CCPA und CPRA: Die Unterschiede im Überblick

Der California Consumer Privacy Act (CCPA) und der California Privacy Rights Act (CPRA) sind wegweisende Datenschutzgesetze, die den Schutz personenbezogener Daten der Verbraucher in Kalifornien stärken. Für Unternehmen, auch für Betreiber von Shopify-Shops, ist es wichtig, die Unterschiede zwischen beiden Gesetzen zu kennen, um die Einhaltung sicherzustellen und das Vertrauen der Verbraucher zu bewahren.

Überblick über CCPA und CPRA

• CCPA: 2018 verabschiedet und seit dem 1. Januar 2020 in Kraft, gewährt der CCPA kalifornischen Verbrauchern Rechte an ihren personenbezogenen Daten, darunter das Recht auf Auskunft, auf Löschung und auf Widerspruch gegen den Verkauf ihrer Daten.
• CPRA: Im November 2020 von den Wählern angenommen und seit dem 1. Januar 2023 in Kraft, ändert und erweitert der CPRA den CCPA. Er führt neue Verbraucherrechte ein und richtet die California Privacy Protection Agency (CPPA) zur Durchsetzung ein.

Zentrale Unterschiede zwischen CCPA und CPRA

Erweiterte Verbraucherrechte

• Recht auf Berichtigung: Nach dem CPRA können Verbraucher von Unternehmen verlangen, unrichtige personenbezogene Daten zu berichtigen.
• Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten: Verbraucher können die Nutzung sensibler personenbezogener Daten einschränken, etwa Angaben zu ethnischer Herkunft, Gesundheit oder präziser Geolokalisierung, insbesondere wenn diese für Werbung verwendet werden.
• Recht auf Auskunft über automatisierte Entscheidungsfindung: Der CPRA erlaubt Verbrauchern, die bei der Profilbildung eingesetzte automatisierte Entscheidungstechnik zu verstehen und ihr zu widersprechen.

Neue Kategorie: Sensible personenbezogene Daten

Der CPRA führt „sensible personenbezogene Daten“ als eigene Kategorie ein. Dazu gehören Daten wie Sozialversicherungsnummern, Finanzinformationen und präzise Geolokalisierung. Unternehmen müssen für diese Datenarten zusätzlichen Schutz bieten.

Veränderte Schwellenwerte für die Anwendbarkeit

Der CPRA passt die Kriterien an, nach denen sich bestimmt, welche Unternehmen die Vorgaben einhalten müssen:

• Umfang der Datenverarbeitung: Die Schwelle für Unternehmen, die personenbezogene Daten kaufen, verkaufen oder weitergeben, steigt von 50.000 auf 100.000 Verbraucher oder Haushalte.
• Erlöse aus der Datenweitergabe: Der CPRA erfasst auch Unternehmen, die 50 % oder mehr ihrer Jahresumsätze aus der Weitergabe (nicht nur dem Verkauf) personenbezogener Daten von Verbrauchern erzielen.

Gründung der California Privacy Protection Agency (CPPA)

Der CPRA schafft die CPPA, eine eigens eingerichtete Behörde, die für die Durchsetzung der kalifornischen Datenschutzgesetze, für Prüfungen sowie für die Beratung von Unternehmen und Verbrauchern zuständig ist.

Auswirkungen für Unternehmen

Unternehmen, auch Betreiber von Shopify-Shops, sollten Folgendes beachten:

• Compliance-Pflichten: Durch den erweiterten Anwendungsbereich des CPRA müssen Unternehmen möglicherweise ihre Datenverarbeitung, ihre Datenschutzerklärungen und ihre Verfahren zur Verwaltung von Verbraucherrechten anpassen.
• Datenkartierung und Bestandsaufnahme: Das Identifizieren und Kategorisieren sensibler personenbezogener Daten ist entscheidend, um die Anforderungen des CPRA zu erfüllen.
• Verwaltung von Verbraucherrechten: Mechanismen für die neuen Verbraucherrechte, etwa für die Berichtigung und die Einschränkung der Nutzung sensibler Informationen, sind unerlässlich.

Mit Werkzeugen wie Pandectes können Unternehmen sich in den komplexen und sich wandelnden Datenschutzvorschriften zurechtfinden, ihre rechtlichen Pflichten erfüllen und das Vertrauen der Verbraucher stärken.