CCPA

Geltungsbereich und Strafen

Der CCPA gilt für gewinnorientierte Unternehmen, die persönliche Informationen von Einwohnern Kaliforniens sammeln und eines der folgenden Kriterien erfüllen:

• Haben einen Jahresumsatz von über 25 Millionen US-Dollar.
• Kaufen, verkaufen oder teilen die persönlichen Daten von über 100.000 Einwohnern Kaliforniens.
• Erzielen den größten Teil ihres Umsatzes aus dem Verkauf oder der Weitergabe persönlicher Daten von Einwohnern Kaliforniens.

Non-Profit-Organisationen und Unternehmen, die die oben genannten Kriterien nicht erfüllen, sind im Allgemeinen ausgenommen.

Strafen für Verstöße gegen den CCPA variieren je nach Schwere des Verstoßes und werden regelmäßig überarbeitet. Sie werden pro Verstoß berechnet, sodass der Gesamtbetrag schnell steigen kann für Seiten mit vielen Nutzern.

CCPA-Terminologie

Business

Die Organisation, die persönliche Informationen sammelt und verarbeitet.

Consumer

Die Person, deren Informationen von dem Unternehmen gesammelt und verarbeitet werden.

Personal information

Informationen, die eine Person oder ihren Haushalt identifizieren, sich auf sie beziehen oder vernünftigerweise mit ihnen in Verbindung gebracht werden könnten. Dazu gehören: Name, E-Mail-Adresse, Sozialversicherungsnummer, Browserverlauf, Kaufhistorie oder andere Daten, die genutzt werden könnten, um ein Profil über eine Person zu erstellen.

Sensitive personal information

Eine Untergruppe von persönlichen Informationen, einschließlich staatlicher Identifikatoren wie einer Sozialversicherungsnummer, Kontologin-Daten, Kreditkartennummer, biometrische Daten, Nachrichteninhalte, Informationen über Gesundheit, Sexualleben oder sexuelle Orientierung, Informationen über rassische oder ethnische Herkunft, religiöse oder philosophische Überzeugungen oder Gewerkschaftsmitgliedschaft.

Transparenz

Wenn ein Unternehmen persönliche Informationen anfragt oder bevor es dies tut, muss es den Verbrauchern mitteilen:

• Die Kategorien von persönlichen Informationen, die gesammelt werden, die Zwecke, zu denen sie gesammelt werden, und ob sie verkauft oder geteilt werden.

• Die Kategorien von sensiblen persönlichen Informationen, die gesammelt werden, die Zwecke, zu denen sie gesammelt werden, und ob sie verkauft oder geteilt werden.

• Die Dauer, für die das Unternehmen die Informationen aufbewahren wird.

Das Unternehmen darf die Informationen nicht für zusätzliche Zwecke verwenden, ohne dem Verbraucher auch eine Mitteilung über diese zusätzlichen Zwecke zu geben.

Das Unternehmen muss eine Datenschutzrichtlinie auf seiner Website haben. Diese gibt einen umfassenden Überblick über seine Praktiken beim Sammeln, Verwenden, Teilen und Verkaufen von persönlichen Informationen. Es muss auch die Rechte erklären, die Verbraucher unter dem CCPA haben und wie sie diese ausüben können.

Sicherheit und Integrität

Ein Unternehmen muss angemessene Sicherheitsmaßnahmen implementieren, um persönliche Informationen vor unbefugtem Zugriff zu schützen.

Verbraucherrechte

Der CCPA beschreibt sechs Rechte, die er den Einwohnern Kaliforniens über ihre persönlichen Informationen sichert:

• Das Recht zu wissen, welche persönlichen Informationen ein Unternehmen über sie sammelt.
• Das Recht, persönliche Informationen zu löschen.
• Das Recht, persönliche Informationen zu korrigieren.
• Das Recht, dem Verkauf oder Teilen ihrer persönlichen Informationen zu widersprechen.
• Das Recht, die Nutzung und Offenlegung sensibler persönlicher Informationen zu begrenzen.
• Das Recht auf Nichtdiskriminierung bei der Ausübung ihrer anderen CCPA-Rechte.

Recht zu wissen, zu löschen und zu korrigieren

Verbraucher können von einem Unternehmen verlangen:

• Die Kategorien und spezifischen Teile persönlicher Informationen offenzulegen, wie sie verwendet werden und mit wem sie geteilt werden.

• Gesammelte persönliche Informationen zu löschen (mit einigen Ausnahmen). Websites müssen nicht nur Kopien der Daten löschen, die sie besitzen, sondern auch Daten, die sie mit Dritten geteilt haben.

• Ungenaue persönliche Informationen zu korrigieren.

Um dies zu gewährleisten, müssen Websites mindestens zwei Methoden bereitstellen, die ihre Nutzer nutzen können, um eine Anfrage einzureichen, wie eine E-Mail-Adresse, ein Webformular oder eine gebührenfreie Telefonnummer. Die Website muss eine Datenschutzrichtlinie haben, die Anweisungen darüber enthält, wie eine Anfrage eingereicht werden kann.

Websites haben 45 Tage Zeit, um auf eine Anfrage zu antworten, können dies aber um weitere 45 Tage verlängern, wenn sie den Anfragenden benachrichtigen.

Recht, dem Verkauf oder Teilen zu widersprechen

Verbraucher können ein Unternehmen anweisen, ihre persönlichen Informationen nicht zu verkaufen oder zu teilen. Im Kontext des CCPA bezieht sich das Teilen von Informationen speziell auf deren Verwendung im kontextübergreifenden Verhaltenswerbung.

Es gibt zwei Hauptmethoden, mit denen Verbraucher sich abmelden können:

• Unternehmen, die persönliche Informationen verkaufen, müssen auf ihrer Website einen klaren und auffälligen Link "Verkaufen oder Teilen Sie meine persönlichen Informationen nicht" bereitstellen, der es Verbrauchern ermöglicht, sich abzumelden.

• Unternehmen, die persönliche Informationen verkaufen, müssen das Global Privacy Control-Signal respektieren, wie es im Sec-GPC HTTP-Header vermittelt wird.

Recht, die Nutzung sensibler persönlicher Informationen zu begrenzen

Verbraucher können ein Unternehmen anweisen, die Nutzung ihrer sensiblen persönlichen Informationen auf das zu beschränken, was notwendig ist, um die Dienstleistungen zu erbringen oder die Waren bereitzustellen, die ein Verbraucher vernünftigerweise erwarten würde.

Recht auf Nichtdiskriminierung

Dies bedeutet, dass, wenn ein Verbraucher eines seiner anderen Rechte unter dem CCPA ausübt, Unternehmen nicht gegen ihn vorgehen dürfen. Beispielsweise könnte Folgendes als Diskriminierung angesehen werden:

• Ein Verbraucher widerspricht der Datenweitergabe und das Unternehmen verweigert daraufhin den Zugang zu einem Dienst, der nicht auf der Datenweitergabe beruht.

• Ein Verbraucher, der der Datenweitergabe widersprochen hat, wird für einen Dienst höher berechnet als jemand, der dem nicht widersprochen hat.

Siehe auch

• Allgemeine Datenschutzverordnung (GDPR)
• California Consumer Privacy Act (CCPA) über oag.ca.gov (pdf)
• Global Privacy Control-Spezifikation über w3.org