Das kalifornische Verbraucherschutzgesetz (CCPA) schreibt vor, den Verbrauchern einen Link "Meine persönlichen Daten nicht verkaufen oder weitergeben" zur Verfügung zu stellen, damit sie dem Verkauf oder der Weitergabe ihrer Daten widersprechen können.
Im Folgenden erkläre ich die Anforderungen an eine "Meine persönlichen Daten nicht verkaufen oder weitergeben"-Seite, wann eine solche Seite zu verwenden ist und wo sie auf Ihrer Website platziert werden sollte.
- Die CCPA-Regel "Nicht verkaufen oder weitergeben" wird erklärt
- Was ist, wenn Sie keine persönlichen Daten verkaufen oder weitergeben?
- Beispiele für die Einhaltung von "Meine persönlichen Daten nicht verkaufen oder weitergeben"
- So erstellen Sie eine Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben".
- Was Sie auf Ihrer Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" angeben sollten
- Wo Sie Ihre Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" anzeigen können
- Kurzer Überblick über das CCPA und das CPRA
- Zusammenfassung
Die CCPA-Regel "Nicht verkaufen oder weitergeben" wird erklärt
Um personenbezogene Daten Ihrer Kunden nach dem CCPA rechtmäßig zu sammeln und zu verkaufen, müssen Sie bestimmte Regeln beachten.
Was ist die "Do Not Sell or Share"-Regel?
Im Rahmen des CCPA bezieht sich die "Nicht verkaufen oder weitergeben"-Regelauf das Recht Ihrer Nutzer, dem Verkauf oder der Weitergabe ihrer personenbezogenen Daten zu widersprechen.
Sie müssen Ihren Nutzern eine oder mehrere Möglichkeiten bieten, dieses Recht wahrzunehmen, und der Text des CCPA empfiehlt, einen Link "Meine persönlichen Daten nicht verkaufen oder weitergeben" in die Fußzeile Ihrer Website aufzunehmen.
Wenn Sie diese Richtlinie nicht befolgen, drohen Ihnen harte Sanktionen des kalifornischen Generalstaatsanwalts, die zu hohen Geldstrafen und Bußgeldern führen können.
Was sind persönliche Informationen?
Als Nächstes wollen wir uns ansehen , was der CCPA als personenbezogene Daten betrachtet.
Personenbezogene Daten sind definiert als Informationen, die einen Verbraucher oder einen Haushalt identifizieren, beschreiben, mit ihm in Verbindung bringen oder direkt oder indirekt mit ihm in Verbindung gebracht werden können, und umfassen Folgendes:
- Identifikatoren
- Alle Kategorien von persönlichen Informationen, die in Unterabschnitt (e) von Abschnitt 1798.80 beschrieben sind
- Merkmale geschützter Klassifizierungen nach kalifornischem oder bundesstaatlichem Recht
- Kommerzielle Informationen (wie Kaufhistorie)
- Biometrische Informationen
- Informationen über Internet- oder andere elektronische Netzaktivitäten
- Geolokalisierungsdaten
- Akustische, elektronische, visuelle, thermische, olfaktorische oder ähnliche Informationen
- Berufliche oder beschäftigungsbezogene Informationen
- Bildungsinformationen, die nicht öffentlich zugänglich sind
- Rückschlüsse aus einer der in diesem Unterabschnitt genannten Informationen, um ein Profil über einen Verbraucher zu erstellen
- Sensible persönliche Informationen
Persönliche Informationen sind nicht enthalten:
- De-identifizierte oder aggregierte Informationen
- Öffentlich zugängliche Informationen, z. B. Aufzeichnungen von Bundes-, Landes- oder Kommunalbehörden
Anforderungen der "Do Not Sell or Share"-Regel
Im Folgenden erfahren Sie, was Sie über die "Do Not Sell or Share"-Regel wissen müssen und wie Sie sie einhalten können:
- Zugänglichkeit und Verständlichkeit: Der Link zu Ihrer Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" muss "klar und deutlich" und für alle Ihre Verbraucher "in angemessener Weise zugänglich" sein.
- Standort: Bieten Sie auf der Homepage, auf Ihrer CCPA-konformen Seite mit den Datenschutzrichtlinien und auf jeder Seite, die personenbezogene Daten sammelt, Zugang zum Opt-out.
- Zwei Methoden: Sie müssen Einzelpersonen zwei Methoden zur Verfügung stellen, um die Bitte "meine persönlichen Daten nicht zu verkaufen oder weiterzugeben" einzureichen, und eine dieser Methoden muss über ein interaktives Webformular erfolgen, das über die Seite "Nicht verkaufen" zugänglich ist. Die andere Methode könnte eine gebührenfreie Nummer, eine bestimmte E-Mail oder eine andere Methode sein.
- Konto: Die Verbraucher müssen kein Konto einrichten, um ihr Recht auf Widerspruch gegen den Verkauf ihrer persönlichen Daten auszuüben.
- Ablehnen: Sie müssen die Entscheidung eines Verbrauchers, dem Verkauf seiner personenbezogenen Daten zu widersprechen, mindestens 12 Monate lang respektieren. Nach Ablauf dieses Zeitraums können Sie sich an den Verbraucher wenden und ihn bitten, seine Zustimmung zu geben.
- Schulung: Sie müssen das für die Bearbeitung dieser Anträge zuständige Personal schulen. Sie müssen die Bestimmungen des CCPA kennen und wissen, wie sie sich in der Politik Ihres Unternehmens zurechtfinden.
- Sie können nicht nach einem Ausweis fragen: Unternehmen können nicht verlangen, die Identität von Personen zu überprüfen, die den Antrag auf Nichtverkauf stellen.
Was ist, wenn Sie keine persönlichen Daten verkaufen oder weitergeben?
Die Regel "Nicht verkaufen oder weitergeben" gilt nur für Unternehmen, die persönliche Daten verkaufen oder weitergeben.
Die CCPA definiert Verkauf als:
... den Verkauf, die Vermietung, die Freigabe, die Offenlegung, die Verbreitung, die Zurverfügungstellung, die Übertragung oder die anderweitige mündliche, schriftliche, elektronische oder sonstige Übermittlung personenbezogener Daten eines Verbrauchers durch das Unternehmen an einen Dritten gegen Entgelt oder eine sonstige Gegenleistung.
Sie definiert Teilen als:
... die Weitergabe, das Vermieten, die Freigabe, die Offenlegung, die Verbreitung, die Zurverfügungstellung, die Übertragung oder die anderweitige mündliche, schriftliche, elektronische oder sonstige Übermittlung der personenbezogenen Daten eines Verbrauchers durch das Unternehmen an einen Dritten für kontextübergreifende verhaltensbezogene Werbung, unabhängig davon, ob dafür eine finanzielle oder sonstige entgeltliche Gegenleistung erbracht wird oder nicht, einschließlich Transaktionen zwischen einem Unternehmen und einem Dritten für kontextübergreifende verhaltensbezogene Werbung zugunsten eines Unternehmens, bei denen kein Geld ausgetauscht wird.
Wenn Sie keine dieser Aktivitäten durchführen, dann verkaufen Sie die persönlichen Daten Ihrer Kunden nicht und brauchen keine Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben".
Dennoch sollten Sie die Nutzer darauf hinweisen, dass Sie ihre Daten nicht verkaufen, wie in den folgenden Beispielen gezeigt wird.
Beispiele für die Einhaltung von "Meine persönlichen Daten nicht verkaufen oder weitergeben"
Im Folgenden finden Sie Beispiele dafür, wie Unternehmen die CCPA-Regel "Nicht verkaufen oder weitergeben" einhalten:
T Mobiles Formular "Meine persönlichen Daten nicht verkaufen oder weitergeben".
T Mobile hat ein gutes Beispiel für ein Formular "Meine persönlichen Daten nicht verkaufen oder weitergeben", das in der Fußzeile ihrer Website verlinkt ist.
Wie unten dargestellt, führt der Link zu einer Seite, auf der die Rechte der Nutzer in Bezug auf ihre Daten klar beschrieben sind, einschließlich ihres Rechts, dem Verkauf oder der Weitergabe ihrer Daten zu widersprechen.
Die Nutzer können über eine Schaltfläche die Datenverarbeitung deaktivieren und ihre Datenschutzeinstellungen auch für andere T-Mobile-Konten festlegen.
Wenn Sie eine dieser Seiten für Ihre Website erstellen, versuchen Sie, so gründlich wie möglich zu sein, damit Ihre kalifornischen Nutzer leicht verstehen können, welche Schritte sie unternehmen müssen, um ihre Datenschutzrechte angemessen wahrnehmen zu können.
So erstellen Sie eine Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben".
Hier sind drei Beispiele dafür, wie Sie eine Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" für Ihre Website erstellen können.
Verwaltete Lösung (Termly)
Erstellen Sie eine Datenschutzrichtlinie mit unserer Datenschutzerklärung Generator - müssen Sie angeben, dass Sie CCPA-konform sein wollen.
Der Generator erstellt automatisch Ihre Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben".
Vorlage
Sie können auch Ihre Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" erstellen, indem Sie einer Vorlage folgen und die relevanten Informationen speziell für Ihr Unternehmen ausfüllen.
DIY
Sie können Ihre Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" auch manuell erstellen.
Wenn Sie dies dennoch tun, müssen Sie alle relevanten Abschnitte angeben, um Strafen zu vermeiden.
Was Sie auf Ihrer Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" angeben sollten
Wenn Sie feststellen, dass Sie eine Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" benötigen, finden Sie hier einen Überblick darüber, was Sie darin aufnehmen müssen.
Recht auf Abmeldung
Sie sollten das im CCPA verankerte Recht, dem Verkauf oder der Weitergabe personenbezogener Daten zu widersprechen, erläutern, damit der Verbraucher in Kenntnis der Sachlage entscheiden kann, ob er von seinem Recht Gebrauch machen möchte.
Geben Sie den Verbrauchern die Möglichkeit zu wählen, welche Arten von persönlichen Informationen verkauft oder weitergegeben werden.
So stört es sie vielleicht nicht, dass ihr bisheriger Transaktionsverlauf verkauft wird, aber sie wollen nicht, dass ihre Standort- und biometrischen Daten verkauft werden.
Durch die Bereitstellung von Optionen können die Verbraucher selbst bestimmen, welche persönlichen Daten sie Ihnen zur Weitergabe und zum Verkauf freigeben, was für Ihre Geschäftsabläufe sehr nützlich ist.
Wie man sich abmeldet
Sie müssen erklären, wie die Verbraucher von ihrem Recht Gebrauch machen können, dem Verkauf oder der Weitergabe ihrer persönlichen Daten zu widersprechen.
Die CCPA verlangt, dass Sie ein Webformular bereitstellen, über das die Nutzer ihre Opt-out-Anträge stellen können.
Sie müssen dann eine zweite Möglichkeit für Einzelpersonen vorsehen, ihre Anträge einzureichen, z. B:
- Eine E-Mail
- Eine gebührenfreie Nummer
- Eine globale Kontrolle der Privatsphäre
Wo Sie Ihre Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" anzeigen können
Denken Sie daran, dass das CCPA vorschreibt, dass der Link "Meine persönlichen Daten nicht verkaufen oder weitergeben" in bestimmten Bereichen Ihrer Website angezeigt werden muss:
- Auf der Startseite der Website
- Auf jeder Seite, die persönliche Informationen sammelt
- Auf Ihrer Seite mit den Datenschutzbestimmungen
- Auf der Download-Seite seiner Anwendung oder der Plattformseite seiner Anwendung
Der Link muss "klar und deutlich" und für die Verbraucher leicht zu finden sein.
Website-Fußzeile
Die Benutzer sind daran gewöhnt, die Informationen und rechtlichen Seiten eines Unternehmens in der Fußzeile zu finden, daher ist es eine sichere Sache, dort einen Link zu Ihrer Seite "Meine Daten nicht verkaufen oder weitergeben" zu platzieren.
Cookie Consent Hinweis
Ein weiterer Ort, an dem Sie den Link "Meine persönlichen Daten nicht verkaufen oder weitergeben" einfügen können, ist der cookie banner das beim ersten Besuch Ihrer Website eingeblendet wird.
Da diese Seite jedoch nur dann erscheint, wenn der Verbraucher Ihre Website zum ersten Mal besucht, sollten Sie darauf achten, dass der Link "Meine persönlichen Daten nicht verkaufen oder weitergeben" auch an anderen Stellen auf Ihrer Website zu finden ist.
Innerhalb Ihrer Datenschutzrichtlinie
Sie sollten auch den Link "Meine persönlichen Daten nicht verkaufen oder weitergeben" in Ihre Datenschutzrichtlinien aufnehmen, da die Nutzer in der Regel dorthin gehen, wenn sie Fragen zum Datenschutz haben.
Wie die Fußzeile der Website ist auch Ihre Datenschutzrichtlinie ein geeigneter Ort.
Kurzer Überblick über das CCPA und das CPRA
Das CCPA wurde im Januar 2020 in Kraft gesetzt und regelt die folgenden Punkte:
- Die Methoden, die Unternehmen anwenden können, um persönliche Informationen und Daten der Einwohner Kaliforniens zu sammeln, zu verarbeiten, zu speichern und zu verkaufen.
- Die Rechte, die Einwohner Kaliforniens zum Schutz ihrer persönlichen Daten wahrnehmen können.
- Die Folgen für Unternehmen, die gegen die Bestimmungen des CCPA verstoßen.
Es wurde im Januar 2023 durch den California Privacy Rights Act(CPRA) geändert, der eingeführt wurde:
- Eine neue rechtliche Schwelle.
- Das Konzept der gemeinsamen Nutzung personenbezogener Daten.
- Die Hinzufügung der Kategorie der sensiblen personenbezogenen Daten.
- Neue Verbraucherrechte.
- Geringfügige Änderungen der geschäftlichen Anforderungen.
Beide sind in vollem Umfang in Kraft, und das geänderte Gesetz heißt immer noch CCPA.
Was sind CCPA-Rechte?
Der CCPA sorgt für mehr Transparenz bei der Erfassung von Daten der Einwohner Kaliforniens und gibt ihnen mehr Kontrolle darüber, was mit ihren Daten geschieht, indem er ihnen die folgenden Rechte einräumt.
Recht auf Wissen
Ein Verbraucher hat das Recht, von Ihnen die Offenlegung der folgenden Informationen zu verlangen:
- Kategorien und spezifische persönliche Informationen, die Sie sammeln
- Zwecke der Erhebung dieser personenbezogenen Daten
- Kategorien von Dritten, denen Sie die personenbezogenen Daten mitteilen
- Kategorien der personenbezogenen Daten, die Sie an Dritte weitergeben
Recht auf Löschen
Verbraucher haben das Recht zu verlangen, dass Sie die von Ihnen gesammelten personenbezogenen Daten löschen.
Recht auf Opt-out
Die Opt-out-Rechte des CCPA ermöglichen es den Verbrauchern,:
- Sie bitten darum, dass Sie ihre persönlichen Daten nicht verkaufen oder weitergeben, d. h. eine Seite "Meine persönlichen Daten nicht verkaufen" einrichten.
- verlangen, dass Sie keine sensiblen personenbezogenen Daten erheben
- Verzicht auf automatisierte Entscheidungsfindung und Profiling
Vorbehaltlich von Ausnahmen schreibt das CCPA vor, dass Sie mindestens 12 Monate warten müssen, bevor Sie den Verbraucher erneut zur Teilnahme auffordern können, wenn Sie eine Opt-out-Anfrage von einem Verbraucher erhalten.
Kinder und persönliche Informationen
Das CCPA stellt besondere Anforderungen an den Datenschutz von Kindern, die Sie beachten müssen, wenn Sie personenbezogene Daten von Kindern verkaufen:
- Kinder unter 16 Jahren: Wenn ein Kind in diese Altersgruppe fällt, dürfen Sie seine personenbezogenen Daten nicht verkaufen oder weitergeben, es sei denn, ein Elternteil oder Erziehungsberechtigter stimmt dem Verkauf der Daten zu.
- Kinder zwischen 13 und 16 Jahren: Wenn ein Kind in diese Altersgruppe fällt, müssen Sie die Zustimmung zum Verkauf oder zur Weitergabe seiner persönlichen Daten einholen, aber diese Zustimmung kann von dem Kind kommen.
Recht auf Nicht-Diskriminierung
Sie können einem Verbraucher eine Ware oder Dienstleistung nicht verweigern, einen anderen Preis anbieten oder eine andere Qualität der Ware oder Dienstleistung liefern, wenn er seine Rechte nach dem CCPA wahrnimmt.
Müssen Sie sich an das CCPA halten?
Ein Unternehmen - ganz gleich, wo auf der Welt es sich befindet - muss das CCPA einhalten, wenn es die folgenden Kriterien erfüllt:
- Arbeitet gewinnorientiert;
- sammelt persönliche Informationen seiner Kunden;
- Bestimmt den Zweck und die Mittel der Datenverarbeitung;
- Dienstleistungen für Einwohner Kaliforniens UND Erfüllung einer der folgenden Bedingungen:
- Der jährliche Bruttoumsatz übersteigt 25 Millionen Dollar;
- die persönlichen Daten von 100.000 oder mehr Verbrauchern, Haushalten oder Geräten zu kommerziellen Zwecken kauft, erhält, verkauft oder weitergibt ODER
- mehr als 50 % seiner jährlichen Einnahmen aus dem Verkauf oder der Weitergabe von persönlichen Daten seiner Kunden erzielt.
Gemeinnützige Organisationen und Regierungsbehörden sind vom CCPA ausgenommen.
Zusammenfassung
Nach dem CCPA haben die Einwohner Kaliforniens nun mehr Kontrolle über ihre persönlichen Daten und darüber, wie Unternehmen diese sammeln und verarbeiten dürfen.
Die Seite "Meine persönlichen Daten nicht verkaufen oder weitergeben" ist der Mechanismus, mit dem Verbraucher ihr Recht ausüben können, dem Verkauf oder der Weitergabe ihrer persönlichen Daten zu widersprechen.
Sie muss klar und deutlich sein, für die Verbraucher leicht auffindbar und an mehr als einer Stelle angebracht werden.
Stellen Sie sicher, dass das Personal, das die Anfragen bearbeitet, kompetent geschult ist, um diese Anfragen zu bearbeiten und die CCPA-Anforderungen zu erfüllen.
Mehr über die Autorin
Geschrieben von Ali Talip Pınarbaşı, CIPP/E, & LLM
Ali ist ein in London ansässiger Berater für Datenschutzrecht mit einem Master of Laws-Abschluss in EU-Datenschutzrecht am King's College London. Er hat drei Jahre Erfahrung in der Beratung von Unternehmen bei der Einhaltung von Datenschutzgesetzen. Mehr über die Autorin
