Was ist ein Verkauf im Sinne des CCPA?

Im Rahmen des CCPA wird ein "Verkauf" im weitesten Sinne definiert als der "Verkauf, die Vermietung, die Freigabe, die Offenlegung, die Verbreitung, die Zurverfügungstellung, die Übertragung oder die sonstige mündliche, schriftliche, elektronische oder sonstige Übermittlung von personenbezogenen Daten eines Verbrauchers persönlichen Informationen durch [ein] Unternehmen an ein anderes Unternehmen oder einen Dritten" im Austausch für eine "finanzielle" oder "andere wertvolle Gegenleistung". Das bedeutet, dass Sie in einigen Fällen personenbezogene Daten im Sinne des CCPA "verkaufen" könnten, wenn Sie diese Daten an Dritte weitergeben, selbst wenn Sie keine finanzielle Entschädigung erhalten.

Zu den "wertvollen Gegenleistungen" gehören insbesondere die Entwicklung, Erweiterung, Änderung oder Verbesserung von Technologien, Werkzeugen, Methoden, Dienstleistungen und Angeboten oder die Entwicklung oder Durchführung von Datenanalysen oder die Gewinnung anderer Erkenntnisse, die über die vertraglich vereinbarte Dienstleistung hinausgehen.

Der CCPA sieht auch begrenzte Ausnahmen davon vor, was einen Verkauf darstellt. Nach dem CCPA darf ein Unternehmen personenbezogene Daten nicht "verkaufen", wenn:

1. ein in Kalifornien ansässiger Bürger (ein "Verbraucher") das Unternehmen nutzt oder anweist, absichtlich persönliche Informationen offenzulegen;
2. ein Unternehmen erleichtert dem Verbraucher den Ausstieg;
3. ein Unternehmen die persönlichen Daten eines Verbrauchers an einen Dritten als Vermögenswert im Rahmen einer Fusion, Übernahme, eines Konkurses oder einer anderen Transaktion überträgt; oder 
4. wenn ein Unternehmen personenbezogene Daten für einen bestimmten Geschäftszweck an einen "Dienstleister" weitergibt, sofern entsprechende vertragliche Beschränkungen, Zertifizierungen und Mitteilungen an die Verbraucher festgelegt wurden.  

Woher weiß ich, ob ich personenbezogene Daten im Sinne des CCPA verkaufe?

Wenn Ihr Unternehmen personenbezogene Daten von Verbrauchern im Sinne des CCPA verkauft, muss Ihr Unternehmen Mechanismen vorsehen, die Verbraucher zu abwählen aus dem Verkauf ihrer personenbezogenen Daten auszusteigen. Das bedeutet, dass es für die Einhaltung des CCPA von entscheidender Bedeutung ist, zu verstehen, was als Verkauf gilt und was nicht, einschließlich der Frage, ob möglicherweise eine Ausnahme gilt.

Wenn Ihr Unternehmen dem CCPA unterliegt und personenbezogene Daten von Einwohnern Kaliforniens an Dritte weitergibt, handelt es sich fast immer entweder um eine "Weitergabe für geschäftliche Zwecke" oder um einen "Verkauf" dieser Daten, je nachdem, wie diese Begriffe im Gesetz definiert sind. Die Feststellung, ob Sie Daten "verkaufen", ist eine der wichtigsten Überlegungen bei der Bestimmung Ihrer Pflichten und der Rechte Ihrer Kunden gemäß CCPA. Um dies festzustellen, müssen Sie prüfen, ob Ihre Praktiken der Datenerfassung und -weitergabe unter die Definition eines Verkaufs fallen (die weiter gefasst ist als das, was man normalerweise unter einem Verkauf versteht) oder unter eine Ausnahme von der Definition eines Verkaufs gemäß CCPA. Wenn Sie Ihre Praktiken zur Weitergabe von Daten an Dritte bewerten und feststellen, dass sie nicht unter die Definition eines Verkaufs oder unter eine Ausnahme von der Definition eines Verkaufs fallen, dann geben Sie wahrscheinlich Daten für einen geschäftlichen Zweck "weiter". Ihr Unternehmen hat jedoch immer noch einige Verpflichtungen im Zusammenhang mit dieser Offenlegung. Um festzustellen, ob es sich um einen Verkauf im Sinne des CCPA handelt, haben wir im Folgenden Definitionen und Beispiele aufgeführt.

"Offenlegung für einen geschäftlichen Zweck" ist ein sehr weit gefasster Begriff. Die Weitergabe an Dritte umfasst in der Regel Dinge wie die Erkennung von Sicherheitsvorfällen, die Führung oder Pflege von Kundenkonten, Kundendienste, die Bearbeitung von Bestellungen und Zahlungen. So geben Sie beispielsweise Informationen für einen geschäftlichen Zweck weiter, wenn Sie Daten an Dritte weitergeben nur damit dieser die Daten in Ihrem Auftrag verarbeiten kann, und der Dritte die Daten nicht länger als für die Erbringung dieser Dienstleistungen erforderlich aufbewahrt oder sie für andere Zwecke verwendet.

Da der Begriff "Verkauf" jedoch weiter gefasst ist als das, was man sich normalerweise unter einem Verkauf vorstellt, könnten Sie, wenn Sie Daten an Dritte weitergeben, im Sinne des CCPA Informationen "verkaufen", selbst in Fällen, in denen Sie Daten nicht gegen eine finanzielle Vergütung austauschen. Ein Verkauf im Sinne des CCPA ist definiert als jede Art der Weitergabe von Daten an ein anderes Unternehmen oder einen Dritten gegen eine finanzielle oder andere wertvolle Gegenleistung. Einige Beispiele für Verkäufe sind: das Sammeln personenbezogener Daten durch Cookies für gezielte Werbezwecke; die Weitergabe personenbezogener Daten an Dritte für Marketingpartnerschaften; oder die Weitergabe von Daten an einen Dienstleister, wenn dieser personenbezogene Daten zur Anreicherung seiner eigenen Datensätze, zum Trainieren von maschinellen Lernmodellen oder für technologische Forschung verwendet. 

Wenn Sie also Daten für einen bestimmten Zweck an Dritte weitergeben, z. B. für die Zahlungsabwicklung, sollten Sie alle Vereinbarungen mit diesen Dritten überprüfen, um festzustellen, ob sie die Daten nur für diesen bestimmten Zweck verarbeiten oder ob sie sie auf andere Weise nutzen.