Ausblick auf Kanadas Datenschutzreform 2026: Wie Data Sovereignty die digitale Governance neu gestaltet?

Ausblick auf Kanadas Datenschutzreform 2026: Wie Datensouveränität die digitale Governance umgestaltet?

Die ungeklärte Wiederaufnahme der Gesetzgebung

Nach den politischen Erschütterungen des Jahres 2025 rückt die Reform des kanadischen Datenschutzgesetzes für den privaten Sektor wieder in den Fokus der Gesetzgebung. Die durch den Rücktritt von Premierminister Justin Trudeau ausgelöste Bundeswahl führte dazu, dass der über Jahre vorbereitete Digital Charter Implementation Act (Bill C-27) mit der Auflösung des Parlaments unterging. Zwar konnte die Liberale Partei ihre Regierungsposition behaupten, doch die umfassende Datenschutzgesetzgebung kehrte nicht so schnell zurück, wie manche Beobachter erwartet hatten.

Mehreren Quellen zufolge könnte die neue Gesetzesfassung frühestens im ersten Quartal 2026 oder vor der Sommerpause des Parlaments vorgelegt werden. Constantine Karbaliotis, Berater der Anwaltskanzlei nNovation in Ontario, erklärte, er habe gehört, dass ein Gesetzentwurf ursprünglich vor Weihnachten 2025 erneut eingebracht werden sollte, dies jedoch wegen Bedenken hinsichtlich der Datensouveränität vorerst gestoppt worden sei. Teresa Scassa, Inhaberin des Lehrstuhls für Informationsrecht und -politik an der Universität Ottawa, meinte hingegen, neuere Hinweise deuteten auf das erste Quartal als Zeitfenster.

Das Erbe von C-27: Belastet durch KI-Definitionen und das Wahlverfahren

C-27 war ursprünglich für drei Aufgaben vorgesehen: die Modernisierung von PIPEDA durch den Verbraucherdatenschutzgesetz, die Einrichtung eines Tribunals zum Schutz personenbezogener Daten sowie die Einführung des ersten branchenübergreifenden KI-Regulierungsrahmens Kanadas, des Gesetzes über künstliche Intelligenz und Daten (AIDA).

AIDA wurde in den parlamentarischen Debatten weithin dafür kritisiert, dass seine Definitionen zu vage seien; selbst für zentrale Konzepte wie „Systeme mit hoher Auswirkung“ fehle eine klare Bestimmung. Viele Abgeordnete und Datenschutzexperten waren der Ansicht, dass C-27 bessere Erfolgsaussichten gehabt hätte, wäre AIDA nicht mit C-27 gebündelt worden. Das Parlament hat jedoch nie den Schritt der Entkoppelung vollzogen.

Ein weiterer subtiler Faktor ist die Europäische Union. Die Europäische Kommission hatte im Januar 2024 den Angemessenheitsbeschluss für Kanada erneuert und in der Entscheidung ausdrücklich festgestellt, dass C-27 ein wichtiger Grund für die Verlängerung sei; zudem werde man die weiteren Aktualisierungen von PIPEDA „genau beobachten“. Dies hätte eigentlich einen externen Reformdruck darstellen sollen. Karbaliotis zufolge habe der Angemessenheitsbeschluss jedoch dazu geführt, dass die kanadischen Gesetzgeber das Gefühl der Dringlichkeit verloren – ein „fundamentaler Fehler“. Mit anderen Worten: Die Aktivierung des externen institutionellen Sicherheitsventils hat unerwartet den innenpolitischen Rechtfertigungsdruck verringert.

Datensouveränität: Die genetische Mutation des neuen Gesetzes

Wenn C-27 die „Version 2.0“ der Modernisierung des Datenschutzes war, dann könnte das neue Gesetz in den bestehenden Rahmen deutlich mehr datensouveräne Elemente einweben. Der kanadische Premierminister Mark Carney kündigte im November 2025 eine zweite Welle nationaler Aufbauprojekte an, in der Datensouveränität als zentrale Agenda festgelegt und die Umsetzung dem neu geschaffenen Amt für Großprojekte übertragen wurde.Dieses politische Interesse verändert die technischen Details der Datenschutzgesetzgebung. Karbaliotis geht davon aus, dass der neue Gesetzesentwurf zusätzliche Pflichten zur Risikobewertung für Datenübermittlungen ins Ausland vorsieht und möglicherweise mehrere Übermittlungsbestimmungen des Gesetzes 25 von Québec „föderalisieren“ wird. Er weist außerdem darauf hin, dass der Datenschutzteil von C-27 keine ausdrückliche Datenschutz-Folgenabschätzung verlangt – eine strukturelle Lücke. Genau das Bedürfnis nach Datensouveränität liefert das Argument, diese Lücke zu schließen.

Aus EU-Sicht trägt diese Anpassung auch dazu bei, die seit Langem bestehenden Bedenken hinsichtlich „Weiterübermittlungen“ zu entschärfen. Wenn Daten nach Kanada gelangen, ohne dass hinreichend verbindliche Schranken bestehen, die ihre Weiterleitung an Drittstaaten unterbinden, wird das Vertrauen der EU kaum aufrechtzuerhalten sein.

Erwartungen aus der Praxis und von den Aufsichtsbehörden

Bemerkenswert ist, dass das Büro des Datenschutzkommissars (OPC) an das neue Gesetz deutlich weitergehende Durchsetzungserwartungen knüpft als an C-27. Kommissar Philippe Dufresne listete bei seiner Aussage vor dem Senat mehrere Prioritäten auf, darunter die Befugnis des OPC, verbindliche Anordnungen zu erlassen, Verwaltungsgeldbußen zu verhängen, proaktive Audits durchzuführen sowie einen Rahmen für die De-Identifizierung und einen Mechanismus für das Recht auf Löschung zu schaffen. Er betonte zudem, dass PIPEDA derzeit keinerlei besonderen Schutz für Kinder bietet, was der Realität des digitalen Zeitalters widerspricht. Er regte an, den Grundsatz des „Kindeswohls“ ausdrücklich gesetzlich zu verankern und das OPC zu verpflichten, Verhaltensregeln zum Schutz der Privatsphäre von Kindern zu erlassen.

Werden diese Forderungen umgesetzt, bedeutet dies, dass die kanadische Datenschutzaufsicht von einem „beratenden“ zu einem „durchsetzungsorientierten“ Modell übergeht. Für Unternehmen, die beim Trainieren von Modellen auf personenbezogene Daten angewiesen sind, Empfehlungsalgorithmen betreiben oder Online-Dienste für Minderjährige anbieten, könnte dieser Wandel das operative Geschäft früher berühren als eine spezifische KI-Gesetzgebung.

Datenschutzrecht: die Standard-Basislinie, wenn es an KI-Governance fehlt

Viele gehen davon aus, dass das Scheitern von AIDA für Kanada ein regulatorisches Vakuum bei der KI bedeutet. Fachleute widersprechen dieser vereinfachenden Sichtweise jedoch weitgehend. Scassa weist darauf hin, dass Kanada eine nationale KI-Strategie vorbereitet und dass bereits zahlreiche Governance-Maßnahmen auf Branchenebene vorangetrieben werden. Selbst wenn die Datenschutzreform keine KI-Regeln enthält, wird sie die KI-Governance tiefgreifend beeinflussen.

Karbaliotis formuliert es noch direkter: Ein robustes Datenschutzrecht ist der wichtigste Grundpfeiler der KI-Regulierung, weil es für alle Technikanwendungen eine Grundlinie vorgibt. Dufresne hat bei der jüngsten Anhörung im Unterhaus ebenfalls betont, dass Organisationen, die KI einsetzen, ihre Entscheidungen transparent machen und für KI-Entscheidungen, die Personen betreffen, Verantwortung übernehmen müssen. Wenn das Datenschutzrecht nicht modernisiert wird, verliert auch die KI-Governance ihre institutionelle Verankerung.

Langfristiger Trend: von einem einzelnen Gesetz zu einer digitalen Souveränitätsinfrastruktur

Blickt man durch das Gesetzgebungsfenster des Jahres 2026, kommt es nicht auf Sieg oder Niederlage einzelner Bestimmungen an, sondern darauf, ob Kanada auf diesem Weg ein Paket ineinandergreifender institutioneller Modernisierungen abschließen kann.Wenn das neue Datenschutzgesetz verabschiedet wird, wird es in drei Dimensionen zugleich wirksam: Auf der Ebene der individuellen Rechte bietet es stärkere Löschrechte und einen besseren Schutz Minderjähriger; auf der Durchsetzungsebene ersetzt es „weiche Empfehlungen“ durch Geldstrafen und Audits; auf der grenzüberschreitenden Ebene bettet es die Kontrolle von Datentransfers in das nationale Projekt der Datensouveränität ein. Diese Mechanismen verschränken sich mit Kanadas künftiger KI-Strategie, der Provinzgesetzgebung Québecs und den EU-Angemessenheitsbeschlüssen und könnten einen stabilen „nordamerikanischen Korridor für vertrauenswürdige Daten“ hervorbringen.

Umgekehrt gilt: Wenn die Reform erneut aufgeschoben wird, wird Kanada nicht nur weiterhin unter dem institutionellen Verschleiß des in die Jahre gekommenen PIPEDA leiden, sondern auch bei der globalen Festlegung von Regeln für die digitale Wirtschaft den Anschluss verlieren. Europa bewegt sich auf die „Digitale Dekade“ zu, das Gesetz 25 von Québec ist bereits seit mehreren Jahren in Kraft, und auch die US-Bundesstaaten erlassen in rasantem Tempo Gesetze. Mit jedem weiteren Jahr der Verzögerung wächst die Unsicherheit, der kanadische Unternehmen und multinationale Konzerne in der Compliance-Matrix gegenüberstehen.

Auf einer Zeitskala von drei bis zehn Jahren betrachtet, könnte die Modernisierung des Datenschutzrechts der zentrale Schritt sein, mit dem Kanada die „Datensouveränität“ von einem Schlagwort in institutionelle Wettbewerbsfähigkeit überführt. Genau deshalb verdient der Wettbewerb rund um die Datenschutzreform im Jahr 2026 langfristig große Aufmerksamkeit seitens der Industrie.