Datenschutzsichere Verbraucherdaten und Bleiben Sie der CPRA-Konformität voraus

Nein, der California Privacy Rights Act (CPRA) ersetzt den CCPA nicht, sondern ergänzt ihn. Der CPRA ist eine Erweiterung des CCPA, da er bestehende Bestimmungen ändert und zusätzliche Anforderungen für Unternehmen und neue Rechte für kalifornische Verbraucher einführt. Der CPRA trat am 1. Januar 2023 in Kraft. Unternehmen, die dem CCPA unterliegen, müssen jetzt die neuen Anforderungen des CPRA erfüllen.

Mehr lesen: Vollständiger Leitfaden zu CPRA

Nach dem California Privacy Rights Act (CPRA) sind „personenbezogene Daten“ Informationen, die einen bestimmten Verbraucher oder Haushalt identifizieren, sich auf ihn beziehen, ihn beschreiben, mit ihm assoziiert werden oder direkt oder indirekt mit ihm in Verbindung gebracht werden könnten. Der CPRA erweitert die Definition von personenbezogenen Daten im Sinne des CCPA um Informationen wie Geolokalisierungsdaten, Rasse, ethnische Zugehörigkeit, religiöse oder philosophische Überzeugungen und biometrische Daten.

Darüber hinaus führt der CPRA „sensible personenbezogene Daten“ ein, die bestimmte Kategorien personenbezogener Daten umfassen, z. B. Finanzdaten, Identifikationsnummern wie Sozialversicherungsnummer, Führerschein und Reisepass sowie personenbezogene Daten, die Aufschluss über den genauen Standort eines Verbrauchers geben, Gesundheitsdaten, genetische Daten und biometrische Daten.

Die California Privacy Protection Agency (CPPA), die im Rahmen der neuen CPRA-Bestimmungen neu geschaffene Vollzugsbehörde, ist das Vollzugsorgan für den CPRA. Das CPPA ist die erste staatliche Behörde in Kalifornien, die die Durchsetzungs- und Regelungsbefugnisse des kalifornischen Generalstaatsanwalts (CAG) übernehmen wird, der bisher die Regulierungsbehörde für den CCPA war.

Das CPPA und der CAG können erst ab dem 1. Juli 2023 mit der Durchsetzung des CPRA und etwaiger endgültiger Verordnungen beginnen. 

Das kalifornische Datenschutzgesetz (California Privacy Rights Act, CPRA) gilt für alle gewinnorientierten Einrichtungen oder Unternehmen, die in Kalifornien tätig sind oder personenbezogene Daten von Einwohnern Kaliforniens erheben. Der CPRA kann für eine Einrichtung gelten, die:

• in Kalifornien tätig ist
• die personenbezogenen Daten von in Kalifornien ansässigen Personen erhebt, und
• bestimmte Umsatzanforderungen oder Schwellenwerte für die Datenverarbeitung erfüllt.

Wenn ein Unternehmen eines dieser Kriterien erfüllt, unterliegt es den Anforderungen des CPRA, auch wenn es nicht in Kalifornien ansässig ist.

Der CPRA enthält mehrere neue Bestimmungen und Änderungen des CCPA, darunter:

• Schaffung einer neuen Vollzugsbehörde: Mit dem CPRA wird eine neue Behörde namens California Privacy Protection Agency (CPPA) geschaffen, die für die Durchsetzung der Datenschutzgesetze in Kalifornien zuständig sein wird.
• Einführung von sensiblen personenbezogenen Daten: Der CPRA erweitert die Definition sensibler personenbezogener Daten um neue Kategorien wie Finanzdaten, genaue geografische Lage, Rasse, ethnische Herkunft und Gesundheitsdaten.
• Einführung der „Weitergabe“ von personenbezogenen Daten und von Rechten zur Ablehnung: Als Weitergabe gilt jede Weitergabe personenbezogener Daten an Dritte für kontextübergreifende verhaltensbezogene Werbung, unabhängig davon, ob dafür eine finanzielle oder sonstige Gegenleistung erbracht wird oder nicht. 
• Neue Verbraucherrechte: Der CPRA räumt den Verbrauchern das Recht ein, unzutreffende personenbezogene Daten im Besitz von Unternehmen zu korrigieren.
• Erhöhte Bußgelder bei Verstößen: Der CPRA erhöht die Bußgelder für Verstöße gegen die Datenschutzgesetze, wobei die Bußgelder zwischen 2.500 und 7.500 USD pro Verstoß liegen.

Hier sind einige Links, die Sie für weitere Informationen nutzen können:

• Vereinfachter Leitfaden zur CPRA Kalifornien
• CCPA vs. DSGVO: Was ist der Unterschied?