PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada)
Definition
Die 10 Prinzipien des PIPEDA (aus dem Canadian Standards Association CAN/CSA-Q830) :
1. Verantwortlichkeit — einen Datenschutzverantwortlichen ernennen.
2. Bestimmung der Zwecke — den Zweck der Erhebung klar ankündigen.
3. Zustimmung — informierte Zustimmung einholen.
4. Beschränkung der Erhebung — nur das Notwendigste erheben.
5. Beschränkung der Nutzung — nur für angegebene Zwecke nutzen.
6. Korrektheit — Daten aktuell halten.
7. Sicherheitsmaßnahmen — angemessene technische und organisatorische Sicherheit.
8. Transparenz — öffentliche Datenschutzerklärung.
9. Zugang zu persönlichen Informationen — Zugriffs- und Berichtigungsrecht.
10. Möglichkeit, eine Beschwerde einzureichen — bei den Privacy Commissioners of Canada.
PIPEDA und elektronische Signatur : die elektronische Signatur beinhaltet die Verarbeitung persönlicher Informationen (Name, E-Mail-Adresse, Telefonnummer, IP, Sitzungs-Metadaten, Audit-Trail). Das PIPEDA verlangt :
• informierte Zustimmung des Unterzeichners vor der Erhebung ;
• sichere Speicherung (Verschlüsselung im Ruhezustand, eingeschränkter Zugriff) ;
• Aufbewahrungsdauer proportional zum Zweck (10 Jahre für Geschäftsverträge ist allgemein akzeptiert) ;
• Zugriffs-, Berichtigungs- und Löschungsrecht auf Anfrage des Unterzeichners ;
• obligierte Benachrichtigung im Fall einer Verletzung, die ein echtes Risiko schwerwiegenden Schadens darstellt (seit 2018).
Gesetz 25 von Québec : die Provinz Québec verfügt über ein eigenes Gesetz (Gesetz 25 / Loi modernisant les dispositions sur la protection des renseignements personnels, in Kraft seit 2022-2024), das Vorrang vor dem PIPEDA für intra-québekische Aktivitäten hat. Das Gesetz 25 ist strenger als das PIPEDA — in den meisten Punkten an der europäischen DSGVO ausgerichtet : explizite Zustimmung erforderlich, Ernennung eines Datenschutzverantwortlichen, Datenschutz-Folgenabschätzungen (DPIA), Geldstrafen bis 4 % des weltweiten Umsatzes.
PIPEDA vs. DSGVO : die Europäische Kommission erkennt das PIPEDA als angemessen im Sinne von Artikel 45 der DSGVO an (Beschluss 2002/2/EG bestätigt 2024). Übermittlungen persönlicher Daten aus der EU nach Kanada sind daher ohne weitere Förmlichkeiten zulässig. Für kanadische Organisationen, die in der EU tätig sind, bleibt die DSGVO für die Daten europäischer Bewohner anwendbar (Extraterritorialität, Artikel 3).
Umsetzung Certyneo : PIPEDA + Gesetz 25 + DSGVO-Compliance gewährleistet durch unsere Datenschutzarchitektur — Hosting in EU-Souveränität (IONOS Deutschland), TLS 1.3-Verschlüsselung im Transit + AES-256 im Ruhezustand, Zugriffsprotokollierung, Vollständiges Löschungsrecht innerhalb von 30 Tagen, konforme Auftragsverarbeiter. Übermittlungen nach Kanada (selten — nur auf Anfrage in Kanada gehostete Konten) sind durch DSGVO-PIPEDA-Standardvertragsklauseln geregelt.
Häufig gestellte Fragen
Was ist das PIPEDA ?
Das PIPEDA (Loi sur la protection des renseignements personnels et les documents électroniques) ist das kanadische Bundesdatenschutzgesetz, das regelt, wie private Organisationen persönliche Informationen im Rahmen von Geschäftsaktivitäten erheben, nutzen und weitergeben. Sein zweiter Teil erkennt Dokumenten und elektronischen Signaturen auch denselben rechtlichen Wert wie Papier an.
Wer muss sich an das PIPEDA halten ?
Das PIPEDA gilt für private Organisationen, die persönliche Informationen im Rahmen von Geschäftsaktivitäten in ganz Kanada verarbeiten, sowie für alle Unternehmen unter Bundesaufsicht. Québec, Britisch-Kolumbien und Alberta haben vergleichbare Gesetze, die stattdessen für intra-provinzielle Aktivitäten gelten.
Erkennt PIPEDA elektronische Signaturen an?
Ja. PIPEDA verleiht elektronischen Dokumenten und Signaturen die gleiche Rechtswirkung wie ihren Papieräquivalenten und definiert eine "sichere elektronische Signatur" für Anwendungen, die ein höheres Sicherheitsniveau erfordern.
Wie verhält sich PIPEDA im Vergleich zur DSGVO?
Beide schützen personenbezogene Daten und gewähren Einzelpersonen Zustimmungs- und Zugriffsrechte, aber PIPEDA basiert auf Prinzipien und ist insgesamt weniger präskriptiv als die DSGVO, mit niedrigeren Höchststrafen. Organisationen, die sowohl Kanada als auch die EU bedienen, richten sich normalerweise nach dem strengeren Standard, der DSGVO, um beide abzudecken.
Was passiert bei Nichtkonformität mit PIPEDA?
Der Beauftragte für den Schutz der Privatsphäre in Kanada bearbeitet Beschwerden und kann den Bundesgerichtshof anrufen. Die Nichterfüllung der Benachrichtigungspflichten bei Datenverletzungen ist mit Geldstrafen von bis zu 100.000 CAD pro Verstoß verbunden, zusätzlich zu Reputationsschäden und möglichen Schadensersatzzahlungen durch ein Gericht.
Zugehörige Leitfäden
Verwandte Begriffe
Bereit, diese Konzepte in die Praxis umzusetzen?
Mit Certyneo erstellen Sie eIDAS-konforme Signatur-Umschläge in wenigen Klicks, ohne Installation.