Kurze Antwort
Gilt Japans Datenschutzgesetz (APPI) für Daten, die ich auf einem Tokio-VPS hoste?
Das APPI folgt dem Unternehmen, das personenbezogene Daten verwendet, und den Personen, um die es in den Daten geht; keiner der am 2. November 2026 gelesenen Artikel nennt den Standort eines Servers als Auslöser. Artikel 16 erfasst jeden, der eine Datenbank mit personenbezogenen Informationen für geschäftliche Zwecke nutzt, und Artikel 171 reicht bis zur Verarbeitung im Ausland, die mit der Versorgung von Personen in Japan zusammenhängt. Lacquerbay Zusammenfassung, keine Rechtsberatung.
Wer muss Japans APPI befolgen?
Das Gesetz bindet einen "Betreiber, der personenbezogene Informationen verarbeitet": jeden, der eine Datenbank mit personenbezogenen Informationen für geschäftliche Zwecke nutzt (Artikel 16(2)). Der Text nimmt nur Staatsorgane, lokale Gebietskörperschaften und öffentliche Stellen aus. Er legt keine Mindestgröße und keine Staatsangehörigkeit fest.
"Personenbezogene Informationen" sind Informationen über eine lebende Person, die sie allein oder durch einfache Zuordnung zu anderen Daten identifizieren, oder die einen Identifikationscode enthalten: einen aus einem Merkmal des Körpers abgeleiteten Code oder eine Nummer, die der Person auf einer Karte oder einem Dokument zugewiesen ist, von den Arten, die eine Kabinettsverordnung auflistet (Artikel 2(1) und (2)). Eine "Datenbank mit personenbezogenen Informationen" ist eine Sammlung solcher Informationen, die so organisiert ist, dass ein Computer sie nach einer bestimmten Person durchsuchen kann (Artikel 16(1)), abgesehen von Arten, die eine Kabinettsverordnung ausnimmt.
Erreicht das APPI ein Unternehmen außerhalb Japans?
Ja, wenn die Daten Personen in Japan betreffen und verarbeitet werden, um ihnen Waren oder Dienstleistungen bereitzustellen. Artikel 171 wendet das Gesetz auf einen Betreiber an, der in einem fremden Land die personenbezogenen Informationen einer Person in Japan im Zusammenhang mit der Bereitstellung von Waren oder Dienstleistungen für Personen in Japan verarbeitet. Auslöser sind die versorgten Personen, nicht der Standort der Server: Ein Geschäft im Ausland, das an Käufer in Japan verkauft, ist erfasst, selbst wenn seine Datenbank in Singapur läuft.
Der umgekehrte Fall ist nicht niedergeschrieben. Ein Unternehmen außerhalb Japans, das Daten über Personen außerhalb Japans auf einem Tokio-VPS speichert, wird von Artikel 171 nicht beschrieben, und keiner der für diese Seite gelesenen Artikel klärt das. Diese Frage gehört zu einem Rechtsanwalt in Japan.
Es ist kein seltener Fall. Laut der Erhebung von Lacquerbay vom 2. November 2026 verkauften 22 Hoster, die großen Clouds nicht mitgezählt, ein VPS in Tokio, und die obige Frage betrifft jeden Kunden von jedem einzelnen von ihnen.
Was sagt der offizielle Text für jeden Fall?
Der Text hängt nicht davon ab, wo die Festplatte steht; er hängt davon ab, wer Sie sind und wessen Daten Sie halten.
| Ihre Situation | Was der offizielle Text sagt | Artikel |
|---|---|---|
| Sie führen ein Unternehmen in Japan und speichern Kundendaten auf einem VPS | Sie sind ein Betreiber, wenn Sie eine Datenbank mit personenbezogenen Informationen für geschäftliche Zwecke nutzen; Sie müssen Sicherheitsmaßnahmen treffen und jeden beaufsichtigen, dem Sie die Daten anvertrauen | 16(2), 23, 25 |
| Sie sind außerhalb Japans und verkaufen an Personen in Japan | Das Gesetz gilt für Ihre Verarbeitung ihrer personenbezogenen Informationen im Ausland | 171 |
| Sie sind außerhalb Japans, die Personen sind außerhalb Japans, das VPS ist in Tokio | Nicht von Artikel 171 beschrieben; von den gelesenen Artikeln nicht geklärt | — |
| Sie geben personenbezogene Daten an jemand anderen weiter | Vorherige Einwilligung der Person, außer in gelisteten Fällen; ein Auftragnehmer, der die Daten für Sie im Rahmen Ihres Zwecks verarbeitet, ist kein Dritter | 27(1), 27(5)(i) |
| Sie geben personenbezogene Daten an einen Dritten in einem anderen Land weiter | Vorherige Einwilligung zu dieser Auslandsübermittlung, es sei denn, das Land oder der Empfänger erfüllt die Standards der PPC | 28(1) |
| Ein Leck, das die betroffenen Personen schädigen kann | Meldung an die PPC und Benachrichtigung der betroffenen Personen | 26 |
Was muss ein Betreiber nach einem Datenleck tun?
Vier Arten von Vorfällen müssen der PPC gemeldet werden: sensible Daten, ein Risiko eines finanziellen Verlusts, eine wahrscheinliche vorsätzliche Handlung wie ein Eindringen und jedes Leck, das mehr als 1.000 Personen betrifft (Durchführungsbestimmungen, Artikel 7). Daten, die durch fortschrittliche Verschlüsselung oder eine Maßnahme gleicher Wirkung geschützt sind, sind von allen vier ausgenommen.
Eine Erstemeldung ist unverzüglich fällig, nachdem der Betreiber von dem Vorfall erfährt, und ein vollständiger Bericht innerhalb von 30 Tagen oder innerhalb von 60 Tagen, wenn der Vorfall vorsätzlich erscheint (Bestimmungen, Artikel 8). Auch die betroffenen Personen müssen informiert werden (Gesetz, Artikel 26(2)). Ein Betreiber, der die Daten im Auftrag eines anderen Betreibers verarbeitet, kann diesen Betreiber statt die PPC benachrichtigen (Artikel 26(1), Vorbehalt).
Ist das Speichern personenbezogener Daten auf einem VPS eine Bereitstellung an einen Dritten?
Das Gesetz verlangt eine Einwilligung, bevor personenbezogene Daten an einen Dritten gehen, aber ein Auftragnehmer, der die Daten für den Betreiber im Rahmen des Verwendungszwecks verarbeitet, ist kein Dritter (Artikel 27(1) und 27(5)(i)). Ob ein VPS-Hoster, der Ihre Dateien nie öffnet, als solcher Auftragnehmer gilt oder als gar kein Empfänger, wird in den Leitlinien und dem Q&A der PPC beantwortet. Wir konnten ppc.go.jp am 2. November 2026 nicht öffnen, daher fasst diese Seite sie nicht zusammen.
Was das Gesetz klar sagt: Der Betreiber muss personenbezogene Daten gegen Lecks, Verlust und Schaden sichern (Artikel 23) und jeden Auftragnehmer beaufsichtigen, dem er diese Daten anvertraut (Artikel 25).
Welche Sanktionen sieht das APPI vor?
Strafrechtliche Sanktionen treffen die Missachtung der Aufsichtsbehörde und die Weitergabe oder den Missbrauch einer Datenbank für unrechtmäßigen Gewinn, mit Geldstrafen bis zu 100 Mio. ¥ für Unternehmen. Die unten genannten Beträge stammen aus dem Gesetz, wie es am 2. November 2026 auf e-Gov gelesen wurde.
| Handlung | Strafe | Artikel |
|---|---|---|
| Verstoß gegen eine nach Artikel 148(2) oder (3) erlassene PPC-Anordnung | Bis zu 1 Jahr Freiheitsstrafe oder eine Geldstrafe bis zu ¥1,000,000 | 178 |
| Übergabe oder Missbrauch einer personenbezogenen Datenbank zu unrechtmäßigem Gewinn | Bis zu 1 Jahr Freiheitsstrafe oder eine Geldstrafe bis zu ¥500,000 | 179 |
| Eine der beiden oben genannten Straftaten, von Mitarbeitern für ein Unternehmen begangen | Eine Geldstrafe bis zu ¥100,000,000 für das Unternehmen | 184(1)(i) |
| Keine Meldung oder eine falsche Meldung, wenn die PPC nach Artikel 146(1) anfragt | Eine Geldstrafe bis zu ¥500,000 | 182 |
Wie steht Lacquerbay dazu?
Lacquerbay wird von der DomaineGoat LLC betrieben, einer in Panama gegründeten Gesellschaft, und panamaisches Recht ist das einzige Recht, dem das Unternehmen unterliegt. Jedes Rechenzentrum unterliegt dem Recht seines eigenen Territoriums: Hongkong, Singapur oder Japan. Lacquerbay vermietet den Server; was Sie darauf speichern und über wen, müssen Sie selbst beurteilen. Unser eigener Umgang mit Kundendaten steht auf der Datenschutzseite.
Zur praktischen Seite eines Servers in Tokio siehe Wo kann ich einen Japan (Tokio) VPS mieten und mit Krypto bezahlen?, Kann ein Ausländer einen VPS in Japan ohne japanische Telefonnummer oder Ausweis mieten? und Befindet sich mein "Singapur"-VPS wirklich in Singapur, und wie kann ich prüfen, wo ein VPS steht?
APPI und ein Tokio-VPS: kurze Antworten
Gilt die APPI nur für japanische Unternehmen?
Nein. Artikel 16(2) nennt keine Staatsangehörigkeit, und Artikel 171 wendet das Gesetz auf die Verarbeitung im Ausland an, wenn sie mit der Lieferung von Waren oder Dienstleistungen an Personen in Japan verbunden ist. Dies ist eine Zusammenfassung des offiziellen Texts, keine Rechtsberatung.
Gilt eine kleine Webseite als Betreiber im Sinne der APPI?
Der Text setzt keine Größenschwelle: Jeder, der eine personenbezogene Datenbank für sein Geschäft nutzt, ist erfasst. Eine Kundenliste, die ein Computer nach Person durchsuchen kann, ist eine solche Datenbank, sofern nicht eine Cabinet Order ihren Typ ausnimmt (Artikel 16(1)).
Brauche ich eine Einwilligung, um Nutzerdaten auf einem Tokio-VPS zu speichern?
Artikel 27 verlangt eine Einwilligung, um personenbezogene Daten an einen Dritten weiterzugeben, und behandelt einen Auftragnehmer, der sie für Sie verarbeitet, als außerhalb dieser Regel stehend. Wie die PPC einen VPS-Host einordnet, steht in ihrer Leitlinie, die diese Seite nicht abdeckt.
Wie schnell muss ein Datenleck in Japan gemeldet werden?
Unverzüglich, nachdem der Betreiber davon Kenntnis erlangt, dann vollständig innerhalb von 30 Tagen, oder 60 Tagen bei einer wahrscheinlich vorsätzlichen Handlung, nach Artikel 8 der Enforcement Rules der PPC, gelesen am 2. November 2026. Auch die betroffenen Personen müssen informiert werden.
Wo kann ich die APPI auf Englisch lesen?
Die japanische Regierung veröffentlicht eine Übersetzung auf japaneselawtranslation.go.jp und die PPC auf ihren englischen Seiten; beide verweigerten unsere Verbindung am 2. November 2026, daher zitiert diese Seite keine von beiden. Verbindlich ist der japanische Text auf e-Gov.
Quellen (3)
- 個人情報の保護に関する法律 (Act on the Protection of Personal Information, Act No. 57 of 2003), version in force on 2 November 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- 個人情報の保護に関する法律施行規則 (Enforcement Rules, PPC Rules No. 3 of 2016), version in force since 14 June 2026 — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)
- Gesetzestext über die e-Gov law API (Artikel 2, 16, 23, 25 bis 28, 148, 171, 178, 179, 182, 184) — e-Gov Law Search, Digital Agency of Japan (read 2026-11-02)