CCPA-Compliance-Checkliste für 2026 [Schritte, Anforderungen & Strafen]

Datenschutzgesetze wie der CCPA erhöhen die Risiken für jedes Unternehmen, das Daten von Einwohnern Kaliforniens verarbeitet. Ein defekter Opt-out-Link oder eine nicht erfüllte Datenanfrage können rechtliche Schritte, hohe Geldstrafen und einen Vertrauensverlust bei den Verbrauchern nach sich ziehen. Die Herausforderung liegt nicht in der Absicht, sondern in der Umsetzung. Die meisten Unternehmen haben keinen klaren Überblick darüber, welche personenbezogenen Daten sie erheben, wo diese gespeichert werden und wer dafür verantwortlich ist. Die Rechtsabteilung erstellt die Richtlinien, die IT-Abteilung verwaltet die Systeme und die Sicherheitsabteilung kümmert sich um Vorfälle – doch niemand hat den Gesamtüberblick.

Dieser Leitfaden durchbricht diesen Teufelskreis. Er zeigt Ihnen, wie Sie die CCPA-Vorgaben klar, strukturiert und souverän erfüllen. Sie erfahren, welche Schritte erforderlich sind, wie Sie Verantwortlichkeiten zuweisen und wie Sie die Vorschriften ohne Verwirrung oder zusätzliche Kosten einhalten.

Was ist CCPA-Compliance?

Die Einhaltung des CCPA (California Consumer Privacy Act) ist eine Form der Datenschutzkonformität, die Unternehmen verpflichtet, die personenbezogenen Daten von Einwohnern Kaliforniens gemäß dem kalifornischen Verbraucherschutzgesetz (CCPA) zu schützen. Sie gewährleistet Transparenz bei der Datenerhebung und gibt Verbrauchern die Kontrolle darüber, wie ihre Daten verwendet werden – einschließlich des Rechts auf Auskunft, Löschung und Widerspruch gegen den Verkauf oder die Weitergabe ihrer Daten. Eine strukturierte CCPA-Compliance-Checkliste unterteilt die Pflichten bezüglich Auskunft, Löschung und Widerspruch in konkrete operative Aufgaben, die die Verbraucherrechte des Gesetzes in alltägliche Arbeitsabläufe für die Datenschutz- und Entwicklungsteams umsetzen, die diese Rechte gewährleisten müssen.

Um die gesetzlichen Bestimmungen einzuhalten, müssen Unternehmen klare Datenschutzhinweise veröffentlichen, Anfragen von Verbrauchern umgehend bearbeiten, strenge Sicherheitsmaßnahmen implementieren und eine kontinuierliche Dokumentation sowie Mitarbeiterschulungen gewährleisten.

Wenn ein Nutzer beispielsweise alle Daten anfordert, die ein Unternehmen über ihn gesammelt und gespeichert hat, muss das Unternehmen diese bereitstellen.

Bevor wir uns mit den CCPA-Bestimmungen befassen, ist es unerlässlich zu verstehen, was personenbezogene Daten ausmacht. Der CCPA definiert personenbezogene Daten als alle Daten, die direkt oder indirekt mit einer in Kalifornien ansässigen Person in Verbindung gebracht werden können. Der Umfang dieser Definition ist wichtig, da er die Untergrenze für Verstöße festlegt, die rechtliche Konsequenzen nach sich ziehen. Unsere Übersicht über die CCPA-Strafen umfasst die verschiedenen zivilrechtlichen Strafen, den gesetzlichen Schadensersatz und das Klagerecht, die bei Verstößen gegen diese Datenkategorien Anwendung finden.

Wer muss die CCPA-Bestimmungen einhalten? (Anwendbarkeitskriterien)

Der CCPA gilt für Unternehmen, die personenbezogene Daten von Einwohnern Kaliforniens erheben und bestimmte Voraussetzungen erfüllen. Es gibt drei Hauptkriterien, die die Anwendbarkeit des CCPA auf ein Unternehmen bestimmen: Umsatzschwelle, Datenvolumenschwelle und Unternehmensart. Unternehmen, die eine dieser Schwellen überschreiten, streben häufig eine CCPA-Zertifizierung oder eine Bestätigung durch Dritte an, um potenziellen Geschäftspartnern zu signalisieren, dass sie die Umsatz- oder Datenvolumenvorgaben aktiv einhalten und nicht nur formal bestätigen.

Umsatz- und Datenerfassungsschwelle

Unternehmen fallen unter die Bestimmungen des CCPA, wenn sie eine oder mehrere der folgenden Umsatzschwellenwerte erreichen:

• Wenn ihr jährlicher Bruttoumsatz 25 Millionen Dollar oder mehr beträgt.
• Wenn sie jährlich personenbezogene Daten von 50,000 oder mehr Einwohnern Kaliforniens oder Geräten kaufen, verkaufen oder erhalten.
• Wenn sie 50 % oder mehr ihres Jahresumsatzes mit dem Verkauf von PI an Einwohner Kaliforniens erzielen.

Wenn Ihr Unternehmen eines dieser Kriterien erfüllt, müssen Sie die Bestimmungen des CCPA und die Datenschutzrechte der Verbraucher einhalten, unabhängig von Ihrem geografischen Standort (innerhalb oder außerhalb Kaliforniens).

Nehmen wir beispielsweise an, Sie verkaufen ein Content-Management-System und vertreiben verschiedene Produkte an Kunden in den gesamten Vereinigten Staaten, darunter auch Einwohner Kaliforniens. Ihr Unternehmen erfasst Informationen wie Namen, Adressen und Kaufhistorien.

Folgendes müssen Sie beachten:

• EinnahmenPrüfen Sie, ob Ihr jährlicher Bruttoumsatz folgende Werte übersteigt: 25 Mio. US$Nehmen wir an, Ihr Unternehmen erwirtschaftet in diesem Fall 30 Millionen Dollar Umsatz pro Jahr. Dann erfüllen Sie das erste Kriterium.
• Datensammlung: Prüfen Sie, ob Sie Daten von mindestens 50,000 Jährlich kalifornische Einwohner, Haushalte oder Geräte. Nehmen wir an, Sie erreichen diese Schwelle, wenn Ihr Online-Shop Tausende von kalifornischen Kunden bedient. Sie erfüllen auch das zweite Kriterium.
• Business Type: Ihr Unternehmen ist gewinnorientiert und online tätig, wodurch es zu den kommerziellen Unternehmen zählt. Sie fallen unter die Kategorie der Unternehmen, die die Bestimmungen des CCPA einhalten müssen.

Sofern Ihr Online-Unternehmen alle drei Kriterien erfüllt, findet der CCPA auf Sie Anwendung. 

Welche Anforderungen gelten für die Einhaltung des CCPA?

Der CCPA legt spezifische Anforderungen fest, die Unternehmen befolgen müssen, um sicherzustellen, dass die Rechte der Verbraucher in Bezug auf ihre personenbezogenen Daten wie Postanschrift, E-Mail-Adresse und andere Informationen, die zur Identifizierung verwendet werden können, geschützt werden. 

Hier finden Sie die CCPA-Konformitätsanforderungen, die Sie kennen sollten, wenn Sie sich fragen, wie Sie die CCPA-Konformität erreichen und Ihr Unternehmen weiter voranbringen können:

1. Prüfen Sie, ob Ihr Unternehmen die CCPA-Kriterien erfüllt.

Um herauszufinden, ob Sie sich mit der Einhaltung des CCPA auseinandersetzen müssen, prüfen Sie zunächst, ob Ihr Unternehmen die CCPA-Kriterien erfüllt. Wenn Ihr Unternehmen gewinnorientiert arbeitet, in Kalifornien geschäftlich tätig ist und mindestens eine der folgenden Bedingungen erfüllt: 

• Das Unternehmen erwirtschaftet einen jährlichen Bruttoumsatz von mehr als 25 Millionen Dollar. 
• Behandelt die personenbezogenen Daten von 50,000 oder mehr Verbrauchern, Haushalten oder Geräten, 
• Oder mehr als 50 % seines Jahreseinkommens aus dem Verkauf personenbezogener Daten erzielt.

Dann findet der CCPA auf Sie Anwendung. Es ist wichtig, genau zu klären, ob diese Faktoren auf Ihr Unternehmen zutreffen, bevor Sie mit dem Compliance-Prozess beginnen.

2. Werfen Sie einen genaueren Blick auf Ihre Datenquellen.

Als Nächstes sollten Sie herausfinden, woher Ihre Daten stammen. Stammen sie von Endverbrauchern? Von Drittanbietern? Oder von IoT-Geräten oder Website-Cookies?

Sobald Sie den Ursprung der Daten kennen, verstehen Sie deren Zweck, warum Sie die einzelnen Datentypen erfassen und wie Sie diese verwenden möchten. Dieser Schritt ist entscheidend, um sicherzustellen, dass Sie Daten nicht auf eine Weise verwenden, die dem Verbraucher nicht bekannt ist.

3. Ermitteln Sie genau die persönlichen Informationen, die Sie sammeln

Beginnen Sie damit, die personenbezogenen Daten Ihrer Kunden zu identifizieren. Das CCPA (California Consumer Privacy Act) ist hier sehr umfassend, daher sollten Sie gründlich vorgehen und absolut sichergehen. Zu den Daten gehören verschiedene Kategorien wie Namen, E-Mail-Adressen, Browserverlauf und sogar Geodaten. 

Daher ist eine der besten Vorgehensweisen zur Einhaltung des CCPA, alle Kundendaten zu dokumentieren, die Ihr Unternehmen erhebt und weitergibt.

4. Seien Sie transparent darüber, wie Sie Daten sammeln.

Wenn Sie sensible personenbezogene Daten erheben, schreibt der CCPA vor, dass Sie eine klare Kennzeichnung bereitstellen müssen. Diese Kennzeichnung sollte angeben, welche Daten Sie erheben und um welche Art von Daten es sich handelt.

Halten Sie außerdem Ihre Datenschutzrichtlinien auf dem neuesten Stand. Stellen Sie sicher, dass sie Ihre aktuellen Datenpraktiken korrekt widerspiegeln und die im CCPA genannten berechtigten Verbraucher genau definieren. Vergessen Sie nicht, diese Richtlinien regelmäßig zu aktualisieren, um den Datenschutzbestimmungen zu entsprechen.

5. Beachten Sie die Verbraucherrechte

Das CCPA schreibt vor, dass die folgenden Verbraucheranforderungen erfüllt werden müssen. Hier ist die Liste der Anforderungen:

6. Recht auf Offenlegung

Wenn Sie Verbraucherdaten gemäß dem CCPA erheben, müssen Sie diese vor oder zum Zeitpunkt der Datenerhebung über Ihre Absichten informieren. Kurz gesagt: Sie benötigen die Einwilligung Ihrer kalifornischen Verbraucher.

7. Zugriffsrecht

Verbraucher haben das Recht, ihre Daten in einem gängigen Format anzufordern. Diese Daten sollten ihnen innerhalb von 45 Tagen nach der Anfrage kostenlos zur Verfügung gestellt werden. Sie sollten außerdem jederzeit uneingeschränkten Zugriff auf Ihre vollständige Datenschutzerklärung haben.

8. Recht auf Kontaktdaten

Sie müssen Verbrauchern mitteilen, wo sie weitere Informationen zu Ihrer Datenschutzrichtlinie und Ihrer Einhaltung des CCPA finden können. Geben Sie außerdem eine gebührenfreie Telefonnummer und Online-Kontaktinformationen für Anfragen zum CCPA an.

9. Das Recht, vergessen zu werden

Wenn ein Verbraucher die Löschung seiner Daten aus seinen Datensätzen beantragt, schreibt der CCPA die Einhaltung dieser Vorschrift vor. Es gibt nur wenige Ausnahmen, in denen ein Antrag auf Datenlöschung abgelehnt werden kann. Diese Fälle sind jedoch selten und erfordern häufig staatliche Eingriffe.

10 Widerspruch gegen den Verkauf und die Nutzung Ihrer Daten für Marketingzwecke

Wenn Sie personenbezogene Daten verkaufen, geben Sie Ihren Kunden die Möglichkeit, dem zu widersprechen. Stellen Sie eine Webseite mit einer gut sichtbaren Widerspruchsoption und einem Link zu Ihrer Datenschutzerklärung bereit. Kunden sollten außerdem die Möglichkeit haben, die Datennutzung für zukünftige Marketingmaßnahmen abzulehnen.

11 Recht auf faire Behandlung

Sie dürfen Nutzer nicht aufgrund ihrer Rechte gemäß dem CCPA benachteiligen. Gewähren Sie allen Verbrauchern denselben Zugang und Service, unabhängig von ihren Entscheidungen.

12 Regelmäßige Aktualisierungen der Datenschutzrichtlinie

Aktualisieren Sie Ihre CCPA-Datenschutzrichtlinie alle 12 Monate. So bleiben Ihre Kunden informiert, wenn Sie Ihre Datenverarbeitungspraktiken ändern.

Wie man die CCPA-Konformität erreicht

Der CCPA bringt bedeutende Veränderungen für Ihr Unternehmen und den Umgang mit Kundendaten mit sich. Zwar dürfen Sie weiterhin personenbezogene Daten erheben und nutzen, doch sind nun Transparenz und die schnelle Reaktion auf Kundenanfragen unerlässlich. 

Hier sind die 8 Schritte zur CCPA-Konformität:

1. Einen Datenschutzbeauftragten ernennen.

In Anlehnung an die DSGVO sollte eine Person oder ein Team als zentrale Anlaufstelle für den Schutz der Daten vor unberechtigtem Zugriff benannt werden. Diese Rolle kann beispielsweise von einer Person mit Titeln wie Datenschutzbeauftragter, Datensicherheitsbeauftragter oder Chief Data Officer übernommen werden, die befugt ist, Maßnahmen zur Durchsetzung der Datenschutzbestimmungen zu ergreifen. 

2. Erstellen Sie ein Repository für Daten von Drittanbietern und überprüfen Sie es.

Der Aufbau eines revisionssicheren Dateninventars und die Einbindung externer Datenverarbeiter sind der nächste wichtige Schritt. Es handelt sich dabei um eine Daten-Roadmap, die den Informationsfluss durch die verschiedenen Abteilungen Ihres Unternehmens abbildet.

Angenommen, Ihr Unternehmen hat diese Übung bereits für Daten von EU-Bürgern durchgeführt (wie in der DSGVO vorgeschrieben). In diesem Fall können Sie den Speicherort Ihrer kalifornischen Daten wahrscheinlich gut ermitteln.

Wenn Ihr Unternehmen mit anderen Unternehmen bei der Verarbeitung von Kundendaten zusammenarbeitet, ist die Überprüfung und Überarbeitung dieser Verträge im Hinblick auf die Einhaltung des CCPA unerlässlich.

Diesen Schritt können Sie ganz einfach mit Hilfe des Sprinto-Dashboards durchführen. Sprintos Erfahrene CCPA-Compliance-Experten vereinfachen diesen Prozess und helfen Ihnen, standardisierte Rechtssprache in Ihre Verträge aufzunehmen.

Stellen Sie sicher, dass Ihre Verträge die Einhaltung des CCPA gewährleisten, einschließlich:

1) Datenverarbeitung: Legen Sie fest, wie Drittanbieter mit Kundendaten umgehen.
2) Anfragen zu Datenschutzrechten: Beschreiben Sie deren Rolle bei Anfragen zu Datenschutzrechten und bei der Zusammenarbeit mit Ihrem Unternehmen.
Auch wenn Sie noch keine globale Bestandsaufnahme durchgeführt haben, kann der bestehende Datenbestand einige Einblicke in die potenziellen Standorte von Daten aus Kalifornien geben.

3. Überarbeiten Sie Ihre Datenschutzrichtlinien und -hinweise.

Nachdem Ihr Wunschteam nun steht, ist es an der Zeit, Ihre bestehende Datenschutzrichtlinie zu überprüfen und anzupassen, um Verstöße und damit verbundene Schäden zu vermeiden. Führen Sie eine CCPA-Gap-Analyse durch, um Aktualisierungsbedarf zu ermitteln. Ihre überarbeitete Richtlinie sollte die durch den CCPA gewährten Rechte abdecken und beschreiben, wie Sie diese Rechte in verschiedenen Situationen handhaben. 

Stellen Sie außerdem sicher, dass die Datenschutzerklärung, die Sie den Verbrauchern am Ort der Datenerfassung zur Verfügung stellen, aktuell ist und Informationen über die Datennutzung und deren Auswirkungen enthält.

4. Datenrechteprotokolle festlegen

Die neuen Datenschutzrechte der Verbraucher sollten im Mittelpunkt Ihrer Bemühungen stehen. Dies bedeutet, Prozesse und Protokolle zu entwickeln, um Verbraucheranfragen effektiv zu bearbeiten.

 Zum BeispielAngenommen, ein Verbraucher beruft sich auf seine Recht auf VergessenwerdenIn diesem Fall sollte Ihr IT-Team gut vorbereitet sein, genau wissen, wo die Daten gespeichert sind, und über einen optimierten Prozess verfügen, um diese zu löschen und den Verbraucher gemäß den CCPA-Standards zu benachrichtigen. 

Die Implementierung dieser Protokolle gewährleistet einen effizienten und vollständig abgestimmten Prozess. CCPA-Anforderungen wenn der Verbraucher seine Rechte ausübt.

5. Risikobewertung durchführen

Nun folgt ein entscheidender Schritt, und hier sollten Sie als Dienstleister die Verwendung eines CCPA in Erwägung ziehen. Compliance-Software Um den Aufwand für manuelle Aufgaben zu verringern, müssen Sie eine Risikobewertung für die in Ihrem Inventar identifizierten Datenflüsse durchführen und Ihre Datenpraktiken anhand der rechtlichen Standards bewerten. 

Das liegt daran, dass vielen Unternehmen der Besitz, der Umfang und der Speicherort ihrer Daten nicht bekannt sind. Ein klares Verständnis der eigenen Daten erleichtert es daher erheblich, deren Auswirkungen im Kontext des CCPA einzuschätzen.

Sprintos Die Plattform ist speziell auf die Bedürfnisse verschiedenster Risikobewertungsanforderungen zugeschnitten – von Standard- bis hin zu komplexen Fällen. Sie deckt alle Bereiche ab, von der Zuordnung von Kontrollmaßnahmen bis hin zu deren Überwachung und Berichterstattung. Traditionell erfolgt die Risikobewertung mithilfe einer individuell erstellten Checkliste, was sehr aufwendig sein kann. 

Angenommen, jede Abteilung Ihres Unternehmens erstellt eine eigene Tabelle. Die Zusammenführung dieser Tabellen, die korrekte Zuordnung der Datensätze und die anschließende Identifizierung der damit verbundenen Risiken sind jedoch zeitaufwendig und mühsam. Sprintos Ansatz führt eine neue Systemprüfung mittels eines Risikoprofils ein, das vordefinierte Risiken (Vorlagen) enthält, die häufig verwendet werden in Compliance-BewertungenEs vereinfacht den Bewertungsprozess.

6. Risikominderungsmaßnahmen umsetzen

Sobald die Risiken aus der Bewertung identifiziert sind, gilt es, Maßnahmen zu deren Minderung zu ergreifen. Dies umfasst die Implementierung von Governance-Maßnahmen, technischen Kontrollen, Richtlinien und Verfahren. Auch das Lieferantenmanagement sollte hier eine Rolle spielen, um illegale Aktivitäten und Sicherheitsvorfälle zu verhindern.

Ziehen Sie den Einsatz von Datenmaskierungstechniken für Nicht-Produktionsumgebungen (wie Entwicklung, Tests und Berichtswesen) in Betracht, da diese bis zu 90 Prozent der Daten enthalten können, die dem Schutz der CCPA-Konformität unterliegen.

Dadurch werden sensible Informationen unwiderruflich verborgen, anonymisiert und nicht mehr als personenbezogene Daten eingestuft. im Rahmen des CCPA oder der DSGVO Sicherheitsanforderungen.

Bewährte Verfahren zur Einhaltung des CCPA

Der Schutz der Kundendaten sollte stets oberste Priorität haben, wenn Sie die Folgen von Verstößen gegen die Vorschriften vermeiden wollen. Daher müssen Sie die branchenweit besten Standards befolgen, um den gesetzlichen Bestimmungen gerecht zu werden. Zu den bewährten Verfahren gehören unter anderem:

1. Analysieren Sie den Geltungsbereich Ihres CCPA.

Um den Umfang der CCPA-Konformität zu ermitteln, führen Sie eine Datenprüfung durch. Das bedeutet, dass Sie herausfinden müssen, welche Informationen Ihr Unternehmen sammelt, wie diese verwendet werden und wo sie gespeichert und weitergegeben werden.

Das Verständnis dieses Datenflusses ist der erste Schritt, gefolgt von der Erstellung einer Datenflusskarte zur Datenzuordnung. Diese hilft Ihnen, den Ursprung der Daten und ihren Weg außerhalb Ihres Unternehmens nachzuvollziehen.

2. Mitarbeiterschulung

Gemäß den CCPA-Bestimmungen müssen Sie Ihre Mitarbeiter speziell schulen, damit diese mit verschiedenen Aspekten von Kundendaten umgehen können. Die Schulung richtet sich an alle, die innerhalb des Unternehmens mit Datenschutzpraktiken befasst sind, sowie an diejenigen, die für die Einhaltung der CCPA-Bestimmungen verantwortlich sind.

Hier sind 3 Möglichkeiten, wie Sie Ihre Mitarbeiter schulen können:

• Sie können auf Schulungsmaterialien zurückgreifen, die über seriöse Anbieter wie die International Association of Privacy Professionals (IAPP) erhältlich sind. 
• Nutzen Sie die Schulungsressourcen, die von Compliance-Automatisierungsplattformen wie Sprint 
• Entwickeln Sie maßgeschneiderte Schulungsmaterialien, die speziell auf die Bedürfnisse Ihres Unternehmens zugeschnitten sind. 

3. Maximieren Sie die Effizienz durch Minimierung der Daten

Im Einklang mit den Datenschutzgesetzen ist es unerlässlich, die Menge der von Ihnen erhobenen, verwendeten, gespeicherten und übermittelten Daten zu reduzieren. Datenminimierung entspricht den regulatorischen Anforderungen und verringert Ihre Haftung beim Schutz personenbezogener Daten.

Wie kann man mit weniger Daten mehr erreichen?

Es beginnt mit der Datenkartierung, die es Ihnen ermöglicht, das Wesentliche zu erkennen. Mithilfe der Datenkartierung können Sie Fälle identifizieren, in denen weniger persönliche Informationen ausreichen. Beachten Sie folgende Strategien zur Datenminimierung:

• Wenn bestimmte personenbezogene Daten für die Bereitstellung einer Funktion nicht erforderlich sind
• Wenn personenbezogene Daten nicht mehr benötigt werden
• Wenn personenbezogene Daten nur für einen Teil der Bevölkerung unerlässlich sind
• Wenn personenbezogene Daten für bestimmte Bevölkerungsgruppen benötigt werden.

4. Vereinfachen Sie die Einhaltung des CCPA durch Automatisierung

Compliance-Automatisierungsplattformen nutzen modernste Technologien, um 90 % der manuellen Prozesse zu ersetzen. Sie basieren in der Regel auf KI, vereinfachen Ihre Compliance-Verfahren und beseitigen viele Probleme. Darüber hinaus unterstützen sie Sie bei der Optimierung von Aufgaben wie Risikobewertung, Arbeitsabläufen und der Planung von Korrekturmaßnahmen.

Wenn Sie also Ihre CCPA-Compliance automatisieren möchten, ist Sprinto die beste Wahl.

Warum? Weil Sprinto sowohl grundlegende als auch komplexe Compliance-Anforderungen erfüllt. Es deckt alles ab, was Sie benötigen – von der Kontrollmodellierung bis hin zu einem breiten Spektrum regulatorischer Anforderungen.

Darüber hinaus beinhaltet unser integrationsorientierter Ansatz Automatisierung und intelligente Arbeitsabläufe, die Ihr CCPA-Compliance-Management optimieren, ohne Ihr Team zu überfordern.

Darum zeichnet sich Sprinto als Automatisierungstool aus:

• Transparente Fortschrittsverfolgung: Bleiben Sie mit Live-Statusberichten, Kontrollfunktionen und Aufgabenstatus auf dem Laufenden und ermutigen Sie Ihre Aufgabenverantwortlichen zu schnellem Handeln.
• Automatisierungspriorität: Rechtzeitige Benachrichtigungen und intelligente Arbeitsabläufe halten Ihr Unternehmen in Bewegung und gewährleisten gleichzeitig kontinuierliche Einhaltung und dem täglichen Geschäftsbetrieb.
• Maßgeschneiderte Programme: Passen Sie Compliance-Programme individuell an, um einzigartige Kontrollen und verschiedene Prüfebenen einzubeziehen und auf spezifische Szenarien einzugehen.
• Skalierbarkeit: Neue Frameworks einfach aktivieren, fehlende Kontrollen implementieren, Nachweise wiederverwenden und die Überwachung der Einhaltung von Vorschriften mit minimalem Aufwand initiieren.
• DetailliertSprinto ist eine funktionsreiche, leichtgewichtige Plattform, die Ihnen alle Werkzeuge an die Hand gibt, um die Einhaltung geltender Sicherheitsstandards zu etablieren, zu erreichen und aufrechtzuerhalten.

5. Aktualisieren Sie Ihre Datenschutzpraktiken

Auch wenn Datenschutzgesetze manchmal unklar sein können, sollten die Datenschutzrichtlinien Ihres Unternehmens auf Klarheit abzielen. Definieren Sie die von Ihnen erhobenen Daten, deren Zweck, wie sie an Dritte weitergegeben werden, Aufbewahrungsfristen, Zugriffsrechte und Sicherheitsmaßnahmen.

Um die Bestimmungen des CCPA einzuhalten, fügen Sie eine „Nicht verkaufen“-Option auf Ihrer Website hinzu, falls Sie personenbezogene Daten an Dritte verkaufen. Beschreiben Sie außerdem in Ihren Verträgen mit Kunden und Lieferanten detailliert die Art der weitergegebenen Daten, die Methoden der Weitergabe, die Datennutzung sowie die vertraglichen Verpflichtungen zur Einhaltung der Datenschutzbestimmungen.

6. Schutz der Daten von Minderjährigen

Holen Sie eine ausdrückliche Einwilligung ein, wenn Sie personenbezogene Daten von Personen unter 16 Jahren verarbeiten. Bei Personen unter 13 Jahren ist die Einwilligung der Eltern oder Erziehungsberechtigten zwingend erforderlich. Setzen Sie Tools oder Lösungen zur Alterserkennung ein, um eine unbeabsichtigte Datenerfassung von Minderjährigen ohne entsprechende Einwilligung zu verhindern.

7. Kundenanfragen proaktiv bearbeiten

Um dies zu erreichen, sollten zunächst klare Protokolle für die Bearbeitung, Überprüfung und Beantwortung von Anfragen erstellt werden. Die CCPA sieht hierfür eine Frist von 45 Tagen vor.

Die Überprüfungsverfahren sind aufgrund von Anfragen bezüglich der Offenlegung oder Löschung personenbezogener Daten von entscheidender Bedeutung. 

Bei Online-Anfragen sollte ein zweistufiges Verifizierungsverfahren implementiert werden: Die Nutzer sollen ihre Anfrage einreichen und diese anschließend per E-Mail oder Nachricht bestätigen.

Beispiele für die Einhaltung des CCPA

Hier sind einige Beispiele zur Einhaltung des CCPA, die Ihnen helfen können, die Funktionsweise zu verstehen:

Beispiel 1 – Recht auf Nichtdiskriminierung

Unternehmen dürfen Verbraucher nicht benachteiligen, weil diese ihre Rechte gemäß dem CCPA ausüben. Die besten CCPA-Compliance-Tools erfassen diese Prozesse zur Ausübung von Verbraucherrechten präzise und protokollieren jeden Widerspruch, jede Löschung oder jede Zugriffsanfrage. So kann das Unternehmen den Aufsichtsbehörden später nachweisen, dass keine nachgelagerten Geschäftsentscheidungen mit der Ausübung der Verbraucherrechte in Zusammenhang standen.

Wenn ein Verbraucher der Weitergabe seiner personenbezogenen Daten widerspricht, darf das Unternehmen sein Verhalten ihm gegenüber nicht ändern. Beispielsweise sind diskriminierende Praktiken wie die Erhebung unterschiedlicher Preise aufgrund der Ausübung dieser Rechte durch den Verbraucher ebenfalls verboten.

Beispiel 2 – Der Link „Meine persönlichen Daten nicht verkaufen“

Verbraucher haben das Recht, der Weitergabe ihrer personenbezogenen Daten an Dritte zu widersprechen. Unternehmen müssen auf ihren Online-Plattformen einen gut sichtbaren Link mit der Aufschrift „Meine personenbezogenen Daten nicht verkaufen“ bereitstellen, damit Kunden dieses Recht ausüben können.

Dieser Link ist ein obligatorischer Bestandteil der CCPA-Datenschutzrichtlinie und sollte auf der Website oder in der App des Unternehmens leicht zugänglich sein. Wenn ein Nutzer darauf klickt, sollte er auf eine Webseite weitergeleitet werden, auf der er der Weitergabe seiner personenbezogenen Daten widersprechen kann.

Beispiel 3 – Datenschutzerklärung mit fehlenden wichtigen Angaben

Angenommen, Sie sind ein Telemedizinunternehmen, das bereits HIPAA-konform ist . Aufgrund eines Website-Problems führte der Link auf Ihrer Website die Kunden zum falschen Abschnitt der Datenschutzerklärung. Darüber hinaus haben Sie auch einige wichtige Informationen auf der Datenschutzseite vergessen.

Sie haben nicht mitgeteilt, welche Angaben die Verbraucher für Auskunftsersuchen machen müssen oder welche personenbezogenen Daten Sie im vergangenen Jahr erhoben und weitergegeben haben. Auch wurde nicht erwähnt, an wen Sie diese Daten weitergegeben haben.

Was sollten Sie also jetzt tun? Sie müssen den Link korrigieren, sodass er an die richtige Stelle in der Datenschutzerklärung führt, und alle fehlenden Informationen hinzufügen.

CCPA vs CPRA: Worin besteht der Unterschied?

Gemäß dem CCPA können Verbraucher Auskunft über personenbezogene Daten (PII) verlangen, die ein Unternehmen erhebt und verkauft. Der CPRA erweitert dies, indem er auch Daten einbezieht, die Unternehmen weitergeben – nicht nur verkaufen – und somit die Transparenzanforderungen für Organisationen verschärft.

Außerdem wird die Frist für Anfragen zu Verbraucherdaten über die ursprüngliche 12-Monats-Grenze hinaus verlängert und es werden neue Schutzmaßnahmen für „sensible personenbezogene Daten“ eingeführt.

Zusammengenommen stärken diese Änderungen die Datenschutzrechte der Verbraucher erheblich und verschärfen die Verantwortlichkeit der Unternehmen.

Hier ist eine Tabelle, die die wichtigsten Unterschiede zwischen CCPA und CPRA aufzeigt:

Kategorie	CCPA	CPRA
Neue Verbraucherrechte	N / A	Führt vier neue Rechte ein: Recht auf Berichtigung, Recht auf Einschränkung der Verarbeitung sensibler personenbezogener Daten, Recht auf Zugang und Widerspruch gegen automatisierte Entscheidungsfindung sowie Recht auf Datenübertragbarkeit.
Erweiterte Verbraucherrechte	Recht auf Auskunft, Recht auf Widerspruch gegen den Datenverkauf, Recht auf Löschung.	Erweitert bestehende Rechte, darunter das Auskunftsrecht (einschließlich des Rechts auf Datenweitergabe) und das Widerspruchsrecht (erweitert um das Recht auf Datenweitergabe). Verbessert das Recht auf Löschung, indem Löschanträge an Dritte weitergeleitet werden müssen.
Sensible personenbezogene Daten (SPI)	N / A	Fügt eine neue Kategorie „Sensible personenbezogene Daten“ (SPI) mit strengeren Vorschriften hinzu.
Datenaustausch	Regelt den Datenverkauf.	Das Gesetz wird auf die Regelung des Datenaustauschs ausgeweitet, einschließlich nicht-monetärer Tauschgeschäfte für kontextübergreifende verhaltensbasierte Werbung. Verbraucher haben das Recht, der Weitergabe ihrer Daten zu widersprechen, diese einzusehen und zu löschen.
Kalifornien Datenschutzbehörde	N / A	Errichtet die California Privacy Protection Agency (CPPA) zur Durchsetzung der CPRA-Bestimmungen.
30-tägige Heilungsphase	Automatische 30-tägige Frist für Unternehmen zur Behebung von Verstößen.	Die automatische 30-tägige Frist zur Behebung des Sicherheitsvorfalls wird aufgehoben, sodass die Entscheidung darüber im Ermessen des Gerichts liegt. Die Implementierung von Sicherheitsmaßnahmen nach einem Sicherheitsvorfall gilt nicht als Behebung des Sicherheitsvorfalls.
Privates Klagerecht	Privater Klageanspruch bei unberechtigtem Zugriff auf unverschlüsselte/ungeschwärzte Daten.	Erweitert das Klagerecht für Privatpersonen auf den unberechtigten Zugriff auf E-Mail-Adressen, Passwörter oder Sicherheitsfragen aufgrund unzureichender Sicherheitsmaßnahmen.
Datenverarbeitungsschwelle	Gilt für Unternehmen, die Daten von mindestens 50,000 Verbrauchern verarbeiten.	Erhöht die Schwelle auf 100,000 Verbraucher und befreit damit mehr kleine und mittlere Unternehmen.
Anforderungen an Drittverträge	Keine spezifischen Vertragsbedingungen.	Erfordert umfassende Verträge mit Dritten, die die Datennutzung festlegen, die Einhaltung des CPRA gewährleisten und die Durchsetzung sowie die Meldung von Verstößen ermöglichen.

Wie hoch sind die Kosten für die Implementierung des CCPA?

Zur Umsetzung des CCPA nennt der Bericht des Generalstaatsanwalts zu Datenschutzbestimmungen vier Hauptkategorien von Kosten, die anfallen können. Diese Kosten umfassen verschiedene Aspekte der Einhaltung von Vorschriften in den Bereichen Recht, Technik, Betrieb und Wirtschaft.

Außerdem beginnen die Kosten für die Einhaltung des CCPA für kleine Unternehmen bei 50,000 US-Dollar und können für große Unternehmen bis zu 2 Millionen US-Dollar betragen.

Unternehmensart	Mitarbeiteranzahl	Kosten
Kleine Unternehmen	Weniger als 20 Mitarbeiter	$50,000
Mittlere Unternehmen	20 an 100-Mitarbeiter	$100,000
Mittelgroße Unternehmen	00 -500 Mitarbeiter	$450,000
Große Unternehmen	Mehr als 500 Mitarbeiter	$ 2 Mio.

Quelle

Die Kosten erscheinen zu hoch, nicht wahr? Wenn Sie sich entscheiden, CCPA mit Hilfe von Beratern umzusetzen, ist der oben genannte Preis der, den Sie zahlen müssen.

Wenn Sie sich jedoch für eine Automatisierungsplattform wie Sprinto entscheiden, betragen die Kosten nur einen Bruchteil dessen, was in der Tabelle angegeben ist.

Nehmen Sie Kontakt mit unseren Experten auf , um mehr über die Implementierungskosten zu erfahren!

Folgen der Nichteinhaltung des CCPA

Der CCPA (California Consumer Privacy Act) ermächtigt den kalifornischen Generalstaatsanwalt, gegen Unternehmen wegen Verstößen gegen den CCPA vorzugehen, selbst wenn kein Datenleck vorliegt. Zu den Verstößen zählen beispielsweise die Nichtbeantwortung von Verbraucheranfragen auf Auskunft oder Löschung personenbezogener Daten sowie der illegale Verkauf dieser Daten.

Der Generalstaatsanwalt räumt Unternehmen eine Frist von 30 Tagen ein, um die Anforderungen des CCPA zu erfüllen. Innerhalb dieser Frist werden Strafen verhängt, wenn das Unternehmen die Mängel nicht behebt und die Compliance-Vorgaben nicht wiederherstellt.
Die Strafen lauten: 

• Zivilrechtliche Strafen: Bis zu 2,500 US-Dollar pro Verstoß, auch versehentliche Verstöße.
• Vorsätzliche Verstöße: Bis zu 7,500 US-Dollar pro Verstoß.

Beachten Sie, dass diese Bußgelder pro Verstoß und pro Verbraucher gelten. Die Bußgelder nach dem CCPA sind trotz ihrer scheinbar geringeren Höhe im Vergleich zur DSGVO empfindlich. Bevor Sie davon ausgehen, dass Ihre Daten ausgenommen sind, sollten Sie die wichtigsten Ausnahmen des CCPA kennen – die fälschliche Geltendmachung einer Ausnahme kann dieselben Strafen wie ein vollständiger Verstoß nach sich ziehen. Dies kann Unternehmen in ihrem Wachstum um bis zu zehn Jahre zurückwerfen.

Der schnellste Weg zur CCPA-Konformität

In der Cloud-Computing-Branche ist Datenschutz ein entscheidender Faktor, der über Erfolg oder Misserfolg eines Unternehmens entscheiden kann – ein Prinzip, das branchenübergreifend gilt. Die Bedrohungslandschaft entwickelt sich ständig weiter, und damit auch die Regulierungen zu deren Minimierung.

Da sich die Vorschriften ständig weiterentwickeln, müssen Sie als Geschäftsinhaber eine bessere Kontrolle über Ihre Kundendaten erlangen, um sicherzustellen, dass die erforderlichen Werkzeuge und Ressourcen zum Schutz dieser Daten beschafft und eingesetzt werden.

In allen zu Beginn des Artikels genannten Beispielen fallen Unternehmen unter den CCPA und müssen die Bestimmungen einhalten. Einige der Maßnahmen, wie die Aktualisierung von Datenschutzrichtlinien und die Bearbeitung von Verbraucheranfragen (z. B. Auskunftsersuchen oder Datenlöschungsanfragen), erscheinen zwar einfach und unkompliziert. Doch schon ein einziger Verstoß gegen die Bestimmungen kann teuer werden.

Die Anwendung herkömmlicher Methoden würde Sie Monate kosten, allein um die CCPA-Anforderungen selbstständig zu erfüllen. Es gibt jedoch effiziente Wege, die CCPA-Konformität bereits heute zu erreichen. Ein solcher Weg ist die Nutzung von Compliance-Automatisierungslösungen wie Sprinto.

Sprinto bietet eine Automatisierungslösung, die Ihr Unternehmen in nur wenigen Wochen zur vollständigen CCPA-Konformität führen kann – ohne teure Rechtsberatungen, langwierige technische Implementierungen und komplizierte juristische Fachsprache.

Nehmen Sie Kontakt mit unserem Team auf, um herauszufinden, wie wir Ihr Unternehmen auf dem Weg zur Compliance unterstützen können.

Häufig gestellte Fragen