VPNs und Datenschutzgesetze 2026: Was DSGVO, CCPA und andere wirklich bedeuten

Datenschutzgesetze wie die europäische DSGVO und der kalifornische CCPA geben Ihnen rechtliche Ansprüche auf Ihre persönlichen Daten: zu erfahren, was gesammelt wird, die Löschung zu verlangen, und in manchen Fällen Verkauf oder personalisierte Werbung abzulehnen. Was sie nicht tun, ist die Sammlung in Echtzeit während des Surfens zu verhindern. Der Unterschied ist wichtig, wenn Sie entscheiden wollen, ob diese Gesetze Sie schon abdecken oder ob ein VPN trotzdem eine Aufgabe hat.

Was die DSGVO wirklich abdeckt

Die europäische Datenschutz-Grundverordnung gilt für jedes Unternehmen, das personenbezogene Daten von Menschen in der EU verarbeitet, unabhängig vom Firmensitz. Sie verlangt klare Einwilligung zur Datensammlung, gibt das Recht auf Auskunft und Löschung, und schreibt vor, dass Unternehmen Datenschutzverletzungen innerhalb einer strengen Frist melden. Ihre Durchsetzung hat zu einigen der höchsten je verhängten Datenschutzstrafen geführt.

Was die DSGVO nicht tut, ist eine Website davon abzuhalten, Ihren Browser-Fingerabdruck zu erfassen, Ihre IP-Adresse beim Verbindungsaufbau zu protokollieren, oder Daten mit Werbepartnern zu teilen, bevor Sie überhaupt widersprechen konnten: Sie regelt, was mit Daten nach der Sammlung passiert, und verlangt Einwilligungsmechanismen, blockiert aber die Sammlung nicht technisch auf Netzwerkebene. Ein VPN wirkt davor: Es ändert, welche IP-Adresse überhaupt erst protokolliert wird.

Was CCPA (und sein Nachfolger CPRA) in den USA abdeckt

Der California Consumer Privacy Act, später durch das CPRA erweitert, gibt Bewohnern Kaliforniens Rechte, die der DSGVO im Geist ähneln: zu erfahren, welche Daten gesammelt werden, deren Löschung zu verlangen, und Verkauf oder Weitergabe persönlicher Daten abzulehnen. Mehrere andere US-Bundesstaaten haben inzwischen vergleichbare Gesetze verabschiedet, auch wenn Umfang und Details je nach Bundesstaat stark variieren, und es gibt weiterhin kein einheitliches Bundesdatenschutzgesetz für das ganze Land.

Dieser Flickenteppich einzelner Bundesstaaten ist mit ein Grund, warum US-Nutzer in einem VPN oft mehr Wert sehen als Nutzer strengerer, einheitlicherer Rechtsräume: Das rechtliche Mindestschutzniveau variiert stark je nach Bundesstaat, während der Schutz eines VPNs sich nicht nach dem Standort richtet.

Wo diese Gesetze und ein VPN unterschiedliche Aufgaben erfüllen

Datenschutzgesetze regeln Unternehmen: was sie sammeln dürfen, wie lange sie es behalten dürfen, und welche Rechte Sie haben, das anzufechten. Ein VPN wirkt auf Netzwerkebene: Es verbirgt Ihre IP-Adresse vor besuchten Seiten und verschlüsselt Ihren Datenverkehr, damit Ihr Internetanbieter gar nicht erst sieht, welche Seiten Sie besuchen. Keines ersetzt das andere.

Eine hilfreiche Denkweise: DSGVO und CCPA drehen sich um Rechenschaft, nachdem Daten bereits existieren. Ein VPN wie ProtonVPN reduziert, wie viele identifizierende Daten überhaupt erst entstehen und protokolliert werden, besonders IP-basierte Daten, auf die sich viel Tracking und Profiling immer noch stützt.

Warum die Jurisdiktion Ihres VPNs trotzdem wichtig bleibt

Ironischerweise gilt derselbe Flickenteppich an Datenschutzrecht, der DSGVO und CCPA für Sie relevant macht, auch für den VPN-Anbieter, den Sie wählen. Ein VPN mit Sitz in einem Land mit starkem Datenschutzrecht und ohne Pflicht zur Vorratsdatenspeicherung (die Schweiz und Panama sind gängige Beispiele unter auditierten Anbietern) steht unter geringerem rechtlichem Druck, Nutzerdaten zu protokollieren und herauszugeben, als ein Anbieter mit Sitz in einem Land, das die Offenlegung erzwingen kann. Siehe unsere Analyse zur VPN-Jurisdiktion und den Five-Eyes-, Nine-Eyes- und Fourteen-Eyes-Allianzen dazu, wie sich das in der Praxis auswirkt.

Weitere regionale Gesetze, die Sie kennen sollten

Das brasilianische LGPD (Lei Geral de Proteção de Dados) folgt eng der Struktur der DSGVO und gilt für jedes Unternehmen, das Daten von Menschen in Brasilien verarbeitet, unabhängig vom Firmensitz. Großbritannien behält nach dem Brexit eine eigene Version der DSGVO (UK GDPR) bei, funktional nah am europäischen Original, aber separat von der eigenen Aufsichtsbehörde durchgesetzt. Keines dieser Gesetze, ebenso wenig wie DSGVO und CCPA, ändert etwas an der Kernfunktion eines VPNs: IP-Verschleierung und Verschlüsselung des Datenverkehrs bleiben für Nutzer in Brasilien oder Großbritannien genauso relevant wie in der EU oder Kalifornien, da Gesetz und netzwerkseitiger Schutz unterschiedliche Teile desselben größeren Problems lösen.

Was passiert, wenn diese Gesetze auf staatliche Überwachungsanfragen treffen

Man sollte sich über eine gemeinsame Grenze dieser Gesetze klar sein: Keines hebt die eigenständige rechtliche Befugnis eines Staates auf, Datenoffenlegung zu Strafverfolgungs- oder Sicherheitszwecken zu erzwingen, per Durchsuchungsbeschluss, Vorladung, oder in manchen Rechtsräumen über undurchsichtigere Verfahren. DSGVO und CCPA regeln kommerzielle Datenpraktiken; sie sind kein Schutzschild gegen rechtmäßige staatliche Zugriffsanfragen, die in jedem Land unter völlig anderen rechtlichen Rahmenbedingungen ablaufen. Genau deshalb zählen die Jurisdiktion eines VPN-Anbieters und die tatsächliche Existenz (oder Nichtexistenz) von Logs zur Herausgabe unabhängig davon, welches Datenschutzrecht sonst für diesen Anbieter gilt.

Was sich für VPN-Nutzer durch diese Gesetze tatsächlich geändert hat

VPN-Anbieter, die in der EU tätig sind oder EU-Kunden bedienen, unterliegen selbst der DSGVO für Daten, die sie tatsächlich sammeln, etwa Rechnungsdaten oder Support-Tickets. Das ist mit ein Grund, warum auditierte No-Logs-Versprechen zählen: Ein Anbieter kann bei den Daten, die er hält, vollständig DSGVO-konform sein und trotzdem mehr Verbindungsdaten protokollieren, als sein Marketing nahelegt, sofern dieses Versprechen nicht unabhängig geprüft wurde. Suchen Sie nach unabhängig auditierten No-Log-VPNs, statt sich allein auf rechtliche Konformität als Beleg für eine solide Datenschutzhaltung zu verlassen.

Wie Sie Ihre Rechte unter diesen Gesetzen tatsächlich ausüben

Wenn Sie sehen wollen, was ein Unternehmen über Sie gesammelt hat, sind die meisten von DSGVO oder CCPA erfassten Unternehmen gesetzlich verpflichtet, einen Weg für eine Auskunfts- oder Löschanfrage anzubieten, meist über eine Datenschutz-Einstellungsseite oder eine in der Datenschutzerklärung genannte E-Mail-Adresse. Antwortfristen sind gesetzlich festgelegt (30 Tage sind unter der DSGVO üblich, mit möglichen Verlängerungen bei komplexen Anfragen), sodass ein Unternehmen, das eine ordnungsgemäß gestellte Anfrage ignoriert, selbst einen Verstoß begeht, den Sie bei der zuständigen Aufsichtsbehörde melden können.

Das regelmäßig für die am meisten genutzten Dienste zu tun, besonders Streaming-Plattformen, soziale Netzwerke und Datenhändler-Seiten, reduziert Ihren tatsächlichen Daten-Fußabdruck direkter als die meisten technischen Maßnahmen, da bereits existierende Daten entfernt werden, statt nur künftige Sammlung zu verhindern.

Warum die Durchsetzung so ungleich ausfällt

Ein Punkt, der bei DSGVO und CCPA oft untergeht: Die tatsächliche Durchsetzung hängt stark von den Ressourcen der jeweiligen Aufsichtsbehörde ab, nicht nur vom Wortlaut des Gesetzes selbst. Manche europäischen Datenschutzbehörden bearbeiten Beschwerden deutlich schneller und verhängen höhere Strafen als andere, obwohl dieselbe DSGVO für alle EU-Mitgliedstaaten gilt, da die Verordnung die Durchsetzung bewusst den nationalen Behörden überlässt statt eine einzige zentrale Instanz zu schaffen. Das bedeutet praktisch, dass Ihr tatsächlicher Rechtsschutz je nachdem, welche Behörde für ein bestimmtes Unternehmen zuständig ist, spürbar unterschiedlich ausfallen kann, selbst innerhalb desselben Rechtsraums.

Was das praktisch bedeutet

Wenn Sie irgendwo leben, das von DSGVO, CCPA oder einem ähnlichen Gesetz erfasst ist, haben Sie echte rechtliche Werkzeuge: verlangen, was ein Unternehmen über Sie weiß, Löschung fordern, wo möglich dem Datenverkauf widersprechen. Nutzen Sie sie. Aber verwechseln Sie diese Rechte nicht damit, kein VPN mehr zu brauchen. Diese Gesetze regeln, was mit bereits existierenden Daten passiert; ein VPN reduziert, wie viele identifizierende Daten Ihre Verbindung überhaupt erst erzeugt. Beides ergänzt sich, ersetzt sich aber nicht.

Für die stärkste Kombination aus auditierten No-Logs-Nachweisen und datenschutzfreundlicher Jurisdiktion bleiben NordVPN und ProtonVPN unsere bestbewerteten Optionen in dieser Kategorie.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Weiterlesen: Five Eyes, Nine Eyes, 14 Eyes: Was bedeutet das für VPNs? und Wer besitzt Ihr VPN? Eigentümerstrukturen 2026.