Datenschutz in allen Regionen: CCPA, PDPA, LGPD und PIPEDA im Vergleich

Mittlerweile gibt es in über 140 Ländern Datenschutzgesetze, und die Geschwindigkeit neuer Vorschriften nimmt zu. Für jedes grenzüberschreitend tätige Unternehmen – was im E-Commerce praktisch jedes Unternehmen bedeutet – ist die Bewältigung dieses Flickenteppichs aus Datenschutzgesetzen eine der komplexesten Compliance-Herausforderungen im Jahr 2026.

Die grundlegende Frage ist nicht, ob Sie mehrere Datenschutzgesetze einhalten müssen. Wenn Sie eine Website haben, auf die von mehreren Ländern aus zugegriffen werden kann, ist dies mit ziemlicher Sicherheit der Fall. Die Frage ist, wie man ein einheitliches Datenschutzprogramm aufbauen kann, das alle Anforderungen erfüllt, ohne für jede Gerichtsbarkeit separate Compliance-Tracks zu pflegen.

Wichtige Erkenntnisse

• Die DSGVO bleibt der globale Maßstab und die Einhaltung der DSGVO deckt die meisten anderen Datenschutzgesetze zu 70–80 % ab
• CCPA/CPRA ist das strengste US-Datenschutzgesetz, verfolgt jedoch einen grundlegend anderen Ansatz als die DSGVO und konzentriert sich auf Opt-out statt Opt-in
• Grenzüberschreitende Datenübertragungen erfordern in den meisten Datenschutzgesetzen spezifische rechtliche Mechanismen (SCCs, BCRs, Angemessenheitsentscheidungen).
• Ein „höchster gemeinsamer Nenner“-Ansatz – das Entwerfen für die strengsten Anforderungen – ist effizienter als die Einhaltung einzelner Gerichtsbarkeiten

---

Die fünf wichtigsten Datenschutzgesetze

Vergleichsmatrix zum Datenschutzrecht

---

DSGVO: Der globale Standard

Die Datenschutz-Grundverordnung der EU ist nach wie vor das umfassendste und am strengsten durchgesetzte Datenschutzgesetz der Welt. Sein Einfluss reicht weit über Europa hinaus – die meisten späteren Datenschutzgesetze orientieren sich an den Grundsätzen der DSGVO.

Wichtige DSGVO-Merkmale

Umfassende Definition von personenbezogenen Daten. Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, einschließlich IP-Adressen, Gerätekennungen und Cookie-Daten.

Sechs Rechtsgrundlagen für die Verarbeitung. Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse. Für jede Verarbeitungstätigkeit muss eine dokumentierte Rechtsgrundlage vorliegen.

Starke Rechte der betroffenen Person. Zugang, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und Rechte im Zusammenhang mit der automatisierten Entscheidungsfindung.

Strenge Einwilligungsanforderungen. Die Einwilligung muss freiwillig, spezifisch, informiert und eindeutig erfolgen. Vorab angekreuzte Kästchen und gebündelte Einwilligungen sind ungültig.

Datenschutz-Folgenabschätzungen. Erforderlich für Verarbeitungsaktivitäten mit hohem Risiko (Profiling, groß angelegte Überwachung, Verarbeitung sensibler Daten).

Einen detaillierten Implementierungsleitfaden finden Sie in unserem GDPR-Implementierungsleitfaden für E-Commerce und ERP.

---

CCPA/CPRA: Der amerikanische Ansatz

Der kalifornische Consumer Privacy Act (CCPA), geändert durch den California Privacy Rights Act (CPRA), ist das wichtigste Datenschutzgesetz in den Vereinigten Staaten. Es verfolgt einen grundlegend anderen Ansatz als die DSGVO.

Hauptunterschiede zur DSGVO

Opt-out vs. Opt-in. CCPA erfordert keine Einwilligung zur Erhebung und Verarbeitung personenbezogener Daten. Stattdessen haben Verbraucher das Recht, dem Verkauf oder der Weitergabe ihrer Daten zu widersprechen. Dies ist eine philosophische Umkehrung der DSGVO.

„Verkauf“ ist weit gefasst. Gemäß CCPA umfasst „Verkauf“ die Weitergabe personenbezogener Daten an Dritte gegen finanzielle oder andere wertvolle Gegenleistungen. Dies erfasst viele Werbe- und Analysevereinbarungen, die Unternehmen nicht als „Verkäufe“ betrachten.

Anwendbarkeit von Schwellenwerten. CCPA gilt für gewinnorientierte Unternehmen, die einen von drei Schwellenwerten erfüllen: Jahresbruttoumsatz über 25 Millionen US-Dollar, Kauf/Verkauf/Weitergabe personenbezogener Daten von mehr als 100.000 Verbrauchern oder mehr als 50 % des Umsatzes aus dem Verkauf personenbezogener Daten.

Privates Klagerecht. Im Gegensatz zur DSGVO ermöglicht CCPA Verbrauchern, Datenschutzverletzungen im Zusammenhang mit unverschlüsselten personenbezogenen Daten direkt zu klagen (100–750 US-Dollar pro Verbraucher und Vorfall).

CPRA-Verbesserungen (2023)

CPRA hat CCPA deutlich gestärkt:

• Gründung der California Privacy Protection Agency (CPPA) als spezielle Durchsetzungsbehörde
• Das Recht hinzugefügt, unrichtige persönliche Daten zu korrigieren
• Das Recht hinzugefügt, die Verwendung sensibler persönlicher Daten einzuschränken
• Erweiterte Datenminimierungs- und Zweckbindungsanforderungen
• Anforderungen für Datenverarbeitungsverträge mit Dienstleistern hinzugefügt

Compliance-Anforderungen

---

LGPD: Brasiliens DSGVO-inspiriertes Rahmenwerk

Brasiliens Lei Geral de Protecao de Dados (LGPD) orientiert sich stark an der DSGVO, enthält jedoch einzigartige Elemente, die an das rechtliche und geschäftliche Umfeld Brasiliens angepasst sind.

Wichtige LGPD-Merkmale

Zehn Rechtsgrundlagen. LGPD bietet zehn Rechtsgrundlagen für die Verarbeitung (im Vergleich zu den sechs DSGVO), darunter Kreditschutz, Gesundheitsschutz und Schutz des Lebens. Dies gibt Unternehmen mehr Flexibilität bei der Rechtfertigung der Datenverarbeitung.

DPO ist obligatorisch. Im Gegensatz zur DSGVO (die einen DPO nur unter bestimmten Umständen erfordert), verlangt LGPD von allen Datenverantwortlichen, einen Datenschutzbeauftragten (einen „Encarregado“ genannt) zu ernennen.

Internationale Datenübermittlungen. LGPD erlaubt grenzüberschreitende Übermittlungen, wenn das Empfängerland einen angemessenen Schutz bietet, im Rahmen von Standardvertragsklauseln oder mit ausdrücklicher Zustimmung der betroffenen Person.

ANPD-Durchsetzung. Brasiliens Autoridade Nacional de Protecao de Dados (ANPD) hat aktiv Leitlinien herausgegeben und verstärkt die Durchsetzung. Die Strafen können in Brasilien bis zu 2 % des Umsatzes betragen (maximal 50 Mio. BRL pro Verstoß).

Unterschiede zwischen LGPD und DSGVO

---

PDPA: Thailands neues Rahmenwerk

Das thailändische Gesetz zum Schutz personenbezogener Daten (PDPA), das seit Juni 2022 vollständig in Kraft ist, regelt die Erhebung, Nutzung und Offenlegung personenbezogener Daten in Thailand. Es ist eines der bedeutendsten Datenschutzgesetze in Südostasien.

Wichtige PDPA-Merkmale

Zustimmungszentriert. PDPA erfordert eine ausdrückliche Zustimmung zur Erhebung, Nutzung und Offenlegung personenbezogener Daten, sofern keine bestimmte Ausnahmeregelung vorliegt (vertragliche Notwendigkeit, berechtigtes Interesse, rechtliche Verpflichtung, lebenswichtiges Interesse, öffentliches Interesse oder Forschung).

Sensible Datenkategorien. PDPA definiert sensible personenbezogene Daten ähnlich wie die DSGVO: Rasse/ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Vorstrafen, Gesundheitsdaten, Behinderung, Gewerkschaftsmitgliedschaft, genetische Daten, biometrische Daten und sexuelle Orientierung.

Grenzüberschreitende Übermittlungsbeschränkungen. Datenübermittlungen ins Ausland sind nur zulässig, wenn das Zielland über angemessene Datenschutzstandards verfügt, die Übermittlung angemessenen Garantien unterliegt oder die betroffene Person ausdrücklich eingewilligt hat.

Strafen. Verwaltungsstrafen von bis zu 5 Millionen THB (ca. 140.000 US-Dollar) sowie strafrechtliche Sanktionen von bis zu einem Jahr Haft für bestimmte Verstöße. Während die Geldstrafen niedriger sind als bei der DSGVO, sind die strafrechtlichen Bestimmungen bemerkenswert.

---

PIPEDA: Kanadas ausgewogener Ansatz

Kanadas Personal Information Protection and Electronic Documents Act (PIPEDA) verfolgt einen prinzipienbasierten Ansatz, der die Datenschutzgesetzgebung weltweit beeinflusst hat.

Wichtige PIPEDA-Eigenschaften

10 faire Informationsgrundsätze. PIPEDA basiert auf zehn Grundsätzen: Rechenschaftspflicht, Identifizierung von Zwecken, Einwilligung, Einschränkung der Sammlung, Einschränkung von Nutzung/Offenlegung/Aufbewahrung, Genauigkeit, Schutzmaßnahmen, Offenheit, individueller Zugriff und Einhaltung der Einhaltung.

Stillschweigende Einwilligung zulässig. Im Gegensatz zur DSGVO erlaubt PIPEDA in bestimmten Kontexten die stillschweigende Einwilligung für nicht sensible Informationen. Dies bietet mehr betriebliche Flexibilität und schützt gleichzeitig den Einzelnen.

Fokus auf kommerzielle Aktivitäten. PIPEDA gilt für personenbezogene Daten, die im Rahmen kommerzieller Aktivitäten erfasst, verwendet oder offengelegt werden. Sie gilt nicht für nichtkommerzielle Organisationen, bundesstaatliche Institutionen (die unter das Datenschutzgesetz fallen) oder provinziell regulierte Aktivitäten in Provinzen mit im Wesentlichen ähnlicher Gesetzgebung (Alberta, BC, Quebec).

Angemessenheitsstatus. Die EU hat Kanada eine teilweise Angemessenheitsentscheidung im Rahmen der DSGVO erteilt, was bedeutet, dass personenbezogene Daten im Rahmen von PIPEDA-gedeckten kommerziellen Aktivitäten ohne zusätzliche Schutzmaßnahmen von der EU nach Kanada übertragen werden können.

Bill C-27 und das Consumer Privacy Protection Act

Kanada modernisiert seinen Datenschutzrahmen durch Gesetzentwurf C-27, der die privatwirtschaftlichen Bestimmungen von PIPEDA durch den Consumer Privacy Protection Act (CPPA) ersetzen würde. Zu den wichtigsten vorgeschlagenen Änderungen gehören:

• Bußgelder bis zu 5 % des weltweiten Umsatzes oder 25 Mio. CAD (je nachdem, welcher Betrag höher ist)
• Privates Klagerecht bei Datenschutzverletzungen
• Verstärkte Einwilligungsanforderungen
• Anforderungen an die algorithmische Transparenz
• Neue Bestimmungen für Daten von Minderjährigen

---

Aufbau eines einheitlichen Datenschutzprogramms

Anstatt separate Compliance-Programme für jede Gerichtsbarkeit zu entwickeln, ist der effizienteste Ansatz ein einheitliches Datenschutzprogramm, das auf den höchsten gemeinsamen Nenner ausgelegt ist.

Die Strategie mit dem höchsten gemeinsamen Nenner

Implementierungsarchitektur

1. Einzelne Datenschutzrichtlinie mit rechtsgebietsspezifischen Abschnitten, in denen die Anforderungen unterschiedlich sind (z. B. CCPA-„Do Not Sell“-Rechte)
2. Einheitliche Einwilligungsverwaltung-Plattform, die detaillierte Einwilligungen mit Gerichtsstandskennzeichnung erfasst
3. Zentralisierter DSAR-Workflow, der Zugriffs-, Lösch-, Korrektur- und Portabilitätsanfragen aus jeder Gerichtsbarkeit bearbeitet
4. Einzelne Datenkarte, die Verarbeitungstätigkeiten, Rechtsgrundlagen, Aufbewahrungsfristen und grenzüberschreitende Übermittlungen dokumentiert
5. Regionale Datenspeicherung, die gegebenenfalls Anforderungen an den Datenspeicherort berücksichtigt

Hinweise dazu, wie Datenschutzgesetze in einen umfassenderen Compliance-Rahmen passen, finden Sie in unserem Handbuch zur Unternehmens-Compliance.

---

Grenzüberschreitende Datenübertragungen

Einer der komplexesten Aspekte der Einhaltung der Datenschutzbestimmungen in mehreren Gerichtsbarkeiten ist die grenzüberschreitende Übermittlung personenbezogener Daten.

Transfermechanismen durch Regulierung

Praktische Empfehlungen

• Verwenden Sie Standardvertragsklauseln (SCCs) als Standardmechanismus für EU-Datenübermittlungen
• Angemessenheitsentscheidungen überwachen --- Das EU-US-Datenschutzrahmenwerk bietet einen Mechanismus für Übermittlungen an zertifizierte US-Unternehmen
• Wählen Sie Cloud-Regionen aus, die zu Ihrem Hauptkundenstamm passen, um die Komplexität grenzüberschreitender Übertragungen zu minimieren
• Dokumentieren Sie alle grenzüberschreitenden Überweisungen in Ihrem ROPA, einschließlich des spezifischen Mechanismus, auf den Sie sich verlassen

---

Häufig gestellte Fragen

Muss ich CCPA einhalten, wenn mein Unternehmen nicht in Kalifornien ansässig ist?

Ja, wenn Ihr Unternehmen einen der drei CCPA-Grenzwerte erfüllt und personenbezogene Daten von Einwohnern Kaliforniens sammelt. Der Standort Ihres Unternehmens spielt keine Rolle – entscheidend ist, ob Sie kalifornische Verbraucher bedienen. Angesichts der 39 Millionen Einwohner Kaliforniens und seiner Rolle als Technologiezentrum werden die meisten Online-Unternehmen mit US-Kunden diese Schwelle erreichen.

Kann ich für alle Gerichtsbarkeiten dieselben Datenschutzrichtlinien verwenden?

Ja, eine einheitliche Datenschutzrichtlinie ist der empfohlene Ansatz. Strukturieren Sie es mit einem Kernabschnitt, der allgemeine Datenschutzpraktiken und rechtsgebietsspezifische Ergänzungen zu CCPA-Rechten, DSGVO-spezifischen Informationen und anderen regionalen Anforderungen abdeckt. Dies ist einfacher zu verwalten als separate Richtlinien und vermeidet widersprüchliche Aussagen.

Wie interagieren Datenschutzgesetze mit Zahlungssicherheitsbestimmungen wie PCI-DSS?

Datenschutzgesetze und PCI-DSS ergänzen sich. Zahlungskartendaten sind personenbezogene Daten gemäß DSGVO, CCPA und den meisten anderen Datenschutzgesetzen, daher müssen Sie beide einhalten. PCI-DSS bietet den technischen Sicherheitsrahmen für Kartendaten, während Datenschutzgesetze Anforderungen in Bezug auf Einwilligung, Zweckbindung, Rechte betroffener Personen und Benachrichtigung bei Verstößen hinzufügen. Weitere Informationen zur Zahlungssicherheit finden Sie in unserem PCI-DSS-Compliance-Leitfaden.

Was passiert, wenn Datenschutzgesetze in Konflikt geraten?

Echte Konflikte sind selten, da die meisten Datenschutzgesetze gemeinsame Grundsätze verfolgen. Wenn Unterschiede bestehen (z. B. das Opt-out-Modell des CCPA im Vergleich zum Opt-in-Modell der DSGVO), wenden Sie den strengeren Standard an. Wenn Sie die Einwilligung auf DSGVO-Ebene global umsetzen, erfüllen Sie sowohl DSGVO als auch CCPA. Die häufigste Herausforderung sind nicht widersprüchliche Anforderungen, sondern unterschiedliche Ebenen der Spezifität und Durchsetzungsbetonung.

Entsteht ein globaler Datenschutzstandard?

Noch nicht im formalen Sinne, aber die DSGVO ist de facto zum globalen Standard geworden. Die OECD-Datenschutzrichtlinien und das APEC Cross-Border Privacy Rules (CBPR)-System bieten multilaterale Rahmenwerke, und das entstehende Global CBPR Framework zielt darauf ab, Interoperabilität zwischen regionalen Datenschutzsystemen zu schaffen. In der Praxis deckt die DSGVO-konforme Gestaltung die meisten anderen Datenschutzgesetze zu 70–80 % ab.

---

Was kommt als nächstes?

Die globale Datenschutzlandschaft wird sich weiterentwickeln, neue Gesetze werden erlassen und bestehende Gesetze werden gestärkt. Anstatt einzelnen Vorschriften nachzujagen, investieren Sie in einen „Privacy-by-Design“-Ansatz, der den Datenschutz von Anfang an in Ihre Systeme und Prozesse integriert.

ECOSIRE unterstützt Unternehmen beim Aufbau datenschutzkonformer Systeme, die in allen Gerichtsbarkeiten funktionieren. Unsere Odoo ERP-Implementierungen umfassen integriertes Einwilligungsmanagement, DSAR-Handhabung und Automatisierung der Datenaufbewahrung. Für KI-gestützte Überwachung der Datenschutz-Compliance erkunden Sie unsere OpenClaw AI-Plattform. Kontaktieren Sie uns, um Ihre Datenschutzstrategie für mehrere Gerichtsbarkeiten zu besprechen.

---

Veröffentlicht von ECOSIRE – Unterstützung von Unternehmen bei der Skalierung mit KI-gestützten Lösungen in Odoo ERP, Shopify eCommerce und OpenClaw AI.