Datenschutz aus Kalifornien Konsequenzen des California Consumer Privacy Act (CCPA)

Anbieter zum Thema

Keeper Security EMEA Ltd.

HRES Development GmbH

Für alle IT-Größen aus dem Silicon Valley ist ein Albtraum wahr geworden: Kalifornien hat in 2020 die CCPA umgesetzt, die wahrscheinlich schärfer als die DSGVO ist. Was das bedeutet und womit europäische Unternehmen rechnen müssen, erklärt Datenschutzexperte Andreas Haße von HRES Development.

Der California Consumer Privacy Act (CCPA) wurde 2018 vom Bundesstaat Kalifornien verabschiedet und trat am 1.Januar 2020 in Kraft. In den USA gibt es insgesamt 50 Datenschutzgesetze - diese Gesetzgebung ist jedoch die strengste. CCPA regelt, wie Unternehmen auf der ganzen Welt mit personenbezogenen Daten von in Kalifornien ansässigen Personen umgehen dürfen. Wer sich nicht an das Gesetz hält, muss mit Geldbußen in Höhe von 7.500 US-Dollar pro Verstoß und 750 US-Dollar pro von zivilrechtlichen Schäden betroffenem Nutzer rechnen.

Welche Auswirkungen hat das Gesetz?

CCPA schützt die Privatsphäre aller kalifornischen Bürger, indem das Gesetz ihnen gegenüber Unternehmen und Dienstleistern bis dato nicht vorhandene Rechte gewährt. Jedoch ist viel interessanter, dass das Datenschutzgesetz für alle großen Einrichtungen, Unternehmen usw. gilt, die in Kalifornien ansässig sind und Daten erheben – das heißt, die Internetgiganten aus dem Silicon Valley sind unmittelbar betroffen. Daher geht der Wirkungsradius weit über die Bundesstaatengrenzen hinaus. Auf diese Weise profitieren nämlich nicht nur kalifornische Verbraucher, sondern Kunden aus aller Welt von den Rechten und Vorschriften des CCPA.

Was bedeutet das für europäische Unternehmen?

Wahrscheinlich müssen sich nun Unternehmen aus Europa, die sich der DSGVO angepasst haben, aber in den USA auch Geschäfte machen und dorthin Daten transferieren, sich dem CCPA angleichen. Diese Firmen überprüfen jetzt, ob die Vorkehrungen im Zuge der DSGVO ausreichend für die Umsetzung vom CCPA sind. Generell lässt sich sagen, dass das für alle Unternehmen, die vernünftig die DSGVO realisiert haben, positiv ist – sie haben nicht nur für Europa datenschutzrechtlich gesorgt, sondern höchstwahrscheinlich auch schon für Kalifornien. Schwierig wird es nun für Firmen, die sich auf Datendienste wie Auswertung, Analyse, Profiling etc. spezialisiert haben. Sie müssen sich jetzt überlegen, was sie noch machen dürfen und was im internationalen Kontext noch zulässig ist.

Über den Autor: Andreas Haße von der HRES Development GmbH ist geprüfter Datenschützer mit 30 Jahren IT-, Programmier- und Hacking Erfahrung. Er war u.a. an der Einführung wesentlicher Technologien und Produkte beteiligt: Einführung des ersten MP3 Players, Skill-Optimierungen für Alexa und GHome sowie dem Ausbau von SmartHome APIs.

(ID:46545758)