Datenschutzgesetze weltweit: Orientierungsleitfaden

Zuletzt geprüft: 18. August 2026. Diese Seite ist ein Orientierungsleitfaden zu den Datenschutzgesetzen, die für europäische und international tätige Organisationen am ehesten relevant sind. Sie ist keine Rechtsberatung, und die Details ändern sich laufend. Wenn eine Zahl oder ein Datum für eine Entscheidung wesentlich ist, prüfen Sie sie vor der Verwendung gegen die Aufsichtsbehörde oder den amtlichen Gesetzestext. An mehreren Stellen weisen wir ausdrücklich darauf hin, wo sich die Quellen tatsächlich widersprechen.

Zuerst klären: Welche Gesetze gelten für Sie?

Die meisten Datenschutzgesetze wirken heute über ihre eigenen Landesgrenzen hinaus. Entscheidend ist selten, wo Ihr Unternehmen eingetragen ist. Maßgeblich ist in der Regel eine Kombination aus: wo sich die Personen befinden, deren Daten Sie verarbeiten, ob Sie ihnen Waren oder Dienstleistungen anbieten, und ob Sie ihr Verhalten beobachten. Ein deutsches Unternehmen ohne jede US-Präsenz kann unter ein US-Bundesstaatengesetz fallen. Ein US-Unternehmen ohne europäische Niederlassung unterliegt der DSGVO, sobald es sich an Personen in der EU richtet. Dieses Marktortprinzip ist in Art. 3 Abs. 2 DSGVO verankert.

Der zweite wichtige Punkt: Die Pflichten ähneln sich weit stärker als die Gesetzestexte. Nahezu alle diese Regelwerke verlangen, dass Sie wissen, welche personenbezogenen Daten Sie besitzen, sie auf Verlangen löschen, sie nicht länger als nötig speichern, sie schützen und Verletzungen des Schutzes personenbezogener Daten innerhalb einer Frist melden. Wer diese fünf Fähigkeiten aufbaut, hat den größten Teil des Weges zurückgelegt, unabhängig davon, welches Gesetz konkret greift.

Schnellübersicht

Rechtsraum	Gesetz	Anwendbar seit	Extraterritorial	Höchstbußgeld (Schlagzeile)
Europäische Union	DSGVO	25. Mai 2018	Ja	20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes
Vereinigtes Königreich	UK GDPR und DPA 2018, geändert durch den Data (Use and Access) Act 2025	2018; DUAA vollständig in Kraft seit 19. Juni 2026	Ja	17,5 Mio. GBP oder 4 %
Schweiz	Revidiertes DSG (revDSG)	1. September 2023	Ja	250.000 CHF, gegen die natürliche Person
Kalifornien	CCPA in der Fassung des CPRA	2020; CPRA seit 2023	Nach Tätigkeit	7.988 USD je vorsätzlichem Verstoß
Brasilien	LGPD	18. September 2020	Ja	2 % des brasilianischen Umsatzes, gedeckelt bei 50 Mio. BRL
China	PIPL	1. November 2021	Ja	50 Mio. RMB oder 5 % des Umsatzes
Indien	DPDP Act 2023	Rules im November 2025 notifiziert, 18-monatige Übergangsfrist	Ja	250 Crore INR
Saudi-Arabien	PDPL	Durchsetzbar seit 14. September 2024	Ja	5 Mio. SAR, im Wiederholungsfall verdoppelt
Südafrika	POPIA	1. Juli 2021	Ja	10 Mio. ZAR und/oder 10 Jahre Haft
Nigeria	NDPA 2023	14. Juni 2023	Ja	10 Mio. NGN oder 2 % des Bruttoumsatzes
Australien	Privacy Act 1988, erste Reformstufe 2024	1989; Deliktstatbestand seit Juni 2025	Ja	50 Mio. AUD, dreifacher Vorteil oder 30 % des Umsatzes

Europa

DSGVO, Europäische Union

Verordnung (EU) 2016/679, die Datenschutz-Grundverordnung. Anwendbar seit dem 25. Mai 2018. Art. 3 Abs. 2 erfasst Verantwortliche und Auftragsverarbeiter außerhalb der EU, die Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Die Bußgelder sind zweistufig: bis zu 10 Mio. EUR oder 2 % des gesamten weltweiten Jahresumsatzes für die meisten formellen Verstöße, und bis zu 20 Mio. EUR oder 4 % bei Verstößen gegen die Grundsätze der Verarbeitung und die Betroffenenrechte. In beiden Fällen gilt der jeweils höhere Betrag.

Vereinigtes Königreich

UK GDPR und der Data Protection Act 2018 gelten beide weiterhin. Der Data (Use and Access) Act 2025 ändert sie, ersetzt sie aber nicht; er erhielt im Juni 2025 die königliche Zustimmung, seine datenschutzrechtlichen Bestimmungen sind seit dem 19. Juni 2026 vollständig in Kraft. Er führt eine Rechtsgrundlage der recognised legitimate interests ein, lockert einzelne Regeln zur automatisierten Entscheidungsfindung, schafft Ausnahmen von der Cookie-Einwilligung und kodifiziert Fristenhemmung sowie Verhältnismäßigkeitsmaßstäbe bei Auskunftsersuchen. Die Höchstbußgelder bleiben bei 17,5 Mio. GBP oder 4 %. Hinweis für alle, die ältere Kommentare verfolgen: Dieses Gesetz ist der Nachfolger der Data Protection and Digital Information Bill, die mit der Unterhauswahl 2024 gescheitert ist.

Schweiz

Das vollständig revidierte Datenschutzgesetz (revDSG) gilt seit dem 1. September 2023. Die Schweiz ist bei der Durchsetzung ein echter Sonderfall. Das Höchstbußgeld von 250.000 CHF ist nach europäischen Maßstäben moderat, es handelt sich jedoch um eine Strafsanktion gegen die verantwortliche natürliche Person, nicht um eine Verwaltungssanktion gegen das Unternehmen. Betroffen sein kann jede Mitarbeiterin und jeder Mitarbeiter, die oder der vorsätzlich verstößt, nicht nur die Geschäftsleitung. Der Arbeitgeber darf die Buße rechtlich nicht übernehmen, und D&O-Versicherungen decken sie in der Regel nicht ab. Nur wenn die Buße 50.000 CHF nicht übersteigen würde und die Ermittlung der verantwortlichen Person unverhältnismäßigen Aufwand erfordert, kann die Behörde stattdessen das Unternehmen büßen.

NIS2, und warum es kein Datenschutzgesetz ist

Die Richtlinie (EU) 2022/2555 ist eine Cybersicherheitsrichtlinie, kein Datenschutzrecht, und wird häufig falsch eingeordnet. Sie verpflichtet wesentliche und wichtige Einrichtungen in 18 kritischen Sektoren zu Risikomanagement und Vorfallmeldungen und gilt neben der DSGVO, nicht an deren Stelle. Die Umsetzungsfrist endete am 17. Oktober 2024, und zahlreiche Mitgliedstaaten haben sie versäumt. Die Kommission hat Irland, Spanien, Frankreich und die Niederlande im Juli 2026 vor dem Gerichtshof verklagt. Da die Pflichten über nationales Recht wirken, unterscheiden sich Zeitpunkt und Detailtiefe weiterhin von Land zu Land. Die Obergrenzen liegen bei 10 Mio. EUR oder 2 % des Umsatzes für wesentliche und 7 Mio. EUR oder 1,4 % für wichtige Einrichtungen; die Mitgliedstaaten dürfen höhere Werte festlegen.

KI-Verordnung der EU

Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt gestaffelt. Der Zeitplan wurde im Juli 2026 durch den Digital Omnibus on AI, die Verordnung (EU) 2026/1744, förmlich geändert; diese trat am 27. Juli 2026 in Kraft. Bereits in Kraft und durchsetzbar sind die verbotenen Praktiken nach Art. 5 seit dem 2. Februar 2025 sowie die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025. Die Transparenzpflichten nach Art. 50 gelten ab dem 2. August 2026. Verschoben wurden: eigenständige Hochrisikosysteme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027, und in regulierte Produkte eingebettete Hochrisiko-KI nach Anhang I vom 2. August 2027 auf den 2. August 2028. Ein neues Verbot KI-generierter nicht einvernehmlicher intimer Darstellungen und von Missbrauchsdarstellungen Minderjähriger gilt ab Dezember 2026, und die Frist zur Einführung von Kennzeichnungslösungen für Inhalte wurde sogar verkürzt. Die zutreffende Zusammenfassung lautet: verschoben, nicht aufgehoben, und nur für die Hochrisikostufen. Die pauschale Aussage, die KI-Verordnung sei verschoben worden, ist falsch. An den Sanktionen hat sich nichts geändert: bis zu 35 Mio. EUR oder 7 % des Umsatzes bei Verstößen gegen die Verbote.

EU Data Act

Die Verordnung (EU) 2023/2854 gilt seit dem 12. September 2025. Sie regelt den Zugang zu Daten vernetzter Produkte, missbräuchliche Klauseln beim Datenaustausch zwischen Unternehmen sowie Anbieterwechsel und Ausstiegsgebühren bei Cloud-Diensten. Die Sanktionen werden national und nicht auf EU-Ebene festgelegt; betrifft ein Verstoß zugleich personenbezogene Daten, können die Obergrenzen der DSGVO greifen.

Vereinigte Staaten

Ein umfassendes Bundesdatenschutzgesetz gibt es weiterhin nicht

Die USA regeln den Datenschutz auf Bundesebene sektoral, etwa durch HIPAA für Gesundheitsdaten und COPPA für Kinder, und umfassend auf Ebene der Bundesstaaten. Compliance ist dort deshalb ein Flickenteppich und keine einzelne Pflicht.

Wie viele Bundesstaaten haben umfassende Gesetze?

Stand August 2026: 20 Gesetze sind in Kraft, 24 sind verabschiedet. Die vier verabschiedeten, aber noch nicht wirksamen sind Louisiana und Oklahoma ab 1. Januar 2027, Alabama ab 1. Mai 2027 und Vermont ab 1. Januar 2028.

Begegnen Sie jeder pauschalen Zahl mit Skepsis, auch unserer. Die Tracker weichen voneinander ab, weil sie unterschiedlich beurteilen, ob Floridas Digital Bill of Rights als umfassend gilt (die Umsatzschwelle von rund 1 Mrd. USD erfasst nur sehr wenige Unternehmen) und zu welchem Zeitpunkt einer Legislaturperiode ein neues Gesetz gezählt wird. Veröffentlichte Zahlen reichten 2026 je nach Definition und Stichtag von 19 bis 24. Die Aufteilung in „in Kraft“ und „verabschiedet“ ist die belastbare Darstellung.

Die 20 derzeit geltenden: Kalifornien, Virginia, Colorado, Connecticut, Utah, Texas, Florida, Oregon, Montana, Iowa, Delaware, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota, Maryland, Indiana, Kentucky und Rhode Island.

Kalifornien, CCPA in der Fassung des CPRA

Gilt für gewinnorientierte Unternehmen mit Geschäftstätigkeit in Kalifornien, die mindestens eine von drei Schwellen erreichen: Bruttojahresumsatz über 26.625.000 USD im Vorjahr; Kauf, Verkauf oder Weitergabe personenbezogener Daten von 100.000 oder mehr kalifornischen Verbraucherinnen, Verbrauchern oder Haushalten; oder mindestens 50 % des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten. Die Sanktionen betragen 2.663 USD je Verstoß und 7.988 USD je vorsätzlichem Verstoß oder bei Betroffenen unter 16 Jahren, hinzu kommt ein privates Klagerecht bei bestimmten Datenschutzverletzungen. Diese Beträge werden nur in ungeraden Jahren inflationsangepasst. Die aktuellen Werte gelten seit dem 1. Januar 2025 und bleiben im gesamten Jahr 2026 zutreffend; die nächste Anpassung steht zum 1. Januar 2027 an.

HIPAA

HIPAA ist sektoral. Es gilt für covered entities, also Krankenversicherungen, Abrechnungsstellen und Leistungserbringer, die Gesundheitsdaten elektronisch übermitteln, sowie für deren business associates. Auf die meisten Softwareanbieter ist es nicht anwendbar, sofern sie nicht als business associate auftreten. Die Mindestbeträge je Verstoß gelten seit dem 28. Januar 2026 und reichen von 145 USD ohne Kenntnis über 1.461 USD bei fahrlässiger Unkenntnis und 14.602 USD bei vorsätzlicher Missachtung mit Behebung innerhalb von 30 Tagen bis zu 73.011 USD bei nicht behobener vorsätzlicher Missachtung. Strafrechtlich sind bis zu 250.000 USD und zehn Jahre Freiheitsstrafe möglich.

Eine ehrliche Einschränkung: Die Jahresobergrenzen sind tatsächlich unklar. Das US-Gesundheitsministerium wendet in der Praxis Ermessenswerte aus dem Jahr 2019 an, hat die Verordnung aber nie förmlich geändert. Indexierte gesetzliche und angewandte Obergrenzen weichen daher voneinander ab. Wer sich auf eine konkrete Jahresobergrenze stützen will, sollte Rechtsrat einholen statt einer veröffentlichten Zahl zu vertrauen.

Übrige Welt

Brasilien, LGPD

In Kraft seit dem 18. September 2020, Sanktionen durch die ANPD seit dem 1. August 2021 durchsetzbar. Gilt extraterritorial, wenn Waren oder Dienstleistungen für Personen in Brasilien angeboten werden oder die Daten dort erhoben wurden. Die Bußgelder erreichen 2 % des brasilianischen Konzernumsatzes des letzten Geschäftsjahres, gedeckelt auf 50 Mio. BRL je Verstoß, ergänzt um Zwangsgelder, die Veröffentlichung des Verstoßes und die Aussetzung der Verarbeitung.

Indien, DPDP Act 2023

Wird häufig fälschlich als seit 2023 geltend dargestellt. Das trifft nicht zu. Das Gesetz wurde im August 2023 ausgefertigt, wartete aber auf die Ausführungsbestimmungen. Die Digital Personal Data Protection Rules wurden am 14. November 2025 notifiziert, mit einer gestaffelten Übergangsfrist von 18 Monaten, wodurch die wesentlichen materiellen Pflichten etwa Mitte 2027 greifen. Der Rahmen ist notifiziert und die Übergangsphase läuft, die Kernpflichten der data fiduciaries sind aber noch nicht vollständig durchsetzbar. Die Sanktionen erreichen 250 Crore INR bei fehlenden angemessenen Sicherheitsmaßnahmen.

China, PIPL

In Kraft seit dem 1. November 2021, mit extraterritorialer Reichweite nach Art. 3 für Verarbeitungen außerhalb Chinas, die sich an Personen in China richten. Erfasste Stellen müssen einen lokalen Vertreter benennen. Gewöhnliche Verstöße erreichen 1 Mio. RMB, schwere Verstöße 50 Mio. RMB oder 5 % des Vorjahresumsatzes, zuzüglich Betriebsuntersagung. Unmittelbar verantwortliche Personen haften persönlich und können mit einem Verbot der Ausübung von Leitungsfunktionen belegt werden.

Kanada

PIPEDA regelt den privaten Sektor auf Bundesebene seit 2001 und tut dies weiterhin. Bill C-27, mit dem der CPPA eingeführt worden wäre, verfiel mit der Vertagung des Parlaments im Januar 2025 und wurde nicht wieder aufgenommen. Am 15. Juni 2026 brachte die Regierung Bill C-36 ein, den Protecting Privacy and Consumer Data Act, der Datenschutz als Grundrecht anerkennen und eine neue Kommission mit Anordnungs- und Sanktionsbefugnissen schaffen würde. Es handelt sich um einen Gesetzentwurf, nicht um geltendes Recht. Nach PIPEDA in seiner heutigen Fassung gibt es keine Verwaltungsbußgelder, und der Privacy Commissioner hat keine Anordnungsbefugnis.

Saudi-Arabien, PDPL

Wirksam seit dem 14. September 2023 und seit dem 14. September 2024 durch die SDAIA vollständig durchsetzbar. Erfasst auch Stellen außerhalb des Königreichs, die Daten von dort ansässigen Personen verarbeiten. Verwaltungsbußgelder erreichen 5 Mio. SAR, im Wiederholungsfall verdoppelt, mit strafrechtlicher Haftung bei unbefugter Offenlegung sensibler Daten.

Asien-Pazifik und Afrika in Kürze

Japan. Das APPI gilt seit 2005 und wurde 2020 wesentlich geändert. Ein weiterer Änderungsentwurf wurde im April 2026 vom Kabinett gebilligt und in das Parlament eingebracht, ist aber noch nicht verabschiedet.

Südkorea. PIPA gilt seit 2011. Eine umfassende Novelle wurde im März 2026 verkündet und tritt am 11. September 2026 in Kraft. Sie ergänzt eine Sanktionsstufe von bis zu 10 % des Gesamtumsatzes bei wiederholten vorsätzlichen Verstößen und bei Vorfällen mit zehn Millionen oder mehr Betroffenen, zuzüglich persönlicher Verantwortlichkeit der Geschäftsleitung. Wenn Sie dies nach Mitte September 2026 lesen, gilt dieses Regime bereits.

Australien. Der Privacy Act 1988 wurde im Dezember 2024 durch eine erste Reformstufe geändert, die einen gesetzlichen Deliktstatbestand für schwerwiegende Eingriffe in die Privatsphäre geschaffen hat; dieser gilt seit Juni 2025. Schwere oder wiederholte Verstöße werden mit dem höheren Wert aus 50 Mio. AUD, dem dreifachen erlangten Vorteil oder 30 % des bereinigten Umsatzes geahndet. Eine zweite Stufe ist weiterhin nur geplant.

Südafrika. POPIA ist seit dem 1. Juli 2021 vollständig durchsetzbar, mit Bußgeldern bis 10 Mio. ZAR und bis zu zehn Jahren Freiheitsstrafe. Der Information Regulator hat sein erstes Bußgeld in Höhe von 5 Mio. ZAR verhängt.

Nigeria. Der NDPA 2023 gilt extraterritorial. Für Verantwortliche und Auftragsverarbeiter von erheblicher Bedeutung beträgt die Sanktion den höheren Wert aus 10 Mio. NGN oder 2 % des Bruttoumsatzes des Vorjahres.

Was sich gerade ändert

Die DSGVO selbst steht zur Verhandlung. Die Europäische Kommission hat im November 2025 ein Digital-Omnibus-Paket angenommen, das die DSGVO ändern würde: eine engere Definition personenbezogener Daten, sodass pseudonymisierte Daten in der Hand einer Stelle, die keine Re-Identifizierung vornehmen kann, als nicht personenbezogen gälten; eine ausdrückliche Rechtsgrundlage des berechtigten Interesses für das Training von KI-Systemen; die Verlagerung der Cookie-Regeln aus der ePrivacy-Richtlinie; und höhere Schwellen für die Meldung von Datenschutzverletzungen.

Angenommen ist davon nichts, und das Vorhaben stockt derzeit. EDSA und EDSB haben im Februar 2026 eingewandt, die Neudefinition personenbezogener Daten gehe weit über eine punktuelle Änderung hinaus. Der Rat verfehlte im Juni 2026 die qualifizierte Mehrheit, das Dossier ging ohne allgemeine Ausrichtung an die irische Ratspräsidentschaft über. An der DSGVO hat sich nichts geändert. Behandeln Sie jede bestehende Pflicht als uneingeschränkt anwendbar und beobachten Sie das Verfahren.

Die fünf Pflichten, die fast überall wiederkehren

Unabhängig vom Gesetzestext werden immer wieder dieselben technischen Fähigkeiten verlangt:

1. Wissen, welche personenbezogenen Daten Sie besitzen und wo. Was Sie nicht finden, können Sie weder löschen noch exportieren noch schützen.
2. Auf Verlangen löschen. Das Recht auf Löschung oder eine Entsprechung findet sich in DSGVO, LGPD, PIPL, dem DPDP Act und den meisten US-Bundesstaatengesetzen.
3. Auf Verlangen Auskunft erteilen. Auskunfts- und Übertragbarkeitsrechte sind nahezu universell.
4. Nicht länger speichern als nötig. Die Speicherbegrenzung ist in den meisten dieser Regelwerke ein Grundsatz und keine Kür.
5. Verletzungen fristgerecht melden. In Europa in der Regel innerhalb von 72 Stunden, anderswo mit Abweichungen.

Für Organisationen, die Jira und Confluence betreiben, ist üblicherweise der erste Punkt der schwierige, weil sich personenbezogene Daten in Ticketbeschreibungen, Kommentaren, Anhängen und der Seitenhistorie ansammeln und nicht in sauber strukturierten Datenbankfeldern. Wenn das Ihre Lage beschreibt, behandeln unsere Leitfäden zum Auffinden personenbezogener Daten in Confluence und zum Umgang mit Löschersuchen in Jira Cloud die praktische Seite.

Häufige Fragen

Gilt die DSGVO auch für Unternehmen außerhalb der EU?

Ja, sofern sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten. Eine physische Präsenz in der EU ist nicht erforderlich und ist nicht das maßgebliche Kriterium.

Wie viele US-Bundesstaaten haben Datenschutzgesetze?

Stand August 2026 sind 20 in Kraft und 24 verabschiedet. Veröffentlichte Zahlen unterscheiden sich, weil die Tracker den Begriff „umfassend“ unterschiedlich definieren. Prüfen Sie deshalb immer Stichtag und Definition hinter jeder Zahl.

Ist NIS2 ein Datenschutzgesetz?

Nein. Es ist eine Cybersicherheitsrichtlinie zur Sicherheit von Netz- und Informationssystemen in kritischen Sektoren. Sie gilt neben der DSGVO, nicht an deren Stelle.

Wurde die KI-Verordnung der EU verschoben?

Teilweise. Die Hochrisikopflichten wurden durch eine Änderungsverordnung im Juli 2026 auf Dezember 2027 und August 2028 verschoben. Die Verbote und die Regeln für KI-Modelle mit allgemeinem Verwendungszweck sind jedoch bereits in Kraft und durchsetzbar, und die Transparenzpflichten gelten ab August 2026.

Ist Indiens DPDP Act in Kraft?

Nicht vollständig. Die Rules wurden im November 2025 notifiziert, mit einer gestaffelten Übergangsfrist von 18 Monaten, wodurch die wesentlichen Pflichten etwa Mitte 2027 greifen.

Welches Gesetz sieht die höchsten Bußgelder vor?

Gemessen am Prozentsatz der Schlagzeile die KI-Verordnung der EU mit 7 % des weltweiten Umsatzes, vor der DSGVO mit 4 %. Südkoreas novelliertes PIPA erreicht 10 % des Gesamtumsatzes bei wiederholten schweren Verstößen, sobald es im September 2026 in Kraft tritt. Höchstbeträge werden allerdings selten verhängt und sind deshalb ein schlechter Maßstab für das tatsächliche Risiko.

Zur Nutzung dieser Seite

Das Datenschutzrecht bewegt sich schnell, und mehrere der obigen Einträge sind nur wenige Wochen vor Veröffentlichung datiert. Diese Seite wurde zuletzt am 18. August 2026 geprüft. Wenn ein Datum, ein Schwellenwert oder eine Sanktion für eine Entscheidung wesentlich ist, bestätigen Sie sie gegen die Aufsichtsbehörde oder den amtlichen Gesetzestext und lassen Sie sich zur Anwendung auf Ihre Organisation beraten. Actonic entwickelt Datenschutzsoftware; wir sind keine Rechtsanwaltskanzlei, und nichts auf dieser Seite ist Rechtsberatung.