Arbeitsbereich

Leitfaden · Bundesgesetz Kanadas

PIPEDA: das Datenschutzgesetz Kanadas für Websites mit Anzeigen

PIPEDA ist das Bundesgesetz, das regelt, wie private Unternehmen in Kanada personenbezogene Daten nutzen. Für verhaltensbasierte Anzeigen akzeptiert der Datenschutzbeauftragte das Opt-out-Modell, aber nur unter klaren Bedingungen. Dieser Leitfaden erklärt, wann das Gesetz gilt, was sinnvolle Einwilligung ist und wie Sie die Website einrichten.

Meine Website jetzt prüfenLeitfaden lesen
  • ✓Basiert auf den offiziellen Leitlinien des Datenschutzbeauftragten von Kanada
  • ✓Praktische Beispiele für Online-Werbung
  • ✓Lesen der Website, ohne etwas zu verändern
10Grundsätze fairer Informationspraxis als Basis des Gesetzes
3Provinzen mit eigenem, als ähnlich geltendem Gesetz: Alberta, British Columbia und Québec
2Jahre verpflichtende Aufbewahrung der Aufzeichnungen über Datenpannen
2026Jahr, in dem der Gesetzentwurf C-36 zur Reform des Gesetzes ins Unterhaus kam

Was es ist

Das Bundesgesetz für Daten im Privatsektor

PIPEDA (Personal Information Protection and Electronic Documents Act, auf Deutsch Gesetz zum Schutz personenbezogener Informationen und elektronischer Dokumente) ist das kanadische Bundesdatenschutzgesetz für den Privatsektor. Es gilt für Organisationen, die bei geschäftlichen Tätigkeiten personenbezogene Informationen erheben, nutzen oder offenlegen.

Personenbezogene Informationen sind für das Gesetz alle Informationen über eine identifizierbare Person. Auf einer Website umfasst das Daten aus Formularen und auch Kennungen, die genutzt werden, um das Surfen zu verfolgen und Anzeigen auszuwählen.

Das Gesetz wird vom Datenschutzbeauftragten von Kanada (Office of the Privacy Commissioner, OPC) durchgesetzt. Er veröffentlicht die Leitlinien zu Einwilligung und verhaltensbasierter Werbung, die Publisher als Referenz nutzen.

Checkliste

Was Sie erfüllen müssen

Was PIPEDA und die Leitlinien des Datenschutzbeauftragten von einer Website mit Anzeigen verlangen, die Besucher aus Kanada hat.

  1. Einen Verantwortlichen benennen

    Das Unternehmen muss eine Person benennen, die für die Einhaltung der Grundsätze des Gesetzes verantwortlich ist. Veröffentlichen Sie einen Kontakt für Fragen und Anfragen.

    Beispiel

    Datenschutzverantwortlicher: Johann Schmidt. Kontakt: datenschutz@ihre-website.de

  2. Die Anzeigen deutlich erklären

    Das OPC verlangt, dass die Person klar versteht, was erhoben wird, mit wem es geteilt wird, wofür und welche Risiken bestehen. Google verlangt außerdem, dass die Erklärung sagt, dass Dritte wie Google Cookies verwenden, um Anzeigen auszuspielen.

    Beispiel

    Wir verwenden eigene Cookies und Cookies von Partnern wie Google, um Anzeigen auf Basis Ihrer Interessen zu zeigen. Sie können jederzeit ablehnen.

  3. Opt-out einfach, sofort und dauerhaft

    Das Opt-out bei Anzeigen wird nur akzeptiert, wenn es einfach ist, möglichst vor der Erhebung, und sofort sowie bei künftigen Besuchen gilt. Die Daten müssen so bald wie möglich vernichtet oder anonymisiert werden.

    Beispiel

    Fester Link in der Fußzeile: Werbeoptionen

  4. Ausdrückliches Ja für sensible Daten

    Gesundheit, Finanzen, ethnische Herkunft, politische Meinungen, genetische und biometrische Daten, Sexualleben und Religion erfordern eine ausdrückliche Einwilligung. Holen Sie außerdem ein ausdrückliches Ja für Nutzungen ein, die die Person nicht erwarten würde.

  5. Kein Tracking, das man nicht ablehnen kann

    Wenn die Person die Technik nicht ablehnen kann, sagt das OPC, dass sie nicht für Anzeigen genutzt werden soll. Als Beispiele werden Zombie-Cookies, Supercookies und das Fingerprinting des Geräts genannt.

  6. Kinder schützen

    Bei Personen, die keine bedeutsame Einwilligung geben können, fragen Sie die Eltern oder Erziehungsberechtigten, und das OPC geht davon aus, dass dies in der Regel für Personen unter 13 Jahren gilt. Als bewährte Praxis vermeiden Sie das Tracking von Kindern und von Websites, die sich an sie richten.

  7. Zugang und Widerruf der Einwilligung

    Die Person kann erfahren, welche Daten die Website hat, diese Daten einsehen und anfechten. Sie kann auch die Einwilligung widerrufen, und Erhebung und Nutzung müssen enden.

  8. Datenpannen melden und dokumentieren

    Eine Datenpanne mit realem Risiko eines erheblichen Schadens muss dem OPC und den betroffenen Personen gemeldet werden. Jede Datenpanne muss zwei Jahre lang dokumentiert werden.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Kanada weder eine zertifizierte CMP noch hat es eine eigene Meldung dafür, daher zeigen die folgenden Links, was Google von jedem Publisher verlangt und was die Aufsichtsbehörde erwartet.

Für wen es gilt

Wann PIPEDA Ihre Website erfasst

Kanada hat Bundes- und Provinzgesetze. Zu verstehen, welches gilt, verhindert eine falsche Konfiguration der Website.

Geschäftstätigkeit in Kanada

Private Unternehmen, die im ganzen Land bei geschäftlichen Tätigkeiten personenbezogene Informationen erheben, nutzen oder offenlegen, unterliegen PIPEDA.

Provinzen mit eigenem Gesetz

Alberta, British Columbia und Québec haben Gesetze für den Privatsektor, die als ähnlich gelten. Innerhalb dieser Provinzen gelten diese Gesetze meist anstelle von PIPEDA.

Daten, die Grenzen überschreiten

Wenn Daten von einer Provinz in eine andere oder aus dem Land gehen, gilt PIPEDA weiter, auch in diesen drei Provinzen.

Vom Bund regulierte Unternehmen

Banken, Fluggesellschaften, Telekommunikation und Rundfunkanstalten unterliegen immer PIPEDA, auch für Mitarbeiterdaten.

Grundsätze

Die 10 Grundsätze des Gesetzes, für eine Website zusammengefasst

Anhang 1 von PIPEDA enthält 10 Grundsätze fairer Informationspraxis. Gruppiert passen sie in sechs praktische Ideen.

Verantwortlichkeit

Das Unternehmen ist für die Daten verantwortlich, die es kontrolliert, und muss jemanden für die Einhaltung benennen.

Zwecke und Einwilligung

Sagen Sie, wofür die Daten verwendet werden, vor oder bei der Erhebung, und holen Sie die angemessene Einwilligung ein.

Erhebung, Nutzung und Speicherung begrenzen

Erheben Sie nur das Nötige, nutzen Sie es nur für das Mitgeteilte und speichern Sie es nicht länger als nötig.

Richtigkeit und Sicherheit

Halten Sie die Daten korrekt und vor unbefugtem Zugriff geschützt.

Transparenz

Machen Sie Ihre Praktiken leicht auffindbar und verständlich, etwa mit einer klaren Datenschutzerklärung.

Zugang und Beschwerde

Die Person kann ihre Daten einsehen, Berichtigung verlangen und sich darüber beschweren, wie das Unternehmen das Gesetz einhält.

Einwilligung

Sinnvolle Einwilligung: ausdrücklich oder stillschweigend

PIPEDA verlangt eine sinnvolle Einwilligung. Das heißt, die Person muss verstehen, was sie akzeptiert: welche Daten, wofür, mit wem sie geteilt werden und welche Risiken bestehen.

Das Gesetz akzeptiert zwei Arten der Einwilligung. Die ausdrückliche ist ein aktives Ja, etwa das Ankreuzen eines Kästchens. Die stillschweigende, also das Opt-out, wird akzeptiert, wenn die Information wenig sensibel ist und die Nutzung vernünftigerweise erwartet wird, sofern die Person einen einfachen Weg zur Ablehnung hat.

Je sensibler die Daten, desto stärker die Einwilligung. Das OPC erwartet eine ausdrückliche Einwilligung für Gesundheits- und Finanzdaten, ethnische und rassische Herkunft, politische Meinungen, genetische und biometrische Daten, Sexualleben, sexuelle Orientierung und religiöse Überzeugungen.

Verhaltensbasierte Werbung darf auch keine Bedingung für die Nutzung des Internets oder der Website sein. Das heißt, wer das Tracking ablehnt, behält den Zugang zum Inhalt.

Verhaltensbasierte Werbung

Die Bedingungen des OPC für das Opt-out bei Anzeigen

Die im Dezember 2015 aktualisierten Leitlinien zu Datenschutz und verhaltensbasierter Online-Werbung akzeptieren das Opt-out nur, wenn alle diese Bedingungen erfüllt sind.

Zweck gut sichtbar

Das Tracking für Anzeigen muss deutlich erklärt werden und nicht in der Datenschutzerklärung versteckt sein. Banner und mehrstufige Hinweise helfen.

Hinweis zum richtigen Zeitpunkt

Die Person wird vor oder bei der Erhebung informiert, auch darüber, wer die beteiligten Partner sind.

Einfaches Opt-out

Ablehnen muss einfach sein, am besten bevor die Erhebung beginnt.

Sofortige und dauerhafte Wirkung

Das Opt-out gilt sofort und bleibt bei den nächsten Besuchen bestehen.

Nur nicht sensible Daten

Die Erhebung beschränkt sich nach Möglichkeit auf nicht sensible Informationen.

Schnelle Löschung

Die Daten werden so bald wie möglich vernichtet oder anonymisiert.

Pflichten der Website

Was eine Website mit Anzeigen für Kanada haben muss

  1. Einen Verantwortlichen benennenLegen Sie fest, wer sich um den Datenschutz kümmert, und veröffentlichen Sie einen Kontakt für Fragen und Anträge.
  2. Die Anzeigen in einfacher Sprache erklärenSagen Sie in der Datenschutzerklärung und in einem sichtbaren Hinweis, dass die Website Cookies und Partner für interessenbasierte Anzeigen nutzt und wer diese Partner sind.
  3. Ein funktionierendes Opt-out anbietenEin fester Link wie Datenschutzoptionen oder Anzeigeneinstellungen, der das Tracking sofort abschaltet und sich die Auswahl merkt.
  4. Kinder nicht trackenDas OPC empfiehlt, das Tracking von Kindern und von Websites, die sich an sie richten, zu vermeiden, weil eine sinnvolle Einwilligung dort schwierig ist.
  5. Auskunftsanträge bearbeitenDie Person kann verlangen, ihre Daten zu sehen und zu berichtigen. Haben Sie dafür einen klaren Weg.
  6. Datenpannen dokumentieren und meldenDatenpannen mit echtem Risiko eines erheblichen Schadens müssen dem OPC und den betroffenen Personen gemeldet werden. Alle Datenpannen müssen zwei Jahre lang dokumentiert werden.

Durchsetzung

Wie der Datenschutzbeauftragte vorgeht

Das OPC nimmt Beschwerden entgegen, ermittelt, veröffentlicht Ergebnisse und gibt Empfehlungen ab. Unter PIPEDA führt der Weg, ein Unternehmen zur Einhaltung des Gesetzes zu zwingen, über das Bundesgericht, das Anordnungen erlassen und Schadensersatz zusprechen kann.

Manche Verhaltensweisen sind Straftaten. Wer die Regeln zur Meldung und Dokumentation von Datenpannen vorsätzlich missachtet, kann mit Geldstrafen belegt werden. Und eine öffentliche Untersuchung des OPC, auch ohne Strafe, hat meist starke Auswirkungen auf den Ruf einer Website.

Am 15. Juni 2026 brachte die Regierung im Unterhaus den Gesetzentwurf C-36 ein, der das Gesetz zum Schutz der Privatsphäre und der Verbraucherdaten schafft und PIPEDA ändert. Bis Anfang November 2026 war der Entwurf in zweiter Lesung und nicht verabschiedet. Bis dahin gilt PIPEDA unverändert weiter.

Zeitleiste

Termine, die für alle mit kanadischen Besuchern wichtig sind

Von den Leitlinien zu Anzeigen bis zum Reformentwurf.

  1. Dezember 2015

    Leitlinien zu verhaltensbasierter Werbung

    Das OPC aktualisiert die Bedingungen für die Akzeptanz des Opt-out bei interessenbasierten Anzeigen.

  2. Oktober 2018

    Leitfaden zu Datenpannen

    Das OPC veröffentlicht die Leitlinien zur Meldung und Dokumentation von Datenpannen.

  3. 22. September 2022

    Québec beginnt mit Gesetz 25

    Die Provinz beginnt das Inkrafttreten ihres Gesetzes in drei Phasen. Für Besucher aus Québec sind die Regeln strenger.

  4. 15. Juni 2026

    Gesetzentwurf C-36

    Der Entwurf zur Reform des Bundesdatenschutzes wird im Unterhaus eingebracht.

AdSense und Ad Manager

Was sich bei Google-Anzeigen ändert

Die Richtlinie zur Einwilligung von Nutzern in der EU von Google gilt für den EWR, das Vereinigte Königreich und die Schweiz. Kanada steht nicht auf dieser Liste, daher verlangt Google für kanadischen Traffic weder eine zertifizierte CMP noch die TCF-Meldung.

Trotzdem gelten die Google-Richtlinien für Publisher weltweit. Die Datenschutzerklärung der Website muss sagen, dass Dritte Cookies speichern und lesen oder Web Beacons und IP-Adressen nutzen können, um Anzeigen auszuliefern. Und Inhalte für Kinder dürfen keine interessenbasierten Anzeigen erhalten.

Um PIPEDA einzuhalten, kombiniert der Publisher meist drei Teile: einen sichtbaren Hinweis auf personalisierte Anzeigen, einen dauerhaften Opt-out-Link und eine CMP oder Konfiguration, die für alle, die abgelehnt haben, keine personalisierten Anzeigen mehr anfordert. Für Besucher aus Québec muss die Konfiguration wegen des Gesetzes 25 strenger sein.

In der Praxis

Was für kanadische Besucher erlaubt ist und was nicht

Beispiele auf Grundlage der Leitlinien des OPC zu Einwilligung und Werbung.

Erlaubt

  • Personalisierte Anzeigen mit Opt-out, wenn der Hinweis klar und die Daten nicht sensibel sind
  • Ein mehrstufiger Hinweis, der die Anzeigen gleich beim ersten Besuch erklärt
  • Ein fester Link Datenschutzoptionen im Footer
  • Nicht personalisierte Anzeigen für alle, die abgelehnt haben
  • Strengere Konfiguration nur für Besucher aus Québec
  • Datenschutzerklärung, die die Werbepartner auflistet

Nicht erlaubt

  • Das Tracking nur mitten in der Datenschutzerklärung erklären
  • Opt-out, das beim nächsten Besuch verschwindet oder nichts abschaltet
  • Gesundheits- oder Finanzdaten für Anzeigen ohne ausdrückliche Einwilligung nutzen
  • Besucher auf Seiten für Kinder tracken
  • Den Inhalt für diejenigen sperren, die das Tracking ablehnen
  • Annehmen, dass die europäische Konfiguration in Kanada alles löst

In ConsentMode

Was die Prüfung für Besucher aus Kanada kontrolliert

  • Öffnet die Website als kanadischer Besucher und zeigt im Screenshot, ob es einen sichtbaren Hinweis auf personalisierte Anzeigen gibt.
  • Sucht den Opt-out-Link, klickt darauf und prüft, ob sich die Anzeigen-Tags anders verhalten.
  • Erkennt die CMP und zeigt, ob sich die Meldung zwischen Québec, dem Rest Kanadas und Europa ändert.
  • Liest die Datenschutzerklärung und weist darauf hin, wenn Partner, Cookies, Kontakt des Verantwortlichen und Art des Datenzugangs fehlen.
  • Markiert Inhalte, die sich an Kinder zu richten scheinen, mit personalisierten Anzeigen.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zu PIPEDA

Brauche ich ein Cookie-Banner für Kanada?

PIPEDA verlangt keinen Banner im europäischen Format. Es verlangt eine sinnvolle Einwilligung. Für interessenbasierte Anzeigen akzeptiert das OPC ein Opt-out, wenn der Hinweis deutlich und das Opt-out einfach, sofort wirksam und dauerhaft ist. Ein mehrstufiger Hinweis ist meist der einfachste Weg, das zu erfüllen.

Was ist der Unterschied zwischen PIPEDA und Gesetz 25?

PIPEDA ist ein Bundesgesetz und gilt im ganzen Land. Gesetz 25 gehört zu Québec und ist strenger, mit hohen Verwaltungsstrafen und eigenen Regeln für Tracking-Technologien. Für Besucher aus Québec folgen Sie dem Gesetz 25.

Kann das OPC meine Website bestrafen?

Unter PIPEDA ermittelt das OPC und gibt Empfehlungen ab, und die Fälle können vor das Bundesgericht gehen. Manche Verhaltensweisen, etwa die vorsätzliche Missachtung der Regeln zu Datenpannen, sind Straftaten und können Geldstrafen nach sich ziehen. Der noch laufende Gesetzentwurf C-36 schlägt vor, dieses Modell zu ändern.

Verlangt Google eine zertifizierte CMP für Kanada?

Nein. Die Pflicht zu einer zertifizierten CMP mit TCF gilt für den EWR, das Vereinigte Königreich und die Schweiz. Für Kanada gelten die allgemeinen Google-Richtlinien und das kanadische Recht.

Meine Website ist brasilianisch. Gilt PIPEDA für mich?

Es kann gelten, wenn die Website einen echten Bezug zum kanadischen Publikum hat, etwa Inhalte und Anzeigen, die auf Kanada ausgerichtet sind. Diese Analyse ist juristisch. In der Praxis ist ein klarer Hinweis mit Opt-out für kanadische Besucher eine einfache Konfiguration.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, was ein kanadischer Besucher auf Ihrer Website sieht

Die Prüfung testet Hinweis, Opt-out, CMP und Datenschutzerklärung und liefert einen Korrekturplan.

Audit starten