Was der CCPA ist
Der California Consumer Privacy Act (CCPA) wurde im Juni 2018 unterzeichnet und trat am 1. Januar 2020 in Kraft. Er war das erste umfassende Verbraucherdatenschutzgesetz der USA. Er gibt Einwohnern Kaliforniens, im Gesetz Verbraucher genannt, unmittelbare Rechte an den personenbezogenen Daten, die Unternehmen über sie speichern. Ein Büro in Kalifornien ist nicht nötig: Ein Unternehmen fällt unter das Gesetz, wenn es im Bundesstaat Geschäfte macht und eine Schwelle erfüllt.
Im November 2020 stimmten die Wähler Kaliforniens dem California Privacy Rights Act (CPRA) zu, der den CCPA änderte und erweiterte. Er brachte neue Rechte, die Kategorie der sensiblen personenbezogenen Daten, strengere Regeln für Dienstleister und Auftragnehmer sowie Vorgaben zu Datenminimierung und Speicherdauer. Der CPRA schuf außerdem die California Privacy Protection Agency (CPPA), die erste US-Behörde nur für Datenschutz. Die CPPA erlässt die Ausführungsbestimmungen und setzt das Gesetz zusammen mit dem Generalstaatsanwalt Kaliforniens durch.
Wer betroffen ist
Der CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien Geschäfte machen und mindestens eine von drei Schwellen erfüllen. Erfasst sind auch Einheiten, die ein solches Unternehmen kontrollieren oder von ihm kontrolliert werden und seine Marke teilen.
| Schwelle | Bedingung |
|---|---|
| Umsatz | Jährlicher Bruttoumsatz über 25 Mio. USD im vorangegangenen Kalenderjahr; der Betrag wird an die Inflation angepasst |
| Datenmenge | Kauft, verkauft oder teilt jährlich personenbezogene Daten von 100 000 oder mehr Verbrauchern oder Haushalten |
| Umsatz mit Daten | Erzielt 50 % oder mehr des Jahresumsatzes mit Verkauf oder Weitergabe personenbezogener Daten |
Rechte der Verbraucher
Der CCPA gibt Verbrauchern sieben Rechte. Zwei davon kamen mit dem CPRA hinzu: das Recht auf Berichtigung und das Recht auf Einschränkung.
| Recht | Was es bedeutet |
|---|---|
| Auskunft | Erfahren, welche personenbezogenen Daten zu welchen Zwecken erhoben werden und ob sie verkauft oder weitergegeben werden; die konkret gespeicherten Daten erhalten |
| Löschung | Löschung der Daten beim Unternehmen und seinen Dienstleistern verlangen, vorbehaltlich gesetzlicher Ausnahmen |
| Berichtigung | Berichtigung unrichtiger personenbezogener Daten verlangen |
| Widerspruch | Verkauf der Daten und ihre Weitergabe für kontextübergreifende Verhaltenswerbung stoppen; Widerspruchssignale des Browsers sind zu beachten |
| Einschränkung | Nutzung und Offenlegung sensibler Daten auf die zulässigen Zwecke der Verordnung beschränken |
| Datenübertragbarkeit | Automatisiert erhobene Daten in einem nutzbaren, übertragbaren Format erhalten |
| Nichtdiskriminierung | Keine Leistungsverweigerung und keine anderen Preise, weil ein Recht ausgeübt wurde |
Wie Anträge bearbeitet werden
Anträge folgen einem festen Ablauf mit gesetzlichen Fristen. Die Frist beginnt am Tag, an dem der Antrag beim Unternehmen eingeht.
- 1
Antrag entgegennehmen
Verbraucher können Anträge über mindestens zwei benannte Kanäle stellen.
- 2
Antragsteller prüfen
Das Unternehmen bestätigt die Identität, bevor es Daten herausgibt, löscht oder berichtigt.
- 3
Binnen 45 Tagen antworten
Das Unternehmen antwortet innerhalb von 45 Tagen nach Eingang des Antrags.
- 4
Einmal verlängern, falls nötig
Wenn es angemessen erforderlich ist, lässt sich die Frist einmal um weitere 45 Tage verlängern. Der Verbraucher muss innerhalb der ersten 45 Tage davon erfahren.
Pflichten der Unternehmen
Ein erfasstes Unternehmen muss bei der Erhebung informieren, eine Datenschutzerklärung veröffentlichen und schriftliche Verträge schließen, die die Nutzung personenbezogener Daten durch Dienstleister und Auftragnehmer begrenzen. Die Verordnungen der CPPA führen schrittweise weitere Pflichten ein: Risikobewertungen und Cybersecurity-Audits für risikoreichere Verarbeitung sowie Hinweise zu automatisierten Entscheidungen.
Ein Unternehmen, das personenbezogene Daten verkauft oder weitergibt, muss in der Regel auf seiner Startseite einen gut sichtbaren Link mit dem gesetzlich festgelegten Wortlaut anbieten:
Do Not Sell or Share My Personal Information
California Civil Code, § 1798.135Durchsetzung und Bußgelder
Die CPPA und der Generalstaatsanwalt Kaliforniens setzen das Gesetz durch. Jeder betroffene Verbraucher kann als eigener Verstoß zählen, deshalb steigen die Summen bei großen Vorfällen schnell. Die Beträge unten legt das Gesetz fest; sie werden an die Inflation angepasst.
| Fall | Wer handelt | Betrag |
|---|---|---|
| Verstoß | CPPA oder Generalstaatsanwalt | Bis 2 500 USD pro Verstoß |
| Vorsätzlicher Verstoß oder Daten von Verbrauchern unter 16 | CPPA oder Generalstaatsanwalt | Bis 7 500 USD pro Verstoß |
| Datenpanne mit unverschlüsselten Daten wegen fehlender angemessener Sicherheit | Der betroffene Verbraucher, vor Gericht | 100 bis 750 USD pro Verbraucher und Vorfall oder der tatsächliche Schaden, falls höher |
CCPA und DSGVO
Internationale Organisationen setzen den CCPA und die EU-Datenschutz-Grundverordnung (DSGVO) oft als ein Programm um. Die beiden Gesetze beruhen jedoch auf unterschiedlichen Modellen.
Weiterlesen: Wie schütze ich meine personenbezogenen Daten?; Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.
| Aspekt | CCPA | DSGVO |
|---|---|---|
| Wer erfasst ist | Gewinnorientierte Unternehmen, die die kalifornischen Schwellen erfüllen | Organisationen jeder Größe mit Sitz in der EU/im EWR oder mit Angeboten an Personen dort |
| Grundmodell | Opt-out: Verarbeitung ist erlaubt, bis der Verbraucher Verkauf oder Weitergabe widerspricht | Rechtsgrundlage: Vor der Verarbeitung braucht es eine Grundlage wie die Einwilligung |
| Zentrale Rollen | Unternehmen, Dienstleister, Auftragnehmer | Verantwortlicher, Auftragsverarbeiter |
| Aufsicht | Generalstaatsanwalt Kaliforniens und CPPA | Nationale Aufsichtsbehörden der Mitgliedstaaten |
| Sanktionen | Bußgelder pro Verstoß, bis 7 500 USD | Bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes |