Multi-Jurisdiktionale Website-Compliance: eine Site, viele Gesetze
EU, UK, USA und Kanada bedeuten unterschiedliche Gesetze. Hier das praktische Playbook, um DSGVO, EAA, ADA, UK Equality Act und AODA mit einem Programm zu erfüllen.
Für die meisten KMU lautet die Frage nicht „welches Gesetz", sondern „welche Gesetze". Eine Site mit Verkauf in EU, UK, USA und Kanada löst sechs oder sieben Frameworks aus. Sieben Compliance-Programme zu bauen ist unmöglich. Multi-Jurisdiktionale Compliance heißt: einmal die richtige Arbeit tun und sie korrekt pro Behörde reporten.
Übersicht Gesetz für Gesetz
Europäische Union
- DSGVO + ePrivacy-Richtlinie: Opt-in für Tracker, Rechtsgrundlage, Betroffenenrechte, Transparenz.
- EAA: WCAG 2.1 AA via EN 301 549 ab 28. Juni 2025. Mikrounternehmen-Ausnahme.
- DSA: Transparenz, Content-Moderation, Werbe-Offenlegung (vor allem für Marktplätze).
Vereinigtes Königreich
- UK GDPR + PECR: nah am EU-Regime, aber nicht mehr identisch. Der Data (Use and Access) Act 2025 hat PECR geändert: seit dem 5. Februar 2026 sind mehrere risikoarme Cookie-Kategorien einwilligungsfrei, darunter aggregierte First-Party-Analytik, und die PECR-Obergrenze stieg von 500.000 £ auf 17,5 Mio. £ oder 4 % des weltweiten Jahresumsatzes. Dazu der ICO-Cookie-Leitfaden.
- Equality Act 2010: anlassunabhängige Pflicht zu angemessenen Vorkehrungen. Das Gesetz nennt keinen technischen Standard, und kein britisches Gericht hat je über Web-Barrierefreiheit entschieden — alle bisherigen Klagen endeten im Vergleich. WCAG 2.1 AA ist im britischen Recht nur in den PSBAR 2018 benannt, die den öffentlichen Sektor binden. Für private Anbieter ist es der praktische Maßstab, nicht eine gerichtliche Vorgabe.
USA
- ADA Title III: faktisch WCAG 2.1 AA.
- Bundesstaaten: CCPA/CPRA (CA), CPA (CO), VCDPA (VA), CTDPA (CT), TDPSA (TX) und mehr. Hinweise, Rechte, Sale/Sharing-Opt-out (GPC).
- FTC Section 5: irreführende Werbeaussagen zu Privacy/Accessibility (accessiBe-Fall 2025).
Kanada
- PIPEDA (Bund): Einwilligung und Offenlegung.
- AODA (Ontario): WCAG 2.0 AA für Organisationen mit 50+.
- Quebec Law 25: strenger, mit DSFA-ähnlichen Bewertungen.
Australien
- Privacy Act 1988: APP, in Reform Richtung DSGVO.
- Disability Discrimination Act: Rechtsprechung verweist auf WCAG 2.0/2.1 AA.
Die Compliance-Pyramide: Überlappungen
- Barrierefreiheit: Ein Programm auf WCAG 2.1 AA bedient EAA, ADA, UK Equality Act, AODA und DDA — aber aus jeweils unterschiedlichen Gründen. Der EAA benennt 2.1 AA über EN 301 549; AODA setzt eine gesetzliche Untergrenze von WCAG 2.0 AA, die 2.1 AA übertrifft. Der UK Equality Act und ADA Title III benennen gar keinen technischen Standard — dort ist 2.1 AA Nachweis, nicht Pflichterfüllung: der Maßstab, an dem ein Anspruch gemessen würde. Eine technische Baseline bleibt richtig. Sagen Sie einer Juristin nur nicht, 2.1 AA sei das, was der Equality Act verlangt.
- Cookies/Tracker: DSGVO+ePrivacy ist das strengste Einwilligungsregime; wer es erfüllt, deckt UK PECR und die brasilianische LGPD weitgehend mit ab. US-Bundesstaatenrecht aber nicht — es folgt einem anderen Modell: zwölf Staaten verlangen inzwischen, das Signal Global Privacy Control serverseitig zu beachten, Kalifornien zusätzlich eine eigene Notice at Collection. Ein europäisches Opt-in-Banner leistet beides nicht. Umgekehrt scheitert ein CCPA-konformes Banner meist an der DSGVO.
- Datenschutzhinweise: DSGVO-konforme Policy ist überinklusiv. Bundesstaaten-Anhänge (CA, Quebec) als Add-ons.
- Betroffenenrechts-Workflows: ein Eingang routet pro Jurisdiktion.
- Pflicht-Seiten: Datenschutzerklärung, Barrierefreiheits-Erklärung, Cookie-Policy, Impressum (DACH). Universell.
Das Praxis-Playbook
- Strengsten Standard als Baseline. WCAG 2.1 AA + DSGVO-Niveau. Andere Regimes als Overlay.
- Ein Audit, mehrere Berichte. Jeder Befund mit relevanter Klausel.
- Frontend lokalisieren, Backend nicht. Banner adaptiert region-spezifisch; Tag-Logik bleibt.
- Jurisdiktion in der Privacy-Programmatik. Eine Policy mit regionalen Abschnitten.
- Kontinuierlich monitoren. Sechsfache Regression-Oberfläche.
Die Falle der Single-Jurisdiktion-Tools
Drei Tools für drei Jurisdiktionen = drei sich widersprechende Berichte, drei SLAs, kein gemeinsamer Backlog. Multi-Jurisdiktion-Tool reduziert auf eine Audit-Quelle.
Wie Veracly damit umgeht
Veracly wurde dafür gebaut. Ein Scan erzeugt gleichzeitig Berichte für fünf Regelwerke: EAA, DSGVO und ePrivacy, ADA, UK Equality Act und AODA. Jeder Befund ist auf die jeweilige Klausel gemappt, mit einem Backlog. US-Bundesstaaten-Datenschutz gehört bewusst nicht dazu — wir bewerten nicht gegen CCPA oder CPRA, und der Bericht sagt das, statt eine Abdeckung zu suggerieren, die es nicht gibt. Berichte lokalisiert: deutsche EAA-Ausgabe für die Aufsicht, englische ADA-Ausgabe für US-Vergleichsverhandlung, französische RGPD-Ausgabe für die CNIL. Kostenlosen Scan starten.
Siehe auch: Website-Compliance-Audit · EAA-Compliance für KMU · ADA-Audit
Häufige Fragen
Muss ich DSGVO, ADA, EAA und AODA gleichzeitig erfüllen?
Jedes Gesetz greift dort, wo Ihre Besucher sind — mit einer Ausnahme, die man genau nehmen sollte. EU-Besucher: DSGVO + EAA. US-Besucher: ADA + Bundesstaaten-Recht. AODA funktioniert anders: es bindet Organisationen mit Präsenz in Ontario und 50 oder mehr Beschäftigten. Besucher aus Ontario allein ziehen eine ausländische Site nicht hinein. Praktische Antwort: die Vereinigung der Gesetze, die für Ihr Publikum und für Ihre Niederlassungen gelten.
Gibt es Überlappungen?
Erheblich, aber nicht so, wie es meist zusammengefasst wird. Nur zwei dieser Regime nennen überhaupt einen technischen Standard: der EAA verweist über EN 301 549 auf WCAG 2.1 AA, und AODA setzt eine gesetzliche Untergrenze von WCAG 2.0 AA, die 2.1 AA übertrifft. Der UK Equality Act und ADA Title III nennen keinen technischen Standard. Dort ist 2.1 AA keine gesetzliche Vorgabe, sondern der praktische Maßstab, an dem Ansprüche gemessen werden. Ein Programm auf 2.1-AA-Niveau bedient deshalb alle vier.
Was ist der einfachste Weg?
Den strengsten anwendbaren Standard als Baseline. Für Barrierefreiheit WCAG 2.1 AA. Für Datenschutz alle Besucher wie unter DSGVO behandeln, Opt-in, transparente Hinweise, leichte Datenrechts-Prozesse.
Wie funktioniert jurisdiktionsbewusstes Reporting?
Ein technischer Scan erzeugt einen Bericht pro Verordnung und mappt jeden Befund auf die spezifische Klausel. Das gleiche fehlende Alt-Attribut taucht im EAA-, ADA- und AODA-Bericht auf, jeweils mit relevanter Rechtsreferenz.
Sehen Sie, wo Ihre Website steht.
Starten Sie einen kostenlosen Veracly-Scan und erhalten Sie einen Multi-Jurisdiktionsbericht, EAA, DSGVO, ADA, UK Equality Act, AODA, mit Copy-Paste-Fixes für Entwickler.
Kostenlosen Scan starten