Der CCPA ist das Datenschutzgesetz für die Vereinigten Staaten. Wenn dein Unternehmen irgendwo in den USA tätig ist, hast du wahrscheinlich Besucher aus Kalifornien. Wenn du ihre Daten über Formulare erfasst, gilt der CCPA. Aber der CCPA ist nicht das einzige Datenschutzgesetz. Mehr als ein Dutzend US-Bundesstaaten haben inzwischen ähnliche Datenschutzvorschriften, und neue kommen hinzu.
Der CCPA und andere Datenschutzgesetze der Bundesstaaten sind das US-Gegenstück zur DSGVO in Europa. Zu verstehen, welche Datenschutzgesetze für deine Formulare gelten und was jedes verlangt, ist entscheidend, um in den verschiedenen US-Regionen rechtskonform zu bleiben.
Das lernst du hier: Was der CCPA ist und wie er sich von der DSGVO unterscheidet, welche anderen US-Bundesstaaten Datenschutzgesetze haben, was diese Gesetze von Formularen verlangen, wie du erkennst, welche Gesetze für dein Unternehmen gelten, und wie du Formulare baust, die mehrere Vorschriften gleichzeitig erfüllen.
Was ist der CCPA?
Der CCPA (California Consumer Privacy Act) ist ein Datenschutzgesetz, das für gewinnorientierte Unternehmen gilt, die personenbezogene Daten von Einwohnern Kaliforniens erfassen. Er trat am 1. Januar 2020 in Kraft und wurde seitdem durch zusätzliche Vorschriften verschärft.
Der CCPA gilt für deine Formulare, wenn:
- Dein Unternehmen Daten von Menschen in Kalifornien erfasst
- Du einen Jahresumsatz von mehr als 25 Millionen Dollar erzielst, oder
- Du Daten von 100.000 oder mehr Einwohnern (oder Haushalten) erfasst, oder
- Du Verbraucherdaten als Geschäftspraxis verkaufst
Auch kleine Unternehmen erreichen diese Schwellen oft, ohne es zu merken. Wenn du ein Kontaktformular hast und Informationen von ein paar hundert Einwohnern Kaliforniens erfasst hast, bist du wahrscheinlich betroffen.
Die wichtigsten CCPA-Anforderungen an Formulare
Offenlegung in einer Datenschutzerklärung
Du musst eine Datenschutzerklärung bereitstellen, die Besuchern aus Kalifornien Folgendes sagt:
- Welche Kategorien personenbezogener Daten du erfasst (Name, E-Mail, Kaufhistorie usw.)
- Warum du sie erfasst (um Anfragen zu beantworten, Leistungen zu erbringen, für Marketing)
- Woher die Daten stammen (direkt vom Verbraucher über ein Formular, von Dritten, aus Analysen)
- Wie lange du sie aufbewahrst
- An wen du sie weitergibst (Dienstleister, andere Unternehmen usw.)
Die Datenschutzerklärung muss leicht zu finden sein. Ein Link in der Fusszeile oder eine versteckte Richtlinienseite reicht nicht aus. Platziere sie dort, wo Besucher sie sehen, bevor sie dein Formular ausfüllen.
Das Recht auf Auskunft
Einwohner Kaliforniens können verlangen zu erfahren, welche personenbezogenen Daten du über sie erfasst hast. Du musst diese Informationen innerhalb von 45 Tagen bereitstellen können. Das heisst, du brauchst Systeme, die nachverfolgen, welche Daten du zu jeder Person hast, und einen Prozess, um auf diese Anfragen zu reagieren.
Das Recht auf Löschung
Einwohner Kaliforniens können dich auffordern, ihre personenbezogenen Daten zu löschen. Du musst dem nachkommen, es sei denn, du hast einen rechtlichen Grund, sie zu behalten (etwa Steuerunterlagen oder Betrugsprävention). Das gilt für alle Formulareinsendungen und Kundendaten, die du zu ihnen hast.
Das Recht, dem Verkauf zu widersprechen
Wenn du personenbezogene Daten an andere Unternehmen verkaufst (auch wenn du es nicht als "Verkaufen" ansiehst), können Einwohner Kaliforniens widersprechen. Nach dem CCPA umfasst "Verkaufen" auch die Weitergabe von Daten an Dritte gegen Geld, Leistungen oder andere wertvolle Vorteile. Du musst auf deiner Website einen Link "Do Not Sell My Personal Information" (Meine persönlichen Daten nicht verkaufen) bereitstellen.
Das Recht auf Berichtigung
Verbraucher können verlangen, dass du ungenaue personenbezogene Daten über sie berichtigst. Du musst nicht alles ändern, was sie verlangen, aber du musst einen Prozess haben, um diese Anfragen zu prüfen und zu beantworten.
Keine Diskriminierung
Du darfst niemanden dafür benachteiligen, dass er seine CCPA-Rechte ausübt. Wenn jemand verlangt, dass seine Daten gelöscht werden, darfst du ihm weder deine Leistungen verweigern noch ihm mehr dafür berechnen.
CCPA und DSGVO: die wichtigsten Unterschiede
CCPA und DSGVO schützen beide personenbezogene Daten, unterscheiden sich aber in wichtigen Punkten:
| Merkmal | DSGVO | CCPA | |-|-|-| | Gilt für | Daten von EU-Einwohnern, von jedem Unternehmen | Daten von Einwohnern Kaliforniens, von grösseren Unternehmen | | Einwilligung | Ausdrückliches Opt-in erforderlich (ausser bei notwendigen Daten) | Opt-out-Modell (Daten werden erfasst, solange man nicht widerspricht) | | Recht auf Vergessenwerden | Ja | Ja, aber mit mehr Ausnahmen | | Bussgelder | Bis zu 20 Millionen Euro oder 4 % des Umsatzes | Bis zu 2.500 pro Verstoss, bis zu 7.500 pro vorsätzlichem Verstoss | | Datenverkauf | Ohne Einwilligung nicht erlaubt | Erlaubt, solange der Verbraucher nicht widerspricht |Der entscheidende Unterschied: Die DSGVO verlangt, dass du um Erlaubnis fragst, bevor du Daten erfasst. Der CCPA verlangt, dass du Menschen sagst, dass sie widersprechen können.
Andere Datenschutzgesetze der US-Bundesstaaten
Mehr als ein Dutzend weitere Bundesstaaten haben Datenschutzgesetze verabschiedet, die dem CCPA ähneln. Hier sind die wichtigsten:
Virginia (VCDPA)
Der Virginia Consumer Data Protection Act gilt für gewinnorientierte Unternehmen, die personenbezogene Daten von Einwohnern Virginias verarbeiten. Er verlangt Verbraucherrechte auf Datenzugang, Löschung, Berichtigung und Widerspruch gegen Verkäufe.
Colorado (CPA)
Der Colorado Privacy Act gilt für Unternehmen, die Daten von Einwohnern Colorados verarbeiten. Ähnlich wie der CCPA, aber mit einigen Unterschieden bei Geltungsbereich und Durchsetzung.
Connecticut (CTDPA)
Der Connecticut Data Privacy Act, in Kraft seit Juli 2024. Ähnliche Verbraucherrechte wie CCPA und VCDPA.
Utah (UCPA)
Der Utah Consumer Privacy Act ist deutlich weniger streng als die anderen, verlangt aber trotzdem Widerspruchsrechte für Verbraucher.
Montana, Delaware, Iowa und weitere
Weitere Bundesstaaten haben Datenschutzgesetze verabschiedet oder prüfen sie. Die meisten folgen dem CCPA-Modell mit Widerspruchsrechten für Verbraucher, mit einigen Abweichungen bei den Anforderungen.
So erkennst du, welche Gesetze für deine Formulare gelten
So findest du heraus, welche Datenschutzgesetze du einhalten musst:
- Finde heraus, woher deine Besucher kommen. Nutze Analysen, um zu sehen, welche Bundesstaaten und Regionen vertreten sind.
- Schlage das Gesetz für jede Region nach. Bei US-Bundesstaaten prüfe die Website des Generalstaatsanwalts des Staates. Bei anderen Ländern recherchiere deren Datenschutzgesetze.
- Prüfe die Schwellenwerte. Erreicht dein Unternehmen die Grössenschwellen? Hast du genug Kunden in dieser Region?
- Hole rechtlichen Rat ein, wenn du unsicher bist. Datenschutzrecht ist komplex und unterscheidet sich je nach Region. Wenn dein Unternehmen grosse Datenmengen erfasst, sprich mit einem Anwalt.
Formulare bauen, die mehrere Datenschutzgesetze erfüllen
Wenn deine Besucher aus verschiedenen Bundesstaaten und Ländern kommen, musst du die strengsten Regeln befolgen, die gelten.
Gehe bei allen von den DSGVO-Regeln aus
Wenn du Besucher aus der EU hast, befolge die DSGVO-Regeln. Die DSGVO gehört zu den strengsten Datenschutzgesetzen, daher bedeutet ihre Einhaltung oft, dass du auch andere Gesetze einhältst.
Nutze bei sensiblen Daten die ausdrückliche Einwilligung
Statt zu versuchen, für verschiedene Besucher unterschiedliche Regeln zu befolgen, nutze für alles die ausdrückliche Einwilligung (den DSGVO-Standard). Das ist sauberer und schützender. Gestalte Einwilligungsoptionen klar, konkret und getrennt für verschiedene Verwendungen der Daten.
Zeige die Datenschutzerklärung im Formular
Füge auf der Formularseite eine klare, gut lesbare Zusammenfassung deiner Datenpraktiken ein. Verlinke auf deine vollständige Datenschutzerklärung. Das erfüllt die Offenlegungspflichten mehrerer Gesetze auf einmal.
Mach den Widerspruch leicht
Biete Menschen eine Möglichkeit, sich von Marketing-E-Mails abzumelden oder die Löschung ihrer Daten zu beantragen. Nimm diese Möglichkeit in jede Marketing-E-Mail auf, die du sendest (gesetzlich vorgeschrieben), und auf deine Website (gute Praxis).
Führe gute Aufzeichnungen
Dokumentiere, welche Daten du erfasst, warum du sie erfasst, wie lange du sie aufbewahrst und wer Zugriff darauf hat. Das hilft dir, Datenanfragen schnell zu beantworten, und belegt deine Rechtskonformität, falls eine Aufsichtsbehörde nachfragt.
Bussgelder und Strafen bei Datenschutzverstössen
Der CCPA und die Datenschutzgesetze der Bundesstaaten sehen finanzielle Strafen vor:
- CCPA (Kalifornien): Bis zu 2.500 Dollar pro Verstoss, 7.500 Dollar pro vorsätzlichem Verstoss. Der Generalstaatsanwalt des Staates setzt das durch, und Verbraucher können in bestimmten Fällen klagen.
- Virginia, Colorado, Connecticut usw.: Die Bussgelder liegen zwischen 2.500 und 10.000 Dollar pro Verstoss, und manche erlauben Verbrauchern zusätzlich zu klagen.
Auch wenn diese Bussgelder niedriger sind als die der DSGVO, summieren sie sich schnell, wenn es mehrere Verstösse gibt oder ein Datenleck Tausende Menschen betrifft.
Was WEMASY für die Einhaltung von Datenschutzgesetzen tut
WEMASY Formulare enthalten Werkzeuge, die dir helfen, Datenschutzgesetze der Bundesstaaten und des Bundes einzuhalten. Du kannst Datenschutzhinweise in deine Formulare einfügen, nachverfolgen, welcher Version deiner Einwilligungsbedingungen jeder Besucher zugestimmt hat, und deinem Team Prozesse für Anfragen zu Datenzugang und Löschung an die Hand geben. WEMASY protokolliert ausserdem, welche Daten gespeichert sind und wann sie gesendet wurden, damit du die Nachweise führst, die du für Compliance-Prüfungen brauchst.
Welche Funktionen zur Datenschutz-Compliance in deinem Tarif enthalten sind, siehst du auf der Preisseite.