Die USA haben kein umfassendes Datenschutzgesetz auf Bundesebene, aber mehrere Gesetze einzelner Bundesstaaten verlangen inzwischen konformes Analytics. Der CCPA in Kalifornien (und sein Nachfolger, der CPRA) hat den Maßstab gesetzt. Ähnliche Gesetze gibt es heute in Virginia, Colorado, Connecticut, Utah, Montana und Delaware. Für US-Websites mit Besuchern aus mehreren Bundesstaaten gilt wahrscheinlich: Du musst mehrere dieser Gesetze gleichzeitig einhalten.
So funktioniert der CCPA/CPRA
Der CCPA (California Consumer Privacy Act) gilt für gewinnorientierte Unternehmen, die Daten von Einwohnern Kaliforniens erfassen. Er verlangt eine Information über die Datenerfassung, die Offenlegung, welche Daten warum erfasst werden, sowie Nutzerrechte auf Auskunft, Löschung und Widerspruch gegen den Verkauf von Daten. Der CPRA (California Privacy Rights Act), der den CCPA geändert hat, bringt strengere Anforderungen an die Einwilligung und das Verbraucherrecht, falsche Daten zu berichtigen.
Was den CCPA auslöst
Der CCPA gilt, wenn dein Unternehmen eine dieser Bedingungen erfüllt: 25 Mio. Dollar und mehr Jahresumsatz, Kauf, Verkauf oder Weitergabe von Daten von mehr als 100.000 Personen oder Haushalten, oder mindestens 50 % des Umsatzes aus dem Verkauf von Verbraucherdaten. Viele mittelgroße Unternehmen erfüllen das, ohne es zu merken.
Der CCPA gilt für „personenbezogene Informationen“, also Daten, die eine bestimmte Person identifizieren, sich auf sie beziehen oder mit ihr verknüpft werden könnten. Das ist weiter gefasst als bei der DSGVO. Es umfasst Schlussfolgerungen über Vorlieben, Standort, Kaufverhalten und mehr. Für Analytics fällt das meiste Tracking darunter.
Die CCPA-Rechte, die du achten musst
Auskunftsrecht: Nutzer können verlangen, welche personenbezogenen Informationen du erfasst hast und wie du sie genutzt hast. Du musst innerhalb von 45 Tagen antworten (verlängerbar auf 90). Die Offenlegung muss umfassend sein.
Recht auf Löschung: Nutzer können die Löschung ihrer personenbezogenen Informationen verlangen. Du musst das innerhalb von 45 Tagen umsetzen. Du darfst Daten aber für berechtigte geschäftliche Zwecke (zum Beispiel Betrugserkennung) oder zur Erfüllung rechtlicher Pflichten behalten.
Recht auf Widerspruch gegen den Verkauf: Nutzer können verlangen, dass du den Verkauf ihrer Daten einstellst. Das musst du innerhalb von 15 Werktagen umsetzen. Beachte: „Verkauf“ umfasst im CCPA die Weitergabe gegen alles, was einen Wert hat, nicht nur gegen Geld.
Recht auf Berichtigung: Nach dem CPRA können Nutzer verlangen, dass du falsche Daten berichtigst. Das ist neu und einfach: Sind Daten falsch, korrigiere sie.
Opt-in und Opt-out
Der CCPA nutzt beim Verkauf von Daten das Opt-out: Daten dürfen verkauft werden, solange Nutzer nicht widersprechen. Der CPRA und neuere Landesgesetze nutzen bei sensiblen Daten das Opt-in: Du brauchst eine ausdrückliche Erlaubnis, bevor du sensible Informationen erfasst (genauer Standort, Sozialversicherungsnummern, Finanzdaten und so weiter). Geh bei Analytics davon aus, dass du nach den neueren Gesetzen eine Opt-in-Einwilligung brauchst.
Weitere Datenschutzgesetze der Bundesstaaten
Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Montana (MTDPA) und Delaware (DPDPA) haben alle umfassende Datenschutzgesetze erlassen. Sie folgen dem Modell von CCPA und CPRA: Sie geben Nutzern Rechte auf Auskunft, Löschung und Widerspruch. Die Details unterscheiden sich je nach Bundesstaat, aber das Gesamtbild ist einheitlich.
Musst du alle einhalten?
Das hängt von deinem Publikum ab. Bedienst du vor allem Kalifornien, konzentriere dich auf CCPA/CPRA. Bedienst du mehrere Bundesstaaten, nutzen die meisten Unternehmen einen Datenschutzstandard auf DSGVO-Niveau (der die meisten Anforderungen der US-Bundesstaaten übertrifft) und wenden ihn auf alle Besucher an. Das ist einfacher als die Einhaltung Staat für Staat.
Die Realität bei mehreren Bundesstaaten
Die meisten Websites haben Besucher aus mehreren Bundesstaaten. Manche bedienen alle 50. Statt für jeden Staat andere Analytics-Praktiken zu pflegen, übernehmen die meisten Unternehmen den strengsten Standard, dem sie unterliegen, und wenden ihn überall an. Das senkt die Komplexität und sorgt dafür, dass du nie gegen Regeln verstößt.
CCPA/CPRA-Compliance in der Praxis
Für die Compliance brauchst du: eine Datenschutzerklärung, die erklärt, welche Daten du erfasst und warum, klare Möglichkeiten zum Widerspruch gegen den Verkauf von Daten (falls zutreffend), die Fähigkeit, Auskunftsanfragen innerhalb von 45 Tagen zu beantworten, Systeme zum Löschen von Nutzerdaten auf Anfrage und ehrliches Marketing zu deinen Datenpraktiken (nicht lügen, was du erfasst oder wie du es nutzt).
CCPA-Strafen und Durchsetzung
Der Generalstaatsanwalt von Kalifornien kann bis zu 2.500 Dollar pro Verstoß verhängen (oder 7.500 Dollar pro vorsätzlichem Verstoß). Verbraucher können bei Datenpannen privat klagen (gesetzlicher Schadenersatz von 100 bis 750 Dollar pro Person und Vorfall). Sammelklagen sind üblich. Praktische Wirkung: Ein CCPA-Verstoß kann leicht 1 bis 10 Mio. Dollar kosten, wenn viele Nutzer betroffen sind.
DSGVO, CCPA und Landesgesetze im Vergleich
Die DSGVO ist bei der Einwilligung strenger. Der CCPA ist weiter gefasst, was als personenbezogene Daten gilt. Landesgesetze folgen dem CCPA-Modell mit Abweichungen. Erfüllst du die DSGVO (auf Einwilligung gestützt, Transparenz zuerst), erfüllst du größtenteils auch CCPA und Landesgesetze. Umgekehrt gilt das nicht immer: Die CCPA-Compliance genügt für die DSGVO möglicherweise nicht.
Löse ich den CCPA wirklich aus? Woher weiß ich, ob ich die Schwelle von 25 Mio. Dollar erreiche?
Du löst den CCPA aus, wenn EINE von drei Bedingungen zutrifft: 25 Mio. Dollar und mehr Jahresumsatz, Kauf, Verkauf oder Weitergabe von Daten von mehr als 100.000 Personen, oder mindestens 50 % des Umsatzes aus dem Verkauf von Daten. Die Schwelle von 25 Mio. Dollar ist eindeutig (Umsatz des letzten Jahres). Der Auslöser mit 100.000 und mehr ist kniffliger: Verarbeitet dein Analytics-Anbieter Daten von mehr als 100.000 Besuchern, kann das ihn auslösen (du gibst Daten weiter). Der Auslöser mit 50 % und mehr gilt, wenn der Datenverkauf dein Hauptgeschäft ist (selten). Bei den meisten mittelgroßen Unternehmen ist die Schwelle von 25 Mio. Dollar der Knackpunkt. Prüfe: War dein Umsatz im letzten Jahr über 25 Mio. Dollar? Wenn ja, gilt der CCPA.
Was zählt nach CCPA und DSGVO als personenbezogene Daten? Warum ist der CCPA weiter gefasst?
DSGVO: Identifiziert eine Person direkt (Name, E-Mail-Adresse) oder indirekt (IP-Adresse). CCPA: weiter gefasst. Er umfasst alles, was die DSGVO abdeckt, PLUS Schlussfolgerungen und Vorhersagen. Beispiel: fünf Besuche auf Shop-Seiten. DSGVO = personenbezogene Daten (Sitzungskennung). CCPA = personenbezogene Daten PLUS abgeleitete Vorliebe (Schluss, dass du gern einkaufst). Der CCPA umfasst Verhaltens- und Vorhersagedaten, die die DSGVO möglicherweise nicht erfasst. Für Analytics: Ein Seitenaufruf ist nach beiden personenbezogen. Eine Verhaltensableitung („interessiert an Luxusgütern“) ist sicher personenbezogene Daten nach dem CCPA, nach der DSGVO möglicherweise nicht. Wegen der Breite des CCPA lösen mehr Daten die Compliance aus. Für manche Unternehmen ist er deshalb schwerer zu erfüllen als die DSGVO.
Welche berechtigten Zwecke erlauben es mir, Daten bei einer Löschanfrage zu behalten?
Die Löschung nach dem CCPA hat Ausnahmen. Du darfst Daten behalten für: (1) Betrugserkennung und Sicherheit. (2) Rechtliche Pflichten (Steuern, Verträge, Rechtsstreitigkeiten). (3) Verbesserung von Produkten (nur anonymisiert oder zusammengefasst). (4) Interne Analysen (nur anonymisiert). (5) Erwartungen der Nutzer (wenn du versprochen hast, sie zu behalten). Für Analytics: Sicherheitsverletzung = behalten. Rechtliche Sperre = behalten. „Könnte später nützlich sein“ = löschen. Test: Könntest du es einer Behörde erklären, und es hielte stand? Wenn ja, behalte es. Wenn es nur spekulativ ist, lösche es.
Warum beträgt die Frist für den Widerspruch 15 Tage, die für die Auskunft aber 45 Tage?
Der Aufwand ist unterschiedlich. Der Widerspruch gegen den Verkauf von Daten ist einfach: Der Nutzer kommt auf eine Do-not-sell-Liste (eine Konfigurationsänderung, Arbeit von Tagen). 15 Werktage (3 Wochen) sind angemessen. Auskunftsanfragen sind schwerer: Du musst alle Daten aus allen Systemen abrufen, zusammenstellen, lesbar formatieren und liefern. Dafür fragst du mehrere Datenbanken ab, markierst sensible Daten und erstellst ein lesbares Dokument. 45 Tage (9 Wochen) sind für diese Arbeit realistisch. Das Gesetz berücksichtigt den Unterschied im Aufwand. Für Analytics: Der Widerspruch dauert 2 bis 3 Tage (auf die Sperrliste setzen). Eine Auskunftsanfrage dauert 30 Tage und mehr (Daten aus Analytics, CRM, Support und so weiter zusammenziehen).
Das Klagerecht liegt bei 100 bis 750 Dollar pro Person. Wie wird das berechnet?
Gesetzlicher Schadenersatz: ein fester Betrag pro Person und Vorfall, unabhängig vom tatsächlichen Schaden. Beispiel: Eine Datenpanne betrifft 10.000 Personen. 10.000 × 100 Dollar Minimum = 1 Mio. Dollar gesetzlicher Schadenersatz. Bei 750 Dollar pro Person sind es 7,5 Mio. Dollar. Der Beklagte einigt sich irgendwo dazwischen. „Pro Vorfall“ heißt: eine Datenpanne = ein Vorfall (nicht 10.000). Mehrere Pannen summieren den Schadenersatz. In der Praxis kostet eine Panne mit 10.000 Betroffenen leicht 1 bis 10 Mio. Dollar gesetzlichen Schadenersatz plus Anwaltskosten. Beklagte einigen sich bei Sammelklagen auf 50 bis 70 % des geforderten gesetzlichen Schadenersatzes. Deshalb ist Vorbeugung entscheidend: Der gesetzliche Schadenersatz fällt automatisch an, sobald die Panne nachgewiesen ist.
Soll ich bei mehreren Bundesstaaten Regeln pro Staat umsetzen oder den DSGVO-Standard nutzen?
Nutze den DSGVO-Standard für alle. Die DSGVO ist strenger als alle US-Landesgesetze. Bist du DSGVO-konform, übertriffst du automatisch die meisten Landesanforderungen. Regeln pro Staat sind im Betrieb komplex (andere Banner, Fristen und Widerspruchswege pro Staat). Der DSGVO-Standard ist einfacher: ein Regelwerk für alle Staaten. Ausnahme: Bedienst du nur einen oder zwei Staaten, optimiere für diese. Bei fünf und mehr oder allen 50 Staaten ist der DSGVO-Standard einfacher. Die Strategie: nach der DSGVO bauen, eine Kalifornien-spezifische Oberfläche ergänzen (Link zum Widerspruch) und Analytics so konfigurieren, als gälte die DSGVO für alle Staaten. Du erfüllst dann für die meisten Staaten mehr als nötig. Das ist sicherer als zu wenig.