Vietnam verhängt Bußgelder von bis zu 70 Millionen VND bei Verstößen gegen Einwilligungsregeln und höhere Strafen bei Datenschutzverstößen

Schweigen gilt nicht als Einwilligung in die Nutzung personenbezogener Daten

Vietnams Dekret Nr. 330/2026/ND-CP, das am 19. August 2026 in Kraft trat, sieht Bußgelder von 50 Millionen bis 70 Millionen VND vor, wenn das Schweigen einer Person als Einwilligung in die Erhebung oder Verarbeitung personenbezogener Daten gewertet wird. Derselbe Bußgeldrahmen gilt, wenn die Verarbeitung vorsätzlich fortgesetzt wird, nachdem die Person deren Beendigung oder Einschränkung verlangt hat oder eine zuständige Behörde dies schriftlich angeordnet hat.

Die Einwilligungsregeln sind Teil eines wesentlich umfassenderen Sanktionsrahmens. Bestimmte Verstöße im Zusammenhang mit Übermittlungen personenbezogener Daten ins Ausland können mit Bußgeldern von bis zu 5 % des Umsatzes des Vorjahres geahndet werden. Andere Datenschutzverstöße können Bußgelder von bis zu 3 Milliarden VND nach sich ziehen, während der unrechtmäßige Handel mit Daten mit Strafen belegt werden kann, die als Vielfaches des Transaktionswerts berechnet werden.

Das von der Regierung veröffentlichte Dekret vom 26. August beschreibt einen Rahmen mit vier Kapiteln und 82 Artikeln. Er umfasst Cybersicherheit, soziale Medien, Informationssysteme und den Schutz personenbezogener Daten; Verwarnungen und Bußgelder sind die wichtigsten Sanktionen.

Für Menschen, die Apps nutzen, online einkaufen oder Werbenachrichten erhalten, geht es praktisch um Kontrolle: Unternehmen müssen eine rechtmäßige Grundlage für die Nutzung ihrer Informationen haben, über die relevanten Zwecke informieren und Aufforderungen zur Beendigung der Verarbeitung beachten. Für Unternehmen drohen neben Bußgeldern auch mögliche Betriebsaussetzungen, die Löschung unrechtmäßig verarbeiteter Daten und die Abschöpfung unrechtmäßig erzielter Gewinne.

Was macht eine Einwilligung wirksam?

Artikel 43 Absatz 1 sieht für verschiedene Verstöße gegen Einwilligungsvorschriften Bußgelder von 30 Millionen bis 50 Millionen VND vor. Dazu zählen die Verarbeitung personenbezogener Daten ohne Einwilligung, wenn das Gesetz sie verlangt, eine voreingestellte Zustimmung sowie unklare Anweisungen, die die Wahl zwischen Zustimmung und Ablehnung erschweren.

Ein Unternehmen muss die Einwilligung klar, spezifisch und nachprüfbar einholen. Es muss nachweisen können, wer wann eingewilligt hat und worauf sich die Einwilligung bezog. Nutzer müssen außerdem für jeden Verarbeitungszweck gesondert entscheiden können.

Ein Einkaufsdienst benötigt beispielsweise möglicherweise Informationen, um eine Bestellung auszuführen. Das Dekret richtet sich dagegen, den Zugang zu diesem Dienst davon abhängig zu machen, dass Nutzer einer sachfremden Verwendung personenbezogener Daten zustimmen. Über solche zusätzlichen Zwecke sollte eine Person gesondert entscheiden können, statt ihnen zustimmen zu müssen, um die vereinbarte Leistung zu erhalten.

Artikel 43 erfasst auch unvollständige Erläuterungen zu den verarbeiteten Datenarten, den Zwecken, den Rechten und Pflichten der betroffenen Person sowie zur für die Verarbeitung verantwortlichen Organisation. Auch fehlende Einwilligungsnachweise können geahndet werden. Ein Unternehmen braucht daher sowohl ein wirksames Einwilligungsverfahren als auch Nachweise dafür, dass es ordnungsgemäß funktioniert hat.

Besonders sensible personenbezogene Daten genießen zusätzlichen Schutz. Wird eine Person nicht darüber informiert, dass ihre sensiblen Daten verarbeitet werden, fällt dies unter den Bußgeldrahmen von 30 Millionen bis 50 Millionen VND. Unternehmen müssen daher feststellen, welche Informationen sie besitzen, und die entsprechenden Schutzmaßnahmen anwenden.

Warum 70 Millionen VND nur einen Teil des Bildes ausmachen

Das höchste Bußgeld für Einwilligungsverstöße liegt 20 Millionen VND über der Obergrenze des niedrigeren Bußgeldrahmens: Es steigt von 50 Millionen auf 70 Millionen VND. Der höhere Rahmen zielt auf zwei konkrete Praktiken ab: Schweigen als Zustimmung zu werten und Aufforderungen zur Beendigung oder Einschränkung der Verarbeitung vorsätzlich zu missachten.

Im umfassenderen Sanktionsrahmen liegen die Höchstbußgelder für Verstöße gegen die Cybersicherheit bei 200 Millionen VND für Organisationen und 100 Millionen VND für Einzelpersonen. Für den Schutz personenbezogener Daten gilt eine andere Struktur mit festen Bußgeldstufen, Strafen für unrechtmäßigen Handel und umsatzabhängigen Sanktionen.

Der Rechtshinweis von EY aus dem Oktober beschreibt Bußgelder in Höhe des Zwei- bis Zehnfachen des Transaktionswerts für den illegalen Handel mit personenbezogenen Daten. Demnach wird dieser Wert anhand von Belegen wie Verträgen, Rechnungen, Zahlungsnachweisen, Nachrichten und Kontoauszügen berechnet, ohne Kosten abzuziehen.

Bestimmte schwerwiegende Verstöße im Zusammenhang mit Übermittlungen ins Ausland werden mit Bußgeldern von 1 % bis 5 % des Umsatzes geahndet. EY zählt Übermittlungen, die zum Verlust oder zur Offenlegung von Daten von mindestens 10.000 vietnamesischen Staatsangehörigen führen, zu dieser Kategorie. Die Höchststufe von 5 % gilt laut EY für Fälle, von denen mindestens eine Million Menschen betroffen sind. In der Tabelle wird der Höchstbetrag als Anteil des im Vorjahr in Vietnam erzielten Umsatzes angegeben; wenn in diesem Jahr kein Umsatz erzielt wurde, gilt eine Obergrenze von 3 Milliarden VND.

Auch ausländische Unternehmen fallen unter die Vorschriften

Dekret 330 gilt für vietnamesische und ausländische Einzelpersonen und Organisationen. Sein Geltungsbereich umfasst ausländische Unternehmen, die bestimmte Telekommunikations-, Internet-, Online-Content-, Informationstechnologie-, Cybersicherheits- oder grenzüberschreitende Dienstleistungen anbieten, sowie ausländische Organisationen, die an der Verarbeitung erfasster personenbezogener Daten aus Vietnam beteiligt sind.

Zu den geschützten Gruppen zählen vietnamesische Staatsangehörige und Menschen vietnamesischer Herkunft, die in Vietnam leben und über Identitätsnachweise verfügen, deren Staatsangehörigkeit aber noch nicht festgestellt wurde. Unternehmen müssen daher neben den angebotenen Dienstleistungen und den betroffenen Personen auch prüfen, welche Bedeutung ihr Standort im Ausland hat.

Tilleke & Gibbins benennt in seiner Analyse des Sanktionsdekrets das Ministerium für öffentliche Sicherheit als zuständige Behörde für den Schutz personenbezogener Daten und die Cybersicherheit. Die Kanzlei beschreibt das Dekret als detaillierten Rahmen für Verwaltungssanktionen, der den Pflichten aus den Gesetzen zum Schutz personenbezogener Daten und zur Cybersicherheit Nachdruck verleiht.

Für ein Unternehmen mit Sitz außerhalb Vietnams gehört dazu in der Praxis, zu prüfen, ob seine Dienstleistungen und Verarbeitungstätigkeiten in den Geltungsbereich fallen. Werbesysteme, Kundendatenbanken und Übermittlungen an ausländische Dienstleister können nach den einschlägigen Vorschriften überprüft werden müssen.

Werbelisten benötigen eine rechtmäßige Grundlage

Artikel 37 betrifft unerwünschte Werbe-E-Mails und -Nachrichten sowie andere Verstöße gegen die Online-Werbevorschriften. Auch Artikel 48 kann relevant werden, wenn die für Werbung genutzten Informationen unrechtmäßig erhoben wurden. Die Werbemaßnahme und die Erhebung der zugrunde liegenden Daten werfen somit jeweils eigene Compliance-Fragen auf.

Ein Unternehmen, das eine Liste mit Telefonnummern kauft, muss prüfen, woher die Daten stammen, auf welcher Rechtsgrundlage sie verwendet werden dürfen und zu welchem Zweck sie erhoben wurden. Außerdem muss es den Betroffenen ermöglichen, Werbung oder die entsprechende Weitergabe ihrer Informationen abzulehnen.

Artikel 43 bezieht die Einwilligungsregeln in diesen Prozess ein. Wer auf eine Einwilligungsanfrage nicht antwortet, hat nicht zugestimmt. Ein Unternehmen, das die Verarbeitung nach einer Aufforderung zur Beendigung oder Einschränkung vorsätzlich fortsetzt, muss mit dem höheren Bußgeldrahmen von 50 Millionen bis 70 Millionen VND rechnen.

EY weist außerdem auf eine spezielle Sanktion für eine voreingestellte Einwilligung zur Offenlegung personenbezogener Daten an ein verbundenes Werbenetzwerk hin. Solche Netzwerke bringen Unternehmen mit Partnern zusammen, die Produkte bewerben oder potenzielle Kunden an sie vermitteln. Bei der Weitergabe von Informationen im Rahmen solcher Vereinbarungen muss die Entscheidung der betroffenen Person berücksichtigt werden, statt eine Zustimmung vorab auszuwählen.

Für Verbraucher verbinden diese Vorschriften die erstmalige Erhebung einer Telefonnummer mit ihrer späteren Verwendung. Für Unternehmen gehört zur Prüfung einer Werbenachricht mehr als nur deren Inhalt: Auch die Herkunft der Kontaktliste, die damit verbundenen Einwilligungen und der Umgang mit Ablehnungen sind entscheidend.

Daten von Kindern und Überwachungsaufnahmen erfordern besondere Prüfungen

Plattformen, Bildungsangebote, Unterhaltungs-Apps und Onlinehändler, die Daten von Kindern verarbeiten, müssen Anforderungen an den Verarbeitungszweck, eine wirksame Einwilligung, den Umfang der erhobenen Daten und Schutzmaßnahmen beachten. EY weist auf Sanktionen hin, wenn das Alter eines Kindes vor der Verarbeitung personenbezogener Daten nicht überprüft wird.

EY macht außerdem auf abweichende Formulierungen im Gesetz zum Schutz personenbezogener Daten und im Dekret aufmerksam. Das Gesetz verlangt die Einwilligung sowohl eines Kindes ab sieben Jahren als auch seiner gesetzlichen Vertretung, wenn die Verarbeitung dazu bestimmt ist, das Privatleben oder persönliche Geheimnisse des Kindes offenzulegen. Die Sanktionsvorschrift des Dekrets zur erforderlichen Einwilligung beider Personen ist laut EY weiter gefasst.

Unternehmen, die Angebote für Kinder bereitstellen, sollten daher prüfen, ob ihre Altersüberprüfungen und Einwilligungsverfahren zur jeweiligen Tätigkeit passen. EY nennt für bestimmte Versäumnisse bei der Löschung oder Vernichtung von Daten von Kindern, die über ihren Zweck hinaus verarbeitet wurden, eine Höchststrafe von 200 Millionen VND für Organisationen.

Aufnahmen aus öffentlichen Überwachungskameras bergen ein weiteres konkretes Risiko. EY weist auf Sanktionen für die Nutzung personenbezogener Daten, Bilder oder Tonaufnahmen aus öffentlichen Überwachungskameras zu kommerziellen Zwecken, zur Verhaltensanalyse oder zur automatisierten Gesichtserkennung beim Erstellen von Profilen ohne wirksame Einwilligung hin.

Eine aus Sicherheitsgründen installierte Kamera kann Informationen liefern, die ein Unternehmen später für einen anderen Zweck verwenden möchte. Nach den von EY beschriebenen Vorschriften muss diese spätere kommerzielle oder analytische Nutzung gesondert rechtlich geprüft werden; sofern vorgesehen, ist dafür eine wirksame Einwilligung erforderlich. Auch Speicherfristen sind relevant: Bestimmte Vereinbarungen zur Datenübermittlung müssen eine Speicherdauer festlegen, die dem Zweck der Übermittlung angemessen ist.

KI und soziale Medien bringen Pflichten für Nutzer und Betreiber mit sich

Der Einsatz künstlicher Intelligenz, um das Bild, die Stimme oder die Identität einer anderen Person vorzutäuschen, kann sanktioniert werden, wenn damit Betrug, Falschinformationen, die Verletzung rechtmäßiger Rechte oder die unrechtmäßige Erhebung und Nutzung personenbezogener Daten verbunden sind. Die einschlägige Sanktion richtet sich nach der Handlung und ihrer Schwere.

Unternehmen bleiben für ihre Entscheidungen verantwortlich, Informationen zu erheben, in ein KI-System einzuspeisen und die daraus gewonnenen Ergebnisse zu nutzen. Auch automatisierte Verarbeitung muss daher denselben Prüfungen zur Rechtsgrundlage, zum Zweck, zur Einwilligung und zum Schutz unterliegen wie andere Verarbeitungstätigkeiten.

Die Pflichten im Bereich sozialer Medien gelten für Anbieter, Verantwortliche, Betreiber und Nutzer. Menschen, die Inhalte veröffentlichen oder teilen, sind dafür verantwortlich, auch wenn das Material eine Identität vortäuscht, Betrug umfasst oder rechtmäßige Rechte und Interessen einer anderen Person verletzt.

Die Cybersicherheitsvorschriften betreffen außerdem Angriffe, unbefugten Zugriff, schädlichen Code und die mangelnde Zusammenarbeit mit spezialisierten Cybersicherheitskräften. Gibt es Anzeichen für eine Straftat, wird die Akte laut der veröffentlichten Erläuterung der Regierung nach den einschlägigen Vorschriften des Gesetzes über die Behandlung von Ordnungswidrigkeiten weitergeleitet.

Auf Bußgelder können Löschung oder Aussetzung folgen

Je nach Verstoß zählen zu den zusätzlichen Sanktionen der Entzug des Rechts, bestimmte Lizenzen oder Zertifikate für ein bis 24 Monate zu nutzen, die Aussetzung des Betriebs für denselben Zeitraum, die Einziehung der bei dem Verstoß eingesetzten Geräte oder sonstigen Gegenstände sowie die Ausweisung ausländischer Staatsangehöriger.

Artikel 43 verknüpft bestimmte Einwilligungsverstöße mit der endgültigen Löschung unrechtmäßig erhobener oder verarbeiteter Daten. In festgelegten Fällen sind außerdem Einziehungen und bei Verstößen im höheren Bußgeldrahmen die Abschöpfung unrechtmäßiger Gewinne vorgesehen. Ein Unternehmen kann dadurch neben einer Geldstrafe auch den Zugriff auf die Informationen verlieren.

Die Abschöpfung unrechtmäßiger Gewinne ist eine Abhilfemaßnahme mit eigener Berechnung. EY erläutert, dass sie in einschlägigen Fällen außerhalb des illegalen Datenhandels Umsätze aus Geschäftstätigkeiten umfassen kann, bei denen unrechtmäßig erhobene, verarbeitete, genutzte oder übermittelte Daten eingesetzt wurden; Kosten werden dabei nicht abgezogen.

Tilleke & Gibbins nennt weitere Sanktionen, die den Geschäftsalltag betreffen: bis zu 80 Millionen VND für Verstöße gegen die Meldepflicht bei Datenschutzverletzungen, 100 Millionen VND für Verstöße im Zusammenhang mit Folgenabschätzungen zur Datenverarbeitung und 30 Millionen VND, wenn kein Datenschutzbeauftragter oder keine Datenschutzabteilung bestellt beziehungsweise eingerichtet wird.

Eine Folgenabschätzung ist eine dokumentierte Prüfung, wie sich die Verarbeitung auf die Daten von Menschen auswirken kann und wie Risiken beherrscht werden. Zu den Abhilfemaßnahmen können die verpflichtende Einreichung der Folgenabschätzung und die Aussetzung der Verarbeitung gehören, bis die Einreichungspflichten erfüllt sind. Ähnliche Maßnahmen können für vorgeschriebene Folgenabschätzungen bei Übermittlungen ins Ausland gelten. EY nennt außerdem Organisationsbußgelder von bis zu 40 Millionen VND, wenn gesetzliche Fristen für Anfragen zu den Datenrechten einer Person nicht eingehalten werden.

Wann die Vorschriften gelten und wie Verfahren ablaufen können

Dekret 330 trat am Tag seines Erlasses ohne Übergangsfrist in Kraft. Ihm gingen mehrere Jahre Entwicklung des vietnamesischen Datenschutzrahmens voraus:

• 1. Juli 2023: Dekret Nr. 13/2023/ND-CP zum Schutz personenbezogener Daten trat in Kraft.
• 1. Januar 2026: Das Gesetz zum Schutz personenbezogener Daten trat mit den Durchführungsbestimmungen des Dekrets Nr. 356/2025/ND-CP in Kraft.
• 19. August 2026: Dekret Nr. 330/2026/ND-CP wurde erlassen und trat in Kraft.
• 26. August 2026: Die Regierung veröffentlichte ihre Erläuterung des Dekrets und der Sanktionen bei Einwilligungsverstößen.

Die Verjährungsfrist für Verwaltungssanktionen beträgt ein Jahr. Bei einem abgeschlossenen Verstoß knüpft der Fristbeginn daran an, dass die Pflicht erfüllt wurde oder eine zuständige Behörde das Ende des Verstoßes bestätigt hat. Die Behörden müssen außerdem feststellen, ob ein Verhalten beendet ist oder andauert.

Tilleke & Gibbins beschreibt eine Übergangsregelung für Verstöße, die vor dem 19. August begangen, aber erst danach entdeckt wurden oder noch geprüft werden. Grundsätzlich gilt das Sanktionsrecht, das zum Zeitpunkt des Verstoßes in Kraft war. Günstigere Bestimmungen des Dekrets 330 können angewendet werden, wenn sie die Haftung ausschließen oder eine mildere Sanktion vorsehen.

Der Rahmen erkennt elektronische Beweismittel an und ermöglicht elektronische Protokolle über Verstöße und Sanktionsentscheidungen, einschließlich biometrischer Authentifizierung, wenn keine digitalen Signaturen verfügbar sind. Aufzeichnungen zur Einhaltung der Vorschriften, etwa Einwilligungsprotokolle, Verlauf von Anfragen und Transaktionsnachweise, sind daher für die Prüfung eines Falls besonders relevant.

Ein Zeitplan für konkrete Prüfungen oder Durchsetzungsmaßnahmen ist nicht angegeben. Die unmittelbare praktische Änderung besteht darin, dass es für bestehende Pflichten nun einen eigenen Sanktionsrahmen zu Dokumentation, Personal, Sicherheit, Einwilligung und tatsächlicher Nutzung personenbezogener Informationen gibt.

Die wichtigsten Punkte

• Dekret 330 trat am 19. August 2026 in Kraft und umfasst Cybersicherheit sowie den Schutz personenbezogener Daten.
• Für bestimmte Einwilligungsverstöße gelten Bußgelder von 30 Millionen bis 50 Millionen VND.
• Schweigen als Einwilligung zu werten oder Aufforderungen zur Beendigung vorsätzlich zu missachten, kann Bußgelder von 50 Millionen bis 70 Millionen VND nach sich ziehen.
• Bestimmte schwerwiegende Übermittlungen ins Ausland können umsatzabhängige Bußgelder von bis zu 5 % nach sich ziehen.
• Erfasste ausländische Organisationen fallen ebenso unter die Vorschriften wie vietnamesische Unternehmen und Einzelpersonen.
• Weitere Folgen können eine Aussetzung des Betriebs, die endgültige Löschung von Daten und die Abschöpfung unrechtmäßiger Gewinne sein.