Bill C-36: Kanadas dritter Anlauf zur Datenschutzreform – strategische Überlegungen hinter der Abwesenheit von KI

Am 15. Juni 2026 hat die kanadische Bundesregierung erneut eine Reform des Datenschutzrechts für den privaten Sektor angestoßen. Der vom neu geschaffenen „Minister für künstliche Intelligenz und digitale Innovation“ Evan Solomon eingebrachte Gesetzentwurf C-36 sieht vor, das mehr als zwanzig Jahre alte PIPEDA durch den „Privacy Protection and Consumer Data Act“ (PPCDA) zu ersetzen. Dies ist nach C-11 von 2020 und C-27 von 2022 der dritte Versuch innerhalb von sechs Jahren. Die beiden vorherigen Gesetzesvorlagen scheiterten, weil sie den Gesetzgebungsprozess nicht vollständig durchliefen. Oberflächlich betrachtet handelt es sich lediglich um eine erneute gesetzgeberische Anstrengung, doch bei genauerer Betrachtung von Inhalt und Zeitpunkt des Bill C-36 zeigt sich, dass Kanada seine Gesamtstrategie für digitale Governance anpasst: Die Entkopplung der Datenschutzreform von der KI-Regulierung, die Konsolidierung der Regulierungszuständigkeiten und die Schaffung von Ausnahmen für KI-Trainingsdaten deuten darauf hin, dass Ottawa versucht, eine neue Balance zwischen dem Schutz der Bürger und der Begrenzung der Regulierungslast zu finden.

Drei Versuche in sechs Jahren: Warum ist die Reform so schwierig?

Kanadas Datenschutzreform kommt nur mühsam voran. Seit PIPEDA in Kraft trat, ist sein Grundgerüst unverändert geblieben, während sich die digitale Wirtschaft grundlegend gewandelt hat. Die Umsetzung der DSGVO und das Erscheinen des Gesetzes 25 in Québec üben Druck auf die Bundesebene aus, einheitliche Standards zu schaffen. Das Scheitern von C-11 und C-27 war jedoch nicht auf fehlenden Konsens zurückzuführen, sondern auf den zu weit gefassten Geltungsbereich der Gesetzesvorlagen und einen ungünstigen politischen Zyklus. Insbesondere C-27 koppelte die Datenschutzreform an ein KI-Gesetz (AIDA), dessen Kontroversen das gesamte Gesetzespaket belasteten. Wirtschaft, Wissenschaft und Zivilgesellschaft waren sich über die Strenge der KI-Regulierung und die Grenzen der Zuständigkeiten uneinig, was dazu führte, dass das Gesetz in der Ausschussphase stecken blieb. Mit Bill C-36 wird die KI nun vollständig ausgeklammert und nur der Datenschutz behandelt – offensichtlich eine Lehre aus dem Scheitern.

Was diesmal anders ist: Abwesenheit von KI und neue Aufsichtsbehörde

Der auffälligste Unterschied zwischen Bill C-36 und C-27 besteht darin, dass kein separates KI-Gesetz mehr enthalten ist. Das bedeutet nicht, dass KI unwichtig wäre, sondern dass die Regierung dies separat in der am 4. Juni veröffentlichten „Nationalen KI-Strategie“ regeln will; in der Strategie wird ausdrücklich die Notwendigkeit einer Modernisierung des Datenschutzrechts erwähnt, zu einer KI-Gesetzgebung schweigt sie sich jedoch aus. Das heißt, Kanada wird kurzfristig kein umfassendes KI-Gesetz wie das EU-„AI Act“ erlassen, sondern sich auf bestehende Gesetze (einschließlich des bevorstehend erneuerten Datenschutzrechts) stützen, um KI-Risiken zu begegnen. Eine weitere wichtige Änderung ist die Konsolidierung der Regulierungsstruktur. Bill C-36 sieht vor, die Datenschutzaufsicht für den Privatsektor vom Büro des Datenschutzbeauftragten (OPC) auf eine noch nicht eingerichtete neue Behörde zu übertragen – die „Digital Safety and Data Protection Commission“. Diese Kommission geht aus dem derzeit in Beratung befindlichen Gesetz zur Bekämpfung von Online-Schäden (C-34) hervor, was bedeutet, dass Privatsphäre und Schutz personenbezogener Daten mit der Regulierung der Online-Sicherheit zusammengelegt werden. Dieses Modell einer „Multi-Zuständigkeits-Kommission“ ist in Kanada neu; es soll die regulatorische Zersplitterung verringern, birgt aber auch Bedenken hinsichtlich einer Machtkonzentration.

Auswirkungen auf die Industrie: Compliance-Anpassungen und Ausnahmen für KI-TrainingFür Unternehmen behält das PPCDA die meisten Kernbestimmungen des früheren Entwurfs bei: Es basiert auf Einwilligung, fügt jedoch Ausnahmen wie „geschäftliche Aktivitäten“ und „berechtigte Interessen“ hinzu; es unterscheidet zwischen De-Identifizierung und Anonymisierung, wobei anonymisierte Informationen nicht rechtlich gebunden sind und die Standards gelockert wurden; bei Verstößen wird weiterhin der Standard des „echten erheblichen Schadensrisikos“ verwendet. Eine der auffälligsten Änderungen ist die ausdrückliche Erlaubnis, unter bestimmten Bedingungen KI-Modelle auf der Grundlage öffentlich zugänglicher Informationen zu trainieren, ohne eine Einwilligung einzuholen. Diese Ausnahme reagiert direkt auf die Forderungen der KI-Industrie nach Datenzugang. Natürlich ist diese Ausnahme nicht unbegrenzt: Sie muss den Erwartungen einer vernünftigen Person entsprechen und darf nicht dazu verwendet werden, das Verhalten oder die Entscheidungen von Einzelpersonen zu beeinflussen. Das bedeutet, dass KI-Unternehmen in gewissem Maße frei öffentlich zugängliche Daten aus dem Internet nutzen können, aber weiterhin sorgfältig mit sensiblen Informationen umgehen müssen. Gleichzeitig, da weiterhin Datenschutzgesetze auf Provinzebene in Kanada bestehen, werden Unternehmen nach der Verabschiedung des Bundesgesetzes mit einem komplexeren Compliance-Puzzle konfrontiert sein.

Bedeutung für Kanada: Das Puzzle der digitalen Strategie

Die Tatsache, dass der Gesetzentwurf zur Privatsphäre zwei Wochen nach der Veröffentlichung der KI-Strategie vorgelegt wurde, ist bemerkenswert. Ein modernes, vorhersehbares Datenschutzgesetz ist die Grundlage für die KI-Wettbewerbsfähigkeit eines Landes. Kanada verfügt über ein starkes KI-Forschungsökosystem, aber die Kommerzialisierung wurde bisher durch unzureichende Datenmobilität und unklare Regeln behindert. Wenn Bill C-36 verabschiedet wird, würde es einen einheitlichen Bundesrahmen bieten, insbesondere die KI-Trainingsausnahme, die voraussichtlich mehr Unternehmen dazu bewegen könnte, ihre Datenverarbeitung in Kanada zu belassen. Darüber hinaus spiegelt die Zusammenlegung von Datenschutzaufsicht und digitaler Sicherheit den Wunsch der Regierung wider, digitale Risiken mit einem „One-Stop-Shop“-Ansatz zu bewältigen und die Durchsetzungseffizienz zu verbessern. Dies könnte jedoch auch dazu führen, dass der Datenschutz im sicherheitsorientierten Diskurs an den Rand gedrängt wird, was einer weiteren Beobachtung wert ist.

Globale Trends und Zukunftsausblick

Kanada ist kein Einzelfall. Die globale Datenschutzregulierung bewegt sich auf eine Koexistenz von „Europäisierung“ und „Lokalisierung“ zu. Die DSGVO ist de facto zum Maßstab geworden, aber die Länder nehmen adaptive Änderungen im Detail vor. Kanada führt diesmal die DSGVO-artige Ausnahme des berechtigten Interesses ein, ohne sie jedoch vollständig zu übernehmen, was Pragmatismus zeigt. Gleichzeitig zeigt sich bei der KI-Regulierung ein Trend von der umfassenden Gesetzgebung hin zur brancheneingebetteten Regulierung. Die USA verfügen auf Bundesebene weiterhin über keine einheitliche Datenschutzgesetzgebung, während der KI-Regulierungsrahmen der EU gerade erst eingeführt wurde. Kanada wählt den Ansatz, zuerst den Datenschutz und dann die KI zu regeln, um zu vermeiden, dass ein großes „Supergesetz“ erneut in eine Sackgasse gerät. In den nächsten 3 bis 10 Jahren können wir erwarten: Viele Details des PPCDA werden späteren Verordnungen überlassen, wie z.B. der Datenmobilitätsrahmen und Regeln für grenzüberschreitende Übermittlungen. Diese werden darüber entscheiden, ob Kanada den „Angemessenheitsbeschluss“ mit der EU aufrechterhalten kann, um den grenzüberschreitenden Datenfluss zu erhalten. Auch die Rolle der neuen Regulierungsbehörde wird zunehmend klarer werden; ihre Durchsetzungsstärke und Regelungsbefugnisse werden die langfristige Entwicklung des kanadischen digitalen Marktes prägen.

Langfristiger Trend: Der strategische Dreh- und Angelpunkt der DatenverwaltungDas nächste Schlachtfeld der Datenschutzreform liegt nicht auf dem Capitol Hill, sondern in der Regelungskompetenz der Aufsichtsbehörden. Bill C-36 selbst ist ein Rahmenwerk; was die Industrie wirklich beeinflusst, sind die anschließend erlassenen Vorschriften. Unternehmen sollten die „Abwarten“-Haltung ablegen und ihre Daten-Compliance-Systeme im Voraus an die Anforderungen des PPCDA-Entwurfs anpassen, insbesondere bei der Verwaltung von De-Identifizierung und KI-Trainingsdaten. Für Kanada hängt der Erfolg dieser Gesetzgebung nicht nur mit dem Datenschutz zusammen, sondern auch damit, ob es im globalen KI-Wettbewerb einen Datenvorteil aufbauen kann. Wenn Kanada ein Datenverwaltungssystem schaffen kann, das sowohl die Bürgerrechte schützt als auch Innovation unterstützt, wird es zur „Regelbrücke“ des digitalen Zeitalters – genau darin liegt seine strategische Bedeutung.