Jeder Medienplan der Welt lässt sich auf eine Frage pro Markt reduzieren: ob personenbezogene Daten das gezielte Ansprechen steuern dürfen, bevor Menschen zugestimmt haben. Diese Seite ordnet alle 197 Rechtsordnungen nach der Antwort, und das Muster ist deutlich. Die regulierte Welt setzt auf Opt-in. Eine Supermacht setzt auf Opt-out. Eine pragmatische Mitte setzt auf Hinweispflicht.
151Opt-in-Rechtsordnungen
1Opt-out (USA)
7Hybrid / hinweisbasiert
38Keine Einwilligungsregel (kein Gesetz)
Opt-in: Erlaubnis zuerst (151 Rechtsordnungen)
Die DSGVO-Familie und ihre Verwandten. Tracking, Profiling und die meisten Marketingaktivitäten benötigen eine ausdrückliche Einwilligung oder eine andere eng gefasste Rechtsgrundlage, bevor die Verarbeitung beginnt. Dieser Block umfasst die EU und den EWR, das Vereinigte Königreich, Brasilien, China, Korea, Kanada, den Großteil Afrikas und Lateinamerikas sowie den Golf. Wenn Ihre Kampagne aus diesen Märkten sichtbar sein kann, ist eine Erlaubnis der Preis des Markteintritts.
| Rechtsordnung | Region | Status | Was Einwilligung hier bedeutet |
|---|---|---|---|
| 🇪🇬 Ägypten | Naher Osten & Nordafrika | Verabschiedet | Auf Einwilligung ausgerichtet, wobei nach der Durchführungsverordnung Lizenzen für die Verarbeitung, grenzüberschreitende Datenübermittlungen, sensible Daten und direktes elektronisches Marketing erforderlich sind. |
| 🇦🇱 Albanien | Europa | In Kraft | An die DSGVO angelehnte Rechtsgrundlagen und Einwilligungsstandard. |
| 🇩🇿 Algerien | Naher Osten & Nordafrika | In Kraft | Einwilligung im Vordergrund, mit Genehmigungspflichten für sensible Daten und Datenübermittlungen. |
| 🇦🇩 Andorra | Europa | In Kraft | An die DSGVO angelehnte Einwilligung und Rechtsgrundlagen. |
| 🇦🇴 Angola | Subsahara-Afrika | In Kraft | Einwilligung im Vordergrund, mit Genehmigungspflichten. Für die Verarbeitung sensibler Daten und Datenübermittlungen ist eine Genehmigung der APD erforderlich. |
| 🇦🇬 Antigua und Barbuda | Amerika | Verabschiedet | Einwilligungsorientierter Rahmen. Inkrafttreten und Aufsicht sind bislang unvollständig geblieben. |
| 🇬🇶 Äquatorialguinea | Subsahara-Afrika | In Kraft | Vorrang der Einwilligung auf dem Papier. |
| 🇦🇷 Argentinien | Amerika | In Kraft | Einwilligung im Vordergrund, mit aufgeführten Ausnahmen. Das Anrufsperrregister und Marketing-Opt-outs werden durchgesetzt. |
| 🇦🇲 Armenien | Europa | In Kraft | Rechtsrahmen mit Vorrang der Einwilligung. |
| 🇦🇿 Aserbaidschan | Europa | In Kraft | Auf Einwilligung ausgerichteter Rahmen mit Registrierungspflichten. |
| 🇪🇹 Äthiopien | Subsahara-Afrika | In Kraft | Auf Einwilligung ausgerichtet, mit von der DSGVO beeinflussten Rechtsgrundlagen und Rechten. |
| 🇧🇸 Bahamas | Amerika | In Kraft | Einwilligungsorientierte Regeln aus der Richtlinien-Ära. |
| 🇧🇭 Bahrain | Naher Osten & Nordafrika | In Kraft | Einwilligung oder aufgeführte Rechtsgrundlagen. Direktmarketing erfordert eine vorherige Einwilligung. |
| 🇧🇩 Bangladesch | Asien-Pazifik | Verabschiedet | Einwilligungsbasierte Verarbeitung nach dem Gesetz von 2026. Die Bestimmungen zu Beschwerden, Bußgeldern und Entschädigung treten erst in Kraft, wenn die Regierung dies bekannt gibt, frühestens im Oktober 2027. |
| 🇧🇧 Barbados | Amerika | In Kraft | Einwilligung und Rechtsgrundlagen nach DSGVO-Vorbild. |
| 🇧🇾 Belarus | Europa | In Kraft | Einwilligung ist die Standardgrundlage, mit aufgeführten Ausnahmen. |
| 🇧🇪 Belgien | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇧🇿 Belize | Amerika | In Kraft | Einwilligung und Rechtsgrundlagen unter DSGVO-Einfluss. |
| 🇧🇯 Benin | Subsahara-Afrika | In Kraft | Von der DSGVO beeinflusste Einwilligung und Rechtsgrundlagen im Digitalgesetzbuch. |
| 🇧🇦 Bosnien und Herzegowina | Europa | In Kraft | Auf Einwilligung ausgerichteter Rahmen aus der Zeit vor der DSGVO. |
| 🇧🇼 Botsuana | Subsahara-Afrika | In Kraft | Einwilligung oder aufgeführte Rechtsgrundlagen. Es gelten Registrierungspflichten. |
| 🇧🇷 Brasilien | Amerika | In Kraft | Zehn Rechtsgrundlagen einschließlich berechtigter Interessen, doch bei Cookies und den meisten Adtech-Anwendungen wird eine Einwilligung erwartet, und die Leitlinien der ANPD drängen auf granulare Banner. |
| 🇧🇳 Brunei | Asien-Pazifik | In Kraft | An Singapur angelehnter Einwilligungsrahmen für den Privatsektor, mit Konzepten der vermuteten Einwilligung. |
| 🇧🇬 Bulgarien | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇧🇫 Burkina Faso | Subsahara-Afrika | In Kraft | Einwilligung im Vordergrund. Das Gesetz von 2021 ersetzte das wegweisende Gesetz von 2004 durch einen modernisierten Rahmen. |
| 🇧🇮 Burundi | Subsahara-Afrika | Verabschiedet | Ein umfassendes Gesetz nach dem frankophon-afrikanischen Modell, mit Einwilligung als Hauptgrundlage für die Verarbeitung. Für die Verarbeitung im Privatsektor galt eine Frist von sechs Monaten zur Einhaltung, die am 10. September 2026 endete. |
| 🇨🇻 Cabo Verde | Subsahara-Afrika | In Kraft | Auf Einwilligung ausgerichteter Rahmen nach portugiesischem Modell, mehrfach aktualisiert. |
| 🇨🇱 Chile | Amerika | Verabschiedet | An die DSGVO angelehnt: Einwilligung oder eine andere Rechtsgrundlage einschließlich berechtigter Interessen, mit Regeln zu sensiblen Daten und Kindern. Das abgelöste Gesetz von 1999 beruhte auf Einwilligung, war aber wirkungslos. |
| 🇨🇳 China | Asien-Pazifik | In Kraft | Einwilligung ist die tragende Rechtsgrundlage, und für sensible Daten, grenzüberschreitende Datenübermittlungen und die Weitergabe an andere Verantwortliche ist eine „gesonderte Einwilligung“ erforderlich. Eine Rechtsgrundlage des berechtigten Interesses existiert nicht. |
| 🇨🇷 Costa Rica | Amerika | In Kraft | Ausdrückliche Einwilligung ist die allgemeine Regel, mit Pflichten zur Registrierung in einer Datenbank. |
| 🇨🇮 Côte d'Ivoire | Subsahara-Afrika | In Kraft | Vorrang der Einwilligung, mit Genehmigungspflichten. |
| 🇩🇰 Dänemark | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇨🇩 Demokratische Republik Kongo | Subsahara-Afrika | In Kraft | Auf Einwilligung ausgerichtete, von der DSGVO beeinflusste Bestimmungen im Digitalgesetzbuch von 2023. |
| 🇩🇪 Deutschland | Europa | In Kraft | DSGVO-Rechtsgrundlage. Das TDDDG verlangt eine Opt-in-Einwilligung für Cookies und den Gerätezugriff. |
| 🇩🇴 Dominikanische Republik | Amerika | In Kraft | Auf dem Papier auf Einwilligung ausgerichtet, in der Praxis liegt der Schwerpunkt der Durchsetzung auf Kreditdaten. |
| 🇩🇯 Dschibuti | Subsahara-Afrika | Verabschiedet | Auf Einwilligung ausgerichtete Regeln in Buch I des Digitalgesetzbuchs. Für die Verarbeitung im Privatsektor galt eine Frist von einem Jahr zur Einhaltung, für den öffentlichen Sektor von zwei Jahren. |
| 🇪🇨 Ecuador | Amerika | In Kraft | An die DSGVO angelehnte Rechtsgrundlagen mit Schwerpunkt auf Einwilligung. Sanktionen gelten seit 2023. |
| 🇸🇻 El Salvador | Amerika | In Kraft | Rechtsrahmen mit Vorrang der Einwilligung, unter DSGVO-Einfluss. |
| 🇪🇪 Estland | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇸🇿 Eswatini | Subsahara-Afrika | In Kraft | Einwilligung oder aufgeführte Rechtsgrundlagen, von der DSGVO beeinflusst. |
| 🇪🇺 Europäische Union | Sonderfälle | In Kraft | Für jede Verarbeitung eine Rechtsgrundlage nach Artikel 6. Für Cookies, Tracking und die meisten Adtech-Anwendungen ist nach der ePrivacy-Richtlinie eine freiwillige, spezifische, informierte und unmissverständliche Einwilligung erforderlich. |
| 🇫🇮 Finnland | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇫🇷 Frankreich | Europa | In Kraft | DSGVO-Rechtsgrundlage sowie die Cookie-Doktrin der CNIL, wonach das Ablehnen ebenso einfach sein muss wie das Annehmen. |
| 🇬🇦 Gabun | Subsahara-Afrika | In Kraft | Einwilligung im Vordergrund. Die Änderung von 2023 modernisierte Begriffsbestimmungen und Pflichten. |
| 🇬🇲 Gambia | Subsahara-Afrika | Verabschiedet | Ein moderner, auf Einwilligung und anderen Rechtsgrundlagen aufgebauter Rahmen. Leitlinien und Durchsetzungspraxis befinden sich noch in der Entwicklung. |
| 🇬🇪 Georgien | Europa | In Kraft | An die DSGVO angelehnte Rechtsgrundlagen. Direktmarketing erfordert eine Einwilligung mit einem einfachen Widerrufsweg. |
| 🇬🇭 Ghana | Subsahara-Afrika | In Kraft | Auf Einwilligung ausgerichtet, mit Registrierungspflichten. Direktmarketing unterliegt Widerspruchsrechten (Opt-out). |
| 🇬🇩 Grenada | Amerika | Verabschiedet | Moderner Rahmen nach dem Commonwealth-Modell, der ab Inkraftsetzung durch Ministerialverfügung gilt. |
| 🇬🇷 Griechenland | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇬🇳 Guinea | Subsahara-Afrika | In Kraft | Einwilligungsorientierte Datenschutzbestimmungen im Cybergesetz von 2016. |
| 🇬🇾 Guyana | Amerika | Verabschiedet | Einwilligung und Rechtsgrundlagen unter DSGVO-Einfluss. |
| 🇮🇳 Indien | Asien-Pazifik | Verabschiedet | Einwilligung oder eng gefasste „berechtigte Verwendungszwecke“ (die Marketing nicht einschließen). Hinweisgestützte, einzeln aufgeschlüsselte Einwilligung ist die Standardgrundlage für die kommerzielle Verarbeitung. |
| 🇮🇩 Indonesien | Asien-Pazifik | In Kraft | An die DSGVO angelehnte Rechtsgrundlagen einschließlich Einwilligung, Vertrag und berechtigter Interessen, doch in der kommerziellen Praxis dominiert die ausdrückliche Einwilligung. Es gelten Anforderungen an die Einwilligung in indonesischer Sprache. |
| 🇮🇪 Irland | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇮🇸 Island | Europa | In Kraft | Die DSGVO gilt über das EWR-Abkommen. ePrivacy-Einwilligung für Cookies. |
| 🇮🇱 Israel | Naher Osten & Nordafrika | In Kraft | Einwilligung (informiert, bei nicht sensiblen Sachverhalten oft stillschweigend durch Verhalten) bildet die Grundlage der Verarbeitung. Das Anti-Spam-Gesetz verlangt Opt-in für kommerzielle E-Mails, SMS und Fax. |
| 🇮🇹 Italien | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇯🇲 Jamaika | Amerika | In Kraft | An die DSGVO angelehnte Standards. Die Registrierung von Verantwortlichen ist erforderlich. |
| 🇯🇴 Jordanien | Naher Osten & Nordafrika | In Kraft | Einwilligung im Vordergrund, mit aufgeführten Ausnahmen. Es gelten ausdrückliche Regeln für die Einwilligung im Direktmarketing. |
| 🇨🇲 Kamerun | Subsahara-Afrika | Verabschiedet | Auf Einwilligung ausgerichteter Rahmen mit Pflichten zur Bestellung eines Datenschutzbeauftragten. Die Pflichten gelten, seit die 18-monatige Übergangsfrist am 23. Juni 2026 endete. |
| 🇨🇦 Kanada | Amerika | In Kraft | Für Erhebung, Nutzung und Offenlegung ist eine Einwilligung erforderlich. Bei nicht sensiblen Sachverhalten genügt eine stillschweigende Einwilligung, doch nach CASL gelten kommerzielle E-Mails und SMS strikt als Opt-in, mit begrenzten Zeitfenstern für stillschweigende Einwilligung. |
| 🇰🇿 Kasachstan | Asien-Pazifik | In Kraft | Einwilligungsbasiert, mit Formvorschriften. Änderungen haben den Umgang mit biometrischen Daten und digitaler Identität verschärft. |
| 🇶🇦 Katar | Naher Osten & Nordafrika | In Kraft | Einwilligungsbasierte Verarbeitung, wobei Direktmarketing eine vorherige Einwilligung und einen Opt-out in jeder Nachricht erfordert. |
| 🇰🇪 Kenia | Subsahara-Afrika | In Kraft | An die DSGVO angelehnte Rechtsgrundlagen. Direktmarketing erfordert eine Einwilligung oder eine Bestandskundenbeziehung mit Opt-out, was die ODPC durchsetzt. |
| 🇰🇬 Kirgisistan | Asien-Pazifik | In Kraft | Einwilligungsbasiert. Änderungen von 2021 fügten Lokalisierungspflichten und eine Aufsichtsbehörde hinzu. |
| 🇨🇴 Kolumbien | Amerika | In Kraft | Vorherige, ausdrückliche und informierte Einwilligung ist die allgemeine Regel, mit einem nationalen Datenbankregister (RNBD) für größere Unternehmen. |
| 🇰🇲 Komoren | Subsahara-Afrika | Verabschiedet | Auf dem Papier ein auf Einwilligung ausgerichteter Rahmen. Da keine Kommission eingerichtet ist, setzt ihn niemand durch. |
| 🇭🇷 Kroatien | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇨🇺 Kuba | Amerika | In Kraft | Einwilligungsorientierte Regeln innerhalb eines staatlich kontrollierten Informationssystems. |
| 🇰🇼 Kuwait | Naher Osten & Nordafrika | Sektoral | Einwilligungsorientierte Pflichten für Telekommunikations- und IKT-Dienstanbieter, einschließlich Apps und Plattformen, nach einer Verordnung, die kein branchenübergreifendes Gesetz erreicht. |
| 🇱🇦 Laos | Asien-Pazifik | Sektoral | Einwilligungsorientierte Regeln für elektronische Daten. Anwendungsbereich und Durchsetzung sind eng begrenzt. |
| 🇱🇸 Lesotho | Subsahara-Afrika | Verabschiedet | Vorrang der Einwilligung auf dem Papier. |
| 🇱🇻 Lettland | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇱🇧 Libanon | Naher Osten & Nordafrika | In Kraft | Einwilligungsorientiert, jedoch mit weitreichenden Ausnahmen, in einem auf Lizenzierung aufgebauten System. |
| 🇱🇷 Liberia | Subsahara-Afrika | Verabschiedet | Das neue Gesetz legt Regeln zu Einwilligung und Verarbeitung fest, deren Einzelheiten noch der Umsetzung harren. |
| 🇱🇮 Liechtenstein | Europa | In Kraft | Die DSGVO gilt über das EWR-Abkommen. ePrivacy-Einwilligung für Cookies. |
| 🇱🇹 Litauen | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇱🇺 Luxemburg | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇲🇴 Macau | Sonderfälle | In Kraft | An eine EU-Richtlinie angelehnt: Einwilligung oder eine andere Rechtsgrundlage. Für viele Verarbeitungsvorgänge bestehen Meldepflichten gegenüber der GPDP. |
| 🇲🇬 Madagaskar | Subsahara-Afrika | Verabschiedet | Vorrang der Einwilligung auf dem Papier. |
| 🇲🇼 Malawi | Subsahara-Afrika | In Kraft | Rechtsrahmen mit Vorrang der Einwilligung, unter DSGVO-Einfluss. |
| 🇲🇾 Malaysia | Asien-Pazifik | In Kraft | Einwilligungsbasierte Verarbeitung mit einem gesetzlichen Recht, Direktmarketing zu stoppen. Das Gesetz erfasst kommerzielle Transaktionen und nimmt staatliche Stellen aus. |
| 🇲🇱 Mali | Subsahara-Afrika | In Kraft | Vorrang der Einwilligung, mit Meldepflichten. |
| 🇲🇹 Malta | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇲🇦 Marokko | Naher Osten & Nordafrika | In Kraft | Einwilligung im Vordergrund, mit vorherigen Melde- oder Genehmigungspflichten. Direktmarketing erfordert eine vorherige Einwilligung. |
| 🇲🇷 Mauretanien | Subsahara-Afrika | In Kraft | Vorrang der Einwilligung auf dem Papier. |
| 🇲🇺 Mauritius | Subsahara-Afrika | In Kraft | Einwilligung und Rechtsgrundlagen, an der DSGVO ausgerichtet. |
| 🇲🇩 Moldau | Europa | In Kraft | Auf Einwilligung ausgerichteter Rahmen nach dem Vorbild der EU-Richtlinie aus der Zeit vor der DSGVO. Die Angleichung an die DSGVO schreitet im Zuge des EU-Beitrittsprozesses voran. |
| 🇲🇨 Monaco | Europa | In Kraft | An die DSGVO angeglichener Rahmen, Ende 2024 verabschiedet. |
| 🇲🇳 Mongolei | Asien-Pazifik | In Kraft | Einwilligungsbasierte Erhebung und Verarbeitung mit aufgeführten Ausnahmen. Sensible Daten unterliegen Einschränkungen. |
| 🇲🇪 Montenegro | Europa | In Kraft | Auf Einwilligung ausgerichteter Rahmen. Die Angleichung an die DSGVO erfolgt schrittweise. |
| 🇳🇵 Nepal | Asien-Pazifik | In Kraft | Für die Erhebung, Nutzung und Veröffentlichung personenbezogener Informationen ist eine Einwilligung erforderlich, mit weitreichenden Ausnahmen für staatliche Stellen. |
| 🇳🇮 Nicaragua | Amerika | Verabschiedet | Vorrang der Einwilligung auf dem Papier. |
| 🇳🇱 Niederlande | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇳🇪 Niger | Subsahara-Afrika | In Kraft | Rechtsrahmen mit Vorrang der Einwilligung. |
| 🇳🇬 Nigeria | Subsahara-Afrika | In Kraft | Einwilligung oder eine andere Rechtsgrundlage einschließlich berechtigter Interessen, doch beim Direktmarketing werden Einwilligung und ein klarer Opt-out erwartet. Die GAID legt die Einwilligungsstandards im Detail fest. |
| 🇲🇰 Nordmazedonien | Europa | In Kraft | An die DSGVO angelehnte Rechtsgrundlagen und Einwilligungsstandard. |
| 🇳🇴 Norwegen | Europa | In Kraft | Die DSGVO gilt über das EWR-Abkommen. ePrivacy-Einwilligung für Cookies. |
| 🇴🇲 Oman | Naher Osten & Nordafrika | In Kraft | Ausdrückliche schriftliche Einwilligung ist die Standardgrundlage, einer der strengsten Einwilligungsstandards weltweit. Für sensible Daten sind ministerielle Genehmigungen erforderlich. |
| 🇦🇹 Österreich | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇵🇦 Panama | Amerika | In Kraft | Einwilligung oder aufgeführte Rechtsgrundlagen. In Kraft seit 2021, mit einem Durchführungserlass von 2021. |
| 🇵🇾 Paraguay | Amerika | Verabschiedet | Von der DSGVO beeinflusste Einwilligung und Rechtsgrundlagen nach dem neuen Gesetz. Bis es anwendbar wird, gilt nur das Kreditdatengesetz von 2020 (Gesetz 6534/2020). |
| 🇵🇪 Peru | Amerika | In Kraft | Vorherige, ausdrückliche, unmissverständliche Einwilligung ist die Standardgrundlage, einer der strengsten Standards der Region. Die Verordnung von 2024 (in Kraft seit 30. März 2025) modernisierte die Regeln zu Hinweisen, Cookies und Kindern. |
| 🇵🇭 Philippinen | Asien-Pazifik | In Kraft | Einwilligung oder ein anderes rechtmäßiges Kriterium. Direktmarketing und Profiling erfordern in der Praxis eine Einwilligung, und die NPC geht gegen irreführend gestaltete Einwilligungsabfragen vor. |
| 🇵🇱 Polen | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇵🇹 Portugal | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇨🇬 Republik Kongo | Subsahara-Afrika | In Kraft | Rechtsrahmen mit Vorrang der Einwilligung. |
| 🇷🇼 Ruanda | Subsahara-Afrika | In Kraft | Einwilligung oder aufgeführte Rechtsgrundlagen. Die Registrierung von Verantwortlichen und Auftragsverarbeitern ist erforderlich. |
| 🇷🇴 Rumänien | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇷🇺 Russland | Europa | In Kraft | Schriftliche oder eindeutig nachweisbare Einwilligung ist die Standardgrundlage, und seit 1. September 2025 muss sie als gesondertes Dokument eingeholt werden. Für die Weitergabe ist eine gesonderte Einwilligung erforderlich, mit strengen Formvorschriften. |
| 🇿🇲 Sambia | Subsahara-Afrika | In Kraft | Einwilligung oder aufgeführte Rechtsgrundlagen. Eine Registrierung ist erforderlich. |
| 🇸🇲 San Marino | Europa | In Kraft | Rechtsrahmen nach DSGVO-Vorbild. |
| 🇸🇹 São Tomé und Príncipe | Subsahara-Afrika | In Kraft | Auf Einwilligung ausgerichteter Rahmen nach lusophonem Modell. |
| 🇸🇦 Saudi-Arabien | Naher Osten & Nordafrika | In Kraft | Einwilligung ist die Standardgrundlage. Die Änderungen von 2023 schufen Spielraum für berechtigte Interessen bei nicht sensiblen Daten, doch Direktmarketing erfordert in der Praxis eine Einwilligung sowie einen Opt-out in jeder Nachricht. |
| 🇸🇪 Schweden | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇸🇳 Senegal | Subsahara-Afrika | In Kraft | Einwilligung im Vordergrund, mit Melde- und Genehmigungspflichten. |
| 🇷🇸 Serbien | Europa | In Kraft | An die DSGVO angelehnte Rechtsgrundlagen und Einwilligungsstandard. |
| 🇸🇨 Seychellen | Subsahara-Afrika | In Kraft | Einwilligung und Rechtsgrundlagen unter DSGVO-Einfluss. |
| 🇿🇼 Simbabwe | Subsahara-Afrika | In Kraft | Einwilligung oder aufgeführte Rechtsgrundlagen. Regeln zur Zulassung von Datenschutzbeauftragten wurden 2024 erlassen. |
| 🇸🇰 Slowakei | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇸🇮 Slowenien | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇸🇴 Somalia | Subsahara-Afrika | In Kraft | Rechtsrahmen mit Vorrang der Einwilligung. |
| 🇪🇸 Spanien | Europa | In Kraft | DSGVO-Rechtsgrundlage. Das LSSI fügt gesonderte Regeln für Cookies und kommerzielle E-Mails mit eigenen Bußgeldern hinzu. |
| 🇱🇰 Sri Lanka | Asien-Pazifik | Verabschiedet | An die DSGVO angelehnte Rechtsgrundlagen. Die Einwilligung muss nachweisbar und widerrufbar sein, sobald die materiellen Bestimmungen in Kraft gesetzt werden. |
| 🇰🇳 St. Kitts und Nevis | Amerika | Verabschiedet | Einwilligungsrahmen nach Commonwealth-Modell. |
| 🇱🇨 St. Lucia | Amerika | In Kraft | Einwilligungsrahmen nach dem Commonwealth-Modell, in Kraft seit 2015. |
| 🇿🇦 Südafrika | Subsahara-Afrika | In Kraft | Acht Verarbeitungsbedingungen mit Rechtfertigungsgründen einschließlich berechtigter Interessen, doch Abschnitt 69 macht elektronisches Direktmarketing zu Opt-in, mit einer eng gefassten Ausnahme für Bestandskunden. Seit April 2026 müssen Direktvermarkter sich zudem im Opt-out-Register der Nationalen Verbraucherkommission registrieren und ihre Listen monatlich damit abgleichen. |
| 🇰🇷 Südkorea | Asien-Pazifik | In Kraft | Einwilligungszentriert, mit eng gefassten Alternativen. Für die Nutzung zu Marketingzwecken und für sensible Daten ist jeweils eine gesonderte Opt-in-Einwilligung erforderlich. Die Änderung von 2023 erleichterte die vertraglich notwendige Verarbeitung, doch Marketing beruht weiterhin auf Einwilligung. |
| 🇹🇯 Tadschikistan | Asien-Pazifik | In Kraft | Einwilligungsbasiert, mit aufgezählten Ausnahmen. |
| 🇹🇼 Taiwan | Sonderfälle | In Kraft | Einwilligung oder eine aufgeführte gesetzliche Grundlage. Bei der Erhebung bestehen Meldepflichten. Beim Marketing muss ein Opt-out beachtet werden, und beim erstmaligen Einsatz von Marketing ist ein kostenloser Opt-out-Kanal erforderlich. |
| 🇹🇿 Tansania | Subsahara-Afrika | In Kraft | Vorrang der Einwilligung, mit Registrierungspflichten. |
| 🇹🇭 Thailand | Asien-Pazifik | In Kraft | An die DSGVO angelehnte Rechtsgrundlagen einschließlich berechtigter Interessen, doch wo auf Einwilligung abgestellt wird, muss sie ausdrücklich sein, und in der Praxis des Direktmarketings stützt man sich auf Einwilligung. Für Tracking wird eine Cookie-Einwilligung erwartet. |
| 🇹🇬 Togo | Subsahara-Afrika | In Kraft | Rechtsrahmen mit Vorrang der Einwilligung. |
| 🇹🇴 Tonga | Ozeanien | Verabschiedet | Umfassender Rahmen für Verantwortliche und Auftragsverarbeiter mit Sitz in Tonga oder mit Zielgruppe dort. Das Inkrafttreten erfolgt durch Kabinettsverkündung. |
| 🇹🇹 Trinidad und Tobago | Amerika | Verabschiedet | Einwilligung im Vordergrund in den noch nicht verkündeten Teilen. Es sind nur die allgemeinen Bestimmungen in Kraft. |
| 🇹🇩 Tschad | Subsahara-Afrika | In Kraft | Rechtsrahmen mit Vorrang der Einwilligung. |
| 🇨🇿 Tschechien | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. Cookie-Opt-in ist seit der Änderung des Electronic Communications Act von 2022 verpflichtend. |
| 🇹🇳 Tunesien | Naher Osten & Nordafrika | In Kraft | Einwilligung im Vordergrund, mit Genehmigungs- und Meldepflichten. Ein an die DSGVO angeglichener Gesetzentwurf zur Ablösung ist seit Jahren anhängig. |
| 🇹🇷 Türkei | Europa | In Kraft | Ausdrückliche Einwilligung oder eine aufgeführte Rechtsgrundlage. Elektronisches Marketing erfordert eine Opt-in-Einwilligung, die im IYS-Register erfasst wird. Seit 1. August 2026 müssen zielgerichtete Anzeigen die zugrunde liegenden Kriterien offenlegen, und profilingbasiertes Targeting bekannter Kinder ist verboten. |
| 🇹🇲 Turkmenistan | Asien-Pazifik | In Kraft | Auf dem Papier einwilligungsbasiert. Der staatliche Zugriff ist weitreichend. |
| 🇺🇬 Uganda | Subsahara-Afrika | In Kraft | Einwilligung im Vordergrund, mit aufgeführten Ausnahmen. Eine Registrierung ist erforderlich. |
| 🇺🇦 Ukraine | Europa | In Kraft | Einwilligung ist die primäre Rechtsgrundlage nach dem Gesetz von 2010. Ein an die DSGVO angeglichenes Ablösegesetz (Entwurf 8153) ist anhängig. |
| 🇭🇺 Ungarn | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
| 🇺🇾 Uruguay | Amerika | In Kraft | Einwilligung im Vordergrund, ergänzt seit 2018 um an die DSGVO angelehnte Neuerungen (Meldung von Verstößen, Datenschutzbeauftragte, Folgenabschätzungen). |
| 🇺🇿 Usbekistan | Asien-Pazifik | In Kraft | Einwilligungsbasiert. Die Registrierung von Datenbanken ist erforderlich. |
| 🇻🇺 Vanuatu | Ozeanien | Verabschiedet | Ein umfassender Rahmen, der den öffentlichen und den privaten Sektor abdeckt. Die praktische Durchsetzung wartet noch auf die Behörde für digitale Sicherheit. |
| 🇦🇪 Vereinigte Arabische Emirate | Naher Osten & Nordafrika | Verabschiedet | Auf dem Papier ein einwilligungszentriertes Bundesgesetz, dessen Durchführungsverordnungen jedoch noch nicht erlassen wurden. Verbindliche Pflichten ergeben sich heute vor allem aus den Regimen von DIFC und ADGM sowie aus sektoralen Regeln. |
| 🇬🇧 Vereinigtes Königreich | Europa | In Kraft | UK-DSGVO-Rechtsgrundlage. PECR verlangt Opt-in für Cookies und E-Marketing, mit einem weichen Opt-in für Bestandskunden. |
| 🇻🇳 Vietnam | Asien-Pazifik | In Kraft | Einwilligung ist die tragende Rechtsgrundlage, mit begrenzten Ausnahmen. Die Nutzung zu Marketingzwecken erfordert eine Einwilligung, und betroffene Personen müssen widersprechen können. |
| 🇨🇫 Zentralafrikanische Republik | Subsahara-Afrika | Verabschiedet | Auf Einwilligung ausgerichteter Rahmen nach frankophon-afrikanischem Modell, in Kraft seit Januar 2024. |
| 🇨🇾 Zypern | Europa | In Kraft | DSGVO-Rechtsgrundlage erforderlich. ePrivacy-Einwilligung für Cookies und Tracking. |
Opt-out: die amerikanische Ausnahme (1 Rechtsordnung)
Die Vereinigten Staaten erlauben es Werbetreibenden, personenbezogene Daten ohne vorherige Einwilligung zum gezielten Ansprechen Erwachsener zu nutzen, verpflichten sie jedoch, dies auf Verlangen zu unterlassen. Keine andere große Volkswirtschaft funktioniert so. Die Ausnahmen tragen das Durchsetzungsrisiko: Sensible Daten sind nach den meisten bundesstaatlichen Gesetzen Opt-in, Anrufe und SMS sind nach dem TCPA Opt-in, und Kinder sind tabu. Die vollständige Übersicht finden Sie auf der Seite zu den Vereinigten Staaten und im Tracker der bundesstaatlichen Gesetze.
| Rechtsordnung | Region | Status | Was Einwilligung hier bedeutet |
|---|---|---|---|
| 🇺🇸 Vereinigte Staaten | Amerika | In Kraft | Zielgerichtete Werbung und der Verkauf von Daten beruhen bei Erwachsenen und nicht sensiblen Daten auf Opt-out. Opt-in ist nach den meisten bundesstaatlichen Gesetzen für sensible Daten erforderlich, für Daten von Kindern sowie für Anrufe und SMS nach dem TCPA. |
Hybrid: hinweisbasierte Regime (7 Rechtsordnungen)
Japan, Singapur, Australien, Neuseeland, Hongkong, Mexiko und die Schweiz verfolgen ein drittes Modell. Die Erhebung beruht auf Hinweis und Zweckbindung, und die Einwilligung ist sensiblen Daten, Marketing oder der Offenlegung vorbehalten. Dies sind die am besten handhabbaren großen Märkte für First-Party-Marketing, auch wenn jeder zusätzliche Kanalregeln vorsieht, und E-Mail- und SMS-Marketing erfordern in Australien, Neuseeland, Japan und der Schweiz eine Einwilligung.
| Rechtsordnung | Region | Status | Was Einwilligung hier bedeutet |
|---|---|---|---|
| 🇦🇺 Australien | Ozeanien | In Kraft | Die Erhebung beruht auf Hinweis und Regeln zur fairen Erhebung, wobei für sensible Informationen eine Einwilligung erforderlich ist. APP 7 erlaubt Direktmarketing mit einem Opt-out, wenn die Daten von der betroffenen Person selbst stammen, andernfalls ist Opt-in erforderlich. Der Spam Act macht E-Mail und SMS zu Opt-in. |
| 🇭🇰 Hongkong | Sonderfälle | In Kraft | Ein Hinweis-und-Zweck-Modell, bei dem die Erhebung nur einen Hinweis erfordert, während Teil 6A vor der Nutzung personenbezogener Daten im Direktmarketing eine ausdrückliche, einwilligungsähnliche Zustimmung verlangt, mit strafrechtlichen Sanktionen bei Verstößen. |
| 🇯🇵 Japan | Asien-Pazifik | In Kraft | Hinweisbasierte Erhebung mit Zweckbindung. Eine Opt-in-Einwilligung gilt vor allem für sensible Daten und die Weitergabe an Dritte (für nicht sensible Daten besteht ein Opt-out-Meldeweg). Die Änderung von 2026 fügt Ausnahmen von der Einwilligungspflicht für Statistik und KI-Entwicklung sowie eine Pflicht zur elterlichen Einwilligung für unter 16-Jährige hinzu. |
| 🇲🇽 Mexiko | Amerika | In Kraft | Bei nicht sensiblen Daten genügt eine stillschweigende Einwilligung, sodass ein Unternehmen den Datenschutzhinweis erteilen und fortfahren kann, sofern die Person nicht widerspricht. Für Finanzdaten ist eine ausdrückliche Einwilligung erforderlich, für sensible Daten eine ausdrückliche und schriftliche. |
| 🇳🇿 Neuseeland | Ozeanien | In Kraft | Ein Zweck-und-Hinweis-Modell, aufgebaut auf dreizehn Information Privacy Principles. IPP3A, in Kraft seit 1. Mai 2026, verlangt einen Hinweis, wenn personenbezogene Informationen indirekt erhoben werden. Der Unsolicited Electronic Messages Act macht E-Mail und SMS zu Opt-in. |
| 🇨🇭 Schweiz | Europa | In Kraft | Die Verarbeitung ist ohne Einwilligung rechtmäßig, sofern sie keine Persönlichkeitsrechte verletzt. Für sensible Daten, hochriskantes Profiling und zur Rechtfertigung von Verletzungen ist eine Einwilligung erforderlich. Massen-E-Mail-Marketing erfordert nach dem Lauterkeitsrecht ein Opt-in. |
| 🇸🇬 Singapur | Asien-Pazifik | In Kraft | Einwilligung ist die Standardgrundlage, doch die Änderungen von 2020 fügten eine durch Benachrichtigung vermutete Einwilligung sowie eine Ausnahme für berechtigte Interessen hinzu. Das Do-Not-Call-Register regelt Telefon- und SMS-Marketing. |
Keine Regel: die unregulierte Landkarte (38 Rechtsordnungen)
Überwiegend Konfliktstaaten, verbliebene Volkswirtschaften ohne Regelung und pazifische Kleinststaaten. Es besteht keine lokale Einwilligungsregel, doch Plattformrichtlinien und die extraterritoriale Reichweite von Gesetzen wie der DSGVO gelten weiterhin für Kampagnen, die aus diesen Märkten heraus oder in sie hinein durchgeführt werden.
| Rechtsordnung | Region | Status | Was Einwilligung hier bedeutet |
|---|---|---|---|
| 🇦🇫 Afghanistan | Asien-Pazifik | Kein Gesetz | Kein Datenschutzgesetz. |
| 🇧🇹 Bhutan | Asien-Pazifik | Sektoral | Sektorale IKT-Bestimmungen verlangen einen sorgfältigen Umgang mit personenbezogenen Informationen. Es besteht kein umfassendes Einwilligungsregime. |
| 🇧🇴 Bolivien | Amerika | Kein Gesetz | Kein umfassendes Einwilligungserfordernis. |
| 🇩🇲 Dominica | Amerika | Kein Gesetz | Kein umfassendes Einwilligungserfordernis. |
| 🇪🇷 Eritrea | Subsahara-Afrika | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇫🇯 Fidschi | Ozeanien | Entwurf anhängig | Kein umfassendes Einwilligungserfordernis. |
| 🇬🇹 Guatemala | Amerika | Entwurf anhängig | Keine umfassende Einwilligungspflicht für den Privatsektor. |
| 🇬🇼 Guinea-Bissau | Subsahara-Afrika | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇭🇹 Haiti | Amerika | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇭🇳 Honduras | Amerika | Entwurf anhängig | Kein umfassendes Einwilligungserfordernis. |
| 🇮🇶 Irak | Naher Osten & Nordafrika | Kein Gesetz | Kein umfassendes Einwilligungserfordernis. |
| 🇮🇷 Iran | Naher Osten & Nordafrika | Entwurf anhängig | Keine umfassende Einwilligungspflicht. Das E-Commerce-Recht sieht eng begrenzte Pflichten für Online-Verkäufer vor. |
| 🇾🇪 Jemen | Naher Osten & Nordafrika | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇰🇭 Kambodscha | Asien-Pazifik | Entwurf anhängig | Keine umfassende Einwilligungspflicht. Das E-Commerce-Recht sieht begrenzte Vertraulichkeitspflichten vor. |
| 🇰🇮 Kiribati | Ozeanien | Entwurf anhängig | Kein Datenschutzrahmen in Kraft. |
| 🇱🇾 Libyen | Naher Osten & Nordafrika | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇲🇻 Malediven | Asien-Pazifik | Entwurf anhängig | Kein umfassendes Einwilligungserfordernis. |
| 🇲🇭 Marshallinseln | Ozeanien | Sektoral | Das Gesetz von 2025 erfasst nur Regierungsministerien und -behörden. Für private Unternehmen besteht keine allgemeine Einwilligungsregel. |
| 🇫🇲 Mikronesien | Ozeanien | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇲🇿 Mosambik | Subsahara-Afrika | Entwurf anhängig | Kein umfassendes Einwilligungserfordernis. |
| 🇲🇲 Myanmar | Asien-Pazifik | Sektoral | Kein funktionierendes umfassendes Einwilligungsregime. Das Cybersicherheitsgesetz von 2025 ist auf staatliche Kontrolle ausgerichtet. |
| 🇳🇦 Namibia | Subsahara-Afrika | Entwurf anhängig | Kein umfassendes Einwilligungserfordernis. |
| 🇳🇷 Nauru | Ozeanien | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇰🇵 Nordkorea | Asien-Pazifik | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇵🇰 Pakistan | Asien-Pazifik | Entwurf anhängig | Derzeit keine umfassende Einwilligungspflicht. Sektorale Regeln (Bankwesen, Telekommunikation) sehen Vertraulichkeitspflichten vor. |
| 🇵🇼 Palau | Ozeanien | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇵🇬 Papua-Neuguinea | Ozeanien | Kein Gesetz | Kein umfassendes Einwilligungserfordernis. |
| 🇸🇧 Salomonen | Ozeanien | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇼🇸 Samoa | Ozeanien | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇸🇱 Sierra Leone | Subsahara-Afrika | Entwurf anhängig | Kein umfassendes Einwilligungserfordernis. |
| 🇻🇨 St. Vincent und die Grenadinen | Amerika | Kein Gesetz | Kein Datenschutzrahmen in Kraft. |
| 🇸🇩 Sudan | Subsahara-Afrika | Kein Gesetz | Kein umfassendes Einwilligungserfordernis. |
| 🇸🇸 Südsudan | Subsahara-Afrika | Entwurf anhängig | Kein Datenschutzrahmen in Kraft. |
| 🇸🇷 Suriname | Amerika | Entwurf anhängig | Kein umfassendes Einwilligungserfordernis. |
| 🇸🇾 Syrien | Naher Osten & Nordafrika | Verabschiedet | Das Gesetz von 2024 besteht auf dem Papier. Ob und wie es seit dem Regierungswechsel im Dezember 2024 angewendet wird, ist unklar. |
| 🇹🇱 Timor-Leste | Asien-Pazifik | Kein Gesetz | Kein umfassendes Einwilligungserfordernis. |
| 🇹🇻 Tuvalu | Ozeanien | Kein Gesetz | Kein Datenschutzrahmen. |
| 🇻🇪 Venezuela | Amerika | Kein Gesetz | Kein umfassendes Einwilligungserfordernis. |
Die Kanalmatrix
Einwilligungsmodelle sind kanalspezifisch, und die USA wechseln je nachdem, welchen Kanal man nutzt.
| Kanal | EU / Vereinigtes Königreich | Vereinigte Staaten | Kanada | Australien |
|---|---|---|---|---|
| Display- und Social-Media-Targeting | Opt-in (Einwilligung) | Opt-out (einzelstaatliche Gesetze) | Einwilligung (konkludent möglich) | Hinweis + Opt-out (APP 7) |
| Cookies und Tracker | Opt-in (ePrivacy) | Keine allgemeine Regel; Opt-out von Verkauf/Weitergabe | Einwilligungsgrundsätze | Hinweisbasiert |
| E-Mail-Marketing | Opt-in + Soft-Opt-in | Opt-out (CAN-SPAM) | Opt-in (CASL) | Opt-in (Spam-Gesetz) |
| SMS und Anrufe | Opt-in | Opt-in (TCPA) | Opt-in (CASL + Telemarketing-Regeln) | Opt-in |
| Targeting mit sensiblen Daten | Ausdrückliche Einwilligung oder verboten | Opt-in; Verkauf in Maryland verboten | Ausdrückliche Einwilligung | Einwilligung (sensible Informationen) |
Die daraus folgende Planungsregel lautet: das Opt-in-Playbook einmal aufbauen, überall anwenden und für die USA gezielt lockern, wo die Wirtschaftlichkeit eine zweite Spur rechtfertigt. Der Vergleich DSGVO vs. USA arbeitet die Unterschiede Zeile für Zeile durch.
Diese Seite zitieren: „Einwilligungsmodelle weltweit: Opt-in vs. Opt-out.“ Digital Privacy Regulations, 28. September 2026, https://digitalprivacyregs.com/de/consent-models.html. Abgerufen am [Datum].