Häufig gestellte Fragen zum CCPA und CPRA

Übersicht

Hier erfährst du mehr über häufig gestellte Fragen zur CCPA (California Consumer Privacy Act) und zur CPRA (California Privacy Rights Act).

Was ist der CCPA?

Die CCPA ist ein Gesetz, das am 1.1.2020 in Kraft getreten ist und regelt, wie Unternehmen mit den personenbezogenen Daten von Einwohner*innen Kaliforniens umgehen.

Der CCPA ist eine Reaktion auf eine wahrgenommene Lücke beim Datenschutz in den USA. Unternehmen, die die personenbezogenen Daten von Einwohner*innen Kaliforniens verarbeiten, müssen Einwohner*innen über die Datenschutzpraktiken des Unternehmens und die Datenschutzrechte der Einwohner*innen informieren, einschließlich des Rechts, Folgendes zu tun:

• Wissen über die personenbezogenen Daten, die ein Unternehmen über sie sammelt, und wie diese verwendet werden
• Die erfassten personenbezogenen Daten löschen (mit einigen Ausnahmen)
• Den Verkauf ihrer personenbezogenen Daten ablehnen
• Keine Benachteiligung aufgrund der Ausübung ihrer CCPA-Rechte

Was ist die CPRA?

Der CPRA ist ein Gesetz, das die Anforderungen des CCPA ändert und erweitert, einschließlich:

• Hinzufügen einer Kategorie „sensible personenbezogene Informationen“
• Festlegung des Rechts, die Nutzung und Offenlegung sensibler personenbezogener Daten einzuschränken
• Festlegung des Rechts auf Berichtigung unrichtiger personenbezogener Daten
• Erweiterung der Opt-out-Anforderung „Nicht verkaufen“ auf das „Teilen“ personenbezogener Daten zu Zwecken der kontextübergreifenden (oder Drittanbieter-)Werbung

Der CPRA tritt am 1.1.2023 in Kraft.

Wer muss den CCPA und den CPRA einhalten?

Unternehmen

Die meisten CCPA- und CPRA-Anforderungen gelten für „Unternehmen“, definiert als Firmen, die personenbezogene Daten von Verbraucher*innen in Kalifornien entweder selbst oder über Anbieter erfassen.

Der CCPA gilt für Unternehmen, die eine der folgenden Bedingungen erfüllen:

• Verarbeitet die personenbezogenen Daten von Einwohner*innen Kaliforniens
• Ist „Geschäfte tätigen“ in Kalifornien (einschließlich der Interaktion mit Personen in Kalifornien über eine E-Commerce- oder interaktive Website oder Anwendung)
• Erfüllt einen oder mehrere der folgenden Schwellenwerte:
  • Hat einen jährlichen Bruttoumsatz von mehr als 25 Millionen $
  • Kauft, erhält oder verkauft jährlich personenbezogene Daten von 50.000 oder mehr Einwohner*innen Kaliforniens, Haushalten oder Geräten
  • Erzielt 50 % oder mehr seiner jährlichen Einnahmen durch das „Verkaufen“ personenbezogener Daten von kalifornischen Einwohner*innen (d. h. Verkaufen umfasst das Offenlegen, Bereitstellen, Übertragen oder Kommunizieren personenbezogener Daten an Dritte gegen Geld oder eine andere wertvolle Gegenleistung)

Der CPRA ändert diese Anwendbarkeit wie folgt:

• Erfüllt einen oder mehrere der folgenden Schwellenwerte:
  • Hatte letztes Jahrjährliche Bruttoeinnahmen von mehr als 25 Millionen $
  • Kauft, verkauft oder teilt jährlich personenbezogene Daten von 100.000 oder mehr Einwohner*innen oder Haushalten in Kalifornien
  • Erzielt 50 % oder mehr der jährlichen Einnahmen aus dem Verkauf oder der Weitergabe personenbezogener Daten von Einwohner*innen Kaliforniens (Weitergabe umfasst das Offenlegen, Zurverfügungstellen, Übertragen oder Kommunizieren personenbezogener Daten an Dritte für verhaltensbasierte Werbung über verschiedene Kontexte hinweg, unabhängig davon, ob dies gegen Geld oder eine andere wertvolle Gegenleistung erfolgt.)

Dienstleister*innen und Auftragnehmer*innen

Um als Dienstleister*in zu gelten, muss eine natürliche oder juristische Person:

• Persönliche Daten im Auftrag eines Unternehmens verarbeiten
• Durch einen schriftlichen Vertrag gebunden sein, der bestimmte Einschränkungen und Verpflichtungen für die Nutzung personenbezogener Informationen auferlegt, unter anderem, dass du Folgendes nicht weiter:
  • Einholen
  • Verkauf
  • Verwenden personenbezogener Daten, außer wenn dies zur Erfüllung des Geschäftszwecks erforderlich ist

Ähnlich wie bei Dienstleister*innen gilt die Ausnahme für einen Verkauf oder eine Weitergabe auch für Auftragnehmer*innen gemäß CPRA. Auftragnehmer*innen sind Personen oder Unternehmen, denen von einem Unternehmen personenbezogene Daten auf Grundlage eines schriftlichen Vertrags zur Verfügung gestellt werden, der ähnliche Beschränkungen und Pflichten vorsieht wie für eine*n Dienstleister*in. Auftragnehmer*innen müssen außerdem eine Bescheinigung haben, dass die Auftragnehmer*innen die Beschränkungen verstehen und diese einhalten werden.

Beachte, dass die Offenlegung von Daten durch ein Unternehmen gegenüber einem Dienstleister oder Auftragnehmer nicht als Verkauf oder Weitergabe gilt, wenn sie erforderlich ist, um einen Geschäftszweck zu erfüllen.

Was wird als persönliche Einhaltung eingestuft?

Der CCPA definiert personenbezogene Daten sehr weit, sodass darunter Informationen fallen, die eine bestimmte Verbraucher*in oder einen Haushalt identifizieren oder beschreiben oder vernünftigerweise damit in Verbindung gebracht werden können. In der Praxis bedeutet diese weit gefasste Definition, dass Informationen wie Kontaktdaten, Transaktionsdaten, IP-Adressen, Kennungen von Mobilgeräten, Clickstream-Daten und Bestelldetails unter die Definition personenbezogener Daten des CCPA fallen und den Anforderungen des CCPA unterliegen können.

Der CPRA schafft eine neue Kategorie personenbezogener Daten, „sensible personenbezogene Daten“, und gibt Verbraucher*innen ein neues Recht, die Verwendung und Offenlegung ihrer sensiblen Daten zu beschränken.

Zu den sensiblen personenbezogenen Informationen gemäß CPRA gehören:

• Sozialversicherungsnummer
• Führerscheinnummer
• Passnummer
• Konto-Zugangsdaten
• Präzise Standortbestimmung
• Rassische oder ethnische Herkunft
• Religiöse Überzeugungen
• Biometrische Daten
• Genetische Daten
• Gesundheitsdaten
• Informationen über das Sexualleben oder die sexuelle Orientierung einer Verbraucher*in
• Der Inhalt der Post, E-Mails und Textnachrichten einer Verbraucher*in, sofern das Unternehmen nicht die beabsichtigte Empfängerin der Kommunikation ist

Was muss ich tun, um mich vorzubereiten?

CCPA und CPRA sind komplexe Gesetze. Dieser Artikel beschreibt die wichtigsten Pflichten gemäß CCPA und CPRA, soweit sie für die Nutzung des Klaviyo Service relevant sind, berücksichtigt jedoch nicht alle Anforderungen, die für dein Unternehmen gelten können. Bitte wende dich an deine Rechtsberatung, um spezifischen Rat zu erhalten.

Wenn der CCPA und der CPRA auf dein Unternehmen anwendbar sind, solltest du die folgenden Rechte und Offenlegungen berücksichtigen.

Hinweis

Dein Unternehmen muss eine Datenschutzerklärung auf deiner Website haben, die an allen Stellen zugänglich ist, an denen du personenbezogene Daten erhebst, z. B. im Anmeldeformular. Die Richtlinie sollte unter anderem Folgendes beinhalten:

• Kategorien personenbezogener Informationen, die das Unternehmen erhebt, verkauft und anderweitig zu Geschäftszwecken offenlegt
• Kategorien von Quellen der personenbezogenen Daten
• Geschäftliche oder kommerzielle Zwecke für die Erhebung oder den Verkauf von personenbezogenen Daten
• Beschreibung der folgenden Rechte von Verbraucher*innen und der vorgesehenen Methoden zur Einreichung von Anfragen:
  • Das Recht auf Löschung personenbezogener Daten
  • Das Recht auf Zugriff auf Kategorien und bestimmte Teile personenbezogener Informationen
  • Das Recht, dem Verkauf oder der Weitergabe personenbezogener Daten zu widersprechen
  • Das Recht auf Nichtvergeltung

Der CPRA erweitert diese Liste der Rechte von Verbraucher*innen um Folgendes:

• Das Recht, unrichtige Daten zu korrigieren
• Das Recht, die Nutzung und Offenlegung sensibler personenbezogener Daten einzuschränken
• Das Recht, sich von automatisierter Entscheidungsfindungstechnologie abzumelden

Der CPRA verlangt außerdem, dass Unternehmen die folgenden zusätzlichen Offenlegungen aufnehmen:

• Ob die personenbezogenen Informationen der Person verkauft oder weitergegeben werden
• Die Dauer, für die das Unternehmen beabsichtigt, jede Kategorie personenbezogener Daten aufzubewahren, oder die Kriterien, anhand derer es bestimmt, wie lange es diese Informationen aufbewahren wird
• Wenn das Unternehmen „sensible personenbezogene Daten“ erhebt:
  • Eine separate Offenlegung, die die Kategorien sensibler Informationen identifiziert, die erfasst werden
  • Die Verwendung und den Zweck dieser Daten
  • Ob solche Informationen verkauft oder geteilt werden

Opt-out-Rechte

Verbraucher*innen haben jederzeit das Recht, dem Verkauf ihrer personenbezogenen Daten an Dritte zu widersprechen. Dein Unternehmen muss den Verkauf personenbezogener Informationen nach Eingang der Anfrage einstellen, sofern keine nachfolgende ausdrückliche Autorisierung durch die/den Verbraucher*in erteilt wird. Unternehmen müssen mindestens 12 Monate warten, bevor sie Verbraucher*innen bitten, dem Verkauf personenbezogener Daten erneut zuzustimmen. Um dieses Widerspruchsrecht zu ermöglichen, müssen Unternehmen unter anderem:

• Stelle auf der Startseite des Unternehmens einen klaren und gut sichtbaren Link bereit, der „Meine personenbezogenen Daten nicht verkaufen“ heißt. Der Link sollte es Verbraucher*innen oder einer von Verbraucher*innen autorisierten Person ermöglichen, dem Verkauf der personenbezogenen Daten der Verbraucher*innen zu widersprechen.
• Keine*n Verbraucher*in dazu verpflichten, ein Konto zu erstellen, um das Unternehmen anzuweisen, die personenbezogenen Daten der*s Verbraucher*in nicht zu verkaufen.

Verbraucher*innen haben außerdem jederzeit das Recht, dem Verkauf ihrer personenbezogenen Daten durch eine Drittpartei zu widersprechen, die die personenbezogenen Daten der Verbraucher*innen von einem Unternehmen gekauft hat. Die Drittpartei muss den Verkauf nach Eingang des Widerspruchsantrags einstellen, sofern Verbraucher*innen nicht anschließend eine ausdrückliche Autorisierung erteilen.

Andere Verbraucher*innenrechte

Unternehmen müssen Prozesse zur Überprüfung der Identität einer in Kalifornien ansässigen Person haben, wenn sie auf Anfragen zum Zugriff auf oder zum Löschen von personenbezogenen Daten reagieren. Sobald eine Anfrage von einer in Kalifornien ansässigen Person eingegangen ist und ihre Identität bestätigt wurde, stelle sicher, dass du beim Abschluss der Anfrage (falls zutreffend) Folgendes angibst, um ihre Rechte zu wahren.

Recht auf Auskunft: Verbraucher*innen können verlangen, dass das Unternehmen seine Erhebung und Verarbeitung ihrer personenbezogenen Daten offenlegt, einschließlich:

• Kategorien personenbezogener Daten, die über diese*n Verbraucher*in erhoben wurden (in den vorangegangenen 12 Monaten)
• Kategorien von Quellen, aus denen die personenbezogenen Daten erhoben werden
• Geschäftlicher oder kommerzieller Zweck für das Sammeln oder Verkaufen personenbezogener Informationen
• Kategorien von Drittanbieter*innen, an die das Unternehmen personenbezogene Daten weitergegeben hat
• Kategorien von Informationen, die das Unternehmen an Dritte verkauft oder weitergibt
• Bestimmte personenbezogene Informationen, die über diese*n Verbraucher*in erfasst wurden

Der CPRA ändert und erweitert dieses Recht, sodass Folgendes erforderlich ist:

• Bereitstellung von Informationen zu den Kategorien personenbezogener Informationen, die an Dritte „weitergegeben“ werden
• Aufhebung der 12-monatigen Rückblickbegrenzung, indem ein Unternehmen verpflichtet wird, mehr als 12 Monate an Informationen bereitzustellen, solange eine solche Offenlegung nicht „unmöglich“ ist oder „einen unverhältnismäßigen Aufwand“ erfordert (diese Anforderung gilt nicht für Daten, die das Unternehmen vor dem 1.1.2022 erhoben hat)

Recht auf Löschung: Das Unternehmen muss die Informationen der Verbraucher*innen (vorbehaltlich bestimmter Ausnahmen) löschen und seine Dienstleister darüber informieren, dass sie die Informationen der Verbraucher*innen löschen müssen. Gemäß CPRA muss das Unternehmen seine Dienstleister und Auftragnehmer benachrichtigen und außerdem alle Drittparteien benachrichtigen, an die das Unternehmen die personenbezogenen Daten der Verbraucher*innen verkauft oder weitergegeben hat (für kontextübergreifende Werbezwecke), es sei denn, dies „erweist sich als unmöglich oder erfordert unverhältnismäßigen Aufwand.“ Außerdem muss jeder Dienstleister auch seine eigenen nachgelagerten Dienstleister darüber informieren, dass sie die Informationen der Verbraucher*innen löschen müssen.

Recht auf Berichtigung unrichtiger personenbezogener Daten: Sobald ein Unternehmen einen verifizierten Antrag auf Berichtigung unrichtiger personenbezogener Daten erhält, muss das Unternehmen „wirtschaftlich angemessene Anstrengungen“ unternehmen, um diese personenbezogenen Daten wie von der Verbraucher*in angewiesen zu berichtigen. Zusätzliche Leitlinien zu dieser Verpflichtung werden von der Generalstaatsanwält*in von Kalifornien erwartet.

Beachte außerdem, dass, wenn die Verbraucher*in unter 13 Jahre alt ist, die ausdrückliche Einwilligung (Opt-in) eines Elternteils oder einer*s Erziehungsberechtigten erforderlich ist, bevor ihre personenbezogenen Daten verkauft werden. Wenn die Verbraucher*in zwischen 13 und 16 Jahre alt ist, ist die ausdrückliche Einwilligung der Person erforderlich, bevor ihre personenbezogenen Daten verkauft werden.

Verbraucher*innenanfragen erfüllen

Du musst mindestens 2 festgelegte Methoden haben, über die Verbraucher*innen Auskunftsanfragen einreichen können.

Diese sollten mindestens Folgendes enthalten:

• Eine gebührenfreie Telefonnummer (bestimmte Unternehmen, die ausschließlich online tätig sind und eine direkte Beziehung zu den Verbraucher*innen haben, von denen sie personenbezogene Daten erheben, sind von der Anforderung einer gebührenfreien Telefonnummer ausgenommen)
• Webadresse, falls das Unternehmen eine Website hat

Verbraucher*innenanfragen müssen innerhalb von 45 Tagen nach Eingang der Anfrage per Post oder elektronisch (in einem Format, das es der Verbraucher*in ermöglicht, sie an eine andere Stelle weiterzugeben) oder über ein Benutzerkonto beantwortet werden. Die Antwortfrist kann um weitere 45 Tage verlängert werden, wenn dies aufgrund der Komplexität und der Anzahl der Anfragen vernünftigerweise erforderlich ist und die anfragende Person über die Verlängerung benachrichtigt wird (mit Angabe der Gründe). Der Anfrageprozess muss außerdem kostenlos sein.

Unternehmen sind nicht verpflichtet, innerhalb eines Zeitraums von 12 Monaten mehr als zwei Anfragen pro Verbraucher*in zu bearbeiten.

Welche Rolle spielt Klaviyo im Rahmen von CCPA und CPRA in Bezug auf den Klaviyo Service?

Klaviyo hat keine direkte Beziehung zu den Personen, deren personenbezogene Daten von unseren Kund*innen erfasst und auf unserer Plattform gespeichert werden. Klaviyo fungiert als Dienstleister, während unsere Kund*innen die Unternehmen sind, da wir die personenbezogenen Daten im Auftrag unserer Kund*innen verarbeiten.

Klaviyo Verpflichtungen gegenüber Kund*innen als Dienstleister sind in unserer Datenverarbeitungsvereinbarung festgelegt.

Was unternimmt Klaviyo, um Kund*innen bei der Einhaltung zu unterstützen?

Klaviyo Kund*innen verfügen über die Möglichkeit und die Tools, um Anfragen von Einwohner*innen Kaliforniens zu erfüllen, die ihre Verbraucher*innenrechte gemäß CCPA und CPRA ausüben möchten, um auf personenbezogene Daten zuzugreifen, sie zu löschen oder zu korrigieren. Konkret:

• Die Plattform ermöglicht es Kund*innen,Berichte über die persönlichen Informationen zu erstellen, die sie über Endbenutzer*innen als Antwort auf Zugriffsanfragen speichert.
• Die Plattform ermöglicht die Löschung personenbezogener Daten, die sie über Endnutzer*innen speichert, als Reaktion auf Löschanfragen, sowie die Korrektur ungenauer personenbezogener Daten in Profilen in Klaviyo.
• Klaviyo unterstützt nicht und schränkt die Erfassung und Speicherung sensibler personenbezogener Daten gemäß unserer Richtlinie zur akzeptablen Nutzung. ein.

Weitere Ressourcen