Informationen und Ressourcen zur Einhaltung des California Consumer Privacy Act von 2018 (CCPA)

Der California Consumer Privacy Act von 2018 und die im Rahmen dieses Gesetzes erlassenen CCPA-Vorschriften (zusammen der „CCPA“), die am 1. Januar 2020 in Kraft getreten sind, sind ein kalifornisches Datenschutzgesetz, das neue Datenschutzrechte auf kalifornische „Verbraucher“ (Einwohner Kaliforniens) ausdehnt und Unternehmen unter anderem verpflichtet, Verbrauchern bestimmte Informationen über die Datenschutzpraktiken des Unternehmens und die Rechte, die Verbrauchern im Rahmen des CCPA in Bezug auf ihre personenbezogenen Daten gewährt werden, zur Verfügung zu stellen. Zu diesen Verbraucherrechten gehören das „Recht zu erfahren“, welche Informationen von solchen Unternehmen verarbeitet werden, das Recht, von einem Unternehmen gesammelte personenbezogene Daten zu löschen, das Recht auf Nichtdiskriminierung bei der Ausübung dieser Rechte und insbesondere das Recht, einen „Verkauf“ personenbezogener Daten abzulehnen. Allerdings werden nicht alle Offenlegungen personenbezogener Daten durch ein Unternehmen als „Verkauf“ betrachtet. So werden beispielsweise Übertragungen an „Dienstleister“ normalerweise nicht als „Verkauf“ betrachtet

Der CCPA gilt für Organisationen, die entweder (i) einen jährlichen Bruttoumsatz von mehr als fünfundzwanzig Millionen Dollar erzielen oder die jährlich die personenbezogenen Daten von 50.000 oder mehr Verbrauchern, Haushalten oder Geräten zu kommerziellen Zwecken kaufen, erhalten, verkaufen oder teilen oder die 50% oder mehr ihres Jahresumsatzes aus dem „Verkauf“ der personenbezogenen Daten von Verbrauchern (wie dieser Begriff im CCPA definiert ist) erzielen.

Nach dem CCPA sind „personenbezogene Daten“ alle Informationen, die einen bestimmten Verbraucher oder Haushalt identifizieren, sich auf ihn beziehen, ihn beschreiben, mit ihm in Verbindung gebracht werden können oder vernünftigerweise direkt oder indirekt mit ihm in Verbindung gebracht werden könnten, einschließlich Informationen, die sich auf ein bestimmtes Gerät (nämlich IoT-fähige Geräte) beziehen, sofern es zur Identifizierung eines bestimmten Verbrauchers verwendet werden könnte.