CCPA-Anforderungen: Ein Leitfaden zur Einhaltung

Die DSGVO war das erste Gesetz, das Unternehmen verpflichtete, Prozesse und Richtlinien zum Schutz der Rechte von Nutzern und zur Gewährleistung der Integrität ihrer personenbezogenen Daten einzuführen. Nach der DSGVO konnte der kalifornische CCPA Unternehmen flächendeckend zur Einhaltung des Datenschutzgesetzes verpflichten. 

Der CCPA (California Consumer Privacy Act) ist ein umfassendes Datenschutzgesetz für Unternehmen. Ihr Unternehmen unterliegt dem CCPA, wenn Sie personenbezogene Daten von Einwohnern Kaliforniens erheben, verarbeiten oder verkaufen, ähnlich wie die DSGVO für Einwohner/Bürger der EU gilt.

Die Folgen der Nichteinhaltung sind gravierend. Gegen Unternehmen, die sich nicht daran hielten, wurden Strafen in Millionenhöhe verhängt, und es wurden auch Klagen eingereicht. Ebenso sind die Folgen der Nichteinhaltung des CCPA gravierend. Wenn Sie also unter dessen Geltungsbereich fallen und Ihren Compliance-Prozess noch nicht begonnen haben, wissen Sie nun, was zu tun ist.

In diesem Artikel haben wir die Anforderungen des CCPA für Sie zusammengefasst.

Lass uns tauchen ...

CCPA-Konformitätsanforderungen

Die Anforderungen des CCPA umfassen eine Liste von Prozessen, die für gewinnorientierte Unternehmen gelten, die in Kalifornien geschäftlich tätig sind. Der CCPA verpflichtet Sie, Anfragen von Nutzern bezüglich aller von Ihnen erhobenen und gespeicherten Daten nachzukommen. 

Letztendlich kommt es darauf an, ob Ihr Unternehmen unter die Definition eines „Unternehmens“ im kalifornischen Verbraucherschutzgesetz (CCPA) fällt. Wenn ja, ist die Einhaltung der Vorschriften unerlässlich.

Was genau definiert also ein „Unternehmen“ im Sinne des CCPA?

• gewinnorientiertes UnternehmenIhr Unternehmen muss ein gewinnorientiertes Unternehmen sein.
• Sammelt personenbezogene Daten von Verbrauchern: Im Sinne des CCPA ist ein „Verbraucher“ eine Person, die für Steuerzwecke in Kalifornien ansässig ist. „Persönliche Daten“ sind weit gefasst und umfassen alle Daten, die mit einem bestimmten Verbraucher in Verbindung stehen.
• Geschäftstätigkeit in Kalifornien: Es ist entscheidend zu verstehen, was es bedeutet, in Kalifornien „Geschäfte zu machen“.

Wenn Sie also ein Unternehmen sind, das unter eine der oben genannten Verbraucherrechte fällt, sollten Sie sich mit zusätzlichen Ressourcen (gemäß den Anforderungen) auf die Datenschutzbestimmungen vorbereiten, um die Anforderungen des CCPA zu erfüllen.

Schauen wir uns das im nächsten Abschnitt genauer an…

Liste der CCPA-Konformitätsanforderungen

Wenn Sie sich auf dem Weg zur Einhaltung der CCPA-Vorschriften befinden, wird Ihnen diese Checkliste der CCPA-Anforderungen sehr hilfreich sein.

Hier ist die Liste der Anforderungen, die Sie erfüllen müssen:

1. Recht auf Offenlegung

Die wichtigste Verpflichtung, die das „Recht auf Offenlegung“ unterstreicht, ist, dass Sie, wenn Sie Informationen über einen kalifornischen Verbraucher sammeln, der durch den CCPA geschützt ist, diesen Verbraucher informieren müssen.

Um die Datenschutzrechte zu wahren, müssen Sie die Betroffenen vor oder bei der Datenerhebung in klarer und verständlicher Sprache über Ihre Absicht, ihre Daten zu verwenden, informieren.

Diese Informationen können beispielsweise Finanzkontonummern, Sozialversicherungsnummern oder genetische Daten umfassen.

2. Recht auf Kontaktdaten

Haben Sie auf Ihrer Website einen gut sichtbaren Link zur Datenschutzerklärung als Teil Ihrer Datenschutzrechte hinzugefügt?

Gemäß dieser Vorgabe müssen Sie die Kunden darüber informieren, wo sie weitere Informationen zur Datenschutzrichtlinie finden können.

Neben den grundlegenden Angaben müssen Sie auch eine gebührenfreie Telefonnummer oder Online-Kontaktdaten bereitstellen, falls Verbraucher Sie bezüglich ihrer Fragen zum CCPA kontaktieren möchten.

3. Recht auf Widerspruch gegen den Verkauf von Daten und die Zusendung von Marketingmaterialien

Im Rahmen des Datenschutzes werden die Opt-in- und Opt-out-Optionen gemäß der CCPA-Datenschutzrichtlinie verwendet. Diese können auf vielfältige Weise erfolgen, von der einfachen Annahme von Cookies bis hin zur Aufforderung zur Löschung der Daten.

Dank des CCPA können Verbraucher der Weitergabe oder dem Verkauf ihrer Daten widersprechen. Der Generalstaatsanwalt hat dieses Recht sogar gefördert, indem er ein einheitliches Opt-out-Symbol entwickelt hat, das jedes gewinnorientierte Unternehmen auf seinen Websites verwenden kann.

Daher benötigen Sie eine separate Webseite, auf der diese Option angezeigt wird, idealerweise mit einem Link zu dieser Seite für Ihre geschäftlichen Zwecke.

4. Recht auf Zugang

Gemäß dieser Verpflichtung haben Verbraucher das Recht, Informationen in einem leicht verständlichen Format anzufordern. Diese Informationen sind innerhalb von 45 Werktagen (zzgl. einer Verlängerungsfrist von 45 Tagen) kostenlos bereitzustellen. Andernfalls drohen ihnen gesetzliche Schadensersatzansprüche.

Die Anforderung unterstreicht, dass die Informationen klar und prägnant lesbar sein müssen.

Die datenschutzrechtlich überprüfbare Anfrage von Verbraucherpersonal gemäß den CCPA-Bestimmungen kann Folgendes umfassen:

• Die Kategorien von Informationen, die Sie sammeln
• Die spezifischen Informationen, die Sie über den besagten Kunden haben
• Aus welchen Quellen beziehen Sie Ihre Informationen?
• Kategorien von Dritten bei der Offenlegung von Datenschutzinformationen
• Der Zweck oder die Absicht Ihrer Informationssammlung

Hinweis: Unternehmen müssen Kundenanfragen in der Regel zweimal jährlich nachkommen. Dies dient dazu, den Aufwand für das Unternehmen zu reduzieren, sich jedes Mal darum kümmern zu müssen.

5. Recht auf faire Behandlung

„Diskriminierung, egal wie geringfügig, ist falsch.“ Diese zusätzliche Anforderung besagt, dass Sie Verbraucher in keiner Weise diskriminieren dürfen. Diskriminierungskriterien können Alter, sexuelle Orientierung oder Abonnementstatus sein.

Gemäß dem CCPA haben Verbraucher gleiche Rechte auf Dienstleistungen und Preise.

Hier sind einige Dinge, die Sie als Dienstleister für Verbraucher, die ihre eigenen Datenschutzeinstellungen wünschen, nicht tun dürfen:

• Dem Kunden den Zugang zu Waren oder Dienstleistungen verweigern.
• Bieten Sie unterschiedlichen Verbrauchern unterschiedliche Preise oder bestimmten Kunden höhere Rabatte an.
• Indem Sie Verbrauchern, die sich für oder gegen den Opt-in-Status entscheiden, unterschiedliche Stufen oder Warenqualitäten anbieten, die Ihnen Vorteile bringen
• Jegliche Andeutung, dass Verbraucher durch die Teilnahme an der Opt-in-Option einen zusätzlichen Preis oder Rabatt erhalten, ist unzulässig.

6. Recht auf Vergessenwerden

Das „ Recht auf Vergessenwerden “ lässt sich auf vielfältige Weise umsetzen, beispielsweise durch Datenmaskierung und Anonymisierung, die bisher sicherste Methode ist jedoch die „vollständige Löschung“. Denn Anonymisierung könnte zur Reidentifizierung von Personen führen.

Gemäß CCPA sind Sie verpflichtet, personenbezogene Daten und Informationen unverzüglich zu löschen, wenn ein Kunde dies verlangt.

Sie können die Kundendaten jedoch jederzeit aufbewahren, um eine rechtliche Verpflichtung zu erfüllen.

7. Aktualisierung der Datenschutzrichtlinien

Das CCPA schreibt vor, dass Sie Ihre Datenschutzhinweise alle 12 Monate aktualisieren müssen. Wie bereits erwähnt, sollte die Datenschutzerklärung auch mit Ihrer Website verlinkt sein.

Der Verbraucher hat das Recht auf Auskunft über die Informationen, die Sie im Rahmen Ihrer angemessenen Sicherheitsmaßnahmen in den letzten 12 Monaten über ihn gesammelt haben.

Folgen der Nichteinhaltung der CCPA-Anforderungen

Die Folgen einer Nichteinhaltung der CCPA-Vorschriften sind gravierend. Der Generalstaatsanwalt kann für jeden Verstoß (auch versehentliche) eine Strafe von 2,500 US-Dollar und für einen vorsätzlichen Verstoß eine Strafe von 7,500 US-Dollar verhängen. Unsere detaillierte Erläuterung der Strafen bei Verstößen gegen den CCPA deckt alle Aspekte der Durchsetzung ab, einschließlich der gesetzlichen Schadensersatzhöhe von 100 bis 750 US-Dollar pro Datensatz, die in Privatklagen geltend gemacht werden kann, der 30-tägigen Frist zur Behebung des Verstoßes und der erweiterten Durchsetzungsbefugnisse der CPPA gemäß CPRA.

Darüber hinaus können Nutzer für jeden durch eine Datenschutzverletzung verursachten Schaden bis zu 750 US-Dollar erhalten.

Beispiele für Verstöße, die für Unternehmen vorgeschrieben sind, sind:

• Die Nichteinhaltung der durch den CCPA – ein umfassendes Datenschutzgesetz – vorgeschriebenen Aktualisierungen der Datenschutzrichtlinie wird nicht beachtet.
• Verkauf oder Weitergabe von Verbraucherinformationen ohne Möglichkeit zum Widerspruch
• Nichtbeantwortung von Anfragen der Verbraucher zum Datenschutz hinsichtlich der Art der von Ihnen erhobenen Informationen innerhalb der festgelegten Frist
• Keine Benachrichtigung vor der Erhebung privater Informationen
• Die Ausübung der Rechte gemäß dem CCPA durch Diskriminierung von Verbrauchern
• Wenn Sie keine gebührenfreie Telefonnummer auf Ihrer Website anbieten, über die sich der Kunde melden kann

Halten Sie die CCPA-Anforderungen ein?

Nachdem Sie nun die Anforderungen des CCPA für die CCPA-Konformität klar verstanden haben, haben Sie überprüft, wie viele der Regeln Sie befolgen und wo Sie noch Mängel aufweisen?

In diesem Fall besteht der nächste Schritt darin, ein Automatisierungstool zu finden, das Ihnen dabei hilft, die Compliance-Anforderungen zu erfüllen und tatsächliche Schäden zu vermeiden.

Wir bei Sprinto haben Erfahrung darin, Cloud-Unternehmen bei der Einhaltung von Datenschutzgesetzen wie der DSGVO und dem CCPA zu unterstützen – und zwar in einem Bruchteil der Zeit, die Sie mit einem privaten Berater oder der Suche nach Rechtsberatung verbringen würden.

Hier sind einige detaillierte Fallstudien zu diesem Thema.

Häufig gestellte Fragen