Das Wichtigste in Kürze
Die DSGVO ist nicht die einzige Regelung, die Vorgaben für Cookies und Einwilligung macht. Brasilien (LGPD), Südafrika (POPIA), Thailand (PDPA), Indien (DPDPA) und weitere Länder haben eigene Datenschutzgesetze erlassen, jeweils mit spezifischen Anforderungen an Tracker. Für Websites mit internationalem Publikum ist die Verwaltung von Cookies außerhalb Europas inzwischen genauso wichtig wie die DSGVO-Konformität.
Warum Cookies auch außerhalb Europas reguliert sind
Europa war mit der DSGVO und der ePrivacy-Richtlinie Vorreiter, doch der Trend zur Regulierung der Online-Privatsphäre ist weltweit. Zwischen 2018 und 2026 haben mehr als 40 Länder Datenschutzgesetze erlassen oder verschärft. Die meisten enthalten Bestimmungen, die das Setzen von Cookies und das Online-Tracking direkt betreffen.
Selbst in Europa entwickelt sich der Rahmen weiter, wie unser Artikel dazu erklärt, was sich mit der ePrivacy-Verordnung bei Cookies ändert.
Wenn Ihre Website Traffic aus Brasilien, Südafrika, Südostasien oder Indien erhält, unterliegen Sie möglicherweise diesen Regelungen, zusätzlich zu DSGVO und CCPA. Dieser Artikel stellt die wichtigsten Gesetze außerhalb Europas vor und zeigt, was sie für Ihre Cookies bedeuten.
LGPD (Brasilien): Welche Regeln gelten für Cookies?
Die Lei Geral de Protecao de Dados (LGPD) ist das brasilianische Datenschutzgesetz und seit September 2020 in Kraft. Sie ist stark an die DSGVO angelehnt, weist aber wichtige Unterschiede bei der Einwilligung und den für Cookies geltenden Rechtsgrundlagen auf.
Die Einwilligung ist nicht die einzige Rechtsgrundlage
Anders als bei der DSGVO, wo die Einwilligung die maßgebliche Rechtsgrundlage für nicht notwendige Cookies ist, sieht die LGPD zehn Rechtsgrundlagen für die Datenverarbeitung vor. Das berechtigte Interesse ist in Brasilien eine gültige Rechtsgrundlage. Bestimmte Cookies (etwa Analyse-Cookies) könnten also theoretisch ohne vorherige Einwilligung gesetzt werden, sofern die Grundsätze der Transparenz und Erforderlichkeit eingehalten werden.
In der Praxis empfiehlt die brasilianische Aufsichtsbehörde (ANPD) dennoch, für Tracking- und Werbe-Cookies eine Einwilligung einzuholen. Die Einwilligung nach LGPD muss freiwillig, informiert, eindeutig und für jeden Zweck spezifisch sein.
Diese Kriterien ähneln den europäischen, die wir in unserem Leitfaden zu den Voraussetzungen einer wirksamen DSGVO-Einwilligung erläutern.
Was die LGPD konkret verlangt
Die LGPD verlangt eine klare Datenschutzerklärung, die Angabe der gesetzten Cookies und ihrer Zwecke, einen Mechanismus zum Widerruf der Einwilligung sowie die Benennung eines Datenschutzbeauftragten (encarregado). Die Cookie-Kategorien (notwendig, Analyse, Werbung) sind auch im brasilianischen Kontext relevant.
POPIA (Südafrika): die DSGVO des afrikanischen Kontinents
Der Protection of Personal Information Act (POPIA) ist das südafrikanische Datenschutzgesetz und seit Juli 2021 vollständig anwendbar. Er gilt für jede Organisation, die personenbezogene Daten von Einwohnern Südafrikas verarbeitet, einschließlich ausländischer Websites.
Einwilligung und Cookies nach POPIA
POPIA verlangt, dass die Datenverarbeitung auf einer der gesetzlich vorgesehenen Rechtsgrundlagen beruht. Die Einwilligung ist eine davon, doch in bestimmten Fällen kann auch das berechtigte Interesse (Abschnitt 11(1)(f)) greifen. Für Werbe- und Tracking-Cookies empfiehlt der Information Regulator (die südafrikanische Aufsichtsbehörde) eine vorherige Einwilligung.
Die Einwilligung nach POPIA muss freiwillig, spezifisch und informiert sein. Der Nutzer muss sie jederzeit widerrufen können. POPIA verlangt außerdem einen Opt-out-Mechanismus für Direktmarketing, was Cookies für Remarketing-Zwecke betrifft.
Ein Nachweis mit Zeitstempel für jede Entscheidung erleichtert diesen Beleg, wie unser Leitfaden zum Nachweis der Cookie-Einwilligung erklärt.
PDPA (Thailand): das strengste Gesetz Asiens
Der thailändische Personal Data Protection Act (PDPA) ist seit Juni 2022 in Kraft. Er gilt oft als asiatisches Gegenstück zur DSGVO, mit ähnlichen Anforderungen an die Einwilligung und die Rechte der betroffenen Personen.
Eine ausdrückliche Einwilligung ist erforderlich
Der thailändische PDPA verlangt eine ausdrückliche Einwilligung vor jeder Erhebung personenbezogener Daten, auch über Cookies. Die Einwilligung muss freiwillig, spezifisch und informiert sein und durch eine eindeutige bestätigende Handlung erfolgen. Vorausgewählte Cookies oder Banner ohne Ablehnungsoption sind nicht PDPA-konform.
Die thailändische Aufsichtsbehörde (PDPC) hat Leitlinien veröffentlicht, die die Anforderungen des PDPA an europäische Standards angleichen. Ein DSGVO-konformer Einwilligungsbanner ist in der Regel auch PDPA-konform, mit kleineren Anpassungen bei Sprache und Pflichtangaben.
Konkrete Vorlagen finden Sie in diesen DSGVO-Cookie-Banner-Beispielen und Best Practices.
DPDPA (Indien): das neue Gesetz, das Sie im Blick behalten sollten
Der indische Digital Personal Data Protection Act (DPDPA) wurde im August 2023 verabschiedet. Mit 1,4 Milliarden Einwohnern und einer stark wachsenden Digitalwirtschaft ist Indien ein bedeutender Markt. Der DPDPA macht die Einwilligung zur wichtigsten Rechtsgrundlage für die Verarbeitung personenbezogener Daten.
Der DPDPA sieht eine freiwillige, spezifische, informierte und eindeutige Einwilligung vor. Die Durchführungsbestimmungen (per Bekanntmachung) werden noch veröffentlicht. Die vorgesehenen Sanktionen sind erheblich: bis zu 250 Crore Rupien (rund 27 Millionen Euro) pro Verstoß.
Für Websites, die den indischen Markt ansprechen, empfiehlt es sich, einen Einwilligungsbanner auf Englisch und Hindi anzuzeigen, mit einer Cookie-Richtlinie nach den Vorgaben des DPDPA.
Vergleich der Cookie-Gesetze außerhalb Europas
Die vier wichtigsten Gesetze außerhalb Europas verfolgen unterschiedliche Ansätze bei der Cookie-Einwilligung. Die folgende Tabelle fasst die wichtigsten Punkte zusammen, damit Sie Ihre CMP an jede Rechtsordnung anpassen können.
So passen Sie Ihre CMP an mehrere Rechtsordnungen an
Die wirksamste Strategie ist ein Ansatz, der auf der Geolokalisierung Ihrer Besucher basiert. Statt für alle dieselben Regeln anzuwenden, können Sie das Verhalten Ihres Einwilligungsbanners an das Land des Nutzers anpassen.
Ansatz per Geolokalisierung
Eine moderne CMP kann den Standort des Besuchers erkennen und den passenden Banner anzeigen. Für europäische Besucher: vollständiger DSGVO-Banner mit Opt-in. Für brasilianische Besucher: angepasster Banner mit LGPD-Hinweis und Opt-out. Für thailändische Besucher: Opt-in-Banner ähnlich der DSGVO. Für indische Besucher: Einwilligungsbanner mit DPDPA-Hinweis. FlowConsent bietet hierfür eine integrierte Geolokalisierung an, die den Banner automatisch an das Land des Besuchers anpasst.
Die Strategie des höchsten Schutzniveaus
Ein alternativer Ansatz besteht darin, allen Besuchern unabhängig von ihrem Land das höchste Schutzniveau zu bieten. Diese Strategie vereinfacht die Umsetzung, kann aber die Einwilligungsraten in weniger strengen Ländern senken. Sie empfiehlt sich für Websites mit mäßigem Traffic außerhalb Europas, bei denen sich eine Geolokalisierung wirtschaftlich nicht lohnt.
Wenn Sie diesen Weg wählen, verfolgen Sie die Auswirkungen mit unserem Leitfaden, um Ihre Cookie-Einwilligungsrate zu messen und zu verbessern.
Das Wichtigste auf einen Blick
Die Verwaltung von Cookies ist kein rein europäisches Thema mehr. Die Gesetze werden zahlreicher, die Sanktionen steigen, und Nutzer weltweit achten immer stärker auf den Schutz ihrer Daten. Für eine Website mit internationalem Publikum ist eine CMP, die mehrere Rechtsordnungen abdeckt, unverzichtbar geworden.
Ermitteln Sie, woher Ihr Traffic kommt, prüfen Sie, ob diese Regelungen Sie betreffen, und passen Sie Ihren Banner entsprechend an. Scannen Sie Ihre Website mit FlowConsent und prüfen Sie Ihre Konfiguration sowie mögliche Optimierungen.