Was ist der California Consumer Privacy Act (CCPA)?
Auch bekannt als: CCPA, California Consumer Privacy Act, CCPA/CPRA, kalifornisches Datenschutzrecht
Der CCPA wurde ursprünglich 2018 erlassen und durch den California Privacy Rights Act (CPRA) erheblich geändert, den die kalifornischen Wählerinnen und Wähler 2020 angenommen haben. Die Änderungen durch den CPRA traten am 1. Januar 2023 in Kraft. Der CPRA hat kein eigenständiges Datenschutzgesetz geschaffen, sondern den CCPA geändert.
Der CCPA gibt Verbraucherinnen und Verbrauchern Rechte, darunter das Recht auf Auskunft, Löschung und Berichtigung, das Recht, dem Verkauf oder der Weitergabe personenbezogener Daten zu widersprechen, das Recht, bestimmte Nutzungen sensibler personenbezogener Daten einzuschränken, und das Recht, bei der Ausübung ihrer Datenschutzrechte gleich behandelt zu werden.
Für Websites umfasst die CCPA-Compliance üblicherweise Do Not Sell or Share My Personal Information, Global Privacy Control (GPC), Datenschutzhinweise, Angaben zu Cookies und Tracking sowie Mechanismen, über die Verbraucher ihre Rechte ausüben können.
Was bedeutet CCPA?
CCPA steht für California Consumer Privacy Act.
Das Gesetz regelt, wie erfasste Unternehmen personenbezogene Daten von Verbrauchern erheben, nutzen, offenlegen, verkaufen und weitergeben.
Der CCPA ist vor allem deshalb bemerkenswert, weil er Verbrauchern echte Kontrolle darüber gibt, wie Unternehmen ihre Daten nutzen - einschließlich der Möglichkeit, bestimmten Verkäufen und Weitergaben zu widersprechen.
Anders als ein klassisches einwilligungsbasiertes Datenschutzmodell stellt der CCPA grundsätzlich Verbraucherrechte und Opt-out-Mechanismen stark in den Vordergrund.
Dieser Unterschied ist wichtig, wenn man den CCPA mit Regelwerken wie der GDPR vergleicht.
Was ist der CPRA?
CPRA steht für California Privacy Rights Act.
Der CPRA wurde 2020 von den kalifornischen Wählerinnen und Wählern über Proposition 24 angenommen. Statt den CCPA durch ein vollständig eigenständiges Gesetz zu ersetzen, änderte der CPRA den bestehenden CCPA und führte zusätzliche Verbraucherrechte und Unternehmenspflichten ein.
Die Änderungen durch den CPRA wurden am 1. Januar 2023 wirksam.
Wen schützt der CCPA?
Der CCPA gewährt Einwohnerinnen und Einwohnern Kaliforniens Datenschutzrechte.
Die California Privacy Protection Agency erläutert, dass eine in Kalifornien ansässige Person eine Person ist, die in Kalifornien wohnt - einschließlich bestimmter Beschäftigter, Bewerber, Studierender, unabhängiger Auftragnehmer und geschäftlicher Kontakte.
Das Gesetz richtet sich damit auf die Datenschutzrechte von Menschen und nicht von Unternehmen oder anderen Geschäftseinheiten.
Welche Unternehmen müssen den CCPA einhalten?
Der CCPA gilt für bestimmte gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind, personenbezogene Daten von Verbrauchern erheben, über Zweck und Mittel der Verarbeitung dieser Daten entscheiden und die einschlägigen gesetzlichen Schwellenwerte erfüllen.
Die genauen Anwendungsschwellen und Ausnahmen sollten anhand des aktuellen CCPA und der zugehörigen Bestimmungen geprüft werden, statt sich auf einen pauschalen Test „geschäftlich in Kalifornien tätig“ zu verlassen.
Der CCPA kann daher auch für Unternehmen außerhalb Kaliforniens gelten.
Ein Unternehmen braucht nicht zwingend ein physisches Büro in Kalifornien, damit das Gesetz relevant wird.
Was sind personenbezogene Daten nach dem CCPA?
Der CCPA definiert personenbezogene Daten weit.
Dazu gehören grundsätzlich Informationen, die eine bestimmte Verbraucherin, einen bestimmten Verbraucher oder einen bestimmten Haushalt identifizieren, sich darauf beziehen, sie beschreiben, vernünftigerweise mit ihnen in Verbindung gebracht werden können oder vernünftigerweise mit ihnen verknüpfbar sind.
Beispiele können sein:
- Name
- E-Mail-Adresse
- Telefonnummer
- Postanschrift
- IP-Adresse
- Browserverlauf
- Suchverlauf
- Kaufhistorie
- Standortdaten
- Online-Kennungen
- Geräteinformationen
- Rückschlüsse auf Präferenzen
- Kontoinformationen
- Werbekennungen
Der CCPA unterscheidet außerdem sensible personenbezogene Daten, die zusätzlichen Schutz genießen. Beispiele sind präzise Standortdaten, bestimmte Finanzinformationen, Zugangsdaten zu Konten, Gesundheitsinformationen, genetische Informationen und bestimmte biometrische Informationen.
Was sind sensible personenbezogene Daten nach dem CCPA?
Sensible personenbezogene Daten (SPI) sind eine Kategorie personenbezogener Daten, die nach dem CCPA zusätzlichen Schutz genießt.
Je nach den Umständen können zu den sensiblen personenbezogenen Daten gehören:
- Sozialversicherungsnummern
- Führerscheindaten
- Zugangsdaten zu Finanzkonten
- Präzise Standortdaten
- Inhalte von Kommunikation
- Genetische Informationen
- Bestimmte biometrische Informationen
- Gesundheitsinformationen
- Informationen über Sexualleben oder sexuelle Orientierung
- Rassische oder ethnische Herkunft
- Religiöse oder weltanschauliche Überzeugungen
- Gewerkschaftszugehörigkeit
Verbraucherinnen und Verbraucher haben in den vom Gesetz erfassten Fällen das Recht, die Nutzung und Offenlegung sensibler personenbezogener Daten einzuschränken.
Was sind die wichtigsten Verbraucherrechte nach dem CCPA?
Der CCPA gewährt Einwohnerinnen und Einwohnern Kaliforniens mehrere wichtige Datenschutzrechte.
Recht auf Auskunft
Verbraucher können Informationen anfordern über:
- Die Kategorien der erhobenen personenbezogenen Daten
- Die Quellen, aus denen die Daten erhoben wurden
- Die Zwecke der Erhebung, des Verkaufs oder der Weitergabe von Daten
- Kategorien von Dritten, die Daten erhalten
- Bestimmte konkrete personenbezogene Daten
Recht auf Löschung
Verbraucher können die Löschung der über sie erhobenen personenbezogenen Daten verlangen, vorbehaltlich gesetzlicher Ausnahmen.
Unternehmen können verpflichtet sein, auch die betroffenen Dienstleister oder Auftragnehmer zur Löschung der Daten anzuweisen.
Recht auf Berichtigung
Verbraucher können die Berichtigung unrichtiger personenbezogener Daten verlangen, die ein Unternehmen über sie führt.
Recht auf Widerspruch gegen Verkauf oder Weitergabe
Verbraucher können dem Verkauf oder der Weitergabe ihrer personenbezogenen Daten in den vom CCPA erfassten Fällen widersprechen.
Das Recht, der Weitergabe zu widersprechen, ist besonders für kontextübergreifende verhaltensbasierte Werbung relevant.
Recht auf Einschränkung
Verbraucher können bestimmte Nutzungen und Offenlegungen ihrer sensiblen personenbezogenen Daten einschränken.
Recht auf Gleichbehandlung
Unternehmen dürfen Verbraucher grundsätzlich nicht benachteiligen, weil sie ihre Rechte nach dem CCPA ausüben.
Rechte im Zusammenhang mit Automated Decisionmaking Technology
Kaliforniens aktualisiertes Regelwerk enthält außerdem Rechte und Pflichten im Zusammenhang mit bestimmten Einsatzformen von Automated Decisionmaking Technology (ADMT).
Für betroffene Unternehmen, die ADMT für wesentliche Entscheidungen einsetzen, können zusätzliche Informations-, Widerspruchs- und Auskunftspflichten gelten. Für die einschlägigen ADMT-Anforderungen gelten eigene Umsetzungsfristen.
Was ist das Opt-out nach dem CCPA?
Eines der prägenden Merkmale des CCPA ist das Recht der Verbraucher, dem Verkauf oder der Weitergabe personenbezogener Daten zu widersprechen, soweit einschlägig.
Ein Unternehmen, das personenbezogene Daten verkauft oder weitergibt, muss Verbrauchern unter Umständen einen geeigneten Mechanismus zur Ausübung dieses Rechts bereitstellen.
Auf Websites erscheint das üblicherweise als:
„Do Not Sell or Share My Personal Information“
oder als gleichwertiger Mechanismus für die Datenschutzentscheidung.
Der Opt-out-Mechanismus sollte leicht zu finden und zu nutzen sein.
Was ist Do Not Sell or Share My Personal Information?
Do Not Sell or Share My Personal Information ist ein Mechanismus für die Datenschutzentscheidung nach dem CCPA, über den Verbraucher ihr Recht ausüben können, bestimmten Verkäufen oder Weitergaben personenbezogener Daten zu widersprechen.
Besonders relevant ist das Konzept für:
- Werbetechnologie
- Retargeting
- Kontextübergreifende verhaltensbasierte Werbung
- Datenweitergabe
- Marketingplattformen von Drittanbietern
- Datenmonetarisierung
Eine Website sollte die Datenschutzentscheidung der Verbraucherin oder des Verbrauchers mit den technischen Systemen verbinden, die die betreffenden Daten verarbeiten oder weitergeben.
Nur einen Link anzuzeigen, ohne die daraus folgende Präferenz durchzusetzen, kann eine Lücke zwischen den angekündigten Datenschutzkontrollen der Website und ihrem tatsächlichen Verhalten erzeugen.
Was ist Global Privacy Control (GPC)?
Global Privacy Control (GPC) ist ein Browser- oder User-Agent-Signal, das die Datenschutzpräferenz einer Verbraucherin oder eines Verbrauchers an Websites übermittelt.
Im Rahmen des CCPA müssen erfasste Unternehmen qualifizierte Opt-out-Präferenzsignale unter den gesetzlich vorgeschriebenen Umständen beachten.
Die California Privacy Protection Agency nennt Opt-out-Präferenzsignale ausdrücklich als einen Mechanismus, über den Verbraucher ihre Widerspruchsrechte ausüben können.
Für eine Website bedeutet das: Die Datenschutzkonformität kann nicht allein davon abhängen, dass eine Besucherin oder ein Besucher manuell auf einen „Do Not Sell or Share“-Link klickt.
Eine konforme Umsetzung sollte in der Lage sein, einschlägige Datenschutzsignale zu erkennen und angemessen darauf zu reagieren.
CCPA und Cookies
Der CCPA reguliert „Cookies“ nicht einfach als eigenständige Kategorie.
Entscheidend ist, welche Informationen ein Cookie, ein Pixel, ein SDK oder eine ähnliche Technologie erhebt oder einem Unternehmen oder Dritten zur Verarbeitung zugänglich macht.
Zu den möglicherweise relevanten Website-Technologien gehören:
- Werbe-Cookies
- Retargeting-Pixel
- Analysetechnologien
- Social-Media-Pixel
- Gerätekennungen
- Werbe-IDs
- Websiteübergreifende Tracking-Technologien
- Drittanbieter-Skripte
Unternehmen sollten ihre Tracking-Technologien daher an ihren Pflichten nach dem CCPA messen, statt anzunehmen, dass eine bestimmte Cookie-Kategorie automatisch konform oder nicht konform ist.
Verlangt der CCPA eine Cookie-Einwilligung?
Nicht in derselben Weise wie die GDPR.
Der CCPA stellt grundsätzlich Transparenz und Verbraucherrechte in den Mittelpunkt, insbesondere das Recht, dem Verkauf oder der Weitergabe personenbezogener Daten zu widersprechen.
Das unterscheidet sich vom Ansatz der GDPR, die die Einwilligung als eine von mehreren Rechtsgrundlagen für die Verarbeitung behandelt.
Dennoch können Unternehmen Datenschutzoptionen, Hinweise und technische Kontrollen für Cookies und Tracking-Technologien benötigen - je nachdem, was diese Technologien tun und ob die zugehörige Verarbeitung unter die Anforderungen des CCPA fällt.
Wegen dieses Unterschieds sollte ein Präferenzcenter für den CCPA nicht einfach von einem GDPR-Einwilligungsbanner kopiert werden, ohne den geltenden Rechtsrahmen zu berücksichtigen.
CCPA: Opt-in vs. Opt-out
Der Unterschied lässt sich gut so verstehen:
| GDPR | CCPA |
|---|---|
| Verlangt häufig eine vorherige Einwilligung, wo die Einwilligung die einschlägige Rechtsgrundlage ist | Betont grundsätzlich die Widerspruchsrechte der Verbraucher |
| Vor bestimmten Verarbeitungen kann eine Einwilligung erforderlich sein | Das Opt-out ist besonders wichtig für Verkauf und Weitergabe |
| Prior Blocking kann erforderlich sein, wo eine Einwilligung nötig ist | Die technische Durchsetzung sollte Opt-out-Präferenzen respektieren |
| Die Einwilligung muss bestimmte Wirksamkeitsanforderungen erfüllen | Unternehmen müssen Mechanismen zur Ausübung der CCPA-Rechte bereitstellen |
| Der Widerruf der Einwilligung ist wichtig | Die Opt-out-Präferenz muss beachtet werden |
Diese Rechtsrahmen können sich überschneiden, sollten aber nicht als identisch behandelt werden.
Ein weltweit tätiges Unternehmen braucht unter Umständen ein Einwilligungsmodell, das sich an den Rechtsraum der Nutzerin oder des Nutzers anpassen kann.
CCPA vs. GDPR
CCPA und GDPR sind beide bedeutende Datenschutzgesetze, verfolgen aber unterschiedliche regulatorische Ansätze.
GDPR
Die GDPR ist eine umfassende europäische Datenschutzverordnung mit Schwerpunkt auf rechtmäßiger Verarbeitung, Betroffenenrechten, Rechenschaftspflicht, Sicherheit und weiteren Datenschutzgrundsätzen.
Die Einwilligung ist eine von mehreren Rechtsgrundlagen für die Verarbeitung.
CCPA
Der CCPA legt den Schwerpunkt stark auf Transparenz und Verbraucherrechte, darunter das Recht auf Auskunft, Löschung und Berichtigung, das Recht, dem Verkauf oder der Weitergabe zu widersprechen, und das Recht, bestimmte Nutzungen sensibler personenbezogener Daten einzuschränken.
Die beiden Rechtsrahmen überschneiden sich also, sind aber nicht austauschbar.
Eine Website, die beide Anforderungen erfüllen will, benötigt unter Umständen:
- Einwilligungskontrollen
- Opt-out-Kontrollen
- Verarbeitung von GPC-Signalen
- Prior Blocking
- Datenschutzhinweise
- Einwilligungs- oder Präferenznachweise
- Workflows für Anfragen betroffener Personen und Verbraucher
CCPA vs. CPRA
CCPA und CPRA werden oft gemeinsam genannt, weil der CPRA den CCPA geändert hat.
Der CPRA führte zusätzliche Datenschutzmaßnahmen ein und schuf die California Privacy Protection Agency.
Zu den wichtigen Änderungen gehörten erweiterte Rechte in Bezug auf sensible personenbezogene Daten, Berichtigung, Datenminimierung, Datenschutzentscheidungen der Verbraucher und weitere Bereiche.
Für die aktuelle Compliance sollten Unternehmen den CCPA grundsätzlich in der durch den CPRA geänderten Fassung zusammen mit den geltenden Bestimmungen bewerten.
Was ist CCPA-Compliance?
CCPA-Compliance bedeutet, die rechtlichen, organisatorischen und technischen Maßnahmen umzusetzen, die zur Erfüllung der geltenden Anforderungen des CCPA erforderlich sind.
Ein Compliance-Programm kann umfassen:
- Datenschutzhinweise
- Inventare personenbezogener Daten
- Data Mapping
- Prozesse für Verbraucheranfragen
- Opt-out-Mechanismen
- Verarbeitung von GPC-Signalen
- Kontrollen für sensible personenbezogene Daten
- Steuerung von Anbietern und Dienstleistern
- Kontrollen zur Datenaufbewahrung
- Sicherheitsmaßnahmen
- Verwaltung von Datenschutzpräferenzen
- Dokumentation
- Risikobewertungen, soweit einschlägig
- Cybersicherheitsaudits, soweit einschlägig
- ADMT-Compliance, soweit einschlägig
Die zum 1. Januar 2026 geltenden CCPA-Bestimmungen haben die operativen Compliance-Anforderungen erweitert, unter anderem um Anforderungen an Risikobewertungen, Cybersicherheitsaudits und Automated Decisionmaking Technology.
Was ist eine CCPA-Datenschutzrichtlinie?
Eine CCPA-Datenschutzrichtlinie ist ein Datenschutzhinweis, der Verbrauchern die nach dem geltenden kalifornischen Datenschutzrecht erforderlichen Informationen bereitstellt.
Je nach Unternehmen und Verarbeitungstätigkeiten kann sie erläutern:
- Kategorien der erhobenen personenbezogenen Daten
- Quellen personenbezogener Daten
- Geschäftliche oder kommerzielle Zwecke
- Kategorien von Dritten
- Praktiken beim Verkauf oder bei der Weitergabe
- Datenschutzrechte der Verbraucher
- Wie Verbraucher ihre Rechte ausüben können
- Wie Verbraucher Anfragen stellen können
- Informationen zu Opt-out-Mechanismen
Die California Privacy Protection Agency stellt fest, dass erfasste Unternehmen Verbrauchern Informationen über ihre Datenschutzpraktiken bereitstellen müssen, einschließlich einer Datenschutzrichtlinie.
Wie üben Verbraucher ihre CCPA-Rechte aus?
Unternehmen, die dem CCPA unterliegen, müssen geeignete Wege bereitstellen, über die Verbraucher ihre Rechte ausüben können.
Je nach Recht und Unternehmen können dazu gehören:
- Online-Formulare
- Portale für Datenschutzanfragen
- Gebührenfreie Telefonnummern
- Datenschutz-Präferenzcenter
Die geltenden Anforderungen unterscheiden sich je nach Anfrage und den Umständen des Unternehmens.
So erläutert die CPPA beispielsweise, dass Unternehmen für bestimmte Anfragen auf Auskunft, Löschung oder Berichtigung grundsätzlich mindestens zwei Wege bereitstellen müssen, vorbehaltlich bestimmter Ausnahmen.
Was ist ein DSAR nach dem CCPA?
Ein Data Subject Access Request (DSAR) ist ein allgemeiner Branchenbegriff aus dem Datenschutz für den Antrag einer Person auf Ausübung bestimmter Datenrechte.
Nach dem CCPA sprechen Unternehmen häufiger von Verbraucheranfragen, statt die Terminologie der GDPR zu verwenden.
Je nach Situation kann eine Verbraucherin oder ein Verbraucher Folgendes verlangen:
- Auskunft über die über sie gespeicherten Daten
- Löschung von Daten
- Berichtigung unrichtiger Daten
- Widerspruch gegen Verkauf oder Weitergabe
- Einschränkung bestimmter Nutzungen sensibler personenbezogener Daten
Ein System zur Verwaltung des Datenschutzes kann Organisationen dabei helfen, diese Anfragen entgegenzunehmen, zu prüfen, weiterzuleiten und zu dokumentieren.
CCPA und Datenminimierung
Der moderne CCPA-Rahmen enthält außerdem Anforderungen an Zweckbindung und Datenminimierung.
Die California Privacy Protection Agency erläutert, dass Unternehmen die Erhebung, Nutzung und Aufbewahrung personenbezogener Daten auf Zwecke beschränken müssen, die den geltenden gesetzlichen Maßstäben entsprechen sowie vernünftigerweise erforderlich und verhältnismäßig sind.
CCPA-Compliance bedeutet also nicht nur, einen Datenschutzlink bereitzustellen.
Unternehmen sollten außerdem prüfen, ob sie mehr personenbezogene Daten erheben und aufbewahren, als für ihre angegebenen Zwecke vernünftigerweise erforderlich ist.
Durchsetzung des CCPA
Die California Privacy Protection Agency (CalPrivacy) ist neben ihren weiteren gesetzlichen Aufgaben für die Umsetzung und Durchsetzung des CCPA zuständig.
Die Behörde kann mögliche Verstöße untersuchen, Audits durchführen und behördliche Durchsetzungsverfahren einleiten.
Damit wird eine belegbare Datenschutzkonformität für Organisationen im Anwendungsbereich des CCPA immer wichtiger.
Bußgelder nach dem CCPA
Verstöße gegen den CCPA können je nach Verstoß und einschlägigen gesetzlichen Bestimmungen erhebliche finanzielle Folgen haben.
Unternehmen sollten Compliance nicht so angehen, dass sie einfach ein mögliches Bußgeld kalkulieren.
Der bessere Ansatz ist, wiederholbare Kontrollen zu etablieren, die belegen können:
- Welche personenbezogenen Daten erhoben werden
- Warum sie erhoben werden
- Wohin sie gelangen
- Welche Datenschutzoptionen verfügbar waren
- Wie die Verbraucherin oder der Verbraucher entschieden hat
- Ob ein Opt-out-Signal eingegangen ist
- Ob die Präferenz technisch durchgesetzt wurde
- Wie Verbraucheranfragen bearbeitet wurden
Checkliste für die CCPA-Compliance
Eine praxistaugliche CCPA-Compliance-Checkliste für Websites umfasst:
- Bestimmen Sie, ob das Unternehmen unter den CCPA fällt.
- Ermitteln Sie die von Verbrauchern erhobenen personenbezogenen Daten.
- Ermitteln Sie sensible personenbezogene Daten.
- Erfassen Sie Drittanbieter-Skripte, Cookies und Tracking-Technologien.
- Prüfen Sie, ob personenbezogene Daten verkauft oder weitergegeben werden.
- Stellen Sie eine geeignete Datenschutzrichtlinie bereit.
- Stellen Sie die erforderlichen Opt-out-Mechanismen bereit.
- Unterstützen Sie die einschlägigen Global Privacy Control-Signale.
- Stellen Sie Mechanismen für Datenschutzanfragen von Verbrauchern bereit.
- Halten Sie Prozesse für Lösch- und Berichtigungsanfragen vor.
- Überprüfen Sie die Kontrollen für sensible personenbezogene Daten.
- Überprüfen Sie Dienstleister und Auftragnehmer.
- Setzen Sie die einschlägigen Kontrollen zu Datenminimierung und Aufbewahrung um.
- Bewerten Sie die Anforderungen an Risikobewertungen, soweit einschlägig.
- Bewerten Sie die Anforderungen an Cybersicherheitsaudits, soweit einschlägig.
- Bewerten Sie die ADMT-Anforderungen, soweit einschlägig.
- Testen Sie regelmäßig, ob Datenschutzpräferenzen technisch durchgesetzt werden.
Wie ConsentX bei der CCPA-Compliance hilft
ConsentX unterstützt Unternehmen dabei, Datenschutzpräferenzen über Websites und digitale Angebote hinweg operativ umzusetzen.
Für Anwendungsfälle nach CCPA/CPRA können dazu folgende Funktionen gehören:
Verarbeitung von Global Privacy Control
Verwaltung von Opt-out-Präferenzen
Einwilligungs- und Präferenznachweise
Prior-Script-Blocking
Cookie- und Tracker-Scanning
Datenschutz-Präferenzcenter
Auditnachweise
DSAR- und Beschwerde-Workflows
Regionsbasierte Datenschutzregeln
Ziel ist es, die Datenschutzentscheidung der Verbraucherin oder des Verbrauchers mit dem technischen Verhalten der Website zu verbinden.
Widerspricht eine Besucherin oder ein Besucher beispielsweise dem Verkauf oder der Weitergabe personenbezogener Daten, braucht die Organisation eine Umsetzung, die diese Präferenz in die betreffenden Verarbeitungs- und Werbetechnologien überträgt.
ConsentX bietet Werkzeuge für Datenschutzpräferenzen nach CCPA/CPRA, die Verarbeitung von GPC-Signalen und Einwilligungsnachweise.
CCPA und Global Privacy Control mit ConsentX
GPC ist für die automatisierte Verwaltung von Datenschutzpräferenzen besonders wichtig.
Statt dass jede Verbraucherin und jeder Verbraucher auf jeder Website manuell einen Opt-out-Link suchen muss, kann ein Browser oder User Agent eine qualifizierte Datenschutzpräferenz übermitteln.
Eine Datenschutzplattform kann dann:
Erkennen
Das GPC-Signal erkennen.
Zuordnen
Es der einschlägigen Datenschutzpräferenz zuordnen.
Anwenden
Den betreffenden Opt-out-Status anwenden.
Einschränken
Die betroffene Verarbeitung verhindern oder einschränken.
Nachweisen
Wo angebracht, Nachweise über die Präferenz vorhalten.
So wird aus der Datenschutzentscheidung eine durchsetzbare technische Kontrolle statt einer rein informativen Angabe.
CCPA: Das Wichtigste in Kürze
Der California Consumer Privacy Act (CCPA) ist Kaliforniens umfassendes Verbraucherdatenschutzgesetz in der durch den CPRA geänderten Fassung.
Die wichtigsten Punkte sind:
- Der CCPA schützt die Datenschutzrechte von Einwohnerinnen und Einwohnern Kaliforniens.
- Der CPRA hat den CCPA geändert, statt ein eigenständiges Gesetz zu schaffen.
- Der Rahmen gewährt Rechte auf Auskunft, Löschung und Berichtigung personenbezogener Daten.
- Verbraucher können dem betreffenden Verkauf und der betreffenden Weitergabe widersprechen.
- Verbraucher können bestimmte Nutzungen sensibler personenbezogener Daten einschränken.
- Unternehmen müssen Mechanismen zur Ausübung der einschlägigen Datenschutzrechte bereitstellen.
- Global Privacy Control ist ein wichtiger Mechanismus für Opt-out-Präferenzen.
- Der CCPA ist nicht identisch mit der GDPR.
- CCPA-Compliance umfasst sowohl rechtliche Prozesse als auch technische Durchsetzung.
- Der Regulierungsrahmen 2026 bringt zusätzliche Compliance-Aspekte rund um Risikobewertungen, Cybersicherheitsaudits und ADMT mit sich.
- Ein Datenschutzbanner allein ist keine vollständige Strategie für die CCPA-Compliance.
Machen Sie Datenschutzpräferenzen nach dem CCPA durchsetzbar
Bei der CCPA-Compliance geht es nicht nur darum, eine Datenschutzrichtlinie zu veröffentlichen oder einen „Do Not Sell or Share“-Link einzubinden. Datenschutzentscheidungen müssen erfasst, respektiert und in allen Systemen, die personenbezogene Daten verarbeiten, technisch durchgesetzt werden. ConsentX unterstützt Organisationen dabei, Datenschutzpräferenzen nach CCPA/CPRA zu verwalten, auf GPC-Signale zu reagieren, Tracker zu steuern und prüfungssichere Nachweise zu führen. Bauen Sie mit ConsentX ein System für Datenschutzpräferenzen auf, das Verbraucherentscheidungen in durchsetzbare Kontrollen verwandelt.
Verwandte Begriffe
Ein Browser- oder User-Agent-Signal, das die Datenschutzpräferenz einer Verbraucherin oder eines Verbrauchers übermittelt, einschließlich einschlägiger Opt-out-Anfragen nach dem CCPA.
Eine Datenschutzentscheidung nach dem CCPA, mit der Verbraucher dem betreffenden Verkauf oder der betreffenden Weitergabe personenbezogener Daten widersprechen können.
Die umfassende Datenschutzverordnung der Europäischen Union.
Der California Privacy Rights Act, der den CCPA geändert und erweitert hat.
Eine Kategorie von Daten, die nach dem CCPA zusätzlichen Schutz genießt.
Ein allgemeiner Branchenbegriff aus dem Datenschutz für Anträge auf Ausübung einschlägiger Datenrechte.
Technologie zur Verwaltung von Einwilligungen und Datenschutzpräferenzen über Websites und digitale Angebote hinweg.
Ein technisches und rechtliches Konzept, das allgemein damit verbunden ist, die erforderliche Einwilligung einzuholen, bevor die betreffende nicht notwendige Verarbeitung stattfindet.
Eine Oberfläche, auf der Nutzer ihre Datenschutzentscheidungen einsehen und ändern können.