CCPA, CPRA & CIPA: Datenschutz für Shopify-Shops in Kalifornien

Was sind CCPA, CPRA und CIPA?

In Kalifornien gibt es zwei Arten von Datenschutzgesetzen, die einen Onlineshop betreffen.

California Consumer Privacy Act (CCPA): Der CCPA gilt seit dem 1. Januar 2020 und gibt Einwohnern Kaliforniens Rechte an den personenbezogenen Informationen, die Unternehmen über sie erheben:

• Recht auf Auskunft: Erfahren, welche personenbezogenen Informationen erhoben, verwendet, verkauft oder weitergegeben werden.
• Recht auf Löschung: Ein Unternehmen auffordern, ihre personenbezogenen Informationen zu löschen.
• Recht auf Opt-out: Dem Verkauf oder der Weitergabe ihrer personenbezogenen Informationen widersprechen, auch der Weitergabe für kontextübergreifende verhaltensbasierte Werbung.
• Recht auf Nichtdiskriminierung: Diese Rechte ausüben, ohne dafür anders behandelt zu werden.

California Privacy Rights Act (CPRA): Der CPRA hat den CCPA mit Wirkung zum 1. Januar 2023 geändert. Er ergänzte das Recht auf Berichtigung unrichtiger Informationen und das Recht, die Verwendung sensibler personenbezogener Informationen einzuschränken, und schuf die California Privacy Protection Agency, die das Gesetz durchsetzt. Unternehmen müssen außerdem Opt-out-Präferenzsignale wie Global Privacy Control (GPC) als gültigen Opt-out-Antrag beachten.

California Invasion of Privacy Act (CIPA): Der CIPA ist ein Gesetz von 1967 im kalifornischen Strafgesetzbuch (Section 630 ff.), das Abhören und Lauschangriffe verhindern sollte. Gerichte und Kläger wenden es heute auf Websites an. Sein Abschnitt zum Abhören verlangt die Einwilligung aller Beteiligten einer Kommunikation, und Klagen argumentieren, dass Chat-Widgets, Session-Replay-Tools und Werbepixel Dritten erlauben, die Interaktion eines Besuchers mit einem Shop „mitzuhören“. Da der CIPA gesetzlichen Schadensersatz von 5.000 $ pro Verstoß vorsieht, ist er zu einer der häufigsten Grundlagen für Datenschutzklagen und Abmahnschreiben gegen Onlineunternehmen geworden.

Was passiert, wenn ich CCPA, CPRA und CIPA nicht einhalte?

Die Folgen unterscheiden sich zwischen den beiden Gesetzen:

• Bußgelder nach CCPA und CPRA: Bis zu 2.663 $ pro Verstoß oder 7.988 $ pro vorsätzlichem Verstoß oder Verstoß, der Verbraucher unter 16 Jahren betrifft (Beträge angepasst ab dem 1. Januar 2025). Die California Privacy Protection Agency und der Attorney General setzen das Gesetz gemeinsam durch.
• Klagen nach Datenpannen gemäß CCPA: Verbraucher können nach bestimmten Datenpannen auf 107 $ bis 799 $ pro Verbraucher und Vorfall klagen, oder auf den tatsächlichen Schaden, wenn dieser höher ist.
• Klagen nach dem CIPA: Einzelpersonen können auf 5.000 $ pro Verstoß oder das Dreifache des tatsächlichen Schadens klagen. Die meisten Klagen werden als Sammelklagen eingereicht, sodass das Risiko mit der Zahl der Besucher wächst.
• CIPA-Klagen wegen Pen Registers: Ab dem 1. Januar 2027 kann nur noch der Attorney General Klagen nach Section 638.51 wegen Tracking auf Websites und in Apps erheben, keine privaten Kläger mehr. Klagen wegen Abhörens nach Section 631, etwa wegen Chat- oder Session-Replay-Tools, sind davon nicht betroffen.

CCPA, CPRA und CIPA einhalten

Für einen Shopify-Shop geht es vor allem darum, die Cookies, Pixel und Skripte zu kontrollieren, die auf Ihrer Website laufen:

• Bieten Sie ein klares Opt-out an. Fügen Sie einen Link „Do not sell or share my personal information“ hinzu und sorgen Sie dafür, dass Werbe-Tags keine Daten mehr weitergeben, sobald ein Besucher widerspricht.
• Beachten Sie Global Privacy Control. Behandeln Sie ein GPC-Signal aus dem Browser des Besuchers als Widerspruch gegen Verkauf und Weitergabe.
• Holen Sie die Einwilligung ein, bevor ein Tracking startet. Beim CIPA kommt es auf die Einwilligung an, daher ist Opt-in für Besucher aus Kalifornien der sicherste Weg: Blockieren Sie Analyse-Tools, Werbepixel, Session-Replay- und Chat-Tools, die Daten an Dritte senden, bis der Besucher zustimmt.
• Bewahren Sie Einwilligungsnachweise auf. Aufzeichnungen darüber, wann und wie jeder Besucher eingewilligt hat, sind Ihr bester Beweis, falls Sie ein CIPA-Abmahnschreiben erhalten.
• Aktualisieren Sie Ihre Datenschutzerklärung. Erklären Sie, was Sie erheben, warum, wer die Daten erhält und wie Verbraucher ihre Rechte ausüben können.
• Bearbeiten Sie Verbraucheranfragen. Beantworten Sie Anträge auf Auskunft, Löschung und Berichtigung innerhalb von 45 Tagen.

Eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance deckt diese Schritte in Ihrem Shop ab. Sie bietet ein Cookie-Banner mit einem Link „Do not sell or share my personal information“ und Unterstützung für Global Privacy Control, und Sie können für Besucher aus Kalifornien eine Opt-in-Einwilligung verlangen, sodass Analyse-, Pixel- und Session-Replay-Skripte blockiert bleiben, bis sie zustimmen. Sie scannt und kategorisiert Ihre Cookies automatisch, erstellt eine Cookie-Erklärung, führt Einwilligungsprotokolle mit Zeitstempel und Auswahl als Einwilligungsnachweis und hilft Ihnen, Anfragen von Betroffenen zu bearbeiten.

Die Rechtsprechung zum CIPA ändert sich schnell. Lassen Sie Ihre Einrichtung daher gegebenenfalls rechtlich prüfen.