Kaliforniens Consumer Privacy Rights Act (CPRA, in Kraft seit 2023) hat die California Privacy Protection Agency (CPPA) als erste US-Bundesstaat Datenschutzbehörde eingerichtet. Die CPPA verhängte 2024 über 100 Millionen USD an Durchsetzungsmaßnahmen — was zeigt, dass Kaliforniens Datenschutzgesetz nicht nur ein regulatorischer Rahmen, sondern ein aktives Durchsetzungsumfeld ist.
Der extraterritoriale Geltungsbereich der CPRA ist der bedeutendste Aspekt für globale Unternehmen: Das Gesetz gilt für jedes Unternehmen mit einem Jahresumsatz von über 25 Millionen USD oder das personenbezogene Daten von 100.000 oder mehr kalifornischen Verbrauchern oder Haushalten verarbeitet. Mit 40 Millionen kalifornischen Einwohnern und Kaliforniens Status als die fünftgrößte Wirtschaft der Welt fallen die meisten globalen Unternehmen unter die Zuständigkeit der CPRA.
CPRA's Kategorien sensibler personenbezogener Informationen
Die CPRA schafft eine eigene Kategorie von "sensiblen personenbezogenen Informationen", die einen höheren Schutz und spezifische Offenlegungspflichten erfordert. Die 19 Kategorien stimmen eng mit den besonderen Kategorien des Artikels 9 der DSGVO überein, enthalten jedoch spezifische Ergänzungen für die USA:
- SSNs, Führerscheine, staatliche Ausweise, Reisepassnummern
- Finanzkonten, Debit-/Kreditkartennummern mit Zugangscodes
- Präzise Geolokalisierung (innerhalb von 1.852 Metern)
- Rassische/ethnische Herkunft
- Religiöse oder philosophische Überzeugungen
- Gewerkschaftsmitgliedschaft
- Inhalt von E-Mails und Postsendungen (wenn nicht allgemein verfügbar)
- Genetische Daten
- Biometrische Daten zur Identifizierung
- Gesundheits-/Medizinische Daten
- Sexuelle Orientierung oder Sexualleben
- Einwanderungsstatus (in den Vorschriften von 2024 hinzugefügt)
- Daten zur psychischen Gesundheit (in den Vorschriften von 2024 hinzugefügt)
- Staatsbürgerschaftsstatus
- Finanzkontonummern (alleinstehend, ohne Zugangscodes)
- Behinderungsstatus
- Indikatoren zum Beschäftigungsstatus
- Versicherungspoliceninformationen
- Strafregister oder Daten zu Verhaftungen
Die praktische Auswirkung: Jede Datenverarbeitungspipeline, die diese Kategorien verarbeitet, muss den Verbrauchern das Recht einräumen, die Nutzung und Offenlegung sensibler personenbezogener Informationen zu beschränken, getrennt vom allgemeinen Recht, dem Verkauf zu widersprechen.
Durchsetzung der CPPA 2024: Was ins Visier genommen wurde
Die CPPA erließ 2024 Durchsetzungsmaßnahmen und Vergleiche, die sich auf Folgendes konzentrierten:
Verstöße gegen die Registrierung von Datenmaklern: Kalifornien verlangt von Datenmaklern, sich bei der CPPA zu registrieren. Die CPPA stellte Hunderte von nicht registrierten Datenmaklern fest — Organisationen, die persönliche Profildaten ohne erforderliche Offenlegung verkaufen.
Nichteinhaltung des Einwilligungsmanagements: Die CPPA stellte fest, dass viele Unternehmen "Einwilligungsmanagement-Plattformen" hatten, die tatsächlich keine funktionalen Opt-out-Mechanismen bereitstellten — entweder funktionierte der Opt-out-Button nicht, oder der Opt-out galt nur für spezifische Datennutzungen, während andere weiterliefen.
Automatisierte Entscheidungsfindung durch KI: Die KI-Vorschriften der CPPA von 2025 verlangen von Unternehmen, die Verbraucher zu benachrichtigen, wenn automatisierte Entscheidungsfindung für bedeutende Entscheidungen (Beschäftigung, Kredit, Wohnen) verwendet wird, und sinnvolle Opt-out-Mechanismen bereitzustellen. Mehrere Durchsetzungsmaßnahmen im Jahr 2024 richteten sich gegen KI-Tools, die ohne angemessene Benachrichtigung verwendet wurden.
Daten von Kindern: Nach dem California Age-Appropriate Design Code (AADC) müssen Unternehmen, die voraussichtlich von Minderjährigen aufgerufen werden, Datenschutz-Folgenabschätzungen durchführen. Die CPPA stellte fest, dass mehrere Technologieunternehmen erforderliche DPIAs nicht abgeschlossen hatten.
CPRA vs. DSGVO: Wichtige Unterschiede für globale Organisationen
Organisationen, die sowohl unter der DSGVO als auch unter der CPRA tätig sind, sehen sich Compliance-Anforderungen gegenüber, die im Prinzip ähnlich, aber in den Einzelheiten unterschiedlich sind:
Opt-out vs. Opt-in: Die DSGVO verlangt eine Opt-in-Einwilligung für die meisten sensiblen Datenverarbeitungen. Die CPRA verwendet ein Opt-out-Modell — die Verarbeitung ist rechtmäßig, bis der Verbraucher widerspricht. Das bedeutet, dass DSGVO-konforme Einwilligungsmechanismen oft restriktiver sind, als die CPRA es verlangt, aber CPRA-konforme Praktiken möglicherweise nicht die Anforderungen der DSGVO erfüllen.
Rechte der betroffenen Personen: Beide verlangen Zugriffs-, Lösch- und Berichtigungsrechte. Die CPRA fügt ein Recht hinzu, der automatisierten Entscheidungsfindung zu widersprechen — breiter als die engere Bestimmung zur automatisierten Entscheidungsfindung in Artikel 22 der DSGVO.
Mitarbeiterdaten: Die CPRA gilt vollständig für personenbezogene Daten von Mitarbeitern. Die DSGVO hat einen ähnlichen Geltungsbereich, aber die Mitgliedstaaten haben unterschiedliche beschäftigungsspezifische Bestimmungen. Der Datenschutz von kalifornischen Mitarbeitern ist oft ein eigener Compliance-Weg im Vergleich zu den Anforderungen der DSGVO für EU-Mitarbeiter.
Umfang sensibler Daten: Die 19 Kategorien der CPRA überschneiden sich teilweise mit Artikel 9 der DSGVO, umfassen jedoch Kategorien (Einwanderungsstatus, Finanzkontonummern, Strafregister), die die DSGVO anders behandelt.
Die Compliance-Anforderung für KI-Anbieter
Die KI-Vorschriften der CPRA von 2025 schaffen spezifische Anforderungen für Organisationen, die KI-Tools verwenden, die Daten von kalifornischen Verbrauchern verarbeiten:
Vertragliche Anforderungen an Anbieter: Dienstleister (Anbieter, die Daten im Auftrag des Unternehmens verarbeiten) müssen vertraglich zusichern: Daten nur für den offengelegten Zweck zu verwenden, Daten zu löschen, wenn der Dienst endet, Anfragen zu Verbraucherrechten weiterzuleiten und angemessene Sicherheitsmaßnahmen zu implementieren.
Offenlegung automatisierter Entscheidungsfindung: Wenn Ihr KI-Tool Entscheidungen über kalifornische Verbraucher trifft oder erheblich dazu beiträgt — Kreditbewertung, Betrugskennzeichnung, Inhaltsmoderation, Beschäftigungsüberprüfung — müssen die Verbraucher benachrichtigt werden und ein sinnvolles Opt-out erhalten.
Herkunft der Trainingsdaten: Wenn Daten kalifornischer Verbraucher verwendet wurden, um ein KI-Modell zu trainieren, bedeuten die Anforderungen der CPRA zur Zweckbindung, dass die Ausgaben des KI-Modells nicht für Zwecke verwendet werden können, die mit dem ursprünglichen Erhebungszweck unvereinbar sind.
Für Organisationen, die Daten kalifornischer Verbraucher in KI-Systemen verwalten: Datenminimierung vor der KI-Verarbeitung — das Entfernen von PII, bevor Daten in KI-Trainingspipelines oder KI-Analysetools gelangen — ist der einfachste Weg, um die Anforderungen der CPPA an automatisierte Entscheidungsfindung zu erfüllen und gleichzeitig die Exposition sensibler personenbezogener Informationen zu reduzieren.
Quellen: