Was ist das japanische APPI?
Das Gesetz zum Schutz personenbezogener Daten (APPI) ist Japans wichtigstes Datenschutzgesetz. Es schützt die Rechte und Interessen des Einzelnen und legt gleichzeitig Grundprinzipien und Pflichten für den ordnungsgemäßen Umgang mit personenbezogenen Daten fest.
Das APPI umfasst Bereiche wie:
- Erhebung und Nutzung personenbezogener Daten
- Datensicherheitsmanagement
- Weitergabe von Daten an Dritte
- Meldung von Datenschutzverletzungen und Datenlecks
- Datenübermittlung an Dritte und grenzüberschreitende Datenübermittlung
- Rechte der betroffenen Personen
- Löschung personenbezogener Daten
- Sanktionen bei Verstößen
Wer muss die APPI einhalten?
Gemäß Artikel 16 Absatz 2 gilt das APPI für Unternehmen, die personenbezogene Daten, eine Datenbank mit personenbezogenen Daten oder Ähnliches zu geschäftlichen Zwecken verarbeiten, vorbehaltlich der im Gesetz festgelegten Ausnahmen.
Das APPI kann unter bestimmten Umständen auch für Unternehmen mit Sitz außerhalb Japans gelten. Gemäß Artikel 171 findet das Gesetz Anwendung, wenn ein Unternehmen außerhalb Japans Waren oder Dienstleistungen an eine Person in Japan liefert und bestimmte personenbezogene Daten im Ausland verarbeitet. Die Novelle von 2026 verstärkt die Aufsicht der PPC über ausländische Unternehmen, indem diese bestimmten Meldepflichten und Anordnungen unterworfen werden.
Das APPI enthält zudem gesonderte Bestimmungen für Verwaltungsstellen, darunter nationale und lokale Regierungsorganisationen sowie bestimmte Verwaltungsbehörden.
Daher müssen Organisationen, die in Japan personenbezogene Daten verarbeiten, die für ihre Tätigkeiten geltenden Anforderungen des APPI kennen.
Welche Informationen schützt das APPI?
Das APPI definiert mehrere Kategorien von Informationen, darunter personenbezogene Daten, sensible personenbezogene Daten, pseudonymisierte personenbezogene Daten und anonymisierte personenbezogene Daten, sei es direkt (Name, Identifikationsnummer) oder in Kombination mit anderen Daten.
- Personenbezogene Daten: Gemäß Artikel 2 Absatz 1 sind personenbezogene Daten Informationen über eine lebende Person, anhand derer eine bestimmte Person identifiziert werden kann. Dazu gehören auch Informationen, die eine Person identifizieren können, wenn sie einfach mit anderen Informationen abgeglichen werden können, sowie Informationen, die einen individuellen Identifikationscode enthalten. Beispiele hierfür sind Namen, Geburtsdaten, Identifikationscodes und andere Informationen, anhand derer eine Person identifiziert werden kann.
- Sensible personenbezogene Daten: Artikel 2 Absatz 3 definiert sensible personenbezogene Daten als personenbezogene Daten, die sich auf Aspekte wie Rasse, Glaubensbekenntnis, sozialen Status, Krankengeschichte, Vorstrafen oder das Erleiden eines Schadens durch eine Straftat beziehen. Unternehmen benötigen in der Regel die vorherige Einwilligung der betroffenen Person, um sensible personenbezogene Daten zu erheben, vorbehaltlich der Ausnahmen gemäß Artikel 20.
- Pseudonymisierte und anonymisierte personenbezogene Daten: Pseudonymisierte personenbezogene Daten werden so verarbeitet, dass eine Person nur identifiziert werden kann, wenn sie mit anderen Informationen abgeglichen werden. Anonymisierte personenbezogene Daten werden so verarbeitet, dass eine Person nicht identifiziert werden kann und die ursprünglichen personenbezogenen Daten nicht wiederhergestellt werden können. Das APPI legt spezifische Anforderungen für den Umgang mit beiden Kategorien fest.
Was sind die wichtigsten Anforderungen zur Einhaltung des APPI?
Unternehmen, die personenbezogene Daten verarbeiten, müssen wie bei jedem anderen Datenschutzgesetz mehrere Anforderungen des APPI erfüllen.
- Festlegung und Beschränkung des Verwendungszwecks: Gemäß Artikel 17 müssen Unternehmen den Verwendungszweck personenbezogener Daten so genau wie möglich festlegen. Artikel 18 schreibt vor, dass Unternehmen personenbezogene Daten ohne Einwilligung nicht über den zur Erreichung des festgelegten Zwecks erforderlichen Umfang hinaus verarbeiten dürfen, vorbehaltlich bestimmter Ausnahmen. Artikel 19 schreibt darüber hinaus vor, dass das Unternehmen die Daten nicht in einer Weise nutzen darf, die eine rechtswidrige oder ungerechtfertigte Handlung begünstigen oder dazu verleiten könnte.
- Ordnungsgemäße Erhebung und Benachrichtigung: Gemäß Artikel 20 dürfen Unternehmen personenbezogene Daten nicht durch Täuschung oder andere unrechtmäßige Mittel erheben. Bei der Erhebung sensibler personenbezogener Daten gelten zusätzliche Anforderungen. Unternehmen müssen die betroffenen Personen außerdem gemäß Artikel 21 über den Verwendungszweck informieren oder diesen öffentlich bekanntgeben.
- Gewährleistung der Richtigkeit der Daten: Artikel 22 verpflichtet Unternehmen, sich zu bemühen, personenbezogene Daten im für die Nutzung erforderlichen Umfang korrekt und aktuell zu halten. Er sieht außerdem vor, dass personenbezogene Daten unverzüglich gelöscht werden müssen, wenn das Unternehmen sie nicht mehr benötigt.
- Gewährleistung der Sicherheit personenbezogener Daten: Gemäß Artikel 23 müssen Unternehmen die erforderlichen und angemessenen Maßnahmen ergreifen, um die Sicherheit personenbezogener Daten zu gewährleisten, einschließlich der Verhinderung von Datenlecks, Verlust oder Beschädigung.
Unternehmen müssen zudem Mitarbeiter, die personenbezogene Daten verarbeiten, sowie Organisationen, denen die Verarbeitung personenbezogener Daten gemäß den Artikeln 24 und 25 anvertraut wurde, angemessen beaufsichtigen.
- Meldung von Datenlecks: Gemäß Artikel 26 müssen Unternehmen bestimmte Datenlecks, Verluste, Beschädigungen und andere Sicherheitsvorfälle melden, die gemäß den Vorschriften der PPC als geeignet angesehen werden, die Rechte und Interessen von Personen zu beeinträchtigen. Der Artikel legt zudem Benachrichtigungspflichten gegenüber den betroffenen Personen fest, vorbehaltlich bestimmter Ausnahmen.
- Beschränkungen bei der Weitergabe an Dritte und bei grenzüberschreitenden Übermittlungen: Artikel 27 verpflichtet Unternehmen grundsätzlich dazu, vor der Weitergabe personenbezogener Daten an Dritte die Einwilligung der betroffenen Person einzuholen, vorbehaltlich bestimmter Ausnahmen.
Zusätzliche Anforderungen gelten bei der Übermittlung personenbezogener Daten an Dritte in einem „ “ (Land, in dem der Schutz personenbezogener Daten nicht angemessen ist). Gemäß Artikel 28 müssen Unternehmen unter Umständen die Einwilligung einholen und Informationen über das Datenschutzsystem des Ziellandes sowie über die Datenschutzmaßnahmen des Empfängers bereitstellen.
Welche Rechte haben betroffene Personen gemäß dem APPI?
Das APPI gewährt Einzelpersonen verschiedene Rechte in Bezug auf personenbezogene Daten, die von Unternehmen gespeichert werden.
- Artikel 32 verpflichtet Unternehmen, den betroffenen Personen folgende Informationen über die von ihnen gespeicherten personenbezogenen Daten zugänglich zu machen: den Namen und die Anschrift des Unternehmens, den Verwendungszweck der personenbezogenen Daten sowie die Verfahren zur Bearbeitung bestimmter Anträge.
- Gemäß Artikel 33 kann eine identifizierbare Person die Offenlegung der von einem Unternehmen gespeicherten personenbezogenen Daten verlangen, anhand derer diese Person identifiziert werden kann. Sobald ein Unternehmen einen solchen Antrag erhält, ist es verpflichtet, diesem unverzüglich nachzukommen.
- Artikel 34 räumt einer Person das Recht ein, die Berichtigung, Ergänzung oder Löschung zu verlangen, wenn die von einem Unternehmen gespeicherten personenbezogenen Daten nicht der Wahrheit entsprechen.
- Gemäß Artikel 35 können betroffene Personen in bestimmten Situationen verlangen, dass ein Unternehmen die Nutzung ihrer personenbezogenen Daten einstellt oder diese löscht. Dazu gehören Fälle, in denen die Daten über den zulässigen Zweck hinaus verarbeitet, unsachgemäß verwendet, unrechtmäßig erhoben wurden, für das Unternehmen nicht mehr erforderlich sind oder von bestimmten Datenschutzverletzungen betroffen sind. Betroffene Personen können außerdem verlangen, dass ein Unternehmen die Weitergabe ihrer personenbezogenen Daten an Dritte einstellt, wenn die Weitergabe nicht den Anforderungen des APPI entspricht oder wenn die fortgesetzte Verarbeitung der Daten ihre Rechte und Interessen beeinträchtigen dürfte. Die Novelle von 2026 erweitert dieses Recht und deckt weitere Umstände ab.
Was bedeutet die APPI-Novelle von 2026 für Unternehmen?
Japan hat eine weitere Novelle des Gesetzes zum Schutz personenbezogener Daten (APPI) verabschiedet. Der Nationalrat hat die Novelle am 10. Juli 2026 verabschiedet, und sie wurde am 17. Juli 2026 als Gesetz Nr. 56 von 2026 verkündet. Die Reform führt neue Vorschriften ein oder erweitert bestehende Regelungen in Bezug auf die unrechtmäßige Erhebung und Nutzung personenbezogener Daten, Daten von Minderjährigen und biometrische Daten, bestimmte Verpflichtungen bei grenzüberschreitenden Datenverarbeitungen und bei Betreibern mit Sitz im Ausland, die Benachrichtigung und Rechte von betroffenen Personen sowie die Durchsetzungsbefugnisse der Datenschutzbehörde (PPC). Außerdem werden administrative Geldbußen für bestimmte schwerwiegende Verstöße festgelegt und begrenzte Ausnahmen von der Einwilligungspflicht für bestimmte statistische und KI-bezogene Verarbeitungen geschaffen. Darüber hinaus werden mehrere strafrechtliche Sanktionen verschärft, darunter die Strafen gemäß den Artikeln 176, 179 und 180.
Die meisten Bestimmungen sind noch nicht in Kraft und treten zu den durch Kabinettsbeschluss festgelegten Zeitpunkten in Kraft, während bestimmte Strafbestimmungen voraussichtlich früher in Kraft treten werden.
Welche Strafen sieht das APPI vor?
Das APPI legt strafrechtliche Sanktionen in Kapitel VIII, Strafbestimmungen (Artikel 176–185), fest. Die anzuwendende Strafe hängt von der Straftat und dem Status des Täters ab.
| Artikel |
Straftat |
Freiheitsstrafe |
Geldstrafe |
| 176 |
Unrechtmäßige Weitergabe von personenbezogenen Daten, die vertrauliche Informationen enthalten, durch einen Regierungsangestellten |
Bis zu 2 Jahre |
Bis zu 1 Million JPY |
| 179 |
Unzulässige Weitergabe oder Aneignung einer Datenbank mit personenbezogenen Daten usw. durch einen Betreiber eines Unternehmens, das personenbezogene Daten verarbeitet, zum Zwecke eines rechtswidrigen Vorteils |
Bis zu 1 Jahr |
Bis zu 500.000 JPY |
| 180 |
Unzulässige Weitergabe oder Aneignung gespeicherter personenbezogener Daten durch einen Beamten zum Zwecke eines unzulässigen Vorteils |
Bis zu 1 Jahr |
Bis zu 500.000 JPY |
| 181 |
Amtsmissbrauch durch einen Beamten zum Zwecke der Beschaffung von Dokumenten, die vertrauliche personenbezogene Daten enthalten |
Bis zu 1 Jahr |
Bis zu 500.000 JPY |
| 184 |
Unternehmenshaftung für bestimmte Verstöße, die von einem Angestellten oder einem anderen Mitarbeiter im Zusammenhang mit der Geschäftstätigkeit des Unternehmens begangen werden |
— |
Bis zu 100 Millionen JPY |
Hinweis: Mit der Änderung des APPI vom Juli 2026 werden mehrere strafrechtliche Sanktionen verschärft, wobei die Höchststrafe auf 1,5 Millionen JPY und die maximale Freiheitsstrafe auf 3 Jahre angehoben werden. Diese geänderten Sanktionen wurden bereits verabschiedet, sind jedoch noch nicht in Kraft getreten.
Wie die Datenlöschung die Einhaltung des APPI unterstützt
Die sichere Datenlöschung ist für die APPI-Anforderungen hinsichtlich der Löschung und Sicherheit personenbezogener Daten von Bedeutung.
Gemäß Artikel 22 müssen Unternehmen bestrebt sein, personenbezogene Daten unverzüglich zu löschen, sobald sie für den Verwendungszweck nicht mehr erforderlich sind. Artikel 23 schreibt zudem angemessene Sicherheitsmaßnahmen vor, um Datenlecks, Verlust oder Beschädigung zu verhindern.
Die sichere Datenlöschung kann Unternehmen dabei helfen, personenbezogene Daten dauerhaft von Festplatten (HDDs), SSDs, NVMe-Laufwerken und anderen Speichergeräten zu entfernen, wenn die Daten nicht mehr benötigt werden.
Die sichere Datenlöschung sollte jedoch nicht mit der Anonymisierung im Sinne des APPI verwechselt werden. Anonymisierte personenbezogene Daten müssen die in Artikel 43 festgelegten spezifischen Verarbeitungsanforderungen erfüllen, darunter die Unmöglichkeit, die betroffene Person zu identifizieren und die ursprünglichen Informationen wiederherzustellen.
Eine professionelle Datenlöschsoftware wie BitRaser kann Unternehmen dabei helfen, Daten sicher von Speichermedien zu löschen und Löschberichte sowie Zertifikate als Nachweise für den Entsorgungsprozess zu führen – in Übereinstimmung mit dem japanischen APPI.
