CCPA vs. DSGVO: Wichtigste Unterschiede, Gemeinsamkeiten und Änderungen durch den CCPA

Für jedes Unternehmen, das personenbezogene Daten international verarbeitet, ist es unerlässlich, die Unterschiede zwischen CCPA und DSGVO zu verstehen. Obwohl beide Gesetze dem Schutz der Verbraucherdaten dienen, unterscheiden sie sich in Anwendungsbereich, Durchsetzung, Definitionen und Compliance-Anforderungen. Diese Unterschiede führen häufig zu Verwirrung – insbesondere bei global agierenden Unternehmen oder solchen, die Daten von Einwohnern Kaliforniens und EU-Bürgern verwalten.

Dieser Leitfaden vergleicht die Standards des CCPA und der DSGVO, erklärt die Anforderungen der jeweiligen Gesetze und hilft Ihnen zu verstehen, wie Sie beide einhalten können.

CCPA und DSGVO – Einführung

Bevor wir uns mit den Unterschieden zwischen CCPA und DSGVO befassen, wollen wir zunächst verstehen, was die jeweiligen Datenschutzrahmen beinhalten und für wen sie gelten.

Was ist California Consumer Privacy Act (CCPA)

Der CCPA ist ein kalifornisches Datenschutzgesetz, das Einwohnern Kaliforniens bestimmte Rechte in Bezug auf ihre personenbezogenen Daten einräumt – darunter das Recht auf Auskunft, Zugriff, Löschung und Widerspruch gegen deren Verkauf. Er gilt für jedes Unternehmen, das Daten von Einwohnern Kaliforniens erhebt oder verarbeitet, unabhängig vom Standort des Unternehmens.

Der CCPA legt Regeln für Unternehmen fest, die als „betroffene Stellen“ bezeichnet werden und sensible Daten verarbeiten. Er gewährt Verbrauchern außerdem neue Datenschutzrechte und -schutzmaßnahmen. Der CCPA stärkt die Datenschutzrechte der Verbraucher auf verschiedene Weise:

• Der CCPA fordert mehr Transparenz.
• Der CCPA gewährt Verbrauchern umfassenden Zugriff auf ihre persönlichen Daten.
• Der CCPA gewährt Verbrauchern das Recht, der Datenerfassung zu widersprechen.
• Der CCPA führt neue Beschränkungen für die Art und Weise ein, wie betroffene Unternehmen personenbezogene Daten von Verbrauchern sammeln, weitergeben und verkaufen.

Prüfen Sie mit diesem CCPA-Compliance-Leitfaden, ob der CCPA für Ihr Unternehmen gilt.

Sowohl CCPA als auch DSGVO zielen darauf ab, die Einwilligung der Nutzer zu Cookies gemäß DSGVO einzuholen . Die Vorgehensweise unterscheidet sich jedoch deutlich.

Der CCPA wurde im Juli 2020 eingeführt, und am 14. August 2020 traten die CCPA-Bestimmungen in Kraft.

Der CCPA erweitert das Recht der Datennutzer, von Unternehmen die Löschung ihrer personenbezogenen Daten zu verlangen oder der Weitergabe ihrer personenbezogenen Daten an Dritte zu widersprechen.

Was ist Allgemeine Datenschutzverordnung (GDPR/DSGVO)

Die DSGVO ist ein Datenschutzgesetz der Europäischen Union, das regelt, wie Organisationen personenbezogene Daten von Personen in der EU und im EWR erheben, verarbeiten und speichern. Sie betont Einwilligung, Transparenz und Rechenschaftspflicht zum Schutz der individuellen Datenschutzrechte.

Die DSGVO trat im Mai 2018 in allen 27 Mitgliedstaaten der Europäischen Union in Kraft.

Die DSGVO regelt, wie Unternehmen über ihre Websites und mobilen Anwendungen mit Kundendaten umgehen müssen. Attribute wie Name, E-Mail-Adresse, Standort, Daten von Wearables, IP-Adresse und mehr fallen gemäß DSGVO unter den Begriff der personenbezogenen Daten.

Gemäß der DSGVO hat die betroffene Person (der Nutzer) das Recht, selbst zu entscheiden, wie Unternehmen ihre personenbezogenen Daten verwenden. Als Unternehmen sind Sie verpflichtet, die Einwilligung des Nutzers einzuholen, bevor Sie personenbezogene Daten einer betroffenen Person erheben.

Hier ist ein Beispiel für ein allgemeines DSGVO-Einwilligungsformular.

CCPA vs. DSGVO: Die wichtigsten Unterschiede

Hier ein kurzer Vergleich der wichtigsten Unterschiede zwischen CCPA und DSGVO.

Aspekt	Datenschutz	CCPA
Wen sie abdecken	Gilt für alle, die Daten von Personen in der EU verarbeiten, unabhängig vom Standort des Unternehmens.	Gilt für Einwohner und Unternehmen Kaliforniens, die bestimmte Umsatz-, Datenvolumen- oder Datenverkaufsschwellenwerte erreichen.
Art der geschützten Daten	Umfasst alle personenbezogenen Daten und erfordert eine ausdrückliche Einwilligung.	Schützt die persönlichen Daten von Einwohnern Kaliforniens und verwendet die Opt-out-Einwilligung.
Datenerhebung und -verarbeitung	Jegliche Handlungen, die im Zusammenhang mit personenbezogenen Daten vorgenommen werden (Erhebung, Speicherung, Weitergabe, Löschung, Profilerstellung).	Der Fokus liegt auf drei Aktionen: dem Sammeln von Daten, deren Verwendung für Geschäftszwecke und dem Verkauf oder der Weitergabe an andere Unternehmen.
Informationen, die den Nutzern gegeben werden	Den Nutzern muss mitgeteilt werden, wie ihre Daten verwendet, gespeichert, weitergegeben und wie lange sie gespeichert werden. Sie müssen starke Rechte wie das Recht auf Löschung und Widerspruch haben.	Nutzer erhalten eine Zusammenfassung darüber, wie ihre Daten in den letzten 12 Monaten erhoben, verwendet und verkauft wurden. Sie müssen benachrichtigt werden, wenn ihre Daten verkauft werden.
Strafen	Hohe globale Geldstrafen	Niedrigere feste Bußgelder

Kommen wir nun im Detail zu den wichtigsten Unterschieden zwischen CCPA und DSGVO:

1. Wen sie betreffen:

Datenschutz

Alle Unternehmen und ihre Einrichtungen (Websites und mobile Anwendungen), die personenbezogene Daten von Personen in der Europäischen Union (EU) verarbeiten, müssen die DSGVO einhalten. Dies gilt auch für gemeinnützige Organisationen und E-Commerce-Unternehmen.

Die Einhaltung der DSGVO gilt auch für alle betroffenen Personen (Nutzer) in der EU, unabhängig von ihrer Staatsbürgerschaft, ihrem Aufenthaltsstatus und anderen Faktoren.

CCPA

Der CCPA ist nur für Personen mit Wohnsitz in Kalifornien anwendbar.

Der CCPA gilt nur für Unternehmen, die mindestens eines der drei aufgeführten Kriterien erfüllen:

• Unternehmen, deren jährlicher Bruttoumsatz mehr als 25 Millionen US-Dollar beträgt
• Sammelt, kauft oder teilt Daten von mehr als 50,000 Nutzern
• Die Hälfte (50 %) der Einnahmen wird aus dem Verkauf dieser Nutzerdaten generiert.

Dies sind zwar die bedingten Voraussetzungen, aber um unter die CCPA-Regulierung zu fallen, müssen Unternehmen auch zwei weitere Kriterien erfüllen.

• Sie sind in der Region Kalifornien tätig.
• Sie sammeln Daten von Nutzern in Kalifornien und haben den Zweck und die Mittel ihrer Datenverarbeitungsvorgänge dargelegt.

2. Geschützte Datenarten

Die DSGVO ist im Vergleich zum CCPA strenger, und das spiegelt sich darin wider, was als geschützte Daten gilt und welche Ausnahmen gelten.

Die DSGVO umfasst alle Arten der Datenverarbeitung unabhängig von Zweck und Art der Verarbeitung. Die einzigen beiden Ausnahmen sind:

• Wenn die Daten auf nicht automatisierte Weise verarbeitet werden (es werden keine elektronischen Methoden verwendet).
• Wenn Einzelpersonen Daten im Rahmen ihrer Interessen verarbeiten

Der Anwendungsbereich des CCPA ist jedoch nicht so umfassend. Beispielsweise müssen Nutzer gemäß der DSGVO aktiv zustimmen („Opt-in“), wenn sie die Verarbeitung ihrer Daten wünschen, während der CCPA lediglich die Möglichkeit des Widerspruchs („Opt-out“) betont. Mit dem Opt-out können Nutzer entscheiden, ob ihre Daten verarbeitet oder weitergegeben bzw. verkauft werden sollen.

Der CCPA gilt nicht für:

• Alle bereits zur Verfügung gestellten Benutzerdaten
• Medizinische Daten sind durch die HIPAA-Zertifizierung und CMIA geschützt.
• Nutzerdaten, die unter die Datenschutzbestimmungen des CCPA (Department of Public Policy and Administration) fallen
• Andere Datensätze, die von Aufsichtsbehörden geschützt werden

Die Einhaltung des CCPA ist nicht ganz einfach. Wer jedoch die Best Practices der DSGVO befolgt, erfüllt höchstwahrscheinlich auch die Anforderungen des CCPA. Die für die DSGVO erforderlichen Richtlinien und Verfahren lassen sich auch für den CCPA anwenden. Insgesamt besteht eine Übereinstimmung von 80–90 % bei den Kontrollmechanismen und Richtlinien.

3. Was gilt als Datenerfassung, -verkauf und -verarbeitung?

Beide Rahmenwerke betrachten personenbezogene Daten als Informationen, die zur Identifizierung einer Person verwendet werden können.

Datenschutz

Der Begriff „Verarbeitung“ im Sinne der DSGVO bezieht sich auf Aktivitäten wie die Einholung der Einwilligung zur Datenverarbeitung, die Information der Nutzer über den Zweck der Datenerhebung und die Art der Datenverarbeitung, die Information der Nutzer über ihre Rechte in Bezug auf die Daten sowie die Entfernung/Löschung von Daten.

CCPA

Die CCPA hat ihre Phasen der Datenerfassung und -verarbeitung in drei Segmente unterteilt.

1. Unter Datenerhebung versteht man das Sammeln von Daten von Nutzern, Anbietern und Drittanbietern.
2. Die Datenverarbeitung beginnt, wenn das Unternehmen die Daten erworben hat und mit der Nutzung der Daten zur Erzielung von Gewinnen begonnen hat.
3. Beim Verkauf werden die gesammelten Daten an ein anderes Unternehmen übertragen.

4. Informationen, die mit den betroffenen Personen geteilt werden:

DSGVO – Rechte der betroffenen Personen

Im Vergleich zum CCPA haben Einzelpersonen unter der DSGVO ein relativ höheres Maß an Kontrolle darüber, was mit ihren Daten geschieht.

Im Sinne der DSGVO ist die betroffene Person dann diejenige, bei der die Daten direkt von ihr erhoben werden oder wenn die Informationen aus einer anderen Quelle stammen.

• Unternehmen müssen die Nutzer darüber informieren, wie lange ihre Daten bei ihnen gespeichert werden und wie sie verarbeitet werden sollen.
• Unternehmen sind außerdem verpflichtet, detaillierte Informationen über die Gründe für die Profilerstellung bereitzustellen und die Nutzer über ihre Rechte in Bezug auf ihre Daten, insbesondere das Recht auf Löschung, zu informieren. Dieses Recht ermöglicht es ihnen, ihre Einwilligung zur Datenverarbeitung jederzeit zu widerrufen.

Gemäß CCPA sind Unternehmen verpflichtet, den betroffenen Personen nach 12 Monaten ab dem Datum der Datenerfassung einen Bericht darüber zukommen zu lassen, wie ihre Daten erhoben, verarbeitet und an wen sie verkauft wurden.

• Einzelpersonen müssen auch dann benachrichtigt werden, wenn ihre Daten an Dritte verkauft werden und wenn das Drittunternehmen sie an ein anderes Drittunternehmen weiterverkauft.

5. Strafen

Im Vergleich zwischen CCPA und DSGVO sind die Bußgelder der DSGVO definitiv höher.

Bei Nichteinhaltung der DSGVO droht Unternehmen eine Geldstrafe von 20 Millionen US-Dollar oder 4 % ihres Jahresumsatzes, je nachdem, welcher Betrag höher ist. Hier die Aufschlüsselung:

Art der DSGVO-Verletzung	Elfmeter
Weniger schwerwiegende Verstöße	10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes
Schwerwiegende Verstöße	20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes
Zusätzliche Abhilfemaßnahmen (Anordnungen zur Einstellung der Bearbeitung, Berichtigungsanordnungen, Verbote usw.).	+ Durchsetzung von Regulierungsmaßnahmen, die über Geldstrafen hinausgehen (nicht direkt monetär)

Die Strafen nach dem CCPA sind eher mild, da die Höchststrafen für Verstöße vergleichsweise gering sind. Hier die Aufschlüsselung:

Verstoß gegen den CCPA	Elfmeter
Unbeabsichtigt	$2500
Vorsätzlich	$7500
Schadensersatz im Zivilgericht	$ 100-750

Welche Gemeinsamkeiten bestehen zwischen dem CCPA und der DSGVO?

Nachdem wir nun die Unterschiede zwischen CCPA und DSGVO verstanden haben, wollen wir uns ansehen, welche Gemeinsamkeiten sie aufweisen.

Beide Gesetze dienen dem Schutz der Privatsphäre und geben Einzelpersonen die Kontrolle über ihre persönlichen Daten. Sie definieren klar die Rechte der Nutzer, legen Regeln für die Einwilligung fest und ermöglichen es den Betroffenen, der Verwendung ihrer Daten zu widersprechen. CCPA und DSGVO gelten zudem unabhängig vom Sitz des Unternehmens und richten sich nach der Person, deren Daten verarbeitet werden. Dadurch haben beide Gesetze extraterritoriale Geltung.

Sie legen gültige Gründe für die Datenverarbeitung fest, geben Strafen für die Nichteinhaltung an und benennen Aufsichtsbehörden für die Durchsetzung der Regeln. Dadurch entsteht ein strukturierter und vergleichbarer Rahmen für die Einhaltung der Vorschriften für Organisationen.

Hier also eine kurze Zusammenfassung der Ähnlichkeiten.

CCPA- vs. DSGVO-Konformität – Für wen gelten die Gesetze?

CCPA vs. DSGVO: Geltungsbereich 

Die DSGVO schützt alle betroffenen Personen in der Europäischen Union. 

Beispiel: Wenn ein Tourist aus Asien in der EU unterwegs ist und seine Daten während seines Aufenthalts verarbeitet werden, ist er durch die DSGVO geschützt.

Wenn Unternehmen außerhalb Asiens die Daten des Touristen verarbeiten, müssen sie die DSGVO einhalten, um hohe Bußgelder zu vermeiden.

Die Definition einer Einzelperson ist eingeschränkt und im CCPA definiert.

Eine Person hält sich aus einem anderen als einem vorübergehenden oder flüchtigen Grund im Staat auf“ oder eine Person , „die ihren Wohnsitz im Staat hat und sich aus einem vorübergehenden oder flüchtigen Grund außerhalb des Staates aufhält“.

extraterritorialer Geltungsbereich

Sowohl CCPA als auch DSGVO weisen in ihrem Rahmenwerk eine extraterritoriale Geltung auf.

Weltweit müssen alle Unternehmen, die jährlich Daten von mehr als 50,000 Kaliforniern verarbeiten, die Bestimmungen des CCPA einhalten.

Die DSGVO verpflichtet Unternehmen auch dann zur Einhaltung des Gesetzes, wenn sie Waren oder Dienstleistungen Nutzern in der EU anbieten. Dies gilt jedoch unabhängig davon, wo sie ihre Datenverarbeitungstätigkeiten durchführen. 

Der CCPA regelt dies und lässt keinen Raum für Nichteinhaltung.

Unternehmen vs. Datenverantwortlicher (Terminologie erklärt)

Unternehmen und Controller

Der Begriff „Unternehmen“ ist im CCPA gängige Fachsprache. Laut CCPA ist ein Unternehmen eine gewinnorientierte Einheit, die eine der drei unten genannten Bedingungen erfüllt:

• deren jährliche Bruttoeinnahmen mehr als 25 Millionen Dollar betragen
• Sammelt, kauft oder teilt Daten von mehr als 50,000 Nutzern.
• Wenn die Hälfte (50 %) Ihrer Einnahmen aus dem Verkauf dieser Nutzerdaten generiert wird

Der Begriff „Controller“ oder „Data Controller“ ist im DSGVO-Jargon die Bezeichnung für eine Stelle, die in der EU Daten erhebt und verarbeitet.

Die DSGVO hat einen weiten Anwendungsbereich für die Kategorisierung von Unternehmen, die Daten verarbeiten, da sie diese nicht wie der CCPA qualifiziert und keinen Spielraum für die Nichteinhaltung lässt.

Welche Rechte gewähren die Gesetze CCPA und DSGVO den Bürgern?

Die Tabelle hier gibt Ihnen einen Einblick in die Rechte, die jedes Compliance-Gesetz seinen Nutzern einräumt; es fällt auf, dass es eine erhebliche Überschneidung zwischen den beiden gibt.

In diesem Abschnitt des Vergleichs von CCPA und DSGVO gehen wir detailliert auf die Rechte von Datennutzern/Einzelpersonen ein. Sowohl CCPA als auch DSGVO erweitern diese Rechte:

• Recht auf Wissen:
  Organisationen müssen den Nutzern klar darlegen, wie ihre Daten erhoben werden und wozu diese verwendet werden.
• Recht auf Zugang:
  Nutzer können eine Kopie ihrer Daten anfordern.
• Das Recht auf Widerspruch:
  Nutzer können Unternehmen auffordern, ihre Daten aus allen Verarbeitungsaktivitäten zu entfernen.
• Recht auf Portabilität:
  Benutzer können Organisationen bitten, ihnen oder einem anderen Unternehmen eine Kopie ihrer Daten in einem strukturierten und maschinenlesbaren Format zuzusenden.
• Recht auf Datenlöschung:
  Unter außergewöhnlichen Umständen können Nutzer eine Organisation auffordern, alle über sie gespeicherten Informationen zu löschen. 100-750 US-Dollar Schadensersatz vor dem Zivilgericht

Automatisieren Sie die Einhaltung des kalifornischen Datenschutzgesetzes (CPRA) und der DSGVO mit Sprinto.

Wenn Ihr Unternehmen sowohl die EU-DSGVO als auch das kalifornische Datenschutzgesetz CPRA einhalten muss, unterstützt Sprinto Sie beim Aufbau eines einheitlichen Compliance-Programms, ohne dass Sie in beiden Rahmenwerken doppelt arbeiten müssen. Da CPRA die Kernrechte und -pflichten des CCPA übernimmt und gleichzeitig den Schutz verstärkt, bietet Ihnen Sprinto eine solide Grundlage für die Einhaltung der aktuellen kalifornischen Datenschutzbestimmungen.

Mit Sprinto AI erhalten Sie eine intelligente Ebene, die aktiv Risikosignale überwacht, die Kontrollen aufeinander abstimmt und den Aufwand für die tägliche Einhaltung der Vorschriften reduziert.

Mit Sprinto erhalten Sie:

• KI-gestützte Datenkartierung und Ermittlung persönlicher Daten über Tools, Systeme und Umgebungen hinweg.
• Automatisierte Richtlinien-, Kontroll- und Workflow-Einrichtung, zugeschnitten auf die Anforderungen der DSGVO und des CPRA.
• Echtzeit- Compliance-Überwachung mit personalisierten, hyperkontextbezogenen Signalen.
• Selbstheilende Steuerungsmechanismen, die sich automatisch anpassen, wenn sich Risiken, Lücken oder Systemkonfigurationen ändern.
• Integrierte Compliance-Lösungen, die sich nahtlos in Ihre alltäglichen Arbeitsabläufe einfügen und so für reibungslose Abläufe sorgen.
• Kontinuierliche Auditbereitschaft durch automatisch erfasste, auditfreundliche Nachweise.

Häufig gestellte Fragen