CCPA, LGPD, AI Act: Navigation im globalen Regulierungsflickenteppich

Die DSGVO bekommt die ganze Aufmerksamkeit. Wenn Ihre Organisation aber global tätig ist oder es werden will, stehen Sie vor einem Flickenteppich aus Datenschutzregeln, die alle Aufmerksamkeit verlangen und, entscheidend, vor der Frage nach einer Compliance-Architektur, die sie alle bedienen kann, ohne für jede einzelne von vorn aufgebaut zu werden.

Die globale Regulierungslandschaft

CCPA / CPRA (Kalifornien, USA)

Der California Consumer Privacy Act (CCPA), erweitert durch den California Privacy Rights Act (CPRA), gibt kalifornischen Verbrauchern Rechte ähnlich der DSGVO: Auskunftsrecht, Löschrecht, Recht auf Opt-out vom Verkauf. Zentrale Unterschiede zur DSGVO:

• Schwellenwertbasiert: gilt nur für Organisationen, die bestimmte Umsatz- oder Datenvolumen-Schwellen erreichen
• Opt-out-Modell (kein Opt-in): Verbraucher kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen dem Datenverkauf widersprechen, die Datenverarbeitung ist aber standardmäßig erlaubt
• Der „Verkauf“ von Daten ist weit definiert, die Weitergabe von Daten an Dritte zu kommerziellem Vorteil kann als Verkauf gelten
• Der CPRA hat eine eigene California Privacy Protection Agency (CPPA) mit Durchsetzungsbefugnis geschaffen

Organisationen, die zuerst DSGVO-Compliance aufgebaut haben, haben bei CCPA/CPRA einen deutlichen Vorsprung, viele der gleichen Mechanismen greifen, mit Anpassungen.

LGPD (Brasilien)

Das Lei Geral de Proteção de Dados (2020) ist Brasiliens Pendant zur DSGVO. Nahezu identische Struktur: sechs Rechtsgrundlagen, Betroffenenrechte, verpflichtender DPO für einige Organisationen, Meldung von Datenschutzverletzungen innerhalb einer angemessenen Frist. Zentraler Unterschied: die Durchsetzung reift noch, die brasilianische Datenschutzbehörde (ANPD) baut ihre Aktivität schrittweise aus und verhängt erste signifikante Bußgelder.

Indiens DPDP Act

Indiens Digital Personal Data Protection Act wurde 2023 verabschiedet, doch es dauerte bis 2025, bis die Durchführungsvorschriften finalisiert waren, und die Durchsetzung wird jetzt schrittweise eingeführt. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → ist einer der größten Rechtsräume außerhalb der EU, der DSGVO-ähnliche Schutzvorgaben umsetzt. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → gilt für jede Organisation, die digitale personenbezogene Daten indischer Einwohner verarbeitet. Die Pflichten des Data Fiduciary nach dem Gesetz entsprechen denen eines Verantwortlichen nach der DSGVO.

Der EU AI Act

Der EU AI Act, der im August 2024 in Kraft getreten ist, ist die weltweit erste umfassende KI-Regulierung. ErErThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → verfolgt einen risikogestuften Ansatz:

• Verbotene KI (vollständig untersagt): biometrische Echtzeit-Massenüberwachung im öffentlichen Raum, Social-Scoring-Systeme, KI, die Verhalten durch Ausnutzung von Schwächen manipuliert, KI, die sensible Merkmale aus Biometrie ableitet. Diese Verbote gelten seit Februar 2025.
• Hochrisiko-KI: KI in kritischer Infrastruktur, Bildung, Beschäftigung, essenziellen Diensten, Strafverfolgung, Migration. Erfordert Konformitätsbewertung, Registrierung in einer EU-Datenbank, Mechanismen menschlicher Aufsicht.
• Begrenztes Risiko: KI wie Chatbots, muss offenlegen, dass es KI ist.
• Minimales Risiko: keine Anforderungen.

Es gibt außerdem ein separates Set an Pflichten für General-Purpose-AI-Modelle (GPAI), etwa große Foundation Models, das seit August 2025 gilt. Der größte Teil der Unternehmens-KI fällt in die Kategorien „Hochrisiko“ oder „begrenztes Risiko“. Jeder CDO, der in der EU tätig ist, braucht ein AI-Act-Compliance-Audit seines KI-Portfolios.

Eine Compliance-Architektur für mehrere Regulierungen aufbauen

Der Fehler: für jede Regulierung ein separates Compliance-Programm aufzubauen. Separates DSGVO-Team, separates CCPA-Team, separates AI-Act-Team. Das ist teuer, erzeugt Inkonsistenzen und skaliert nicht, wenn neue Regulierungen auftauchen.

Die Lösung: ein Plattformansatz für Privacy-Compliance.

Benötigte Kernfähigkeiten:

1. Dateninventar und ROPA: zentrales Verzeichnis aller Verarbeitungstätigkeiten, anwendbarer Regulierungen, Rechtsgrundlagen und Aufbewahrungsfristen. Ein Datensatz, mehrere regulatorische Perspektiven.

2. Consent- und Preference-Management: ein System of Record für individuelle Einwilligungen und Präferenzen, abfragbar nach Regulierung. Kunde sagt „Opt-out“ → das fließt gleichzeitig in die CCPA-Compliance und die DSGVO-Verarbeitung.

3. Workflow für Betroffenenrechte: automatisierte Annahme, Weiterleitung und Erfüllung von DSARs über alle Systeme hinweg. Muss Auskunft, Löschung, Portabilität abdecken. Muss Fristen einhalten (30 Tage bei der DSGVO, 45 bei CCPA).

4. Vendor- und DPA-Management: alle Auftragsverarbeiter, DPA-Status, Übermittlungsmechanismen nachverfolgen. Aktualisiert, wenn Vendoren wechseln.

5. Datenschutz-Folgenabschätzung (DPIA/PIA): integrierter Workflow, der anläuft, wenn neue Projekte oder Systeme vorgeschlagen werden, zur DPO-Prüfung weiterleitet und Entscheidungen dokumentiert.

Tools in diesem Bereich: OneTrust, TrustArc, Osano, DataGrail. Die sind nicht günstig, aber die Alternative (manuelles Compliance-Management über mehrere Regulierungen hinweg) ist teurer und riskanter.

Die Rolle des CDO bei der AI-Act-Compliance

Der AI Act schafft eine neue Verantwortung für CDOs: Inventar und Risikoklassifizierung der KI-Systeme. Sie müssen wissen:

• welche KI-Systeme Ihre Organisation einsetzt (gekauft oder selbst gebaut)
• in welche Risikostufe des AI Act jedes fällt
• welche Compliance-Pflichten für Hochrisikosysteme gelten
• wer für die Compliance jedes Systems verantwortlich ist

Das existiert in den meisten Organisationen heute nicht. Die Pflichten des AI Act kommen in gestaffelter Zeitschiene: die Verbote verbotener Praktiken gelten seit Februar 2025, die GPAI-Modellregeln seit August 2025, der Großteil der Pflichten für Hochrisikosysteme ab August 2026, ein weiteres Set mit Bezug zu regulierten Produkten reicht bis August 2027. Das KI-Inventar aufzubauen ist eine grundlegende CDO-Aufgabe, und Organisationen, die damit gewartet haben, hängen der Durchsetzungskurve schon nach.

Wichtigste Erkenntnisse

• Die DSGVO ist eines von mehreren großen Regimen. CCPA/CPRA (Kalifornien), LGPD (Brasilien) und Indiens DPDP Act bringen alle DSGVO-ähnliche Pflichten mit lokalen Eigenheiten, Opt-out versus Opt-in ist der zentrale Unterschied in Kalifornien.
• Indiens DPDP Act wurde 2023 verabschiedet, die Durchführungsvorschriften wurden aber 2025 finalisiert und die Durchsetzung läuft jetzt schrittweise an.
• Der EU AI Act ist im August 2024 in Kraft getreten und gilt in Stufen: Verbote verbotener Praktiken ab Februar 2025, GPAI-Modellregeln ab August 2025, Hochrisikopflichten ab August 2026 und produktbezogene Regeln bis August 2027.
• Bauen Sie eine Compliance-Architektur, nicht eine pro Regulierung. Ein gemeinsames Dateninventar, ein Consent-Record, ein DSAR-Workflow, ein Vendor-Register und ein PIA-Prozess bedienen jedes Regime.
• Der CDO verantwortet das Inventar der KI-Systeme und deren Risikoklassifizierung. Ohne das kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen Sie AI-Act-Compliance für Hochrisikosysteme nicht nachweisen.