CCPA: Was die kalifornischen Datenschutzrechte für Ihre Website bedeuten

CCPA und CPRA: ein geändertes Gesetz

Die Wähler in Kalifornien haben den California Privacy Rights Act (CPRA) im November 2020 angenommen. Er änderte den CCPA mit Wirkung ab dem 1. Januar 2023. Ein separates CPRA-Regime gibt es daher nicht: Prüfen Sie Ihre Website anhand des CCPA in seiner geänderten Fassung.

Dieser Leitfaden behandelt den Anwendungsbereich und den zentralen Ablauf auf der Website. Der CPRA-Leitfaden erklärt, was die Änderungen bewirkt haben, darunter sensible personenbezogene Informationen, Berichtigung, Speicherdauer und die Verordnungen von 2025.

Wen der CCPA erfasst

Die Schwellenwerte oben auf dieser Seite stammen aus den FAQ der California Privacy Protection Agency. Der Umsatzwert wird in jedem ungeraden Jahr an die Inflation angepasst: 26.625.000 $ gelten seit dem 1. Januar 2025, die nächste Anpassung steht am 1. Januar 2027 an.

Auch ein Unternehmen außerhalb Kaliforniens kann erfasst sein, ebenso verbundene Unternehmen, die Marke und personenbezogene Informationen eines erfassten Unternehmens teilen. Einige Organisationen und Arten von Informationen sind ausgenommen. Websitebesuche sind kein Ersatz für die Prüfung der Schwelle von 100.000 Verbrauchern oder Haushalten.

Halten Sie fest, warum Sie in den Anwendungsbereich fallen oder nicht, und prüfen Sie dies erneut, wenn sich Umsatz, Geschäftsmodell oder Datenpraktiken ändern.

Verkauf, Weitergabe, Werbung und Dienstleister

Das Opt-out umfasst Verkauf und Weitergabe. Ob ein Tool darunter fällt, hängt davon ab, was der Empfänger mit den Daten macht und welcher Vertrag dahintersteht, nicht vom Namen des Tools.

Ein Tool „Analyse“ zu nennen oder dasselbe Ereignis von einem Pixel auf eine serverseitige Verbindung zu verlagern, ändert nichts an der Bewertung.

So sieht eine funktionierende „Do Not Sell or Share“-Option aus

Ein Unternehmen, das online erhobene personenbezogene Informationen verkauft oder weitergibt, muss mindestens zwei Opt-out-Methoden anbieten. Eine davon ist die Verarbeitung von Opt-out-Präferenzsignalen wie GPC. Die andere ist eine der folgenden:

• Link „Do Not Sell or Share My Personal Information“ im Header oder Footer der Startseite, der das Opt-out sofort umsetzt oder zu einem Opt-out-Formular führt.
• Alternativer Opt-out-Link: ein einziger Link „Your Privacy Choices“ oder „Your California Privacy Choices“ mit dem offiziellen Opt-out-Symbol, der das Opt-out und das Recht abdeckt, die Verwendung sensibler personenbezogener Informationen einzuschränken.
• Kein Link: nur wenn Sie Signale reibungslos verarbeiten, das Signal das Opt-out vollständig umsetzt (einschließlich eines etwaigen Offline-Verkaufs oder einer Offline-Weitergabe) und Ihre Datenschutzerklärung dies erläutert.

Ein allgemeines Cookie-Banner oder Panel für Cookie-Einstellungen ist für sich genommen keine zulässige Methode, da es die Erhebung betrifft, nicht den Verkauf oder die Weitergabe. Die Option muss Verkauf und Weitergabe benennen, mit minimalen Schritten auskommen und darf kein Konto voraussetzen (CCPA-Verordnungen, §§ 7013, 7015 und 7026).

Beispiel: der Footer-Link eines Onlineshops

Ein veranschaulichendes Beispiel: Ein Onlineshop für Outdoor-Ausrüstung nutzt ein Werbepixel und einen wöchentlichen Upload von Kundenlisten für kontextübergreifende verhaltensbasierte Werbung. Sein Footer-Link „Your Privacy Choices“ mit dem Opt-out-Symbol öffnet eine Seite, die das Recht erklärt und zwei gleich prominente Schaltflächen anbietet: „Dem Verkauf und der Weitergabe widersprechen“ und „Aktuelle Einstellungen beibehalten“. Der aktuelle Status wird in Worten angegeben.

Wenn der Besucher widerspricht:

• Das Pixel sendet die Ereignisse dieses Browsers nicht mehr für kontextübergreifende verhaltensbasierte Werbung an die Plattform.
• Das Konto eines angemeldeten Kunden wird markiert und beim nächsten Listen-Upload ausgelassen.
• Dritte, die die Daten nach der Anfrage, aber vor der Umsetzung durch den Shop erhalten haben, werden über das Opt-out informiert.
• Die Seite bestätigt das Ergebnis, zum Beispiel mit „Opt-Out Request Honored“.
• Checkout, Warenkorb und Analyse durch Dienstleister laufen weiter.

Stoppen Sie so bald wie praktisch möglich und innerhalb von 15 Geschäftstagen; Übermittlungen, die Sie sofort stoppen können, etwa Echtzeit-Bidding für Werbung, sollten sofort enden. Warten Sie danach mindestens 12 Monate, bevor Sie den Besucher erneut um ein Opt-in bitten.

Opt-out-Präferenzsignale beachten

Ein erfasstes Unternehmen, das verkauft oder weitergibt, muss ein qualifizierendes Signal wie Global Privacy Control als gültiges Opt-out behandeln: für diesen Browser oder dieses Gerät, für jedes damit verknüpfte Profil und, sofern bekannt, für den Verbraucher. Das Veröffentlichen der Opt-out-Links hebt diese Pflicht nicht auf.

Testen Sie einen Erstbesuch, einen wiederholten Besuch und ein angemeldetes Konto, einschließlich serverseitiger Ziele. Der Leitfaden zu Global Privacy Control behandelt Konflikte mit früheren Entscheidungen und die erforderliche Statusmeldung.

Hinweise und Verbraucheranfragen

Zu personenbezogenen Informationen gehören Cookie-Kennungen, Browsing-Aktivitäten und haushaltsbezogene Daten. Halten Sie für jedes Tool fest, was es erhebt, warum und wer die Daten erhält, einschließlich eingebetteter Dienste und serverseitiger Integrationen.

Informieren Sie bei oder vor der Erhebung: über die Kategorien, die Zwecke und darüber, ob Informationen verkauft oder weitergegeben werden, mit einem Link zu Ihrer Datenschutzerklärung. Prüfen Sie neben der Startseite auch Lead-Formulare, die Kontoregistrierung und Kampagnen-Landingpages. Die CCPA-Seite des Generalstaatsanwalts von Kalifornien fasst diese Pflichten zusammen.

Unterstützen Sie Anfragen auf Auskunft, Löschung, Berichtigung und Erhalt übertragbarer Informationen, vorbehaltlich der Ausnahmen, ohne Personen für die Ausübung ihrer Rechte zu benachteiligen. Prüfen Sie bei diesen Anfragen die Identität in verhältnismäßiger Weise; Opt-outs erfordern keine Überprüfung. Stellen Sie sicher, dass jede Anfrage die Systeme und Lieferanten erreicht, die die Daten speichern.

Website-Checkliste

• Anwendungsbereich: Halten Sie fest, welcher Schwellenwert zutrifft oder warum keiner zutrifft.
• Empfänger: Kennzeichnen Sie jedes Tool als Verkauf, Weitergabe, Dienstleister oder Auftragnehmer.
• Opt-out-Weg: Wählen Sie den Link, den alternativen Link oder die reibungslose Signalverarbeitung.
• Wirkung: Bestätigen Sie, dass Pixel, Server-Ereignisse und Listen-Uploads nach einem Opt-out stoppen.
• Signale: Testen Sie GPC bei einem neuen Besuch und mit einem angemeldeten Konto.
• Anfragen: Verfolgen Sie eine Auskunfts-, Lösch- und Berichtigungsanfrage durch die angebundenen Systeme.

FAQ