CCPA-Datenschutzrichtlinie: Was ist das? + Beispielvorlage

Der California Consumer Privacy Act (CCPA) legt ziemlich spezifische Regeln für den Umgang von Unternehmen mit den persönlichen Daten von Einwohnern Kaliforniens fest – insbesondere im Hinblick auf die Datenschutzerklärung Ihrer Website (auch bekannt als CCPA-Datenschutzerklärung).

Die neuen Richtlinien beschreiben, wie Ihr Unternehmen Daten erhebt, nutzt und weitergibt. Sie dienen außerdem als wichtige Referenz, um Verbrauchern ihre Datenschutzrechte zu erläutern und Ihre Einhaltung der Gesetze nachzuweisen.

Wenn Sie diesen Artikel zu Ende gelesen haben, werden Sie nicht nur verstehen, was eine gute CCPA-Datenschutzrichtlinie ausmacht, sondern auch über eine herunterladbare, sofort einsatzbereite Vorlage verfügen, die Ihnen hilft, eine solche Richtlinie zu erstellen, ohne dabei Details zu übersehen.

CCPA-Datenschutzrichtlinie: Was ist das?

Die CCPA-Datenschutzrichtlinie ist ein formelles Dokument, das darlegt, wie ein Unternehmen seine Datenverarbeitungspraktiken an die Anforderungen des CCPA anpasst.

Generell schreibt der CCPA vor, dass Unternehmen eine schriftliche Datenschutzerklärung erstellen müssen, in der sie ihre Maßnahmen zum Schutz der Datenschutzrechte der Verbraucher darlegen. Um die Erfüllung dieser Anforderung zu vereinfachen.

Diese Richtlinie legt fest, wie personenbezogene Daten von Einwohnern Kaliforniens erfasst, verwendet, weitergegeben und geschützt werden. 

Der CCPA gewährt Rechte auf Auskunft, Löschung und Widerspruch gegen den Datenverkauf. Wenn Ihre Organisation auch Nutzer in der EU betreut, hilft Ihnen das Verständnis der Betroffenenrechte gemäß DSGVO dabei, eine einheitliche Datenschutzrichtlinie zu erstellen, die sowohl den kalifornischen als auch den EU-Anforderungen genügt.

Wer muss die CCPA-Datenschutzrichtlinie einhalten?

Jede Organisation, die Daten von Einwohnern Kaliforniens erhebt, muss den CCPA einhalten und eine Datenschutzerklärung auf ihrer Website veröffentlichen. Doch wie finden Sie heraus, ob Ihre Organisation unter den CCPA fällt?

Hier die wichtigsten Kriterien:

• Jahresumsatz: Erzielt Ihre Organisation einen Bruttoumsatz von 25 Millionen Dollar oder mehr?
• Datenvolumen: Kaufen, verkaufen oder teilen Sie Daten von mehr als 100,000 Einwohnern, Haushalten oder Geräten aus Kalifornien?
• Einnahmen aus Daten: Stammen mindestens 50 % Ihres Jahreseinkommens aus dem Verkauf persönlicher Daten von Kaliforniern?

Während gemeinnützige Dienstleister und Regierungsbehörden im Allgemeinen ausgenommen sind, ist der Anwendungsbereich des CCPA sehr weit gefasst und umfasst die meisten Einrichtungen, die personenbezogene Daten zu Geschäftszwecken erheben, verkaufen oder offenlegen.

Was sollte Ihre CCPA-Datenschutzrichtlinie beinhalten?

Designer: Erstellen Sie eine Infografik mit den folgenden Punkten:

Um die Anforderungen des CCPA zu erfüllen , muss Ihre Datenschutzerklärung bestimmte Kriterien erfüllen, um mit kalifornischem Recht übereinzustimmen. Dies kann bedeuten, dass Sie Ihre bestehende Datenschutzerklärung aktualisieren oder eine separate Datenschutzerklärung für personenbezogene Daten von Einwohnern Kaliforniens erstellen müssen.

Welche rechtlichen Verpflichtungen ergeben sich also aus Ihrer Datenschutzerklärung gemäß CCPA? Schauen wir uns das genauer an:

1. Stellen Sie einen klaren und gut sichtbaren Link bereit.

Ihre Website benötigt einen direkten Link zur Datenschutzerklärung und muss das Wort „Datenschutz“ enthalten – Titel wie „Datenschutzerklärung“, „Datenschutzerklärung für Kalifornien“ oder „Datenschutzrechte in Kalifornien“. Diese sind alle gemäß den CCPA-Richtlinien zulässig.

2. Machen Sie es einfach zu finden

Verstecken Sie Ihre Datenschutzerklärung nicht in einem Labyrinth von Links. Platzieren Sie sie gut sichtbar auf Ihrer Website, sodass Besucher sie mühelos finden können. Zum Beispiel:

• Fügen Sie bei der Kontoerstellung eine Checkbox mit einer Aufforderung wie dieser ein: „Ich stimme der Datenschutzrichtlinie zu.“ (mit verlinkter Richtlinie).
• Fügen Sie den Link in der Fußzeile jeder Seite ein, zusammen mit wichtigen Angaben wie „Nutzungsbedingungen“ oder „Kontakt“.

3. Kategorien personenbezogener Daten einbeziehen

Ihre Datenschutzerklärung muss transparent darlegen, welche Arten von personenbezogenen Daten Sie jährlich von Verbrauchern erheben. Warum? Weil Verbraucher gemäß dem CCPA das Recht haben, genau zu erfahren, wie ihre Daten verarbeitet werden.

Um effektiv zu sein, sollte man die Dinge unkompliziert halten und komplizierte juristische Fachsprache vermeiden. Konzentrieren Sie sich auf eine klare, einfache Sprache, die jeder verstehen kann.

Folgendes sollten Sie einbeziehen:

• Identitätsdaten: Informationen wie Namen, IDs oder andere Kennungen.
• KontaktE-Mail-Adressen, Telefonnummern und Postanschriften.
• Finanzielle Details: Zahlungsinformationen oder alles andere, was mit Transaktionen zusammenhängt.

4. Die Quellen persönlicher Informationen offenlegen

Ihre Datenschutzerklärung muss offenlegen, woher diese Daten stammen. Gemäß dem CCPA müssen Unternehmen die Quellen personenbezogener Daten offenlegen, um Verbrauchern ein klareres Bild davon zu vermitteln, wie ihre Daten erhoben werden.

Zum Beispiel die Information:

• Werden die Daten direkt von den Verbrauchern erhoben, beispielsweise bei der Anmeldung oder Kontoerstellung?
• Werden die Daten von Website-Cookies oder Tracking-Technologien erfasst?
• Stammen die Daten von Drittanbieterplattformen oder aus Partnerschaften?

Seien Sie konkret und listen Sie die tatsächlichen Quellen in Ihrer Datenschutzerklärung auf. 

5. Geben Sie Ihre Ziele an.

Ihre Datenschutzerklärung muss genau darlegen, warum Sie personenbezogene Daten erheben oder verarbeiten – und zwar in einer klaren, einfachen Sprache, die jeder verstehen kann.

Verwenden Sie die Daten beispielsweise für Folgendes:

• Kundenservice verbessern?
• Produkte oder Dienstleistungen liefern?
• Marketingmaßnahmen anpassen?

Unabhängig vom Zweck sollten Sie transparent und konkret sein. Wenn Verbraucher eine klare Erklärung erhalten, schafft das Vertrauen und gibt ihnen die Gewissheit, dass ihre Daten verantwortungsvoll behandelt werden. 

6. Verbraucherrechte einschließen

Ihre Datenschutzerklärung soll Verbrauchern helfen, ihre Rechte gemäß CCPA zu verstehen und diese geltend zu machen. 

Verbraucher sollten wissen, dass sie das Recht haben, ihre persönlichen Daten zu löschen, zu berichtigen oder darauf zuzugreifen .

Ihre Richtlinie muss mindestens zwei Möglichkeiten zur Einreichung dieser Anfragen beschreiben, beispielsweise eine Telefonnummer oder ein Webformular. Geben Sie unbedingt eine E-Mail-Adresse als persönliche Kennung für solche Verbraucheranfragen an; dies ist ausreichend, wenn Ihr Unternehmen ausschließlich online tätig ist.

7. Widersprüche einbeziehen

Fügen Sie einen Link mit der Aufschrift „ Meine persönlichen Daten nicht verkaufen oder weitergeben “ hinzu , damit Verbraucher dem Verkauf ihrer Daten widersprechen können.

Wenn Sie sensible personenbezogene Daten verarbeiten, fügen Sie einen Link wie „ Nutzung meiner sensiblen personenbezogenen Daten einschränken “ oder etwas Vergleichbares hinzu. Dadurch können Verbraucher die Verwendung oder Weitergabe ihrer sensiblen Daten einschränken.

8. Alle 12 Monate aktualisieren

Gemäß dem CCPA muss Ihre Datenschutzerklärung mindestens einmal alle 12 Monate aktualisiert werden. Dadurch wird sichergestellt, dass Verbraucher stets informiert sind, wenn Ihr Unternehmen neue Arten personenbezogener Daten erhebt oder ihre Daten für andere Zwecke verwendet.

Ein Jahr Wartezeit reicht jedoch nicht immer aus. Wenn Sie Ihre Vorgehensweise im Umgang mit personenbezogenen Daten ändern, beispielsweise durch die Einführung einer neuen Datenerfassungsmethode oder die Umnutzung vorhandener Daten, sollten Sie Ihre Datenschutzrichtlinie umgehend aktualisieren. 

Auch wenn es rechtlich nicht vorgeschrieben ist, zeugt es von Transparenz und sorgt dafür, dass Ihre Geschäftspraktiken mit Ihren Verpflichtungen im Einklang stehen.

Vergessen Sie nicht, ein Datum für die letzte Aktualisierung in Ihre Datenschutzerklärung aufzunehmen . Dieses einfache Detail gibt Verbrauchern die Gewissheit, die aktuellste Version Ihrer Datenschutzpraktiken zu lesen.

9. Offenlegung personenbezogener Daten einschließen

Ihre Datenschutzerklärung muss offenlegen, ob Sie personenbezogene Daten verkaufen oder weitergeben. Falls Sie dies in den letzten 12 Monaten getan haben, müssen Sie Folgendes angeben:

• Die Kategorien der verkauften oder offengelegten personenbezogenen Daten
• Die Kategorien der Empfänger
• Die Zwecke hinter dem Verkauf oder der Offenlegung der Informationen

Wenn Ihr Unternehmen solche Aktivitäten durchführt, stellen Sie sicher, dass Ihre Datenschutzerklärung einen Hinweis auf das Widerspruchsrecht oder einen direkten Link wie „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“ enthält.

Was passiert, wenn Sie keine personenbezogenen Daten verkaufen oder weitergeben? Auch dann sind Sie nicht aus dem Schneider – Ihre Datenschutzrichtlinie muss dies ausdrücklich festlegen. Beispielsweise stellt Amazon in seiner Datenschutzrichtlinie klar, dass das Unternehmen keine personenbezogenen Daten von Verbrauchern verkauft.

10 Geben Sie persönliche Daten von Kindern an

Ihre Datenschutzerklärung sollte regeln, wie Sie mit personenbezogenen Daten von Kindern umgehen. Wenn Ihre Website personenbezogene Daten von Kindern unter 16 Jahren erhebt oder verkauft, müssen Sie dies klar und deutlich angeben.

Konkret müssen Sie:

• Geben Sie an, ob Sie personenbezogene Daten von Kindern verkaufen oder verarbeiten.
• Bieten Sie ein Opt-in-Verfahren für die Daten von Kindern an und machen Sie deutlich, dass Eltern oder Erziehungsberechtigte zuerst ihre Zustimmung geben müssen.
• Erläutern Sie, wie Nutzer später ihre Einwilligung widerrufen können, falls sie ihre Meinung ändern.

11 Sorgfältiger Umgang mit sensiblen Informationen

Sensible Informationen sind personenbezogene Daten, die Schaden, Diskriminierung oder andere negative Folgen verursachen können, wenn sie in die falschen Hände geraten. Dazu gehören Angaben wie Rasse, ethnische Zugehörigkeit, Gesundheitsdaten oder sogar der genaue Aufenthaltsort einer Person.

Da sensible Daten schwerwiegende Folgen haben können, erfordern sie besonderen Schutz und sorgfältige Handhabung. Es ist wichtig, transparent darzulegen, welche Art von sensiblen Informationen Sie erfassen und wie Sie diese schützen.

Wenn Sie beispielsweise Daten über den Gesundheitszustand, die genetischen Informationen oder die Krankengeschichte von Nutzern erfassen, gelten diese als sensible personenbezogene Daten. Würden diese Daten kompromittiert, könnte dies zu Diskriminierung oder Nachteilen führen, wie etwa höheren Versicherungsprämien oder Benachteiligung im Berufsleben.

Wie erstellt man eine CCPA-Datenschutzrichtlinie?

Hier finden Sie eine einfache Checkliste, die Ihnen hilft, eine möglichst effektive CCPA-Datenschutzrichtlinie zu erstellen. Wir stellen Ihnen außerdem unten eine kostenlose CCPA-Datenschutzrichtlinienvorlage zur Verfügung, die auf Expertenempfehlungen basiert.

#	Checklistenpunkt	Umsetzbare Frage	Ja Nein
1	Klarer und prominenter Link	Ist der Link zu Ihrer Datenschutzerklärung klar, leicht zugänglich und mit „Datenschutzerklärung“ oder „Kalifornische Datenschutzrechte“ gekennzeichnet?	Ja
2	Kategorien personenbezogener Daten	Haben Sie die Kategorien der von Ihnen erfassten personenbezogenen Daten aufgelistet (z. B. Identitäts-, Kontakt- und Finanzdaten)?	Nein
3	Quellen persönlicher Informationen	Haben Sie die Quellen identifiziert, aus denen personenbezogene Daten erhoben werden (z. B. direkt von Nutzern, Cookies und von Dritten)?	Ja
4	Zwecke der Datenerhebung	Erläutern Sie klar die Zwecke der Erhebung personenbezogener Daten (z. B. Marketing, Kundenservice)?	Ja
5	Verbraucherrechte gemäß CCPA	Informiert Ihre Datenschutzrichtlinie die Verbraucher über ihre Rechte (z. B. auf Löschung, Zugriff oder Berichtigung von Daten) und bietet sie mindestens zwei Möglichkeiten zur Ausübung dieser Rechte?	Ja
6	Opt-Out-Möglichkeiten	Enthält Ihre Datenschutzerklärung einen Link mit der Aufschrift „Meine persönlichen Daten nicht verkaufen oder weitergeben“? Bietet sie eine Option für sensible Daten an?	Ja
7	Offenlegung sensibler Informationen	Werden sensible personenbezogene Daten (z. B. Gesundheitsdaten, ethnische Zugehörigkeit) offengelegt und welche Schutzmaßnahmen werden getroffen?	Ja
8	Persönliche Daten von Kindern	Beschreibt Ihre Richtlinie, wie Sie mit den personenbezogenen Daten von Kindern unter 16 Jahren umgehen, einschließlich der Prozesse zur Einwilligung/Abmeldung?	Ja
9	Verkauf oder Weitergabe personenbezogener Daten	Haben Sie die Kategorien der in den letzten 12 Monaten verkauften oder weitergegebenen personenbezogenen Daten sowie die Empfänger und Zwecke aufgelistet?	Ja
10	Aktualisierungsfrequenz	Enthält Ihre Richtlinie ein Datum der letzten Aktualisierung und die Zusage, sie jährlich oder bei Änderungen der Vorgehensweise zu überprüfen und zu aktualisieren?	Ja
11	Geschäftskontaktinformationen	Haben Sie klare Kontaktinformationen bereitgestellt, über die Verbraucher Anfragen oder Anträge im Zusammenhang mit dem CCPA stellen können?	Ja
12	Nichtdiskriminierungsklausel	Enthält Ihre Datenschutzerklärung die Aussage, dass Verbraucher nicht benachteiligt werden, wenn sie ihre Rechte gemäß dem CCPA ausüben?	Ja
13	Datenerhaltung	Legt Ihre Richtlinie fest, wie lange personenbezogene Daten aufbewahrt werden und nach welchen Kriterien die Aufbewahrungsfristen bestimmt werden?	Ja
14	Weitergabe an Dritte	Haben Sie Dritte darüber informiert, mit denen Sie personenbezogene Daten teilen, und zu welchem ​​Zweck erfolgt diese Weitergabe?	Ja
15	Sicherheitsmaßnahmen	Werden in Ihren Datenschutzrichtlinien die Maßnahmen erwähnt, die Sie ergreifen, um personenbezogene Daten vor unbefugtem Zugriff, Offenlegung oder Zerstörung zu schützen?	Ja
16	Bekanntgabe von Änderungen	Enthält Ihre Richtlinie eine Erklärung darüber, wie Änderungen der Datenschutzrichtlinie den Verbrauchern mitgeteilt werden?	Ja
17	Recht auf Einwilligung zu sensiblen Daten	Werden sensible personenbezogene Daten erhoben, erklärt die Datenschutzerklärung den Opt-in-Prozess klar und ermöglicht sie den Verbrauchern, sich später abzumelden?	Ja
18	Zugriffs- und Löschanfragen	Bietet Ihre Richtlinie den Verbrauchern ein klares Verfahren zur Einreichung von Zugriffs- und Löschungsanträgen für ihre persönlichen Daten?	Ja
19	Verfolgen Sie keine Signale	Wird in Ihren Richtlinien geregelt, ob die Website „Do Not Track“-Signale oder ähnliche Mechanismen berücksichtigt?	Ja
20	Internationale Datenübertragungen	Sofern zutreffend, legt Ihre Richtlinie fest, ob personenbezogene Daten außerhalb der Vereinigten Staaten übermittelt werden und welche Schutzmaßnahmen getroffen werden?	Ja

Laden Sie unsere Musterrichtlinie herunter, um weitere Informationen zu erhalten.

Wie kann man seine CCPA-Datenschutzrichtlinie kontinuierlich überwachen und aktualisieren?

Die CCPA-Richtlinien können durch die Umsetzung der folgenden bewährten Verfahren kontinuierlich überwacht und aktualisiert werden:

1. Prüfen Sie die Bestimmungen des CCPA zum Datenschutz und aktualisieren Sie die Datenschutzerklärung gegebenenfalls, um sie an Ihre geschäftlichen Zwecke anzupassen. 
2. Erstellen und pflegen Sie einen Prozess zur Dokumentation Ihrer CCPA-konformen Datenschutzrichtlinien. Richten Sie Ihre Geschäftspraktiken und Datenschutzeinstellungen an den Verbraucherrechten aus. 
3. Schulen Sie Ihre Mitarbeiter in Bezug auf Datenschutzpraktiken, um die Wahrscheinlichkeit illegaler Aktivitäten oder Sicherheitsverstöße zu verringern. 
4. Ihr Datenschutzteam sollte sicherstellen, dass Ihre Richtlinien für Kunden in einem leicht verständlichen Format zugänglich sind. 

Werden Sie mit Sprinto zum CCPA-Champion.

Wer gegen die CCPA-Bestimmungen verstößt, muss mit empfindlichen Strafen rechnen. Gleichzeitig ist die kontinuierliche Einhaltung leichter gesagt als getan. Angesichts der vielen zu berücksichtigenden Faktoren ist ein Verstoß gegen die Vorschriften nur eine Frage der Zeit. 

Sprinto unterstützt Sie bei der mühelosen Verwaltung aller Aufgaben, ohne Sie auszubremsen. Mit sofort einsatzbereiten Compliance-Programmen und auf die CCPA-Anforderungen abgestimmten Kontrollen bleiben Sie stets auf Kurs . Dank anpassbarer Richtlinienvorlagen erstellen Sie Ihre eigene CCPA-Richtlinie im Handumdrehen.

Dank vielfältiger Integrationsmöglichkeiten verbindet Sprinto Ihre Systeme, überwacht kontinuierlich die Steuerungsleistung und sammelt automatisch Nachweise, um eine lückenlose Prüfspur zu erstellen.

Es überwacht kontinuierlich alle Kontrollmechanismen auf Nichteinhaltung, sammelt Beweise und unterstützt Sie bei der Einleitung von Korrekturmaßnahmen – alles über ein zentrales Dashboard. So verbringen Sie weniger Zeit mit der Verwaltung einzelner Compliance-Anforderungen und können sich stattdessen verstärkt auf die Umsetzung bewährter Verfahren und die Sicherstellung der Auditbereitschaft konzentrieren. 

Noch unsicher? Wir helfen Ihnen gern. Sprechen Sie noch heute mit unseren CCPA-Experten!

Häufig gestellte Fragen