CCPA – California Consumer Privacy Act

Die DSGVO schlägt weltweit Wellen

Nach dem Vorbild der im Mai 2018 in Europa in Kraft getretenen Datenschutzgrundverordnung (DSGVO) wurde im Juni 2018 der California Consumer Privacy Act (CCPA) verabschiedet. Anfang 2020 soll dieser rechtskräftig werden. In den USA wird der Datenschutz weitgehend von den Bundesstaaten eigenständig geregelt. Die International Association of Privacy Professionals (IAPP) schätzt, dass allein in den USA mehr als 500.000 Unternehmen vom CCPA betroffen sind. Diese müssen nun überprüfen, inwiefern sie ihre Geschäftsprozesse überarbeiten und den Anforderungen des CCPA bis zum Stichtag am 01.01.2020 anpassen müssen.

Was ist der California Consumer Privacy Act (CCPA)?

Der California Consumer Privacy Act ist ein Gesetz, das die Daten von Verbrauchern aus Kalifornien schützen soll. Personen aus anderen (Bundes-)Staaten, die sich vorübergehend in Kalifornien aufhalten, zählen nicht zu dem Personenkreis, den der CCPA umfasst. Kalifornier, die sich vorübergehend in anderen (Bundes-)Staaten aufhalten, zählen jedoch dazu.

Wer muss sich an die Regelungen des CCPA halten?

Das Gesetz gilt für gemeinnützige Organisationen und juristische Personen, die personenbezogene Informationen über kalifornische Verbraucher (unabhängig davon, wo sich der Sitz des verarbeitenden Unternehmens befindet) verarbeiten. Dafür gelten die folgenden Schwellenwerte:

• Jährlicher Bruttoumsatz von mehr als 25 Mio. USD
• Kauf, Verkauf und Nutzung zu kommerziellen Zwecken von Datensätzen von 50.000 Verbrauchern
• 50 % des Jahresumsatzes werden aus dem Verkauf von Verbraucherdaten generiert

Was sind “personenbezogene Daten” laut CCPA?

Laut CCPA zählen alle Informationen, mit denen ein Verbraucher identifiziert oder beschrieben werden kann, zu „personenbezogenen Daten“. Die Einzelheiten sind in einer nicht abschließend gemeinten Liste von elf Datenkategorien aufgeführt. Darunter fallen beispielsweise Name, Adresse, Email-Adresse, Standortdaten, biometrische Daten, Cookie-Informationen, Suchhistorien, IP-Adressen, etc.

Welche Rechte haben kalifornische Verbraucher nach dem CCPA?

Das CCPA eröffnet den kalifornischen Verbrauchern Rechte, ihre personenbezogenen Daten zu schützen, die Weitergabe zu kontrollieren und Auskunft zu verlangen.

Im Einzelnen haben kalifornische Verbraucher:

• das Recht, die Kategorien von Informationen zu erfahren, die ein Unternehmen über sie sammelt, speichert, verarbeitet und verkauft
• Recht auf Auskunft, an wen die Informationen verkauft oder weitergegeben werden
• Recht auf Verhinderung des Verkaufs oder der Weitergabe von Informationen an Dritte
• Recht auf eine Kopie „spezifischer Teile“ der personenbezogenen Daten, die dem Konsumenten innerhalb von 45 Tagen per Post oder elektronisch zur Verfügung gestellt werden müssen
• Recht auf Vergessen-Werden, also das Recht auf Löschung der Daten (auch bei Drittanbietern, die diese Daten von dem Unternehmen erhalten)
• Recht auf ein Opt-out vor Verhinderung des Weiterverkaufs von personenbezogenen Daten an Dritte
• Recht auf Nicht-Diskriminierung

Welche Strafen drohen bei Nicht-Einhaltung?

Bei Nicht-Einhaltung der Anforderungen des CCPA erhebt der Bundesstaat Kalifornien, je nach den Umständen wie unzureichende Schutzmaßnahmen oder Absicht, Geldbußen bis zu 7.500 US-Dollar pro Datensatz und Vorfall.

Im Vergleich zu den Strafen, die Unternehmen bei Verstoß gegen die Datenschutz-Grundverordnung drohen, erscheinen diese Geldbußen gering. Allerdings riskieren Unternehmen in den USA zivilrechtliche Sammelklagen von betroffenen Verbrauchern, die zu Vertrauensverlust und erheblichen Geldbußen führen können.