Bill C-36 und PPCDA: Die dritte Neustrukturierung des kanadischen Datenschutzrechts zeichnet die Compliance-Grenzen im KI-Zeitalter neu

Am 15. Juni 2026 legte die kanadische Bundesregierung Bill C-36 vor. Wenn er verabschiedet wird, würde er den Personal Information Protection and Electronic Documents Act (PIPEDA) durch das Protecting Privacy and Consumer Data Act (Gesetz zum Schutz von Privatsphäre und Verbraucherdaten, PPCDA) ersetzen. Nach dem offiziellen Text des eingebrachten Gesetzentwurfs und Auslegungen von Anwaltskanzleien ist dies der dritte und möglicherweise weitreichendste Versuch der Bundesregierung, das Datenschutzrecht für den privaten Sektor zu modernisieren. Er ändert nicht nur Regeln, sondern baut auch die Aufsichtsbehörde selbst um.

I. Das Ereignis selbst: keine Gesetzesänderung, sondern ein Umbau des Grundgerüsts

Seit seiner Einführung im Jahr 2000 funktionierte PIPEDA lange nach dem Modell „Empfehlung – Compliance“: Das Büro des Datenschutzbeauftragten untersuchte Beschwerden und sprach Empfehlungen aus, besaß aber nicht die Befugnis, unmittelbar verbindliche Anordnungen zu erlassen und Geldstrafen zu verhängen. Die zentrale Änderung durch das PPCDA besteht darin, die Aufsicht über Datenschutz- und digitale Sicherheitsangelegenheiten bei einer neuen Einrichtung zu bündeln – der Kanadischen Kommission für digitale Sicherheit und Datenschutz (Digital Safety and Data Protection Commission of Canada).

Die Kommission geht aus dem „Ausschuss für digitale Sicherheit“ hervor, der durch Bill C-34, das Gesetz über sichere soziale Medien, eingerichtet wurde; sie wurde umbenannt und ihre Zuständigkeiten wurden erweitert, wodurch sie über die Datenschutzdurchsetzung und die digitale Sicherheit hinaus eine weitere Rolle erhielt. Für die Datenschutzaufsicht schafft das PPCDA drei Organe:

• Kommissar für Datenschutz und Verbraucherdaten: untersucht Datenschutzbeschwerden und löst sie informell, schließt Compliance-Vereinbarungen, führt Audits durch, erteilt Mitteilungen über Verstöße;
• Kommission: erlässt verbindliche Anordnungen;
• Abteilung für Datenschutz und Verbraucherdaten: ist für die Streitbeilegung zuständig.

Dies unterscheidet sich deutlich vom Ansatz von Bill C-27. C-27 hatte versucht, die Untersuchung von Beschwerden beim Datenschutzbeauftragten zu belassen und zusätzlich ein „Tribunal für personenbezogene Informationen und Datenschutz“ für finanzielle Sanktionen und Anordnungen einzurichten; das PPCDA geht diesen Weg getrennter Zuständigkeiten nicht, sondern überträgt derselben Kommission sowohl Untersuchung als auch Durchsetzung.

II. Warum jetzt: drei Entwicklungslinien laufen zusammen

Erstens: Es besteht seit Langem eine Durchsetzungslücke. Über mehr als zwanzig Jahre stützte sich die Datenschutzdurchsetzung im kanadischen Privatsektor hauptsächlich auf Reputationsmechanismen und freiwillige Compliance, wodurch die Aufsichtsintensität zunehmend hinter der wichtigster Handelspartner zurückblieb. Das PPCDA legt ausdrücklich fest, dass „die Achtung der internationalen Handelsverpflichtungen Kanadas“ und „die Unterstützung von Wirtschaftswachstum, Wettbewerb und Innovation auf dem kanadischen Markt“ zu den Faktoren zählen, die die Kommission bei der Wahrnehmung ihrer Aufgaben berücksichtigt; dies zeigt, dass die Gesetzgeber gleichzeitig unter zweifachem Druck stehen: Zu schwache Regeln schaden der Glaubwürdigkeit im grenzüberschreitenden Datenfluss, zu strenge Regeln wiederum setzen einheimische Unternehmen unter Druck.Zweitens findet die KI-Governance keinen Platz für eine eigenständige Gesetzgebung. Die PPCDA sieht kein separates KI-Regulierungsgesetz vor, sondern ordnet KI in den Datenschutzrahmen ein und behandelt sie über Transparenzpflichten: Wenn automatisierte Entscheidungssysteme oder KI eingesetzt werden, um Entscheidungen zu treffen, die rechtliche oder erhebliche Auswirkungen auf Einzelpersonen haben, müssen Organisationen den Betroffenen erklären, wie die Entscheidung getroffen wurde, welche Daten verwendet wurden und welche Hauptfaktoren einbezogen wurden. Dies ist ein pragmatischer Kompromiss – kein neues Gesetz zu erlassen, sondern zunächst durchsetzbare Pflichten an das bestehende Datenschutzregime anzuhängen.

Drittens die institutionelle Integration. Die PPCDA und Bill C-34 teilen sich denselben Ausschuss, was bedeutet, dass Kanada Plattform-Governance, Datenschutz-Durchsetzung und Datenschutz in denselben Regulierungsrahmen stellt, statt jeweils getrennte Wege zu gehen.

III. Fünf beachtenswerte Hauptlinien auf Regelungsebene

Durchsetzungsintensität. Der Ausschuss kann verbindliche Anordnungen erlassen; der Höchstbetrag der Geldbuße liegt bei 10 Millionen kanadischen Dollar oder 3 % des weltweiten Umsatzes (je nachdem, welcher Betrag höher ist). Bei schweren anklagefähigen Straftaten wie Verstößen gegen den Schutz von Hinweisgebern, der Behinderung von Datenschutzuntersuchungen oder Verstößen gegen Meldepflichten bei Datenschutzverletzungen beträgt das Maximum 25 Millionen kanadische Dollar oder 5 % des weltweiten Umsatzes. Die PPCDA schafft außerdem ein privates Klagerecht: Nachdem der Kommissar eine formelle Feststellung eines Verstoßes getroffen hat und diese nicht durch ein Gericht im Berufungsweg aufgehoben wurde, können betroffene Verbraucher für Verluste oder Schäden Entschädigung verlangen.

Verschärfung der Einwilligungsregeln und Ausweitung der Ausnahmen. Eine Einwilligung muss grundsätzlich wirksam und ausdrücklich sein; auf stillschweigende Einwilligung darf nur in geeigneten Fällen zurückgegriffen werden. Organisationen müssen in verständlicher Sprache über den Zweck der Erhebung, die Art und Weise der Erhebung, die Art und Weise der Verwendung oder Offenlegung, die vernünftigerweise vorhersehbaren Folgen, die konkrete Art der verlangten Informationen sowie den Namen oder die Art der Dritten informieren, die die Informationen möglicherweise erhalten. Gleichzeitig führt die PPCDA zwei neue Ausnahmekategorien ein: erstens „Geschäftstätigkeit und berechtigte Erwartung“, d. h. Erhebung oder Verwendung, die innerhalb der Erwartungen einer vernünftigen Person liegen und nicht dazu genutzt werden, das Verhalten oder die Entscheidungen von Einzelpersonen zu beeinflussen; zweitens „berechtigtes Interesse“, sofern dieses Interesse die vernünftigerweise vorhersehbaren nachteiligen Auswirkungen auf Einzelpersonen überwiegt und die Organisation das berechtigte Interesse identifizieren, eine Datenschutz-Folgenabschätzung durchführen und angemessene Minderungsmaßnahmen ergreifen muss.

Formelle Abgrenzung zwischen De-Identifizierung und Anonymisierung. Anonymisierte Daten werden dauerhaft so verändert, dass eine Re-Identifizierung vernünftigerweise nicht vorhersehbar ist, und fallen damit nicht mehr unter die PPCDA; de-identifizierte Daten bleiben personenbezogene Informationen. Organisationen dürfen personenbezogene Informationen ohne Einwilligung de-identifizieren und de-identifizierte Daten für interne Forschung und Entwicklung verwenden, dürfen sie jedoch nicht zur Re-Identifizierung von Einzelpersonen nutzen.

Transparenz automatisierter Entscheidungen. Dies ist eine der Arten, wie die PPCDA KI behandelt, und das erste Mal, dass Kanada im föderalen Datenschutzrecht für den privaten Sektor ausdrückliche Erklärbarkeitsanforderungen für automatisierte Entscheidungen stellt.Datenrechte und grenzüberschreitende Datenflüsse. Einzelpersonen erhalten das Recht, die Beseitigung oder Löschung ihrer personenbezogenen Daten zu verlangen, wenn sie ihre Einwilligung widerrufen oder die Daten nicht mehr benötigt werden, sowie das Recht auf Datenübertragbarkeit, das Organisationen verpflichtet, Daten sicher an eine andere benannte Organisation zu übermitteln. Organisationen müssen vor der Offenlegung oder Übermittlung personenbezogener Daten außerhalb Kanadas eine Datenschutz-Folgenabschätzung durchführen. Darüber hinaus müssen Organisationen ein Datenschutzmanagementprogramm einrichten, das Schutzmaßnahmen, Verfahren zur Bearbeitung von Informationsanfragen und Beschwerden, Anforderungen an die Mitarbeiterschulung sowie Erläuterungen der relevanten Richtlinien umfasst.

IV. Was das für die kanadische Industrie bedeutet

Die unmittelbarste Auswirkung ist der Wiederaufbau der Compliance-Infrastruktur. Datenschutzmanagementprogramme, Datenschutz-Folgenabschätzungen, Bewertungen berechtigter Interessen, De-Identifizierungsprozesse, Mechanismen zur Erklärung automatisierter Entscheidungen – dabei handelt es sich nicht um einmalige Offenlegungspflichten, sondern um dauerhafte Fähigkeiten, die in Produkt- und Engineering-Prozesse eingebettet werden müssen. Für große Unternehmen mit ausgereiften Rechtsabteilungen sind dies Kosten; für Start-ups mit begrenzten Ressourcen können sie sowohl eine Markteintrittsbarriere als auch ein Compliance-Nachweis beim Verkauf von Produkten an Unternehmenskunden sein.

Zweitens die Strategie für Datenflüsse. Datenschutz-Folgenabschätzungen vor grenzüberschreitenden Übermittlungen verändern die Art und Weise, wie kanadische Unternehmen ausländische Cloud-Dienste und transnationale Datenpipelines bewerten. Im Gegensatz dazu übt die Kombination aus Datenübertragbarkeit und Löschungsrecht Druck auf Produktdesigns aus, die auf Datenaufbewahrung angewiesen sind, schafft aber auch Marktnachfrage nach Compliance-Tools, Daten-Governance und Privacy Engineering.

Drittens wird die Grauzone bei KI-Trainingsdaten teilweise ausgeleuchtet. De-identifizierte Daten können für interne Forschung und Entwicklung genutzt werden, was für das kanadische KI-Ökosystem von wesentlicher Bedeutung ist; die rote Linie „keine Re-Identifizierung“ zieht jedoch ebenfalls Grenzen für den Aufbau und die Wiederverwendung von Datensätzen.

V. Im Kontext des globalen Technologiewettbewerbs

Von der institutionellen Ausrichtung her steht PPCDA eher dem modernen Modell nahe, bei dem die Aufsichtsbehörde verbindliche Anordnungs- und Bußgeldbefugnisse besitzt, als dem Rahmen mit Empfehlungscharakter von PIPEDA; zugleich geht es nicht den Weg einer eigenständigen KI-Gesetzgebung nach EU-Vorbild, sondern bettet KI-Transparenzanforderungen in das Datenschutzrecht ein. Dies bildet einen kanadischen Mittelweg: beim Datenschutz rückt es an hohe Standards heran, bei der KI-Regulierung hält es die Belastung durch eigenständige Gesetzgebung gering.

Die Folgen wirken in beide Richtungen. Für multinationale Unternehmen könnte Kanada von einer „Jurisdiktion mit geringer Reibung“ zu einer „Compliance-Jurisdiktion, die gesondert modelliert werden muss“ werden; dies erhöht die Kosten, dürfte aber auch die Überzeugungskraft der Aussage erhöhen, Kanada sei ein vertrauenswürdiges Datenziel. Für einheimische Unternehmen wird die Frage, ob sie Compliance-Kapazitäten aufbauen können, bevor Sanktionen verhängt werden, unmittelbar ihre Fähigkeit beeinflussen, Geschäfte aus Märkten mit strengerer Regulierung zu übernehmen.

VI. Mögliche Entwicklungspfade in den nächsten drei bis zehn JahrenBill C-36 ist noch nicht in Kraft; seine endgültige Form hängt von der parlamentarischen Beratung ab. Vernünftigerweise sind mehrere Richtungen zu erwarten: Die Kommission wird sich in der Anfangsphase höchstwahrscheinlich auf Leitlinien und Compliance-Vereinbarungen konzentrieren und schrittweise zu tatsächlichen Sanktionsfällen übergehen; Koordinierungsprobleme zwischen dem Datenschutzrecht für den privaten Sektor, den Provinzgesetzen und dem Regime für digitale Sicherheit nach Bill C-34 werden weiterhin auftreten; rund um die Grenzen der Ausnahme für „berechtigte Interessen“ könnten die ersten Streitfälle auftreten; die Durchsetzungsstandards für KI-Transparenzpflichten werden sich wahrscheinlich eher durch Einzelfälle als durch Detailregeln allmählich klären.

Auf längere Sicht ist wirklich beobachtenswert: ob Kanada PPCDA als langfristigen Ankerpunkt für KI-Governance nutzen wird oder darüber hinaus zusätzlich eine eigene KI-Gesetzgebung aufsetzt. Diese Wahl wird entscheiden, wo Kanada letztlich zwischen „Regulierungssicherheit“ und „Innovationsgeschwindigkeit“ landet.

Fazit: Warum dies für die kanadische Technologiebranche strategische Bedeutung hat

Die strategische Bedeutung liegt nicht in der Höhe der maximalen Geldbußen, sondern darin, dass sich die Art der Regulierungskapazität verändert hat. Im Kanada der PIPEDA-Ära war Datenschutzaufsicht ein konsultatives Verhältnis; PPCDA versucht, sie in ein durchsetzbares Rechtsverhältnis zu verwandeln, und schreibt zum ersten Mal eine Erläuterungspflicht für KI-Entscheidungen in bundesrechtlichen Regeln für den privaten Sektor fest.

Für die kanadische KI- und Digitalbranche bedeutet dies, dass zwei Dinge gleichzeitig geschehen: Compliance wird von einer „nachträglichen Erklärung“ zu einem „Teil der Produktarchitektur“; und Daten-Governance-Fähigkeit wird von einem Rechtskostenposten zu einem Wettbewerbsfaktor, der Finanzierung, die Beschaffung durch Unternehmenskunden und internationale Datenzusammenarbeit beeinflussen kann. In einem Umfeld, in dem grenzüberschreitende Datenströme und die Geschwindigkeit der Bereitstellung von KI-Systemen weit schneller sind als Gesetzgebungszyklen, ist Kanadas Entscheidung, KI-Governance durch Datenschutzrecht aufzufangen, eine pragmatische Entscheidung und zugleich eine Wette, bei der die institutionelle Glaubwürdigkeit aufs Spiel gesetzt wird. Ob sie aufgeht, hängt davon ab, ob die Durchsetzung vorhersehbar ist — und genau das ist die Variable, die in den nächsten fünf Jahren am meisten kontinuierliche Beobachtung verdient.