CCPA-Consent-Management-Anforderung

Aktualisiert: 22. Nov. 2019: Das IAB Tech Lab hat die finale Version des IAB-CCPA-Compliance-Frameworks (v1) veröffentlicht, UniConsent unterstützt dieses Framework ab sofort.

Der California Consumer Privacy Act (CCPA) tritt am 1. Januar 2020 in Kraft und kann Auswirkungen darauf haben, wie Ihre Website die personenbezogenen Daten von Kalifornierinnen und Kaliforniern verarbeiten darf.

Der CCPA ist eine Vorschrift, die der europäischen Datenschutz-Grundverordnung ähnelt.

Laut Adexchanger hat das Büro des kalifornischen Generalstaatsanwalts vor Kurzem den ersten Entwurf seiner Durchführungsverordnungen zum California Consumer Privacy Act veröffentlicht.

Der kalifornische Generalstaatsanwalt Xavier Becerra erklärte: „Unsere personenbezogenen Daten sind der Treibstoff der heutigen datengetriebenen Wirtschaft und des damit erzeugten Wohlstands. Es ist an der Zeit, dass wir die Kontrolle über die Nutzung unserer personenbezogenen Daten zurückerhalten – dazu gehört auch, sie privat zu halten.“

Die Weitergabe personenbezogener Daten an einen Dritten gilt nach dem CCPA stets als Verkauf

Es gibt einen Unterschied zwischen Dritten und Dienstleistern. Dienstleister müssen sich nicht mit Anfragen zu Datenzugriff und -löschung befassen.

Der zentrale Grundsatz des CCPA ist, dass Verbraucher das Recht haben, dem Verkauf ihrer personenbezogenen Daten zu widersprechen.

„Verkauf“ im Sinne des CCPA bedeutet: den Verkauf, die Vermietung, die Offenlegung, die Verbreitung, die Zugänglichmachung, die Übermittlung oder auf andere Weise die mündliche, schriftliche, elektronische oder sonstige Kommunikation personenbezogener Daten eines Verbrauchers an ein anderes Unternehmen oder einen Dritten gegen Geld oder eine andere geldwerte Gegenleistung.

CCPA-Begriffe: Haushalt: eine Person oder Personengruppe; Dritte: alle Stellen, die personenbezogene Daten nicht direkt von Verbrauchern erheben.

Personenbezogene Daten im Sinne des CCPA

• Identifikatoren wie Cookies, Beacons, Pixel-Tags, Telefonnummern, IP-Adressen, Kontonamen.
• Biometrische Daten wie Gesicht, Iris/Retina, Fingerabdrücke, DNA, Sprachaufnahmen, Gesundheitsdaten.
• Geolokalisierungsdaten wie über Geräte erfasste Standortverläufe.
• Internetaktivität wie der Browserverlauf.
• Sowie Daten zu persönlichen Merkmalen, Verhalten, religiösen oder politischen Überzeugungen, sexuellen Vorlieben und Ähnlichem.

Worauf sich Unternehmen im Hinblick auf den CCPA und die CCPA-Consent-Management-Anforderung vorbereiten sollten

1. Benachrichtigung bereitstellen

Unternehmen sind verpflichtet, Verbraucher – entweder zum Zeitpunkt der Erhebung oder davor – darüber zu informieren, welche Kategorien personenbezogener Daten erhoben werden und wie die Daten verwendet werden.

2. Klar erkennbarer Opt-out-Button

Unternehmen, die personenbezogene Daten verkaufen, müssen auf jeder Webseite, auf der personenbezogene Daten erhoben werden, einen Button mit der Bezeichnung „Do Not Sell My Personal Information“ oder „Do Not Sell My Info“ einbinden, der zur entsprechenden Benachrichtigung verlinkt.

3. Aktualisierung der Datenschutzrichtlinie

Unternehmen müssen ihre Datenschutzrichtlinie aktualisieren und dabei klar formulierte Informationen zu den Rechten der Verbraucher gemäß CCPA, eine Liste der personenbezogenen Daten, die das Unternehmen in den vorangegangenen 12 Monaten über Verbraucher erhoben hat, sowie Offenlegungen darüber, ob diese Informationen verkauft werden, aufnehmen.

4. Widerspruch und Löschungsanfrage

Unternehmen sollten für Online-Löschungsanfragen ein zweistufiges Verfahren bereitstellen, bei dem Verbraucher gesondert bestätigen müssen, dass sie die Löschung ihrer Daten tatsächlich wünschen.

Unternehmen können Löschungsanfragen nachkommen, indem sie die personenbezogenen Daten in ihren bestehenden Systemen „dauerhaft und vollständig“ löschen, die Daten anonymisieren oder sie so aggregieren, dass sie keiner Einzelperson mehr zugeordnet werden können.

Unternehmen sollten ein CCPA-Consent-Management-System ähnlich einem DSGVO-Consent-Manager einrichten, um sich auf das kommende Gesetz vorzubereiten.