Warum CASL einen eigenen Blick verdient

Publisher mit kanadischem Publikum denken meist zuerst an PIPEDA und Quebecs Gesetz 25. Kanadas Anti-Spam-Gesetz (CASL) ist ein eigenständiges Gesetz, seit 2014 in Kraft, und regelt anderes Verhalten: den Versand kommerzieller elektronischer Nachrichten und die Installation von Computerprogrammen auf fremden Geräten. Wenn Sie Newsletter, Push-artige Nachrichten oder eine App betreiben, die sich selbst aktualisiert, ist es für Sie relevant.

Was CASL abdeckt

Das Gesetz hat drei Hauptbereiche:

• Kommerzielle elektronische Nachrichten (CEMs). E-Mails, SMS und ähnliche Nachrichten, die zur Teilnahme an kommerziellen Aktivitäten anregen, erfordern in der Regel die Einwilligung des Empfängers, die Identifizierung des Absenders und einen funktionierenden Abmeldemechanismus.
• Installation von Computerprogrammen. Die Installation eines Programms auf dem Computersystem einer anderen Person im Rahmen geschäftlicher Tätigkeit erfordert in der Regel eine ausdrückliche Einwilligung mit klarer Offenlegung dessen, was das Programm tut.
• Irreführende Praktiken. Falsche oder irreführende Darstellungen in elektronischen Nachrichten und Online-Inhalten sind verboten.

Ausdrückliche und stillschweigende Einwilligung

CASL unterscheidet zwischen den beiden Arten der Einwilligung, und der Unterschied ist wichtig:

• Ausdrückliche Einwilligung wird explizit eingeholt, mit klarem Zweck, der Identität des Anfragenden und Kontaktdaten. Sie muss ein Opt-in sein; vorangekreuzte Kästchen sind kein gültiger Weg.
• Stillschweigende Einwilligung besteht nur in definierten Situationen, etwa bei einer bestehenden Geschäftsbeziehung, und kann nach einer bestimmten Frist ablaufen.

Bewahren Sie Nachweise auf, wie und wann die Einwilligung eingeholt wurde. Nach CASL liegt die Beweislast für die Einwilligung beim Absender.

Cookies, Skripte und App-Updates

Die Regeln von CASL zu Computerprogrammen betreffen Software, nicht Cookies im üblichen Sinn, und die Hinweise der Aufsichtsbehörde haben gewöhnliche Cookies anders behandelt als ausführbare Programme. Dennoch ist die Grenze in der Praxis nicht immer offensichtlich, insbesondere bei Skripten und SDKs, die das Verhalten eines Geräts verändern. Wo Ihr Produkt Software installiert oder aktualisiert, gehen Sie mit Offenlegung und Einwilligung sorgfältig um und lassen Sie den konkreten Mechanismus von Rechtsbeistand prüfen. Bei gewöhnlichen Website-Cookies und Tracking sind vor allem die Datenschutzgesetze (PIPEDA und Provinzgesetze) maßgeblich.

Durchsetzung und Sanktionen

Die CRTC ist die wichtigste Durchsetzungsbehörde, neben dem Competition Bureau und dem Office of the Privacy Commissioner für bestimmte Teile. Verwaltungsrechtliche Geldbußen können für Organisationen bis zu 10 Millionen CAD pro Verstoß betragen. Ein privates Klagerecht war geplant, wurde aber ausgesetzt und ist nicht in Kraft getreten; die Durchsetzung erfolgt heute also behördlich.

Eine praktische Checkliste für Publisher

1. Verwenden Sie für Newsletter ein separates, nicht vorangekreuztes Opt-in, statt es in das Cookie-Banner oder die Nutzungsbedingungen zu bündeln.
2. Geben Sie an, wer fragt, wofür und wie man Sie erreicht.
3. Nehmen Sie in jede kommerzielle Nachricht eine Abmeldung mit einem Klick auf und setzen Sie sie umgehend um.
4. Speichern Sie Datum, Quelle und den zum Zeitpunkt der Einwilligung angezeigten Wortlaut.
5. Prüfen Sie jedes In-App-Update und jedes SDK, das Komponenten installiert, und gestalten Sie die Offenlegung ausdrücklich.
6. Kaufen oder scrapen Sie keine E-Mail-Listen für kanadische Empfänger.

Wie FlexyConsent hilft

FlexyConsent ist IAB-Canada-zertifiziert und unterstützt Kanada einschließlich Quebecs Gesetz 25, sodass sich die Cookie- und Tracking-Seite Ihres kanadischen Publikums mit einem für die Region eingerichteten Banner-Verhalten abwickeln lässt. E-Mail-Opt-ins nach CASL sind ein separater Ablauf, den Sie in Ihren eigenen Formularen und Ihrer E-Mail-Plattform umsetzen müssen.

Die wichtigsten Erkenntnisse

• CASL regelt kommerzielle Nachrichten und Software-Installation, getrennt von PIPEDA und Gesetz 25.
• Ausdrückliche Einwilligung muss ein explizites Opt-in sein; stillschweigende Einwilligung ist begrenzt und kann ablaufen.
• Der Absender muss die Einwilligung nachweisen können.
• Halten Sie die Newsletter-Einwilligung getrennt von der Cookie-Einwilligung und protokollieren Sie sie.
• Lassen Sie jede Komponente, die Software auf dem Gerät eines Nutzers installiert oder aktualisiert, rechtlich prüfen.