CCPA-Compliance-Leitfaden: Anforderungen und Vorschriften

Heutige Unternehmen sind ausnahmslos auf Verbraucherdaten angewiesen, um besser zu verstehen, wer ihre Kund:innen sind, und um sich einen Wettbewerbsvorteil zu verschaffen. Diese Daten, die von grundlegenden demografischen Informationen bis hin zum Online-Surfverhalten alles umfassen können, werden häufig genutzt, um die Personalisierung auf Websites und in Apps zu verbessern und relevante Produkte und Dienstleistungen zu entwickeln. Verbraucherdaten sind auch für Marketer:innen besonders wertvoll, die sie für zielgerichtete Werbung nutzen. Da sich die Verbraucher:innen jedoch zunehmend bewusst werden, wie viele ihrer Daten erfasst werden, sind sie verständlicherweise besorgt darüber, wie diese Informationen genutzt, weitergegeben und geschützt werden.

Im Jahr 2018 führte Kalifornien als erster US-Bundesstaat eine umfassende Datenschutzrichtlinie ein, den California Consumer Privacy Act (CCPA), der die Rechte der Einwohner:innen Kaliforniens in Bezug auf den Schutz ihrer personenbezogenen Daten schützen und durchsetzen soll. Heute gibt es 20 Bundesstaaten mit ähnlichen Datenschutzgesetzen, aber der CCPA bleibt der bemerkenswerteste, was zum Teil an der großen Bevölkerung des Bundesstaates liegt.

Die Auswirkungen des CCPA auf Unternehmen nehmen zu. Der Schutz von Verbraucherdaten ist nicht nur gesetzlich vorgeschrieben, sondern gibt Kund:innen in der Regel auch ein sichereres Gefühl, stärkt ihre Loyalität und schützt Ihre Marke und Ihren Ruf. In diesem Artikel gehen wir näher auf die im CCPA festgelegten Vorschriften ein, wer diese einhalten muss und warum dies sowohl für Verbraucher:innen als auch für Unternehmen unerlässlich ist.

Um kalifornischen Verbraucher:innen mehr Kontrolle über ihre privaten Daten zu geben, hat der CCPA die folgenden Datenschutzrechte festgelegt:

1. Das Recht zu erfahren, welche Daten erfasst werden
2. Das Recht auf Löschung personenbezogener Daten
3. Das Recht, dem Verkauf personenbezogener Daten zu widersprechen
4. Das Recht auf Nichtdiskriminierung
5. Das Recht auf Datenübertragbarkeit

Im Jahr 2020 stimmten die kalifornischen Wähler:innen einer Änderung des CCPA zu, die zusätzliche Schutzmaßnahmen umfasste, darunter:

1. Das Recht auf Berichtigung unrichtiger Daten
2. Das Recht auf Einschränkung der Nutzung und Offenlegung der über sie erfassten sensiblen personenbezogenen Daten

Wenn Ihr Unternehmen die oben genannten Kriterien erfüllt, finden Sie hier einige der wichtigsten Anforderungen, die erfüllt werden müssen, um CCPA-konform zu werden:

1. Datenschutzrichtlinien aktualisieren

Erstellen Sie eine leicht zugängliche Datenschutzrichtlinie, in der klar dargelegt wird, welche Daten erfasst werden, zu welchem Zweck sie erfasst werden und wie Kund:innen ihre Rechte in Bezug auf ihre privaten Daten ausüben können.

2. Klare Opt-out-Mechanismen bereitstellen

Geben Sie Kund:innen eine einfache Möglichkeit, dem Verkauf oder der Weitergabe ihrer Daten zu widersprechen.

3. Anfragen auf Datenzugriff und -löschung ermöglichen

Bieten Sie Kund:innen eine klare und einfache Möglichkeit, den Zugriff auf ihre Daten oder deren Löschung zu beantragen.

4. Mitarbeitende in Compliance schulen

Stellen Sie sicher, dass Ihre Mitarbeitenden in CCPA-Compliance geschult sind und wissen, wie sie Anfragen von Kund:innen bezüglich deren Daten bearbeiten.

5. Detaillierte Datenbestände pflegen

Führen Sie regelmäßige Dateninventuren durch und erstellen Sie Datenzuordnungen (Data Maps), um genau zu wissen, über welche personenbezogenen Daten Ihr Unternehmen verfügt, wo diese gespeichert sind und wie sie verwendet werden.

6. Prozesse zur Identitätsprüfung etablieren

Stellen Sie sicher, dass Sie über strenge Sicherheitsmaßnahmen verfügen, um personenbezogene Daten zu schützen und unbefugten Zugriff zu verhindern.

Das Sammeln und Verkaufen von Verbraucherdaten ist ein großes Geschäft. Die Online-Gewohnheiten von Verbraucher:innen generieren Daten, die für Unternehmen, die ihre Marketingbemühungen optimieren und neue Geschäftsmöglichkeiten schaffen wollen, äußerst wertvoll sind. Kalifornien gibt Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten, was auch die Bestrafung von Unternehmen einschließt, die gegen Bestimmungen des CCPA verstoßen.

Zu den gängigen CCPA-Strafen, die vom kalifornischen Generalstaatsanwalt durchgesetzt werden, gehören Gebühren pro Verstoß, wie z. B. 2.663 USD für jeden unbeabsichtigten Verstoß und 7.988 USD für jeden vorsätzlichen Verstoß sowie für Verstöße, die personenbezogene Daten von Minderjährigen unter 16 Jahren betreffen (beachten Sie, dass diese Zahlen inflationsbereinigt sind und sich jährlich ändern können).

Verstöße können sich schnell summieren: Ein einzelner Verstoß könnte eine Datenschutzverletzung sein, die nur eine einzige Person betrifft. Da Datenschutzverletzungen jedoch selten nur eine Person betreffen – in der Regel sind Tausende von Kund:innen betroffen –, können sich die Strafen schnell auf beträchtliche Beträge summieren. Zusätzlich zu den Gebühren kann die Nichteinhaltung der CCPA-Vorschriften im Falle einer Datenschutzverletzung zu Sammelklagen und Privatklagen führen, die zivilrechtliche Strafen nach sich ziehen.