Kalifornien als Vorreiter im Datenschutz und in der Tech-Regulierung

Kaliforniens Datenschutzmodell: Ein Impuls für globale Standards?

Die Debatte um den Datenschutz im digitalen Raum ist eine der prägendsten unserer Zeit. Während die Europäische Union mit der Datenschutz-Grundverordnung (DSGVO) einen globalen Standard für den Schutz personenbezogener Daten gesetzt hat, entwickelt auch der US-Bundesstaat Kalifornien eigene, fortschrittliche Regelwerke. Insbesondere der California Consumer Privacy Act (CCPA) und seine Erweiterung, der California Privacy Rights Act (CPRA), bieten Ansätze, die eine nähere Betrachtung wert sind. Diese Regelungen beeinflussen nicht nur Unternehmen in Kalifornien, sondern haben aufgrund der globalen Vernetzung auch Relevanz für internationale Akteure.

Ein Paradigmenwechsel bei der Datenerfassung im Browser

Ein wiederkehrendes Ärgernis für Internetnutzer weltweit sind die omnipräsenten Cookie-Banner, die aufgrund der DSGVO-Anforderungen eine explizite Zustimmung zur Datenerhebung verlangen. Dieses Modell, obwohl datenschutzfreundlich, führt oft zu einer Ermüdung bei den Nutzern, die routinemäßig auf "Akzeptieren" klicken, ohne die Implikationen vollständig zu verstehen. Kalifornien hat hier einen anderen Weg eingeschlagen.

Das kalifornische Gesetz sieht vor, dass Browser-Hersteller eine Funktion implementieren müssen, die es Nutzern ermöglicht, per einfachem "Häkchen" im Browser mitzuteilen, dass keine persönlichen Daten von Websites erhoben werden dürfen. Wird diese Option aktiviert, ist es der Website untersagt, personenbezogene Daten zu sammeln. Dieser Ansatz verlagert die Verantwortung weg von der einzelnen Website hin zum Browser und könnte eine elegantere Lösung für das Problem der ständigen Zustimmungsabfragen darstellen. Die Einfachheit dieser Lösung ist bemerkenswert, zumal sie aus einem Bundesstaat stammt, der einige der größten Internetkonzerne der Welt beheimatet, deren Geschäftsmodelle stark auf Datenerhebung basieren.

Es ist festzuhalten, dass die EU-Kommission ebenfalls an einer Anpassung der DSGVO arbeitet, die einen vergleichbaren Mechanismus ermöglichen könnte. Dies deutet darauf hin, dass die kalifornische Initiative als Impulsgeber für weitere Entwicklungen im europäischen Datenschutz dienen könnte.

CCPA und CPRA: Die Grundlagen des kalifornischen Datenschutzes

Der CCPA, am 1. Januar 2020 in Kraft getreten, war das erste umfassende moderne Datenschutzgesetz in den Vereinigten Staaten. Er gewährt Einwohnern Kaliforniens weitreichende Rechte bezüglich ihrer persönlichen Daten. Der CPRA, der am 1. Januar 2023 in Kraft trat, erweitert diese Rechte und schließt Lücken des CCPA.

Wesentliche Rechte der Verbraucher unter CCPA/CPRA umfassen:

• Das Recht zu erfahren, welche personenbezogenen Daten gesammelt werden.
• Das Recht, den Verkauf oder die Weitergabe der eigenen Daten an Dritte abzulehnen.
• Das Recht auf Zugang zu den gesammelten Daten.
• Das Recht auf Löschung der eigenen Daten.
• Das Recht auf Berichtigung unrichtiger Daten.
• Das Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten.
• Das Recht, Informationen über automatisierte Entscheidungsfindung anzufordern und dieser zu widersprechen.

Diese Rechte gelten für gewinnorientierte Unternehmen, die bestimmte Schwellenwerte überschreiten, beispielsweise einen Jahresumsatz von über 25 Millionen US-Dollar, die Verarbeitung von Daten von mehr als 100.000 kalifornischen Einwohnern oder Haushalten, oder wenn mehr als 50 Prozent des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten resultieren. Im Gegensatz zur DSGVO, die eine explizite vorherige Zustimmung (Opt-in) für die Datenverarbeitung verlangt, setzt der CCPA/CPRA primär auf ein Opt-out-Modell, bei dem die Nutzer dem Verkauf oder der Weitergabe ihrer Daten widersprechen können.

Definition von personenbezogenen Daten und Cookies

Die Definition von "personenbezogenen Daten" ist im CCPA und CPRA weit gefasst und umfasst Informationen, die eine Person identifizieren, sich auf sie beziehen oder mit ihr in Verbindung gebracht werden können. Dazu gehören direkte Identifikatoren (Name, Adresse), eindeutige Identifikatoren (Cookies, IP-Adressen), biometrische Daten, Geolokalisierungsdaten und Internetaktivitäten. Auch Informationen, die durch Schlussfolgerung zur Identifizierung einer Person führen können, fallen darunter. Cookies werden explizit als eindeutige Identifikatoren und somit als personenbezogene Daten eingestuft.

Unternehmen, die unter die kalifornischen Gesetze fallen, müssen ihre Datenschutzrichtlinien entsprechend anpassen, einen "Meine personenbezogenen Daten nicht verkaufen oder weitergeben"-Link auf ihrer Website bereitstellen und die Einwilligung von Minderjährigen (unter 16 Jahren) einholen, bevor deren Daten verkauft oder weitergegeben werden dürfen.

Sicherheitsaspekte und Durchsetzung

Sowohl CCPA als auch CPRA legen großen Wert auf Datensicherheit. Unternehmen sind verpflichtet, angemessene Sicherheitsmaßnahmen zu implementieren, um persönliche Informationen vor unberechtigtem Zugriff oder Verlust zu schützen. Dazu gehören Verschlüsselung, Zugriffskontrollen, Datenminimierung und regelmäßige Sicherheitsbewertungen. Bei Datenschutzverletzungen müssen Verbraucher und relevante Behörden benachrichtigt werden.

Die Durchsetzung des CCPA obliegt dem Generalstaatsanwalt von Kalifornien. Bei Verstößen können Geldbußen von bis zu 7.500 US-Dollar pro vorsätzlichem Verstoß verhängt werden. Im Vergleich zu den möglichen Bußgeldern der DSGVO, die bis zu 4% des weltweiten Jahresumsatzes oder 20 Millionen Euro betragen können, erscheinen diese Beträge geringer. Allerdings wurde mit dem CPRA auch die California Privacy Protection Agency (CPPA) als Aufsichts- und Durchsetzungsbehörde eingerichtet, was die Bedeutung der Regulierung unterstreicht.

Kalifornien als Vorreiter in der Tech-Regulierung

Neben dem Datenschutz zeigt Kalifornien auch in anderen Bereichen der Tech-Regulierung progressive Ansätze. Ein Beispiel ist das "Recht auf Reparatur", das sicherstellen soll, dass defekte Geräte nicht zu Elektroschrott werden, sondern repariert werden können. Das kalifornische Gesetz hierzu trat im Juli 2024 in Kraft und galt rückwirkend, während eine vergleichbare EU-Richtlinie erst ab Sommer 2026 wirksam wird und nicht rückwirkend gilt.

Auch im Bereich der KI-Gesetzgebung agiert Kalifornien schnell. Während der europäische AI Act im August 2027 vollständig angewendet werden soll, wird ein ein Jahr später verabschiedetes kalifornisches KI-Gesetz bereits 1,5 Jahre in Kraft sein. Besonders hervorzuheben sind die Transparenzpflichten: Während der AI Act vorsieht, dass Hersteller von KI-Modellen technische Spezifikationen und Risikoeinschätzungen gegenüber Behörden offenlegen müssen, verlangt das kalifornische Gesetz, dass diese Informationen öffentlich auf der Website des Unternehmens bereitgestellt werden. Dies ermöglicht der Öffentlichkeit einen besseren Einblick in potenzielle Risiken und Gegenmaßnahmen.

Zudem sind die Regelungen zu Sicherheitsvorfällen im kalifornischen Modell spezifischer, mit klaren Meldefristen von 15 Tagen, in lebensbedrohlichen Fällen sogar innerhalb von 24 Stunden.

Fazit und Ausblick

Die EU und Kalifornien verfolgen ähnliche Ziele im Bereich des Datenschutzes und der Tech-Regulierung, unterscheiden sich jedoch in ihren Ansätzen und der Geschwindigkeit der Umsetzung. Kaliforniens Modell, insbesondere im Hinblick auf die Vereinfachung der Cookie-Zustimmung und die Transparenzpflichten bei KI, bietet interessante Impulse. Die Fähigkeit eines einzelnen US-Bundesstaates, schneller auf technologische Entwicklungen zu reagieren als ein Verbund von 27 Nationalstaaten, ist hierbei ein relevanter Faktor.

Für Unternehmen, die weltweit agieren, bedeutet dies eine kontinuierliche Anpassung an unterschiedliche, sich entwickelnde Rechtsrahmen. Die Kenntnis der spezifischen Anforderungen sowohl der DSGVO als auch des CCPA/CPRA ist entscheidend, um Compliance sicherzustellen und potenzielle Risiken zu minimieren. Ein "Blick über den Tellerrand" nach Kalifornien kann dabei helfen, zukünftige Entwicklungen und Best Practices im Bereich der Tech-Regulierung frühzeitig zu erkennen und zu bewerten.

Bibliography - t3n.de: "Kalifornien löst ein Problem, an dem die EU seit Jahren scheitert", Kim Rixecker, 15.11.2025 - heise.de: "Tech-Regulierung: Was die EU von Kalifornien lernen kann", Kim Rixecker, 12.11.2025 - cookiebot.com: "Was ist der CCPA?", 14.11.2025 - datasunrise.com: "CCPA und CPRA", Greg, 08.05.2024 - papermark.com: "Kurzleitfaden: Vergleich von DSGVO vs. CCPA für die Dokumentenverarbeitung", 01.01.2025 - cookiebot.com: "CCPA vs. DSGVO | Konformität mit Cookiebot", anna, 04.03.2024 - ionos.de: "California Consumer Privacy Act (CCPA): Inhalt, Ziele & Auswirkungen", 15.01.2020 - datenschutz-generator.de: "Neu ab 2020: California Consumer Privacy Act (CCPA) – Neue Pflichten neben der DSGVO?", Dr. Thomas Schwenke, 14.05.2025 - datasunrise.com: "CCPA-Konformität: Ein umfassender Leitfaden zum Datenschutz", Greg, 30.03.2021 - derstandard.at: "Brüssel will den Wahnsinn mit den Cookie-Bannern beenden", 25.09.2025