Japans Act on the Protection of Personal Information (APPI) und die General Data Protection Regulation (GDPR) der Europäischen Union sind zwei bedeutende Datenschutz-Regelwerke für die Verarbeitung und den Schutz personenbezogener Daten. Japan und die EU unterhalten seit 2019 eine gegenseitige Angemessenheitsbeziehung, die internationale Datenflüsse zwischen den beiden Jurisdiktionen unterstützt. Angemessenheit bedeutet jedoch nicht, dass APPI und GDPR identisch sind. Ihre Ansätze bei rechtmäßiger Verarbeitung, Rechten der betroffenen Personen, internationalen Übermittlungen, Rechenschaftspflicht, Umgang mit Datenschutzverletzungen und Durchsetzung bleiben unterschiedlich. Japan hat zudem im Juli 2026 weitere Änderungen des APPI verabschiedet. Die meisten dieser Änderungen sollen an einem künftigen, von der Regierung festgelegten Datum innerhalb von zwei Jahren nach der Verkündung in Kraft treten, während begleitende Vorschriften und Leitlinien weiter ausgearbeitet werden. Unternehmen, die in Japan und der EU tätig sind, sollten daher sowohl die bestehenden Anforderungen als auch die bevorstehenden APPI-Änderungen im Blick behalten.
Direkter Vergleich: APPI vs. GDPR
| Dimension | 🇯🇵 APPI | 🇪🇺 GDPR |
|---|---|---|
| Zentrale Rechtsgrundlage | Act on the Protection of Personal Information (APPI) | Verordnung (EU) 2016/679 |
| Zentrale Aufsichtsbehörde | Personal Information Protection Commission (PPC) | Aufsichtsbehörden der EU-Mitgliedstaaten + EDPB |
| Räumlicher Anwendungsbereich | Umfasst bestimmte extraterritoriale Verarbeitungen mit Bezug zu Personen in Japan | Gilt für Niederlassungen in der EU und bestimmte Verarbeitungen, die Personen in der EU betreffen |
| Verarbeitungsrahmen | Zweckfestlegung, ordnungsgemäße Erhebung, Verwendungsbeschränkungen und gesetzliche Anforderungen | Sechs Rechtsgrundlagen nach Artikel 6 |
| Sensible Daten | Besonders schutzbedürftige personenbezogene Informationen | Besondere Kategorien personenbezogener Daten |
| Rechte der betroffenen Personen | Auskunft, Berichtigung, Einstellung/Löschung und weitere gesetzliche Rechte | Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und weitere |
| Datenübertragbarkeit | Kein allgemeines, der GDPR entsprechendes Recht auf Übertragbarkeit | Recht auf Datenübertragbarkeit nach Artikel 20 |
| Internationale Übermittlungen | Mechanismen nach Artikel 28, darunter Einwilligung, anerkannte Schutzregime und gleichwertige Garantien | Angemessenheit, SCCs, BCRs und weitere Mechanismen nach Kapitel V |
| Datenschutzbeauftragter | Keine unmittelbare DPO-Pflicht nach Art der GDPR | DPO unter bestimmten Voraussetzungen erforderlich |
| Pflichten bei Datenschutzverletzungen | Gesetzliche Meldepflichten für qualifizierte Vorfälle | Meldung an die Aufsichtsbehörde binnen 72 Stunden, sofern erforderlich |
| Automatisierte Entscheidungsfindung | Keine unmittelbare Entsprechung zu Artikel 22 GDPR | Eigener Rahmen nach Artikel 22 |
| Datenbeziehung zwischen EU und Japan | Die EU hat Japans Schutzniveau für Zwecke der Angemessenheit anerkannt | Japan von der EU für Zwecke der Angemessenheit anerkannt |
Was ist der APPI?
Japans Act on the Protection of Personal Information (APPI) ist das zentrale Regelwerk des Landes zum Schutz personenbezogener Informationen und zur Regulierung ihrer Verwendung durch Unternehmen und andere Organisationen.
Die Personal Information Protection Commission (PPC) ist Japans unabhängige Aufsichtsbehörde, die für den Vollzug und die Durchsetzung des APPI zuständig ist.
Der APPI regelt unter anderem folgende Bereiche:
- Erhebung und Beschaffung personenbezogener Informationen
- Festlegung und Begrenzung der Verwendungszwecke
- Sicherheitsmaßnahmen
- Weitergabe an Dritte
- Internationale Übermittlungen
- Rechte der betroffenen Personen
- Reaktion auf Datenschutzverletzungen
- Anonymisiert verarbeitete Informationen
- Pseudonymisiert verarbeitete Informationen
- Rechenschaftspflicht und organisatorische Kontrollen
Japans Datenschutzrahmen entwickelt sich stetig weiter. Im Juli 2026 wurden weitere Änderungen des APPI verkündet; Durchführungsvorschriften und Leitlinien werden vor dem Inkrafttreten ausgearbeitet.
Was ist die GDPR?
Die General Data Protection Regulation (GDPR) ist das umfassende Regelwerk der EU zum Schutz personenbezogener Daten.
Sie gilt für Organisationen mit Niederlassung in der EU und unter bestimmten Voraussetzungen für Organisationen außerhalb der EU, die personenbezogene Daten im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Personen in der EU oder mit der Beobachtung ihres Verhaltens verarbeiten.
Die GDPR schafft einen detaillierten Rahmen, der Folgendes umfasst:
- Rechtsgrundlagen der Verarbeitung
- Transparenz und Datenschutzhinweise
- Rechte der betroffenen Personen
- Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
- Verzeichnis von Verarbeitungstätigkeiten
- DPIAs
- Steuerung von Auftragsverarbeitern
- Internationale Datenübermittlungen
- Meldung von Datenschutzverletzungen
- Data Protection Officers
- Zusammenarbeit mit Aufsichtsbehörden
APPI vs. GDPR: Räumlicher Anwendungsbereich
Beide Regelwerke können auch für Organisationen außerhalb ihrer Heimatjurisdiktion gelten, die Kriterien sind jedoch unterschiedlich.
APPI
Nach dem APPI können ausländische Unternehmen unter die extraterritoriale Anwendung des Gesetzes fallen, wenn sie personenbezogene Informationen über Personen in Japan im Zusammenhang mit der Bereitstellung von Waren oder Dienstleistungen an Personen in Japan verarbeiten, vorbehaltlich der gesetzlichen Voraussetzungen.
GDPR
Artikel 3 GDPR enthält einen eigenen extraterritorialen Rahmen, der unter anderem Verarbeitungen im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen an Personen in der EU oder mit der Beobachtung ihres Verhaltens erfasst.
Kernaussage: Dass eine Organisation kein physisches Büro in Japan oder der EU hat, nimmt sie nicht automatisch vom jeweiligen Datenschutz-Regelwerk aus.
APPI vs. GDPR: Rechtsgrundlage und Zweckbindung
Einer der wichtigsten Unterschiede liegt im Aufbau der beiden Gesetze.
APPI
Der APPI legt besonderes Gewicht auf:
- Festlegung des Verwendungszwecks
- Verwendung personenbezogener Informationen im für diesen Zweck erforderlichen Umfang
- Ordnungsgemäße Erhebung
- Beschränkungen bei der Weitergabe an Dritte
- Einwilligungserfordernisse für bestimmte Verarbeitungstätigkeiten
- Besondere Anforderungen an besonders schutzbedürftige personenbezogene Informationen
GDPR
Die GDPR verlangt von Organisationen, eine einschlägige Rechtsgrundlage nach Artikel 6 zu bestimmen, etwa:
- Einwilligung
- Vertrag
- Rechtliche Verpflichtung
- Lebenswichtige Interessen
- Öffentliche Aufgabe
- Berechtigte Interessen
Für besondere Kategorien von Daten gelten zusätzliche Anforderungen nach Artikel 9.
Praktische Konsequenz: Eine Rechtsgrundlagenprüfung nach der GDPR lässt sich nicht einfach in ein APPI-Compliance-Programm übernehmen. Organisationen sollten Verarbeitungszweck, Erhebung, Verwendung, Offenlegung und die geltenden APPI-Anforderungen gesondert erfassen.
Sensible personenbezogene Informationen
APPI
Der APPI kennt besonders schutzbedürftige personenbezogene Informationen; dazu zählen Kategorien wie bestimmte Informationen über Rasse, Glaubensbekenntnis, Krankengeschichte und Vorstrafen.
GDPR
Die GDPR definiert gesondert besondere Kategorien personenbezogener Daten, darunter Informationen über Gesundheit, rassische oder ethnische Herkunft, religiöse oder weltanschauliche Überzeugungen und weitere geschützte Kategorien.
Beide Regelwerke sehen einen erhöhten Schutz vor, die gesetzlichen Strukturen und Ausnahmen unterscheiden sich jedoch.
Rechte der betroffenen Personen: APPI vs. GDPR
Beide Regelwerke räumen betroffenen Personen wichtige Rechte ein, die GDPR bietet jedoch in der Regel einen breiteren und differenzierteren Rechtekatalog.
APPI
Der APPI umfasst Rechte in Bezug auf:
- Offenlegung/Auskunft
- Berichtigung
- Ergänzung oder Löschung
- Einstellung der Verwendung
- Einstellung der Weitergabe unter den jeweiligen Voraussetzungen
GDPR
Die GDPR umfasst:
- Auskunftsrecht
- Recht auf Berichtigung
- Recht auf Löschung
- Recht auf Einschränkung der Verarbeitung
- Recht auf Datenübertragbarkeit
- Widerspruchsrecht
- Rechte im Zusammenhang mit bestimmten automatisierten Entscheidungen und Profiling
Ein bemerkenswerter Unterschied ist die Datenübertragbarkeit. Artikel 20 GDPR sieht ein eigenes Recht auf Übertragbarkeit vor; der APPI enthält kein allgemeines entsprechendes Recht.
Internationale Datenübermittlungen
Internationale Übermittlungen müssen nach beiden Regelwerken gesondert geprüft werden.
APPI
Artikel 28 regelt die Weitergabe personenbezogener Daten an Dritte im Ausland. Je nach den Umständen kommen als Übermittlungsmechanismen in Betracht:
- Einwilligung der betroffenen Person
- Übermittlung in eine Jurisdiktion, die als gleichwertiges Schutzniveau bietend anerkannt ist
- Ein Empfänger, der ein qualifiziertes System für fortlaufend gleichwertige Maßnahmen unterhält
- Gesetzliche Ausnahmen
Wird auf die Einwilligung gestützt, verlangt der APPI, dass der betroffenen Person bestimmte Informationen bereitgestellt werden, darunter Informationen über das System zum Schutz personenbezogener Informationen im Bestimmungsland.
GDPR
Kapitel V GDPR sieht unter anderem folgende Mechanismen vor:
- Angemessenheitsbeschlüsse
- Standardvertragsklauseln
- Binding Corporate Rules
- Bestimmte Ausnahmen unter den jeweiligen Voraussetzungen
Kernaussage: Die Angemessenheit zwischen EU und Japan erleichtert Übermittlungen, macht die Prüfung der für eine konkrete Übermittlung geltenden rechtlichen Anforderungen aber nicht entbehrlich.
APPI vs. GDPR: Anforderungen bei Datenschutzverletzungen
Beide Regelwerke verlangen von Organisationen, angemessene Sicherheit zu gewährleisten und auf Vorfälle mit personenbezogenen Daten zu reagieren.
APPI
Der APPI schafft einen eigenen Melde- und Benachrichtigungsrahmen für qualifizierte Vorfälle, einschließlich der Fälle, in denen eine Meldung an die PPC und eine Benachrichtigung der betroffenen Personen erforderlich ist.
GDPR
Ist eine Verletzung des Schutzes personenbezogener Daten nach der GDPR meldepflichtig, muss der Verantwortliche die zuständige Aufsichtsbehörde grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden benachrichtigen.
Organisationen, die beiden Regimen unterliegen, sollten daher einen koordinierten Incident-Response-Prozess unterhalten und zugleich jurisdiktionsspezifische Entscheidungsbäume für Meldungen beibehalten.
APPI vs. GDPR: Data Protection Officer
APPI
Der APPI schafft keine unmittelbar gleichwertige, allgemein geltende DPO-Rolle.
Stattdessen sollten Organisationen eine angemessene interne Verantwortlichkeit für Datenschutz-Governance, Sicherheitskontrollen, Compliance-Überwachung und Anträge betroffener Personen festlegen.
GDPR
Die GDPR enthält in den Artikeln 37–39 einen förmlichen Rahmen für den Data Protection Officer (DPO), mit einer Benennungspflicht unter bestimmten Voraussetzungen.
Wichtig: Organisationen sollten nicht davon ausgehen, dass die Benennung eines DPO nach der GDPR automatisch jede organisatorische Anforderung des APPI erfüllt.
APPI vs. GDPR: Automatisierte Entscheidungsfindung und KI
APPI
Der APPI enthält keine unmittelbare Entsprechung zu Artikel 22.
Der APPI kann jedoch gelten, wenn KI-Systeme personenbezogene Informationen verarbeiten. Organisationen, die KI in Japan einsetzen, müssen daher weiterhin Folgendes berücksichtigen:
- Zweck der Verarbeitung
- Datenerhebung
- Richtigkeit und Datenqualität
- Sicherheitskontrollen
- Offenlegungen gegenüber Dritten
- Internationale Übermittlungen
- Rechte der betroffenen Personen
- Transparenz und Rechenschaftspflicht
KI-bezogene Anforderungen können sich auch aus anderen japanischen Gesetzen, Leitlinien und regulatorischen Rahmenwerken ergeben.
GDPR
Die GDPR enthält besondere Bestimmungen zu ausschließlich automatisierten Entscheidungen, die rechtliche Wirkung entfalten oder in ähnlicher Weise erheblich beeinträchtigen, darunter Artikel 22.
APPI vs. GDPR: Daten von Kindern
Die beiden Regime unterscheiden sich auch im Umgang mit Informationen über Kinder.
APPI
Der APPI kennt kein mit der GDPR identisches System von Altersgrenzen. Organisationen sollten stattdessen die Umstände der Erhebung, die Einwilligung, die Vertretung und die Art der Verarbeitung anhand der geltenden japanischen Anforderungen und Leitlinien prüfen.
GDPR
Die GDPR legt besondere Regeln für die Einwilligung von Kindern bei Diensten der Informationsgesellschaft fest; die maßgebliche Altersgrenze liegt grundsätzlich bei 16 Jahren, wobei die Mitgliedstaaten sie auf nicht unter 13 Jahre absenken können.
APPI vs. GDPR: Sanktionen und Durchsetzung
Die Durchsetzungsmodelle sind unterschiedlich.
APPI
Der APPI sieht verwaltungs- und strafrechtliche Durchsetzungsmechanismen vor, unter bestimmten Voraussetzungen auch Geldsanktionen. Die jeweilige Sanktion hängt von der Art des Verstoßes und der einschlägigen gesetzlichen Bestimmung ab.
GDPR
Die GDPR erlaubt bei bestimmten Verstößen Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Unternehmen sollten daher vermeiden, eine einzelne plakative Sanktionssumme als repräsentativ für jeden APPI-Verstoß anzusehen.
Angemessenheitsbeziehung zwischen Japan und der EU
Japan und die Europäische Union erkennen ihre Datenschutz-Regelwerke seit 2019 gegenseitig für Zwecke der Angemessenheit an.
Dies ist für Organisationen, die personenbezogene Daten zwischen der EU und Japan übermitteln, von strategischer Bedeutung.
Ein Angemessenheitsbeschluss bedeutet jedoch nicht, dass GDPR-Compliance automatisch APPI-Compliance entspricht.
Organisationen benötigen gegebenenfalls weiterhin jurisdiktionsspezifische Kontrollen für:
- Datenschutzhinweise
- Zweckfestlegung
- Offenlegungen gegenüber Dritten
- Dokumentation internationaler Übermittlungen
- Anträge betroffener Personen
- Sicherheitsmaßnahmen
- Incident Response
- Governance-Verantwortlichkeiten
APPI vs. GDPR: Kann ein Compliance-Programm beides abdecken?
Ja – es sollte jedoch als ein koordiniertes Datenschutzprogramm mit jurisdiktionsspezifischen Kontrollen konzipiert sein, statt die beiden Gesetze als austauschbar zu behandeln.
Ein globales Datenschutzprogramm kann gemeinsame Kontrollen festlegen für:
- Dateninventar
- Verarbeitungsverzeichnisse
- Dienstleistermanagement
- Sicherheit
- Datenschutzhinweise
- Rechte der betroffenen Personen
- Incident Response
- Internationale Übermittlungen
- Datenschutz-Governance
Dort, wo die Regelwerke voneinander abweichen, kann das Programm dann die APPI- und GDPR-spezifischen rechtlichen Anforderungen anwenden.
Ein praxisnahes Compliance-Modell für APPI + GDPR
- Eine globale Datenlandkarte
- Ein Kontrollrahmenwerk
- Jurisdiktionsspezifische rechtliche Ergänzungen
- Kontinuierliches Regulatory Monitoring
Dieser Ansatz verringert Doppelarbeit und bewahrt zugleich die Unterschiede, auf die es für die Compliance ankommt.
Häufig gestellte Fragen
Ist der APPI die japanische Version der GDPR?
Nein. APPI und GDPR verfolgen ähnliche Datenschutzziele, nutzen jedoch unterschiedliche rechtliche Strukturen, Begriffe, Rechte und Compliance-Mechanismen.
Wenn mein Unternehmen GDPR-konform ist, ist es dann automatisch APPI-konform?
Nein. GDPR-Compliance kann eine solide Grundlage bieten, es können jedoch zusätzliche APPI-Analysen und -Kontrollen erforderlich sein, insbesondere bei Zweckfestlegung, Offenlegungen gegenüber Dritten, internationalen Übermittlungen, Sicherheitsmaßnahmen und japanspezifischen Rechten.
Gilt der APPI für Unternehmen außerhalb Japans?
Das ist möglich. Der APPI gilt extraterritorial unter bestimmten Voraussetzungen, wenn personenbezogene Informationen über Personen in Japan im Zusammenhang mit der Bereitstellung von Waren oder Dienstleistungen in Japan verarbeitet werden.
Verlangt der APPI einen Data Protection Officer?
Der APPI sieht keine unmittelbare, allgemein für Organisationen geltende DPO-Pflicht nach Art der GDPR vor. Organisationen sollten angemessene Strukturen für Datenschutz-Governance und Rechenschaftspflicht schaffen.
Besteht zwischen Japan und der EU eine Angemessenheitsbeziehung?
Ja. Zwischen Japan und der EU besteht eine gegenseitige Angemessenheitsregelung, die grenzüberschreitende Datenflüsse unterstützt.
Entsprechen internationale Übermittlungen nach dem APPI denen nach der GDPR?
Nein. Artikel 28 APPI und Kapitel V GDPR verwenden unterschiedliche Übermittlungsmechanismen und Anforderungen. Der APPI kann sich je nach den Umständen auf die Einwilligung, auf Jurisdiktionen mit anerkannt gleichwertigem Schutz oder auf qualifizierte fortlaufende Garantien stützen.
Hat sich der APPI 2026 geändert?
Ja. Japan hat am 17. Juli 2026 weitere Änderungen des APPI verabschiedet und verkündet. Die meisten Änderungen sollen an einem künftigen Datum in Kraft treten, das innerhalb von zwei Jahren nach der Verkündung festgelegt wird; detaillierte Durchführungsvorschriften und Leitlinien werden derzeit ausgearbeitet.
Ein Compliance-Programm für APPI + GDPR aufbauen
Wer in Japan und der EU tätig ist, muss mehr tun, als ein Datenschutz-Regelwerk auf das andere zu übertragen.
RegulatoryBridge unterstützt Organisationen beim Aufbau koordinierter Datenschutzprogramme für APPI, GDPR und weitere globale Datenschutzgesetze – mit regulatorischer Analyse, Compliance-Kontrollen, Datenschutzvertretung, Data Governance und laufendem Regulatory Monitoring.
Erfassen Sie Ihre Datenschutzpflichten einmal. Wenden Sie in jeder Jurisdiktion die richtigen rechtlichen Anforderungen an.
Decken Sie APPI und GDPR unter einem Programm ab.
Einmal Kontrollen zuordnen, doppelt konform sein. RegulatoryBridge bietet Ihnen eine einzige DSAR-Pipeline, einen einzigen DPO, ein einziges Breach-Runbook – beide Rahmenwerke abgedeckt.