Der Rechtsrahmen
Kanadas Rechtsrahmen beruht auf PIPEDA + CASL + Québecs Gesetz 25 (provinziell), verabschiedet im Jahr 2000; Aufsichtsbehörde ist das Büro des Datenschutzbeauftragten.
Damit gehört Kanada zur weltweiten Opt-in-Mehrheit: Die Erlaubnis muss vor der Verarbeitung vorliegen, und Marketing wartet auf die Einwilligung.
Wichtige Rechtsakte
PIPEDA
Einwilligungsbasiertes Bundesgesetz für den Privatsektor: Kenntnis und Einwilligung sind für Erhebung, Nutzung und Offenlegung erforderlich, wobei eine stillschweigende Einwilligung für nicht sensible Zwecke ausreicht. Das OPC ermittelt, kann aber nicht direkt Bußgelder verhängen.
CASL (Anti-Spam-Gesetz)
Ausdrückliche Opt-in-Einwilligung für kommerzielle elektronische Nachrichten, mit begrenzter stillschweigender Einwilligung (bestehende Geschäftsbeziehung, Zeitfenster von 2 Jahren; Anfragen, 6 Monate). Pflichten zur Identifikation und Abmeldemöglichkeit. Bußgelder der CRTC bis zu 10 Mio. CAD.
Gesetz 25 (Québec)
Provinzgesetz auf DSGVO-Niveau: Standards für ausdrückliche Einwilligung, Datenschutz durch Voreinstellung, Folgenabschätzungen für Übermittlungen, Offenlegungspflicht für automatisierte Entscheidungen, Datenübertragbarkeit (ab September 2024), Bußgelder bis zu 25 Mio. CAD oder 4 % des Umsatzes.
Marketing und Werbung
Für Erhebung, Nutzung und Offenlegung ist eine Einwilligung erforderlich; eine stillschweigende Einwilligung genügt in nicht sensiblen Kontexten, doch das CASL macht kommerzielle E-Mails und SMS strikt opt-in-pflichtig, mit begrenzten Zeitfenstern für die stillschweigende Einwilligung. Dieser eine Satz entscheidet hier über die meisten Kanalstrategien.
Die praktische Falle für US-Vermarkter: Ein CAN-SPAM-Vorgehen ist in Kanada illegal. Keine gekauften Listen, keine reinen Opt-out-Versände, und die Fristen der stillschweigenden Einwilligung laufen ab. Québec fügt zusätzlich Pflichten zur französischen Sprache und zur Gestaltung der Einwilligung hinzu.
Grenzüberschreitende Datenübermittlung
Rechenschaftsbasiert: Die übermittelnde Organisation bleibt verantwortlich; Québec verlangt zusätzlich Folgenabschätzungen für Übermittlungen.
Durchsetzung und Sanktionen
Bußgelder nach dem CASL erreichen 10 Mio. CAD pro Verstoß; Bußgelder nach Québecs Gesetz 25 erreichen 25 Mio. CAD oder 4 % des weltweiten Umsatzes. Dem PIPEDA selbst fehlt weiterhin eine direkte Bußgeldbefugnis, nachdem die Gesetzesvorlage C-27 im Januar 2025 gescheitert ist.