Alle wichtigen Datenschutzgesetze teilen Kernprinzipien: Einwilligung, Transparenz, Datenminimierung, Sicherheit und Nutzerrechte. Sie unterscheiden sich aber in Geltungsbereich, Durchsetzung und Strafen. Wenn du ihre Unterschiede kennst, erkennst du, welche für dein Unternehmen gelten, und kannst eine Compliance-Strategie bauen, die mehrere Rahmen gleichzeitig abdeckt.
Kernprinzipien aller Datenschutzgesetze
Jeder wichtige Datenschutzrahmen (DSGVO, CCPA, LGPD, PIPEDA und andere) verlangt in irgendeiner Form: Transparenz über die Datenerfassung, eine Erlaubnis, bevor du die meisten personenbezogenen Daten erfasst, nur das zu behalten, was nötig ist, Daten vor Missbrauch zu schützen und Einzelpersonen Rechte an ihren eigenen Informationen zu geben. Darüber gibt es keine Diskussion. Wenn du diese Prinzipien achtest, bist du mit den meisten Rahmen konform.
Die Unterschiede, auf die es ankommt
Einwilligungsmodell: Die DSGVO verlangt für das meiste Tracking eine ausdrückliche Opt-in-Einwilligung. Der CCPA nutzt beim Verkauf von Daten das Opt-out (geht aber Richtung Opt-in). Die meisten neueren Gesetze folgen dem Opt-in-Modell der DSGVO.
Definition personenbezogener Daten: Die DSGVO und andere definieren personenbezogene Daten weit. Der CCPA ist noch weiter gefasst. Weit gefasst heisst: Mehr Daten lösen Anforderungen der Compliance aus.
Geltungsbereich: Die DSGVO gilt für Einwohner der EU. Der CCPA gilt für Einwohner Kaliforniens. Die LGPD gilt für Einwohner Brasiliens. Auf denselben Nutzer können mehrere Gesetze zutreffen, je nachdem, wo er sich aufhält oder wo dein Unternehmen tätig ist.
Strafen: DSGVO: bis zu 4 % vom Umsatz. CCPA: 2.500 bis 7.500 Dollar pro Verstoss. LGPD: bis zu 2 % vom Umsatz. Die Strafen sind überall hart.
Durchsetzung: Die DSGVO hat aktive, entschlossene Behörden (nationale Aufsichtsbehörden). Die Durchsetzung des CCPA wächst (Generalstaatsanwalt, Klagerecht für Privatpersonen). Die Durchsetzung der LGPD nimmt Fahrt auf. Die meisten Gesetze werden aktiv durchgesetzt.
Detaillierter Vergleich: DSGVO, CCPA, LGPD, PIPEDA
Einwilligung
DSGVO und LGPD: ausdrückliches Opt-in nötig. CCPA: Opt-out beim Verkauf von Daten (der CPRA geht bei sensiblen Daten Richtung Opt-in). PIPEDA: Opt-in für die meisten Zwecke. Am strengsten: DSGVO und LGPD.
Definition personenbezogener Daten
DSGVO: alles, was eine Person direkt oder indirekt identifiziert. CCPA: weiter gefasst, umfasst Schlussfolgerungen und Vorhersagen. LGPD und PIPEDA: ähnlich wie die DSGVO. Gewinner: Der CCPA ist am weitesten gefasst.
Nutzerrechte
Alle verlangen: Auskunft, Löschung und Übertragbarkeit. Die DSGVO ergänzt: Recht auf Berichtigung, Recht auf Einschränkung der Verarbeitung, Widerspruchsrecht. Der CPRA ergänzt: Recht auf Berichtigung, Recht auf Einschränkung der Nutzung. PIPEDA ist weniger ausdrücklich, aber ähnlich. Alle sind stark. DSGVO und CPRA sind am umfassendsten.
Datenminimierung
DSGVO, LGPD, PIPEDA: ausdrückliche Pflicht, nur das Nötige zu erfassen. CCPA: weniger ausdrücklich. Hier ist die DSGVO am strengsten.
Sicherheit und Meldung von Datenpannen
Alle verlangen angemessene Sicherheit. DSGVO: Behörden innerhalb von 72 Stunden informieren. CCPA: Betroffene innerhalb von 30 Tagen informieren (keine Pflicht gegenüber Behörden, aber eine Meldung an den Generalstaatsanwalt ist oft nötig). LGPD und PIPEDA ähneln der DSGVO. Bei der Frist für die Meldung ist die DSGVO am strengsten.
Deine Compliance-Pflichten bestimmen
Schritt 1: Die Herkunft deiner Besucher erfassen
Nutze dein Analytics, um zu sehen, woher dein Traffic kommt. Kommen Besucher aus der EU, gilt die DSGVO. Aus Kalifornien, gilt der CCPA. Aus Brasilien, gilt die LGPD. Die meisten Websites haben Besucher aus mehreren Rechtsräumen und lösen damit mehrere Gesetze aus.
Schritt 2: Den Betrieb des Unternehmens prüfen
Hast du Büros, Mitarbeiter oder Geschäftspartner in regulierten Rechtsräumen? Das kann auch ohne Website-Traffic zur Geltung führen (zum Beispiel kann ein Unternehmen mit Mitarbeitern in der EU, die Kundendaten verarbeiten, die DSGVO auslösen, unabhängig vom Website-Traffic).
Schritt 3: Das strengste geltende Gesetz bestimmen
Welches der Gesetze, die für dich gelten, ist das strengste? Meist die DSGVO. Baue die Compliance nach diesem Standard und wende ihn überall an. Das ist einfacher als Compliance pro Rechtsraum.
Schritt 4: Regionale Besonderheiten ergänzen
Manche Regionen verlangen bestimmte Mechanismen (zum Beispiel Datenspeicherung im Land in einigen asiatischen Ländern, ausdrückliche Opt-out-Schaltflächen nach dem CCPA in Kalifornien). Ergänze sie in deinem Basisansatz für die Compliance.
Der pragmatische Ansatz: die DSGVO als Basis
Für die meisten Unternehmen gilt praktisch: Geh davon aus, dass die DSGVO gilt (das tut sie meist, ausser du bist rein im Inland einer nicht regulierten Region tätig), baue nach den Standards der DSGVO und ergänze dann regionale Anforderungen. Die DSGVO-Compliance übertrifft fast immer die meisten anderen Rahmen. Das senkt die Komplexität und stellt sicher, dass du nie gegen Regeln verstösst.
Bin ich CCPA-konform, wenn ich die DSGVO einhalte?
Meistens ja. Die strengere Einwilligung und Datenminimierung der DSGVO übertreffen die Anforderungen des CCPA. Die weitere Definition von Daten im CCPA bedeutet, dass du beide Bereiche abdecken musst. Wer DSGVO-konform ist, erfüllt die meisten Pflichten des CCPA.
Welches Datenschutzgesetz ist in der Einhaltung am teuersten?
DSGVO und LGPD verlangen eine umfangreiche Infrastruktur (Datenverwaltung, Sicherheit, Nutzerrechte). Der CCPA ist einfacher. Die wahren Kosten entstehen durch die Nachbesserung, wenn du noch nicht konform warst, nicht durch die Compliance selbst.
Kann ich eine einzige Datenschutzerklärung für alle Rechtsräume nutzen?
Ja, wenn sie alle Datenpraktiken offenlegt und alle geltenden Gesetze erfüllt. Manche Unternehmen nutzen eine Kernerklärung plus regionale Ergänzungen. Entscheidend ist Transparenz über alles, was du erfasst.
Was ist der grösste Unterschied zwischen DSGVO und CCPA?
Das Einwilligungsmodell: Die DSGVO verlangt Opt-in, der CCPA nutzte Opt-out (und geht Richtung Opt-in). Deshalb übertrifft die DSGVO-Compliance meist den CCPA. Ein Unterschied mit grosser Wirkung.
Welche Landesgesetze gelten, wenn ich nur US-Besucher habe?
Alle Bundesstaaten mit nennenswertem Traffic. Kalifornien (CCPA), Virginia, Colorado, Connecticut, Utah, Montana und Delaware haben alle Gesetze. Die meisten Unternehmen nutzen einfach überall Compliance auf DSGVO-Niveau, um keine Konfiguration pro Staat zu brauchen.
Werden Datenschutzgesetze strenger?
Ja, weltweit. Der CCPA ist strenger als frühe Gesetze, der CPRA strenger als der CCPA, und neue internationale Gesetze folgen dem strengen Modell der DSGVO. Die Anforderungen werden nur noch höher.