Was verlangt Hongkongs PDPO von Hosting-Anbietern?

Ist ein Hosting-Anbieter ein Data User oder ein Data Processor?

Es kann beides sein, für unterschiedliche Daten. Abschnitt 2 macht jeden, der die Erhebung, das Halten, die Verarbeitung oder die Nutzung personenbezogener Daten kontrolliert, zu einem "data user".

Grundsatz 2(4) definiert einen "data processor" als eine Person, die personenbezogene Daten im Auftrag eines anderen verarbeitet. Er darf die Daten nicht für eigene Zwecke verarbeiten.

Bei Dateien, die ein Kunde auf einem gemieteten Server speichert, kontrolliert der Kunde die Daten. Der Host erfüllt die Definition eines Prozessors, solange er sie nicht nutzt. Für seine eigenen Abrechnungs- und Kontounterlagen ist der Host ein data user mit dem vollständigen Satz von sechs Grundsätzen.

Was muss ein Kunde bei der Miete eines Servers in Hongkong regeln?

Zwei Vertragspunkte, beide durch die Änderung von 2012 hinzugefügt. Wenn ein data user einen Prozessor beauftragt, "whether within or outside Hong Kong", muss er vertragliche oder andere Mittel einsetzen, um:

• zu verhindern, dass Daten länger als für die Verarbeitung nötig aufbewahrt werden (Grundsatz 2(3));
• unbefugten oder versehentlichen Zugriff, unbefugte oder versehentliche Verarbeitung, Löschung, Verlust oder Nutzung zu verhindern (Grundsatz 4(2)).

Grundsatz 4(1) nennt außerdem "the physical location where the data is stored" als Sicherheitsfaktor. Die PDPO legt dem Kunden die Pflicht auf, einen Host auszuwählen und vertraglich zu binden; sie lizenziert oder registriert keine Hosts.

Schränkt die PDPO das Verbringen von Daten aus Hongkong ein?

Noch nicht. Abschnitt 33 würde Übertragungen an Orte außerhalb Hongkongs verbieten, außer in aufgeführten Fällen. Der Text auf e-Legislation, gelesen am 2. November 2026, ist dort weiterhin als "Not yet in operation" gekennzeichnet.

Die oben genannten Prozessorregeln gelten weiterhin, wenn der Prozessor im Ausland ist. Ein Kunde in Hongkong, der einen Server in Singapur oder Tokio nutzt, behält dieselben Vertragspflichten.

Muss ein Host einen Data Breach in Hongkong melden?

Die Verordnung enthält keine solche Pflicht. Eine Suche im Volltext von Cap. 486, gelesen am 2. November 2026, findet keine Vorschrift zur Meldung von Datenschutzverletzungen.

Singapur ist anders. Seine PDPA verpflichtet eine Organisation, die Aufsichtsbehörde innerhalb von drei Kalendertagen zu benachrichtigen, nachdem eine meldepflichtige Verletzung festgestellt wurde. Ein data intermediary muss seinen Kunden unverzüglich informieren. Siehe Singapurs Regeln für Hosts.

Wie lange lässt die PDPO einem Host Zeit, Logs aufzubewahren?

So lange wie nötig, und nicht länger. Grundsatz 2(2) besagt, dass alle praktikablen Schritte unternommen werden müssen, damit personenbezogene Daten "not kept longer than is necessary" für ihren Zweck aufbewahrt werden.

Die Verordnung legt keine Mindestdauer fest. Nichts in Cap. 486 verpflichtet einen Host, Verbindungs- oder Verkehrsdaten zu speichern. Hongkongs Datenschutzrecht begrenzt, wie lange Daten aufbewahrt werden; es verpflichtet niemanden, Logs zu führen.

Was sind cessation notices, und können sie einen Host erreichen?

Es sind Anordnungen, eine Doxxing-Offenlegung zu unterlassen, hinzugefügt durch die Änderung von 2021, in Kraft seit 8. Oktober 2021. Nach Abschnitt 66M kann der Privacy Commissioner eine solche zustellen an:

• eine "Hong Kong person", also jemanden, der sich in Hongkong aufhält, oder eine Körperschaft mit Niederlassung dort;
• einen "non-Hong Kong service provider", der einer Hong Kong person eine Dienstleistung erbracht hat oder erbringt.

Die geforderte "cessation action" umfasst das Entfernen der Nachricht. Ein Einspruch beim Administrative Appeals Board muss innerhalb von 14 Tagen erfolgen und setzt die Anordnung nicht aus.

Ein Verstoß gegen eine Anordnung ist eine Straftat: Geldstrafe der Stufe 5 und zwei Jahre Haft bei erster Verurteilung. Verteidigungsgründe umfassen Technologie, die nicht zumutbar verfügbar ist, und erheblichen Verlust für einen Dritten. Abschnitt 66P schützt einen Anbieter, der die Anordnung befolgt, vor zivilrechtlichen Ansprüchen.

Darf ein Host unter der PDPO Daten an die Polizei herausgeben?

Ja, in Kriminalfällen. Abschnitt 58(2) nimmt die Nutzung personenbezogener Daten zur Verhinderung oder Aufdeckung von Straftaten von Grundsatz 3 aus. Das gilt, wenn die Befolgung von Grundsatz 3 diesen Zweck wahrscheinlich beeinträchtigen würde.

Befugnisse zur nationalen Sicherheit stehen in separaten Texten, behandelt unter wie das National Security Law gehostete Webseiten betrifft.

Welche personenbezogenen Daten erhebt Copperstrait?

So wenige, wie der Betrieb eines Servers zulässt. Ohne KYC: Sie laden keinen Ausweis, kein Selfie und keine Dokumente hoch und geben keine Karten- oder Telefonnummer an.. Keine Logs: keine Verbindungs- oder Traffic-Aufzeichnungen, keine IP-Adresse von Besuchern oder Kunden und keine Notiz darüber, wie Sie die Seite gefunden haben, außer einem Empfehlungscode, falls Ihr Link einen hatte. Wir speichern nur, was für die Abrechnung und den Betrieb Ihres Servers nötig ist: die Kontonummer und eine E-Mail, falls Sie eine angeben; jede Aufladung und Bestellung (Betrag, Coin, Netzwerk, Transaktions-ID, Datum); und für jeden Server seinen Namen, Tarif, Laufzeit, Stadt, System, öffentlichen SSH-Schlüssel, IP-Adressen und Daten sowie das temporäre Root-Passwort, das wir setzen, wenn kein Schlüssel angegeben wurde und das nutzlos ist, sobald Sie es ändern. Die Netzwerkausrüstung des Rechenzentrums liegt nicht in unserer Kontrolle. Daten verlassen unsere Hände nur auf Anordnung eines panamaischen Gerichts..

In Copperstraits Umfrage unter 33 Hosts, die am 2 November 2026 Bare Metal in Asien verkaufen, verlangen 3 vor der Lieferung einen Ausweis, und 16 können ihn bei bestimmten Anlässen anfordern. Nur 6 geben an, bei der Anmeldung keinen Ausweis zu verlangen. Der Vergleich steht unter einen Server in Hongkong oder Singapur ohne Ausweis mieten.

Preise stehen unter wie viel ein Copperstrait-Server kostet. Diese Seite fasst veröffentlichtes Recht zusammen und ist keine Rechtsberatung.