Datenschutzgesetze weltweit: DSGVO, BDSG, CCPA

Für die Verarbeitung von Kundendaten in Deutschland gelten drei Gesetze nebeneinander: die Datenschutz-Grundverordnung (DSGVO, englisch GDPR) als unmittelbar geltendes europäisches Recht, das Bundesdatenschutzgesetz (BDSG) als nationale Ergänzung und das TDDDG (bis Mai 2024 TTDSG) für den Zugriff auf Endgeräte.

Die drei Gesetze bilden den deutschen Ausschnitt eines weltweiten Regelwerks. Datenschutzgesetze (data privacy laws) regeln, wie Organisationen personenbezogene Daten erheben, speichern, verarbeiten und weitergeben, welche Rechte die betroffene Person an diesen Daten hat und welche Sanktion ein Verstoß nach sich zieht. Im Januar 2025 hatten 144 Länder ein nationales Datenschutzgesetz erlassen (IAPP); diese Gesetze erfassen rund 82 % der Weltbevölkerung. Wer aus Deutschland heraus in den USA, in Brasilien oder in Japan verkauft, fällt gleichzeitig unter mehrere davon. Diese Seite führt mehr als 60 dieser Gesetze nach Regionen auf, mit Geltungsbeginn, Schutzbereich und höchster Sanktion, und schließt mit dem, was sie für die Erhebung und die Aktivierung von Kundendaten bedeuten.

DSGVO, BDSG und TDDDG im Überblick

• Die DSGVO (Verordnung (EU) 2016/679) gilt seit dem 25. Mai 2018 unmittelbar in den 27 Mitgliedstaaten der Europäischen Union sowie in Island, Liechtenstein und Norwegen
• Das BDSG ergänzt die DSGVO dort, wo sie den Mitgliedstaaten einen Spielraum lässt; § 26 BDSG regelt die Verarbeitung von Beschäftigtendaten
• Nach § 38 Abs. 1 BDSG benennt eine nicht-öffentliche Stelle einen Datenschutzbeauftragten, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt
• Unabhängig von der Personenzahl greift dieselbe Pflicht, wenn die Verarbeitung eine Datenschutz-Folgenabschätzung erfordert oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder für die Markt- und Meinungsforschung verarbeitet werden
• Das TDDDG trägt den amtlichen Titel „Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten“ und heißt erst seit Mai 2024 so; § 25 TDDDG verlangt die Einwilligung für das Speichern von Informationen auf einem Endgerät und für den Zugriff darauf
• Die Aufsicht über private Unternehmen liegt bei den 16 Landesdatenschutzbehörden, zuständig nach dem Sitz des Unternehmens; der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beaufsichtigt Bundesbehörden, Telekommunikation und Post
• Die höchste Sanktion der DSGVO beträgt 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ausfällt
• Die europäischen Aufsichtsbehörden hatten bis Januar 2025 mehr als 5,8 Milliarden Euro an DSGVO-Bußgeldern verhängt (DLA Piper, 2025), darunter 1,2 Milliarden Euro gegen Meta im Mai 2023
• Der kalifornische CCPA hat den Schritt von der Transparenzpflicht zur Governance vollzogen: Ein Verordnungspaket mit Geltung ab dem 1. Januar 2026 verlangt eine Risikobewertung vor bestimmten Verarbeitungen; die Rechte bei automatisierten Entscheidungen greifen ab dem 1. Januar 2027

Was diese Gesetze von einem Kundendatensystem verlangen

Vier Anforderungen bestimmen den Aufbau eines Kundendatensystems in Deutschland: eine Rechtsgrundlage vor der ersten Verarbeitung, die Antwort auf Betroffenenanfragen binnen eines Monats, die Einwilligung nach § 25 TDDDG für den Zugriff auf Endgeräte und ein Datenschutzbeauftragter ab 20 Personen. Alle vier schlagen sich in Datenfeldern, Protokollen und Fristen nieder, nicht in Formulierungen der Datenschutzerklärung.

Eine Rechtsgrundlage vor der ersten Verarbeitung

Die DSGVO verlangt eine Rechtsgrundlage, bevor die Verarbeitung beginnt; die Einwilligung ist eine davon, die Vertragserfüllung und das berechtigte Interesse sind weitere. Diese Reihenfolge kehrt die Voreinstellung um, die ein amerikanisches Marketingteam kennt: In den USA lassen der CCPA und die Gesetze nach dem Muster Virginias die Verarbeitung zu, bis der Verbraucher widerspricht. Die DSGVO untersagt die Verarbeitung, solange keine Rechtsgrundlage feststeht.

Die Folge ist technischer Natur. Dieselbe Person unterliegt bei der Werbeansprache der Einwilligung, bei der Rechnungsstellung einer anderen Rechtsgrundlage und, bei Wohnsitz in Kalifornien, der amerikanischen Widerspruchsregel. Ein einzelnes Ja-Nein-Feld bildet diese drei Zustände nicht ab: Der Einwilligungsstand gehört je Person, je Zweck und je Rechtsraum in den Datenbestand.

Betroffenenanfragen und die Monatsfrist

Die DSGVO setzt einen Monat für die Antwort auf ein Auskunfts- oder Löschersuchen; bei komplexen Anfragen verlängert sich die Frist um zwei Monate. Ein Monat ist knapp, wenn derselbe Kunde als vier Datensätze in vier Systemen vorliegt.

Die Identitätsauflösung (identity resolution) führt diese vier Datensätze zu einem Profil zusammen, und das Datenteam muss vor der ersten Anfrage wissen, wo die personenbezogenen Daten eines Kunden liegen. Wer das Verzeichnis von Verarbeitungstätigkeiten erst am Tag der ersten Anfrage aufbaut, braucht dafür länger als einen Monat.

Cookies und Endgeräte nach § 25 TDDDG

§ 25 TDDDG verlangt die Einwilligung des Endnutzers, bevor ein Dienst Informationen auf der Endeinrichtung (Endgerät) speichert oder auf bereits dort gespeicherte Informationen zugreift. Der Wortlaut nennt nicht das Cookie, sondern die Information auf dem Endgerät: Local Storage, Kennungen aus mobilen SDKs und Fingerprinting, soweit es Eigenschaften des Endgeräts aktiv ausliest, fallen ebenso darunter.

Die europäische Grundlage dieses Bereichs ist die ePrivacy-Richtlinie 2002/58/EG, deren Einwilligungspflicht für Cookies aus der Änderung von 2009 stammt und deren Sanktionen jeder Mitgliedstaat selbst festlegt. Für die Marketingleitung liegt der eigentliche Wendepunkt anderswo: Mit dem Rückgang der Third-Party-Cookies verschieben sich Messung und Aussteuerung auf das Cookieless-Tracking und auf direkt erhobene Daten; dort wird die Einwilligung einmal eingeholt, in einem Zusammenhang, den der Kunde wiedererkennt.

Der Datenschutzbeauftragte ab 20 Personen

Nach § 38 Abs. 1 BDSG benennt eine nicht-öffentliche Stelle einen Datenschutzbeauftragten, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Unabhängig von dieser Zahl greift die Pflicht, wenn die Verarbeitung eine Datenschutz-Folgenabschätzung erfordert oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder für die Markt- und Meinungsforschung verarbeitet werden. Die Schwelle liegt damit weit unter der Größe, ab der ein Unternehmen eine eigene Rechtsabteilung unterhält.

Drei Entscheidungen eines Kundendatenprojekts laufen über den Datenschutzbeauftragten: die gewählte Rechtsgrundlage, die Speicherdauer der Profile und der Inhalt des Einwilligungsbanners. Die Compliance einer Kampagne entscheidet sich deshalb beim Entwurf des Formulars und des Segments, nicht beim Versand.

Wer den Datenschutz in Deutschland beaufsichtigt

Für ein privates Unternehmen in Deutschland ist die Datenschutzbehörde des Bundeslandes zuständig, in dem das Unternehmen seinen Sitz hat. Die 16 Landesdatenschutzbehörden teilen sich diese Aufgabe: Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) prüft ein Unternehmen mit Sitz in Bayern, der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) ein Unternehmen mit Sitz in Stuttgart. Der BfDI beaufsichtigt die Bundesbehörden sowie die Unternehmen der Telekommunikation und der Post; für den Onlineshop eines Händlers in Nordrhein-Westfalen ist der BfDI nicht zuständig.

Die Datenschutzkonferenz (DSK), das gemeinsame Gremium der unabhängigen Datenschutzaufsicht in Deutschland, veröffentlicht Beschlüsse und Orientierungshilfen, in denen sich die Behörden auf eine gemeinsame Auslegung festlegen. Für ein Kundendatensystem sind das die Papiere zu Tracking und Einwilligung. Diese Papiere binden kein Gericht, geben aber wieder, woran die zuständige Behörde eine Prüfung ausrichtet.

Wie sich die großen Regime operativ unterscheiden

Drei Unterschiede bestimmen, was ein Compliance-System leisten muss: das Einwilligungsmodell (Opt-in oder Opt-out), die Frist für die Antwort an die betroffene Person und die Pflicht, Daten im Land zu halten. Die Tabelle fasst diese drei Größen für die Regime zusammen, die den Umgang mit Kundendaten am häufigsten berühren.

Für den Aufbau des Systems laufen diese Zeilen auf eine einzige Vorgabe hinaus: „nicht verarbeiten, solange keine Einwilligung vorliegt“ (DSGVO, PIPL) und „verarbeiten, bis widersprochen wird“ (Gesetze der US-Bundesstaaten) sind gegenläufige Voreinstellungen; ein einziges Kennzeichen im Profil bildet sie nicht ab.

Datenschutzgesetze in Europa

Die Datenschutz-Grundverordnung (DSGVO), Verordnung (EU) 2016/679, gilt in den 27 Mitgliedstaaten der Europäischen Union sowie in Island, Liechtenstein und Norwegen, und jeder Mitgliedstaat ergänzt sie durch nationales Recht: in Deutschland durch das BDSG und, für den Zugriff auf Endgeräte, durch das TDDDG.

Die DSGVO erfasst jede Organisation weltweit, die Personen in der Europäischen Union anspricht oder das Verhalten dieser Personen beobachtet. Die Durchsetzung ist nicht theoretisch: Die europäischen Aufsichtsbehörden hatten bis Januar 2025 mehr als 5,8 Milliarden Euro an Bußgeldern verhängt (DLA Piper GDPR Fines and Data Breach Survey, 2025). Das höchste Bußgeld, 1,2 Milliarden Euro gegen Meta, erging im Mai 2023 wegen der Datenübermittlung zwischen der Europäischen Union und den USA.

Wie personenbezogene Daten die EU verlassen dürfen

Personenbezogene Daten verlassen die Europäische Union nur über einen anerkannten Mechanismus: einen Angemessenheitsbeschluss, die Zertifizierung unter dem EU-U.S. Data Privacy Framework oder Standardvertragsklauseln. Die Europäische Kommission erteilt einen Angemessenheitsbeschluss für Länder, deren Schutzniveau sie als gleichwertig ansieht, darunter das Vereinigte Königreich, Japan, Südkorea, Argentinien, Uruguay und, seit einem wechselseitigen Beschluss vom 26. Januar 2026, Brasilien.

Amerikanische Unternehmen zertifizieren sich selbst unter dem EU-U.S. Data Privacy Framework, angenommen im Juli 2023. Zuvor war der Vorgängermechanismus für ungültig erklärt worden, und genau seine Nutzung hatte Meta das Bußgeld eingebracht. Für alle übrigen Länder beruht die Übermittlung auf Standardvertragsklauseln, einem standardisierten Vertragstext, in der Praxis verbunden mit einer Folgenabschätzung für die Übermittlung. China kennt die gespiegelte Vorgabe: Nach der PIPL setzt der Export personenbezogener Daten aus China eine staatliche Sicherheitsprüfung, einen Standardvertrag oder eine Zertifizierung voraus.

Die Bundesgesetze der USA und Kanadas

Die USA regeln den Datenschutz auf Bundesebene sektoral, für Kinder, Gesundheit, Finanzen und Bildung, wohingegen Kanada ein einziges nationales Gesetz für den privaten Sektor hat und Québec ein strengeres Provinzgesetz.

Die PIPEDA beruht auf zehn Grundsätzen der fairen Informationsverarbeitung, von der Rechenschaftspflicht der Organisation bis zum Auskunftsrecht der Person. Ein deutsches Unternehmen, das nach Kanada liefert, folgt diesen Grundsätzen für seine kanadischen Kunden, wohingegen dieselbe Verarbeitung in Europa weiterhin der DSGVO unterliegt. Die Loi 25 aus Québec geht über das Bundesgesetz hinaus: Ihre Sanktionen in der Größenordnung der DSGVO, 25 Millionen Kanadische Dollar oder 4 % des weltweiten Umsatzes, machen die Loi 25 zum strengsten Datenschutzgesetz Nordamerikas außerhalb Kaliforniens.

Welche US-Bundesstaaten ein allgemeines Datenschutzgesetz haben

Vierundzwanzig US-Bundesstaaten haben ein allgemeines Datenschutzgesetz für Verbraucher erlassen. 20 davon gelten seit Juli 2026; die vier jüngsten – Alabama, Louisiana, Oklahoma und Vermont – treten zwischen 2027 und 2028 in Kraft. Die meisten folgen dem Muster Virginias, mit Rechten auf Auskunft, Berichtigung, Löschung und Widerspruch gegen Verkauf, zielgerichtete Werbung und Profiling. Kalifornien reicht am weitesten, weil das Gesetz dort auch Beschäftigten- und B2B-Kontaktdaten erfasst; Maryland verlangt die strengste Datenminimierung.

Die Anwendbarkeit hängt von Schwellenwerten ab, nicht vom Sitz des Unternehmens: Die meisten dieser Gesetze erfassen Unternehmen, die Daten von 100.000 oder mehr Einwohnern verarbeiten, oder von 25.000, wenn ein Teil der Erlöse aus dem Verkauf von Daten stammt. Den Ausschlag gibt der Kundenbestand in diesem Bundesstaat.

Die CCPA/CPRA erfasst gewinnorientierte Unternehmen mit einem Jahresumsatz über 26.625.000 US-Dollar, mit Daten von 100.000 oder mehr Verbrauchern oder Haushalten oder mit mindestens der Hälfte der Erlöse aus dem Verkauf oder der Weitergabe personenbezogener Daten. Kalifornien hat mit der California Privacy Protection Agency (CPPA) die einzige eigene Datenschutzbehörde eines Bundesstaats geschaffen; in den übrigen 23 Bundesstaaten setzt der Attorney General das Gesetz durch, und keiner eröffnet dem Verbraucher ein eigenes Klagerecht über die kalifornische Regelung zu Datenpannen hinaus. Die Dollarbeträge sind an den Verbraucherpreisindex gebunden und werden in jedem ungeraden Jahr neu festgesetzt – die Umsatzschwelle lag vor der Anpassung zum 1. Januar 2025 bei 25 Millionen US-Dollar –, weshalb der aktuelle Stand der CPPA maßgeblich ist und nicht der Betrag im ursprünglichen Gesetzestext. Die Bindung erfasst auch den gesetzlichen Schadenersatz aus dem Klagerecht bei Datenpannen: 107 bis 799 US-Dollar je Verbraucher und Vorfall statt der 100 bis 750 US-Dollar des ursprünglichen Textes.

Die Beträge je Verstoß täuschen, solange sie einzeln gelesen werden, denn die Sanktion vervielfacht sich mit der Zahl der betroffenen Verbraucher: Der Vergleich zwischen Sephora und dem kalifornischen Attorney General belief sich 2022 auf 1,2 Millionen US-Dollar für eine einzige Tracking-Praxis. Die Tabelle erfasst zudem nur die allgemeinen Gesetze; engere Gesetze einzelner Bundesstaaten greifen ebenfalls in ein Kundendatensystem ein, allen voran der My Health My Data Act des Bundesstaats Washington, der Rückschlüsse auf den Gesundheitszustand erfasst und dem Verbraucher ein eigenes Klagerecht gibt.

Die wichtigste Veränderung des Jahres 2026 betrifft nicht die vier neuen Gesetze, sondern die bereits geltenden; Kalifornien, das seit dem CPRA gesetzgeberisch still war, ist am weitesten gegangen. Ein CCPA-Verordnungspaket mit Geltung ab dem 1. Januar 2026 verlangt eine Risikobewertung vor bestimmten Verarbeitungen (Verkauf oder Weitergabe personenbezogener Daten, Verarbeitung sensibler Daten und bestimmte automatisierte Technologien), erlaubt dem Verbraucher die Nachfrage, ob ein Widerspruch umgesetzt wurde, erstreckt Auskunftsersuchen bis zum 1. Januar 2022 zurück, wenn Daten länger als ein Jahr aufbewahrt werden, und verlangt, dass eine Berichtigung auch dann Bestand hat, wenn eine wiederkehrende Quelle später den alten Wert erneut liefert. Die Vorschriften zu automatisierten Entscheidungen – Vorabinformation, Auskunft und Widerspruchsrecht – greifen ab dem 1. Januar 2027, die Zertifizierungen für Cybersicherheitsaudits laufen ab dem 1. April 2028 nach Umsatzklassen an. Getrennt davon hat die Legislative zum Ende ihrer Sitzungsperiode am 31. August 2026 acht Datenschutzgesetze an den Gouverneur übergeben, mit Entscheidung bis zum 30. September; bei Unterzeichnung treten ein Verbot des Verkaufs und der Weitergabe sensibler personenbezogener Daten außer auf Weisung des Verbrauchers (AB 1542) und ein erweitertes Löschrecht für Daten, die „von oder über“ einen Verbraucher erhoben wurden (SB 923), am 1. Januar 2027 in Kraft.

Auch außerhalb Kaliforniens ändern die Bundesstaaten die geltenden Gesetze. Die Novelle in Connecticut, überwiegend ab dem 1. Juli 2026 anwendbar, senkt die Anwendungsschwelle von 100.000 auf 35.000 Einwohner, fügt Auslöser ganz ohne Mengenschwelle hinzu (Verarbeitung sensibler Daten oder Angebot personenbezogener Daten zum Verkauf), erweitert die Definition sensibler Daten, verlangt eine gesonderte Folgenabschätzung für Profiling bei Verarbeitungen ab dem 1. August 2026 und schreibt vor, dass Datenschutzhinweise angeben, ob personenbezogene Daten dem Training großer Sprachmodelle dienen. Ein zweites Paket aus Connecticut, anwendbar ab dem 1. Oktober 2026, verbietet den Verkauf präziser Standortdaten (wie zuvor Maryland, Virginia und Oregon) und führt eine Registrierung für Datenhändler ein. Maryland hat seine Definition der präzisen Standortdaten bei 1.750 Fuß, rund 533 Metern, belassen, aber auf Mobilgeräte und Fahrzeuge erstreckt und den wissentlichen Verkauf personenbezogener Daten an staatliche Stellen untersagt, die sich kürzlich an der Durchsetzung des Einwanderungsrechts beteiligt oder sie unterstützt haben. New Jersey hat den Verkauf sensibler Daten zum 30. Juni 2026 untersagt, New Hampshire den Verkauf personenbezogener Daten eines Kindes ab dem 1. Januar 2027. Das Muster bleibt gleich: Die Bundesstaaten definieren nicht mehr nur Verbraucherrechte; sie legen klare Grenzen fest, welche Datenkategorien verkauft werden dürfen und an wen.

Die vier jüngsten Gesetze weichen vom Muster Virginias in Punkten ab, die in der Praxis zählen. Alabama behandelt Weitergaben zu Analysezwecken oder für bestimmte Marketingdienste in der Regel nicht als „Verkauf“ von Daten und verlangt keine Datenschutz-Folgenabschätzung. Louisiana verlangt mindestens zwei sichere und zuverlässige Wege, um Rechte geltend zu machen, und einen deutlich sichtbaren Hinweis, wenn sensible oder biometrische Daten zum Verkauf angeboten werden. Oklahoma unterwirft jedes Recht einschließlich des Widerspruchs einer Authentifizierung, anders als Kalifornien, wo ein Widerspruch nicht verifiziert wird, und behandelt pseudonyme Daten als personenbezogen, sobald sie sich vernünftigerweise einer identifizierbaren Person zuordnen lassen. Vermont, als letztes am 1. Januar 2028 anwendbar, ergänzt Rechte gegenüber automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und verlangt in Datenschutzhinweisen die Angabe, ob personenbezogene Daten dem Training großer Sprachmodelle dienen. Auch die Nachbesserungsfristen gehen auseinander: 30 Tage in Oklahoma und Louisiana (die Frist in Louisiana läuft am 31. Juli 2027 aus), 45 Tage in Alabama und 60 Tage in Vermont bis zum 30. Juni 2029.

Datenschutzgesetze in Lateinamerika

Jede größere Volkswirtschaft Lateinamerikas hat inzwischen ein nationales Datenschutzgesetz, und die brasilianische Lei Geral de Proteção de Dados (LGPD) wird am aktivsten durchgesetzt.

Die LGPD übernimmt den Aufbau der DSGVO, mit Rechtsgrundlagen, Rechten der betroffenen Person und einer nationalen Behörde, der ANPD, deckelt das Bußgeld aber bei 2 % des in Brasilien erzielten Umsatzes je Verstoß, höchstens 50 Millionen brasilianische Real. Brasilien, Uruguay und Argentinien verfügen über einen Angemessenheitsbeschluss der Europäischen Union, die Europäische Kommission hält ihr Schutzniveau für Übermittlungen also für gleichwertig mit dem der DSGVO; der Beschluss für Brasilien wurde am 26. Januar 2026 angenommen und gilt wechselseitig.

Datenschutzgesetze im asiatisch-pazifischen Raum

Der asiatisch-pazifische Raum vereint die gegensätzlichsten Regime, von den strengen Lokalisierungsregeln der chinesischen PIPL bis zum indischen DPDP Act, der auf die Einwilligung setzt und noch schrittweise anläuft.

Die PIPL gilt oft als chinesische DSGVO, geht aber weiter: Das Gesetz verlangt eine Sicherheitsprüfung für Übermittlungen ins Ausland und die Lokalisierung bestimmter Daten. Der Fahrdienstvermittler Didi erhielt auf dieser Grundlage 2022 ein Bußgeld von 8,026 Milliarden Yuan, rund 1,2 Milliarden US-Dollar. Der indische DPDP Act ist das jüngste der großen Regime; seine Durchführungsregeln wurden 2025 abgeschlossen und die Pflichten laufen bis 2027 gestaffelt an, weshalb international tätige Unternehmen ihr Compliance-Programm bereits jetzt aufbauen.

Datenschutzgesetze im Nahen Osten und in Afrika

Die meisten Golfstaaten und die größten Volkswirtschaften Afrikas haben seit 2018 Datenschutzgesetze nach dem Vorbild der DSGVO erlassen, jedes mit einer nationalen Aufsichtsbehörde.

Was diese Gesetze im Marketing bedeuten

Für das Marketing und das Datenteam machen diese Gesetze aus Einwilligung, Zweckbindung und Nachweisbarkeit Anforderungen an das System, und die dauerhafte Antwort darauf ist eine Strategie für First-Party-Daten (first-party data) mit dokumentierter Einwilligung. Direkt beim Kunden erhobene Daten, mit klarer Einwilligung und benanntem Zweck, liefern in jedem Rechtsraum dieser Seite einen rechtmäßigen Ausgangspunkt, auch wenn Aufbewahrung, Betroffenenrechte und Übermittlung weiterhin eigene Pflichten nach sich ziehen. Am eindeutigsten sind Zero-Party-Daten, die der Kunde selbst angibt, etwa in einer Kanalpräferenz oder einem Profilfragebogen, weil der Zweck im Moment der Erhebung genannt wird. Third-Party-Daten (third-party data) liefern diesen Ausgangspunkt selten, und darin liegt einer der Gründe für das Ende der Third-Party-Cookies.

In Deutschland entscheidet sich das an konkreten Kanälen. Die E-Mail trägt die Kundenbeziehung, und der Widerspruch muss dort so einfach sein wie die Anmeldung. Das Einwilligungsbanner der Website und der App bestimmt, welche Skripte auslösen und damit, welcher Anteil der Zielgruppe überhaupt in der Messung erscheint. Das Weihnachtsgeschäft und die Cyber Week verdichten die Kontoanlagen auf wenige Tage: Formular, Einwilligungsprotokoll und Abmeldelink stehen dann unter Last, und der Datenschutzbeauftragte prüft sie vor der Saison statt mittendrin.

Zwei Bausteine bestimmen das Ergebnis. Das Consent-Management hält fest, was jeder Kunde je Zweck und je Kanal erlaubt hat, und wendet diesen Stand beim Versand an, nicht nur bei der Erhebung. Die Data Governance, also die Regeln dafür, wer welche Daten sehen, ändern und löschen darf, beantwortet die Fragen einer Prüfung: wo die personenbezogenen Daten liegen, wer Zugriff hat und ob eine Löschung tatsächlich überall greift.

Beide beruhen auf derselben Voraussetzung: zu wissen, wo jeder einzelne Datensatz eines Kunden liegt. Aus diesem Grund rücken Compliance und Kundendateninfrastruktur zusammen. Eine Customer Data Platform (CDP, auf Deutsch Kundendatenplattform), die die Profile an einer Stelle vereinheitlicht, hängt den Einwilligungsstand an jedes Profil und beantwortet Auskunfts- und Löschersuchen innerhalb der Monatsfrist der DSGVO, ohne ein Dutzend getrennter Systeme zu durchsuchen. Der Gewinn ist nicht nur defensiv: Dieselbe Vereinheitlichung dient auch dazu, die Daten in den Kanälen zu aktivieren, ohne personenbezogene Daten in jedes einzelne Werkzeug zu kopieren.

FAQ

Welche Datenschutzgesetze gelten für Kundendaten in Deutschland?

Für Kundendaten in Deutschland gelten die DSGVO, das BDSG und das TDDDG nebeneinander. Die DSGVO gilt als europäische Verordnung unmittelbar und regelt Rechtsgrundlage, Betroffenenrechte und Sanktionen. Das BDSG ergänzt die DSGVO im nationalen Spielraum, unter anderem für Beschäftigtendaten in § 26 BDSG. Das TDDDG regelt in § 25 die Einwilligung für das Speichern von Informationen auf einem Endgerät und den Zugriff darauf.

Was ist der Unterschied zwischen DSGVO und BDSG?

Die DSGVO ist die europäische Verordnung, die in allen 27 Mitgliedstaaten unmittelbar gilt; das BDSG ist das deutsche Gesetz, das sie dort ausfüllt, wo die DSGVO den Mitgliedstaaten einen Spielraum lässt. Das BDSG ersetzt die DSGVO an keiner Stelle, sondern regelt eigenständig etwa die Verarbeitung von Beschäftigtendaten (§ 26 BDSG) und die Pflicht zur Benennung eines Datenschutzbeauftragten (§ 38 Abs. 1 BDSG).

Ab wann muss ein Unternehmen einen Datenschutzbeauftragten benennen?

Nach § 38 Abs. 1 BDSG benennt eine nicht-öffentliche Stelle einen Datenschutzbeauftragten, sobald sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Unabhängig von dieser Zahl greift die Pflicht, wenn die Verarbeitung eine Datenschutz-Folgenabschätzung erfordert oder wenn personenbezogene Daten geschäftsmäßig zum Zweck der Übermittlung oder für die Markt- und Meinungsforschung verarbeitet werden.

Was regelt das TDDDG für Cookies?

§ 25 TDDDG verlangt die Einwilligung des Endnutzers, bevor ein Dienst Informationen auf dem Endgerät speichert oder auf bereits dort gespeicherte Informationen zugreift. Der Wortlaut nennt nicht das Cookie, sondern die Information auf dem Endgerät, sodass auch Local Storage, Kennungen aus mobilen SDKs und Fingerprinting, soweit es Eigenschaften des Endgeräts aktiv ausliest, darunterfallen. Das TDDDG trägt diesen Namen seit Mai 2024; bis dahin lautete die Abkürzung TTDSG.

Welche Datenschutzbehörde ist in Deutschland zuständig?

Für ein privates Unternehmen ist die Datenschutzbehörde des Bundeslandes zuständig, in dem das Unternehmen seinen Sitz hat; 16 Landesdatenschutzbehörden teilen sich diese Aufgabe. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) beaufsichtigt Bundesbehörden, Telekommunikation und Post. Die Datenschutzkonferenz (DSK) veröffentlicht die gemeinsamen Auslegungspapiere der deutschen Aufsichtsbehörden, unter anderem zu Tracking und Einwilligung.

Wie hoch sind die Bußgelder nach der DSGVO?

Die DSGVO sieht als höchstes Bußgeld 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ausfällt. Die europäischen Aufsichtsbehörden hatten bis Januar 2025 mehr als 5,8 Milliarden Euro an Bußgeldern verhängt, nach der DLA Piper GDPR Fines and Data Breach Survey von 2025. Das höchste Einzelbußgeld erging im Mai 2023 mit 1,2 Milliarden Euro gegen Meta wegen der Datenübermittlung in die USA.

Wie viele Länder haben ein Datenschutzgesetz?

Im Januar 2025 hatten 144 Länder ein nationales Datenschutzgesetz, nach Angaben der International Association of Privacy Professionals (IAPP). Diese Gesetze erfassen rund 82 % der Weltbevölkerung. Der Zuwachs verlief schnell: Der Rechtswissenschaftler Graham Greenleaf zählte um das Jahr 2000 rund 40 solcher Gesetze. Die verbleibenden Lücken liegen in Teilen Afrikas, in Zentralasien und im Pazifik.

Haben die US-Bundesstaaten eigene Datenschutzgesetze?

Ja: 24 US-Bundesstaaten haben ein allgemeines Datenschutzgesetz für Verbraucher erlassen, 20 davon in Kraft seit Juli 2026, weil ein entsprechendes Bundesgesetz fehlt. Kalifornien eröffnete die Reihe 2020 mit dem CCPA und bleibt der einzige Bundesstaat mit einer eigenen Datenschutzbehörde und mit Schutz für Beschäftigten- und B2B-Kontaktdaten. Die übrigen 23 folgen einem ähnlichen Muster mit Rechten auf Auskunft, Berichtigung, Löschung und Widerspruch.

Was hat die CCPA-Novelle 2026 geändert?

Das CCPA-Verordnungspaket mit Geltung ab dem 1. Januar 2026 führt die kalifornische Regelung von der Transparenzpflicht zur operativen Governance: Vor dem Verkauf oder der Weitergabe personenbezogener Daten, der Verarbeitung sensibler Daten oder dem Einsatz bestimmter automatisierter Technologien ist eine Risikobewertung fällig, und der Verbraucher darf nachfragen, ob ein Widerspruch umgesetzt wurde. Auskunftsersuchen reichen bis zum 1. Januar 2022 zurück, wenn Daten länger als ein Jahr aufbewahrt werden. Die Rechte bei automatisierten Entscheidungen greifen ab dem 1. Januar 2027.

Verwandte Artikel

• Datenschutz und Compliance mit einer CDP – wie vereinheitlichte Kundendaten die Compliance im Alltag tragen (auf Englisch)
• Data Privacy Governance: 8 Best Practices – ein Governance-Programm für mehrere Rechtsräume (auf Englisch)
• Consent-Management in der CDP – die Einwilligung über alle Kanäle hinweg anwenden (auf Englisch)
• Eine First-Party-Datenstrategie beginnt mit Vertrauen – Transparenz als Vorteil bei der Erhebung (auf Englisch)
• Datenschutz und Markenvertrauen in Zahlen – die Haltung der Verbraucher hinter diesen Gesetzen (auf Englisch)

Diese Seite ist eine redaktionelle Übersicht und keine Rechtsberatung; für Entscheidungen zur Compliance ist eine anwaltliche Prüfung erforderlich.

Diese Seite ist auch in folgenden Sprachen verfügbar: Data Privacy Laws by Country and U.S. State (2026) · 個人情報保護法と海外のデータ保護法一覧｜罰則と2026年改正 · Lei Geral de Proteção de Dados: o que a LGPD exige · Ley de protección de datos personales: LFPDPPP · Loi Informatique et Libertés, RGPD, CCPA : données clients