CCPA (California Consumer Privacy Act)

Definition: Der California Consumer Privacy Act (CCPA) ist ein am 1. Januar 2020 in Kraft getretenes Datenschutzgesetz des US-Bundesstaats Kalifornien, das Einwohnern Kaliforniens umfangreiche Rechte in Bezug auf ihre personenbezogenen Daten einräumt. Es gilt als das weitreichendste Datenschutzgesetz auf US-Bundesstaatsebene und war ein Wegbereiter für eine Reihe ähnlicher Gesetze in anderen US-Bundesstaaten. Der CCPA verpflichtet Unternehmen, die bestimmte Schwellenwerte überschreiten, zur Transparenz über ihre Datenverarbeitungspraktiken, zur Bereitstellung von Verbraucherrechten und zur Einrichtung einer "Do Not Sell My Personal Information"-Option. Inzwischen wurde der CCPA durch den California Privacy Rights Act (CPRA) erheblich erweitert, der seit dem 1. Januar 2023 vollständig in Kraft ist. Dennoch bildet der CCPA die Grundlage des kalifornischen Datenschutzrechts und ist für jedes Unternehmen relevant, das Produkte oder Dienstleistungen an kalifornische Verbraucher richtet und die gesetzlichen Schwellenwerte überschreitet – unabhängig davon, ob das Unternehmen seinen Sitz in Kalifornien, in den übrigen USA oder im Ausland hat.

Erläuterung

Der CCPA entstand aus einer Bürgerinitiative und wurde auf Druck der Datenschutz-Aktivisten schnell vom Gesetzgeber aufgegriffen. Sein Grundansatz unterscheidet sich fundamental von der europäischen DSGVO: Während die DSGVO auf einem Opt-in-Prinzip basiert – personenbezogene Daten dürfen nur mit einer Rechtsgrundlage verarbeitet werden –, folgt der CCPA einem Opt-out-Modell. Das bedeutet, dass Unternehmen Daten grundsätzlich verarbeiten und auch weitergeben oder verkaufen dürfen, solange sie die Verbraucher transparent darüber informieren und diesen die Möglichkeit geben, dem Verkauf oder Teilen ihrer Daten zu widersprechen.

Der Anwendungsbereich des CCPA erfasst gewinnorientierte Unternehmen, die Waren oder Dienstleistungen an Einwohner Kaliforniens anbieten und mindestens eine der folgenden Bedingungen erfüllen: Bruttojahresumsatz über 25 Millionen US-Dollar; Kauf, Erhalt, Verkauf oder Teilen von personenbezogenen Daten von 100.000 oder mehr Verbrauchern oder Haushalten; oder Ableitung von 50 % oder mehr des Jahresumsatzes aus dem Verkauf personenbezogener Daten von Verbrauchern. Für Nicht-US-Unternehmen bedeutet dies: Wer über seine Website oder App californische Nutzer anspricht und die Schwellenwerte überschreitet, muss den CCPA beachten – auch aus Deutschland oder der EU heraus.

Der Begriff "personenbezogene Daten" wird im CCPA sehr weit gefasst und umfasst nahezu alle Informationen, die direkt oder indirekt einer bestimmten Person zugeordnet werden können: Namen, Kontaktdaten, IP-Adressen, Browser-Cookies, Geolokationsdaten, biometrische Daten, Kaufhistorien, Internet-Aktivitätsdaten (Browsing-Verlauf) sowie abgeleitete Informationen wie Vorlieben und Profilmerkmale.

Verbraucherrechte nach dem CCPA

Recht auf Information: Verbraucher haben das Recht zu erfahren, welche Kategorien personenbezogener Daten ein Unternehmen über sie gesammelt hat und zu welchen Zwecken diese genutzt werden.
Recht auf Auskunft (Access): Verbraucher können die spezifischen personenbezogenen Daten anfordern, die ein Unternehmen über sie gesammelt hat – ähnlich dem Auskunftsrecht nach DSGVO Art. 15.
Recht auf Löschung: Verbraucher können die Löschung ihrer personenbezogenen Daten verlangen, die das Unternehmen gesammelt hat, mit gewissen Ausnahmen (z. B. für laufende Geschäftstransaktionen oder gesetzliche Pflichten).
Recht auf Widerspruch gegen den Verkauf (Do Not Sell): Verbraucher können dem "Verkauf" ihrer personenbezogenen Daten an Dritte widersprechen. Der Begriff "Verkauf" ist im CCPA weit gefasst und umfasst auch Datenweitergaben gegen nicht-monetäre Gegenleistungen.
Recht auf Nicht-Diskriminierung: Unternehmen dürfen Verbraucher, die ihre CCPA-Rechte ausüben, nicht diskriminieren – etwa durch schlechtere Servicequalität oder höhere Preise.

CCPA vs. DSGVO: Die wichtigsten Unterschiede

Grundprinzip: DSGVO = Opt-in (Verarbeitung nur mit Rechtsgrundlage), CCPA = Opt-out (Verarbeitung erlaubt, Verbraucher können widersprechen).
Anwendungsbereich: DSGVO schützt alle EU-Bürger unabhängig vom Unternehmenssitz; CCPA schützt nur Einwohner Kaliforniens und gilt nur für Unternehmen über den Schwellenwerten.
Bußgelder: DSGVO bis 20 Mio. Euro oder 4 % des Umsatzes; CCPA sieht zivilrechtliche Klagen (2.500 USD pro unbeabsichtigten Verstoß, 7.500 USD pro vorsätzlichen Verstoß) und staatliche Klagen durch den Attorney General vor.
Datenkategorien: DSGVO unterscheidet stark zwischen regulären und besonderen Datenkategorien; CCPA hat einen breiten, einheitlicheren Datenbegriff mit etwas stärkeren Regeln für "sensitive personal information" (CPRA).
Antwortfrist: DSGVO: 1 Monat; CCPA: 45 Tage (verlängerbar um weitere 45 Tage).

Praxistipp: Prüfe zunächst, ob dein Unternehmen die CCPA-Schwellenwerte überschreitet und ob du californische Nutzer ansprichst. Falls ja, implementiere eine "Do Not Sell or Share My Personal Information"-Option auf deiner Website (typischerweise als Footer-Link), passe deine Datenschutzerklärung um die CCPA-Pflichtinformationen an und richte einen Prozess ein, um Verbraucheranfragen innerhalb von 45 Tagen beantworten zu können. Berücksichtige dabei, dass der CPRA den CCPA inzwischen erheblich erweitert hat und auch die "Sharing"-Komponente für Cross-Context Behavioral Advertising opt-out-pflichtig ist.