GDPR vs. CCPA: Die wichtigsten Unterschiede erklärt

Wenn Sie personenbezogene Daten von Verbrauchern erheben, müssen Sie die beiden einflussreichsten Datenschutzgesetze der Welt verstehen: GDPR und CCPA. Beide zielen zwar auf den Schutz der Privatsphäre der Verbraucher ab, verfolgen jedoch unterschiedliche Ansätze und haben unterschiedliche Anforderungen.

In diesem umfassenden Leitfaden vergleichen wir GDPR und CCPA direkt gegenüber, erklären die wichtigsten Unterschiede und helfen Ihnen zu bestimmen, welche Gesetze für Ihr Unternehmen gelten.

Was ist die GDPR?

Die Datenschutz-Grundverordnung (GDPR) ist das umfassende Datenschutzgesetz der Europäischen Union, das am 25. Mai 2018 in Kraft trat. Sie gilt für jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet, unabhängig davon, wo das Unternehmen ansässig ist.

Die GDPR gilt als Goldstandard unter den Datenschutzgesetzen, mit strengen Anforderungen an Einwilligung, Transparenz und Nutzerrechte.

Wichtige Fakten zur GDPR:

• Zuständigkeitsbereich: Europäische Union und Europäischer Wirtschaftsraum
• Datum der Anwendbarkeit: 25. Mai 2018
• Einwilligungsmodell: Opt-in (ausdrückliche Einwilligung vor der Verarbeitung erforderlich)
• Höchststrafe: Bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes
• Geltungsbereich: Gilt für alle Unternehmen, die Daten von EU-Bürgern verarbeiten

Was ist die CCPA?

Der California Consumer Privacy Act (CCPA) ist das Datenschutzgesetz Kaliforniens, das am 1. Januar 2020 in Kraft trat. Es wurde 2023 durch den California Privacy Rights Act (CPRA) erweitert, der neue Schutzmaßnahmen hinzufügte und die California Privacy Protection Agency schuf.

Die CCPA ist das stärkste Datenschutzgesetz auf Bundesstaatsebene in den Vereinigten Staaten und hat ähnliche Gesetze in anderen Bundesstaaten inspiriert.

Wichtige Fakten zur CCPA:

• Zuständigkeitsbereich: Kalifornien, Vereinigte Staaten
• Datum der Anwendbarkeit: 1. Januar 2020 (CPRA: 1. Januar 2023)
• Einwilligungsmodell: Opt-out (Verbraucher können dem Datenverkauf widersprechen)
• Höchststrafe: 7.500 US-Dollar pro vorsätzlichem Verstoß, 2.500 US-Dollar pro unbeabsichtigtem Verstoß
• Geltungsbereich: Gilt für gewinnorientierte Unternehmen, die Umsatz- oder Datenschwellenwerte erreichen

GDPR vs. CCPA: Direkter Vergleich

Aspekt	GDPR	CCPA/CPRA
Geografischer Geltungsbereich	EU/EWR-Bürger weltweit	Einwohner Kaliforniens
Wer muss compliant sein	Jedes Unternehmen, das EU-Daten verarbeitet	Unternehmen, die Umsatz-/Datenschwellenwerte in Kalifornien erreichen
Einwilligungsmodell	Opt-in (ausdrückliche Einwilligung erforderlich)	Opt-out (Hinweis und Widerspruchsrecht)
Definition personenbezogener Daten	Alle Daten, die sich auf eine identifizierte oder identifizierbare Person beziehen	Informationen, die eine Person oder einen Haushalt identifizieren, sich darauf beziehen oder damit verknüpft werden könnten
Nutzerrechte	Auskunft, Berichtigung, Löschung, Übertragbarkeit, Einschränkung, Widerspruch, automatisierte Entscheidungsfindung	Auskunft, Löschung, Berichtigung, Widerspruch gegen Verkauf/Weitergabe, Einschränkung der Nutzung sensibler Daten
Einwilligungsalter	16 (oder 13-16, wenn der Mitgliedstaat dies zulässt)	13 für Opt-out-Rechte, 16 für Datenverkauf
Meldung von Datenschutzverletzungen	72 Stunden an die Aufsichtsbehörde	Ohne unangemessene Verzögerung an den kalifornischen Generalstaatsanwalt und die Verbraucher
Höchststrafen	20 Millionen Euro oder 4 % des weltweiten Umsatzes	7.500 US-Dollar pro vorsätzlichem Verstoß, 2.500 US-Dollar pro unbeabsichtigtem Verstoß
Privates Klagerecht	Nein (außer im Vereinigten Königreich nach dem Brexit)	Ja, bei Datenschutzverletzungen (100-750 US-Dollar pro Verbraucher und Vorfall)
Regulierungsbehörde	Datenschutzbehörden in jedem EU-Land	California Privacy Protection Agency (CPPA)
Datenschutzbeauftragter	Für bestimmte Organisationen erforderlich	Nicht erforderlich
Folgenabschätzungen	Für risikoreiche Verarbeitung erforderlich	Für risikoreiche Verarbeitung erforderlich (CPRA)

Benötigen Sie eine konforme Datenschutzerklärung? Erstellen Sie eine Datenschutzerklärung, die in wenigen Minuten sowohl die GDPR- als auch die CCPA-Anforderungen abdeckt.

Die wichtigsten Unterschiede erklärt

1. Opt-in- vs. Opt-out-Einwilligung

Dies ist der grundlegendste Unterschied zwischen den beiden Gesetzen.

GDPR (Opt-in)

• Sie müssen eine ausdrückliche Einwilligung einholen, bevor Sie personenbezogene Daten erheben oder verarbeiten
• Vorab angekreuzte Kästchen sind nicht zulässig
• Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein
• Nutzer müssen eine bestätigende Handlung vornehmen (Klicken, Tippen, Eingeben)
• Restriktiver für Unternehmen

CCPA (Opt-out)

• Sie können personenbezogene Daten ohne vorherige Einwilligung erheben und nutzen
• Sie müssen einen Link "Do Not Sell or Share My Personal Information" bereitstellen
• Verbraucher können jederzeit widersprechen
• Sie müssen Opt-out-Anfragen innerhalb von 15 Tagen erfüllen
• Unternehmensfreundlicherer Ansatz

2. Wer muss compliant sein

GDPR

• Gilt für jede Organisation, die personenbezogene Daten von EU-Bürgern verarbeitet
• Kein Umsatzschwellenwert
• Keine Mindestanzahl an betroffenen Personen
• Extraterritoriale Reichweite weltweit

CCPA/CPRA

• Gilt für gewinnorientierte Unternehmen, die mindestens eines der folgenden Kriterien erfüllen:
  • Jährlicher Bruttoumsatz über 25 Millionen US-Dollar
  • Kauf, Verkauf oder Weitergabe personenbezogener Daten von mehr als 100.000 Einwohnern Kaliforniens jährlich
  • Erzielung von mindestens 50 % des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten
• Gilt nur für Unternehmen, die in Kalifornien tätig sind

3. Verbraucherrechte

Beide Gesetze gewähren Verbrauchern erhebliche Rechte, es gibt jedoch Unterschiede:

GDPR-Rechte

• Recht auf Auskunft
• Recht auf Berichtigung (Korrektur)
• Recht auf Löschung (Recht auf Vergessenwerden)
• Recht auf Datenübertragbarkeit
• Recht auf Einschränkung der Verarbeitung
• Recht auf Widerspruch gegen die Verarbeitung
• Recht, keiner automatisierten Entscheidungsfindung unterworfen zu werden

CCPA/CPRA-Rechte

• Recht zu erfahren, welche personenbezogenen Daten erhoben werden
• Recht zu erfahren, ob Daten verkauft oder weitergegeben werden
• Recht auf Löschung personenbezogener Daten
• Recht auf Berichtigung unrichtiger Daten (CPRA)
• Recht auf Widerspruch gegen Verkauf oder Weitergabe
• Recht auf Einschränkung der Nutzung sensibler personenbezogener Informationen (CPRA)
• Recht auf Nichtdiskriminierung bei der Ausübung von Rechten

4. Definition personenbezogener Daten

GDPR

• Breitere Definition
• Umfasst alle Daten, die eine Person direkt oder indirekt identifizieren können
• Umfasst IP-Adressen, Geräte-IDs, Cookies, Standortdaten
• Besondere Kategorien für sensible Daten (Gesundheit, ethnische Herkunft, Religion usw.)

CCPA

• Umfasst Informationen, die einen Verbraucher oder Haushalt identifizieren, sich darauf beziehen oder damit verknüpft werden könnten
• Deckt auch Daten auf Haushaltsebene ab (einzigartig bei der CCPA)
• 11 spezifische Kategorien personenbezogener Informationen
• Sensible personenbezogene Informationen unterliegen besonderem Schutz (CPRA)

5. Strafen und Durchsetzung

GDPR-Strafen

• Zweistufiges System
• Untere Stufe: Bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes
• Obere Stufe: Bis zu 20 Millionen Euro oder 4 % des weltweiten Umsatzes
• Die Aufsichtsbehörden berücksichtigen Absicht, Kooperation und Minderungsmaßnahmen
• Kein privates Klagerecht (außer im Vereinigten Königreich)

CCPA-Strafen

• 2.500 US-Dollar pro unbeabsichtigtem Verstoß
• 7.500 US-Dollar pro vorsätzlichem Verstoß
• 30-tägige Frist zur Behebung von Verstößen vor Verhängung von Bußgeldern
• Privates Klagerecht bei Datenschutzverletzungen: 100-750 US-Dollar pro Verbraucher und Vorfall
• Durchsetzung durch den Generalstaatsanwalt

6. Datenschutzanforderungen

GDPR

• Datenschutz-Folgenabschätzungen (DPIAs) für risikoreiche Verarbeitung
• Datenschutzbeauftragter (DPO) für bestimmte Organisationen erforderlich
• Verzeichnis von Verarbeitungstätigkeiten
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen
• Rechtsgrundlage für jede Verarbeitung erforderlich

CCPA/CPRA

• Risikobewertungen für risikoreiche Verarbeitung (CPRA)
• Keine DPO-Pflicht
• Aufzeichnungen über Verbraucheranfragen müssen geführt werden
• Datenschutz durch Technikgestaltung wird empfohlen, ist aber nicht vorgeschrieben
• Hinweispflichten bei oder vor der Erhebung

Welches Datenschutzgesetz ist strenger?

Die GDPR gilt im Allgemeinen als umfassender und strenger, und zwar aus mehreren Gründen:

1. Einwilligung: Die GDPR verlangt eine vorherige Opt-in-Einwilligung, während die CCPA Opt-out zulässt
2. Geltungsbereich: Die GDPR gilt für alle Unternehmen, während die CCPA Umsatzschwellenwerte hat
3. Strafen: GDPR-Bußgelder können viel höher ausfallen (4 % des weltweiten Umsatzes gegenüber Bußgeldern pro Verstoß)
4. Rechte: Die GDPR gewährt umfangreichere Rechte für betroffene Personen
5. Anforderungen: Die GDPR stellt strengere Anforderungen an Sicherheit, Dokumentation und Rechenschaftspflicht

Die CCPA bietet jedoch einzigartige Vorteile für Verbraucher:

• Privates Klagerecht bei Datenschutzverletzungen
• Schnellere Durchsetzung mit kürzeren Fristen zur Behebung
• Recht auf Widerspruch gegen die "Weitergabe" von Daten (breiter als "Verkauf")

Schützen Sie Ihr Unternehmen: Erstellen Sie eine umfassende Datenschutzerklärung, die sowohl die GDPR- als auch die CCPA-Anforderungen erfüllt.

Müssen Sie beide einhalten?

Wenn Sie Kunden sowohl in der EU als auch in Kalifornien haben, ja.

Viele Unternehmen wählen einen von zwei Ansätzen:

Ansatz 1: Doppelte Compliance

• Erstellen Sie eine Datenschutzerklärung, die ausdrücklich sowohl die GDPR als auch die CCPA berücksichtigt
• Setzen Sie die strengeren Anforderungen um (in der Regel die Opt-in-Einwilligung der GDPR)
• Führen Sie separate Compliance-Prozesse für jede Vorschrift
• Komplexer, aber möglicherweise kostengünstiger

Ansatz 2: Globaler Datenschutzstandard

• Wenden Sie die strengsten Anforderungen (GDPR) auf alle Nutzer weltweit an
• Vereinfacht Compliance und Dokumentation
• Bietet ein einheitliches Nutzererlebnis
• Kann einige Möglichkeiten zur Datenerhebung einschränken

Die meisten Unternehmen wählen Ansatz 2, weil:

• Er einfacher umzusetzen und zu pflegen ist
• Er gegen neue Datenschutzgesetze zukunftssicher macht
• Er das Vertrauen der Verbraucher stärkt
• Er das rechtliche Risiko verringert

Praktische Compliance-Tipps

Für GDPR-Compliance:

1. Implementieren Sie Opt-in-Einwilligung für alle nicht wesentlichen Cookies und Tracking
2. Erstellen Sie eine umfassende Datenschutzerklärung mit den erforderlichen Offenlegungen
3. Richten Sie Prozesse ein für die Bearbeitung von Anfragen betroffener Personen (Auskunft, Löschung, Übertragbarkeit)
4. Führen Sie DPIAs durch für risikoreiche Datenverarbeitung
5. Bestellen Sie einen DPO, falls erforderlich
6. Dokumentieren Sie alles: Ihre Rechtsgrundlage, Einwilligungsnachweise, Verarbeitungstätigkeiten

Für CCPA-Compliance:

1. Fügen Sie einen Link "Do Not Sell or Share My Personal Information" in die Fußzeile Ihrer Website ein
2. Aktualisieren Sie Ihre Datenschutzerklärung mit den von der CCPA geforderten Offenlegungen
3. Erstellen Sie ein Datenanfrageformular, mit dem Verbraucher ihre Rechte ausüben können
4. Schulen Sie Ihr Team zu den CCPA-Anforderungen und zur Bearbeitung von Anfragen
5. Führen Sie Aufzeichnungen über Verbraucheranfragen und Antworten
6. Überprüfen Sie Verträge mit Dritten, um sicherzustellen, dass Anbieter die Vorschriften einhalten

Für beide:

1. Führen Sie ein Datenaudit durch: Wissen Sie, was Sie erheben, warum und wohin die Daten gehen
2. Implementieren Sie starke Sicherheit: Verschlüsselung, Zugriffskontrollen, regelmäßige Audits
3. Verwenden Sie einen Datenschutzerklärungs-Generator, um sicherzustellen, dass alle erforderlichen Elemente enthalten sind
4. Erstellen Sie ein Cookie-Einwilligungsbanner mit granularen Kontrollen
5. Legen Sie Aufbewahrungsrichtlinien fest: Speichern Sie Daten nicht länger als nötig
6. Beobachten Sie Aktualisierungen: Beide Gesetze entwickeln sich weiter

Häufige Szenarien

Szenario 1: Kleines US-Unternehmen

• Umsatz: 5 Millionen US-Dollar jährlich
• Kunden: 95 % USA, 5 % international, darunter einige EU-Besucher
• Compliance: GDPR gilt (EU-Besucher), CCPA möglicherweise nicht (unter dem Umsatzschwellenwert)

Szenario 2: Kalifornische E-Commerce-Website

• Umsatz: 30 Millionen US-Dollar jährlich
• Kunden: 80 % Kalifornien, 20 % andere US-Bundesstaaten
• Compliance: CCPA gilt (Umsatzschwellenwert erreicht), GDPR möglicherweise nicht (keine EU-Kunden)

Szenario 3: SaaS-Plattform

• Umsatz: 50 Millionen US-Dollar jährlich
• Kunden: Weltweit, einschließlich EU und Kalifornien
• Compliance: Sowohl GDPR als auch CCPA gelten. Doppelte Compliance erforderlich

Szenario 4: Mobile App

• Umsatz: 15 Millionen US-Dollar jährlich
• Nutzer: 150.000 Downloads in Kalifornien
• Compliance: CCPA gilt (überschreitet den Schwellenwert von 100.000 Einwohnern Kaliforniens)

Die Zukunft der Datenschutzgesetze

Sowohl die GDPR als auch die CCPA haben eine Welle neuer Datenschutzgesetze inspiriert:

US-Bundesstaatsgesetze

• Virginia Consumer Data Protection Act (VCDPA)
• Colorado Privacy Act (CPA)
• Connecticut Data Privacy Act (CTDPA)
• Utah Consumer Privacy Act (UCPA)
• Und weitere in Entwicklung

Internationale Gesetze

• Brasiliens LGPD
• Aktualisierungen von Kanadas PIPEDA
• Chinas PIPL
• Indiens vorgeschlagenes Datenschutzgesetz

Der Trend ist eindeutig: Datenschutzvorschriften werden strenger und verbreiteter. Unternehmen, die jetzt starke Datenschutzpraktiken umsetzen, sind für künftige Vorschriften besser aufgestellt.

Häufig gestellte Fragen

Was ist der Hauptunterschied zwischen GDPR und CCPA?

Der Hauptunterschied liegt im Einwilligungsmodell. Die GDPR verlangt eine Opt-in-Einwilligung, bevor personenbezogene Daten erhoben werden, während die CCPA ein Opt-out-Modell verwendet, bei dem Unternehmen Daten erheben dürfen, Verbrauchern aber den Widerspruch gegen deren Verkauf ermöglichen müssen.

Welches Gesetz ist strenger, GDPR oder CCPA?

Die GDPR gilt im Allgemeinen als strenger. Sie hat einen breiteren Geltungsbereich, verlangt im Vorfeld eine ausdrückliche Einwilligung, gewährt mehr Nutzerrechte und verhängt höhere Strafen. Die CCPA ist mit ihrem Opt-out-Ansatz unternehmensfreundlicher.

Muss ich sowohl die GDPR als auch die CCPA einhalten?

Wenn Sie Kunden sowohl in der EU als auch in Kalifornien haben, ja. Die GDPR gilt für EU-Bürger und die CCPA für Einwohner Kaliforniens. Viele Unternehmen erstellen eine einzige Datenschutzerklärung, die beide Vorschriften abdeckt.

Welche Strafen drohen bei Verstößen gegen die GDPR im Vergleich zur CCPA?

GDPR-Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes erreichen. CCPA-Bußgelder betragen bis zu 7.500 US-Dollar pro vorsätzlichem Verstoß und 2.500 US-Dollar pro unbeabsichtigtem Verstoß, hinzu kommen private Klagen bei Datenschutzverletzungen.

Gilt die CCPA für mein Unternehmen?

Die CCPA gilt, wenn Sie in Kalifornien geschäftlich tätig sind und eines dieser Kriterien erfüllen: Jahresumsatz über 25 Millionen US-Dollar, Kauf/Verkauf personenbezogener Daten von mehr als 100.000 Einwohnern Kaliforniens oder Erzielung von mindestens 50 % des Umsatzes aus dem Verkauf personenbezogener Daten.

Fazit

Obwohl GDPR und CCPA dasselbe Ziel verfolgen, nämlich den Schutz der Privatsphäre der Verbraucher, verfolgen sie unterschiedliche Ansätze. Die GDPR ist mit ihrem Opt-in-Einwilligungsmodell umfassender und strenger, während die CCPA mit Opt-out-Rechten mehr Flexibilität bietet, aber ein privates Klagerecht bei Datenschutzverletzungen umfasst.

Für Unternehmen, die sowohl EU- als auch kalifornische Kunden bedienen, besteht der beste Ansatz darin, Datenschutzpraktiken umzusetzen, die beide Gesetze erfüllen. Das bedeutet in der Regel, die strengeren Anforderungen der GDPR zu befolgen, die dann automatisch auch die CCPA abdecken.

Der Schlüssel zur Compliance liegt in Transparenz, Respekt für die Rechte der Verbraucher und robusten Datensicherheitspraktiken. Beginnen Sie mit einer umfassenden Datenschutzerklärung, die Ihre Datenpraktiken klar erläutert, und bauen Sie darauf Ihr Compliance-Programm auf.

Bereit, eine Datenschutzerklärung zu erstellen, die sowohl die GDPR als auch die CCPA abdeckt? Nutzen Sie unseren kostenlosen Generator, um in wenigen Minuten eine konforme Richtlinie mit professionellen Add-ons für beide Vorschriften zu erstellen.