Was ist CCPA/CPRA-Compliance?
Der California Consumer Privacy Act (CCPA) ist Kaliforniens umfassendes Verbraucherdatenschutzgesetz. Der 2020 angenommene California Privacy Rights Act (CPRA) hat den CCPA geändert und die Verbraucherrechte sowie die Pflichten der Unternehmen erweitert.
Gemeinsam legen CCPA und CPRA Anforderungen an die Erhebung, Nutzung, Offenlegung, den Verkauf, die Weitergabe, die Aufbewahrung und den Schutz personenbezogener Informationen fest.
Unternehmen, die dem Gesetz unterliegen, müssen ihre Datenverarbeitungstätigkeiten kennen, angemessene Datenschutzhinweise bereitstellen, Verbraucheranfragen beantworten, anwendbare Opt-out-Präferenzen beachten und angemessene Sicherheitsvorkehrungen aufrechterhalten.
RegulatoryBridge hilft Organisationen, diese Anforderungen in praxistaugliche Richtlinien, Workflows, technische Kontrollen und laufende Compliance-Prozesse zu überführen.
Wer muss CCPA/CPRA einhalten?
Der CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und die einschlägigen gesetzlichen Kriterien erfüllen.
Zu diesen Kriterien gehören Umsatzschwellen, der Umfang der verarbeiteten personenbezogenen Informationen kalifornischer Verbraucher oder Haushalte sowie Umsätze aus dem Verkauf oder der Weitergabe personenbezogener Informationen. Die geltenden Schwellenwerte und Definitionen sollten anhand des aktuellen Gesetzestexts geprüft werden.
Die Anwendbarkeit des CCPA kann relevant sein für:
- Technologie- und SaaS-Unternehmen
- E-Commerce- und Handelsunternehmen
- Plattformen für digitale Werbung
- Anbieter von Marketingtechnologie
- Finanzdienstleister
- Unternehmen des Gesundheitswesens und der Gesundheitstechnologie
- Datengetriebene Unternehmen
- Anbieter von KI und Analysen
- Internationale Unternehmen mit kalifornischen Verbrauchern als Kunden
RegulatoryBridge hilft Organisationen zu beurteilen, ob der CCPA auf ihre Geschäftstätigkeit anwendbar ist, und festzustellen, welche Anforderungen für ihr Geschäftsmodell relevant sind.
Zentrale Compliance-Anforderungen nach CCPA/CPRA
Datenschutzhinweise und Transparenz
Stellen Sie klare Angaben zur Erhebung und Verarbeitung personenbezogener Informationen bereit. Dazu können die Kategorien der erhobenen Informationen, die Verarbeitungszwecke, Angaben zur Aufbewahrung, Kategorien von Dritten, Verbraucherrechte sowie die jeweiligen Praktiken bei Verkauf oder Weitergabe gehören.
Datenschutzrechte der Verbraucher
Etablieren Sie Prozesse für die Bearbeitung von Anträgen auf Auskunft, Zugang, Löschung und Berichtigung sowie zur Ausübung weiterer Rechte nach kalifornischem Datenschutzrecht.
Opt-outs bei Verkauf und Weitergabe
Prüfen Sie, ob personenbezogene Informationen im Sinne des CCPA verkauft oder weitergegeben werden, und stellen Sie geeignete Opt-out-Mechanismen bereit.
Global Privacy Control
Erkennen und verarbeiten Sie, soweit erforderlich, qualifizierte Opt-out-Präferenzsignale, einschließlich anwendbarer Signale der Global Privacy Control (GPC).
Sensible personenbezogene Informationen
Identifizieren Sie sensible personenbezogene Informationen und prüfen Sie, ob zusätzliche Angaben, Beschränkungen oder Mechanismen zur Einschränkung bestimmter Nutzungen und Offenlegungen erforderlich sind.
Datensicherheit
Unterhalten Sie angemessene Sicherheitsverfahren und -praktiken, die den verarbeiteten personenbezogenen Informationen und den geltenden rechtlichen Anforderungen entsprechen.
Anbieter- und Vertragsmanagement
Überprüfen Sie die Beziehungen zu Dienstleistern, Auftragnehmern und Dritten, um angemessene vertragliche Beschränkungen und Datenschutzverantwortlichkeiten sicherzustellen.
Rechenschaftspflicht und Risikomanagement
Führen Sie Dokumentationen, bewerten Sie relevante Datenschutzrisiken und verfolgen Sie Änderungen der kalifornischen Vorschriften und verwandter Datenschutzgesetze der US-Bundesstaaten.
Datenschutzrechte kalifornischer Verbraucher
Der CCPA gewährt kalifornischen Verbrauchern Rechte in Bezug auf ihre personenbezogenen Informationen, vorbehaltlich der geltenden Voraussetzungen und Ausnahmen.
Recht auf Information
Verbraucher können Informationen darüber anfordern, welche personenbezogenen Informationen ein Unternehmen erhebt, verwendet, offenlegt, verkauft oder weitergibt, soweit zutreffend.
Recht auf Auskunft
Verbraucher können Auskunft über konkrete personenbezogene Informationen verlangen, die unter das Gesetz fallen.
Recht auf Löschung
Verbraucher können die Löschung personenbezogener Informationen verlangen, vorbehaltlich gesetzlicher Ausnahmen.
Recht auf Berichtigung
Verbraucher können die Berichtigung unrichtiger personenbezogener Informationen verlangen, die ein erfasstes Unternehmen vorhält.
Recht auf Opt-out
Verbraucher können dem Verkauf oder der Weitergabe personenbezogener Informationen in den vom CCPA erfassten Fällen widersprechen.
Recht auf Einschränkung bestimmter Verwendungen sensibler personenbezogener Informationen
Verbraucher können unter Umständen bestimmte Verwendungen und Offenlegungen sensibler personenbezogener Informationen einschränken.
Recht auf Nichtdiskriminierung
Unternehmen dürfen Verbraucher nicht rechtswidrig benachteiligen, weil sie ihre Datenschutzrechte ausüben.
Recht auf Datenübertragbarkeit
Soweit zutreffend, können Verbraucher personenbezogene Informationen in einem übertragbaren und ohne Weiteres nutzbaren Format anfordern.
RegulatoryBridge unterstützt Organisationen dabei, einheitliche Workflows für die Entgegennahme, Verifizierung, Bearbeitung und Dokumentation von Verbraucheranfragen einzurichten.
Management von CCPA-Verbraucheranfragen
Die Bearbeitung von Datenschutzanfragen über mehrere Anwendungen, Datenbanken und Drittanbieter hinweg kann eine Herausforderung sein.
RegulatoryBridge unterstützt Organisationen beim Aufbau strukturierter Prozesse für Verbraucheranfragen, die Folgendes abdecken:
- Entgegennahme von Anfragen über freigegebene Kanäle
- Identitätsprüfung
- Klassifizierung der Anfragen
- Auffinden und Abrufen von Daten
- Anwendbare Ausnahmen und Befreiungen
- Workflows für Löschung und Berichtigung
- Interne Eskalation
- Vorbereitung der Antwort
- Nachverfolgung der Anfragen
- Nachweise und Aufzeichnungen
Diese Prozesse helfen Organisationen, innerhalb der geltenden gesetzlichen Fristen einheitlich zu reagieren.
Global Privacy Control (GPC) und Opt-out-Management
Organisationen, die Werbe-, Analyse- und Personalisierungstechnologien einsetzen, sollten prüfen, ob ihre Aktivitäten einen Verkauf oder eine Weitergabe personenbezogener Informationen im Sinne des CCPA darstellen.
Soweit erforderlich, müssen Unternehmen geeignete Opt-out-Mechanismen bereitstellen und qualifizierte Opt-out-Präferenzsignale beachten.
RegulatoryBridge unterstützt Organisationen bei der Bewertung und Steuerung von:
- Global-Privacy-Control-Signalen
- Cookie- und Tracker-Inventaren
- Werbepixeln
- Analysetechnologien
- SDKs von Drittanbietern
- Kontextübergreifender verhaltensbezogener Werbung
- Server-zu-Server-Datenweitergabe
- Opt-out-Präferenzen der Verbraucher
- Einwilligungs- und Präferenznachweisen
Ein abgestimmter Ansatz trägt dazu bei, dass die Präferenzen der Verbraucher auf allen relevanten Websites, in allen Anwendungen und in den Prozessen der Datenweitergabe berücksichtigt werden.
CCPA-Datenschutzhinweise und Offenlegungen
Datenschutzhinweise sollten zutreffend wiedergeben, wie eine Organisation personenbezogene Informationen erhebt, verwendet, aufbewahrt und weitergibt.
RegulatoryBridge unterstützt Organisationen bei der Prüfung und Pflege von:
Datenschutzerklärungen
Dokumentieren Sie relevante Datenpraktiken und die Datenschutzrechte der Verbraucher.
Hinweise bei der Erhebung
Stellen Sie die erforderlichen Informationen bei oder vor der Erhebung personenbezogener Informationen bereit.
Offenlegungen zu Verkauf und Weitergabe
Erläutern Sie die jeweiligen Verkaufs- oder Weitergabepraktiken und wie Verbraucher ihre Opt-out-Rechte ausüben können.
Offenlegungen zu sensiblen personenbezogenen Informationen
Gehen Sie auf die relevanten Kategorien sensibler personenbezogener Informationen und die jeweiligen Wahlmöglichkeiten der Verbraucher ein.
Hinweise zu finanziellen Anreizen
Stellen Sie Offenlegungen bereit, soweit Programme mit finanziellen Anreizen oder Preis- bzw. Leistungsunterschieden den geltenden Anforderungen unterliegen.
Offenlegungen zur Aufbewahrung
Erläutern Sie Aufbewahrungsfristen oder -kriterien, wie es die geltenden Vorschriften verlangen.
Data Mapping und Inventar personenbezogener Informationen
Wirksame CCPA-Compliance beginnt mit dem Verständnis, wo personenbezogene Informationen erhoben, gespeichert, verwendet und offengelegt werden.
RegulatoryBridge unterstützt Organisationen bei der Erfassung von:
- Kategorien personenbezogener Informationen
- Erhebungskanälen
- Verarbeitungszwecken
- Internen Systemen
- Datenspeicherorten
- Drittempfängern
- Dienstleistern und Auftragnehmern
- Verkaufs- und Weitergabeaktivitäten
- Aufbewahrungspraktiken
- Löschprozessen
Dieses Inventar bildet die Grundlage für Datenschutzhinweise, Verbraucheranfragen, Risikobewertungen und die Anbieter-Governance.
Compliance bei Anbietern und Dienstleistern
Plattformen von Drittanbietern können Datenschutz- und Sicherheitsrisiken mit sich bringen, wenn sie auf personenbezogene Informationen zugreifen oder diese verarbeiten.
RegulatoryBridge unterstützt Organisationen bei der Überprüfung relevanter Beziehungen zu:
- Cloud- und SaaS-Anbietern
- CRM-Plattformen
- Werbenetzwerken
- Analyseanbietern
- Zahlungsdienstleistern
- Marketingplattformen
- Kundensupport-Systemen
- KI-Dienstleistern
- Datenhändlern und anderen Datenempfängern
Unser Ansatz unterstützt Anbieterinventare, Vertragsprüfungen, Bewertungen der Datenweitergabe, das Management von Unterauftragsverarbeitern und das laufende Monitoring von Datenschutzrisiken.
CCPA-Risikobewertungen und Cybersicherheitsaudits
Das sich weiterentwickelnde kalifornische Regelwerk enthält Anforderungen an Risikobewertungen für bestimmte Verarbeitungen sowie an Cybersicherheitsaudits.
Ob eine bestimmte Anforderung gilt, hängt vom Unternehmen, den Verarbeitungstätigkeiten, den maßgeblichen Schwellenwerten und den jeweiligen regulatorischen Fristen ab.
RegulatoryBridge unterstützt Organisationen dabei, ihre Bereitschaft in folgenden Bereichen zu bewerten:
- Verarbeitung personenbezogener Informationen
- Sensible Daten
- Auswirkungen auf Verbraucher
- Sicherheitskontrollen
- Zugriffsmanagement
- Verschlüsselung
- Schwachstellenmanagement
- Incident Response
- Drittparteirisiken
- Risikominderung
- Dokumentation und Nachweise
Wir helfen Unternehmen, relevante Pflichten zu identifizieren, Lücken zu priorisieren und eine Umsetzungs-Roadmap zu entwickeln.
CCPA und Technologien zur automatisierten Entscheidungsfindung
Organisationen setzen zunehmend künstliche Intelligenz und automatisierte Entscheidungsfindung in der Werbung, bei der Personalisierung, bei Entscheidungen über Anspruchsberechtigungen, beim Profiling und in anderen Geschäftsprozessen ein.
Das kalifornische Regelwerk regelt bestimmte Verwendungen von Technologien zur automatisierten Entscheidungsfindung (ADMT); Anwendbarkeit und Umsetzungsfristen hängen von den jeweiligen Bestimmungen ab.
RegulatoryBridge unterstützt Organisationen bei der Bewertung von:
- KI- und ADMT-Inventaren
- Verarbeitungszwecken
- Auswirkungen auf Verbraucher
- Geltenden Hinweispflichten
- Relevanten Auskunfts- und Opt-out-Rechten
- Risikobewertungen
- Governance-Verantwortlichkeiten
- Dokumentation
- Monitoring und Überprüfung
Diese Aktivitäten lassen sich in ein umfassenderes Programm für KI-Governance und Datenschutz-Compliance integrieren.
CCPA und Datenschutz-Compliance in mehreren US-Bundesstaaten
Kalifornien ist ein Teil einer wachsenden Datenschutzlandschaft der US-Bundesstaaten. Organisationen, die in mehreren Bundesstaaten tätig sind, müssen unter Umständen sich überschneidende, aber nicht identische Datenschutzanforderungen erfüllen.
RegulatoryBridge unterstützt Unternehmen bei der Koordination von Regelwerken wie:
- CCPA/CPRA (Kalifornien)
- Virginia Consumer Data Protection Act (VCDPA)
- Colorado Privacy Act (CPA)
- Connecticut Data Privacy Act (CTDPA)
- Utah Consumer Privacy Act (UCPA)
- Texas Data Privacy and Security Act (TDPSA)
- Oregon Consumer Privacy Act (OCPA)
- Montana Consumer Data Privacy Act (MTCDPA)
- Delaware Personal Data Privacy Act
- New Jersey Data Privacy Act
- Weitere anwendbare Datenschutzgesetze der Bundesstaaten
Ein einheitliches Rahmenwerk kann gemeinsame Dateninventare, Workflows für Verbraucheranfragen, Anbieter-Governance und übergreifende Datenschutzkontrollen unterstützen und zugleich bundesstaatsspezifische Anforderungen wahren.
CCPA-Compliance für globale Organisationen
Internationale Unternehmen müssen die kalifornischen Datenschutzpflichten gegebenenfalls mit anderen Datenschutzgesetzen abstimmen.
RegulatoryBridge unterstützt Organisationen dabei, ihre Datenschutzprogramme abzustimmen auf:
- CCPA/CPRA
- EU GDPR
- UK GDPR
- DPDPA (Indien)
- LGPD (Brasilien)
- PDPA (Singapur)
- APPI (Japan)
- Weitere anwendbare Datenschutz-Rahmenwerke
Dieser Ansatz hilft Organisationen, gemeinsame Governance-Prozesse beizubehalten und zugleich Unterschiede bei Anwendungsbereich, Definitionen, Rechten, Ausnahmen und Umsetzungsanforderungen zu berücksichtigen.
Unsere CCPA-Compliance-Services
CCPA-Readiness-Assessment
01Ermitteln Sie die Anwendbarkeit, bewerten Sie bestehende Kontrollen und identifizieren Sie Compliance-Lücken.
Umfasst:
- Bewertung des Anwendungsbereichs
- Data Mapping
- Gap-Analyse
- Risikoprüfung
- Priorisierte Maßnahmenplanung
Management von Verbraucherrechten
02Richten Sie Workflows für Auskunft, Löschung, Berichtigung, Opt-out und andere relevante Anfragen ein.
Umfasst:
- Entgegennahme von Anfragen
- Verifizierung
- Weiterleitung
- Erfüllung
- Nachverfolgung
- Dokumentation
Management von Datenschutzhinweisen
03Überprüfen Sie Datenschutzerklärungen und relevante Hinweise, damit sie die tatsächlichen Datenpraktiken widerspiegeln.
Umfasst:
- Datenschutzerklärungen
- Hinweise bei der Erhebung
- Offenlegungen zu Verkauf und Weitergabe
- Relevante Offenlegungen zu sensiblen Informationen
GPC- und Opt-out-Management
04Bewerten Sie den Umgang mit relevanten Opt-out-Signalen über Ihre digitalen Angebote und Vereinbarungen zur Datenweitergabe hinweg.
Umfasst:
- GPC-Assessment
- Tracker-Inventar
- Umgang mit Präferenzen
- Opt-out-Workflows
Data Mapping und Inventar
05Schaffen Sie Transparenz über personenbezogene Informationen und deren Fluss durch die Organisation.
Umfasst:
- Datenkategorien
- Zwecke
- Systeme
- Empfänger
- Aufbewahrung
- Verarbeitungstätigkeiten
Anbieter- und Vertrags-Compliance
06Stärken Sie die Datenschutz-Governance bei Dienstleistern, Auftragnehmern und anderen relevanten Dritten.
Umfasst:
- Anbieterbewertungen
- Vertragsprüfungen
- Analyse der Datenweitergabe
- Laufendes Monitoring
Risikobewertung und Audit-Readiness
07Identifizieren Sie die anwendbaren kalifornischen Pflichten zu Bewertungen und Cybersicherheitsaudits.
Umfasst:
- Anwendbarkeitsprüfungen
- Risikoidentifikation
- Bewertung der Kontrollen
- Nachweismanagement
- Nachverfolgung von Abhilfemaßnahmen
Datenschutz-Mapping für mehrere US-Bundesstaaten
08Koordinieren Sie gemeinsame Datenschutzkontrollen über die anwendbaren Gesetze der US-Bundesstaaten hinweg.
Umfasst:
- Regulatorisches Mapping
- Bundesstaatsspezifische Gap-Analyse
- Gemeinsame Workflows
- Laufendes Regulatory Monitoring
Unser CCPA-Umsetzungsmodell
Warum RegulatoryBridge für CCPA-Compliance?
Kalifornien-spezifische Compliance
Erfüllen Sie die CCPA/CPRA-Anforderungen auf Grundlage der Aktivitäten Ihrer Organisation und der geltenden regulatorischen Pflichten.
Abdeckung mehrerer US-Bundesstaaten
Koordinieren Sie gemeinsame Datenschutzkontrollen über mehrere bundesstaatliche Regelwerke hinweg, ohne bundesstaatsspezifische Unterschiede zu übersehen.
Integration in den globalen Datenschutz
Verbinden Sie die Kalifornien-Compliance mit Ihrem übergreifenden internationalen Datenschutzprogramm.
Praxisnahe Umsetzung
Übersetzen Sie rechtliche Anforderungen in definierte Prozesse, Kontrollen, Verantwortlichkeiten und Dokumentation.
Technologiegestützte Governance
Zentralisieren Sie Compliance-Aktivitäten, Verbraucheranfragen, Nachweise, Anbieterbewertungen und regulatorische Updates.
Laufendes Regulatory Monitoring
Bleiben Sie über Änderungen informiert, die sich auf Ihre Datenschutzpflichten und Umsetzungsprioritäten auswirken können.
Häufig gestellte Fragen
Ein skalierbares CCPA-Compliance-Programm aufbauen
Datenschutz-Compliance in Kalifornien erfordert mehr als die Veröffentlichung einer Datenschutzerklärung. Organisationen benötigen Transparenz über personenbezogene Informationen, verlässliche Prozesse für Verbraucheranfragen, wirksame Opt-out-Mechanismen, angemessene Anbieterkontrollen und eine laufende regulatorische Überwachung.
RegulatoryBridge unterstützt Organisationen beim Aufbau eines strukturierten CCPA/CPRA-Compliance-Programms und koordiniert dabei die anwendbaren Datenschutzanforderungen der US-Bundesstaaten.