Yang Xiong, Manager der Risiko- und Aufsichtsgeschäftsleitung von PwC China: Die Compliance von Daten und neuen Technologien ist zur "Überlebensfrage" geworden | Auslands-Ausstiegskonferenz 2025

Am 25. Juli wird die Auslandsgründungskonferenz 2025 „Von der „Handwerkskunst“ zur „Welt““, die unter der Leitung des Handelsministeriums der Provinz Zhejiang, des Sekretariats des chinesischen Kooperationszentrums für Sonderwirtschaftszonen der BRICS-Staaten, des Handelsbüros der Stadt Hangzhou und des Handelsbüros des Distrikts Qiantang von 36Kr und dem Qiantang Construction Group gemeinsam organisiert wird, im Grand Mercure Hangzhou Qiantang feierlich eröffnet werden. Als eine von 36Kr neu geschaffene IP-Veranstaltung, die sich auf die Globalisierung und den Auslandsgründungsektor konzentriert, wird die Konferenz einen Hauptsaal und einen Nebenraum – die Branchenkooperationsvermittlung „Investition in die BRICS-Staaten“ – einrichten. Der Hauptsaal der Konferenz wird in zwei Kapitel unterteilt: „Sicherheit in Unsicherheit“ und „Geschäfte auf der ganzen Welt machen“. Es wird sich auf die beliebten Auslandsgründungsbereiche wie Konsum, Technologie, E-Commerce, Finanzen und neue Energie konzentrieren, darunter mehr als 10 thematische Vorträge, 5 Roundtable-Diskussionen und die Veröffentlichung der East Forward 2025 Auslandsgründungs-Globalisierungs-Innovationsliste. Es wird die sichere Logik des kooperativen Wachstums von „Produkt - Technologie - Ökosystem“ entschlüsseln und für Unternehmen einen nachvollziehbaren Globalisierungsentwicklungsweg bieten, um den Nebel der Globalisierung zu durchdringen und die nachhaltige Fähigkeit zur Auslandsgründung aufzubauen.

An diesem Tag wird Yang Xiong, Geschäftsführer für Risiko- und Aufsichtsgeschäfte von PwC China, einen thematischen Vortrag mit dem Titel „Hochrisikobereiche für chinesische Unternehmen bei der Auslandsgründung und einheitlicher Compliance-Betrieb im Ausland“ halten.

Im Folgenden finden Sie den Inhalt von Yang Xiongs Vortrag, der von 36Kr zusammengefasst und bearbeitet wurde:

Sehr geehrte Gäste, guten Nachmittag! Wenn man an PwC denkt, denkt man vielleicht zuerst an die Steuer- und Finanzdienstleistungen. Aber eigentlich ist unser Beratungsgeschäft ebenfalls sehr breit gefächert. Das Risiko- und Aufsichtsteam, in dem ich arbeite, ist ein wichtiger Bestandteil davon.

In den letzten Jahren war unser Kerngeschäft die Unterstützung ausländischer Unternehmen bei ihrer Markteintrittsstrategie in China und der Bewältigung der lokalen regulatorischen Herausforderungen. Nach der Pandemie haben immer mehr chinesische Unternehmen von der „Eingliederung“ zur „Aufstieg“ übergegangen – sie erweitern ihren Einfluss im Ausland, erhöhen ihre Investitionen und ihre Lokalisierungsbemühungen. Dies hat auch unseren Arbeitsfokus auf die „Unterstützung chinesischer Unternehmen bei ihrer Auslandsgründung“ verschoben. Gegenwärtig sind 80 % - 90 % unserer Kunden Unternehmen, die Produkte wie Trendspielzeug, Teegetränke, intelligente Fertigung und Elektromobile ins Ausland bringen. Wir haben tief in die Compliance- und Risikoherausforderungen eingedrungen, denen diese Unternehmen bei der Globalisierung gegenüberstehen.

Heute möchte ich mich auf die Compliance-Risiken von Daten und neuen Technologien konzentrieren und anhand von praktischen Beispielen diskutieren, wie Unternehmen diese Herausforderungen bei der Auslandsgründung bewältigen können.

I. Globale Verschärfung der Regulierungen: Daten und neue Technologien werden zur „ersten Hürde“ bei der Auslandsgründung

Nach Inkrafttreten der EU-Datenschutzgrundverordnung (DSGVO) im Jahr 2018 haben mehr als 80 % der Länder auf der Welt Gesetze zur Datenschutz- und -sicherheit erlassen. China hat das „Gesetz zum Schutz personenbezogener Daten“ und das „Gesetz zur Datensicherheit“ verabschiedet. Auch die Vereinigten Staaten, Brasilien und die Länder Südostasiens haben jeweils eigene regulatorische Anforderungen. Hinter dieser „Welle der globalen Gesetzgebung“ steckt die Übereinstimmung der Länder über den strategischen Wert von Daten: Daten sind nicht nur der Kern der technologischen Innovation, sondern auch eine wichtige Stütze für die nationale Entwicklung und das Wohlergehen der Bevölkerung.

Für Unternehmen bedeutet dies, dass sie bei der Auslandsgründung eine zentrale Frage beantworten müssen: Können Daten bei der Betriebstätigkeit in mehreren Ländern frei fließen? Beispielsweise kann das chinesische Hauptquartier die Betriebsdaten, Benutzerinformationen und Produktionsdaten der ausländischen Tochtergesellschaften sammeln? Die Antwort hängt von den lokalen Gesetzen ab:

Die EU hat strenge „Adequatheitsfeststellungen“ für den „Datenexport“ festgelegt. Nicht-EEA-Länder oder Länder, die nicht auf der Weißen Liste stehen, müssen eine grenzüberschreitende Datenrisikoanalyse durchlaufen, bevor sie Daten empfangen können.

Die im April dieses Jahres von den Vereinigten Staaten herausgegebene Exekutivanordnung hat erstmals Beschränkungen für den Datenaustausch bestimmter Länder und bestimmter Datentypen festgelegt. Verstöße können mit Strafverfolgung (einschließlich Gefängnisstrafe) geahndet werden.

In Südostasien und Südamerika werden die Datenschutzgesetze ständig verbessert, und es werden auch detaillierte Anforderungen an die Anwendung neuer Technologien wie Künstliche Intelligenz (KI) herausgegeben.

Diese „regionalen Unterschiede“ erfordern, dass Unternehmen je nach Rechtsordnung und politischen Gegebenheiten der verschiedenen Märkte differenzierte Compliance-Strategien entwickeln. Andernfalls kann die fehlende Rückübertragung von Daten die globale Geschäftskoordination durch das Hauptquartier beeinträchtigen, und die ungesetzliche Datenübertragung kann zu enormen Geldstrafen oder sogar zum Geschäftsstopp führen.

II. Regulierung neuer Technologien: „Compliance-Minenfelder“ von Künstlicher Intelligenz bis hin zu alltäglichen Anwendungen

Neben den Daten sind die regulatorischen Unterschiede bei neuen Technologien noch beängstigender. China hat strenge Anforderungen an die KI, wie die Algorithmusmeldung und die Meldung von großen Modellen. Die regulatorischen Ansätze anderer Länder variieren jedoch: Es gibt sowohl die „Gesamtkategorien-Regulierung“, die sowohl generative als auch nicht-generative KI umfasst, als auch die „präzise Kontrolle“ für spezifische Technologien wie OCR und Gesichtserkennung.

Ein konkretes Beispiel: Kann die gängige Fingerabdruck- und Gesichtserkennungsmethoden zur Arbeitszeitkontrolle in China direkt in ausländische Fabriken übertragen werden? Die Antwort lautet: „Es hängt vom Land ab.“

Die EU-KI-Gesetzgebung hat die Gesichtserkennung als „hochrisikotechnologie“ eingestuft und erfordert, dass Unternehmen die „Notwendigkeit“ und „Sicherheit“ dieser Technologie nachweisen müssen.

Einige US-Bundesstaaten (z. B. Illinois) haben besondere Genehmigungsanforderungen für die Erhebung biometrischer Daten. Verstöße können zu Kollektivklagen führen.

Brasilien hat ein KI-Gesetz vorgelegt, das auf den Schutz der Bürgerrechte, die Förderung der technologischen Innovation und die Sicherstellung der sicheren Nutzung von KI abzielt. Dieses Gesetz wurde kürzlich vom Senat genehmigt.

Es ist ersichtlich, dass die Regulierung neuer Technologien in entwickelten wie auch in aufstrebenden Märkten die „erste Hürde“ für Unternehmen bei ihrem Markteintritt darstellen kann.

III. Der US-Markt: Neue Regeln für den Datenfluss unter geopolitischen Umständen

Als wichtiges Zielgebiet für chinesische Unternehmen bei ihrer Auslandsgründung verdienen die jüngsten regulatorischen Veränderungen in Nordamerika besondere Beachtung. Unter der neuen Exekutivanordnung der Biden-Regierung haben die Vereinigten Staaten von einem „freien Datenfluss“ zu einer „selektiven Einschränkung“ übergegangen – sie haben Hindernisse für die grenzüberschreitende Übertragung bestimmter Datentypen (wie sensible personenbezogene Daten und technologische Forschungsdaten) von bestimmten Ländern errichtet.

Dies hat die größten Auswirkungen auf drei Unternehmensgruppen:

E-Commerce-Plattformen: Die Speicherung und grenzüberschreitende Nutzung von Benutzerdaten müssen den Anforderungen der „Datenlokalität“ entsprechen.

Hersteller vernetzter Geräte: Die Betriebsdaten, die von diesen Geräten generiert werden, können als „sensible Informationen“ eingestuft werden, und der Export erfordert eine Genehmigung.

Technologie-Dienstleister: Bei der technologischen Zusammenarbeit mit US-Unternehmen kann der Datenaustausch eine nationale Sicherheitsüberprüfung auslösen.

Was noch gravierender ist, kann die Strafe für Verstöße nicht nur Geldstrafen, sondern auch Strafverfolgung beinhalten. Deshalb verstärken jetzt nicht nur US-Unternehmen, sondern auch führende chinesische Unternehmen die Untersuchung der US-Datenregulierungen – die Geopolitik ist ein nicht zu vernachlässigender Faktor bei der Datencompliance.

IV. Strategien zur Bewältigung: Ein „ganzheitlicher Lösungsansatz“ von der Datenanalyse bis zur globalen Kontrolle

Auf der Grundlage unserer Erfahrungen bei der Beratung zahlreicher chinesischer Unternehmen haben wir eine „ganzheitliche Compliance-Methodik“ entwickelt, deren Kern aus vier Dimensionen besteht:

Umfassende Datenanalyse

Die Voraussetzung für die Compliance ist die Klarstellung, welche Daten vorhanden sind: Mitarbeiterinformationen, Lieferanteninformationen, Verkaufsdaten, Benutzerprivatsphäre usw. müssen alle in die Analyse einbezogen werden. Gleichzeitig ist es von grundlegender Bedeutung, dass die Daten tragenden Systeme (z. B. ERP, CRM) und die zugrunde liegende Infrastruktur (Server, Cloud-Dienste) den lokalen Anforderungen entsprechen.

Phasen- und szenariobasierte Vorgehensweise

Unternehmen betreiben oft gleichzeitig Geschäfte in mehreren ausländischen Märkten und können nicht alle Probleme auf einmal lösen. Es ist notwendig, die Geschäftsmodelle (Niederlassungen, Handelsgesellschaften, Fabriken) und die lokale regulatorische Intensität zu berücksichtigen und differenziert vorzugehen:

In Märkten mit strengen Regulierungen (z. B. EU, USA) sollte man sich zunächst um die lokale Speicherung von Kerninformationen und die Genehmigung für den Datenexport kümmern.

In aufstrebenden Märkten (z. B. Südostasien) sollte man sich besonders auf die Notfallreaktionsmechanismen bei Datenlecks konzentrieren (z. B. Meldepflicht innerhalb von 24/72 Stunden).

Anpassung der Infrastruktur und des Technologiestapels

Die Planung der Rechenzentren muss ein Gleichgewicht zwischen „regulatorischen Anforderungen, geschäftlichen Bedürfnissen und geopolitischen Risiken“ herstellen:

Aufgrund der strengeren US-Politik wird die Datenrückübertragung schwieriger. Es ist daher erforderlich, unabhängige Rechenzentren vor Ort zu errichten.

Die EU fordert „Datenhoheit“. Es wird empfohlen, ein regionales Datenaggregationsmodell zu verwenden (z. B. ein europäisches Rechenzentrum, das alle europäischen Geschäfte bedient).

Auch die Wahl des Technologiestapels muss lokal angepasst werden – einige Länder haben Beschränkungen für chinesische Technologien (z. B. bestimmte Cloud-Dienste, Algorithmenmodelle), und es ist notwendig, alternative Lösungen im Voraus zu evaluieren.

Einrichtung eines globalen Datenfreigabe- und -kontrollsystems

Der Datenaustausch mit Dritten (Lieferanten, Partnern) ist ein Bereich mit hohem Risiko und erfordert die folgenden drei Maßnahmen zur Risikominimierung:

Unterzeichnung standardisierter Datenverarbeitungsvereinbarungen, in denen die Rechte und Pflichten sowie die Haftungsbedingungen bei Datenlecks festgelegt sind.

Einrichtung eines Systems zur Datenverschlüsselung und Zugangsberechtigungsverwaltung, um das interne Risiko von Datenlecks zu verringern.

Entwicklung eines Notfallplans, um sicherzustellen, dass im Falle eines Datenlecks die Meldung an die Behörden innerhalb der gesetzlichen Frist erfolgt.

V. PwC's globales Unterstützungsnetzwerk

Um chinesischen Unternehmen bei ihrer Auslandsgründung besser zu dienen, haben wir in 50 Ländern auf der Welt „Servicezentren für chinesische Geschäfte“ eingerichtet und chinesische Experten vor Ort stationiert. Egal, ob es sich um entwickelte Märkte wie Nordamerika und Europa oder um aufstrebende Märkte wie Afrika und Südamerika handelt, die lokalen Teams können „sprachlich barrierefrei und kosteneffizient“ tätig werden, um Unternehmen bei der Ressourcenbeschaffung und der Bewältigung unerwarteter Compliance-Probleme zu unterstützen.

Von der Risikoanalyse und dem Aufbau eines Compliance-Systems vor der Auslandsgründung über die Echtzeit-Überwachung während der Expansion bis hin zur Konfliktlösung nach der Expansion können wir einen umfassenden Service anbieten. Wenn Sie konkrete Anforderungen haben, sind Sie herzlich eingeladen, sich nach der Veranstaltung mit uns zu unterhalten.

Abschließend möchte ich betonen: In einer Zeit, in der die Globalisierung in die „Tiefen“ vordringt, ist die Compliance von Daten und neuen Technologien nicht länger eine „Option“, sondern eine „Existenzfrage“. Nur wenn Unternehmen ein systematisches Risikobewusstsein entwickeln und die Fähigkeit zur Risikobewältigung aufbauen, können sie im ausländischen Markt langfristig erfolgreich sein.

Vielen Dank!