Bill C-36 und PPCDA: Kanadas dritte Neufassung des Datenschutzrechts, KI-Daten-Governance wird in den Verbraucherschutzrahmen eingebettet

Bill C-36 und PPCDA: Kanada schreibt das Datenschutzrecht zum dritten Mal neu, und KI-Daten-Governance wird in den Verbraucherschutzrahmen eingebettet

Die letzte substanzielle Neufassung des kanadischen Bundesdatenschutzrechts wurde abgeschlossen, bevor das Internet durch Smartphones und die Datenökonomie grundlegend umgeschrieben wurde. Mehr als zwanzig Jahre später versucht die Bundesregierung erneut, es zu ersetzen – dies ist bereits der dritte Versuch.

I. Das Ereignis: Kein bloßer Gesetzesaustausch, sondern ein Neuaufbau der Durchsetzungsarchitektur

Am 15. Juni 2026 brachte die kanadische Regierung Bill C-36 ein. Wird er verabschiedet, ersetzt er das Gesetz zum Schutz personenbezogener Informationen und elektronischer Dokumente (PIPEDA) durch das Gesetz zum Schutz von Privatsphäre und Verbraucherdaten (Protecting Privacy and Consumer Data Act, PPCDA).

Oberflächlich betrachtet handelt es sich um einen Gesetzeswechsel; im Kern konzentrieren sich die Änderungen auf drei Punkte.

Erstens: Die Durchsetzungsbefugnis wandelt sich von „Empfehlung“ zu „Anordnung“. Unter dem PIPEDA-Rahmen förderte das Büro des Datenschutzkommissars von Kanada die Compliance durch Untersuchungen und Empfehlungen. Die PPCDA bündelt die Aufsicht über Angelegenheiten der Privatsphäre und der digitalen Sicherheit bei einer neuen Institution – der Kanadischen Kommission für digitale Sicherheit und Datenschutz –, der drei Funktionseinheiten unterstehen:

• Kommissar für Privatsphäre und Verbraucherdaten: untersucht Beschwerden und löst sie informell, schließt Compliance-Vereinbarungen, führt Audits durch und erlässt Mitteilungen über Verstöße;
• Kommission: erlässt verbindliche Anordnungen;
• Tribunal für Privatsphäre und Verbraucherdaten: ist für die Streitbeilegung zuständig.

Zweitens: Sanktionen und Klagerechte werden gleichzeitig eingeführt. Die Kommission kann gegen nicht konforme Organisationen Geldstrafen von bis zu 10 Mio. CAD oder 3 % des weltweiten Umsatzes verhängen (je nachdem, welcher Betrag höher ist); bei schweren Straftaten, die im Anklageverfahren verfolgt werden – etwa Verstößen gegen den Schutz von Hinweisgebern, Behinderung von Datenschutzuntersuchungen oder Verstößen gegen die Meldepflicht bei Datenpannen –, steigt die Obergrenze auf 25 Mio. CAD oder 5 % des weltweiten Umsatzes. Sofern der Kommissar einen formellen Verstoß feststellt und diese Feststellung nicht durch ein Gericht im Rechtsmittelweg aufgehoben wird, erhalten betroffene Verbraucher zudem ein privates Klagerecht und können Schäden oder Nachteile geltend machen.

Drittens: Compliance wandelt sich von „Grundsätzen“ zu „Dokumenten“. Die PPCDA verlangt von Organisationen, einen Datenschutzmanagementplan aufzustellen, der Maßnahmen zum Schutz personenbezogener Informationen, Verfahren für Informationsanfragen und Beschwerden, Schulungsanforderungen für Mitarbeitende sowie Erläuterungen der relevanten Richtlinien und Verfahren festlegt. Die Einwilligungsregeln werden zugleich verschärft: Eine Einwilligung muss wirksam und grundsätzlich ausdrücklich sein; eine Ausnahme ist nur zulässig, wenn es angemessen ist, sich auf eine stillschweigende Einwilligung zu verlassen. Organisationen müssen in klarer Sprache über den Zweck der Erhebung, die Methode, die vernünftigerweise vorhersehbaren Folgen, die konkreten Arten der gesuchten Informationen sowie die Namen oder Arten der Dritten, die Informationen möglicherweise erhalten, informieren.

II. Warum jetzt: Die Weichenstellungen hinter drei Versuchen

Um C-36 zu verstehen, muss man ihn in die Gesetzgebungsabfolge einordnen.Bill C-27 sah die Einrichtung eines „Tribunals für den Schutz personenbezogener Informationen und Daten“ vor, übertrug dem Tribunal Geldbußen- und Anordnungsbefugnisse und beließ die Untersuchung beim Datenschutzkommissar – ein Modell der „Trennung von Untersuchung und Entscheidung“, verbunden mit eigenständiger KI-Gesetzgebung. Dieser Weg wurde nicht zu Ende gegangen.

Bill C-34 (Gesetz über sichere soziale Medien) schuf dagegen die Kommission für digitale Sicherheit und erließ das Gesetz über digitale Sicherheit sowie das Gesetz über die kanadische Kommission für digitale Sicherheit.

Der Ansatz von C-36 besteht darin, die beiden vorgenannten Stränge zusammenzuführen: die aus C-34 stammende Institution zu übernehmen, sie in Kommission für digitale Sicherheit und Datenschutz umzubenennen und sie um Datenschutz-Durchsetzungsaufgaben zu ergänzen; zugleich wird das Trennungsmodell von C-27 aufgegeben und keine eigenständige KI-Regulierungsgesetzgebung mehr aufgenommen, stattdessen werden automatisierte Entscheidungen über Transparenzpflichten behandelt.

Die Richtung dieser Abwägung ist klar: Kanada entscheidet sich für „Integration der Aufsichtsbehörden + Absorption von KI im bestehenden Datenschutzrahmen“ und weder für eine europäische Form zentraler Digitalgesetzgebung noch für eine US-amerikanische Form sektoral fragmentierter Durchsetzung.

Die PPCDA enthält außerdem eine nicht erschöpfende Liste von Faktoren, die die Kommission bei der Wahrnehmung ihrer Aufgaben abwägen muss, darunter: den Zweck des Gesetzes, Größe und Umsatz der Organisation, Menge und Sensibilität der von der Organisation kontrollierten personenbezogenen Informationen, das Kindeswohl, die Bedeutung der Achtung der kanadischen internationalen Handelsverpflichtungen, die Unterstützung des Wachstums der kanadischen Marktwirtschaft, die Bedeutung von Wettbewerb und Innovation sowie alle sonstigen Belange des öffentlichen Interesses.

III. Was bedeutet das für die kanadische Industrie?

Compliance-Kosten werden strukturell steigen, aber ungleich verteilt sein. Datenschutzmanagementprogramme, Datenschutz-Folgenabschätzungen vor grenzüberschreitender Übermittlung, Einwilligungsverwaltung und erklärbare Ergebnisse automatisierter Entscheidungen werden sich alle in fixe Kosten verwandeln. Für große Unternehmen mit Rechts- und Datenschutzteams ist dies eine Prozessumstellung; für KMU und Start-ups in der Frühphase kann es eine Variable für Produkttakt und Finanzierungsrhythmus sein. Dass das Gesetz „Größe und Umsatz der Organisation“ sowie „Menge und Sensibilität der Informationen“ in die Durchsetzungserwägungen aufnimmt, ist gleichbedeutend mit einer Anerkennung der Notwendigkeit differenzierter Durchsetzung auf Gesetzesebene – dies ist sowohl ein Puffer für KMU als auch eine Übertragung des Ermessens an die Aufsichtsbehörde.

Datennachnutzung erhält einen schmalen Zugang. Die PPCDA unterscheidet nun förmlich zwischen „de-identifizierten Daten“ und „anonymisierten Daten“: Anonymisierte Daten fallen nach einer dauerhaften Veränderung, bei der kein vernünftigerweise vorhersehbares Re-Identifikationsrisiko mehr besteht, aus dem Anwendungsbereich des Gesetzes heraus; de-identifizierte Daten bleiben personenbezogene Informationen, doch Organisationen dürfen sie ohne Einwilligung der betroffenen Person für interne Forschung und Entwicklung verwenden, während es ihnen ausdrücklich verboten ist, de-identifizierte Daten zur Re-Identifikation von Personen zu nutzen. Für kanadische KI-Teams, die auf Datentraining und Modelliteration angewiesen sind, könnte diese Grenzlinie wichtiger sein als jede Geldbußenvorschrift.

Datenübertragbarkeit wird zu einem Wettbewerbsinstrument. Einzelpersonen erhalten das Recht, von einer Organisation zu verlangen, dass sie die Daten der betroffenen Person sicher und direkt an eine andere designierte Organisation überträgt. Solche Rahmenwerke zur „Datenmobilität“ gelten international üblicherweise als Mittel, um Wechselkosten zu senken und Lock-in-Effekte bestehender Plattformen abzuschwächen; ihre tatsächliche Wirkung hängt von Interoperabilitätsstandards ab, nicht vom Recht selbst.Das Löschrecht schließt eine Instrumentenlücke. PIPEDA gewährt Einzelpersonen das Recht, auf ihre Daten zuzugreifen und deren Richtigkeit anzuzweifeln, es fehlt jedoch ein ausdrückliches Löschinstrument. Der PPCDA erlaubt es, die Löschung oder Entsorgung personenbezogener Daten zu verlangen, wenn die Einwilligung widerrufen wird oder die Daten nicht mehr benötigt werden.

Für grenzüberschreitende Datenflüsse gilt nun ein vorgelagertes Verfahren. Bevor Organisationen personenbezogene Daten außerhalb Kanadas offenlegen oder übermitteln, müssen sie eine Datenschutz-Folgenabschätzung durchführen. Für kanadische Unternehmen, die in großem Umfang US-Cloud-Infrastruktur und Rechenzentren nutzen, ist dies eine regelmäßige Compliance-Maßnahme.

IV. Was bedeutet das für den globalen Technologiewettbewerb

Betrachtet man den PPCDA im internationalen Koordinatensystem, werden drei Trends deutlicher.

Erstens: Die globale Datenschutz-Durchsetzung bewegt sich von der „informierten Einwilligung“ hin zu „Rechenschaftspflicht + Risiko“. Der Schwerpunkt der Compliance liegt nicht mehr darin, eine einmalige Einwilligung einzuholen, sondern darin, kontinuierlich nachzuweisen, dass eine Organisation Risiken managen kann – das Datenschutz-Managementprogramm ist ein Produkt dieser Denkweise.

Zweitens: KI-Erklärbarkeit wird in das Datenschutzrecht integriert, statt einer eigenen Gesetzgebung überlassen zu werden. Der PPCDA verlangt von Organisationen, die automatisierte Entscheidungssysteme oder KI nutzen, um Entscheidungen mit rechtlicher oder erheblicher Wirkung für Einzelpersonen zu treffen, dass sie Einzelpersonen erklären, wie die Entscheidung getroffen wurde, welche Daten verwendet wurden und welche Hauptfaktoren eine Rolle spielten. Dies ist eine „eingebettete“ Governance: Man muss nicht auf ein KI-Gesetz warten, sondern deckt mit dem bestehenden Datenschutzrahmen zunächst die unmittelbarsten Risiken für individuelle Rechte ab. Der Preis ist ein relativ enger Anwendungsbereich – er beschränkt sich auf die Erklärung der Entscheidung nach außen, nicht auf Modelltraining, Datenherkunft oder systemische Risiken.

Drittens: Bußgelder an den globalen Umsatz zu koppeln ist bereits Standardpraxis. Die beiden Stufen von 3 % und 5 % im PPCDA folgen derselben Logik wie die Sanktionsregelung der EU-Datenschutz-Grundverordnung (GDPR), die als Obergrenze einen Prozentsatz des weltweiten Jahresumsatzes vorsieht. Das Wesen solcher Konstruktionen besteht darin, die abschreckende Wirkung der Durchsetzung an der globalen Größe eines Unternehmens auszurichten und nicht an der lokalen Marktgröße.

V. Was in den nächsten 3–10 Jahren passieren könnte

Kurzfristig (1–3 Jahre): Der Gesetzentwurf muss noch das Parlamentsverfahren durchlaufen und ist noch nicht in Kraft. Das eigentliche Beobachtungsfenster sind die ersten Durchsetzungsmaßnahmen nach dem Inkrafttreten – wie die Kommission ihre Anordnungsbefugnis nutzt, wie sie den „überwiegenden“ Standard in der Ausnahme des „berechtigten Interesses“ definiert und wie sie mit Datenschutz-Folgenabschätzungen umgeht, die sich auf diese Ausnahme stützen; dies wird entscheiden, ob dieses Rahmenwerk auf dem Papier bleibt oder Fallrecht entsteht.

Mittelfristig (3–5 Jahre): Der Auslegungsspielraum der Erklärungspflicht für automatisierte Entscheidungen wird in den Fokus rücken. Was ist eine „rechtliche oder erhebliche Wirkung“? Wo ist die Grenze zwischen Empfehlungssystemen, Preisbildungssystemen, Personalauswahl und Bonitätsbewertung zu ziehen? Sobald diese Grenzen durch Durchsetzung oder Gerichtswege definiert sind, werden sie unmittelbar die Designvorgaben für kanadische KI-Produkte bestimmen.Langfristig (5–10 Jahre): Zwei strukturelle Spannungsfelder werden fortbestehen. Erstens die Überlagerung von Bundes- und Provinzdatenschutzrecht – Provinzregelungen wie das Quebecer Gesetz Nr. 25, der FIPPA in British Columbia und andere bestehen parallel zum Bundesrahmen, sodass Unternehmen, die provinzübergreifend tätig sind, mit mehreren Regelwerken konfrontiert werden. Zweitens die Frage, ob eine spezielle KI-Gesetzgebung weiterhin notwendig ist – wenn Datenschutzgesetze einen Teil der KI-Transparenzfunktionen übernehmen, wird die Frage, ob Kanada wie bei C-27 erneut einen eigenständigen KI-Gesetzesvorstoß unternimmt oder langfristig diesen eingebetteten Weg beibehält, seine Position und Glaubwürdigkeit in internationalen KI-Governance-Verhandlungen beeinflussen.

Fazit: Die langfristigen Trends, die wirklich kontinuierliche Aufmerksamkeit verdienen

Das Wesentliche an Bill C-36 und dem PPCDA ist nicht eine Zu- oder Abnahme der Compliance-Last, sondern dass Kanada die grundlegende Regelungsinfrastruktur für eine datengetriebene Wirtschaft legt.

Die strategische Bedeutung dieser Sache für die künftige kanadische Technologiebranche liegt darin: Kanada definiert sein Niveau der digitalen Governance derzeit über „Durchsetzungsfähigkeit“ statt über „Gesetzgebungsmenge“. In den vergangenen zwei Jahrzehnten wurde PIPEDA weithin als ein Rahmen ohne Zähne angesehen; empfehlungsbasierte Compliance konnte kaum abschrecken und bot in internationalen Interoperabilitätsverhandlungen auch kaum Verhandlungsmasse. Das PPCDA bündelt Untersuchungen, Anordnungen, Sanktionen und private Klagerechte in den Händen einer einzigen Behörde und versucht, diesen Eindruck zu ändern.

Doch die Variable, die wirklich über Erfolg oder Misserfolg entscheidet, liegt nicht im Gesetzestext, sondern bei zwei noch unbeantworteten Fragen: Kann die Aufsichtsbehörde Fachkompetenz aufbauen, die mit dem Tempo der technologischen Entwicklung Schritt hält; und wird die enge Pforte „deidentifizierte Daten dürfen für interne Forschung und Entwicklung verwendet werden“ letztlich als legaler Kanal für KI-Trainingsdaten ausgelegt oder als von Fall zu Fall enger gezogene Ausnahme?

Wenn Ersteres zutrifft, gewinnt Kanada im globalen KI-Wettbewerb einen unterschätzten Vermögenswert – einen Satz vorhersehbarer, risikobasierter Regeln für die Datennutzung; wenn Letzteres enger gefasst wird, werden Unternehmen gezwungen sein, Trainings- und Inferenzschritte aus Kanada zu verlagern, und die Modernisierung des Datenschutzrechts würde dann sogar zu einem Antrieb für die Abwanderung der Branche.

Das ist die kanadische Hausaufgabe, die in den nächsten zehn Jahren am meisten Beobachtung verdient.