Quebec Law 25 und Biometrie: Leitfaden zur Identitätsprüfung (2026)

Zuletzt geprüft: 31. Oktober 2026 · Keine Rechtsberatung

Quebec Law 25 (vor der Verabschiedung Bill 64) ist das Gesetz von 2021, das die Datenschutzgesetze von Quebec modernisiert hat. Seine Biometrieregeln erfassen Online-Identitätsprüfungen, die ein Live-Selfie mit dem Foto auf einem Ausweisdokument vergleichen.^[8][6] Für ein Unternehmen, das diesen Regeln unterliegt, ist ein Gesichtsabgleich ein meldepflichtiger, einwilligungsbasierter Vorgang mit eigener Löschregel und, wenn Daten die Provinz verlassen, mit einer Datenschutz-Folgenabschätzung.^[1][3]

Dieser Leitfaden geht die offiziellen Texte Abschnitt für Abschnitt durch, darunter den Act respecting the protection of personal information in the private sector (Gesetz über den Schutz personenbezogener Daten im Privatsektor), das Meldeformular der CAI, ihre Entscheidungen seit 2024, die Bundesleitlinien vom 11. August 2025, Bill C-36 und die Regeln von vier Provinzen für den öffentlichen Sektor. Am Ende steht eine Checkliste für diesen Monat (und unsere Kanada-Seite).

Law 25 aus Quebec und Biometrie im Überblick

1. Sept. 2022Abschnitte 44-45 geändertDie Biometrieänderungen von Law 25 treten in Kraft; CAI-Leitfaden aktualisiert.
2. 22. Sept. 2023Die meisten PflichtenDatenschutz-Folgenabschätzung, bevor Daten Quebec verlassen; ausdrückliche Einwilligung für sensible Daten.
3. 18. Feb. 2025Metro-AnordnungErste Anordnung der CAI nach Abschnitt 45: Eine biometrische Datenbank wurde untersagt.
4. 11. Aug. 2025OPC-LeitlinienBundesweite Leitlinien zu Biometrie für Unternehmen.
5. 15. Juni 2026Bill C-36Eingebracht; am 31. Oktober 2026 in zweiter Lesung.

Datierte Meilensteine für die biometrische Identitätsprüfung in Quebec und Kanada.^{[6][8][10][14][17]}

Was Quebec Law 25 zur biometrischen Identitätsprüfung regelt

Law 25 hat mehrere Gesetze geändert. Die Regeln zur Biometrie stehen in den Abschnitten 44 und 45 des Act to establish a legal framework for information technology (Gesetz über einen rechtlichen Rahmen für die Informationstechnologie; CQLR c. C-1.1; auf Französisch Loi concernant le cadre juridique des technologies de l’information, LCCJTI).^[1] Abschnitt 44 ist die Vorschrift, die ein Prozess zur Identitätsprüfung auslöst.

Abschnitt 44Act to establish a legal framework for information technology

„Die Identität einer Person darf nicht mit einem Verfahren geprüft oder bestätigt werden, das die anschließende Nutzung biometrischer Merkmale oder Messwerte ermöglicht, es sei denn, diese Prüfung oder Bestätigung wurde der Commission d’accès à l’information zuvor offengelegt und die betroffene Person hat ausdrücklich eingewilligt.“

Quelle: LégisQuébec, CQLR c. C-1.1^[1]

Der französische Text, der gleichermaßen verbindlich ist, beginnt mit einem Verbot: « Nul ne peut exiger, sans l’avoir divulgué préalablement à la Commission d’accès à l’information et sans le consentement exprès de la personne, que la vérification ou la confirmation de son identité soit faite au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques. » (Niemand darf verlangen, dass die Identität mit einem biometrischen Verfahren geprüft wird, ohne dies zuvor der CAI offengelegt und die ausdrückliche Einwilligung der Person eingeholt zu haben.)^[2] Die Seite der CAI selbst geht weiter: Dort heißt es, dass es verboten ist, eine biometrische Identitätsprüfung zu verlangen, und dass ein anderes Mittel angeboten werden muss, wenn eine Person nicht einwilligt.^[5]

Abschnitt 44 fügt dann drei Grenzen hinzu, die das Produkt prägen:

• Datenminimierung: nur die Merkmale, die nötig sind, um die Person mit dem Vorgang zu verknüpfen, erfasst mit Wissen der Person.^[1]
• Keine andere Nutzung: Nichts anderes, was die biometrischen Daten offenbaren, darf für eine Entscheidung über die Person oder für einen anderen Zweck genutzt werden.^[1]
• Löschung: „Die Aufzeichnung der Merkmale oder Messwerte und jeder dazugehörige Vermerk müssen vernichtet werden, sobald der Zweck der Prüfung oder Bestätigung der Identität erfüllt ist oder der Grund für die Prüfung oder Bestätigung nicht mehr besteht.“^[1]

Ein 1:1-Selfie-Abgleich fällt darunter

Der Leitfaden der CAI erfasst beide Zwecke: die Identifizierung, bei der eine Datenbank unter vielen Identitäten durchsucht wird, und die Authentifizierung, bei der eine Identität durch einen „Eins-zu-eins“-Vergleich mit den biometrischen Daten einer bekannten Person bestätigt wird.^[6] Der Leitfaden stellt außerdem fest, dass auch ein Code, ein Template oder ein Modell, das ein Algorithmus aus einem Bild ableitet, eine biometrische Information ist.^[6] Im Februar 2025 stellte die CAI fest, dass das Gesichtserkennungsprojekt eines Einzelhändlers eine Identitätsprüfung mit biometrischen Mitteln war, die nach dem Gesetz eine ausdrückliche Einwilligung erfordert.^[11]

Erklärung nach Abschnitt 44 oder Datenbank nach Abschnitt 45

Abschnitt 45 gilt für eine biometrische Datenbank, zum Beispiel gespeicherte Gesichtsbilder oder Templates.^[1]

Diese Befugnisse werden genutzt: Die erste Anordnung der CAI nach Abschnitt 45 im Februar 2025 untersagte die Gesichtserkennungsdatenbank eines Einzelhändlers.^[11]

Was das Meldeformular der CAI abfragt und was Sie von Ihrem Anbieter brauchen

Das Unternehmen, das die Identität prüft, meldet über das Online-Formular der CAI, und jedes Feld ist ein Pflichtfeld.^[5][7] In der Praxis betreffen viele Antworten das System des Anbieters. Fordern Sie sie deshalb vor Vertragsunterzeichnung an.

Fügen Sie das Benutzerhandbuch, das Einwilligungsformular, die Vereinbarung für Daten, die außerhalb Quebecs übermittelt werden, und die Datenschutz-Folgenabschätzung bei (auf Französisch évaluation des facteurs relatifs à la vie privée, EFVP).^[7]

Ausdrückliche Einwilligung und die nicht biometrische Alternative

Abschnitt 12 des Gesetzes für den Privatsektor bestimmt, dass die Einwilligung „ausdrücklich erteilt werden muss, wenn sie sensible personenbezogene Informationen betrifft“, und nennt einen biometrischen Charakter als einen der Gründe, aus denen Informationen sensibel sind.^[3][4] Für Biometrie ist eine gültige Einwilligung nach Auffassung der CAI eindeutig und ausdrücklich, freiwillig, informiert, spezifisch und zeitlich begrenzt.^[5] Die CAI veröffentlicht ein Muster-Einwilligungsformular, das an Ihr System anzupassen ist.^[5]

Den zweiten Teil der Regel übersehen Produktteams am häufigsten. Weil eine Person frei ablehnen oder ihre Einwilligung widerrufen können muss, verlangt die CAI eine andere Lösung.^[5] Die Bundesaufsicht sagt dasselbe für nicht wesentliche Verwendungen: „Sie müssen Einzelpersonen andere Möglichkeiten des Zugangs oder der Teilnahme bieten“, und Sie dürfen den Zugang dazu nicht behindern.^[15]

Ein Verifizierungsablauf mit Einwilligung zuerst für Nutzer in Quebec. Die Alternative darf keine Sackgasse sein.^[3][5]

Abschnitt 12.1 ergänzt: Beruht eine Entscheidung ausschließlich auf automatisierter Verarbeitung, müssen Sie die Person darüber informieren und ihr erlauben, Stellungnahmen an einen Mitarbeiter zu richten, der die Entscheidung überprüfen kann.^[3]

Abschnitt 17: die Datenschutz-Folgenabschätzung, bevor Daten Quebec verlassen

Abschnitt 17Act respecting the protection of personal information in the private sector

„Bevor ein Unternehmensträger personenbezogene Daten außerhalb von Québec übermittelt, muss er eine Datenschutz-Folgenabschätzung durchführen.“

Quelle: LégisQuébec, CQLR c. P-39.1^[3]

Die Abschätzung muss die Sensibilität der Daten, ihren Zweck, die Schutzmaßnahmen einschließlich Verträgen und den Rechtsrahmen des Ziellands abwägen.^[3] Die Daten dürfen nur übermittelt werden, wenn die Abschätzung einen angemessenen Schutz ergibt, und die Übermittlung „muss Gegenstand einer schriftlichen Vereinbarung sein“, die die Abschätzung widerspiegelt.^[3] Dasselbe gilt, wenn eine Person oder Stelle außerhalb von Quebec die Daten in Ihrem Auftrag erhebt, verwendet, übermittelt oder aufbewahrt. Das ist der Fall eines Anbieters.^[3] Nach unserer Lesart umfasst „außerhalb von Québec“ auch die anderen kanadischen Provinzen: Der Text endet nicht an der kanadischen Grenze.^[3]

Abschnitt 3.3 verlangt eine Datenschutz-Folgenabschätzung für jedes Projekt zur Beschaffung oder grundlegenden Überarbeitung eines Informationssystems. Ein neuer Anbieter braucht daher auch innerhalb von Quebec eine solche Abschätzung.^[3] Abschnitt 18.3 verlangt einen schriftlichen Vertrag, der den Anbieter auf den Auftrag beschränkt und ihm untersagt, die Daten danach aufzubewahren.^[3]

Wo jede Pflicht aus Law 25 bei einer Verifizierung über einen Anbieter liegt.^[1][3]

Sanktionen nach Law 25

Wer personenbezogene Daten unter Verstoß gegen das Gesetz erhebt, nutzt, aufbewahrt oder vernichtet, riskiert eine Verwaltungssanktion der CAI oder eine Geldstrafe.^[3][9]

Was die CAI zur Gesichtserkennung entschieden hat

Kanadaweiter Kontext: PIPEDA, die Leitlinien des OPC und Bill C-36

Altersprüfungen mit dem Gesicht gelten ebenfalls als Biometrie. Unser Leitfaden zur Altersverifizierung in Kanada behandelt diesen Fall.

Außerhalb von Quebec unterliegen biometrische Daten im Privatsektor in den meisten Provinzen dem bundesrechtlichen Personal Information Protection and Electronic Documents Act (PIPEDA). Am 11. August 2025 veröffentlichte das Office of the Privacy Commissioner of Canada (OPC) seine Leitlinien zu biometrischen Daten. Sie stimmen mit den Regeln in Quebec überein.^[14]

Bei der grenzüberschreitenden Verarbeitung funktioniert PIPEDA anders als Abschnitt 17. Die Leitlinien des OPC halten fest, dass „PIPEDA Organisationen in Kanada nicht verbietet, personenbezogene Daten zur Verarbeitung an eine Organisation in einer anderen Rechtsordnung zu übermitteln“. Die Organisation bleibt jedoch verantwortlich und muss durch Verträge oder andere Mittel „ein vergleichbares Schutzniveau“ sicherstellen.^[16]

Bill C-36, mit dem der Protecting Privacy and Consumer Data Act erlassen und PIPEDA geändert würde, wurde am 15. Juni 2026 eingebracht und in erster Lesung behandelt. Laut LEGISinfo befindet er sich mit Stand 31. Oktober 2026 in zweiter Lesung im House of Commons.^[17] Es handelt sich um einen Gesetzentwurf, nicht um geltendes Recht. In der eingebrachten Fassung würde Abschnitt 57(1) vor der Offenlegung oder Übermittlung personenbezogener Daten außerhalb Kanadas eine Datenschutz-Folgenabschätzung und Maßnahmen zur Risikominderung verlangen. Die Höchststrafe für die Verstöße in einer Untersuchung läge beim höheren Betrag von CAD 10 Millionen und 3% des weltweiten Bruttoumsatzes.^[18] Zudem stuft er biometrische Daten, die eine Person eindeutig identifizieren können, als sensibel ein.^[18]

Datenresidenz im öffentlichen Sektor in BC, Nova Scotia, Ontario und Alberta

Öffentliche Stellen folgen den Gesetzen der Provinzen. Daraus ergeben sich viele Fragen zur Datenresidenz in Ausschreibungen. Zahlungs- und Krypto-Unternehmen: siehe KYC für Money Services Businesses und Krypto in Kanada.

Eine Speicherung in Kanada macht die Bewertung nach Abschnitt 17 in Quebec nicht entbehrlich, wenn Daten Quebec in eine andere Provinz verlassen.^[3]

Checkliste für die biometrische Verifizierung nach Quebec Law 25 in diesem Monat

Reichen Sie die CAI-Erklärung ein, bevor der Gesichtsabgleich für Nutzer in Quebec live geht.^[1]

• Erfassen Sie jeden Ablauf, der ein Gesicht aufnimmt und vergleicht, einschließlich der Kontowiederherstellung.
• Halten Sie schriftlich fest, welches Problem der Gesichtsabgleich löst, mit Ihren eigenen Betrugsdaten, und welche weniger eingreifenden Optionen Sie ausprobiert haben.^[5]
• Prüfen Sie, ob gespeicherte Bilder oder Templates eine biometrische Datenbank bilden; falls ja, legen Sie dies umgehend offen, mindestens 60 Tage vor der Nutzung.^[1]
• Führen Sie die Bewertungen nach Abschnitt 3.3 und Abschnitt 17 durch und schließen Sie eine schriftliche Vereinbarung mit dem Anbieter.^[3]
• Bauen Sie einen Bildschirm für die ausdrückliche Einwilligung auf Französisch und Englisch und dokumentieren Sie jede Einwilligung.^[5]
• Bieten Sie einen nicht-biometrischen Weg an, der für Personen funktioniert, die die Einwilligung verweigern oder widerrufen.^[5]
• Legen Sie die Aufbewahrung so fest, dass biometrische Daten vernichtet werden, sobald der Zweck erfüllt ist, beim Anbieter und in Backups.^[1][15]
• Leiten Sie fehlgeschlagene Abgleiche an eine Person weiter, die sie prüfen kann, und informieren Sie Nutzer über automatisierte Entscheidungen.^[3][15]
• Reichen Sie die CAI-Erklärung mit Handbuch, Einwilligungsformular, Vereinbarung und Bewertung als Anlagen ein.^[7]

Fragen zur Datenresidenz an Anbieter:

• Fragen Sie, wo Daten standardmäßig verarbeitet und gespeichert werden und ob vertraglich eine andere Region verfügbar ist.
• Fordern Sie die vollständige Liste der Unterauftragsverarbeiter mit dem Land jedes einzelnen an.
• Fragen Sie, ob Mitarbeitende außerhalb Kanadas auf Produktionsdaten zugreifen können.
• Fragen Sie nach dem Ansatz des Anbieters für demografische Tests und nach seinen Fehlerkennzahlen.^[15]

Meldepflichtige Stellen nach den bundesrechtlichen Vorschriften zur Geldwäschebekämpfung: Unser Leitfaden zur FINTRAC-Identitätsprüfung im Jahr 2026 behandelt diese Seite; bewerten Sie die Datenschutzpflichten in Quebec gesondert.

Wie Didit hilft

Die Ausweisprüfung und die Liveness-Prüfung von Didit laufen in einem Workflow: Das Dokument wird ausgelesen und auf Manipulation geprüft. Dann bestätigt eine passive Liveness-Prüfung, eine 3D-Action- oder eine Flashing-Liveness-Prüfung, dass eine lebende Person anwesend ist. Ein 1:1-Gesichtsabgleich vergleicht das Selfie mit dem Porträtfoto im Dokument.^[24][25][34] Gesichts-Templates werden nach dem Löschen einer Sitzung nicht aufbewahrt, es sei denn, Sie aktivieren die Aufbewahrung von Templates mit einer festgelegten Anzahl von Tagen.^[27]

Didit handelt als Auftragsverarbeiter; Sie bleiben der Verantwortliche.^[29] Die Datenbankvalidierung, einschließlich der Prüfung über die kanadische Kreditauskunftei, ist eine nicht-biometrische Prüfung, die Sie für Ihren alternativen Weg bewerten können: siehe Datenbankvalidierung, AML-Screening und Preise.^[33]

Häufig gestellte Fragen

Quellen

1. Act to establish a legal framework for information technology, CQLR c. C-1.1, sections 44 and 45, LégisQuébec, konsolidierte Fassung mit Stand 29. Oktober 2026.
2. Loi concernant le cadre juridique des technologies de l’information, RLRQ c. C-1.1, articles 44 et 45, LégisQuébec.
3. Act respecting the protection of personal information in the private sector, CQLR c. P-39.1, LégisQuébec.
4. Loi sur la protection des renseignements personnels dans le secteur privé, RLRQ c. P-39.1, LégisQuébec.
5. Biométrie, Commission d’accès à l’information du Québec.
6. Biométrie : principes à respecter et obligations légales des organisations, version 2.0, CAI, 21. September 2022.
7. Formulaire de déclaration d’un système biométrique ou procédé permettant de saisir des caractéristiques ou des mesures biométriques, CAI.
8. Des dispositions de la Loi 25 qui entrent en vigueur aujourd’hui, CAI, 22. September 2023.
9. Principaux changements apportés par la Loi 25, CAI.
10. Décision, dossier 1037199-S, Metro Inc., CAI, 18. Februar 2025.
11. La Commission interdit à Metro Inc. de mettre en service une banque de caractéristiques ou de mesures biométriques, CAI.
12. The CAI's facial recognition ruling: shaping the future of retail biometrics in Québec, Ogletree Deakins, 2. Juli 2026.
13. Québec privacy commissioner continues to set high bar for biometric data processing, Osler.
14. Privacy Commissioner of Canada publishes guidance on biometrics, OPC, 11. August 2025.
15. Guidance for processing biometrics, for businesses, OPC, 11. August 2025.
16. Guidelines for processing personal data across borders, OPC, 2009.
17. Bill C-36, 45. Parlament, 1. Sitzungsperiode, LEGISinfo, abgerufen am 31. Oktober 2026.
18. Bill C-36, Text der ersten Lesung, Parliament of Canada, 15. Juni 2026.
19. Leitfaden zu Offenlegungen außerhalb Kanadas, Government of British Columbia, aktualisiert am 13. Februar 2025.
20. Personal Information International Disclosure Protection Act, Fragen und Antworten, Government of Nova Scotia.
21. Der neue Freedom of Information and Protection of Privacy Act von Nova Scotia, David Fraser, Canadian Privacy Law Blog, 9. November 2025.
22. Aktualisierungen zu FIPPA und MFIPPA, Information and Privacy Commissioner of Ontario.
23. Protection of Privacy Act, Office of the Information and Privacy Commissioner of Alberta.
24. Face Match (1:1), Didit-Dokumentation.
25. Lebenderkennung, Didit-Dokumentation.
26. Biometrische Einwilligung, Didit-Dokumentation.
27. Datenaufbewahrung und Löschung, Didit-Dokumentation.
28. Session löschen, Didit-Dokumentation.
29. Sicherheit und Compliance, Didit-Dokumentation.
30. Zertifizierungen, Didit-Dokumentation.
31. Unterstützte Sprachen, Didit-Dokumentation.
32. Manuelle Prüfung, Didit-Dokumentation.
33. Kanada: Verifizierung über Kreditauskunfteien (FINTRAC), Didit-Dokumentation.
34. Ausweisverifizierung, Didit-Dokumentation.

Weiter: Identitätsprüfung in Kanada, unser FINTRAC-Leitfaden und die Seite zur Ausweisverifizierung.