Datenschutz-Compliance jenseits der DSGVO: CCPA, LGPD, POPIA und globale Regelwerke

Deutschland gilt als das Land mit der strengsten DSGVO-Durchsetzung in Europa. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) sowie 16 Landesdatenschutzbehörden — darunter der LfDI Baden-Württemberg und der Bayerische Landesbeauftragte — haben in den vergangenen Jahren Rekordbußgelder verhängt. Doch wer ausschließlich auf DSGVO-Konformität setzt, übersieht eine wachsende Zahl gleichrangiger Verpflichtungen: Sobald ein deutsches Unternehmen Kunden, Mitarbeiter oder Auftragsverarbeiter in Kalifornien, Brasilien, Südafrika oder China hat, greifen zusätzliche Datenschutzgesetze mit eigenständigen Sanktionsmechanismen. Dieser Leitfaden vergleicht die sieben weltweit relevantesten Datenschutzrahmen und gibt deutschen Compliance-Teams ein praxistaugliches Handlungsgerüst.

Warum die DSGVO als alleinige Grundlage nicht ausreicht

Die DSGVO (Verordnung EU 2016/679) schützt personenbezogene Daten von EU-Bürgern und gilt extraterritorial für alle Verantwortlichen, die EU-Ansässigen Waren oder Dienstleistungen anbieten. Sie schützt jedoch keine Personen außerhalb der EU — und DSGVO-Konformität bedeutet nicht automatisch Konformität mit dem kalifornischen CCPA, dem brasilianischen LGPD oder dem südafrikanischen POPIA.

Drei strukturelle Unterschiede erzwingen eigenständige Compliance-Maßnahmen. Erstens verwenden außereuropäische Gesetze andere Anwendungsschwellen: Der CCPA knüpft die Anwendbarkeit an Umsatzschwellen und Verarbeitungsvolumina für Einwohner Kaliforniens. Zweitens kennen einzelne Gesetze Rechte, die die DSGVO nicht enthält — etwa das CCPA-Recht auf Widerspruch gegen den Verkauf personenbezogener Daten. Drittens unterscheidet sich die Durchsetzungsarchitektur erheblich: Der südafrikanische Information Regulator kann strafrechtliche Verfolgung einleiten und Freiheitsstrafen erwirken.

Der Global Privacy Enforcement Network (GPEN)-Bericht 2024 dokumentiert eine Verdoppelung grenzüberschreitender Durchsetzungsmaßnahmen gegenüber 2021, wobei deutsche Unternehmen in 34 Verfahren als betroffene Parteien auftauchten.

Das Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO auf nationaler Ebene durch bereichsspezifische Regelungen — etwa für Beschäftigtendatenschutz (§ 26 BDSG) und Videoüberwachung (§ 4 BDSG). BaFin-Rundschreiben schreiben für Kreditinstitute und Versicherungen zusätzliche Datenschutzpflichten bei KYC-Prozessen vor. Dieses mehrschichtige Regelgefüge bildet den deutschen Ausgangspunkt für die internationale Erweiterung.

Vergleichstabelle: Sieben globale Datenschutzgesetze im Überblick

DSGVO versus CCPA: Was bedeutet das für deutsche Unternehmen mit US-Kunden?

Der CCPA (California Consumer Privacy Act), in Kraft getreten am 1. Januar 2020 und durch den CPRA zum 1. Januar 2023 verschärft, ist das weitreichendste US-amerikanische Datenschutzgesetz. Er gilt für Ihr deutsches Unternehmen, sobald Sie jährlich mehr als 100.000 Einwohner Kaliforniens verarbeiten oder einen Umsatz von mehr als 25 Millionen US-Dollar erzielen — unabhängig vom Serverstandort.

Der markanteste Unterschied zur DSGVO ist das "Opt-out from Sale"-Recht: Kalifornische Verbraucher können verlangen, dass ihre Daten nicht verkauft oder für verhaltensbasierte Werbung weitergegeben werden. Der CCPA definiert "Verkauf" weit: Auch die Weitergabe von Cookie-Daten an Werbenetzwerke gilt als Verkauf. Sie müssen einen expliziten Link "Do Not Sell or Share My Personal Information" auf Ihrer Website implementieren.

Weitere CCPA-spezifische Anforderungen, die die DSGVO nicht kennt:

• Pflichtangaben zu Kategorien erhobener personenbezogener Daten in der Datenschutzerklärung
• Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten (Sensitive Personal Information)
• Verbindliche Antwortfrist von 45 Tagen auf Anfragen (verlängerbar um weitere 45 Tage)
• Opt-in-Pflicht für den Verkauf personenbezogener Daten Minderjähriger unter 16 Jahren

Die California Privacy Protection Agency (CPPA) verhängte in ihren ersten Durchsetzungsverfahren 2024 Bußgelder von mehreren hunderttausend US-Dollar gegen nicht-amerikanische Unternehmen, die den "Do Not Sell"-Link nicht implementiert hatten.

Besonders kritisch für deutsche Rechtsabteilungen: Der CCPA enthält ein privates Klagerecht (Private Right of Action) bei Datenpannen — USD 100 bis USD 750 pro betroffener Person pro Vorfall, auch ohne nachgewiesenen Schaden. Ein Datenleck bei 50.000 kalifornischen Kunden kann damit eine Sammelklage mit einem Streitwert von bis zu USD 37,5 Millionen auslösen, zusätzlich zu behördlichen Sanktionen.

LGPD: Brasilien als eigenständiges Compliance-Territorium

Brasilien ist mit 215 Millionen Einwohnern die neuntgrößte Volkswirtschaft der Welt. Das Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), in Kraft seit dem 18. September 2020 mit Durchsetzungsbeginn ab August 2021, orientiert sich stark an der DSGVO, weist aber relevante Abweichungen auf.

Das LGPD kennt zehn Rechtsgrundlagen für die Verarbeitung — zwei mehr als die DSGVO. Neben Einwilligung und berechtigtem Interesse führt das Gesetz "Kreditschutz" als eigenständige Rechtsgrundlage ein, was für Finanzdienstleister besonders relevant ist. Auch "Schutz der Gesundheit" ist eine separate Grundlage, für die bei Behandlung durch Fachpersonal keine Einwilligung erforderlich ist.

Internationale Datenübermittlungen unter dem LGPD unterscheiden sich von der DSGVO-Systematik. Die ANPD hat 2023 eine Angemessenheitsentscheidung für die EU getroffen, was EU-Brasilien-Übertragungen vereinfacht. Für Übertragungen in andere Drittländer gelten LGPD-Anforderungen separat: Sie benötigen entweder spezifische Einwilligung oder von der ANPD anerkannte Standardvertragsklauseln (cláusulas-padrão).

Die ANPD kann pro Verstoß ein Bußgeld von bis zu 2 % des brasilianischen Jahresumsatzes der Rechtsperson verhängen, mit einem Höchstbetrag von BRL 50 Millionen (~EUR 9 Millionen). Bei mehreren Verstößen werden die Bußgelder kumuliert.

POPIA: Südafrika und das Risiko strafrechtlicher Haftung

Der Protection of Personal Information Act (POPIA, Act 4 of 2013) ist seit dem 1. Juli 2021 vollständig in Kraft. POPIA unterscheidet sich in einem entscheidenden Punkt von DSGVO und LGPD: Der Information Regulator (IOIC) kann strafrechtliche Verfolgung einleiten, was zu Freiheitsstrafen von bis zu zehn Jahren für Führungskräfte der verantwortlichen Organisation führen kann.

POPIA führt die Pflichtfunktion des "Information Officer" ein — vergleichbar mit dem Datenschutzbeauftragten (DSB) gemäß Art. 37 DSGVO — der bei der IOIC registriert werden muss. Große Verantwortliche sind verpflichtet, zusätzlich einen Deputy Information Officer zu benennen. Die IOIC hat 2023 ihre erste großangelegte Durchsetzungsmaßnahme gegen eine südafrikanische Bank durchgeführt und ein Bußgeld von ZAR 5 Millionen verhängt.

Der Information Regulator South Africa veröffentlicht Durchsetzungsbescheide auf seiner Website und hat in seinem Jahresbericht 2024 186 in Bearbeitung befindliche Beschwerden ausgewiesen.

Deutsche Unternehmen mit Aktivitäten in Südafrika — über Tochtergesellschaften, Handelsvertreter oder direkte Dienstleistungen an südafrikanische Bürger — unterliegen POPIA, sobald sie automatisierte oder strukturiert-manuelle Verarbeitung einsetzen.

PIPL, DPDPA und APPI: Die wachsenden Regelwerke

China PIPL: Strenges Datenlokalisierungsregime

Das chinesische Datenschutzgesetz (PIPL), in Kraft seit dem 1. November 2021, etabliert eines der strengsten Datenlokalisierungsregimes weltweit. Der Export "wichtiger Daten" erfordert eine Sicherheitsbewertung durch die Cyberspace Administration of China (CAC). Für gewöhnliche personenbezogene Daten gilt: Ab der Verarbeitung von mehr als 100.000 Personen jährlich ist eine CAC-Sicherheitsbewertung für jeden Datenexport Pflicht. Unterhalb dieser Schwelle genügt ein CAC-anerkannter Standardvertrag.

Das PIPL sieht Bußgelder von bis zu CNY 50 Millionen oder 5 % des Jahresumsatzes in China vor, zusätzlich zur möglichen Betriebslizenzentziehung. Für die deutschen Maschinenbau- und Automobilinternehmen mit umfangreichen China-Aktivitäten ist die PIPL-Compliance damit eine Priorität ersten Ranges.

Indien DPDPA: Schnell wachsender Markt, Gesetz im Aufbau

Der Digital Personal Data Protection Act (DPDPA), im August 2023 verabschiedet, ist Indiens erstes umfassendes Datenschutzgesetz. Die Durchführungsverordnungen befinden sich noch in der Entwicklung; das Data Protection Board of India wird aufgebaut. Verarbeiter von Daten indischer Bürger werden als "Data Fiduciaries" bezeichnet. Sogenannte Significant Data Fiduciaries — große Plattformen, designiert durch die Zentralregierung — unterliegen zusätzlichen Pflichten, darunter ein Data Protection Officer mit Sitz in Indien.

Das Höchstbußgeld beträgt INR 250 Crore (~EUR 27 Millionen) pro Verstoß für die schwerwiegendste Kategorie; bei Datenpannen mit Minderjährigen bis zu INR 200 Crore (~EUR 21,5 Millionen).

Japan APPI: Europäisch ausgerichtete Novellierung

Das japanische Datenschutzgesetz (APPI), novelliert per April 2022, führt eine 72-Stunden-Meldepflicht für schwerwiegende Datenpannen ein — identisch mit der DSGVO-Frist des Art. 33 — sowie ein eingeschränktes Recht auf Datenportabilität. Japan genießt seit 2019 eine Angemessenheitsentscheidung der Europäischen Kommission, was EU-Japan-Übermittlungen erleichtert. Die PPC kann verwaltungsrechtliche Anordnungen erlassen; bei Nichtbefolgung greift strafrechtliche Haftung.

Wie deutsche Unternehmen ein integriertes Compliance-Programm aufbauen

Ein effektives internationales Datenschutzprogramm beginnt mit Jurisdiktions-Mapping: Für jedes Land, in dem Sie Kunden, Mitarbeiter oder Auftragsverarbeiter haben, stellen Sie fest, welche Datenschutzgesetze anwendbar sind. Anschließend identifizieren Sie die zusätzlichen Anforderungen oberhalb Ihrer DSGVO-Baseline.

Praktische Schritte für deutsche Organisationen:

1. Verarbeitungsverzeichnis um Jurisdiktionskennzeichnung erweitern. Ihr Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO bildet die Basis. Fügen Sie für jede Verarbeitungstätigkeit das Herkunftsland der betroffenen Personen hinzu, um schnell zu identifizieren, welche zusätzlichen Gesetze greifen.

2. Rechtsgrundlagen je Jurisdiktion validieren. Eine DSGVO-Interessenabwägung nach Art. 6 Abs. 1 lit. f ist nicht automatisch unter LGPD oder PIPL anerkannt. Prüfen Sie für jedes Gesetz, ob Ihre gewählte Rechtsgrundlage dort vorgesehen ist.

3. Datenschutzerklärungen lokalisieren. Der CCPA verlangt spezifische Formulierungen und den "Do Not Sell"-Link. POPIA fordert die Angabe des Information Officers und seiner Kontaktdaten. Ihre DSGVO-Datenschutzerklärung erfüllt diese Anforderungen nicht automatisch.

4. Internationale Übermittlungsmechanismen überprüfen. Jedes Gesetz hat eigene Mechanismen für grenzüberschreitende Übertragungen. DSGVO-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c sind keine ausreichende Grundlage für PIPL-Compliance.

5. Datenpannenprozesse multijurisdiktionell ausrichten. Die DSGVO fordert Meldung innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde (Art. 33); das APPI ebenfalls. Das LGPD verlangt Meldung "in angemessener Frist"; POPIA "so bald wie zumutbar möglich". Ihr Incident-Response-Plan muss alle relevanten Behörden benennen und die spezifischen Meldefristen dokumentieren.

Der BfDI und die deutschen Landesdatenschutzbehörden sind bekannt dafür, bei Prüfungen besonders auf Verfahrensdokumentation und technisch-organisatorische Maßnahmen zu achten. Für dokumentenintensive Prozesse — KYC-Onboarding, Identitätsprüfung, Vertragsmanagement — bietet automatisierte Dokumentenprüfung einen doppelten Vorteil: Geschwindigkeit und nachweisliche Compliance. Die CheckFile-Plattform hat mehr als 2,4 Millionen Dokumente in 32 Jurisdiktionen verarbeitet, wobei Unternehmenskunden ihre Verarbeitungszeit um 83 % reduzierten und eine Audit-Compliance-Rate von 99,2 % erreichten. Diese Art dokumentierter Verarbeitungsprozesse ist genau das, was Aufsichtsbehörden unter allen sieben besprochenen Gesetzen bei einer Prüfung erwarten.

Weitere Informationen zum Aufbau eines robusten Compliance-Programms finden Sie in unserer Compliance-Audit-Checkliste sowie unserem DSGVO-Leitfaden für Ausweisdokumente.

Die Rolle der Dokumentenprüfung in der multijurisdiktionellen Datenschutz-Compliance

Identitätsprüfung und KYC-Prozesse sind die Schnittstelle, an der Datenschutz und Dokumenten-Compliance zusammentreffen. Jedes der besprochenen Gesetze stellt Anforderungen daran, wie Sie Identitätsnachweise verarbeiten, aufbewahren und schützen.

Datenminimierung ist die konsistenteste Anforderung quer durch alle sieben Regelwerke. Sowohl die DSGVO (Art. 5 Abs. 1 lit. c), das LGPD (Art. 6 Abs. VIII), POPIA (Section 10) als auch das PIPL (Art. 6) fordern, dass nicht mehr personenbezogene Daten erhoben werden als für den angegebenen Zweck notwendig. Bei manueller Dokumentenprüfung ist dieses Prinzip schwer durchzusetzen: Mitarbeiter sehen und erfassen alle Informationen auf einem Dokument. Automatisierte Prüfsysteme lassen sich so konfigurieren, dass nur relevante Felder extrahiert und der Rest maskiert wird.

Aufbewahrungsfristen variieren erheblich je Jurisdiktion. Unter DSGVO und BDSG gilt für KYC-Unterlagen gemäß GwG eine Aufbewahrungsfrist von fünf Jahren. Der CCPA kennt keine spezifischen Aufbewahrungsfristen, verlangt aber die Löschung, sobald der Zweck entfällt. Das LGPD ordnet an, dass die Verarbeitung endet, sobald der Zweck erreicht ist, sofern keine gesetzliche Aufbewahrungspflicht besteht. Ihr Dokumentenmanagementsystem muss jurisdiktionsspezifische Aufbewahrungsfristen je Dokumentenkategorie verwalten können.

Verarbeitungsprotokollierung als Audit-Trail. Alle sieben Gesetze sehen Durchsetzungsbefugnisse vor, die den Zugang zu Verarbeitungsverzeichnissen implizieren. Eine automatisierte Plattform, die jeden Prüfvorgang protokolliert — wer hat welches Dokument wann geprüft, welche Entscheidung wurde getroffen, welche Daten wurden extrahiert — liefert genau die Prüfbarkeit, die Aufsichtsbehörden erwarten.

Besuchen Sie die CheckFile-Sicherheitsseite für technische Details zur datenschutzkonformen Dokumentenprüfung nach dem Privacy-by-Design-Prinzip, oder den Leitfaden Dokumentenprüfung für einen vollständigen Überblick über automatisierte Prüfprozesse.

Häufig gestellte Fragen

Gilt der CCPA auch für ein deutsches Unternehmen ohne US-amerikanische Niederlassung?

Ja. Der CCPA hat eine extraterritoriale Wirkung, die mit der DSGVO vergleichbar ist. Sobald Ihr deutsches Unternehmen mindestens eines der Schwellenwertkriterien erfüllt — Jahresumsatz über USD 25 Millionen, Verarbeitung von Daten von mehr als 100.000 Einwohnern Kaliforniens oder Haushalten pro Jahr, oder mehr als 50 % des Jahresumsatzes aus dem Verkauf personenbezogener Daten californischer Einwohner — gilt der CCPA unabhängig von Ihrem Unternehmenssitz. Die California Privacy Protection Agency (CPPA) hat in ihren Durchsetzungsrichtlinien ausdrücklich bestätigt, dass auch ausländische Unternehmen zur Rechenschaft gezogen werden.

Was sind die wesentlichen Unterschiede zwischen DSGVO-Einwilligung und LGPD-Einwilligung?

Beide Gesetze erfordern eine freiwillige, spezifische, informierte und unmissverständliche Einwilligung. Das LGPD (Art. 8) fügt hinzu, dass die Einwilligung "in klarer und eindeutiger Sprache" zu erteilen ist und dass die Beweislast für eine gültige Einwilligung beim Verantwortlichen liegt — identisch mit der DSGVO. Der größte praktische Unterschied: Das LGPD bestimmt ausdrücklich, dass die Einwilligung nicht die alleinige Rechtsgrundlage sein darf, wenn die Verarbeitung auch auf einer anderen LGPD-Grundlage gestützt werden könnte. Die ANPD hat 2023 Leitlinien veröffentlicht, die den EDPB-Leitlinien zur Einwilligung weitgehend entsprechen.

Wie schwerwiegend ist die Durchsetzung unter POPIA im Vergleich zur DSGVO?

POPIA zeichnet sich durch seine strafrechtliche Komponente aus: Neben einem Verwaltungsbußgeld von bis zu ZAR 10 Millionen kann der Information Regulator eine Sache an die Staatsanwaltschaft weiterleiten, was Freiheitsstrafen von bis zu zehn Jahren für individuelle Führungskräfte nach sich ziehen kann. Ein DSGVO-Äquivalent gibt es nicht. Praktisch gesehen ist die IOIC weniger aktiv als die großen europäischen Datenschutzbehörden (wie der BfDI oder die CNIL), aber die Durchsetzungskapazität wächst stetig. 2023 wurden die ersten signifikanten Bußgelder verhängt.

Müssen wir für jede Jurisdiktion eine separate Datenschutzerklärung erstellen?

Nicht zwingend separate Dokumente, aber Ihre Datenschutzerklärung muss die spezifischen Offenlegungsanforderungen jeder Jurisdiktion erfüllen. Der CCPA verlangt bestimmte Formulierungen zu "Do Not Sell or Share", Kategorien weitergegebener Daten und einen expliziten Link im Website-Footer. POPIA fordert die Nennung des Information Officers und seiner Kontaktdaten. Das PIPL erfordert eine gesonderte "Personal Information Processing Notice" in vereinfachtem Chinesisch. Ein mehrschichtiger Ansatz — ein allgemeiner Kern mit jurisdiktionsspezifischen Anhängen — ist die effizienteste Lösung.

Was gilt im deutschen Sonderfall des Beschäftigtendatenschutzes bei globalen Unternehmen?

Das deutsche BDSG enthält in § 26 eine eigenständige Rechtsgrundlage für die Datenverarbeitung im Beschäftigungsverhältnis, die strenger ausgestaltet ist als der allgemeine Art. 6 Abs. 1 lit. b DSGVO. Für global tätige Unternehmen ergibt sich eine Besonderheit: Deutsches Beschäftigtendatenschutzrecht gilt für alle in Deutschland beschäftigten Personen, unabhängig von der Nationalität des Arbeitgebers. Umgekehrt unterliegen deutsche Unternehmen mit Mitarbeitern in den USA, Brasilien oder Südafrika dem jeweils lokalen Beschäftigtendatenschutzrecht für diese Personen. Eine jurisdiktionsspezifische Richtlinie für Mitarbeiterdaten ist daher für jede grenzüberschreitend tätige deutsche Organisation unerlässlich.

---

Dieser Leitfaden dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Für auf die spezifischen Gegebenheiten Ihrer Organisation zugeschnittene Empfehlungen wenden Sie sich bitte an einen qualifizierten Datenschutzjuristen.