CCPA

Umfang und Strafen

Das CCPA gilt für gewinnorientierte Unternehmen, die persönliche Informationen von Einwohnern Kaliforniens sammeln und eine der folgenden Kriterien erfüllen:

• Einen jährlichen Umsatz von über 25 Millionen US-Dollar haben.
• Die persönlichen Daten von über 100.000 Einwohnern Kaliforniens kaufen, verkaufen oder teilen.
• Den Großteil ihres Umsatzes aus dem Verkauf oder Teilen persönlicher Daten von Einwohnern Kaliforniens ableiten.

Gemeinnützige Organisationen und Unternehmen, die die oben genannten Kriterien nicht erfüllen, sind in der Regel ausgenommen.

Strafen für Verstöße gegen das CCPA variieren je nach Schwere des Verstoßes und werden regelmäßig überarbeitet. Sie werden pro Verstoß berechnet, sodass der Gesamtbetrag schnell eskalieren kann, insbesondere bei Webseiten mit vielen Nutzern.

CCPA-Terminologie

Unternehmen

Die Organisation, die persönliche Informationen sammelt und verarbeitet.

Verbraucher

Die Person, deren Informationen vom Unternehmen gesammelt und verarbeitet werden.

Persönliche Informationen

Informationen, die eine Person oder ihren Haushalt identifizieren, sich auf sie beziehen oder vernünftigerweise mit ihnen in Verbindung gebracht werden könnten. Dazu gehören: Name, E-Mail-Adresse, Sozialversicherungsnummer, Browserverlauf, Kaufhistorie oder andere Daten, die zur Erstellung eines Profils über eine Person verwendet werden könnten.

Sensible persönliche Informationen

Eine Unterkategorie persönlicher Informationen, die staatliche Identifikatoren wie eine Sozialversicherungsnummer, Kontodaten, Kreditkartennummer, biometrische Daten, Nachrichteninhalte, Informationen über Gesundheit, Sexualleben oder sexuelle Orientierung, Informationen über rassische oder ethnische Herkunft, religiöse oder philosophische Überzeugungen oder die Mitgliedschaft in einer Gewerkschaft umfasst.

Transparenz

Wenn ein Unternehmen persönliche Informationen anfordert oder bevor dies geschieht, muss es die Verbraucher über Folgendes informieren:

• Die Kategorien der persönlichen Informationen, die gesammelt werden, die Zwecke, für die sie gesammelt werden, und ob sie verkauft oder geteilt werden.

• Die Kategorien der sensiblen persönlichen Informationen, die gesammelt werden, die Zwecke, für die sie gesammelt werden, und ob sie verkauft oder geteilt werden.

• Die Dauer, für die das Unternehmen die Informationen aufbewahren wird.

Das Unternehmen darf die Informationen nicht für zusätzliche Zwecke verwenden, ohne den Verbraucher auch über diese zusätzlichen Zwecke zu informieren.

Das Unternehmen muss auf seiner Website eine Datenschutzerklärung haben. Diese gibt einen umfassenden Überblick über seine Praktiken zur Sammlung, Nutzung, Weitergabe und zum Verkauf persönlicher Informationen. Sie muss auch die Rechte erklären, die Verbraucher nach dem CCPA haben und wie diese ausgeübt werden können.

Sicherheit und Integrität

Ein Unternehmen muss angemessene Sicherheitsmaßnahmen implementieren, um persönliche Informationen vor unbefugtem Zugriff zu schützen.

Verbraucherrechte

Das CCPA beschreibt sechs Rechte, die es den Einwohnern Kaliforniens über ihre persönlichen Informationen sichert:

• Das Recht zu wissen, welche persönlichen Informationen ein Unternehmen über sie sammelt.
• Das Recht zur Löschung persönlicher Informationen.
• Das Recht zur Korrektur persönlicher Informationen.
• Das Recht, dem Verkauf oder der Weitergabe ihrer persönlichen Informationen zu widersprechen.
• Das Recht, die Nutzung und Offenlegung sensibler persönlicher Informationen einzuschränken.
• Das Recht auf Nichtdiskriminierung bei der Ausübung ihrer anderen CCPA-Rechte.

Recht zu wissen, zu löschen und zu korrigieren

Verbraucher können verlangen, dass ein Unternehmen:

• Die Kategorien und spezifischen Details der gesammelten persönlichen Informationen, deren Verwendung und mit wem diese geteilt werden, offenlegt.

• Persönliche Informationen löscht, die gesammelt wurden (mit einigen Ausnahmen). Websites müssen nicht nur Kopien der Daten löschen, die sie selbst besitzen, sondern auch die Daten, die sie an Dritte weitergegeben haben.

• Unrichtige persönliche Informationen korrigiert.

Um diesen Anforderungen nachzukommen, müssen Websites mindestens zwei Methoden bereitstellen, über die ihre Nutzer eine Anfrage einreichen können, wie z. B. eine E-Mail-Adresse, ein Webformular oder eine gebührenfreie Telefonnummer. Die Website muss über eine Datenschutzerklärung verfügen, die Anleitungen enthält, wie man eine Anfrage einreichen kann.

Websites haben 45 Tage Zeit, um auf eine Anfrage zu reagieren, können diese Frist jedoch um weitere 45 Tage verlängern, wenn sie den Antragsteller benachrichtigen.

Recht, dem Verkauf oder der Weitergabe zu widersprechen

Verbraucher können ein Unternehmen anweisen, ihre persönlichen Informationen nicht zu verkaufen oder weiterzugeben. Im Kontext des CCPA bezieht sich das Teilen von Informationen speziell auf ihre Nutzung in kontextübergreifender verhaltensbasierter Werbung.

Es gibt zwei Hauptmethoden, die Verbraucher verwenden können, um sich abzumelden:

• Unternehmen, die persönliche Informationen verkaufen, müssen auf ihrer Website einen klaren und auffälligen "Do Not Sell or Share My Personal Information"-Link bereitstellen, der es den Verbrauchern ermöglicht, sich abzumelden.

• Unternehmen, die persönliche Informationen verkaufen, müssen das Global Privacy Control Signal respektieren, wie es im Sec-GPC HTTP-Header übermittelt wird.

Recht, die Nutzung sensibler persönlicher Informationen zu begrenzen

Verbraucher können ein Unternehmen anweisen, die Nutzung ihrer sensiblen persönlichen Informationen auf das zu beschränken, was notwendig ist, um die Dienstleistungen zu erbringen oder die Waren bereitzustellen, die ein Verbraucher vernünftigerweise erwarten würde.

Recht auf Nichtdiskriminierung

Dies bedeutet, dass wenn ein Verbraucher eines seiner anderen Rechte nach dem CCPA ausübt, Unternehmen nicht gegen ihn vorgehen dürfen. Zum Beispiel könnte Folgendes als Diskriminierung betrachtet werden:

• Ein Verbraucher widerspricht der Weitergabe seiner Daten, und das Unternehmen verweigert daraufhin den Zugriff auf einen Dienst, der nicht von der Weitergabe dieser Daten abhängt.

• Ein Verbraucher, der sich gegen das Teilen seiner Daten entschieden hat, wird für einen Service mehr berechnet als jemand, der dies nicht getan hat.

Siehe auch

• Datenschutz-Grundverordnung (DSGVO)
• California Consumer Privacy Act (CCPA) über oag.ca.gov (pdf)
• Global Privacy Control Spezifikation