Cookie-Banner und Einwilligungsanforderungen nach Quebecs Gesetz 25 (Law 25)
Seit dem 22. September 2023 verlangt Quebecs Gesetz 25, dass die Funktionen einer Technologie, mit der ein Besucher identifiziert, lokalisiert oder ein Profil von ihm erstellt werden kann, standardmäßig deaktiviert sind, bis der Besucher sich dafür entscheidet, sie zu aktivieren.
Das betrifft viele Cookies und andere Tracking-Technologien, die für Analyse, Werbung, Personalisierung und Profiling eingesetzt werden.
Vorab angekreuzte Kästchen und Banner nach dem Muster „Durch die weitere Nutzung stimmen Sie zu“ zählen nicht.
Diese Seite erklärt, was ein Cookie-Banner nach Gesetz 25 leisten muss, für wen das Gesetz gilt, welche Strafen bei Verstößen drohen können und wie CookieHub Besucher aus Quebec behandelt.
Was Gesetz 25 über Cookies sagt
Gesetz 25, ehemals Bill 64, hat Quebecs Gesetz über den Schutz personenbezogener Informationen im privaten Sektor (Act respecting the protection of personal information in the private sector) modernisiert.
Seine Bestimmungen sind zwischen September 2022 und September 2024 schrittweise in Kraft getreten und werden von der Commission d’accès à l’information du Québec (CAI) durchgesetzt.
Die für Cookies wichtigste Bestimmung ist Abschnitt 8.1, der seit dem 22. September 2023 in Kraft ist.
Wenn eine Organisation personenbezogene Informationen mithilfe einer Technologie erhebt, deren Funktionen eine Person identifizieren, lokalisieren oder ein Profil von ihr erstellen können, muss sie diese Person darüber informieren.
Nach den Leitlinien der CAI müssen diese Funktionen außerdem standardmäßig deaktiviert sein. Die Person muss eine Handlung vornehmen, um sie zu aktivieren.
Quebec wendet nicht genau denselben Maßstab an wie Europa, wo Technologien im Allgemeinen in „unbedingt erforderliche“ und nicht essenzielle unterteilt werden.
Nach Gesetz 25 kommt es vor allem darauf an, was die Technologie tut.
Bei Cookies und ähnlichen Technologien, die einen Besucher identifizieren, lokalisieren oder ein Profil von ihm erstellen können, dürfen diese Funktionen nicht standardmäßig aktiviert sein.
In der Praxis müssen daher viele Analyse-, Werbe-, Personalisierungs- und verhaltensbasierte Tracking-Tools inaktiv bleiben, bis der Besucher eine Entscheidung trifft.
Ein Cookie hingegen, das nur dazu dient, einen Warenkorb oder eine Login-Sitzung aufrechtzuerhalten, und keine Identifizierungs-, Lokalisierungs- oder Profiling-Funktion im Sinne von Abschnitt 8.1 hat, unterliegt dieser Aktivierungsanforderung nicht.
Was ein Cookie-Banner nach Gesetz 25 leisten muss
Ein Banner, das nur für die allgemeinen kanadischen Datenschutzanforderungen konfiguriert ist, reicht in Quebec möglicherweise nicht aus.
Ein Banner, das Gesetz 25 entspricht, sollte insbesondere:
Identifizierungs-, Lokalisierungs- und Profiling-Funktionen deaktiviert lassen, bis der Besucher sie aktiviert:
Die betroffenen Technologien dürfen erst aktiviert werden, wenn der Besucher sich aktiv dafür entscheidet. Ein Banner, das den Besucher nur informiert, ohne die Tracking-Technologien zu steuern, genügt nicht.
Die Zwecke klar erklären:
Der Besucher muss verstehen, warum seine Informationen erhoben und verwendet werden. Er sollte außerdem leicht weitere Informationen über die eingesetzten Technologien, die beteiligten Dritten und den Umgang mit den Daten erhalten können.
Eine Wahl für bestimmte Zwecke ermöglichen:
Die Einwilligung muss für bestimmte, klar definierte Zwecke eingeholt werden. Wenn für unterschiedliche Zwecke eine Einwilligung erforderlich ist, sollten Besucher für diese Zwecke getrennt entscheiden können, statt sämtlichem Tracking zustimmen zu müssen.
Niemals eine Einwilligung unterstellen:
Keine vorab angekreuzten Kästchen, keine Einwilligung durch Scrollen und keine Formulierungen wie „Durch die weitere Nutzung dieser Website stimmen Sie zu“. Untätigkeit ist keine gültige Einwilligung.
Den Widerruf der Einwilligung ermöglichen:
Der Besucher muss seine Entscheidung später ändern können. Die Website sollte eine leicht zugängliche Möglichkeit bieten, die Einwilligungseinstellungen erneut zu öffnen.
Einwilligungsnachweise aufbewahren:
Die Organisation muss nachweisen können, dass eine gültige Einwilligung eingeholt wurde. Das Gesetz schreibt keine bestimmte technische Methode vor, aber ein Einwilligungsprotokoll, das die Entscheidung, den Zeitpunkt und den Kontext festhält, ist ein praktischer Weg, dies zu dokumentieren.
Die Oberfläche auf Französisch anbieten:
Unabhängig von Gesetz 25 verlangen Quebecs Sprachvorschriften im Allgemeinen, dass kommerzielle Inhalte, die sich an Verbraucher in Quebec richten, auf Französisch verfügbar sind. Die Einwilligungsoberfläche sollte daher ebenfalls auf Französisch angeboten werden.
Wer muss Gesetz 25 einhalten?
Gesetz 25 gilt umfassend für Unternehmen des privaten Sektors, die in Quebec tätig sind.
Auch ein Unternehmen mit Sitz außerhalb Quebecs kann erfasst sein, wenn seine Tätigkeiten einen ausreichenden Bezug zu Quebec haben, insbesondere wenn es Personen in Quebec aktiv Produkte oder Dienstleistungen anbietet oder deren personenbezogene Informationen erhebt.
Dazu können gehören:
Unternehmen, die in Quebec geschäftlich tätig sind, unabhängig von ihrer Größe;
Unternehmen mit Sitz im übrigen Kanada oder im Ausland, die aktiv Kunden in Quebec bedienen oder personenbezogene Informationen von Personen in Quebec erheben;
gemeinnützige Organisationen, freiberufliche Praxen und Dienstleister, sofern sie dem Gesetz unterliegen.
Sobald das Gesetz anwendbar ist, gibt es keine allgemeine Ausnahme für kleine Unternehmen und keine Umsatzschwelle.
Individuelle Rechte nach Gesetz 25
Gesetz 25 gibt Personen in Quebec mehrere Rechte in Bezug auf ihre personenbezogenen Informationen.
Ein Cookie-Banner deckt nicht alle diese Rechte ab, ist aber oft der erste Berührungspunkt des Besuchers mit dem Umgang einer Website mit personenbezogenen Informationen.
Zu den wichtigsten Rechten gehören:
Recht auf Information
Zu erfahren, welche Informationen erhoben werden, warum und, je nach den Umständen, an wen sie weitergegeben werden.
Recht auf Auskunft
Zugang zu den personenbezogenen Informationen zu verlangen, die eine Organisation über sie besitzt.
Recht auf Berichtigung
Die Berichtigung von Informationen zu verlangen, die unrichtig, unvollständig oder mehrdeutig sind.
Recht auf Widerruf der Einwilligung
Eine zuvor erteilte Einwilligung zu widerrufen, vorbehaltlich der anwendbaren Regeln.
Recht auf Einstellung der Verbreitung oder Deindexierung
Unter bestimmten Umständen von einer Organisation zu verlangen, die Verbreitung personenbezogener Informationen einzustellen oder einen Hyperlink zu deindexieren, der Zugang zu ihnen verschafft.
Recht auf Datenübertragbarkeit
Seit September 2024 bestimmte computergestützte personenbezogene Informationen in einem strukturierten, gängigen technologischen Format anzufordern, vorbehaltlich der im Gesetz vorgesehenen Ausnahmen.
Recht auf Information über automatisierte Entscheidungen
Darüber informiert zu werden, wenn eine Entscheidung ausschließlich auf einer automatisierten Verarbeitung personenbezogener Informationen beruht, und bestimmte Informationen über diese Verarbeitung zu erhalten.
Recht auf Benachrichtigung bei bestimmten Vertraulichkeitsvorfällen
Birgt ein Vorfall das Risiko eines schwerwiegenden Schadens, müssen die betroffenen Personen gemäß den anwendbaren Regeln benachrichtigt werden.
Ist im übrigen Kanada eine Cookie-Einwilligung erforderlich?
Außerhalb Quebecs variieren die kanadischen Datenschutzanforderungen je nach Provinz, Organisation und Art der Verarbeitung.
Das bundesweite PIPEDA und die Gesetze für den privaten Sektor in Alberta und Britisch-Kolumbien können unter geeigneten Umständen eine stillschweigende Einwilligung zulassen, abhängig von Faktoren wie der Sensibilität der Informationen und den berechtigten Erwartungen der betroffenen Person.
Quebec verfolgt für die von Abschnitt 8.1 erfassten Technologien einen spezifischeren Ansatz: Ihre Identifizierungs-, Lokalisierungs- und Profiling-Funktionen müssen standardmäßig deaktiviert sein.
Dieser Unterschied kann dazu führen, dass ein einheitliches Banner für ganz Kanada weniger präzise ist.
Eine Konfiguration, die nur auf Opt-out beruht, reicht in Quebec möglicherweise nicht aus, wenn eine Technologie Besucher identifiziert, lokalisiert oder Profile von ihnen erstellt.
Umgekehrt kann eine strikte Opt-in-Konfiguration, die in ganz Kanada angewendet wird, in Situationen eine ausdrückliche Einwilligung verlangen, in denen die anwendbaren Regeln einen anderen Ansatz zulassen würden.
Eine Consent-Management-Plattform kann das Verhalten des Banners daher an die Region des Besuchers anpassen.
Strafen bei Verstößen gegen Gesetz 25
Gesetz 25 hat die Durchsetzungsbefugnisse der Commission d’accès à l’information erheblich gestärkt.
Je nach Art des Verstoßes können die Folgen Folgendes umfassen:
Verwaltungsrechtliche Geldbußen: bis zu 10 Millionen CAD oder 2 % des weltweiten Umsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
Strafrechtliche Geldstrafen: bis zu 25 Millionen CAD oder 4 % des weltweiten Umsatzes bei bestimmten Verstößen, wobei die Beträge im Wiederholungsfall erhöht werden können.
Private Ansprüche: Verursacht eine rechtswidrige Verletzung eines durch das Gesetz geschützten Rechts einen Schaden und beruht sie auf Vorsatz oder grobem Verschulden, kann Strafschadensersatz von mindestens 1.000 CAD zugesprochen werden.
Die Entscheidungen und Anordnungen der CAI können außerdem veröffentlicht werden.
So machen Sie Ihre Website konform mit Gesetz 25
Für Cookies und andere Tracking-Technologien lässt sich das Vorgehen auf einige wenige Schritte zurückführen:
Scannen:
Ermitteln Sie die Cookies, Tracker und Technologien, die Ihre Website tatsächlich verwendet, einschließlich derjenigen, die durch Skripte von Drittanbietern, Tag-Manager und eingebettete Inhalte hinzugefügt werden.
Kategorisieren:
Bestimmen Sie den Zweck jeder Technologie und ermitteln Sie diejenigen, die Besucher identifizieren, lokalisieren oder ein Profil von ihnen erstellen können.
Bis zur Aktivierung blockieren:
Stellen Sie sicher, dass die betroffenen Funktionen deaktiviert bleiben, bis der Besucher sie aktiviert.
Richtig um Einwilligung bitten:
Zeigen Sie ein klares Banner auf Französisch, das es dem Besucher ermöglicht, seine Auswahlmöglichkeiten zu verstehen und seine Entscheidung zu ändern.
Dokumentieren:
Bewahren Sie Nachweise über die Einwilligungen auf, halten Sie die Informationen über Cookies und ihre Zwecke aktuell und veröffentlichen Sie eine angemessene Datenschutzerklärung.
Eine verantwortliche Person benennen:
Das Unternehmen muss, wie vom Gesetz verlangt, die für den Schutz personenbezogener Informationen verantwortliche Person bestimmen.
Wie CookieHub Besucher aus Quebec behandelt
CookieHub ist eine Consent-Management-Plattform, die auf Zehntausenden von Websites eingesetzt wird.
Mit ihr können Sie ein Einwilligungsverhalten anwenden, das auf Besucher aus Quebec und dem übrigen Kanada zugeschnitten ist.
Vorherige Einwilligung für Kanada
CookieHub erkennt die Region des Besuchers und wendet das dafür konfigurierte Einwilligungsverhalten an. Neue Domains verwenden standardmäßig Opt-in für alle Besucher, einschließlich der Besucher aus Quebec. Die betreffenden Technologien bleiben dadurch inaktiv, bis der Besucher seine Entscheidung trifft. Zusätzlich lassen sich regionsspezifische Einstellungen hinzufügen, beispielsweise über die Gruppe „Recommended opt-in“, die Kanada umfasst.
Wahl je Kategorie, einfacher Widerruf
Besucher können verschiedene Cookie-Kategorien akzeptieren oder ablehnen. Kategorien sind nicht standardmäßig aktiviert, wenn eine vorherige Einwilligung erforderlich ist, und Besucher können ihre Präferenzen später erneut öffnen.
Französisch und Englisch, automatisch
CookieHub unterstützt viele Sprachen, darunter Französisch und Englisch, und kann die Sprache des Banners auf die Browsersprache des Besuchers abstimmen. Die Texte lassen sich außerdem individuell anpassen.
Nachweise und Cookie-Überwachung
Die Entscheidungen der Besucher können protokolliert werden, um die Einwilligung und ihren Widerruf nachzuweisen. Der CookieHub-Scanner hilft dabei, die auf der Website verwendeten Cookies zu erkennen und die Cookie-Erklärung aktuell zu halten, wenn sich die Website ändert.
Die Einhaltung von Gesetz 25 erleichtern
Fügen Sie CookieHub zu Ihrer Website hinzu, scannen Sie die verwendeten Technologien und konfigurieren Sie ein Banner, das auf Besucher aus Quebec zugeschnitten ist.
CookieHub kann verhindern, dass die betroffenen Technologien vor der Einwilligung aktiviert werden, die Entscheidungen der Besucher aufzeichnen und Ihre Cookie-Erklärung auf dem neuesten Stand halten.
Kostenlos für kleine Websites, keine Kreditkarte erforderlich.
Häufig gestellte Fragen zu Gesetz 25 und Cookies
Wenn Ihre Website eine Technologie mit Funktionen verwendet, die einen Besucher identifizieren, lokalisieren oder ein Profil von ihm erstellen können, müssen Sie die Anforderungen von Abschnitt 8.1 berücksichtigen.
Dazu können Analyse-Tools, Werbepixel, Heatmaps, eingebettete Inhalte und andere Tracking-Technologien gehören.
Hat ein Cookie keine Identifizierungs-, Lokalisierungs- oder Profiling-Funktion im Sinne von Abschnitt 8.1, gilt die spezifische Anforderung, es standardmäßig zu deaktivieren, für diese Technologie nicht zwingend.
Werden personenbezogene Informationen erhoben, können dennoch andere Transparenz- oder Einwilligungspflichten gelten.
Standardkonfigurationen von Google Analytics, die Kennungen und Cookies verwenden, können Funktionen enthalten, die einen Besucher über Besuche oder Seiten hinweg wiedererkennen.
Diese Funktionen sind anhand von Abschnitt 8.1 zu beurteilen, und wenn sie eine Person identifizieren, lokalisieren oder ein Profil von ihr erstellen können, müssen sie standardmäßig deaktiviert sein, bis der Besucher sie aktiviert.
Messmethoden, die nicht auf diesen Funktionen beruhen, sind gesondert zu beurteilen.
Nein.
Gesetz 25 und die DSGVO sind zwei unterschiedliche rechtliche Regelwerke.
Bei vielen Tracking-Technologien kann das praktische Ergebnis jedoch ähnlich sein: Bestimmte Identifizierungs- und Profiling-Mechanismen dürfen nicht automatisch aktiviert werden, und eine gültige Einwilligung muss eindeutig, freiwillig und für bestimmte Zwecke erteilt werden.
Ein Banner, das die europäischen Anforderungen tatsächlich erfüllt, ist daher oft ein guter Ausgangspunkt für Quebec, deckt aber nicht automatisch alle Pflichten aus Gesetz 25 ab.
Gesetz 25 enthält eigene Regeln unter anderem zu der für den Schutz personenbezogener Informationen verantwortlichen Person, zu Datenschutz-Folgenabschätzungen und zu bestimmten Übermittlungen personenbezogener Informationen außerhalb Quebecs.
Das ist möglich.
Ein Unternehmen mit Sitz anderswo kann dem Gesetz unterliegen, wenn es in Quebec geschäftlich tätig ist oder wenn seine Tätigkeiten einen ausreichenden Bezug zu Quebec haben.
Ein Unternehmen, das seine Dienstleistungen aktiv bei Personen in Quebec vermarktet oder deren personenbezogene Informationen erhebt, sollte daher ernsthaft prüfen, ob es erfasst ist, statt davon auszugehen, dass ein Sitz außerhalb der Provinz ausreicht, um es auszuschließen.
Personenbezogene Informationen sind alle Informationen, die eine natürliche Person betreffen und es ermöglichen, diese Person direkt oder indirekt zu identifizieren.
Je nach Verwendung und Kontext können dazu IP-Adressen, Gerätekennungen, mit Cookies verknüpfte Kennungen und bestimmte Verhaltensdaten gehören.
Personenbezogene Informationen sind sensibel, wenn sie aufgrund ihrer Art oder des Kontexts ihrer Verwendung oder Weitergabe ein hohes Maß an berechtigter Erwartung an die Privatsphäre begründen.
Dazu können bestimmte medizinische, biometrische, genetische oder finanzielle Daten sowie andere besonders intime Informationen gehören.
Die Einwilligung in die Verwendung sensibler personenbezogener Informationen muss ausdrücklich erteilt werden.
Die Commission d’accès à l’information du Québec (CAI).
Sie kann die Praktiken von Organisationen untersuchen, Anordnungen erlassen und in den vom Gesetz vorgesehenen Fällen verwaltungsrechtliche Geldbußen verhängen.
Öffentliche Stellen in Quebec unterliegen hauptsächlich einem anderen gesetzlichen Regelwerk als dem, das für Unternehmen des privaten Sektors gilt.
Für bestimmte Tätigkeiten oder Kategorien von Informationen können außerdem Ausnahmen oder besondere Regeln gelten.
Eine allgemeine Ausnahme für kleine Unternehmen allein aufgrund ihrer Größe gibt es jedoch nicht.
Die Commission d’accès à l’information veröffentlicht den Gesetzestext, Leitlinien zur Einwilligung sowie Informationen zu Cookies und anderen Tracking-Technologien.
Diese Ressourcen sind auf der Website der CAI verfügbar.
Zuletzt aktualisiert:
Haftungsausschluss: Die Informationen auf dieser Seite dienen ausschließlich allgemeinen Referenzzwecken und stellen keine Rechts- oder Regulierungsberatung dar. Datenschutzbestimmungen sind komplex und unterliegen häufigen Aktualisierungen, Auslegungen und rechtlichen Abweichungen. Wir bemühen uns um Richtigkeit und Aktualität der Informationen, können jedoch deren Vollständigkeit oder Anwendbarkeit auf Ihre individuellen Umstände nicht garantieren. Für Beratung zur Einhaltung gesetzlicher Vorschriften oder zu rechtlichen Verpflichtungen wenden Sie sich bitte an qualifizierte Rechtsexperten oder die zuständigen Aufsichtsbehörden.
