Datenschutzregeln werden weltweit schneller. Über DSGVO und CCPA hinaus haben Dutzende Länder umfassende Datenschutzrahmen. Kanada hat PIPEDA, Brasilien die LGPD, in Indien sind Regeln in Arbeit, und praktisch jede entwickelte Volkswirtschaft führt Datenschutzgesetze ein oder verschärft sie. Bedienst du internationale Besucher, solltest du die wichtigsten Regelwerke außerhalb Europas und der USA kennen.
Wichtige Datenschutzrahmen weltweit
Kanada: PIPEDA und Gesetze der Provinzen
PIPEDA (Personal Information Protection and Electronic Documents Act) ist das Datenschutzgesetz des Bundes in Kanada. Es gilt für Organisationen, die personenbezogene Daten von Einwohnern Kanadas erfassen. PIPEDA ähnelt der DSGVO im Aufbau: Es verlangt Einwilligung, Datenminimierung, Sicherheit und Nutzerrechte. Einige Provinzen (Quebec, Alberta) haben zusätzliche Datenschutzgesetze, die sogar strenger sind als PIPEDA.
PIPEDA wird vom kanadischen Datenschutzbeauftragten durchgesetzt. Bußgelder können Millionenhöhe erreichen. Es wird aktiv durchgesetzt und ist kein theoretisches Problem.
Brasilien: LGPD
Brasiliens LGPD (Lei Geral de Proteção de Dados) wird oft „die DSGVO Brasiliens“ genannt. Sie ist ein umfassender Rahmen, der Einwilligung, Datenminimierung, Sicherheit und Nutzerrechte verlangt. Die Strafen der LGPD sind hart: bis zu 2 % des Umsatzes (oder 50 Millionen brasilianische Real). Sie gilt für Organisationen, die Daten von Einwohnern Brasiliens verarbeiten, egal wo das Unternehmen seinen Sitz hat.
Die Durchsetzung der LGPD nimmt Fahrt auf. Brasilien setzt sie aktiv durch. Hast du Besucher aus Brasilien, ist die Einhaltung wichtig.
Mexiko: LFPDPPP
Mexikos LFPDPPP (Ley Federal de Protección de Datos Personales en Posesión de Particulares) ähnelt der DSGVO und verlangt Einwilligung und Nutzerrechte. Sie wird weniger scharf durchgesetzt als die DSGVO oder die LGPD, doch Verstöße können zu hohen Bußgeldern führen. Bist du in Mexiko tätig, brauchst du grundlegende Compliance auf DSGVO-Niveau.
Indien: Digital Personal Data Protection Act
Indien hat kürzlich den Digital Personal Data Protection Act (DPDPA) verabschiedet, der 2024 in Kraft tritt. Er ist weniger streng als die DSGVO, verlangt aber für die meiste Datenerfassung eine Einwilligung und gibt Nutzern Rechte auf Auskunft und Löschung. Die Durchsetzung in Indien baut sich noch auf, doch Compliance wird künftig erwartet.
Asiatisch-pazifischer Raum: unterschiedliche Rahmen
Australien hat Änderungen am Privacy Act, die eine strengere Einwilligung verlangen. Singapur hat den PDPA. Hongkong hat die PDPO. Südkorea hat das PIPA. Japan hat das APPI. Thailand hat den PDPA. Jeder Rahmen ist etwas anders, aber alle verlangen irgendeine Form von Einwilligung und Nutzerrechten. Bist du im asiatisch-pazifischen Raum tätig, gilt Compliance auf DSGVO-Niveau als sicherer Mindeststandard.
Der weltweite Trend zur Angleichung
Das Datenschutzrecht nähert sich weltweit einigen gemeinsamen Grundsätzen an: Transparenz (Nutzer müssen wissen, was erfasst wird), Einwilligung (eine Erlaubnis ist nötig), Datenminimierung (nur erfassen, was nötig ist), Sicherheit (schützen, was du hast) und Nutzerrechte (Zugriff, Löschung, Übertragung der Daten). Wenn dein Analytics diese Grundsätze achtet, bist du mit den meisten weltweiten Rahmen konform.
Angemessenheitsbeschlüsse und gegenseitige Anerkennung
Manche Länder erkennen die Datenschutzgesetze anderer als „angemessen“ an. Die EU erkennt das Vereinigte Königreich, die Schweiz und andere als angemessen an, was die Datenübermittlung erleichtert. Die Angemessenheitsbeschlüsse der DSGVO sind die strengsten. Bist du DSGVO-konform, giltst du bei den meisten bilateralen Datenübermittlungen wahrscheinlich als angemessen.
Praktische Compliance für den weltweiten Betrieb
Für die meisten Unternehmen gilt: Finde heraus, wo du viel Besucher-Traffic hast, priorisiere diese Rechtsräume und baue Analytics, das den strengsten geltenden Standard erfüllt. Wende diesen Standard dann überall an. Das ist einfacher, als für jeden Rechtsraum eine eigene Analytics-Konfiguration zu pflegen.
Regionale Unterschiede ohne Zersplitterung
Du brauchst nicht für jedes Land ein anderes Analytics-System. Du brauchst ein System, das nach dem höchsten geltenden Standard gebaut ist (meist die DSGVO) und regionale Abweichungen berücksichtigen kann (zum Beispiel ausdrückliche Opt-out-Wege, wo sie vorgeschrieben sind, oder Datenspeicherung im Land, wo sie verlangt wird).
Wie finde ich heraus, welche Gesetze welcher Länder für mich gelten? Soll ich dafür Analytics-Daten zum Traffic nutzen?
Ja, nutze Analytics zur Eingrenzung. Hole dir die Herkunft der Besucher der letzten 12 Monate: Welche Länder haben nennenswerten Traffic (5 % und mehr)? Deren Gesetze gelten wahrscheinlich. Recherchiere jedes Land mit viel Traffic: EU = DSGVO, Kanada = PIPEDA, Brasilien = LGPD, Indien = DPDPA, Australien = Privacy Act. Priorisiere nach Traffic: 40 % EU-Traffic heißt, die DSGVO kommt zuerst. Prüfe auch: Hast du Mitarbeiter, Büros oder Geschäftspartner in bestimmten Ländern? Wenn ja, gelten deren Gesetze unabhängig vom Traffic. Nutze Analytics als Ausgangspunkt und ergänze es um Fragen zum Betrieb. Dann hast du deine Landkarte der Vorschriften.
Die LGPD sieht 2 % vom Umsatz vor, die DSGVO 4 %. Was ist tatsächlich strenger?
Die 4 % der DSGVO sind das höhere Maximum. Aber die Berechnung zählt. DSGVO: 4 % des weltweiten Umsatzes. LGPD: 2 % des Umsatzes (unklar, ob nur in Brasilien oder weltweit). In der Praxis: Beide setzen vor allem bei großen Unternehmen an. Ein Verstoß eines kleinen Unternehmens kostet unter beiden 50.000 bis 500.000 €. Die Größe zählt mehr als der Prozentsatz. Praktisch: Behandle beide als hart. Vermeide Verstöße, statt auf Unterschiede bei den Prozentsätzen zu setzen. Beide sind ernst.
Welche Länder verlangen die Datenspeicherung im Land, und wie wirkt sich das auf mein Analytics aus?
Datenspeicherung im Land schreiben vor: Russland, China, Indien, Indonesien (ab 2022), Vietnam. Die EU regelt das locker über Standardvertragsklauseln und Angemessenheitsbeschlüsse. Für Analytics: Nutzt du einen US-Anbieter (Google Analytics), verstoßen dessen US-Server gegen diese Pflicht. Lösungen: Anbieter mit lokalen Servern (zum Beispiel EU-Server von Google Analytics für die DSGVO, Server in Indien für indisches Recht) oder lokale Plattformen mit Datenschutz an erster Stelle. Prüfe deinen Anbieter: Wo speichert er? Liegt der Speicherort nicht in den geforderten Ländern, hast du eine Lücke. Das ist eine Frage der Anbieterwahl (Einrichtung), nicht des Betriebs (Compliance ist Infrastruktur).
Indiens Gesetz trat 2024 in Kraft, Brasilien verschärft die Durchsetzung. Wie gehe ich mit sich bewegenden Zielen um?
Es gibt drei Ansätze: (1) Abwarten (riskant, aber bei neuer Durchsetzung üblich). (2) Mehr tun als nötig (DSGVO-Standard, auch wenn das lokale Recht weniger streng ist: sicherer, aber aufwendiger). (3) Beobachten und anpassen (nach den aktuellen Anforderungen bauen, Aktualisierungen einplanen, wenn sich das Recht ändert). Indiens DPDPA ist 2024 in Kraft getreten, die Durchsetzung baut sich auf. Die meisten Unternehmen setzen auch für Indien auf Compliance auf DSGVO-Niveau. Brasiliens LGPD: aktiv, aber die Durchsetzung konzentriert sich auf große Unternehmen. Kleinere Unternehmen haben ein geringeres Risiko. Sichere Strategie: Baue für Länder mit sich entwickelnder Durchsetzung nach der DSGVO, beobachte die Änderungen der Vorschriften vierteljährlich und passe dich bei größeren Änderungen an.
Was ist Schrems II und wie wirkt es auf meine Datenübermittlung zwischen der EU und den USA bei Analytics?
Schrems II (2020) erklärte das Privacy Shield für ungültig und schwächte die Standardvertragsklauseln für Übermittlungen zwischen der EU und den USA. Das Gericht sagte: Standardvertragsklauseln allein garantieren keinen Schutz, wenn das Empfängerland Massenüberwachung erlaubt. Folge: Du brauchst Standardvertragsklauseln PLUS ergänzende Schutzmaßnahmen (Verschlüsselung, Zugriffskontrollen, Datenminimierung). Für Analytics: Nutzt du einen US-Anbieter, braucht er Standardvertragsklauseln plus ergänzende Maßnahmen. Viele Anbieter, auch Google, haben sie ergänzt. Prüfe deinen Anbieter: Geht er auf Schrems II ein? Gibt es nur Standardvertragsklauseln, bist du angreifbar. Viele bieten Datenspeicherung in der EU als einfachste Lösung an (Daten in der EU speichern, keine Übermittlung).
Unterscheiden sich die Regionen bei Opt-in und Opt-out? Soll ich die Einwilligung pro Region regeln?
Die Regionen unterscheiden sich, aber du brauchst keine Mechanik pro Region. Das Muster: Die meisten sind zum Opt-in übergegangen (ausdrückliche Einwilligung vor dem Tracking). DSGVO = Opt-in. CCPA war früher Opt-out (der CPRA geht bei sensiblen Daten zum Opt-in über). LGPD = Opt-in. PIPEDA = Opt-in. Indien = Opt-in. Die meisten modernen Gesetze setzen auf Opt-in. Führe Opt-in weltweit ein (das übertrifft die Anforderungen an ein Opt-out). Ein Einwilligungsverfahren: „Dürfen wir dich tracken?“ Ja oder nein. Für das frühere Opt-out des CCPA ergänzt du einen Link „Meine Daten nicht verkaufen“ (erfüllt Kalifornien). Eine globale Einwilligung deckt die regionalen Unterschiede ab: Opt-in als Basis plus ein Link für Kalifornien. Eine Analytics-Konfiguration pro Region ist nicht nötig.