Arbeitsbereich

Leitfaden · Gesetz von Québec

Gesetz 25 von Québec: strengerer Datenschutz für alle mit Anzeigen

Das Gesetz 25 hat den Datenschutz in Québec modernisiert und eigene Regeln für Technologien gebracht, die Personen identifizieren, lokalisieren oder profilieren, wie Anzeigen-Cookies. Dieser Leitfaden zeigt, was sich in jeder Phase geändert hat, was das Gesetz von einer Website verlangt und was ein Fehler kostet.

Meine Website jetzt prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetz von Québec und den Dokumenten der Commission d'accès à l'information
  • ✓Praktische Beispiele für Cookies und Anzeigen
  • ✓Lesen der Website, ohne etwas zu verändern
3Phasen des Inkrafttretens, von 2022 bis 2024
10 Mio.kanadische Dollar, Obergrenze der Verwaltungssanktion für Unternehmen
2%des weltweiten Umsatzes, wenn dieser Wert größer als 10 Millionen ist
2023Jahr, in dem der Großteil der Pflichten zu gelten begann

Was es ist

Das Gesetz, das den Datenschutz in Québec reformiert hat

Das Gesetz 25 ist der gängige Name des Gesetzes von Québec, das die Regeln zum Schutz personenbezogener Informationen modernisiert hat. Es wurde im September 2021 verabschiedet und hat mehrere Gesetze geändert, darunter das Gesetz über den Schutz personenbezogener Informationen im Privatsektor, das für Unternehmen gilt.

Québec ist eine der kanadischen Provinzen mit einem eigenen Gesetz für den Privatsektor. Für Besucher und Kunden aus Québec ist das Gesetz 25 deshalb meist die Hauptregel und nicht die bundesweite PIPEDA.

Die Aufsicht liegt bei der Commission d'accès à l'information (CAI). Mit dem Gesetz 25 hat die CAI mehr Befugnisse erhalten, darunter die, administrative Geldbußen zu verhängen.

Das Gesetz steht der europäischen GDPR näher als die PIPEDA. Es verlangt eine klare Einwilligung, Transparenz, eine Risikobewertung und eine für den Datenschutz verantwortliche Person im Unternehmen.

Checkliste

Was Sie erfüllen müssen

Was das Gesetz des Privatsektors von Québec von einer Website mit Anzeigen verlangt, die Besucher aus der Provinz hat.

  1. Über das Tracking informieren und die Person aktivieren lassen

    Bevor Sie Daten mit einer Technologie erheben, die identifiziert, lokalisiert oder Profile erstellt, informieren Sie über den Einsatz dieser Technologie und über die Mittel, diese Funktionen zu aktivieren. Bei Google-Tags kann der Consent Mode nur für Québec auf verweigert starten.

    Beispiel

    Wir verwenden Cookies, die ein Profil Ihrer Interessen für Anzeigen erstellen. Sie funktionieren nur, wenn Sie sie aktivieren.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});

  2. Einwilligung von guter Qualität

    Die Einwilligung muss ausdrücklich, freiwillig, informiert und für bestimmte Zwecke erteilt werden. Fragen Sie in einfachen, klaren Worten und getrennt von anderen Informationen.

    Beispiel

    Personalisierte Anzeigen: Aktivieren oder Nicht aktivieren. Reichweitenmessung: Aktivieren oder Nicht aktivieren.

  3. Ausdrückliches Ja für sensible Daten

    Wenn die Information sensibel ist, etwa zu Gesundheit oder Finanzen, muss die Einwilligung ausdrücklich erteilt werden.

  4. Vertraulichkeitsrichtlinie auf der Website

    Wer Daten mit technologischen Mitteln erhebt, muss eine Vertraulichkeitsrichtlinie in einfachen, klaren Worten veröffentlichen. Google verlangt außerdem, dass sie sagt, dass Dritte wie Google Cookies verwenden, um Anzeigen auszuspielen.

  5. Titel und Kontakt der verantwortlichen Person veröffentlicht

    Der Titel und der Kontakt der Person, die für den Schutz personenbezogener Informationen verantwortlich ist, müssen veröffentlicht werden, zum Beispiel auf der Website.

    Beispiel

    Verantwortlicher für den Schutz personenbezogener Informationen: Geschäftsführerin. Kontakt: datenschutz@ihre-website.de

  6. Personen unter 14 Jahren

    Informationen von einer Person unter 14 Jahren dürfen ohne die Einwilligung der Person mit elterlicher Autorität nicht erhoben werden, außer wenn die Erhebung eindeutig zu ihrem Vorteil ist.

  7. Innerhalb von 30 Tagen antworten

    Anfragen auf Auskunft oder Berichtigung müssen innerhalb von 30 Tagen schriftlich beantwortet werden. Ohne Antwort in dieser Frist gilt die Anfrage als abgelehnt.

  8. Vorfälle mit ernstem Risiko

    Wenn ein Vertraulichkeitsvorfall ein Risiko ernsten Schadens birgt, muss das Unternehmen die CAI unverzüglich informieren.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Québec weder eine zertifizierte CMP noch hat es eine eigene Meldung dafür, daher liegt die Einrichtung beim Publisher, und dies sind die offiziellen Referenzlinks.

Für wen es gilt

Wann das Gesetz 25 Ihre Website erfasst

Das Gesetz betrifft Unternehmen, die personenbezogene Informationen von Personen in Québec erheben, aufbewahren, nutzen oder weitergeben.

Unternehmen in Québec

Jedes Unternehmen, das in Québec tätig ist, unterliegt dem Gesetz, unabhängig von der Größe.

Unternehmen von außerhalb mit Publikum in Québec

Websites aus anderen Provinzen oder anderen Ländern, die Geschäfte mit Einwohnern von Québec machen, können erfasst werden. Diese Beurteilung ist rechtlicher Natur.

Personenbezogene Information

Jede Information über eine natürliche Person, die es ermöglicht, sie direkt oder indirekt zu identifizieren, etwa Kennungen, die für Anzeigen verwendet werden.

Tracking-Technologien

Tools, die Personen identifizieren, lokalisieren oder profilieren, unterliegen eigenen Regeln, die Cookies und Werbe-Tags unmittelbar betreffen.

Zeitleiste

Die drei Phasen des Gesetzes 25

Das Inkrafttreten war über drei Jahre gestaffelt, ab dem 22. September 2022.

  1. September 2021

    Gesetz verabschiedet

    Die Nationalversammlung von Québec verabschiedet das Gesetz zur Modernisierung des Schutzes personenbezogener Informationen.

  2. 22. September 2022

    Erste Phase

    Die Funktion der für den Schutz personenbezogener Informationen verantwortlichen Person und die Regeln zu Vertraulichkeitsvorfällen beginnen zu gelten.

  3. 22. September 2023

    Zweite Phase, die größte

    Der Großteil der Pflichten tritt in Kraft: Einwilligung, Vertraulichkeitsrichtlinie, Tracking-Technologien, Folgenabschätzungen und die neuen Befugnisse der CAI, einschließlich der Verwaltungssanktionen.

  4. 22. September 2024

    Dritte Phase

    Das Recht auf Übertragbarkeit beginnt zu gelten, das es der Person erlaubt, ihre Daten in einem strukturierten, gängigen technologischen Format zu erhalten.

Cookies und Tracking

Technologien, die identifizieren, lokalisieren oder profilieren

Artikel 8.1 des Gesetzes für den Privatsektor besagt: Bevor Informationen mit einer Technologie erhoben werden, die eine Person identifizieren, lokalisieren oder profilieren kann, muss das Unternehmen mitteilen, dass es diese Technologie einsetzt und welche Mittel es gibt, diese Funktionen zu aktivieren.

Profiling bedeutet im Sinne des Gesetzes, personenbezogene Informationen zu nutzen, um Merkmale der Person zu bewerten, etwa wirtschaftliche Lage, Gesundheit, Vorlieben oder Interessen. Genau das tun Cookies für personalisierte Werbung.

Das Gesetz spricht von Mitteln zur Aktivierung dieser Funktionen. Die gängigste Lesart ist, dass sie ausgeschaltet beginnen und erst funktionieren, wenn die Person sie aktivieren möchte. Für Besucher aus Québec ist das sicherste Modell deshalb dem europäischen ähnlich: personalisierte Anzeigen erst nach einem Ja.

Außerdem gibt es Artikel 9.1, der bei technologischen Produkten und Diensten mit Datenschutzparametern standardmäßig das höchste Vertraulichkeitsniveau verlangt. Der Artikel selbst nimmt davon die Cookie-Parameter aus, die weiterhin unter die Regeln zu Transparenz und Einwilligung fallen.

Einwilligung

Wie die Einwilligung im Gesetz 25 aussehen muss

Das Gesetz verlangt eine qualifizierte Einwilligung, für jeden Zweck eingeholt und in einfachen Worten.

Offenkundig

Der Wille der Person muss klar sein. Schweigen oder Untätigkeit genügen nicht.

Frei und informiert

Die Person entscheidet ohne Druck und versteht, was sie akzeptiert.

Für bestimmte Zwecke

Die Anfrage wird für jeden Zweck gestellt, getrennt von anderen Informationen, in einfacher und klarer Sprache.

Ausdrücklich bei sensiblen Daten

Sensible Informationen wie Gesundheits- oder Finanzdaten erfordern eine ausdrückliche Einwilligung.

Pflichten der Website

Was das Unternehmen vorhalten muss

Neben dem Banner verlangt das Gesetz 25 Strukturen und Dokumente.

Verantwortliche Person für den Datenschutz

Standardmäßig ist es die Person mit der höchsten Autorität im Unternehmen. Die Funktion kann schriftlich delegiert werden, und Funktion und Kontakt müssen auf der Website veröffentlicht werden.

Vertraulichkeitsrichtlinie

Wer Daten mit technologischen Mitteln erhebt, muss auf der Website eine Vertraulichkeitsrichtlinie in einfachen und klaren Worten veröffentlichen.

Folgenabschätzung

Systemprojekte, die personenbezogene Informationen betreffen, und Datenübermittlungen aus Québec heraus erfordern eine Bewertung der Faktoren in Bezug auf die Privatsphäre.

Vertraulichkeitsvorfälle

Vorfälle mit dem Risiko eines ernsthaften Schadens müssen der CAI und den betroffenen Personen gemeldet werden, und alle müssen dokumentiert werden.

Governance-Regeln

Das Unternehmen führt interne Regeln zu Aufbewahrung und Vernichtung von Daten, zu Rollen und Verantwortlichkeiten und zur Behandlung von Beschwerden ein.

Aufbewahrung und Vernichtung

Wenn der Zweck endet, werden die Daten gemäß dem Gesetz vernichtet oder anonymisiert.

Rechte

Was die Person verlangen kann

Das Gesetz 25 hat die Rechte derjenigen erweitert, deren Daten von Unternehmen verarbeitet werden.

Zugang und Berichtigung

Die gespeicherten Daten einsehen und die Korrektur falscher Daten verlangen.

Einwilligung widerrufen

Jederzeit die Meinung ändern bei Nutzungen, die von einer Einwilligung abhängen.

Deindexierung

Verlangen, dass eine Information nicht mehr verbreitet wird oder dass ein Link mit dem Namen der Person nicht mehr zu ihr führt, unter bestimmten Bedingungen.

Übertragbarkeit

Seit dem 22. September 2024 die Daten in einem strukturierten, gängigen Format erhalten.

Durchsetzung und Sanktionen

Die CAI kann hohe Bußen verhängen

Seit der zweiten Phase kann die CAI finanzielle Verwaltungssanktionen verhängen. Für Unternehmen beträgt der Höchstbetrag 10 Millionen kanadische Dollar oder 2 % des weltweiten Umsatzes des Vorjahres, je nachdem, was größer ist. Für natürliche Personen liegt die Obergrenze bei 50.000 Dollar.

Im Mai 2023 veröffentlichte die CAI einen allgemeinen Rahmen mit den Kriterien, nach denen sie entscheidet, wann und in welcher Höhe sie eine Sanktion verhängt und wann sie den Strafweg bevorzugt. Schwerere Fälle können diesen Weg gehen, mit eigenen Bußen.

Das Gesetz gibt den Personen auch mehr Möglichkeiten, vor Gericht Wiedergutmachung zu suchen. Für eine Website mit Anzeigen kommt das praktische Risiko von drei Seiten: Beschwerden von Besuchern, Untersuchung durch die CAI und Auswirkungen auf den Ruf.

AdSense und Ad Manager

Was sich bei Google-Anzeigen ändert

Google verlangt für Kanada weder eine zertifizierte CMP noch die TCF-Meldung. Die Einwilligungsrichtlinie für Nutzer in der EU gilt nur für den EWR, das Vereinigte Königreich und die Schweiz. Die Konfiguration für Québec liegt also in der Verantwortung des Publishers.

In der Praxis nutzen viele Publisher die CMP, um Québec eine Meldung mit klarer Wahl vor personalisierten Anzeigen zu zeigen. Für alle, die ablehnen, kann die Website in den Google-Tags nicht personalisierte Anzeigen anfordern und so einen Teil der Einnahmen behalten.

Die Google-Richtlinien für Publisher gelten weiterhin: Die Datenschutzerklärung muss erklären, dass Dritte Cookies setzen und lesen, um Anzeigen auszuliefern, und Inhalte für Kinder dürfen keine interessenbasierten Anzeigen erhalten.

In der Praxis

Was für Besucher aus Québec erlaubt ist und was nicht

Beispiele für Konfigurationen, die bei Websites mit Anzeigen vorkommen.

Erlaubt

  • Eine Einwilligungsmeldung nur für Besucher aus Québec zeigen
  • Profiling-Funktionen ausgeschaltet lassen, bis die Person sie aktiviert
  • Nicht personalisierte Anzeigen für alle ausliefern, die nicht zugestimmt haben
  • Funktion und Kontakt der für den Datenschutz verantwortlichen Person veröffentlichen
  • Eine Vertraulichkeitsrichtlinie in klarem, einfachem Französisch haben
  • Einen festen Link, um die Entscheidungen jederzeit zu ändern

Nicht erlaubt

  • Profiling-Cookies vor jeder Entscheidung aktivieren
  • Ein Hinweis, der nur sagt, dass die Website Cookies nutzt, ohne Option zum Aktivieren oder nicht
  • Alle Zwecke in einem einzigen Ja bündeln
  • Vertraulichkeitsrichtlinie versteckt oder nur in einer anderen Sprache
  • Gesundheitsdaten ohne ausdrückliche Einwilligung für Anzeigen nutzen
  • Québec mit derselben Konfiguration wie den Rest Kanadas behandeln, ohne das Gesetz zu prüfen

In ConsentMode

Was das Audit für Besucher aus Québec prüft

  • Öffnet die Website als Besucher aus Québec und zeigt per Screenshot, ob es eine Einwilligungsmeldung gibt und welche Optionen sie bietet.
  • Prüft, ob Cookies und Tags personalisierter Anzeigen vor der Entscheidung laden.
  • Erkennt die CMP und vergleicht die Meldung für Québec mit der für den Rest Kanadas und für Europa.
  • Liest die Vertraulichkeitsrichtlinie und zeigt, ob der Verantwortliche, die Tracking-Technologien und die Partner fehlen.
  • Liefert einen Korrekturplan in Prioritätsreihenfolge, ohne die rechtliche Analyse zu ersetzen.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zum Gesetz 25

Brauche ich ein Cookie-Banner für Québec?

Das Gesetz verlangt, dass die Person informiert wird und Mittel hat, die Funktionen zur Identifizierung, Lokalisierung und Profilbildung zu aktivieren. In der Praxis ist die einfachste Art, das zu erfüllen, eine Einwilligungsmeldung mit standardmäßig ausgeschalteten Profiling-Funktionen.

Fallen auch Analyse-Cookies darunter?

Das hängt davon ab, was sie tun. Wenn sie die Person identifizieren oder profilieren, fallen sie unter Artikel 8.1. Aggregierte Messungen ohne Profil haben ein geringeres Risiko. Es lohnt sich, jedes Tool mit der Rechtsabteilung zu bewerten.

Wie hoch ist die Höchstbuße?

Die Verwaltungssanktion der CAI für Unternehmen beträgt bis zu 10 Millionen kanadische Dollar oder 2 % des weltweiten Umsatzes des Vorjahres, je nachdem, was größer ist. Der Strafweg hat eigene Bußen.

Kann ich dieselbe Konfiguration wie für die GDPR verwenden?

Sie erfüllt meist einen großen Teil des Gesetzes 25, weil sie ebenfalls ein Ja vor dem Tracking verlangt. Aber die europäische TCF-Meldung ist in Québec nicht erforderlich, und die Vertraulichkeitsrichtlinie muss das Gesetz und den lokalen Verantwortlichen nennen.

Ersetzt ConsentMode die Folgenabschätzung?

Nein. Das Audit zeigt, was die Website für einen Besucher aus Québec tut, mit Screenshots und einem Korrekturplan. Die Folgenabschätzung und die rechtliche Analyse bleiben bei Ihrem Team.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Sehen Sie Ihre Website so, wie ein Besucher aus Québec sie sieht

Das Audit prüft Meldung, Cookies, CMP und Vertraulichkeitsrichtlinie und zeigt, was zu korrigieren ist.

Audit starten