Was der CPRA am kalifornischen Datenschutzrecht geändert hat

Wie der CPRA mit dem CCPA zusammenhängt

Der CPRA hat den Text des CCPA geändert, statt ein paralleles Gesetz zu schaffen. Heute gibt es einen einzigen kalifornischen Rechtsrahmen, den CCPA in der geänderten Fassung. Bauen Sie daher keine getrennten Einwilligungsoberflächen für „CCPA“ und „CPRA“.

Im CCPA-Leitfaden erfahren Sie, wer erfasst ist, welche Hinweise nötig sind und wie der Opt-out-Link und Verbraucheranfragen funktionieren. Diese Seite erklärt, was sich geändert hat und wie es Ihre Website betrifft. Die wichtigsten Termine:

• November 2020: Die Wähler in Kalifornien nahmen Proposition 24, den CPRA, an.
• 1. Januar 2023: Die Änderungen des CCPA durch den CPRA traten in Kraft.
• 1. Juli 2023: Die zivil- und verwaltungsrechtliche Durchsetzung der geänderten Bestimmungen konnte beginnen, für Verstöße ab diesem Datum.

Was sich für Websites geändert hat

Die Tabelle fasst die Änderungen zusammen, die eine Website am häufigsten betreffen; die folgenden Abschnitte erklären jede einzelne.

Weitergabe für kontextübergreifende verhaltensbasierte Werbung

Kontextübergreifende verhaltensbasierte Werbung bedeutet, Anzeigen anhand der Aktivitäten einer Person auf Websites, in Apps oder bei Diensten anderer Unternehmen auszurichten. Listen Sie die Tools auf, die Browsing-Ereignisse, Kennungen, Käufe oder Zielgruppendaten erhalten, und prüfen Sie, ob der Empfänger sie so nutzt.

Eine Aussage wie „Wir verkaufen niemals personenbezogene Informationen“ kann irreführend sein, wenn sie die Weitergabe ausblendet. Bringen Sie die Aussage, die Opt-out-Option und die Konfiguration in Einklang und testen Sie sowohl Browser- als auch serverseitige Wege. Ein Anbieter, der kontextübergreifende verhaltensbasierte Werbung erbringt, ist ein Dritter, kein Dienstleister.

Sensible personenbezogene Informationen und das Recht auf Einschränkung

Zu den sensiblen personenbezogenen Informationen gehören neben anderen Kategorien staatliche Identifikationsnummern, Konto-Logins mit Passwörtern, genaue Standortdaten, Gesundheitsinformationen und die rassische oder ethnische Herkunft.

Das Gesetz erlaubt einige Nutzungen ohne Recht auf Einschränkung, etwa die Bereitstellung der Waren oder Dienstleistungen, die der Verbraucher angefordert hat. Das Recht auf Einschränkung gilt für Nutzungen, die darüber hinausgehen. Zugangsdaten zu nutzen, um jemanden anzumelden, ist eine zulässige Nutzung; sensible Daten für Profiling weiterzuverwenden, möglicherweise nicht. Wenn Sie sie nur für zulässige Zwecke nutzen und das in Ihrer Datenschutzerklärung angeben, brauchen Sie den Link „Limit the Use of My Sensitive Personal Information“ nicht.

Recht auf Berichtigung

Ein Kunde kann verlangen, dass Sie unrichtige personenbezogene Informationen berichtigen, und Sie müssen sich mit wirtschaftlich zumutbarem Aufwand darum bemühen. Bestimmen Sie den maßgeblichen Datensatz und die Systeme, die daraus kopieren.

Testen Sie einen Antrag vom Eingang bis zum Abschluss. Wenn eine korrigierte Angabe später von einer alten Integration überschrieben wird, muss der Prozess noch nachgebessert werden.

Speicherdauer und Datenminimierung

Teilen Sie den Betroffenen bei oder vor der Erhebung mit, wie lange Sie jede Kategorie personenbezogener Informationen speichern wollen oder nach welchen Kriterien Sie das festlegen, und speichern Sie sie nicht länger als angemessen notwendig. Erhebung und Nutzung müssen außerdem für die offengelegten Zwecke angemessen notwendig und verhältnismäßig sein.

Vermeiden Sie ein vages „so lange wie nötig“, wo ein konkreter Zeitraum möglich ist. Vergleichen Sie die Speicherdauer auf der Website, in der Analyse, in der Kundenplattform, bei Werbeexporten und in Backups.

Verträge und Kontrolle über Empfänger

Wenn Sie Daten an einen Dritten verkaufen oder weitergeben oder einem Dienstleister oder Auftragnehmer offenlegen, brauchen Sie eine Vereinbarung, die die Nutzung auf festgelegte Zwecke beschränkt, die Pflichten aus dem CCPA weitergibt und es Ihnen ermöglicht, gegen unbefugte Nutzung vorzugehen. Eine allgemeine Vertraulichkeitsklausel reicht nicht.

Verträge steuern Datenflüsse nicht von selbst. Prüfen Sie, ob die Einstellungen und die tatsächliche Nutzung jedes Empfängers seiner vertraglichen Rolle entsprechen.

Risikobewertungen, Cybersicherheitsprüfungen und ADMT

Der CPRA hat die kalifornische Datenschutzbehörde zudem beauftragt, Regeln zu Risikobewertungen, Cybersicherheitsprüfungen und Technologie für automatisierte Entscheidungen (ADMT) zu erlassen. Der Vorstand der CPPA hat sie am 24. Juli 2025 beschlossen, das Office of Administrative Law hat sie am 22. September 2025 genehmigt, und sie sind am 1. Januar 2026 in Kraft getreten (Seite der CPPA zum Regelsetzungsverfahren). Die Fristen für die Umsetzung sind gestaffelt:

Beachten Sie den Auslöser für Risikobewertungen: Ein erfasstes Unternehmen, das personenbezogene Informationen für kontextübergreifende verhaltensbasierte Werbung weitergibt, betreibt damit Verkauf oder Weitergabe im Sinne der Regeln, sodass die Pflicht auch eine gewöhnliche Marketing-Website treffen kann. Bewertungen müssen innerhalb von 45 Tagen nach einer wesentlichen Änderung aktualisiert und mindestens alle drei Jahre überprüft werden.

Die Fristen für Cybersicherheitsprüfungen hängen vom jährlichen Bruttoumsatz ab: über 100 Millionen $, erster Bericht bis 1. April 2028; 50–100 Millionen $, bis 1. April 2029; unter 50 Millionen $, bis 1. April 2030. Prüfen Sie Ihre Aktivitäten anhand dieser Regeln und halten Sie diese Prüfung getrennt von der Banner-Konfiguration.

Operative Checkliste

Gehen Sie diese Punkte jedes Mal durch, wenn Sie eine Werbeintegration, eine Standortfunktion oder ein Personalisierungstool hinzufügen, auch wenn das Banner gleich bleibt.

• Weitergabe: Listen Sie jedes Tool auf, das Browsing- oder Zielgruppendaten erhält, mit seiner Rolle.
• Wirkung des Widerspruchs: Prüfen Sie, ob Verkauf und Weitergabe in Browser- und serverseitigen Abläufen stoppen.
• Sensible Daten: Entscheiden Sie, ob eine „Limit“-Option erforderlich ist, und dokumentieren Sie die Begründung.
• Speicherdauer: Gleichen Sie die Fristen in Ihrem Hinweis mit den tatsächlichen Einstellungen in jedem System ab.
• Berichtigung: Verfolgen Sie einen Antrag durch jedes verbundene System.
• Verträge: Prüfen Sie, ob der Vertrag jedes Empfängers zu seiner tatsächlichen Nutzung passt.
• Neue Pflichten: Prüfen Sie jetzt, ob Risikobewertungen nötig sind, und bis zum 1. Januar 2027, ob ADMT-Pflichten greifen.

FAQ