in Vietnam erhobene oder gespeicherte personenbezogene Daten über ausländische Infrastruktur, ausländische Cloud-Dienste oder an Empfänger im Ausland bewegt oder dort verarbeitet werden.

Unternehmen, die Folgendes nutzen:

• internationale Cloud-Anbieter;
• globale CRM-Systeme;
• Analyseplattformen im Ausland;
• internationale Werbeplattformen;
• ausländische SaaS-Anwendungen;
• globale Kundenservice-Tools; oder
• Dienstleister zur Datenverarbeitung im Ausland

sollten prüfen, ob ihre Tätigkeiten eine regulierte grenzüberschreitende Verarbeitung darstellen.

Je nach den Umständen muss eine Organisation möglicherweise ein Dossier zur Folgenabschätzung grenzüberschreitender Übermittlungen personenbezogener Daten erstellen oder führen oder einen anderen einschlägigen gesetzlichen Mechanismus einhalten.

Anforderungen an die Datensicherheit

Organisationen, die personenbezogene Daten verarbeiten, sollten angemessene organisatorische, technische und personelle Schutzmaßnahmen umsetzen.

Sicherheitsmaßnahmen können umfassen:

• Zugriffskontrollen;
• Authentifizierung;
• Verschlüsselung, soweit angemessen;
• Netzwerk- und Anwendungssicherheit;
• Protokollierung und Überwachung;
• Schwachstellenmanagement;
• Backup und Wiederherstellung;
• Mitarbeiterschulungen;
• Sicherheitsanforderungen an Dienstleister;
• Verfahren zur Reaktion auf Sicherheitsvorfälle; und
• Datenminimierung und Kontrolle der Speicherdauer.

Die Sicherheit sollte der Art der verarbeiteten Daten und den damit verbundenen Risiken angemessen sein.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Vietnams aktuelles Gesetz zum Schutz personenbezogener Daten begründet eine Meldepflicht innerhalb von 72 Stunden für einschlägige Verstöße im Zusammenhang mit personenbezogenen Daten, nachdem die betreffende Organisation den Verstoß entdeckt hat.

Die Pflicht gilt für einschlägige Verstöße, die unter den gesetzlichen Voraussetzungen etwa die Landesverteidigung oder Sicherheit, die öffentliche Ordnung und Sicherheit, Leben oder Gesundheit, Ehre und Würde oder das Eigentum beeinträchtigen können.

Organisationen sollten daher einen Prozess zur Reaktion auf Vorfälle unterhalten, der Folgendes leisten kann:

• eine mögliche Verletzung erkennen;
• den Vorfall bewerten;
• feststellen, ob die gesetzliche Schwelle erreicht ist;
• den Vorfall intern eskalieren;
• die erforderlichen Meldungen vorbereiten;
• die Reaktion dokumentieren; und
• Abhilfemaßnahmen ergreifen.

Ein Prozess zum Management von Datenschutzvorfällen sollte mit dem umfassenderen Programm der Organisation zur Reaktion auf Cybersicherheitsvorfälle verbunden sein.

Verantwortliche und Auftragsverarbeiter

Unternehmen sollten ihre Rollen bei der Verarbeitung personenbezogener Daten klar bestimmen.

Je nach Tätigkeit kann eine Organisation auftreten als:

• Verantwortlicher für personenbezogene Daten;
• Auftragsverarbeiter personenbezogener Daten;
• Stelle, die sowohl Verantwortlichen- als auch Verarbeitungsfunktionen ausübt; oder
• anderer regulierter Beteiligter in der Verarbeitungskette.

Verträge mit Auftragsverarbeitern und Dienstleistern sollten klar regeln:

• Verarbeitungszwecke;
• Datenkategorien;
• Sicherheitspflichten;
• Vertraulichkeit;
• Unterauftragsverarbeitung;
• Speicherdauer;
• Löschung oder Rückgabe der Daten;
• Meldung von Vorfällen;
• Unterstützung bei Betroffenenanfragen; und
• Verantwortlichkeiten bei grenzüberschreitender Verarbeitung.

Speicherdauer und Löschung

Vietnams Rahmen verlangt, dass personenbezogene Daten für einen dem Verarbeitungszweck entsprechenden angemessenen Zeitraum gespeichert werden, sofern kein anderes Gesetz etwas anderes bestimmt.

Organisationen sollten daher dokumentierte Löschfristen für folgende Bereiche führen:

• Kundendaten;
• Beschäftigtendaten;
• Marketingdatenbanken;
• Kontodaten;
• Einwilligungsnachweise;
• Cookie- und Tracking-Daten;
• Supportvorgänge;
• Betroffenenanfragen;
• Sicherheitsprotokolle; und
• bei Dienstleistern gespeicherte personenbezogene Daten.

Die Speicherung sollte nicht unbegrenzt fortgesetzt werden, nur weil die Aufbewahrung technisch kaum etwas kostet.

Cookies und Online-Tracking

Unternehmen, die Websites in Vietnam betreiben, sollten ihre Cookies und Tracking-Technologien als Teil ihres Datenschutzprogramms bewerten.

Dazu gehören:

• Analyse-Cookies;
• Werbe-Cookies;
• Retargeting-Technologien;
• Social-Media-Pixel;
• Conversion-Tracking;
• Sitzungstechnologien;
• Gerätekennungen;
• SDKs; und
• andere Technologien, die Informationen erheben, mit denen Personen identifiziert oder auf sie bezogen werden können.

Ob eine Einwilligung erforderlich ist, hängt von der einschlägigen Rechtsgrundlage und den Umständen ab. Organisationen sollten nicht annehmen, dass jedes Cookie eine Einwilligung erfordert, sollten aber ebenso vermeiden, personenbezogene Daten ohne geeignete Rechtsgrundlage und Schutzmaßnahmen zu verarbeiten.

ConsentX kann Unternehmen dabei unterstützen, diesen Prozess umzusetzen:

• Websites auf Cookies und Tracker scannen;
• Tracking-Technologien kategorisieren;
• ausgewählte Technologien blockieren, bis die einschlägige Erlaubnis vorliegt;
• Einwilligungsentscheidungen erfassen;
• regionsspezifische Einwilligungserlebnisse steuern; und
• prüffähige Einwilligungsnachweise vorhalten.

Direktmarketing und Werbung

Marketingaktivitäten betreffen häufig personenbezogene Daten und sollten daher in das Datenschutzprogramm einer Organisation einbezogen werden.

Unternehmen sollten prüfen:

• die Herkunft der Marketingdaten;
• die Rechtsgrundlage der Verarbeitung;
• ob eine Einwilligung erforderlich ist;
• wie Marketingpräferenzen erfasst werden;
• Abmelde- und Widerrufsmöglichkeiten;
• Werbeplattformen Dritter;
• Datenweitergabe;
• Profiling;
• Speicherdauer; und
• internationale Übermittlungen.

Die Marketingeinwilligung sollte, wo eine Einwilligung erforderlich ist, klar von unabhängigen Vertragsbedingungen getrennt werden.

Automatisierte Verarbeitung, Profiling und KI

Unternehmen, die KI, automatisierte Entscheidungsfindung, Profiling oder Verhaltensanalysen einsetzen, sollten prüfen, ob dabei personenbezogene Daten verarbeitet werden und ob zusätzliche Anforderungen gelten.

Eine Datenschutzbewertung sollte berücksichtigen:

• welche Daten dem System zugeführt werden;
• den Zweck der Verarbeitung;
• ob sensible personenbezogene Daten betroffen sind;
• ob Daten an einen Anbieter im Ausland übermittelt werden;
• ob Entscheidungen Personen erheblich berühren;
• ob Personen angemessen informiert werden;
• Sicherheits- und Zugriffskontrollen;
• Speicherdauer;
• die Verarbeitung durch Dienstleister; und
• menschliche Aufsicht, soweit angemessen.

Organisationen sollten ihre Anwendungsfälle für KI und automatisierte Verarbeitung im Rahmen ihres umfassenderen Datenschutzmanagements dokumentieren.

Kleine Unternehmen und Start-ups

Vietnams Gesetz zum Schutz personenbezogener Daten enthält Übergangsregelungen für bestimmte kleine Unternehmen und Start-ups.

Nach dem Gesetz können berechtigte kleine Unternehmen und Start-ups für einen Zeitraum von fünf Jahren ab Inkrafttreten des Gesetzes wählen, ob sie bestimmte Vorschriften umsetzen, vorbehaltlich gesetzlicher Ausnahmen. Die Befreiung gilt grundsätzlich nicht, wenn das Unternehmen Dienstleistungen zur Verarbeitung personenbezogener Daten anbietet, unmittelbar sensible personenbezogene Daten verarbeitet oder personenbezogene Daten einer großen Zahl betroffener Personen verarbeitet.

Dekret 356/2025/ND-CP enthält weitere Einzelheiten zu den maßgeblichen Schwellenwerten und Befreiungen.

Unternehmen sollten daher ihre Berechtigung prüfen und nicht annehmen, dass alle Start-ups oder kleinen Unternehmen automatisch von Vietnams Datenschutzanforderungen befreit sind.

Übergang von Dekret 13/2023

Vietnams Datenschutzrahmen hat sich am 1. Januar 2026 erheblich geändert.

Das neue Gesetz zum Schutz personenbezogener Daten sieht ausdrücklich eine Übergangsbehandlung für bestimmte Verarbeitungstätigkeiten vor, die vor Inkrafttreten des neuen Gesetzes bereits auf Grundlage von Einwilligungen oder Vereinbarungen nach Dekret 13/2023/ND-CP durchgeführt wurden. Auch bestimmte zuvor eingereichte Dossiers zur Folgenabschätzung können nach den Übergangsregelungen fortgeführt werden.

Gleichzeitig bestimmt Dekret 356/2025/ND-CP, dass Dekret 13/2023/ND-CP mit Wirkung vom 1. Januar 2026 außer Kraft tritt.

Unternehmen sollten ihre Compliance-Programme daher aktualisieren und sich nicht weiter ausschließlich auf Leitlinien stützen, die für das frühere Regime des Dekrets 13 gedacht waren.

Checkliste zur Einhaltung von Vietnams Gesetz zum Schutz personenbezogener Daten

Nutzen Sie diese Checkliste, um das Datenschutzprogramm Ihrer Organisation für Vietnam zu überprüfen:

• Erhobene und verarbeitete personenbezogene Daten erfassen
• Einfache und sensible personenbezogene Daten einordnen
• Verarbeitungszwecke erfassen
• Die einschlägige Rechtsgrundlage bestimmen
• Einwilligungsmechanismen prüfen, wo eine Einwilligung erforderlich ist
• Einwilligungsnachweise aufbewahren
• Datenschutzhinweise aktualisieren
• Verfahren für Betroffenenanfragen einrichten
• Angemessene Sicherheitsvorkehrungen umsetzen
• Speicherfristen überprüfen
• Auftragsverarbeiter und Dritte identifizieren
• Internationale und grenzüberschreitende Übermittlungen überprüfen
• Anforderungen an Folgenabschätzungen bewerten
• Verfahren für die Reaktion auf Verletzungen einrichten
• Auf die einschlägigen Meldungen innerhalb von 72 Stunden vorbereiten
• Marketing- und Werbetechnologien überprüfen
• Cookies und Website-Tracker scannen
• Ausgewählte nicht erforderliche Technologien bis zur einschlägigen Erlaubnis blockieren
• Datenschutzmaßnahmen regelmäßig überprüfen und aktualisieren

Warum Datenschutz-Compliance in Vietnam für digitale Unternehmen zählt

Für Organisationen, die Websites, Apps und digitale Plattformen in Vietnam betreiben, erfordert Datenschutz-Compliance zunehmend die Abstimmung zwischen Datenschutz, Sicherheit, Recht, Marketing und Technik.

Ein modernes Compliance-Programm sollte daher Rechtsgrundlage, Transparenz, Einwilligungsmanagement, Datenmanagement, Sicherheit, Wahrung der Betroffenenrechte, Übermittlungskontrollen und Prüfnachweise verbinden.

ConsentX kann die Einwilligungsverwaltung und die Datenschutzebene der Website unterstützen, während Organisationen die weiteren rechtlichen und organisatorischen Kontrollen vorhalten, die Vietnams Rahmen verlangt.

Das Gesetz zum Schutz personenbezogener Daten gilt innerhalb der vietnamesischen Rechtsordnung und enthält zudem Bestimmungen, die bestimmte ausländische Organisationen und Personen betreffen, die an der Verarbeitung erfasster personenbezogener Daten beteiligt sind.