California Consumer Privacy Act (CCPA): Warum das für Sie wichtig ist

Es gibt einen anhaltenden Goldrausch – nicht nach Edelmetallen, sondern nach persönlichen Verbraucherdaten. Eine Zeit lang war diese äußerst wertvolle Ressource mit minimalen oder gar keinen Verbraucherschutzmaßnahmen frei verfügbar. Aber es ist nicht mehr der Wilde Westen, und die Ära der unkontrollierten Daten in den USA hat ein Ende gefunden, da Kalifornien als erster Bundesstaat die Datenschutzgesetzgebung richtig in den Griff bekommen hat.

Während wir auf die Verabschiedung von Bundesdatenrichtlinien warten, hat sich der California Consumer Privacy Act (CCPA) auf dieser Seite des Atlantiks zum Goldstandard entwickelt und tritt damit in die Fußstapfen von Europas DSGVO. In diesem Beitrag erfahren Sie alles, was Sie über den CCPA wissen müssen, was er für Absender und Unternehmen bedeutet und wie Sie ihn einhalten.

Nur ein weiteres Gesetz? Die Zeit wird es zeigen…

Der California Consumer Privacy Act (CCPA) ist ein Gesetz, das die Datenrechte der in Kalifornien ansässigen Personen schützt. Es verpflichtet gewinnorientierte Unternehmen, die Verbraucherdaten sammeln, zur Einhaltung strenger Datenstandards, unabhängig vom Standort des Unternehmens. Das bedeutet, dass jedes Unternehmen, das personenbezogene Daten von in Kalifornien ansässigen Personen verarbeitet, den CCPA einhalten muss.

Spoiler-Warnung (vielleicht): Es gibt Spekulationen, dass der CCPA der erste Schritt ist, der darauf hindeutet, dass Kalifornien sich in Richtung eines Modells bewegt, bei dem Verbraucher direkt für ihre Daten bezahlt werden.

Der CCPA wurde verabschiedet und am 28. Juni 2018 von Gouverneur Brown unterzeichnet. Er trat am 1. Januar 2020 in Kraft und war abhängig von der Rücknahme des vorherigen Consumer Right to Privacy Act (Initiative 17-0093).

Der CCPA gibt Verbrauchern mehr Kontrolle über ihre persönlichen Daten und entwickelt sich ständig weiter.

Im November 2022 stimmte Kalifornien der Proposition 24 (auch bekannt als California Privacy Rights Act oder CRPA) zu, der den CCPA um zusätzliche Datenschutzmaßnahmen ergänzen wird, die am 1. Januar 2023 in Kraft treten.

Das sind viele Abkürzungen. Hier ist ein kurzer Überblick darüber, was unter dem anstehenden CRPA zu erwarten ist:

• Einwohner erhalten das Recht auf Berichtigung ungenauer persönlicher Daten, die ein Unternehmen über sie gesammelt hat.
• Einwohner haben das Recht, die Nutzung und Offenlegung der über sie gesammelten sensiblen persönlichen Daten einzuschränken.

Gute Frage.

Ihre persönlichen Datenrechte sind nur dann durch den CCPA geschützt, wenn Sie in Kalifornien ansässig sind.

Der CCPA definiert personenbezogene Daten als „Informationen, die einen bestimmten Verbraucher oder Haushalt identifizieren, sich auf ihn beziehen, ihn beschreiben, mit ihm in Verbindung gebracht werden können oder vernünftigerweise direkt oder indirekt mit ihm verknüpft werden könnten“ und umfasst keine öffentlich zugänglichen Informationen.

Personenbezogene Daten (Personally Identifiable Information, PII) umfassen einige Kategorien. Von identifizierenden Daten wie Ihrem Namen, Ihrer E-Mail-Adresse, Ihrer IP-Adresse und Ihrer Sozialversicherungsnummer bis hin zu biometrischen Informationen, Geolokalisierungsdaten und Ihrem Browserverlauf.

Hier ist eine Zusammenfassung darüber, was in Kalifornien als PPI gilt – und was nicht:

Die fünf wichtigsten Verbraucherrechte, die den Einwohnern Kaliforniens unter dem CCPA gewährt werden, sind: das Recht auf Zugang, das Recht auf Auskunft, das Recht auf Löschung, das Recht auf Opt-in und Opt-out sowie das Recht auf Nichtdiskriminierung.

Dies sind die Privilegien:

• Das Recht auf Auskunft: Einwohner Kaliforniens haben ein Recht darauf zu erfahren, welche Daten über sie gesammelt werden. Unter dem CCPA können Unternehmen alle Informationen sammeln, die Sie oder Ihren Haushalt identifizieren oder sich auf diese beziehen. Informationen, die öffentlich zugänglich sind, wie Eigentums- und öffentliche Bildungsnachweise, sind keine geschützten Daten. Einwohner von CA können außerdem (bis zu zweimal pro Jahr) ihre persönlichen Daten anfordern, die das Unternehmen verkauft oder an Dritte weitergibt.
• Das Recht auf Zugang: Der CCPA verlangt von einem Unternehmen, dass es auf eine Zugriffsanfrage reagiert, indem es alle Informationen offenlegt, die es in den vorangegangenen zwölf Monaten über einen Verbraucher gesammelt hat. Der CCPA lässt nur sehr wenige Ausnahmen von der Verpflichtung eines Unternehmens zu, Zugang zu Informationen zu gewähren.
• Das Recht auf Löschung: Einwohner Kaliforniens können beantragen, dass ihre PPI gelöscht werden, und zwar nicht nur aus den Datenbanken des Unternehmens, sondern auch bei dessen Dienstanbietern. Eine Ausnahme von dieser Regelung bilden Daten, zu deren Aufbewahrung das Unternehmen ansonsten gesetzlich verpflichtet ist.
• Das Recht auf Opt-out: Dadurch werden Sie nicht von der Datenerfassung ausgeschlossen, das Unternehmen wird aber daran gehindert, Ihre Informationen an Dritte zu verkaufen. Zusätzlich zwingt es das Unternehmen dazu, mindestens zwölf Monate zu warten, bevor es Sie um ein erneutes Opt-in bittet.
• Das Recht auf Nichtdiskriminierung: Diskriminierungsgesetze schützen Einwohner von CA, die ihre Rechte gemäß CCPA ausgeübt haben. Unternehmen dürfen Ihren Service nicht unterbrechen oder beeinträchtigen, nur weil Sie sich entscheiden, Ihre Daten auf eine bestimmte Weise zu verwalten.

Es werden häufig Vergleiche zwischen der Datenschutz-Grundverordnung (DSGVO) und dem CCPA gezogen. Und die gute Nachricht? Wenn Sie bereits DSGVO-konform sind, ist die CCPA-Compliance nur noch ein kleiner Schritt.

Sie wissen ja, wie es heißt… Man kann es nicht allen recht machen.

Wir vergleichen Daten mit Gold und Öl, natürlichen Ressourcen, die unseren Fortschritt vorantreiben, aber Daten sind anders. Sie sind die einflussreichste und aufschlussreichste Ressource, die wir haben. Daten offenbaren Verhaltensweisen und persönliche Informationen der Menschheit – und sind damit zu gleichen Teilen natürliche Ressource und persönliches Eigentum.

Da Datenvorschriften immer verbraucherorientierter werden, treten einige grundlegende Bedenken auf. Eine erhöhte Anforderung an Opt-outs, Abmeldungen und Haftungsausschlüsse macht es für Unternehmen herausfordernd und teuer, ihre Datenprozesse neu zu strukturieren, um sie an diese Vorschriften anzupassen.

Die andere Hauptsorge betrifft die Bezeichnung und verständliche Formulierung von Bedingungen für die Kundschaft. Strengere Einschränkungen bei der Unterscheidung, welche Arten von Unternehmen als Dienstanbieter gelten, sowie die Notwendigkeit längerer Datenschutzerklärungen und Bedingungen machen die rechtliche Seite des Betriebs deutlich anspruchsvoller.

Der CCPA ist nicht statisch. In Kalifornien stehen die Datenschutzgesetze mit der Einführung des CPRA erneut vor einer Änderung. Dieser wird den Datenschutz für in Kalifornien ansässige Personen noch weiter ausbauen, was wahrscheinlich zu zusätzlicher Kritik von Unternehmen im ganzen Land führen wird.

Es wurden auch Forderungen nach einem bundesweiten oder national geltenden Gesetz laut, da sich der CCPA nur auf Einwohner Kaliforniens bezieht, was einige Unternehmen an ihrer Verpflichtung zur Einhaltung zweifeln lässt.

Der CCPA gilt nur für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und bestimmte Bedingungen erfüllen. Gemeinnützige Organisationen und Regierungsbehörden sind davon ausgenommen. Dies sind die Rahmenbedingungen:

• Unternehmen mit einem Brutto-Jahresumsatz (ARR) von 25 Millionen $ oder mehr.
• Unternehmen, die persönliche Daten von 50.000 oder mehr Einwohnern aus CA kaufen, erhalten oder verkaufen.
• Unternehmen, die 50 % oder mehr ihres ARR durch den Verkauf persönlicher Daten von Einwohnern aus CA erzielen.

Strenge Datenvorschriften eröffnen viele Möglichkeiten für Nutzer, auf der Grundlage geltender Rechte Anfragen zu stellen. Das kann einen erhöhten Arbeitsaufwand für Support-Teams bedeuten, ganz zu schweigen von möglichen hohen Geldstrafen. Es gibt einige Best Practices, um dem entgegenzuwirken: Double-Opt-ins, klare Abmeldelinks und Hinweise zu den Datenerfassungsprozessen.

Als Unternehmen, das Geschäfte mit Einwohnern Kaliforniens und in CA ansässigen Firmen macht, betrifft der CCPA uns, unsere Kundschaft und deren Unternehmen – sowie andere Firmen wie uns – unter denselben oben beschriebenen Bedingungen.

Abgesehen davon, dass es sich um eine Frage der Daten-Compliance handelt, wurden Gesetze wie der CCPA und die DSGVO geschaffen, damit sich Nutzer hinsichtlich ihrer Daten im Internet sicherer fühlen. E-Mails spielen eine große Rolle im Online-Marketing und in der Kommunikation, und Sinch Mailgun legt großen Wert darauf, Daten als respektiertes, persönliches Gut zu behandeln. Mailgun hat und wird auch weiterhin den Datenschutz der Kundschaft respektieren und sicherstellen, dass alle geltenden Gesetze und Vorschriften eingehalten werden.

Der CCPA ist kein Bundesgesetz, aber laut der Consumer Privacy Survey von Cisco geben 89 % der Menschen an, dass ihnen der Datenschutz wichtig ist und sie mehr Kontrolle wünschen. Compliance-Standards entwickeln sich ständig weiter, und dass einzelne Bundesstaaten ihre eigenen Datenschutzgesetze einführen, könnte darauf hindeuten, dass bundesweite Datenvorschriften nicht mehr lange auf sich warten lassen. Wir bei Mailgun entwickeln uns gemeinsam mit ihnen weiter.

Wir behalten unter anderem den American Data Privacy Protection Act (ADPPA) im Auge. Diese überparteiliche US- Gesetzgebung ist noch kein Bundesgesetz, aber wenn sie erlassen würde, würde sie standardisieren, wie die USA Daten sowohl auf nationaler Ebene als auch über verschiedene Branchen hinweg verwalten und verarbeiten, und würde künftigen globalen Datenrichtlinien weiter die Tür öffnen.

Für aktuelle Fortschritte aus datenschutzrechtlicher Sicht sorgte eine Die Executive Order wurde von Präsident Biden unterzeichnet , und zwar Anfang Oktober. Sie setzt das European Union-U.S. Data Privacy Framework um, das uns dem Schutz grenzüberschreitender Datenübertragungen näher bringt.

Unser Engagement für den Datenschutz der Nutzer ist ein großer Teil unserer Identität. Und wir tauchen mit Leidenschaft in die Details ein. Erfahren Sie in unserer detaillierten Aufschlüsselung zu E-Mail-Sicherheit und Compliance mehr darüber, wie wir an Ihre Sicherheit herangehen und diese schätzen.

Haftungsausschluss: Die US- Datenschutzgesetze, einschließlich des CCPA, sind komplex. Dieser Blogbeitrag sollte nicht als Rechtsberatung angesehen werden. Bitte wenden Sie sich an einen Rechtsexperten, um Einzelheiten darüber zu erfahren, wie sich der CCPA auf Ihren speziellen Geschäftsfall auswirkt.

Autor: Darine Fayed Darine Fayed is the Vice President Head of Legal EMEA for Sinch. She provides legal counsel on our international contracts, oversees our data protection and handles a variety of other legal matters. She writes often about compliance laws and policy standards that affect email communication.