Was ist CCPA? Das kalifornische Datenschutzgesetz erklärt

Wenn Sie ein Unternehmen führen, das Einwohner Kaliforniens bedient, könnte der California Consumer Privacy Act (CCPA) für Sie gelten. Dieses wegweisende Datenschutzgesetz hat verändert, wie Unternehmen in den Vereinigten Staaten mit personenbezogenen Daten umgehen, und es zu verstehen ist entscheidend für die Compliance.

In diesem Leitfaden erklären wir Ihnen alles, was Sie über CCPA wissen müssen, in klaren, praktischen Worten: von der Frage, für wen es gilt, über die Rechte, die es Verbrauchern gewährt, bis hin zur Frage, wie Sie die Compliance sicherstellen.

Was ist CCPA?

Der California Consumer Privacy Act (CCPA) ist ein Datenschutzgesetz auf bundesstaatlicher Ebene, das Einwohnern Kaliforniens mehr Kontrolle über die personenbezogenen Daten gibt, die Unternehmen über sie erheben. Es trat am 1. Januar 2020 in Kraft, mit Beginn der Durchsetzung am 1. Juli 2020.

CCPA wird oft als "GDPR der Vereinigten Staaten" bezeichnet, weil es das erste umfassende Datenschutzgesetz in Amerika war, obwohl es erhebliche Unterschiede zu seinem europäischen Pendant aufweist.

CCPA vs. CPRA: Was hat sich geändert?

Im November 2020 stimmten die kalifornischen Wähler der Proposition 24 zu, die den California Privacy Rights Act (CPRA) schuf. CPRA ist im Wesentlichen CCPA 2.0: Es ergänzt und erweitert das ursprüngliche Gesetz.

Wichtige CPRA-Änderungen, die am 1. Januar 2023 in Kraft traten:

• Schaffung einer neuen Durchsetzungsbehörde: der California Privacy Protection Agency (CPPA)
• Einführung der Kategorie "sensible personenbezogene Daten" mit zusätzlichem Schutz
• Erweiterung des Rechts auf Berichtigung unrichtiger Daten
• Verlängerung des Rückblickzeitraums für Datenanfragen von 12 auf 15 Monate
• Verdreifachung des Umsatzschwellenwerts von 25 Millionen US-Dollar auf 25 Millionen US-Dollar (inflationsbereinigt)
• Hinzufügung neuer Beschränkungen für automatisierte Entscheidungsfindung
• Einführung von Risikobewertungen für die Verarbeitung von Daten mit hohem Risiko

Wenn heute von "CCPA" die Rede ist, ist in der Regel das durch CPRA geänderte Gesetz gemeint.

Für wen gilt CCPA?

CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und mindestens einen dieser Schwellenwerte erfüllen:

Umsatzschwellenwert

Jährliche Bruttoeinnahmen über 25 Millionen US-Dollar (jährlich inflationsbereinigt, derzeit 26,45 Millionen US-Dollar für 2025)

Schwellenwert für Verbraucherdaten

Kauf, Verkauf oder Weitergabe der personenbezogenen Daten von 100.000 oder mehr kalifornischen Verbrauchern oder Haushalten pro Jahr

Umsatz aus Datenverkäufen

Erzielung von 50 Prozent oder mehr des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten von Verbrauchern

Nicht sicher, ob CCPA für Sie gilt? Erstellen Sie eine CCPA-konforme Datenschutzerklärung, um unabhängig von Ihrer Unternehmensgröße abgesichert zu sein.

Wichtige Hinweise

• Sie müssen sich nicht in Kalifornien befinden: Das Bedienen von Einwohnern Kaliforniens genügt
• Gemeinnützige Organisationen sind in der Regel ausgenommen
• Dienstleister und Auftragnehmer haben andere Pflichten
• Das Gesetz gilt für personenbezogene Daten, die sowohl online als auch offline erhoben werden

Welche personenbezogenen Daten schützt CCPA?

CCPA verfügt über eine weit gefasste Definition personenbezogener Daten. Es deckt alle Informationen ab, die einen bestimmten kalifornischen Verbraucher oder Haushalt identifizieren, sich auf ihn beziehen oder vernünftigerweise mit ihm in Verbindung gebracht werden können.

Kategorien personenbezogener Daten

1. Kennungen

   • Echter Name, Aliasname, Postanschrift, E-Mail, Telefonnummer
   • Eindeutige persönliche Kennung, IP-Adresse, Kontoname
   • Sozialversicherungsnummer, Führerschein, Reisepassnummer

2. Kundendatensätze

   • Kaufhistorie, Zahlungsinformationen
   • Beschäftigungsinformationen
   • Bildungsinformationen

3. Geschützte Klassifizierungen

   • Alter, ethnische Zugehörigkeit, Geschlecht, sexuelle Orientierung
   • Familienstand, Veteranenstatus
   • Behinderungsstatus

4. Kommerzielle Informationen

   • Gekaufte Produkte oder Dienstleistungen
   • Kauf- oder Konsumverläufe
   • Tendenzen oder Präferenzen

5. Biometrische Informationen

   • Fingerabdrücke, Gesichtserkennungsdaten
   • Stimmabdrücke, Iris-Scans
   • Verhaltensmuster

6. Internetaktivität

   • Browserverlauf, Suchverlauf
   • Informationen über die Interaktion von Verbrauchern mit Websites oder Apps
   • Clickstream-Daten

7. Geolokalisierungsdaten

   • Präzise Standortdaten
   • Bewegungsmuster

8. Sensorische Daten

   • Audio-, elektronische, visuelle oder ähnliche Informationen

9. Berufliche Informationen

   • Aktueller oder früherer beruflicher Werdegang
   • Leistungsbeurteilungen

10. Schlussfolgerungen

    • Profil, das Präferenzen, Eigenschaften, Verhalten und Einstellungen widerspiegelt

Sensible personenbezogene Daten (gemäß CPRA)

CPRA schuf eine besondere Kategorie, die zusätzlichen Schutz erfordert:

• Sozialversicherungs-, Führerschein-, Reisepassnummern
• Anmeldedaten mit Passwörtern
• Präzise Geolokalisierung
• Ethnische oder rassische Herkunft, religiöse Überzeugungen, Gewerkschaftszugehörigkeit
• Inhalte von Briefen, E-Mails und Textnachrichten
• Genetische Daten
• Biometrische Daten zur Identifizierung
• Gesundheitsinformationen
• Sexualleben oder sexuelle Orientierung

Verbraucherrechte gemäß CCPA

CCPA gewährt kalifornischen Verbrauchern mehrere durchsetzbare Rechte:

Recht auf Auskunft

Verbraucher können Folgendes anfordern:

• Welche Kategorien personenbezogener Daten Sie erhoben haben
• Bestimmte personenbezogene Daten, die Sie besitzen
• Quellen dieser Informationen
• Geschäftliche Zwecke der Erhebung
• Dritte, mit denen Sie Daten geteilt haben

Sie müssen innerhalb von 45 Tagen antworten (mit einer möglichen Verlängerung um 45 Tage).

Recht auf Löschung

Verbraucher können die Löschung ihrer personenbezogenen Daten verlangen, mit bestimmten Ausnahmen (z. B. Abschluss von Transaktionen, rechtliche Verpflichtungen, Sicherheitszwecke).

Recht auf Widerspruch gegen Verkauf/Weitergabe

Verbraucher können dem Verkauf oder der Weitergabe ihrer personenbezogenen Daten widersprechen. Sie müssen einen klaren Link "Meine personenbezogenen Daten nicht verkaufen oder weitergeben" auf Ihrer Website bereitstellen.

Recht auf Berichtigung

Gemäß CPRA können Verbraucher die Berichtigung unrichtiger personenbezogener Daten verlangen.

Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten

CPRA erlaubt Verbrauchern, die Nutzung und Offenlegung ihrer sensiblen personenbezogenen Daten auf das zu beschränken, was zur Bereitstellung von Waren oder Dienstleistungen erforderlich ist.

Recht auf Nichtdiskriminierung

Unternehmen dürfen Verbraucher nicht dafür diskriminieren, dass sie ihre CCPA-Rechte ausüben. Sie können jedoch finanzielle Anreize für die Datenerhebung anbieten, sofern diese ordnungsgemäß offengelegt werden.

Geschäftliche Pflichten gemäß CCPA

Wenn CCPA für Ihr Unternehmen gilt, müssen Sie:

1. Eine Datenschutzerklärung bereitstellen

Ihre Datenschutzerklärung muss Folgendes enthalten:

• Kategorien der erhobenen personenbezogenen Daten
• Quellen personenbezogener Daten
• Geschäftliche Zwecke der Erhebung
• Kategorien von Dritten, mit denen Sie Daten teilen
• Verbraucherrechte gemäß CCPA
• Wie diese Rechte ausgeübt werden
• Kategorien verkaufter oder weitergegebener Informationen (falls zutreffend)
• Kategorien erhobener sensibler personenbezogener Daten

2. Erforderliche Links hinzufügen

Sie müssen Folgendes bereitstellen:

• Einen klaren, deutlich sichtbaren Link mit dem Titel "Meine personenbezogenen Daten nicht verkaufen oder weitergeben" (falls Sie Daten verkaufen/weitergeben)
• Einen Link zu "Die Nutzung meiner sensiblen personenbezogenen Daten einschränken" (falls gemäß CPRA zutreffend)
• Links in Ihrer Datenschutzerklärung zur Anforderung von Datenzugriff/Löschung

3. Verbraucheranfragen erfüllen

Richten Sie einen Prozess ein, um:

• Die Identität des Verbrauchers zu überprüfen
• Innerhalb von 45 Tagen auf Anfragen zu antworten
• Daten in einem portablen, leicht nutzbaren Format bereitzustellen
• Aufzeichnungen über Anfragen 24 Monate lang aufzubewahren

4. Mitarbeiter schulen

Stellen Sie sicher, dass Mitarbeiter, die Verbraucheranfragen bearbeiten, in den CCPA-Anforderungen und Verbraucherrechten geschult sind.

5. Verträge mit Dienstleistern aktualisieren

Verträge mit Dienstleistern müssen:

• Den Verkauf personenbezogener Daten verbieten
• Die Aufbewahrung oder Nutzung außerhalb des Vertrags verbieten
• Eine Bestätigung der Compliance verlangen

6. Risikobewertungen durchführen (CPRA)

Führen Sie für Verarbeitungsaktivitäten mit hohem Risiko Cybersicherheitsaudits und Risikobewertungen durch und reichen Sie diese bei der CPPA ein.

Bereit zur Einhaltung? Erstellen Sie eine CCPA-konforme Datenschutzerklärung, die alle erforderlichen Offenlegungen abdeckt.

CCPA-Strafen und Durchsetzung

CCPA verfügt sowohl über eine behördliche als auch eine private Durchsetzung:

Verwaltungsstrafen

Der kalifornische Generalstaatsanwalt (und jetzt die CPPA gemäß CPRA) kann verhängen:

• Bis zu 2.500 US-Dollar pro Verstoß
• Bis zu 7.500 US-Dollar pro vorsätzlichem Verstoß

Aufsichtsbehörden gewähren bei ersten Verstößen in der Regel eine 30-tägige Frist zur Behebung, bevor sie Geldbußen verhängen.

Privates Klagerecht (Datenschutzverletzungen)

Verbraucher können bei Datenschutzverletzungen direkt klagen, die Folgendes betreffen:

• Unverschlüsselte oder ungeschwärzte personenbezogene Daten
• Gesetzlicher Schadenersatz von 100 bis 750 US-Dollar pro Verbraucher und Vorfall
• Tatsächlicher Schadenersatz, falls höher

Bemerkenswerte CCPA-Durchsetzungsmaßnahmen

• Sephora - Vergleich über 1,2 Millionen US-Dollar wegen Versäumnis, den Verkauf personenbezogener Daten offenzulegen und Widerspruchsanfragen zu erfüllen
• DoorDash - Vergleich wegen unzureichender Benachrichtigung über Datenverkäufe
• Einzelhändler - Mehrere Vergleiche wegen fehlender "Do Not Sell"-Links

Die CPPA begann 2023 mit der aktiven Durchsetzung und hat ein aggressiveres Vorgehen in der Zukunft angekündigt.

Wie Sie CCPA einhalten

Hier ist ein praktischer Fahrplan zur CCPA-Compliance:

Schritt 1: Feststellen, ob CCPA gilt

Berechnen Sie:

• Jahresumsatz
• Anzahl der kalifornischen Verbraucher, deren Daten Sie verarbeiten
• Umsatzanteil aus Datenverkäufen

Schritt 2: Datenkartierung

Führen Sie eine Datenbestandsaufnahme durch:

• Welche personenbezogenen Daten erheben Sie?
• Aus welchen Quellen?
• Zu welchen Zwecken?
• Mit wem teilen Sie sie?
• Wie lange bewahren Sie sie auf?

Schritt 3: Ihre Datenschutzerklärung aktualisieren

Stellen Sie sicher, dass Ihre Erklärung Folgendes enthält:

• Alle erforderlichen CCPA-Offenlegungen
• Klare, einfache Sprache
• Leicht auffindbarer Standort (Fußzeilen-Link)
• 12-monatiger Aktualisierungszyklus

Schritt 4: Mechanismen für Verbraucherrechte einrichten

Richten Sie ein:

• Webformular für Zugriffs-/Löschanfragen
• Gebührenfreie Telefonnummer (für Unternehmen mit Online-Präsenz)
• E-Mail-Kontakt für Anfragen
• Identitätsprüfungsprozess
• Antwort-Workflow mit Verfolgung der 45-Tage-Frist

Schritt 5: Erforderliche Links hinzufügen

Auf Ihrer Website:

• Link "Meine personenbezogenen Daten nicht verkaufen oder weitergeben" (falls zutreffend)
• Link "Die Nutzung meiner sensiblen personenbezogenen Daten einschränken" (falls zutreffend)
• Link zur Datenschutzerklärung in der Fußzeile

Schritt 6: Beziehungen zu Dritten überprüfen

Für Dienstleister:

• Verträge mit CCPA-Formulierungen aktualisieren
• Bestätigungen der Compliance einholen
• Praktiken der Datenweitergabe prüfen

Schritt 7: Ihr Team schulen

Stellen Sie sicher, dass die Mitarbeiter Folgendes verstehen:

• Was CCPA ist und für wen es gilt
• Verbraucherrechte gemäß CCPA
• Wie Anfragen bearbeitet werden
• Was einen "Verkauf" von Daten darstellt

Schritt 8: Technische Kontrollen implementieren

Richten Sie ein:

• Cookie-Einwilligungsverwaltung (für den Widerspruch gegen Verkäufe)
• Workflows zur Datenlöschung
• Werkzeuge zur Datenübertragbarkeit
• Erkennung von Widerspruchssignalen (Global Privacy Control)

Brauchen Sie Hilfe bei Cookies? Erstellen Sie eine Cookie-Richtlinie, die Ihre Tracking-Praktiken erklärt und Widerspruchsanfragen erfüllt.

CCPA vs. GDPR: Wesentliche Unterschiede

Obwohl beide Gesetze die Privatsphäre der Verbraucher schützen, weisen sie wichtige Unterschiede auf:

Aspekt	CCPA	GDPR
Geltungsbereich	Einwohner Kaliforniens	Einwohner der EU
Unternehmensgröße	Umsatz-/Datenschwellenwerte	Alle Unternehmen, die EU-Daten verarbeiten
Einwilligungsmodell	Opt-out (außer Minderjährige)	Opt-in erforderlich
Datenverkauf	Opt-out muss ermöglicht werden	Im Allgemeinen verboten
Strafen	Bis zu 7.500 US-Dollar/Verstoß	Bis zu 4 % des weltweiten Umsatzes
Datenschutzbeauftragter	Nicht erforderlich	Für einige erforderlich
Rechtsgrundlage	Nicht erforderlich	Muss für jeden Zweck festgelegt werden
Durchsetzung	Generalstaatsanwalt, CPPA, Verbraucher	Aufsichtsbehörden

Wichtigste Erkenntnis

GDPR ist im Allgemeinen umfassender und strenger. Wenn Sie bereits GDPR-konform sind, sind Sie auf einem guten Weg zur CCPA-Compliance, müssen aber dennoch CCPA-spezifische Anforderungen wie den "Do Not Sell"-Link und die CCPA-Offenlegungsformulierungen erfüllen.

Häufige Fehler bei der CCPA-Compliance

Vermeiden Sie diese häufigen Fehler:

1. Fehlender "Do Not Sell"-Link - Erforderlich, selbst wenn Sie behaupten, Daten nicht im herkömmlichen Sinne zu "verkaufen"
2. Unzureichende Datenschutzerklärung - Muss alle 11 erforderlichen Kategorien von Offenlegungen enthalten
3. Kein Überprüfungsprozess - Muss die Identität des Verbrauchers überprüfen, bevor auf Anfragen reagiert wird
4. Gebühren für Anfragen - Für die ersten beiden Anfragen pro Jahr dürfen keine Gebühren erhoben werden
5. Diskriminierung von Antragstellern - Darf Verbrauchern, die ihre Rechte ausüben, weder den Service verweigern noch andere Preise berechnen
6. Ignorieren autorisierter Vertreter - Muss Anfragen von verbraucherautorisierten Vertretern erfüllen
7. Nichterfüllung von Global Privacy Control - CPRA verlangt die Erkennung browserbasierter Widerspruchssignale
8. Fehlende Vertragsaktualisierungen - Vereinbarungen mit Dienstleistern müssen spezifische CCPA-Formulierungen enthalten

CCPA und andere bundesstaatliche Datenschutzgesetze

CCPA inspirierte ähnliche Gesetze in den gesamten Vereinigten Staaten:

• Virginia (VCDPA) - Wirksam ab 1. Januar 2023
• Colorado (CPA) - Wirksam ab 1. Juli 2023
• Connecticut (CTDPA) - Wirksam ab 1. Juli 2023
• Utah (UCPA) - Wirksam ab 31. Dezember 2023
• Iowa, Montana, Oregon, Tennessee, Texas - Verschiedene Wirksamkeitstermine 2024-2025

Viele Unternehmen verfolgen einen landesweiten Ansatz und nutzen CCPA als Basis, um die Pflege separater Compliance-Programme für jeden Bundesstaat zu vermeiden.

Erste Schritte zur CCPA-Compliance

Der wichtigste erste Schritt besteht darin, eine konforme Datenschutzerklärung zu erstellen, die:

1. Ihre Datenpraktiken klar offenlegt - Was Sie erheben, warum und wie
2. Verbraucherrechte erklärt - Alle gemäß CCPA/CPRA verfügbaren Rechte
3. Kontaktmechanismen bereitstellt - Wie Verbraucher ihre Rechte ausüben können
4. Datenverkäufe/-weitergaben auflistet - Falls zutreffend, welche Kategorien Sie verkaufen oder weitergeben
5. Jährlich aktualisiert - Mindestens alle 12 Monate überprüfen und aktualisieren

Von dort aus implementieren Sie die technischen und operativen Prozesse, um die Verbraucherrechte zu erfüllen und die Compliance aufrechtzuerhalten.

Häufig gestellte Fragen

Wofür steht CCPA?

CCPA steht für California Consumer Privacy Act. Es handelt sich um ein umfassendes Datenschutzgesetz, das am 1. Januar 2020 in Kraft trat und Einwohnern Kaliforniens die Kontrolle über ihre personenbezogenen Daten gibt.

Für wen gilt CCPA?

CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und mindestens einen dieser Schwellenwerte erfüllen: Jahresumsatz über 25 Millionen US-Dollar, Kauf/Verkauf personenbezogener Daten von 100.000 oder mehr kalifornischen Verbrauchern oder Erzielung von 50 Prozent oder mehr des Umsatzes aus dem Verkauf personenbezogener Daten.

Welche Strafen drohen bei CCPA-Verstößen?

CCPA-Verstöße können zu Geldbußen von bis zu 2.500 US-Dollar pro Verstoß oder 7.500 US-Dollar pro vorsätzlichem Verstoß führen. Verstöße im Zusammenhang mit Datenschutzverletzungen können zu Verbraucherklagen mit Schadenersatz von 100 bis 750 US-Dollar pro Vorfall und Verbraucher führen.

Was ist der Unterschied zwischen CCPA und CPRA?

CPRA (California Privacy Rights Act) ist eine Ergänzung zum CCPA, die am 1. Januar 2023 in Kraft trat. Sie erweitert die Verbraucherrechte, schafft die California Privacy Protection Agency und führt strengere Anforderungen für sensible personenbezogene Daten ein.

Muss ich sowohl CCPA als auch GDPR einhalten?

Wenn Sie sowohl Einwohner Kaliforniens als auch Einwohner der EU bedienen, müssen Sie beide Gesetze einhalten. CCPA ist im Allgemeinen weniger streng als GDPR. Wenn Sie also bereits GDPR-konform sind, sind Sie der CCPA-Compliance wahrscheinlich schon nahe.

Fazit

CCPA stellt einen bedeutenden Wandel im US-Datenschutzrecht dar und gibt kalifornischen Verbrauchern eine bedeutsame Kontrolle über ihre personenbezogenen Daten. Während die Compliance Aufwand erfordert, etwa die Aktualisierung von Richtlinien, die Implementierung von Anfragemechanismen und die Schulung von Mitarbeitern, ist das Grundprinzip einfach: Seien Sie transparent über Datenpraktiken und respektieren Sie die Entscheidungen der Verbraucher.

Für die meisten Unternehmen ist der größte Aufwand die anfängliche Compliance-Arbeit. Sobald Sie Ihre Datenschutzerklärung aktualisiert, Anfrage-Workflows implementiert und erforderliche Links hinzugefügt haben, wird die laufende Compliance zur Routine.

Entscheidend ist, jetzt zu beginnen. Da die CPPA aktiv durchsetzt und sich Verbraucher zunehmend ihrer Rechte bewusst sind, ist die CCPA-Compliance für Unternehmen, die Einwohner Kaliforniens bedienen, nicht mehr optional.

Bereit, Ihre CCPA-konforme Datenschutzerklärung zu erstellen? Nutzen Sie unseren kostenlosen Generator, um in wenigen Minuten eine umfassende Richtlinie zu erstellen, die alle CCPA-Anforderungen abdeckt.