Kanadas Datenschutzreform startet neu: Der gesetzgeberische Weg bis 2026 und die tiefere Logik der Branche

Kanadas Datenschutzreform: Vom C-27 zum Neustart 2026

2025 wurde der Datenschutzreformprozess in Kanada durch den Rücktritt von Premierminister Trudeau und die Bundestagswahl erneut unterbrochen. Doch 2026 kehrt diese Welle in neuer Form zurück. Wie IAPP berichtet, erwarten Beobachter, dass ein umfassendes Datenschutzgesetz möglicherweise bereits im Frühjahr oder im ersten Quartal dieses Jahres ins Parlament eingebracht wird. Allerdings sind die politischen und regulatorischen Rahmenbedingungen diesmal völlig andere.

Ereignisanalyse: Warum C-27 scheiterte

Der Gesetzesentwurf C-27 (Gesetz zur Umsetzung der Digital Charter) ist das zentrale Reforminstrument, das die kanadische Bundesregierung seit 2022 vorantreibt. Er umfasst drei Gesetze: das Gesetz zum Schutz der Verbraucherprivatsphäre (CPPA), das Gesetz über das Tribunal für persönliche Informationen und Datenschutz sowie das Gesetz über künstliche Intelligenz und Daten (AIDA). Anfang 2025 trat Trudeau zurück und löste vorgezogene Neuwahlen aus; C-27 wurde mit der Auflösung des Parlaments gegenstandslos. Tatsächlich steckte C-27 bereits zuvor in einer Sackgasse: Viele Abgeordnete und Datenschutzinteressierte kritisierten, dass AIDA zentrale KI-Begriffe wie „Hochrisikosysteme“ vage definiere und das gesamte Gesetzespaket zu überfrachtet sei.

Teresa Scassa, Inhaberin des Forschungslehrstuhls für Informationsrecht und -politik an der Universität Ottawa, und Constantine Karbaliotis von nNovation Counsel weisen beide darauf hin, dass der neue Gesetzesentwurf möglicherweise nicht wie geplant Ende 2025 vorgelegt werden könne, da „Bedenken hinsichtlich der Datensouveränität“ die Regierungsagenda dominierten. Kanadas Premierminister Mark Carney kündigte in der zweiten Tranche nationaler Großprojekte, die er im November 2025 ankündigte, ausdrücklich eine Datensouveränitätsagenda an und richtete dafür ein Büro für Großprojekte ein. Diese Entwicklung hat den Rahmen der Datenschutzgesetzgebung tiefgreifend beeinflusst.

Mögliche Konturen des neuen Gesetzes: Datensouveränität und Risikobewertung

Mehreren Informanten zufolge wird der neu eingebrachte Gesetzesentwurf wahrscheinlich nicht wie C-27 eine umfassende KI-Regulierung bündeln. Karbaliotis ist der Ansicht, dass ein robustes Datenschutzgesetz selbst das Fundament der KI-Regulierung sei und nicht durch breiter angelegte KI-Gesetzesinitiativen belastet werden dürfe. Scassa erwartet ebenfalls, dass das neue Datenschutzgesetz die Lücken des C-27 in den Nicht-KI-Bereichen schließen wird, etwa durch einen verstärkten Schutz der Privatsphäre von Kindern und Jugendlichen sowie durch die Neudefinition von „berechtigten Interessen“ als eigenständige Rechtsgrundlage für die Datenverarbeitung und nicht lediglich als Ausnahme von der „Einwilligung“.Datensouveränitätsklauseln werden ein markantes Merkmal des neuen Gesetzes sein. Karbaliotis erwartet, dass das neue Gesetz Anforderungen an Risikobewertungen für grenzüberschreitende Datenübertragungen einführen wird, was auf Bundesebene teilweise die Überführungsbestimmungen von Québecs Gesetz 25 (Law 25) aufnehmen könnte. Er weist darauf hin, dass der Datenschutzteil von C-27 keine ausdrückliche Verpflichtung zu Datenschutz-Folgenabschätzungen vorsieht und Europa stets Zweifel an Kanadas Fähigkeit hatte, die "Weiterleitung von Daten an Drittländer" zu regulieren. Als die EU im Januar 2024 ihre Angemessenheitsentscheidung für Kanada aktualisierte, wies sie direkt auf C-27 als wichtigen Faktor hin und erklärte, sie werde die weitere Gesetzgebung "genau beobachten" – Karbaliotis nannte die Entscheidung der EU damals einen "grundlegenden Fehler", da sie die Dringlichkeit der Modernisierung von PIPEDA durch die Gesetzgeber untergrabe.

Forderungen des Datenschutzbeauftragten: Stärkere Durchsetzungsbefugnisse und Kinderschutz

Der kanadische Datenschutzbeauftragte Philippe Dufresne betonte in einem Brief an den Senatsausschuss, dass Kanada ein "modernes Datenschutzgesetz brauche, das die moderne Welt widerspiegelt". Er machte sieben zentrale Vorschläge, darunter: verbindliche Anordnungen zu erlassen, Verwaltungsstrafen zu verhängen, "proaktive" Prüfungen durchzuführen, einen Rahmen für die Anonymisierung zu fördern und Bürgern ein Recht auf Löschung einzuräumen, und forderte insbesondere einen Verhaltenskodex für den Datenschutz von Kindern. Er wies darauf hin, dass PIPEDA derzeit keinen besonderen Schutz für Kinder biete und Kinder in der digitalen Welt äußerst gefährdet seien.

Wenn diese Forderungen in das neue Gesetz aufgenommen werden, würde dies die Durchsetzungsfähigkeit des Office of the Privacy Commissioner of Canada (OPC) erheblich stärken und es von einem "Berater" zu einem "Aufsichtsorgan" machen. Dies wäre ein substanzieller Sprung für Kanadas Datenschutzaufsichtssystem.

Auswirkungen auf die Industrie: Gleichgewicht zwischen Compliance-Kosten und Innovation

Für Kanadas Technologiesektor und digitale Wirtschaft wird die Richtung der Datenschutzreform direkte Auswirkungen auf Geschäftsmodelle haben. Anforderungen an Datensouveränität und Risikobewertungen für grenzüberschreitende Übermittlungen könnten kanadische Unternehmen, die auf US-Cloud-Dienste angewiesen sind, mit höheren Compliance-Kosten konfrontieren. Gleichzeitig können klare und strenge Datenschutzregeln jedoch auch das Verbrauchervertrauen stärken und Kanada helfen, in Verhandlungen über digitalen Handel eine vorteilhafte Position einzunehmen.

Besonders bemerkenswert ist, dass Kanadas nationale KI-Strategie voraussichtlich in diesem Jahr vorgelegt wird. Die im Oktober 2025 durchgeführte öffentliche Konsultation zog 11.300 Teilnehmer an und erzeugte 64.600 Antworten, die acht Bereiche abdeckten, darunter die Einführung von KI in Industrie und Regierung, die Kommerzialisierung von KI und die Entwicklung sicherer KI. Scassa ist der Ansicht, dass sich die KI-Strategie hauptsächlich auf Investitionen und wirtschaftliche Anwendungen konzentrieren wird, während die durch KI-gesteuerte automatisierte Entscheidungen verursachten Verbraucherschäden möglicherweise durch Datenschutzgesetze angegangen werden. Dies ist tatsächlich ein Ansatz der "sektoralen KI-Governance" – obwohl AIDA nicht verabschiedet wurde, ist die KI-Governance nicht zum Stillstand gekommen.

Globale Perspektive: Datensouveränität als SchlüsselvariableKanadas Datenschutzreform ist kein isoliertes Ereignis. Weltweit ist Datensouveränität zu einem zentralen Thema des Technologiewettbewerbs geworden. Die EU übt über die DSGVO und Angemessenheitsbeschlüsse externen Einfluss aus; die einzelnen US-Bundesstaaten haben nach und nach Datenschutzgesetze erlassen; und auch Länder wie China und Indien haben eigene Regeln für grenzüberschreitende Daten geschaffen. Dass Kanada in diesem Moment eine Gesetzgebung zur Datensouveränität vorantreibt, ist ein Versuch, sich im Ringen der Großmächte strategische Autonomie zu sichern.

Das „Büro für Großprojekte“ der Regierung Carney koppelt Datensouveränität an nationale Großprojekte. Das bedeutet, dass Kanada Daten-Governance mit Infrastrukturinvestitionen und wirtschaftlicher Sicherheit verbinden will. Dieser Ansatz könnte die Landschaft der internationalen Zusammenarbeit der kanadischen Technologiebranche neu gestalten.

Die nächsten drei bis zehn Jahre: Beachtenswerte langfristige Trends

Von konkreten Gesetzesvorlagen bis zur strategischen Ausrichtung gibt es einige Trends, die es wert sind, weiterverfolgt zu werden:

1. Die Datenschutzdurchsetzung bekommt wirklich „Zähne“: Wenn das OPC die Befugnis erhält, Geldbußen zu verhängen und von sich aus Prüfungen durchzuführen, verabschiedet sich Kanada von der Ära der „weichen Regulierung“. Das betrifft nicht nur einheimische Unternehmen, sondern auch alle multinationalen Technologiekonzerne, die in Kanada tätig sind.

2. Das „kanadische Modell“ für grenzüberschreitende Datentransferregeln: Kanada wird wahrscheinlich einen Mittelweg zwischen der EU-DSGVO und den US-amerikanischen Sektorgesetzen einschlagen, der Datensouveränität betont, aber den grenzüberschreitenden Datenfluss aufrechterhält. Sobald dieses Modell ausgereift ist, könnte es anderen kleineren und mittleren Volkswirtschaften als Vorbild dienen.

3. Die Konvergenz von KI-Governance und Datenschutz: Selbst wenn AIDA nicht wiederbelebt wird, wird das Datenschutzrecht grundlegende Funktionen der KI-Governance übernehmen. Mit der Umsetzung der KI-Strategie könnte Kanada das KI-Governance-Mosaik schrittweise über sektorale Regeln (z. B. Finanzen, Gesundheit, Rekrutierung) zusammensetzen, anstatt ein einziges umfassendes Gesetz zu erlassen.

4. Kinderdatenschutz und Altersverifikation werden zu neuen Schwerpunkten: Der Senatsentwurf S-209 (Altersverifikation) und die Forderungen des OPC zum Schutz der Privatsphäre von Kindern zeigen, dass Kanada den Schutz Minderjähriger zu einem Kernthema der Digitalpolitik macht. In Zukunft könnte dies „Privacy by Design“-Standards für Jugendliche hervorbringen.

Fazit: Warum ist dies von strategischer Bedeutung?

Für Kanadas Technologiebranche ist die Datenschutzreform nicht nur eine rechtliche Aufwertung, sondern auch das institutionelle Fundament der nationalen digitalen Souveränität. Vor dem Hintergrund der sich beschleunigend neu ordnenden globalen Landschaft der Daten-Governance wird die Frage, ob Kanada ein Gesetz erlassen kann, das sowohl die Bürgerrechte schützt als auch Innovation fördert, darüber entscheiden, welche internationale ökologische Nische das Land in den nächsten zehn Jahren in den Bereichen KI, Cloud-Dienste und Datenwirtschaft einnimmt. Die Verknüpfung der Datensouveränitätsagenda der Regierung Carney mit der Datenschutzgesetzgebung spiegelt genau diese strategische Absicht wider. Daher lohnt es sich für alle, die sich für Kanadas technologische Zukunft interessieren, das gesetzgeberische Ringen im Jahr 2026 weiterhin aufmerksam zu verfolgen.