California Consumer Privacy Act (CCPA)

Definition des California Consumer Privacy Act (CCPA)

Der California Consumer Privacy Act (CCPA) ist ein staatliches Gesetz, das die Datenschutzrechte und den Verbraucherschutz für Einwohner Kaliforniens, USA, verbessern soll. Er gewährt Verbrauchern mehr Kontrolle über die persönlichen Informationen, die Unternehmen über sie sammeln.

Der CCPA wurde am 28. Juni 2018 unterzeichnet und trat am 1. Januar 2020 in Kraft. Er gilt als eines der umfangreichsten Datenschutzgesetze in den USA und weist Ähnlichkeiten mit der Datenschutz-Grundverordnung (GDPR) der Europäischen Union auf.

Wichtige Konzepte und Bestimmungen des CCPA

1. Recht des Verbrauchers auf Auskunft: Der CCPA gewährt Verbrauchern das Recht zu erfahren, welche persönlichen Informationen Unternehmen über sie sammeln und wie diese Informationen verwendet werden. Unternehmen sind verpflichtet, die Kategorien der gesammelten persönlichen Informationen, die Quellen, aus denen die Informationen stammen, die Zwecke der Nutzung der Informationen und die Kategorien von Dritten, mit denen die Informationen geteilt werden, offenzulegen.

2. Recht des Verbrauchers auf Löschung: Verbraucher haben das Recht, von Unternehmen die Löschung ihrer persönlichen Informationen zu verlangen, vorbehaltlich bestimmter Ausnahmen. Nach Erhalt eines verifizierten Antrags müssen Unternehmen die persönlichen Informationen des Verbrauchers aus ihren Unterlagen löschen und ihre Dienstleister anweisen, dasselbe zu tun, es sei denn, eine Ausnahme gilt.

3. Recht des Verbrauchers auf Opt-out: Unternehmen, die persönliche Informationen verkaufen, sind verpflichtet, einen "Do Not Sell My Personal Information"-Link auf ihren Websites bereitzustellen, der es Verbrauchern ermöglicht, sich gegen den Verkauf ihrer persönlichen Informationen zu entscheiden. Verbraucher können dieses Recht jederzeit ausüben, und Unternehmen dürfen Verbraucher, die dieses Recht ausüben, nicht diskriminieren.

4. Recht des Verbrauchers auf Nichtdiskriminierung: Der CCPA verbietet es Unternehmen, Verbraucher zu diskriminieren, die ihre Rechte gemäß dem CCPA ausüben. Unternehmen dürfen Waren oder Dienstleistungen nicht verweigern, keine unterschiedlichen Preise verlangen oder eine andere Stufe oder Qualität von Dienstleistungen bieten, um Verbraucher zu benachteiligen, die ihre Datenschutzrechte ausüben.

5. Kinderdatenschutz: Der CCPA enthält spezielle Schutzmaßnahmen für Kinder unter 16 Jahren. Unternehmen müssen die Zustimmung in Form eines Opt-in von Eltern oder Erziehungsberechtigten einholen, bevor sie persönliche Informationen von Kindern unter 13 Jahren verkaufen. Für Kinder im Alter von 13 bis 16 Jahren muss die ausdrückliche Zustimmung vom Kind selbst gegeben werden.

6. Pflichten der Unternehmen: Zusätzlich zu den Verbraucherrechten auferlegt der CCPA bestimmten Verpflichtungen auf Unternehmen. Unternehmen müssen angemessene Sicherheitsmaßnahmen umsetzen, um die von ihnen gesammelten persönlichen Informationen vor unbefugtem Zugriff, Zerstörung, Nutzung, Änderung oder Offenlegung zu schützen. Sie müssen den Verbrauchern auch mindestens zwei Möglichkeiten bieten, um Anfragen zur Ausübung ihrer Datenschutzrechte zu stellen, einschließlich einer gebührenfreien Telefonnummer und einer Webadresse.

Einhaltung des CCPA

Unternehmen sollten sicherstellen, dass sie den CCPA einhalten, indem sie seine Anforderungen verstehen und notwendige Änderungen an ihren Datenschutzrichtlinien und Datenmanagementpraktiken vornehmen. Hier sind einige Tipps für Unternehmen, um Verstöße zu vermeiden:

• Verstehen des Umfangs des Gesetzes: Unternehmen sollten bewerten, ob der CCPA auf sie zutrifft, basierend auf ihren jährlichen Bruttoeinnahmen, der Menge an California-Daten, die sie verarbeiten, und ob sie andere Schwellenwerte im Gesetz erfüllen.

• Aktualisieren Sie die Datenschutzrichtlinien: Unternehmen müssen ihre Datenschutzrichtlinien überprüfen und aktualisieren, um die erforderlichen Informationen über die Kategorien der gesammelten persönlichen Informationen, die Zwecke, für die die Informationen verwendet werden, und die Verbraucherrechte zu enthalten.

• Implementieren Sie Datenschutzmaßnahmen: Unternehmen müssen angemessene Sicherheitsmaßnahmen umsetzen, um die von ihnen gesammelten persönlichen Informationen zu schützen. Dies kann die Verschlüsselung, Zugangskontrollen, regelmäßige Datensicherungen und Schulungen von Mitarbeitern zu den besten Praktiken der Datensicherheit umfassen.

• Bereitstellung von Mechanismen für Verbraucherrechte: Unternehmen sollten Prozesse zur Bearbeitung von Verbraucheranfragen zur Auskunft, Löschung und zum Opt-out etablieren. Dies kann die Einrichtung von dedizierten E-Mail-Adressen oder gebührenfreien Telefonnummern zur Entgegennahme und Bearbeitung von Verbraucheranfragen erfordern.

• Schulung der Mitarbeiter: Unternehmen sollten ihre Mitarbeiter über die Anforderungen des CCPA, einschließlich der Bearbeitung von Verbraucheranfragen, des Schutzes persönlicher Informationen und der Einhaltung der Bestimmungen des Gesetzes, informieren und schulen.

Beziehung zur GDPR

Der CCPA teilt Ähnlichkeiten mit der Datenschutz-Grundverordnung (GDPR) der Europäischen Union, die im Mai 2018 umgesetzt wurde. Beide Verordnungen zielen darauf ab, die Datenschutzrechte von Einzelpersonen zu stärken und Verpflichtungen auf Unternehmen aufzuerlegen, die persönliche Informationen sammeln und verarbeiten. Es gibt jedoch wichtige Unterschiede zwischen den beiden:

• Territorialer Geltungsbereich: Die GDPR gilt für Unternehmen, die persönliche Daten von Personen in der Europäischen Union verarbeiten, unabhängig vom Standort des Unternehmens. Im Gegensatz dazu gilt der CCPA für Unternehmen, die die persönlichen Informationen von Einwohnern Kaliforniens sammeln, unabhängig davon, wo sich das Unternehmen befindet.

• Zustimmungsanforderungen: Die GDPR betont das Einholen einer ausdrücklichen Zustimmung von Einzelpersonen für die Verarbeitung ihrer persönlichen Daten, während der CCPA den Verbrauchern das Recht einräumt, der Weitergabe ihrer persönlichen Informationen zu widersprechen.

• Strafen und Durchsetzung: Die GDPR erlaubt erhebliche Geldbußen für Nichteinhaltung, wobei die Strafen bis zu 4% des jährlichen globalen Umsatzes eines Unternehmens erreichen können. Der CCPA sieht zivilrechtliche Strafen von bis zu $2.500 oder bis zu $7.500 für vorsätzliche Verstöße vor.

Trotz der Unterschiede ist es für Unternehmen wichtig, beide Verordnungen zu verstehen und einzuhalten, wenn sie persönliche Informationen von Personen sowohl in Kalifornien als auch in der Europäischen Union verarbeiten.

Verwandte Begriffe

• General Data Protection Regulation (GDPR): Eine Verordnung in der Europäischen Union, die den Datenschutz und die Privatsphäre von Einzelpersonen innerhalb der EU und des Europäischen Wirtschaftsraums regelt.
• Persönliche Informationen: Alle Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen, sie beschreiben oder mit ihr in Verbindung gebracht werden können.