CCPA/CPRA: Leitfaden zum Datenschutzrecht in Kalifornien
Aktualisiert für 2026.
Kaliforniens Consumer Privacy Rights Act (CPRA) trat 2023 in Kraft. Er schuf die California Privacy Protection Agency (CPPA). Die CPPA ist die erste staatliche Datenschutzbehörde in den USA. Im Jahr 2024 verhängte die CPPA Bußgelder von über 100 Millionen US-Dollar. Das Datenschutzrecht in Kalifornien ist aktive Strafverfolgung — kein Papiertiger.
Wer muss sich daran halten?
Drei Tests bestimmen, ob das Gesetz gilt. Ein Unternehmen muss mindestens einen davon erfüllen.
- Jahresumsatz von 25 Millionen US-Dollar oder mehr.
- Personenbezogene Daten von 100.000 oder mehr Verbrauchern im Bundesstaat.
- Mehr als 50 % des Umsatzes aus dem Verkauf personenbezogener Daten.
Der Bundesstaat hat 40 Millionen Einwohner. Er ist die fünftgrößte Volkswirtschaft der Welt. Die meisten global tätigen Unternehmen erfüllen mindestens einen Test.
19 Kategorien sensibler Daten
Das Gesetz schafft eine besondere Stufe für sensible persönliche Details. Unternehmen müssen Verbrauchern einen zusätzlichen Hinweis und das Recht zur Einschränkung der Nutzung geben. Die 19 Arten sind:
- Sozialversicherungs-, Führerschein-, Ausweis-, Passnummern
- Konto- oder Kartennummern mit Zugangscodes
- Genaue Geolokalisierung (innerhalb von 1.852 Metern)
- Rassische oder ethnische Herkunft
- Religiöse oder philosophische Überzeugungen
- Gewerkschaftszugehörigkeit
- Privater E-Mail- oder Postinhalt
- Genetische Informationen
- Biometrische Daten zur Identifikation
- Gesundheits- oder medizinische Unterlagen
- Sexuelle Orientierung oder Sexualleben
- Einwanderungsstatus (hinzugefügt 2024)
- Psychische Gesundheitsaufzeichnungen (hinzugefügt 2024)
- Staatsangehörigkeitsstatus
- Kontonummern ohne Zugangscodes
- Behinderungsstatus
- Indikatoren für den Beschäftigungsstatus
- Versicherungspolitische Informationen
- Straf- oder Verhaftungsunterlagen
Für jede Kategorie können Verbraucher einschränken, wie ein Unternehmen sie nutzt und weitergibt. Dieses Recht ist vom allgemeinen Widerspruchsrecht gegen den Datenverkauf getrennt.
Was die CPPA 2024 ins Visier nahm
Die Maßnahmen der CPPA im Jahr 2024 fielen in vier Bereiche.
Registrierung von Datenbrokern. Der Bundesstaat verlangt, dass Datenbroker sich bei der CPPA registrieren. Die Behörde fand Hunderte nicht registrierter Broker, die Verbraucherprofile verkauften.
Fehlerhafte Opt-out-Tools. Viele Zustimmungsplattformen boten kein echtes Opt-out. Die Schaltfläche funktionierte nicht, oder das Opt-out deckte nur bestimmte Nutzungen ab.
KI-Entscheidungen ohne Hinweis. Die KI-Regeln von 2025 verlangen einen Hinweis, wenn automatisierte Tools wichtige Entscheidungen treffen. Beschäftigung, Kredit und Wohnung zählen dazu. Mehrere Fälle aus 2024 richteten sich gegen KI-Tools, die ohne diesen Hinweis genutzt wurden.
Kinderdaten. Californias Verhaltenskodex für altersgerechtes Design gilt für jeden Dienst, den Minderjährige wahrscheinlich nutzen. Diese Unternehmen müssen eine Datenschutz-Folgenabschätzung durchführen. Die CPPA stellte fest, dass viele Unternehmen dies nicht getan hatten.
Staatliches Recht vs. DSGVO: Wesentliche Unterschiede
DSGVO-Konformität deckt Sie in Kalifornien nicht ab. Die Gesetze verfolgen ähnliche Ziele, unterscheiden sich aber in wesentlichen Punkten.
Opt-out versus Opt-in. Die DSGVO erfordert eine Opt-in-Einwilligung für die meisten sensiblen Datennutzungen. Das staatliche Recht verwendet ein Opt-out-Modell. Die Verarbeitung ist erlaubt, bis der Verbraucher widerspricht.
Verbraucherrechte. Beide Gesetze gewähren Auskunfts-, Löschungs- und Berichtigungsrechte. Das staatliche Recht fügt ein Recht hinzu, automatisierten Entscheidungen zu widersprechen. DSGVO-Artikel 22 deckt dies ebenfalls ab, aber mit einem engeren Anwendungsbereich.
Mitarbeiterunterlagen. Das staatliche Recht gilt vollständig für persönliche Mitarbeiterdaten. Die DSGVO ebenfalls, aber EU-Mitgliedstaaten haben eigene Beschäftigungsregeln. Der Datenschutz der Mitarbeiter im Bundesstaat braucht oft eine eigene Compliance-Spur.
Sensible Arten. Die 19 staatlichen Arten überschneiden sich teilweise mit DSGVO-Artikel 9. Einwanderungsstatus und eigenständige Kontonummern sind staatsspezifisch.
Lesen Sie den Leitfaden zur rechtlichen Compliance, um zu erfahren, wie diese Pflichten sich stapeln.
Anforderungen an KI-Anbieter
Die KI-Regeln von 2025 schaffen klare Pflichten für Unternehmen, die KI-Tools für Verbraucherdaten nutzen.
Anbieterverträge. Dienstleister müssen eine schriftliche Vereinbarung unterzeichnen. Die Vereinbarung muss vier Punkte abdecken. Erstens: Unterlagen nur für den angegebenen Zweck verwenden. Zweitens: Unterlagen löschen, wenn der Dienst endet. Drittens: Verbraucherrechtsanfragen weiterleiten. Viertens: Angemessene Sicherheit gewährleisten.
Hinweis zu automatisierten Entscheidungen. Wenn ein KI-Tool bei Entscheidungen über Kredit, Betrug oder Beschäftigung hilft — müssen Verbraucher informiert werden. Sie müssen auch ein Opt-out erhalten.
KI-Trainingslimits. Wenn Verbraucherdaten ein KI-Modell trainiert haben, hat das Modell Grenzen. Es darf nicht für Zwecke genutzt werden, die dem ursprünglichen Erhebungsgrund widersprechen.
Die direkte Lösung für die meisten Teams: Persönliche IDs entfernen, bevor Unterlagen in ein KI-System eingehen. Dies erfüllt die KI-Entscheidungsregeln und reduziert gleichzeitig das Risiko sensibler Arten.
Erfahren Sie, wie anonym.legal IDs vor der KI-Verarbeitung entfernt, unter /security-compliance.
Kernpunkte
Das staatliche Recht gilt für die meisten globalen Unternehmen mit Kunden im Bundesstaat. Es fügt 19 sensible Arten, eine aktive Vollzugsbehörde und KI-Hinweisregeln hinzu. DSGVO-Konformität ersetzt keine staatliche Compliance. Der klarste Schritt: Persönliche IDs entfernen, bevor Unterlagen in KI-Tools eingehen.
Lesen Sie mehr über Datenminimierung unter /docs/faq.
Quellen
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- California Privacy Rights Act (CPRA) Volltext. leginfo.legislature.ca.gov.
- CPPA: Automated Decision-Making Technology Regulations 2025. cppa.ca.gov.
- California Age-Appropriate Design Code. leginfo.legislature.ca.gov.