CCPA, LGPD, AI Act: Navigation im globalen Regulierungsflickenteppich

Die DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen → bekommt die ganze Aufmerksamkeit. Aber wenn Ihre Organisation global tätig ist oder es plant, stehen Sie vor einem Flickenteppich von Datenschutzregulierungen, die jede für sich Aufmerksamkeit erfordern und, entscheidend, eine Compliance-Architektur, die sie alle abdecken kann, ohne für jede von Neuem aufgebaut zu werden.

Die globale Regulierungslandschaft

CCPA / CPRA (Kalifornien, USA)

Der California Consumer Privacy Act (CCPA), erweitert durch den California Privacy Rights Act (CPRA), gibt kalifornischen Verbrauchern Rechte ähnlich der DSGVO: Auskunftsrecht, Löschrecht, Recht auf Opt-out vom Verkauf. Wesentliche Unterschiede zur DSGVO:

• Schwellenwertbasiert: gilt nur für Organisationen, die bestimmte Umsatz- oder Datenvolumenschwellen erreichen
• Opt-out-Modell (kein Opt-in): Verbraucher kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen dem Datenverkauf widersprechen, die Datenverarbeitung ist aber standardmäßig erlaubt
• „Verkauf“ von Daten ist weit definiert, die Weitergabe von Daten an Dritte zum kommerziellen Vorteil kann als Verkauf gelten
• Der CPRA schuf eine eigene California Privacy Protection Agency (CPPA) mit Durchsetzungsbefugnis

Organisationen, die zuerst DSGVO-Compliance aufgebaut haben, haben bei CCPA/CPRA einen deutlichen Vorsprung, viele der gleichen Mechanismen gelten, mit Anpassungen.

LGPD (Brasilien)

Die Lei Geral de Proteção de Dados (2020) ist Brasiliens DSGVO-Äquivalent. Nahezu identische Struktur: sechs Rechtsgrundlagen, Betroffenenrechte, verpflichtender DPO für einige Organisationen, Meldung von Datenschutzverletzungen innerhalb einer angemessenen Frist. Wesentlicher Unterschied: die Durchsetzung reift noch, die brasilianische Datenschutzbehörde (ANPD) hat schrittweise hochgefahren und ihre ersten erheblichen Bußgelder verhängt.

Indiens DPDP Act

Indiens Digital Personal Data Protection Act wurde 2023 verabschiedet, aber es dauerte bis 2025, bis die Ausführungsbestimmungen finalisiert waren, und die Durchsetzung wird nun schrittweise eingeführt. ErErDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → ist eine der größten Jurisdiktionen außerhalb der EU, die DSGVO-ähnliche Schutzvorschriften umsetzt. Er gilt für jede Organisation, die digitale personenbezogene Daten indischer Einwohner verarbeitet. Die Pflichten des Data Fiduciary nach dem Gesetz entsprechen denen eines Verantwortlichen unter der DSGVO.

Der EU AI Act

Der EU AI Act, der im August 2024 in Kraft trat, ist die weltweit erste umfassende KI-Regulierung. Er verfolgt einen risikoabgestuften Ansatz:

• Verbotene KI (vollständig untersagt): Biometrische Massenüberwachung in Echtzeit im öffentlichen Raum, Social-Scoring-Systeme, KI, die Verhalten manipuliert und dabei Schwächen ausnutzt, KI, die sensible Merkmale aus Biometrie ableitet. Diese Verbote gelten seit Februar 2025.
• Hochrisiko-KI: KI in kritischer Infrastruktur, Bildung, Beschäftigung, essenziellen Diensten, Strafverfolgung, Migration. Erfordert Konformitätsbewertung, Registrierung in einer EU-Datenbank, Mechanismen menschlicher Aufsicht.
• Begrenztes Risiko: KI wie Chatbots, müssen offenlegen, dass sie KI sind.
• Minimales Risiko: Keine Anforderungen.

Es gibt außerdem einen separaten Pflichtenkatalog für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), etwa große Foundation Models, der seit August 2025 gilt. Die meiste Unternehmens-KI fällt in die Kategorien „Hochrisiko“ oder „begrenztes Risiko“. Jeder CDO, der in der EU tätig ist, braucht ein AI-Act-Compliance-Audit seines KI-Portfolios.

Aufbau einer Compliance-Architektur für mehrere Regulierungen

Der Fehler: für jede Regulierung ein eigenes Compliance-Programm aufzubauen. Separates DSGVO-Team, separates CCPA-Team, separates AI-Act-Team. Das ist teuer, erzeugt Inkonsistenzen und skaliert nicht, wenn neue Regulierungen dazukommen.

Die Lösung: ein Plattformansatz für Privacy Compliance.

Benötigte Kernfähigkeiten:

1. Dateninventar und ROPA: Zentrales Verzeichnis aller Verarbeitungstätigkeiten, anwendbarer Regulierungen, Rechtsgrundlagen und Aufbewahrungsfristen. Ein Datensatz, mehrere regulatorische Blickwinkel.
2. Consent- und Preference-Management: Ein System of Record für individuelle Einwilligungen und Präferenzen, nach Regulierung abfragbar. Kunde sagt „Opt-out“ → das fließt gleichzeitig in CCPA-Compliance und DSGVO-Verarbeitung.
3. Workflow für Betroffenenrechte: Automatisierte Annahme, Weiterleitung und Erfüllung von DSARs über alle Systeme. Muss Auskunft, Löschung, Portabilität abdecken. Muss Fristen einhalten (30 Tage bei DSGVO, 45 bei CCPA).
4. Vendor- und DPA-Management: Nachverfolgung aller Auftragsverarbeiter, DPA-Status, Übermittlungsmechanismen. Aktualisiert, wenn Vendoren wechseln.
5. Datenschutz-Folgenabschätzung (DPIA/PIA): Integrierter Workflow, der bei neuen Projekten oder Systemen ausgelöst wird, zur DPO-Prüfung weiterleitet und Entscheidungen dokumentiert.

Tools in diesem Bereich: OneTrust, TrustArc, Osano, DataGrail. Die sind nicht billig, aber die Alternative (manuelles Compliance-Management über mehrere Regulierungen hinweg) ist teurer und riskanter.

Die Rolle des CDO bei der AI-Act-Compliance

Der AI Act schafft eine neue Verantwortung für CDOs: Inventar und Risikoklassifizierung von KI-Systemen. Sie müssen wissen:

• Welche KI-Systeme Ihre Organisation nutzt (gekauft oder selbst gebaut)
• In welche Risikostufe des AI Act jedes fällt
• Welche Compliance-Pflichten für Hochrisikosysteme gelten
• Wer für die Compliance jedes Systems verantwortlich ist

Das existiert in den meisten Organisationen heute nicht. Die Pflichten des AI Act greifen zeitlich gestaffelt: die Verbote bestimmter Praktiken gelten seit Februar 2025, die Regeln für GPAI-Modelle seit August 2025, und der Großteil der Pflichten für Hochrisikosysteme gilt ab August 2026, mit einem weiteren Paket für regulierte Produkte bis August 2027. Der Aufbau des KI-Inventars ist eine grundlegende CDO-Aufgabe, und Organisationen, die damit gewartet haben, sind der Durchsetzungskurve schon hinterher.

Key Takeaways

• Die DSGVO ist eines von mehreren großen Regimen. CCPA/CPRA (Kalifornien), LGPD (Brasilien) und Indiens DPDP Act verlangen alle DSGVO-ähnliche Pflichten mit lokalen Eigenheiten, Opt-out versus Opt-in ist in Kalifornien ein wesentlicher Unterschied.
• Indiens DPDP Act wurde 2023 verabschiedet, die Ausführungsbestimmungen wurden aber 2025 finalisiert und die Durchsetzung wird jetzt schrittweise eingeführt.
• Der EU AI Act trat im August 2024 in Kraft und gilt in Stufen: Verbote bestimmter Praktiken ab Februar 2025, Regeln für GPAI-Modelle ab August 2025, Hochrisikopflichten ab August 2026 und produktbezogene Regeln bis August 2027.
• Bauen Sie eine Compliance-Architektur, nicht eine pro Regulierung. Ein gemeinsames Dateninventar, Consent-Verzeichnis, DSAR-Workflow, Vendor-Register und PIA-Prozess bedient jedes Regime.
• Der CDO verantwortet das Inventar der KI-Systeme und deren Risikoklassifizierung. Ohne das können Sie AI-Act-Compliance für Hochrisikosysteme nicht nachweisen.