Glossar CCPA
Der <em>California Consumer Privacy Act</em> ist das Datenschutzgesetz des US-Bundesstaats Kalifornien, seit 2020 in Kraft und durch den CPRA erweitert. Er gibt Einwohnerinnen und Einwohnern Kaliforniens das Recht zu erfahren, welche Daten ein Unternehmen über sie sammelt, sie löschen zu lassen und dem Verkauf oder Teilen zu widersprechen.
DSGVO-konform heißt nicht CCPA-konform: Das europäische Modell fragt vorher um Erlaubnis, das kalifornische verlangt einen Widerspruch danach.
Der CCPA trat am 1. Januar 2020 in Kraft. Im November 2020 stimmten die kalifornischen Wählerinnen und Wähler der Proposition 24 zu, dem California Privacy Rights Act (CPRA), der das Gesetz erweitert und eine eigene Aufsichtsbehörde geschaffen hat, die California Privacy Protection Agency.
Wenn heute vom CCPA die Rede ist, ist meist der erweiterte Stand gemeint. Beide Namen bezeichnen dasselbe Regelwerk in zwei Ausbaustufen.
Er gilt für gewinnorientierte Unternehmen, die in Kalifornien Geschäfte machen und mindestens eine der drei Schwellen erreichen:
Ein Sitz in Kalifornien ist nicht nötig. Entscheidend ist, dass ein Unternehmen dort geschäftlich tätig ist und Daten von Ansässigen verarbeitet — deshalb betrifft das auch europäische Anbieter mit US-Kundschaft.
Vier Rechte stehen im Kern: erfahren, welche Daten erhoben werden und wie sie verwendet und geteilt werden; löschen lassen (mit Ausnahmen); dem Verkauf oder Teilen widersprechen, auch über das Signal Global Privacy Control; und nicht benachteiligt werden, weil man diese Rechte wahrnimmt.
Der CPRA ergänzte das Recht auf Berichtigung und das Recht, die Verwendung sensibler Daten einzuschränken.
Das ist der Punkt, an dem europäische Unternehmen sich am häufigsten täuschen. Die DSGVO arbeitet mit Erlaubnis vorher: Ohne Rechtsgrundlage keine Verarbeitung. Der CCPA arbeitet mit Widerspruch danach: Die Verarbeitung ist zulässig, die betroffene Person muss sie stoppen können.
Daraus folgt ein praktischer Unterschied. Ein DSGVO-Banner, das vorab um Einwilligung bittet, erfüllt den kalifornischen Anspruch nicht automatisch — dort braucht es einen erreichbaren Widerspruchsweg und die Beachtung des GPC-Signals. Umgekehrt genügt ein reines Opt-out den europäischen Anforderungen nicht.
Fällt ein Unternehmen unter den CCPA, sind drei Dinge sichtbar: ein Weg zum Widerspruch gegen Verkauf und Weitergabe, eine Datenschutzerklärung, die Kategorien und Zwecke benennt, und die Beachtung des GPC-Signals, das manche Browser und Erweiterungen automatisch senden.
Das GPC-Signal ist der Teil, der technisch am ehesten übersehen wird: Es kommt als Kopfzeile oder JavaScript-Eigenschaft an und muss serverseitig oder in der Einwilligungsverwaltung ausgewertet werden. Ein Banner allein sieht es nicht.
Eine technische Prüfung sieht sich das und alles Weitere in einem Durchgang an.
Audit anfragenMöglicherweise. Maßgeblich ist nicht der Sitz, sondern ob ein Unternehmen in Kalifornien tätig ist, Daten von dort Ansässigen verarbeitet und eine der drei Schwellen erreicht. Ein europäischer Shop mit US-Kundschaft kann darunterfallen.
Nicht ohne Weiteres. Das europäische Banner holt vorab die Einwilligung, Kalifornien verlangt einen Widerspruchsweg und die Beachtung des GPC-Signals. Viele Einwilligungsplattformen können beides, aber es muss eingeschaltet werden.
Die Definition ist weit gefasst und setzt kein Geld voraus. Die Weitergabe an Dritte gegen eine werthaltige Gegenleistung kann genügen — deshalb fallen viele übliche Werbeeinbindungen unter Verkauf oder Weitergabe.
Global Privacy Control ist ein Signal, das Browser oder Erweiterungen automatisch senden, um den Widerspruch auszudrücken. In Kalifornien muss es als gültiges Verlangen behandelt werden, ohne dass jemand auf der Seite klickt.
Die California Privacy Protection Agency, die der CPRA geschaffen hat, zusammen mit der Generalstaatsanwaltschaft des Bundesstaats. Dieser Text erklärt den Rahmen; für die Beurteilung eines Einzelfalls braucht es Rechtsberatung.