Informationen und Ressourcen zur Einhaltung des kalifornischen Gesetzes zum Schutz der Privatsphäre von Verbrauchern von 2018 (California Consumer Privacy Act, CCPA)

Der California Consumer Privacy Act von 2018 und die im Rahmen dieses Gesetzes erlassenen CCPA-Verordnungen (zusammen der „CCPA“) ist ein am 1. Januar 2020 in Kraft getretenes kalifornisches Datenschutzgesetz, das neue Datenschutzrechte auf kalifornische „Verbraucher“ (Einwohner von Kalifornien) ausweitet und von Unternehmen unter anderem verlangt, Verbrauchern bestimmte Informationen über die Datenschutzpraktiken des Unternehmens und die Rechte bereitzustellen, die ihnen gemäß dem CCPA in Bezug auf ihre personenbezogenen Daten gewährt werden. Diese Verbraucherrechte umfassen das „Recht auf Wissen“, welche Informationen von solchen Unternehmen verarbeitet werden, das Recht, von einem Unternehmen erfasste personenbezogene Daten zu löschen, das Recht auf Nicht-Diskriminierung bei der Ausübung dieser Rechte und vor allem das Recht, einem „Verkauf“ von personenbezogenen Daten zu widersprechen. Allerdings wird nicht jede Weitergabe personenbezogener Daten durch ein Unternehmen als „Verkauf“ betrachtet, so gelten z. B. Übertragungen an „Service-Anbieter“ normalerweise nicht als „Verkauf“.

Der CCPA gilt für Organisationen, die entweder (i) jährliche Bruttoeinnahmen von mehr als fünfundzwanzig Millionen Dollar haben; oder die jährlich die personenbezogenen Daten von 50.000 oder mehr Verbrauchern, Haushalten oder Geräten allein oder in Kombination zu kommerziellen Zwecken kaufen, erhalten, verkaufen oder weitergeben; oder die 50 % oder mehr ihrer jährlichen Einnahmen aus dem „Verkauf“ (wie dieser Begriff im CCPA definiert ist) personenbezogener Daten von Verbrauchern erzielen.

Unter dem CCPA bedeutet „personenbezogene Daten“ alle Informationen, die einen bestimmten Verbraucher oder Haushalt identifizieren, sich auf ihn beziehen, ihn beschreiben, vernünftigerweise mit ihm in Verbindung gebracht werden können oder vernünftigerweise direkt oder indirekt mit ihm in Verbindung gebracht werden könnten, einschließlich Informationen, die sich auf ein bestimmtes Gerät beziehen (nämlich IoT-fähige Geräte), sofern sie zur Identifizierung eines bestimmten Verbrauchers verwendet werden könnten.