CCPA-Compliance für die Dateifreigabe: Kalifornien-Guide

Der California Consumer Privacy Act (Cal. Civ. Code § 1798.100 et seq.) in der Fassung des California Privacy Rights Act (CPRA, in Kraft seit 1. Januar 2023) gilt für Unternehmen, die personenbezogene Daten californischer Einwohner verarbeiten und eine von drei Schwellen erfüllen: 25 Mio. US-Dollar+ Jahresumsatz, 100.000+ Verbraucher oder Haushalte oder 50 %+ Umsatz aus dem Verkauf oder Teilen personenbezogener Daten. Für Dateifreigabedienste bedeutet CCPA-Compliance: Veröffentlichung eines Datenschutzhinweises gemäß § 1798.130, Bearbeitung von Verbraucheranfragen zu Auskunft, Löschung, Berichtigung und Opt-out aus Verkauf/Weitergabe innerhalb von 45 Tagen, Implementierung von Global Privacy Control (GPC)-Signalen und Abschluss von Service-Provider-Verträgen nach § 1798.140(ag) mit jedem Anbieter, der Daten verarbeitet.

Wer als Business, Service Provider oder Dritter gilt

Der CCPA kennt drei Rollen. Ein „Business" bestimmt Zwecke und Mittel (entspricht dem DSGVO-Verantwortlichen) und trägt die Compliance-Last. Ein „Service Provider" verarbeitet im Auftrag eines Business auf Basis eines schriftlichen Vertrags (entspricht dem Auftragsverarbeiter). Ein „Third Party" ist jeder andere, der Daten in der Regel für eigene Zwecke erhält. Dateiübertragungsplattformen sind üblicherweise Service Provider – sie verarbeiten personenbezogene Daten im Auftrag des Kunden. Der Service-Provider-Vertrag nach § 1798.140(ag) muss Aufbewahrung, Nutzung oder Weitergabe für andere als den spezifischen Geschäftszweck untersagen, Verkauf oder Weitergabe verbieten und den Service Provider zur Meldung verpflichten, wenn eine Nutzung nicht mehr dem Vertrag entspricht.

Verbraucherrechte nach dem CPRA

Das CPRA führte fünf Kernrechte ein: (1) Recht auf Auskunft über erhobene, genutzte, weitergegebene oder verkaufte personenbezogene Daten; (2) Recht auf Löschung mit Ausnahmen für Transaktionsabwicklung, Sicherheit und rechtliche Verpflichtungen; (3) Recht auf Berichtigung unrichtiger personenbezogener Daten; (4) Recht auf Opt-out aus Verkauf oder Weitergabe; (5) Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten. Rechte (1)–(3) müssen innerhalb von 45 Tagen nach Antrag erfüllt werden, verlängerbar um weitere 45 Tage mit Benachrichtigung. Für Dateifreigabedienste implementieren Sie: einen „Do Not Sell or Share My Personal Information"-Link, ein Antragsformular für Betroffenenrechte, Identitätsverifizierungsverfahren und 24-monatig aufbewahrte Protokolle erfüllter Anträge.

Was als sensible personenbezogene Daten gilt

CPRA § 1798.140(ae) definiert sensible personenbezogene Daten: Sozialversicherungsnummer, Führerschein, Ausweis-Nr., Reisepassnummer; Kontoanmeldedaten mit Sicherheitszugangsdaten; genaue Geolokalisierung (Radius von 564 Metern); rassische oder ethnische Herkunft; religiöse oder weltanschauliche Überzeugungen; Gewerkschaftsmitgliedschaft; Inhalt von E-Mails und Textnachrichten, die nicht an das Unternehmen gerichtet sind; genetische Daten; biometrische Daten zur eindeutigen Identifizierung; Gesundheitsinformationen; Sexualleben oder sexuelle Orientierung. Bei Dateifreigabediensten enthalten Dateiinhalte häufig solche sensiblen Daten – Krankenakten, Zahlungs-Spreadsheets, Ausweiskopien. Verbraucher können Unternehmen anweisen, die SPI-Nutzung auf spezifische Geschäftszwecke gemäß § 1798.121 zu beschränken.

Service-Provider-Verträge nach § 1798.140(ag)

Jeder Anbieter, der Daten californischer Einwohner berührt, benötigt einen Service-Provider-Vertrag. Pflichtbestandteile: (1) Verbot von Verkauf oder Weitergabe, (2) Verbot der Aufbewahrung für andere als den spezifischen Geschäftszweck, (3) Verbot der Nutzung außerhalb des Geschäftskontexts, (4) Pflicht zur Einhaltung der CCPA-Pflichten, (5) Prüfungsrechte des Business, (6) Pflicht des Service Providers zur Meldung von Sub-Processorwechseln, (7) Unterstützungspflicht bei Betroffenenanfragen. Dateiübertragungsanbieter, die einen CCPA-konformen Service-Provider-Vertrag veröffentlichen – HexaTransfer, Box, Dropbox Business –, machen Compliance zur reinen Unterschriftsübung. Anbieter ohne einen solchen Vertrag benötigen eine individuelle Ergänzungsvereinbarung.

Datenschutzhinweisanforderungen nach § 1798.130

Der Hinweis zum Zeitpunkt der Erhebung muss die Kategorien erhobener personenbezogener Daten und die Zwecke benennen und ggf. einen „Do Not Sell or Share"-Link enthalten. Die vollständige Datenschutzrichtlinie muss auflisten: alle in den letzten 12 Monaten erhobenen Kategorien, Quellen, Geschäfts- oder Handelszwecke, verkaufte oder geteilte Kategorien (oder Erklärung, dass kein Verkauf stattfindet), für Geschäftszwecke weitergegebene Kategorien und Aufbewahrungsfristen. Die Richtlinie mindestens alle 12 Monate aktualisieren. Für Dateifreigabeprodukte sollte der Hinweis abdecken: Kontodaten, hochgeladene Inhalte, Metadaten (IPs, Zeitstempel), Sub-Processor-Liste und Aufbewahrungsplan.

Global Privacy Control und Opt-out-Signale

Die CCPA-Verordnung § 7025 verpflichtet Unternehmen, die personenbezogene Daten verkaufen oder teilen, das Global Privacy Control (GPC) als gültiges Opt-out-Signal zu verarbeiten. GPC ist eine Browser-Einstellung (Firefox, Brave, DuckDuckGo; Chrome und Safari ausstehend), die einen Sec-GPC: 1-Header sendet. Die Verarbeitung dieses Signals als gültiger Verbraucherantrag ist verpflichtend. Für Dateifreigabeplattformen, die keine Daten verkaufen oder teilen, ist GPC-Unterstützung empfohlen, aber nicht zwingend erforderlich. Nutzt die Plattform Analytics, die als Weitergabe gelten (die meisten kontextübergreifenden Verhaltenswerbe-Pixel), muss GPC berücksichtigt werden.

Die CPPA und die Durchsetzungsrealität

Die California Privacy Protection Agency (CPPA), gegründet durch den CPRA, begann im Juli 2023 mit der Durchsetzung. Bußgelder: 2.500 US-Dollar pro Verstoß, 7.500 US-Dollar pro vorsätzlichem Verstoß oder Verstoß gegen Minderjährigenschutz. Verstöße summieren sich pro betroffenem Verbraucher – ein Verstoß, der 10.000 californische Einwohner betrifft, kann theoretisch 75 Mio. US-Dollar erreichen. Die CPPA war aktiv: erste Durchsetzungsmaßnahme gegen Sephora (August 2022, 1,2 Mio. USD), zweite gegen DoorDash (Februar 2024, 375.000 USD), weitere gegen Softwareunternehmen in 2024 wegen fehlender Service-Provider-Vertragsklauseln.

Shine-the-Light-Gesetz und AB-1950-Überschneidungen

Kaliforniens älteres Shine-the-Light-Gesetz (Cal. Civ. Code § 1798.83, gültig seit 2005) gibt Verbrauchern das Recht, die Weitergabe personenbezogener Daten an Dritte für Direktmarketing zu erfahren. Es gilt weiterhin neben dem CCPA. AB 1950 (Cal. Civ. Code § 1798.81.5) verlangt angemessene Sicherheit für personenbezogene Daten californischer Einwohner – Verschlüsselung, Zugriffskontrollen, Lieferantenmanagement. Technische Sicherheit für Dateiübertragung unter AB 1950: AES-256-Verschlüsselung, MFA für Admin-Zugriff, jährliche Risikobewertung. Verstöße lösen ein privates Klagerecht nach § 1798.150 aus, wenn ein Datenschutzverstoß auf das Fehlen angemessener Sicherheit zurückzuführen ist.

Das private Klagerecht

§ 1798.150 gibt Verbrauchern ein privates Klagerecht für Verstöße gegen nicht verschlüsselte, nicht geschwärzte personenbezogene Daten. Gesetzliche Schäden: 100 bis 750 US-Dollar pro Verbraucher und Vorfall oder tatsächliche Schäden. Ein Datenleck eines Spreadsheets mit 100.000 californischen Verbrauchern einschließlich Sozialversicherungsnummern könnte eine Sammelklage mit einem Streitwert von 10 bis 75 Mio. USD auslösen. Der gesetzliche Safe Harbor: Verschlüsselung. Waren die geleakten Daten verschlüsselt und die Schlüssel nicht kompromittiert, greift das private Klagerecht nicht. Deshalb setzen Dateifreigabeanbieter, die californische Kunden bedienen, standardmäßig auf AES-256 mit strikter Schlüsseltrennung.

Praktische Compliance-Checkliste

Für eine Dateifreigabeplattform, die californische Nutzer bedient: (1) CCPA-konforme Datenschutzrichtlinie veröffentlichen und jährlich aktualisieren; (2) „Do Not Sell or Share"-Link hinzufügen, selbst wenn kein Verkauf stattfindet – dokumentieren, warum er keine Wirkung hat; (3) Antragsformular für Betroffenenrechte mit 45-Tage-SLA aufbauen; (4) Identitätsverifizierung implementieren (E-Mail-Bestätigung plus ein weiterer Faktor); (5) Service-Provider-Verträge mit jedem Sub-Processor abschließen; (6) GPC-Signale auf Analytics-Ebene berücksichtigen; (7) Antragsaufzeichnungen 24 Monate aufbewahren; (8) Zugriff auf personenbezogene Daten für Audits protokollieren; (9) alles mit AES-256 verschlüsseln; (10) den Betroffenenrechte-Workflow vierteljährlich testen.

Mehrstaaatliche Komplexität

Kalifornien ist nicht allein. Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregon (OCPA) und mehr als zehn weitere US-Staaten haben Datenschutzgesetze mit überlappenden, aber nicht identischen Anforderungen erlassen. Compliance um den CCPA als strengsten gemeinsamen Nenner zu bauen, deckt in der Regel den Rest ab, aber beachten Sie staatsspezifische Besonderheiten: Virginia verlangt DPIAs für bestimmte Verarbeitungen; Colorado schreibt universelle Opt-out-Mechanismen vor; Texas weitet die Anwendbarkeit basierend auf der Ausrichtung auf californische Einwohner aus. Nutzen Sie Compliance-Tools (OneTrust, DataGrail, Ethyca), um die Matrix in großem Maßstab zu verwalten.

Kalifornien setzt den Mindeststandard; jeder US-Staat legt darüber auf. Planen Sie für Flexibilität. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.