CPRA – California Privacy Rights Act

Definition: Der California Privacy Rights Act (CPRA) ist das seit dem 1. Januar 2023 vollständig in Kraft getretene erweiterte californische Datenschutzgesetz, das den bisherigen California Consumer Privacy Act (CCPA) von 2018 erheblich ausweitet und verschärft. Das CPRA wurde im November 2020 durch ein Volksbegehren (Proposition 24) von den californischen Wählern direkt beschlossen und gilt als das bislang weitreichendste Datenschutzgesetz auf bundesstaatlicher Ebene in den USA. Es stärkt die Rechte der californischen Verbraucher erheblich, führt eine neue Kategorie besonders sensibler persönlicher Daten (Sensitive Personal Information) ein, begrenzt die Nutzung und Weitergabe von Daten an Dritte und schafft mit dem California Privacy Protection Agency (CPPA) erstmals eine eigenständige, von der Generalstaatsanwaltschaft unabhängige Datenschutzbehörde für Kalifornien. Das CPRA ist international von Bedeutung, weil Unternehmen mit Sitz in Deutschland und Europa, die californische Verbraucher ansprechen und bestimmte Schwellenwerte überschreiten, ebenfalls an dieses Gesetz gebunden sind. Es ist damit neben der DSGVO das weltweit wichtigste Datenschutzgesetz für den digitalen Handel und das Online-Marketing und gilt als Blaupause für weitere US-Bundesstaaten, die eigene Datenschutzgesetze verabschiedet haben oder planen. Der CPRA beeinflusst maßgeblich, wie globale Unternehmen mit Kundendaten umgehen, Consent-Management-Systeme aufbauen und Datenschutzerklärungen formulieren.

Erläuterung

Der CPRA baut auf dem CCPA auf, geht aber in mehreren Punkten deutlich weiter. Während der CCPA vor allem das Recht auf Auskunft, Löschung und den Opt-out aus dem Verkauf persönlicher Daten etablierte, fügt das CPRA neue Elemente hinzu: das Recht auf Berichtigung (Right to Correct), das Recht auf Einschränkung der Nutzung sensibler Daten sowie das explizite Recht, der Weitergabe persönlicher Daten für Cross-Context Behavioral Advertising zu widersprechen. Letzteres ist besonders für das digitale Marketing relevant, weil es das gezielte verhaltensbasierte Targeting durch Datenweitergabe an Werbenetzwerke reguliert.

Eine der bedeutendsten Neuerungen des CPRA ist die Einführung der Kategorie „Sensitive Personal Information" (SPI). Hierunter fallen Sozialversicherungsnummern, genaue Geolokationsdaten, Rassenzugehörigkeit, religiöse Überzeugungen, Gewerkschaftsmitgliedschaft, genetische und biometrische Daten, Gesundheitsinformationen sowie Daten über Sexualleben oder sexuelle Orientierung. Unternehmen dürfen SPI nur noch für ausdrücklich erlaubte Zwecke verwenden und müssen Verbrauchern das Recht einräumen, die Nutzung dieser Daten einzuschränken. Ein entsprechender Link „Limit the Use of My Sensitive Personal Information" ist auf der Website zu platzieren – analog zum bekannten „Do Not Sell My Personal Information"-Link des CCPA.

Hinsichtlich der Anwendungsschwellen gilt das CPRA für gewinnorientierte Unternehmen, die in Kalifornien tätig sind und mindestens eines der folgenden Kriterien erfüllen: Jahresumsatz von mehr als 25 Millionen US-Dollar, jährliche Verarbeitung von Daten von 100.000 oder mehr Verbrauchern oder Haushalten, oder Erwirtschaftung von mindestens 50 Prozent des Jahresumsatzes durch den Verkauf oder die Weitergabe von Verbraucherdaten. Auch europäische Unternehmen können diese Schwellen erreichen, wenn sie US-amerikanische, insbesondere californische Konsumenten bedienen.

Der CPPA als neue Behörde hat weitreichende Befugnisse: Sie kann Geldbußen von bis zu 2.500 US-Dollar pro Verstoß und bis zu 7.500 US-Dollar pro vorsätzlichem Verstoß oder bei Verstößen gegen den Schutz von Minderjährigendaten verhängen. Betroffene Verbraucher können zudem bei Datenpannen Schadensersatz zwischen 100 und 750 US-Dollar pro Person und Vorfall geltend machen, ohne einen tatsächlichen Schaden nachweisen zu müssen. Diese Klagemöglichkeit per Private Right of Action macht den CPRA besonders scharf in der Praxis.

Im Vergleich zur europäischen DSGVO fällt auf, dass der CPRA einem Opt-out-Modell folgt, während die DSGVO grundsätzlich auf Opt-in setzt. Das bedeutet: Californische Verbraucher müssen aktiv widersprechen, während europäische Nutzer vorab einwilligen müssen. Beide Ansätze erfordern jedoch technisch unterschiedliche Consent-Management-Lösungen, was für international tätige Unternehmen eine erhöhte Komplexität bedeutet.

Neue Rechte der Verbraucher unter dem CPRA

Recht auf Berichtigung: Verbraucher können die Korrektur unrichtiger personenbezogener Daten verlangen – eine Neuerung gegenüber dem CCPA.
Recht auf Einschränkung sensibler Daten: Nutzung und Weitergabe von Sensitive Personal Information kann auf notwendige Zwecke beschränkt werden.
Opt-out aus Datenweitergabe: Nicht nur der Verkauf, sondern auch die Weitergabe von Daten für verhaltensbasierte Werbung kann abgelehnt werden.
Datensparsamkeit und Zweckbindung: Unternehmen dürfen Daten nur noch so lange aufbewahren, wie es für den erhobenen Zweck notwendig ist – eine Speicherbegrenzungspflicht analog zur DSGVO.
Automatisierte Entscheidungen: Verbraucher erhalten das Recht, der Nutzung ihrer Daten in automatisierten Entscheidungsverfahren zu widersprechen.
Transparenzpflichten: Unternehmen müssen Datenschutzerklärungen aktualisieren und klar über Kategorien gesammelter Daten, Verwendungszwecke und Weitergabe an Dritte informieren.

Bedeutung für europäische und deutsche Unternehmen

Extraterritorialer Anwendungsbereich: Europäische Unternehmen, die californische Nutzer bedienen und Schwellenwerte überschreiten, müssen CPRA-konform agieren.
Parallele Compliance: DSGVO und CPRA überschneiden sich in vielen Bereichen, weichen aber im Opt-in/Opt-out-Modell und bei Detailregelungen ab – separate Analyse empfohlen.
Datenschutzerklärungen anpassen: Unternehmen mit US-Kundschaft benötigen häufig eine separate California Privacy Notice oder eine CPRA-kompatible Ergänzung ihrer bestehenden Datenschutzerklärung.
Technische Umsetzung: Global operierendes Consent-Management muss sowohl DSGVO- als auch CPRA-Anforderungen abdecken – dies erfordert Consent-Management-Plattformen mit US-spezifischen Modulen.
Vorbild für weitere Gesetze: Virginia (VCDPA), Colorado (CPA), Connecticut und andere US-Bundesstaaten haben dem CPRA ähnliche Gesetze nachgebildet – eine bundesweite US-Datenschutzregelung ist in der Diskussion.

Praxistipp: Prüfen Sie anhand der drei Schwellenwerte, ob Ihr Unternehmen unter das CPRA fällt – besonders der Schwellenwert von 100.000 Verbrauchern ist schnell erreicht, wenn Sie einen internationalen Online-Shop betreiben. Falls zutreffend, integrieren Sie einen CPRA-konformen Opt-out-Mechanismus auf Ihrer Website und ergänzen Sie Ihre Datenschutzerklärung um eine „California Privacy Notice". Nutzen Sie eine Consent-Management-Plattform, die sowohl DSGVO-Opt-in als auch CPRA-Opt-out gleichzeitig verwalten kann, um nicht zwei separate Systeme betreiben zu müssen.