California Consumer Privacy Act (CCPA)

Das sollten Sie über das neue Datenschutzgesetz wissen

16.11.2020
Von    und
Dr. Michael Rath ist Rechtsanwalt, Fachanwalt für Informationstechnologie-Recht und Partner der Luther Rechtsanwaltsgesellschaft mbH mit Sitz in Köln. Zudem ist er Certified ISO/IEC 27001 Lead Auditor. Seine Beratungsschwerpunkte sind das IT-Recht, Datenschutzrecht und der Gewerbliche Rechtsschutz. Dr. Michael Rath ist u.a. Mitglied in der Deutschen Gesellschaft für Recht und Informatik e.V. (DGRI) und akkreditierter Schlichter für IT-Streitigkeiten bei der Schlichtungsstelle der DGRI.
Dr. Axel Spies ist Special Legal Consultant bei Morgan, Lewis & Bockius.
Der am 14. August 2020 in Vollzug gesetzte CCPA sieht schärfere Datenschutzregelungen in Kalifornien vor. Erfahren Sie, was deutsche Unternehmen, die dort geschäftlich tätig sind, beachten sollten, um Bußgelder zu vermeiden.
Der California Consumer Privacy Act kann Auswirkungen beispielsweise auf deutsche Dienstleister haben, die für kalifornische Unternehmen Daten verarbeiten.
Der California Consumer Privacy Act kann Auswirkungen beispielsweise auf deutsche Dienstleister haben, die für kalifornische Unternehmen Daten verarbeiten.
Foto: Cristian Storto - shutterstock.com

Kalifornien ist seit langem ein Labor für innovative Ansätze zur Regulierung der Privatsphäre. Daher erklärt sich, dass der neue California Consumer Privacy Act (CCPA), wie der Name schon verrät, aus Kalifornien stammt. Im Übrigen haben dort praktisch alle großen Hightech-Unternehmen ihren Hauptsitz. Andere US-Bundesstaaten, wie etwa New York, haben ähnliche Gesetze erlassen oder befinden sich noch im Gesetzgebungsprozess. Beim CCPA handelt es sich jedoch um das wegweisende Datenschutzgesetz der USA. Ein Bundesdatenschutzgesetz, das dem staatlichen Gesetz vorginge, lässt jedoch weiter auf sich warten, wenn es denn überhaupt verabschiedet wird.

Entwicklungen um den CCPA

Im Oktober 2019 hatte die kalifornische Generalstaatsanwaltschaft ("AG") - die zugständige Datenschutzbehörde - ihre CCPA-Regularien veröffentlicht. Sie beziehen sich in erster Linie auf die Rechte des Verbraucherschutzes. Am 11. Oktober 2019 unterzeichnete Gouverneur Newsom fünf Gesetzesvorlagen zur Änderung der CCPA, die neue Ausnahmen und Regelungen für Mitarbeiter und B2B-Transaktionsdaten enthalten. Im weiteren Verlauf wurden die CCPA Regularien aufgrund von Kommentaren aus der Industrie und von Praktikern im Februar und März 2020 zwei Revisionen unterzogen.
Am 1. Juni 2020 wurde dem Office of Administrative Law (OAL) die endgültige Version vorgelegt. Diese verdeutlichte, dass sich der CCPA in vielerlei Hinsicht von der Datenschutzverordnung (DSGVO) unterscheidet.

Nach dem Inkrafttreten des CCPA am 1. Januar 2020 ist er am 14. August 2020 durch die Genehmigung des OAL in Vollzug gesetzt worden. Es ist fortan entscheidend, dass sie die notwendigen Vorgaben vollständig umgesetzt haben, wenn sie Daten in Kalifornien verarbeiten und oberhalb der im Gesetz genannten Schwellenwerte liegen.

Im November 2020 haben die Kalifornier im Zuge der US-Wahlen zudem einer Volksinitiative zugestimmt, dem California Privacy Rights Act of 2020 (CPRA), der den CCPA konkretisiert und mit weitgehenden Vorschiften zugunsten der Verbraucher ergänzt. Das Gesetz enthält neue Regelungen zu Verbraucherrechten, die denen der DSGVO ähnlich sind, nun per Gesetzesmaßnahme vollständig umsetzen. Der CPRA wird 2023 in Kraft treten und dann rückwirkend für Datenerhebungen ab dem 01. Januar 2022 gelten. Kalifornien wird zu diesem Zweck eine neue Datenschutzbehörde schaffen, die u.a. Bußgelder verhängen kann.

Geltungsbereich des CCPA

Ausländische Gesellschaften können vom CCPA auch direkt betroffen sein, wie auch die DSGVO in vielen Fällen direkt auf Unternehmen in den USA anwendbar ist. Ein Unternehmen, das der CCPA unterliegt, ist eine gewinnorientierte Organisation oder juristische Person, die in Kalifornien geschäftlich tätig ist und personenbezogene Daten der Verbraucher sammelt - entweder direkt oder über einen Dritten. Auf den Sitz kommt es nicht an. Auch deutsche Gesellschaften, die für Unternehmen Dienste erbringen, die vom CCPA erfasst sind, müssen sich an die Anforderungen des CCPA halten.

Was bedeutet "Daten sammeln"?

Der Begriff "sammelt" ist im weitesten Sinne definiert als "Kauf, Vermietung, Sammlung, Erhalt […] oder Zugriff auf personenbezogene Daten eines Verbrauchers auf irgendeine Weise." Das Unternehmen muss diese Daten entweder allein oder gemeinsam mit anderen sammeln und die Zwecke der Verarbeitung der personenbezogenen Daten festlegen. Diese Rollenverteilung ähnelt sehr dem Konzept des "Verantwortlichen" (Controller) der DSGVO. Der CCPA gilt auch für traditionelle Geschäfte, die Daten sammeln, also nicht nur für die Erfassung personenbezogener Daten auf elektronischem Wege oder über das Internet.

"Business" im Sinne des CCPA

Der Begriff "Geschäft" (Business) umfasst auch ein Unternehmen, das ein Unternehmen kontrolliert oder von ihm direkt oder indirekt unter einem gemeinsamen Warenzeichen ("Brand") kontrolliert wird. Darunter fallen beispielsweise Zweigstellen oder Vertriebsunternehmen vor Ort. Das Unternehmen muss eine der folgenden drei Schwellenwerten überschreiten:

  • Jährliche Bruttoeinnahmen von mehr als 25 Millionen Dollar (diese Schwelle scheint nicht auf die Einnahmen nur aus Kalifornien beschränkt zu sein);

  • Jährliche Erfassung, Kauf oder Verkauf, Weitergabe etc. von personenbezogenen Daten von 50.000 oder mehr Verbrauchern, Haushalten oder Geräten allein oder in Kombination; oder

  • 50 Prozent oder mehr seines Jahresumsatzes basiert auf dem Verkauf von personenbezogenen Daten der Verbraucher.