Seit der aufeinanderfolgenden Umsetzung des Datenschutzgesetzes und des Gesetzes zum Schutz persönlicher Informationen im Jahr 2021 haben die Compliance-Anforderungen an die Unternehmensdateiverarbeitung erheblich zugenommen. Ein Vertrag, ein Finanzbericht, eine Kundenliste — jedes kann bei Übertragung, Speicherung und Komprimierung rechtliche Grenzen überschreiten. Dieser Artikel beginnt bei den gesetzlichen Anforderungen und umreißt systematisch die Compliance-Risiken und Maßnahmen bei der Unternehmensdateiverarbeitung.
Dieser Artikel ist eine Erweiterung des Compliance-Abschnitts im Vollständigen Leitfaden zur Dateikomprimierung. Wir empfehlen, beide zusammen zu lesen, um ein umfassendes Verständnis der technischen und Compliance-Dimensionen der Dateiverarbeitung zu erhalten.
1. Kernanforderungen des Datenschutzgesetzes
Das Datenschutzgesetz der Volksrepublik China trat am 1. September 2021 in Kraft und etablierte den Grundrahmen für den Datenschutz. Für die Unternehmensdateiverarbeitung konzentrieren sich die Kernanforderungen auf zwei Bereiche:
1.1 Datenklassifizierung und -einstufung
Das Datenschutzgesetz fordert die Einrichtung eines Datenklassifizierungs- und -einstufungsschutzsystems auf nationaler Ebene, und Unternehmen müssen ihre eigenen Daten entsprechend klassifizieren und einstufen. Als wichtiger Datenträger müssen Dateien basierend auf ihrer Wichtigkeit und der Schwere des Schadens bei einem Leck in verschiedene Stufen eingeteilt werden. Beispielsweise sollten öffentliche Informationen, interne Informationen, sensible Informationen und kernklassifizierte Informationen unterschiedlichen Schutzmaßnahmen unterliegen.
Im Hinblick auf die Dateiverarbeitung bedeutet dies: Dateien unterschiedlicher Klassifizierungsstufen sollten unterschiedliche Sicherheitsstufen der Verarbeitung verwenden. Klassifizierte Dateien dürfen nicht in öffentliche Internet-Tools hochgeladen werden, und Dateien mit sensiblen Informationen sollten vor der Zirkulation desensibilisiert oder verschlüsselt werden. Der erste Schritt für Unternehmen ist die Erstellung eines Datei-Klassifizierungs- und Einstufungsregisters, das klar angibt, welche Dateien online und welche lokal verarbeitet werden müssen.
1.2 Sichere Verarbeitung
Das Datenschutzgesetz fordert, dass Datenverarbeitungsaktivitäten den gesetzlichen und regulatorischen Anforderungen entsprechen und umfassende Datenschutzmanagementsysteme eingerichtet werden. Die Dateiverarbeitung (Erstellung, Bearbeitung, Komprimierung, Konvertierung, Übertragung, Vernichtung) fällt unter Datenverarbeitungsaktivitäten und muss in das Compliance-Management einbezogen werden.
Unternehmen müssen sicherstellen, dass Dateiverarbeitungstools selbst keine Datenlecks verursachen — beispielsweise werden bei der Verwendung von Online-Komprimierungstools Dateien auf Drittanbieter-Server hochgeladen, was einen Datenexport oder unbefugte Datenfreigabe darstellen kann. Bei der Auswahl von Verarbeitungstools muss „ob der Datenfluss kontrollierbar ist" der primäre Bewertungsfaktor sein.
2. Auswirkungen des Gesetzes zum Schutz persönlicher Informationen auf die Dateiverarbeitung
Das Gesetz zum Schutz persönlicher Informationen trat am 1. November 2021 in Kraft und stellt klare Anforderungen an die Erhebung, Speicherung, Verwendung, Übertragung und Löschung persönlicher Informationen. Viele Dateien, die Unternehmen täglich verarbeiten, enthalten persönliche Informationen: Mitarbeiterlebensläufe enthalten Ausweisnummern, Kundenverträge enthalten Kontaktinformationen und Finanzberichte enthalten Bankkontonummern.
Die Hauptauswirkungen dieses Gesetzes auf die Dateiverarbeitung umfassen:
- Grundsatz der minimalen Notwendigkeit: Die Verarbeitung persönlicher Informationen sollte auf das minimum Maß beschränkt sein, das zur Erreichung des Verarbeitungszwecks erforderlich ist, ohne übermäßige Erhebung.
- Mitteilung und Zustimmung: Die Erhebung und Verwendung persönlicher Informationen erfordert die Information der betroffenen Person und die Einholung der Zustimmung. In Dateien enthaltene persönliche Informationen müssen ebenfalls diesem Grundsatz folgen.
- Beschränkungen der grenzüberschreitenden Übertragung: Die Bereitstellung persönlicher Informationen im Ausland erfordert die Erfüllung gesetzlicher Bedingungen wie Sicherheitsbewertung, Zertifizierung oder Unterzeichnung Standardverträge.
- Löschpflicht: Persönliche Informationen sollten nach Erreichung des Verarbeitungszwecks proaktiv gelöscht werden. Die Dateiarchivierung muss auch diese Anforderung berücksichtigen.
In der Praxis ist die am leichtesten übersehene Compliance-Lücke für Unternehmen: das Hochladen von Dateien mit persönlichen Informationen zu Online-Tools, die von ausländischen Servern bereitgestellt werden, zur Verarbeitung. Eine scheinbar gewöhnliche „Online-Komprimierung"-Operation kann bereits einen personenbezogenen Datenexport dargestellt haben und gesetzliche Meldepflichten ausgelöst haben.
3. Drei Compliance-Risiken bei der Unternehmensdateiverarbeitung
3.1 Datenexport-Risiko
Bei der Verwendung ausländischer Online-Dateiverarbeitungstools werden Dateidaten an ausländische Server übertragen, was einen Datenexport darstellt. Nach dem Datenschutzgesetz und dem Gesetz zum Schutz persönlicher Informationen erfordert der Export wichtiger Daten das Bestehen einer Sicherheitsbewertung, und der Export persönlicher Informationen muss gesetzliche Bedingungen erfüllen. Viele Unternehmensmitarbeiter verwenden gewohnheitsmäßig ausländische Online-PDF-Tools zur Verarbeitung von Verträgen, Berichten und anderen Dateien, ohne zu wissen, dass diese Operationen möglicherweise Datenexport-Compliance-Pflichten ausgelöst haben, die das Unternehmen nicht durch die entsprechenden Meldeverfahren erfüllt hat.
Empfehlung: Für Dateien mit wichtigen Daten oder persönlichen Informationen lokale Verarbeitungstools verwenden, um den Datenexport an der Quelle zu eliminieren.
3.2 Risiko der Verarbeitung durch Dritte
Online-Dateiverarbeitungstools laden Dateien typischerweise auf Drittanbieter-Server hoch. Selbst wenn der Diensteanbieter sofortige Löschung nach der Verarbeitung verspricht, stehen Unternehmen dennoch folgenden Risiken gegenüber: Datenleck des Diensteanbieters führt zur Dateiexposition, der Diensteanbieter behält Kopien für andere Zwecke, und gesetzliche Zwangsdatenerfassung in der Gerichtsbarkeit des Diensteanbieters. Für sensible Dateien wie Verträge, Finanzdaten und Kundeninformationen bedeutet die Übergabe an unkontrollierbare Dritte zur Verarbeitung inhärent eine Erweiterung der Angriffsfläche für Datenlecks.
3.3 Protokollaufbewahrungsrisiko
Das Datenschutzgesetz fordert, dass Datenverarbeiter Datenverarbeitungsprotokolle mindestens sechs Monate aufbewahren. Die Dateiverarbeitung ist ein wichtiger Teil der Datenverarbeitung, und Unternehmen müssen aufzeichnen, „wer wann welche Datei verarbeitet hat". Wenn Mitarbeiter persönliche Online-Tools zur Verarbeitung von Unternehmensdateien verwenden, liegen diese Operationen oft außerhalb des Protokollbereichs des Unternehmens und schaffen Compliance-Blindspots, die im Falle eines Datenleck-Vorfalls eine Rückverfolgung unmöglich machen.
4. Compliance-Unterschiede: lokale vs. Online-Komprimierung
Aus Compliance-Sicht gibt es grundlegende Unterschiede zwischen lokaler und Online-Komprimierung:
| Dimension | Lokale Komprimierung | Online-Komprimierung |
|---|---|---|
| Datenstandort | Bleibt durchgehend auf dem lokalen Gerät | Auf Drittanbieter-Server hochgeladen |
| Datenexport | Nicht involviert | Kann Datenexport darstellen |
| Drittanbieter-Risiko | Keines | Leck- und Aufbewahrungsrisiken |
| Protokollkontrollierbarkeit | Unternehmen kann Verarbeitungsaktivitäten aufzeichnen | Operationen außerhalb des Unternehmensprotokollbereichs |
| Netzwerkabhängigkeit | Kein Netzwerk erforderlich | Muss verbunden sein |
| Compliance-Eignung | Geeignet für alle Arten sensibler Dateien | Nur geeignet für öffentliche Informationen |
SmartSlim verwendet einen rein lokalen Komprimierungsmodus, bei dem Dateien vollständig auf dem Gerät des Benutzers verarbeitet werden, keine Daten hochlädt und kein Netzwerk benötigt, und somit natürlich den Anforderungen des Datenschutzgesetzes und des Gesetzes zum Schutz persönlicher Informationen an die Verarbeitung sensibler Dateien entspricht. Für Unternehmen, die Verträge, Finanzberichte, Kundendaten und andere sensible Dateien verarbeiten müssen, ist die lokale Komprimierung eine effektive Methode zur Vermeidung von Compliance-Risiken.
5. Branchenspezifische Compliance-Empfehlungen
Regierung und Staatsunternehmen
Regierungsbehörden und Staatsunternehmen verarbeiten Dateien, die oft Staatsgeheimnisse und interne sensible Informationen betreffen, mit den strengsten Compliance-Anforderungen. Empfehlungen: Alle Dateiverarbeitung sollte auf internen Netzwerken oder lokal abgeschlossen werden, wobei die Verwendung öffentlicher Internet-Online-Tools untersagt ist; klassifizierte Dateien sollten mit Tools verarbeitet werden, die eine nationale Vertraulichkeitszertifizierung bestanden haben; elektronische Dokumente sollten vorzugsweise das OFD-Format verwenden und über lokale Tools komprimiert werden. Für verwandte Inhalte siehe Unterschiede zwischen OFD und PDF und Komprimierungsmethoden.
Finanzsektor
Banken, Versicherungen und Wertpapierfirmen verarbeiten Dateien mit großen Mengen an Kundenidentitäts- und Finanzinformationen, die strenger regulatorischer Aufsicht unterliegen. Empfehlungen: Komprimierung und Konvertierung von Kundendokumenten, Kreditverträgen und ähnlichen Dateien sollten lokal erfolgen; einen Dateiverarbeitungs-Genehmigungsworkflow einrichten, der jede Verarbeitungsoperation aufzeichnet; regelmäßig die Nutzung von Dateiverarbeitungstools prüfen, um sicherzustellen, dass keine sensiblen Dateien extern übertragen werden.
Gesundheitssektor
Medizinische Einrichtungen verarbeiten Krankenakten, Untersuchungsberichte und andere Dateien, die als sensible persönliche Informationen eingestuft werden und Vorschriften wie der Verordnung über das Management medizinischer Aufzeichnungen in medizinischen Einrichtungen unterliegen. Empfehlungen: Komprimierung und Archivierung von Krankenakten-Dateien sollte innerhalb des lokalen Systems der Einrichtung abgeschlossen werden; die Übertragung elektronischer Krankenakten sollte verschlüsselte Kanäle verwenden; Patienteninformationsdateien dürfen nicht in Online-Tools von Drittanbietern hochgeladen werden, um die Auslösung von personenbezogenen Datenexport-Pflichten zu vermeiden.
6. Compliance-Checkliste zur Auswahl von Dateiverarbeitungstools
Bei der Auswahl von Dateiverarbeitungstools empfehlen wir, folgende Compliance-Punkte einzeln zu prüfen:
- Ob Daten auf Server hochgeladen werden: Lokale Verarbeitungstools priorisieren, bei denen Dateien das Gerät nicht verlassen.
- Ob die Verarbeitung Netzwerkkonnektivität erfordert: Offline-Verarbeitung ist sicherer und nicht von externen Netzwerken abhängig.
- Ob der Tool-Anbieter im Inland registriert ist: Relevant für die Datenexport-Bestimmung; ausländische Anbieter erfordern besondere Vorsicht.
- Ob Dateiverarbeitungs-Protokollaufzeichnung unterstützt wird: Zur Erfüllung der Anforderung des Datenschutzgesetzes, Protokolle mindestens sechs Monate aufzubewahren.
- Ob relevante Sicherheitszertifizierungen vorliegen: Wie z. B. Klassifizierungsschutzbewertung, ISO 27001 und andere Sicherheitsqualifikationen.
- Ob eine Datenverarbeitungsvereinbarung unterzeichnet wurde: Zur Klärung der Datenschutz-Verantwortlichkeiten und Pflichten beider Parteien.
- Ob Stapelverarbeitung und Berechtigungsmanagement unterstützt werden: Zur Erfüllung von Unternehmensmanagement- und Audit-Bedürfnissen.
Nur Tools, die die obigen Prüfungen bestehen, können in die Whitelist der Dateiverarbeitungstools des Unternehmens aufgenommen werden. Am Beispiel der Komprimierung erfüllt der lokale Komprimierungsmodus von SmartSlim die Anforderungen über Dimensionen wie Datenstandort, Netzwerkabhängigkeit und Protokollkontrollierbarkeit und eignet sich als Standard-Dateikomprimierungstool des Unternehmens.
7. Häufig gestellte Fragen (FAQ)
Wenn ein Online-Komprimierungstool sagt, dass es Dateien sofort nach der Verarbeitung löscht, besteht dann noch ein Compliance-Risiko?
Es besteht weiterhin Risiko. Selbst wenn der Diensteanbieter die Löschung verspricht, haben die Daten Ihr Gerät während der Übertragung bereits verlassen und können abgefangen, aufbewahrt oder gesetzlich zur Offenlegung gezwungen werden. Die Übertragungsstrecke selbst, das Protokollierungssystem des Diensteanbieters und Backup-Mechanismen können alle Spuren der Datei hinterlassen. Für sensible Dateien ist „das Hochladen ist selbst ein Risiko". Wir empfehlen die Verwendung lokaler Komprimierungstools.
Ist es konform, wenn Mitarbeiter online komprimierte Dateien über persönliche E-Mail versenden?
Grundsätzlich nein. Persönliche E-Mail wird nicht vom Unternehmen verwaltet, Verarbeitungsaktivitäten können nicht in Unternehmensprotokollen erfasst werden, und E-Mails können über ausländische Server geleitet werden, was Datenexport-Risiken schafft. Unternehmen sollten solches Verhalten durch Richtlinien ausdrücklich verbieten und Unternehmens-E-Mail und lokale Verarbeitungstools als Alternative bereitstellen.
Hat das Datenschutzgesetz spezifische Bestimmungen zur Dateikomprimierung?
Das Datenschutzgesetz hat keine spezifischen Bestimmungen zur Dateikomprimierung, aber die Dateikomprimierung ist eine Datenverarbeitungsaktivität, die allgemeinen Anforderungen wie Datenklassifizierung und -einstufung, sichere Verarbeitung und Protokollaufbewahrung unterliegt. Die entscheidenden Faktoren für die Compliance sind die Datenschutzstufe der verarbeiteten Dateien, ob persönliche Informationen involviert sind und ob während der Verarbeitung ein Datenexport erfolgt.
Wie erfüllen lokale Komprimierungstools die Anforderungen an die Protokollaufbewahrung?
Unternehmen können von lokalen Komprimierungstools verlangen, dass sie eine Verarbeitungsprotokoll-Funktion bereitstellen, die Verarbeitungszeit, Dateinamen, Bediener, Komprimierungsparameter und andere Informationen aufzeichnet, wobei Protokolle mindestens sechs Monate aufzubewahren sind. Professionelle Tools wie SmartSlim unterstützen die lokale Verarbeitungsprotokollaufzeichnung und können Protokolle für Sicherheits-Audits exportieren, was Unternehmen hilft, die Protokollaufbewahrungsanforderungen des Datenschutzgesetzes zu erfüllen.
Fazit
Die Umsetzung des Datenschutzgesetzes und des Gesetzes zum Schutz persönlicher Informationen hat die Unternehmensdateiverarbeitung von „was bequem ist" zu „was konform ist" verschoben. Die Kernprinzipien sind dreifach: Datenklassifizierung, lokale Priorität und rückverfolgbare Protokolle. Dateien für das Management klassifizieren und einstufen, alle sensiblen Dateien lokal verarbeiten und sicherstellen, dass alle Verarbeitungsaktivitäten aufgezeichnet und rückverfolgbar sind — die Erreichung dieser drei Punkte etabliert im Wesentlichen den Compliance-Rahmen für die Unternehmensdateiverarbeitung.
Die Wahl eines Dateikomprimierungstools, das lokale Verarbeitung unterstützt und rückverfolgbare Protokolle bietet, ist der direkteste Ansatzpunkt zur Umsetzung von Compliance-Anforderungen. Mehr zu den technischen Prinzipien und Methoden der Dateikomprimierung finden Sie im Vollständigen Leitfaden zur Dateikomprimierung.
Weiterführende Lektüre: