Für Kanada besteht ein EU-Angemessenheitsbeschluss, dessen Reichweite jedoch begrenzt ist. Entscheidend ist, ob der konkrete Empfänger für die betreffende Verarbeitung dem kanadischen Personal Information Protection and Electronic Documents Act, kurz PIPEDA, unterliegt. „Kanada ist angemessen“ ist als alleiniger Freigabevermerk zu ungenau.
Der praktische Nutzen dieser Unterscheidung ist erheblich: Ein kommerzieller Dienstleister, ein öffentliches Forschungsinstitut und die Personalabteilung einer Konzerngesellschaft können unterschiedliche Ergebnisse verlangen. Dieser Leitfaden zeigt, welche Angaben der deutsche Exporteur benötigt, wann weitere Garantien zu prüfen sind und wie ein belastbarer Empfängervermerk aussieht.
1. Die Reichweite des Beschlusses am Wortlaut prüfen
Artikel 1 der Entscheidung 2002/2/EG knüpft ausdrücklich an Empfänger an, die PIPEDA unterliegen. Es handelt sich nicht um eine allgemeine Anerkennung jedes öffentlichen und privaten Verarbeitungsvorgangs auf kanadischem Boden. Die am 8. September 2026 geprüfte aktuelle Kommissionsliste führt Kanada weiterhin mit der Einschränkung auf kommerzielle Organisationen.
Der Beschluss wurde unter der früheren Datenschutzrichtlinie erlassen. Artikel 45 Absatz 9 DSGVO erhält solche Entscheidungen aufrecht, bis sie geändert, ersetzt oder aufgehoben werden. Aus seinem Alter folgt daher nicht automatisch, dass er unbrauchbar wäre. Ebenso wenig ist sein Fortbestand für jede künftige Vertragslaufzeit garantiert. Der aktuelle Status gehört zum Prüfzeitpunkt in die Akte.
Innerhalb des tatsächlichen Geltungsbereichs ist für den Transfer keine zusätzliche Artikel-46-Garantie erforderlich. Rechtsgrundlage, Transparenz, Datensicherheit, Zweckbindung und gegebenenfalls Auftragsverarbeitung bleiben jedoch separat zu prüfen. Die Angemessenheit macht eine unzulässige Datenerhebung in Deutschland nicht nachträglich rechtmäßig.
2. Den Empfänger und seine konkrete Tätigkeit einordnen
Die kanadische Datenschutzaufsicht OPC erläutert PIPEDA als Regelwerk für personenbezogene Daten im Rahmen kommerzieller Tätigkeiten. Es kommt deshalb auf die Tätigkeit an, nicht allein auf den gesellschaftsrechtlichen Namen. Eine gemeinnützige Organisation kann kommerzielle Aktivitäten ausüben; eine öffentliche Einrichtung ist nicht schon deshalb erfasst, weil sie einen kostenpflichtigen Vertrag unterschreibt.
Fordern Sie zunächst die vollständige juristische Person, ihren Standort und eine Beschreibung der empfangenden Tätigkeit an. „Unsere kanadische Gruppe“ ist keine ausreichende Angabe. Wenn eine Gesellschaft den Vertrag unterschreibt, eine andere hostet und eine dritte Support leistet, sind mehrere Rollen und Übermittlungen zu beurteilen.
Ein zweckmäßiger Empfängerfragebogen fragt beispielsweise: „Für welchen Verarbeitungsvorgang beanspruchen Sie PIPEDA-Geltung? Welche gesetzlichen Bestimmungen und tatsächlichen Merkmale tragen die Einordnung? Welche weiteren Provinzregeln gelten? Werden dieselben Daten auch für eigene Zwecke verwendet?“ Eine überprüfbare Antwort sollte die tatsächliche Leistung erkennen lassen. Eine formlose Bestätigung ist ein Ausgangspunkt, kein Ersatz für die Plausibilitätsprüfung.
3. Provinzrecht verdrängt PIPEDA nicht pauschal
Alberta, British Columbia und Québec haben als im Wesentlichen vergleichbar anerkannte private Datenschutzgesetze. Nach der OPC-Erläuterung betreffen die entsprechenden Ausnahmen grundsätzlich Verarbeitungen innerhalb der jeweiligen Provinz. Kommerzielle Datenflüsse über Provinz- oder Staatsgrenzen können weiterhin PIPEDA unterliegen. Ein Sitz in Montréal bedeutet deshalb nicht automatisch, dass der EU-Beschluss unanwendbar wäre.
Für die Akte ist eine zweistufige Beschreibung hilfreich: zunächst die Einordnung der internationalen Übermittlung, anschließend die am Ort der weiteren Verarbeitung geltenden Regeln. Lassen Sie sich nicht mit der Aussage abspeisen, es gelte „nur Law 25“. Fragen Sie nach der konkreten Norm und nach der grenzüberschreitenden Tätigkeit, um die es im Vertrag tatsächlich geht.
Die Prüfung sollte außerdem unterscheiden, ob die Gegenpartei selbst Leistungen erbringt oder Daten nur an eine andere kanadische Stelle weiterleitet. Eine regionale Anschrift auf einer Rechnung beweist weder den tatsächlichen Speicherort noch die rechtliche Verantwortung. Für die Zuordnung von Anwendungen und Gesellschaften hilft die Kartierung der IT-Systemlandschaft.
4. Beschäftigtendaten: Arbeitgeber und Dienstleister auseinanderhalten
Section 4 Absatz 1 PIPEDA unterscheidet die Verarbeitung im Rahmen kommerzieller Tätigkeiten von Daten eigener Beschäftigter oder Bewerber im Zusammenhang mit einem federal work, undertaking or business. Die OPC-Anleitung zum Arbeitsplatz nennt dafür etwa Banken, Telekommunikations- und Transportunternehmen und weist ergänzend auf Provinzrecht hin.
Verwechseln Sie daher nicht die Personalverwaltung eines kanadischen Arbeitgebers mit einem kommerziellen Abrechnungsdienst für fremde Arbeitgeber. Dass eine Datei Gehaltsdaten enthält, schließt PIPEDA nicht allein wegen ihres Inhalts aus. Umgekehrt ist die interne Beschäftigtenverwaltung eines nicht entsprechend bundesrechtlich erfassten Unternehmens nicht ohne weitere Begründung vom EU-Beschluss gedeckt.
Bei einer konzernweiten Personalplattform lautet die Aufgabe somit nicht „Alle HR-Daten benötigen SCC“, sondern: den tatsächlichen Empfänger, seine Rolle und die rechtliche Einordnung genau dieses Vorgangs bestimmen. Prüfen Sie außerdem, ob die übermittelten Daten eigene Beschäftigte des Empfängers, Beschäftigte einer anderen Gesellschaft oder Kunden eines eigenständigen Personaldienstes betreffen. Die Einordnung kann qualifizierte kanadische Rechtsprüfung verlangen.
Eine gemeinsame Konzernzugehörigkeit beseitigt diese Fragen nicht. Dokumentieren Sie auch auf deutscher Seite den Zweck und die Erforderlichkeit der einzelnen Datenfelder. Für eine zentrale Personalstatistik werden möglicherweise nur aggregierte Werte benötigt; individualisierte Gehaltslisten wären dann nicht die erste Wahl. Die Prüfung der Datenminimierung sollte vor der Übermittlung stattfinden.
5. Öffentliche Einrichtungen und Forschung nicht schematisch behandeln
Bei einem öffentlichen Empfänger oder einer nichtkommerziellen Tätigkeit kann der PIPEDA-Anknüpfungspunkt fehlen. Ein europäisches Forschungsprojekt sollte deshalb nicht allein wegen eines kanadischen Krankenhauses oder einer Universität im Adressfeld von Angemessenheit ausgehen. Ebenso wenig lässt sich aus „Forschung“ ohne nähere Untersuchung auf eine stets identische rechtliche Einordnung schließen.
Trennen Sie den Vertragspartner von beteiligten Laboren, kommerziellen Analyseunternehmen und öffentlichen Projektstellen. Prüfen Sie, wer die Forschungsfragen festlegt, wer Weisungen erhält und wer Daten für eigene Projekte weiterverwenden darf. Die Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter muss vor der Auswahl eines passenden SCC-Moduls erfolgen.
Bei Gesundheitsdaten ist zudem eine anwendbare Bedingung nach Artikel 9 DSGVO erforderlich. Ein Transferinstrument ersetzt sie nicht. Auch ein Ethikvotum beantwortet nicht automatisch alle datenschutzrechtlichen Fragen. Wenn die geplante Kooperation tatsächlich ohne identifizierbare Daten auskommt, prüfen Sie eine belastbare Anonymisierung und berücksichtigen Sie dabei das Wissen und die realistischen Möglichkeiten des Empfängers.
6. Was außerhalb der Angemessenheit zu tun ist
Fällt der konkrete Vorgang nicht unter den Beschluss, ist ein anderer zulässiger Weg nach Kapitel V erforderlich. In einer dauerhaften privaten Zusammenarbeit können insbesondere geeignete Garantien nach Artikel 46 relevant sein. Die Standardvertragsklauseln von 2021 unterscheiden Verantwortlicher an Verantwortlichen, Verantwortlicher an Auftragsverarbeiter, Auftragsverarbeiter an Auftragsverarbeiter und Auftragsverarbeiter an Verantwortlichen.
Prüfen Sie auch ihre Anwendungsgrenze: Die betreffenden Klauseln betreffen Importeure, deren jeweilige Verarbeitung nicht bereits der DSGVO unterliegt. Eine kanadische Gesellschaft kann unabhängig von der Angemessenheitsfrage durch Artikel 3 erfasst sein. Daraus folgt kein Wegfall von Kapitel V; der passende Garantieansatz muss gesondert geklärt werden. Die Kommissions-FAQ zu den SCC erläutert diese Grenze.
Wenn eine Bewertung nach Klausel 14 erforderlich ist, darf ein positives Ergebnis für kommerzielle PIPEDA-Empfänger nicht ungeprüft auf einen anders geregelten öffentlichen Empfänger übertragen werden. Ein Transfer Impact Assessment muss den tatsächlichen Vorgang und die tatsächlich einschlägigen Gesetze berücksichtigen. Bei Modul 4 ist zudem die besondere Reichweite für die Kombination von in der EU erhobenen Daten mit den erhaltenen Drittlanddaten zu beachten.
Zusätzliche SCC innerhalb eines bereits gedeckten Transfers sind eine mögliche vertragliche Entscheidung, keine automatisch kostenlose Formalität. Sie können zusätzliche Pflichten und Änderungsverfahren begründen. Klären Sie, welchen Zweck sie erfüllen sollen und ob sie für die Parteien und deren Verarbeitung überhaupt passen, bevor Sie widersprüchliche Dokumente parallel unterschreiben.
7. Ausgefüllter Vermerk für einen kanadischen Analysedienst
Eine fiktive deutsche Händlerin möchte Bestellprognosen durch einen kommerziellen Dienstleister in Québec erstellen lassen. Die Daten enthalten pseudonyme Kundenkennungen und Kaufverläufe. Der Dienstleister arbeitet nach Weisung; eine eigenständige Nutzung ist vertraglich ausgeschlossen. Das Beispiel setzt voraus, dass die nachstehenden Angaben tatsächlich belegt wurden.
| Feld | Ausgefüllte Einordnung |
|---|---|
| Empfänger | Die konkret im Vertrag bezeichnete kanadische Analysegesellschaft; kein pauschaler Konzernbezug |
| Tätigkeit | Kommerzielle Analyseleistung für die deutsche Auftraggeberin |
| Daten | Pseudonyme Kennung und Kaufhistorie; Zuordnung beim Exporteur weiterhin möglich |
| PIPEDA-Prüfung | Dokumentierte Einordnung der internationalen kommerziellen Verarbeitung; Provinzrecht ergänzend erfasst |
| Transferweg | Artikel 45 in Verbindung mit Entscheidung 2002/2/EG für diesen belegten Geltungsbereich |
| Weitere Voraussetzungen | Rechtsgrundlage und Transparenz geprüft; Artikel-28-Vertrag und Sicherheitsmaßnahmen vereinbart |
| Begrenzung | Keine Freigabe anderer Konzernempfänger, eigener Trainingszwecke oder neuer Supportländer |
Der Entscheidungssatz lautet: „Die Übermittlung an den bezeichneten Empfänger wird für die beschriebene Analyseleistung auf Angemessenheit gestützt. Maßgeblich ist die dokumentierte PIPEDA-Geltung dieses Vorgangs. Eine spätere Verarbeitung in einer neuen Gesellschaft oder zu einem eigenen Zweck erfordert eine neue Einordnung.“
Eine Variante verändert das Ergebnis: Die deutsche Stelle will dieselben Daten zusätzlich einem öffentlichen Forschungsinstitut für eigene Forschung überlassen. Der bisherige Vermerk deckt diesen neuen Empfänger nicht. Vor der Weitergabe sind dessen Rechtsstellung, die Forschungsgrundlage und gegebenenfalls geeignete Garantien zu klären. Das ist ein eigenständiger Vorgang, keine bloße Erweiterung der Lieferadresse.
8. Weiterübermittlungen und Québec-Ausgänge berücksichtigen
Eine kanadische Adresse beendet die Prüfung der Verarbeitungskette nicht. Der Empfänger kann weitere Anbieter oder Supportgesellschaften außerhalb Kanadas einsetzen. Fragen Sie nach rechtlichen Personen, Ländern, Funktionen und Zugriffen; bewerten Sie die anwendbaren Weitergaberegeln und vertraglichen Grenzen. Die kanadische Angemessenheit wird nicht automatisch zur pauschalen Anerkennung eines weiteren Landes.
Die OPC-Leitlinien zur grenzüberschreitenden Auftragsverarbeitung erläutern die fortbestehende Verantwortlichkeit der übermittelnden kanadischen Organisation und vertragliche oder andere Mittel für vergleichbaren Schutz. Diese kanadische Perspektive ist mit den für die konkrete Kette geltenden europäischen Verpflichtungen abzugleichen, nicht mit ihnen gleichzusetzen.
Für erfasste private Unternehmen in Québec beschreibt die zuständige CAI zusätzliche Prüfungen vor einer Kommunikation außerhalb Québecs oder entsprechender Beauftragung: eine Datenschutzfolgenbewertung, ein ausreichendes Schutzergebnis und eine schriftliche Vereinbarung. Das kann auch eine Weitergabe in eine andere kanadische Provinz betreffen. Es ist eine andere Prüfungsrichtung als die EU-Angemessenheit für den Eingang.
Für die laufende Kontrolle sollten Änderungen am Empfänger, Verwendungszweck, Unterauftragnehmer und Zugriffsort aus dem Beschaffungsprozess an die zuständige Datenschutzfunktion gelangen. Der Vergleich von BCR, SCC und DPF hilft, die unterschiedlichen Instrumente für spätere Verarbeitungsschritte sauber auseinanderzuhalten.
Häufige Fragen
Muss der kanadische Empfänger in einer Zertifizierungsliste stehen?
Der kanadische Beschluss knüpft an PIPEDA-Geltung an. Er verlangt keine Einschreibung nach dem Muster des EU-US Data Privacy Framework. Erforderlich ist eine belastbare rechtliche und tatsächliche Einordnung des Empfängers für den jeweiligen Vorgang.
Sind pseudonyme Kundenkennungen automatisch außerhalb der Prüfung?
Nein. Prüfen Sie den Personenbezug im konkreten Kontext. Eine fortbestehende Zuordnungsmöglichkeit beim Exporteur und realistische Möglichkeiten eines Empfängers müssen berücksichtigt werden. Das bloße Ersetzen des Namens durch eine Nummer erledigt die datenschutzrechtliche Bewertung nicht.
Genügt eine jährliche Bestätigung „Wir sind in Kanada“?
Nein. Der Sitz ist nur ein Merkmal. Eine sinnvolle Aktualisierung fragt nach Änderungen an Tätigkeit, Rechtsstellung, Datenverwendung und Weiterempfängern. Ein unveränderter Briefkopf kann gleichzeitig mit einem vollständig veränderten Supportmodell bestehen.