Foto: Cristian Storto - shutterstock.com
Kalifornien ist seit langem ein Labor für innovative Ansätze zur Regulierung der Privatsphäre. Daher erklärt sich, dass der neue California Consumer Privacy Act (CCPA), wie der Name schon verrät, aus Kalifornien stammt. Im Übrigen haben dort praktisch alle großen Hightech-Unternehmen ihren Hauptsitz. Andere US-Bundesstaaten, wie etwa New York, haben ähnliche Gesetze erlassen oder befinden sich noch im Gesetzgebungsprozess. Beim CCPA handelt es sich jedoch um das wegweisende Datenschutzgesetz der USA. Ein Bundesdatenschutzgesetz, das dem staatlichen Gesetz vorginge, lässt jedoch weiter auf sich warten, wenn es denn überhaupt verabschiedet wird.
Entwicklungen um den CCPA
Im Oktober 2019 hatte die kalifornische Generalstaatsanwaltschaft ("AG") - die zugständige Datenschutzbehörde - ihre CCPA-Regularien veröffentlicht. Sie beziehen sich in erster Linie auf die Rechte des Verbraucherschutzes. Am 11. Oktober 2019 unterzeichnete Gouverneur Newsom fünf Gesetzesvorlagen zur Änderung der CCPA, die neue Ausnahmen und Regelungen für Mitarbeiter und B2B-Transaktionsdaten enthalten. Im weiteren Verlauf wurden die CCPA Regularien aufgrund von Kommentaren aus der Industrie und von Praktikern im Februar und März 2020 zwei Revisionen unterzogen.
Am 1. Juni 2020 wurde dem Office of Administrative Law (OAL) die endgültige Version vorgelegt. Diese verdeutlichte, dass sich der CCPA in vielerlei Hinsicht von der Datenschutzverordnung (DSGVO) unterscheidet.
Nach dem Inkrafttreten des CCPA am 1. Januar 2020 ist er am 14. August 2020 durch die Genehmigung des OAL in Vollzug gesetzt worden. Es ist fortan entscheidend, dass sie die notwendigen Vorgaben vollständig umgesetzt haben, wenn sie Daten in Kalifornien verarbeiten und oberhalb der im Gesetz genannten Schwellenwerte liegen.
Neben den Anforderungen des CCPA kommen durch den geplanten Consumer Privacy Rights Act zusätzliche Änderungen auf die Unternehmen zu. Dieses zusätzliche Datenschutzgesetz wurde im November 2020 von den kalifornischen Bürgern abgesegnet und wird voraussichtlich 2023 in Kraft treten. Ziel ist es die Rechte der Verbraucher weiter zu stärken. So haben diesen unter dem CPRA das Recht, der Weitergabe ihre Daten zu personalisierten Werbezwecken zu widersprechen, wenn der Austausch unter den betroffenen Unternehmen unentgeltlich erfolgt. Auch hinsichtlich sensibler Daten, wie Gesundheitsdaten oder der ethnischen Herkunft, haben Verbraucher künftig das Recht, die Weitergabe zu unterbinden. Ferner kann die Korrektur fehlerhafter Daten verlangt werden.
Neben diesen neuen Betroffenenrechten soll eine zentrale neue Behörde geschaffen werden, die California Privacy Protection Agency, welche den Attorney General als vorrangige Rechtsdurchsetzungsbehörde ablösen wird. Unternehmen, die vom Anwendungsbereich des CCPA erfasst sind, sehen sich bereits jetzt mit der Notwendigkeit weitreichender Prozessanpassungen konfrontiert. Im Interesse von Synergieeffekten und Kostenersparnis sollten Unternehmen daher bereits bei den Anpassungen anlässlich des CCPA auch die neuen Regelungen des CPRA im Blick behalten.
Geltungsbereich des CCPA
Ausländische Gesellschaften können vom CCPA auch direkt betroffen sein, wie auch die DSGVO in vielen Fällen direkt auf Unternehmen in den USA anwendbar ist. Ein Unternehmen, das der CCPA unterliegt, ist eine gewinnorientierte Organisation oder juristische Person, die in Kalifornien geschäftlich tätig ist und personenbezogene Daten der Verbraucher sammelt - entweder direkt oder über einen Dritten. Auf den Sitz kommt es nicht an. Auch deutsche Gesellschaften, die für Unternehmen Dienste erbringen, die vom CCPA erfasst sind, müssen sich an die Anforderungen des CCPA halten.
Was bedeutet "Daten sammeln"?
Der Begriff "sammelt" ist im weitesten Sinne definiert als "Kauf, Vermietung, Sammlung, Erhalt […] oder Zugriff auf personenbezogene Daten eines Verbrauchers auf irgendeine Weise." Das Unternehmen muss diese Daten entweder allein oder gemeinsam mit anderen sammeln und die Zwecke der Verarbeitung der personenbezogenen Daten festlegen. Diese Rollenverteilung ähnelt sehr dem Konzept des "Verantwortlichen" (Controller) der DSGVO. Der CCPA gilt auch für traditionelle Geschäfte, die Daten sammeln, also nicht nur für die Erfassung personenbezogener Daten auf elektronischem Wege oder über das Internet.
"Business" im Sinne des CCPA
Der Begriff "Geschäft" (Business) umfasst auch ein Unternehmen, das ein Unternehmen kontrolliert oder von ihm direkt oder indirekt unter einem gemeinsamen Warenzeichen ("Brand") kontrolliert wird. Darunter fallen beispielsweise Zweigstellen oder Vertriebsunternehmen vor Ort. Das Unternehmen muss eine der folgenden drei Schwellenwerten überschreiten:
Jährliche Bruttoeinnahmen von mehr als 25 Millionen Dollar (diese Schwelle scheint nicht auf die Einnahmen nur aus Kalifornien beschränkt zu sein);
Jährliche Erfassung, Kauf oder Verkauf, Weitergabe etc. von personenbezogenen Daten von 50.000 oder mehr Verbrauchern, Haushalten oder Geräten allein oder in Kombination; oder
50 Prozent oder mehr seines Jahresumsatzes basiert auf dem Verkauf von personenbezogenen Daten der Verbraucher. (Der Begriff "Verkauf" ist im CCPA extrem weit definiert).