CCPA-Compliance für Datenteams

Der California Consumer Privacy Act (CCPA), vom California Privacy Rights Act (CPRA) erheblich erweitert, ist eines der umfassendsten Datenschutzgesetze der US-Bundesstaaten. Es gibt Menschen mit Wohnsitz in Kalifornien Rechte an den personenbezogenen Daten, die Unternehmen über sie erheben. CCPA-Compliance für Datenteams ist die praktische Arbeit, jederzeit die Fragen beantworten zu können, auf die das Gesetz Verbrauchern einen Anspruch gibt: Welche personenbezogenen Daten haben Sie über mich, woher stammen sie, an wen haben Sie sie weitergegeben, und können Sie sie löschen?

Für ein Datenteam ist das weniger ein juristisches Problem als eines des Datenmanagements. Eine Kanzlei kann das Gesetz auslegen, doch nur das Datenteam kann jede Kopie der personenbezogenen Daten eines Verbrauchers in Warehouses, Lakes, Pipelines und SaaS-Exporten tatsächlich finden, ihren Weg verfolgen und sie auf Antrag löschen. CCPA-Compliance zählt, weil genau in der Lücke zwischen rechtlicher Pflicht und Datenwirklichkeit die Verstöße wohnen, und die Strafen, die ihnen folgen.

Was der CCPA ist

Der CCPA trat am 1. Januar 2020 in Kraft und wurde durch den California Privacy Rights Act verschärft (Proposition 24, angenommen im November 2020, wirksam seit 1. Januar 2023). Dieser fügte die Rechte auf Berichtigung und auf Beschränkung der Nutzung sensibler personenbezogener Daten hinzu, schuf die California Privacy Protection Agency und zog die Pflichten enger. Zusammen bilden sie Kaliforniens Grundordnung für den Datenschutz. Das Gesetz fasst personenbezogene Daten weit: nicht nur offensichtliche Kennungen wie Name und E-Mail, sondern alles, was sich vernünftigerweise mit einem Verbraucher oder einem Haushalt verknüpfen lässt, darunter Geräte-Kennungen, Standort, Verlauf im Browser und Schlüsse, die über eine Person gezogen werden. Eine Unterkategorie, sensible personenbezogene Daten (genaue Ortung, Gesundheitsdaten, rassische oder ethnische Herkunft, behördliche Ausweisnummern, Zugangsdaten zu Finanzkonten und mehr), trägt zusätzliche Pflichten.

Der CCPA wird oft mit der DSGVO der EU verglichen, und sie teilen Erbgut: Beide gewähren Rechte auf Auskunft und Löschung und verlangen Transparenz. Die Schwerpunkte unterscheiden sich aber. Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage (die Einwilligung ist eine von sechs), der CCPA dreht sich um Verkauf und Weitergabe personenbezogener Daten und um das Recht des Verbrauchers, dem zu widersprechen. Ein Team, das für die DSGVO bereit ist, hat beim CCPA einen deutlichen Vorsprung, austauschbar sind die beiden aber nicht.

Für wen der CCPA gilt

Der CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind, personenbezogene Daten von Menschen in Kalifornien erheben und mindestens eine Schwelle erreichen. In der geänderten Fassung werden sie meist so zusammengefasst:

• Umsatz: Bruttojahresumsatz über 25 Millionen $, inflationsbereinigt (26.625.000 $ seit Januar 2025); oder
• Menge: Kauf, Verkauf oder Weitergabe der personenbezogenen Daten von 100.000 oder mehr Verbrauchern oder Haushalten im Jahr; oder
• Datengetriebener Umsatz: 50 % oder mehr des Jahresumsatzes stammen aus dem Verkauf oder der Weitergabe personenbezogener Daten.

Das Gesetz ist nicht auf Unternehmen mit Hauptsitz in Kalifornien beschränkt: Erfasst ist jedes Unternehmen, das die Schwellen erreicht, im Bundesstaat geschäftlich tätig ist und personenbezogene Daten von Menschen in Kalifornien erhebt (Vorgänge, die vollständig außerhalb Kaliforniens stattfinden, sind ausgenommen). Weil Kalifornien so groß ist, behandeln viele US-Unternehmen den CCPA als ihre Grundlinie. Die Dollar-Schwellen werden alle zwei Jahre an die Inflation angepasst, maßgeblich sind also der geltende Gesetzestext und die Leitlinien der CPPA. Die praktische Folgerung für Datenteams ändert sich dabei selten: Gehen Sie davon aus, dass er gilt, und bauen Sie entsprechend.

Die Verbraucherrechte

Das Herz des CCPA ist ein Satz von Verbraucherrechten, von denen jedes eine konkrete Anforderung an das Datenteam stellt:

• Recht auf Auskunft. Verbraucher können erfragen, welche personenbezogenen Daten Sie halten, woher sie stammen, warum Sie sie erhoben haben und an welche Kategorien von Dritten Sie sie offengelegt haben. Das heißt, Sie müssen jede Kopie finden und ihre Data Lineage verfolgen können.
• Recht auf Löschung. Verbraucher können verlangen, dass Sie ihre Daten löschen, mit einigen Ausnahmen. Das heißt, sie in jedem System zu finden und zu löschen, auch in nachgelagerten Kopien.
• Recht auf Berichtigung. Verbraucher können unrichtige Daten berichtigen lassen. Das setzt voraus, die maßgebliche Quelle für jedes Feld zu kennen.
• Recht auf Widerspruch gegen Verkauf und Weitergabe. Verbraucher können Ihnen den Verkauf oder die Weitergabe ihrer Daten untersagen. Das setzt voraus, genau diese Daten zu markieren und zu sperren.
• Recht auf Beschränkung der Nutzung und Offenlegung sensibler personenbezogener Daten. Verbraucher können einschränken, wie ihre sensiblen Daten genutzt werden. Das setzt voraus, sensible personenbezogene Daten gesondert zu klassifizieren.

Und Verbraucher dürfen nicht benachteiligt werden, weil sie eines dieser Rechte ausüben. Fehlende Compliance kostet: Verwaltungsbußgelder (CPPA) oder zivilrechtliche Strafen (Attorney General) von bis zu 2.663 $ je Verstoß oder 7.988 $ bei vorsätzlichen Verstößen oder bei Verstößen, die Verbraucher betreffen, von denen bekannt ist, dass sie unter 16 Jahre alt sind (inflationsbereinigte Beträge 2025), dazu ein eigenes Klagerecht bei bestimmten Datenpannen, die auf fehlende angemessene Sicherheitsvorkehrungen zurückgehen.

Die Aufgabe des Datenteams

Ohne Juristendeutsch reduziert sich jedes Recht aus dem CCPA auf dieselben vier Fähigkeiten im Umgang mit Daten. Ein Team, das sie hat, kann das Gesetz erfüllen; eines, dem sie fehlen, kann es nicht, so gut sich seine Datenschutzerklärung auch liest:

1. Wissen, was Sie halten. Ein vollständiges Verzeichnis der Datenbestände. Ohne es bleibt „Welche personenbezogenen Daten haben Sie über mich?“ unbeantwortbar.
2. Wissen, welche Daten personenbezogen sind. Eine Klassifizierung, die personenbezogene und sensible Angaben markiert, wo immer sie liegen, auch in unbeschrifteten und unstrukturierten Daten.
3. Wissen, wohin sie geflossen sind. Eine Data Lineage, die jede nachgelagerte Kopie und jeden Empfänger zeigt, denn eine Löschung, die drei abgeleitete Tabellen auslässt, ist keine Löschung.
4. Danach handeln. Die Abläufe und die Zugriffskontrolle, um jeden Antrag innerhalb der gesetzlichen Fristen zu erfüllen, zu protokollieren und zu belegen (45 Tage für Anträge auf Auskunft, Löschung und Berichtigung, einmal verlängerbar; 15 Geschäftstage für Widersprüche).

Der immer wiederkehrende Fehler ist die vergessene Kopie: personenbezogene Daten, die in einen Data Mart, einen Export oder das Trainingsmaterial eines Modells dupliziert wurden und die niemand nachgehalten hat. Unter dem Recht auf Löschung ist diese Kopie ein Verstoß, der nur darauf wartet, gefunden zu werden.

Wie Dawiso es angeht

Jede dieser vier Fähigkeiten ist eine Fähigkeit der Data Governance, und deshalb fällt die Bereitschaft für den CCPA als Nebenprodukt guter Governance ab und nicht als eigenes Werkzeug für Compliance. Ein kuratierter Katalog gibt dem Datenteam das vollständige Verzeichnis, auf das sich das Recht auf Auskunft stützt; die KI-gestützte Klassifizierung findet und markiert personenbezogene und sensible Angaben über die gesamte Datenlandschaft, damit nichts durchrutscht; und die interaktive Data Lineage verfolgt jede nachgelagerte Kopie, womit aus einem Antrag auf Löschung oder Auskunft statt einer hektischen Suche ein genauer, belegter Vorgang wird. Zusammen mit Stewardship und Freigabeabläufen wird der Katalog zum führenden System, das gegenüber einer Aufsicht wie gegenüber einem Verbraucher belegt, dass ein Antrag vollständig erfüllt wurde. Dasselbe Fundament, das Anträge nach der DSGVO beantwortet, beantwortet auch die nach dem CCPA: Das Gesetz wechselt, der zugrunde liegende Bedarf, die eigenen Daten zu sehen und zu verfolgen, bleibt.

Fazit

CCPA-Compliance sieht aus wie eine juristische Pflicht und landet als Aufgabe im Data Engineering. Die Verbraucherrechte, die er gewährt, auf Auskunft, Löschung, Berichtigung, Widerspruch und Beschränkung, lösen sich alle in eine einzige Frage auf, die das Datenteam jederzeit beantworten können muss: Wo genau liegen die Daten dieser Person? Teams, die das beantworten können, haben die harte Arbeit des Katalogisierens, Klassifizierens und Verfolgens bereits geleistet; Teams, die es nicht können, werden merken, dass keine Datenschutzerklärung das Wissen ersetzt, wo die Daten tatsächlich liegen. Bauen Sie zuerst die Sicht auf, dann wird die CCPA-Compliance, wie die DSGVO davor und was auch immer als Nächstes kommt, zu einer Fähigkeit, die Sie schon haben, statt zu einer Frist, auf die Sie zurennen.

Quellen

• California Privacy Protection Agency, California Consumer Privacy Act of 2018, Cal. Civ. Code §1798.100 et seq. (effective January 1, 2026) (Verbraucherrechte, Schwellen, sensible personenbezogene Daten, Antwortfristen, Strafen).
• California Privacy Protection Agency, CCPA Monetary Thresholds (die inflationsbereinigte Umsatzschwelle und die Bußgeldbeträge).
• California Privacy Protection Agency, California Consumer Privacy Act Regulations (Bearbeitung von Anträgen, einschließlich der Löschung aus Sicherungssystemen).
• California Attorney General, California Consumer Privacy Act (CCPA) (Inkrafttreten, Änderungen durch den CPRA, Durchsetzung).
• California Privacy Protection Agency, About CalPrivacy (die durch Proposition 24 geschaffene Aufsicht).
• Publications Office of the EU (EUR-Lex), Regulation (EU) 2016/679, General Data Protection Regulation (die sechs Rechtsgrundlagen in Art. 6).