Risikobewertungen und automatisierte Entscheidungen (ADMT) nach der CCPA-Verordnung

Problem in der Praxis

Deutsche Unternehmen kennen Datenschutz-Folgenabschätzungen nach der DSGVO und nehmen an, damit seien kalifornische Risikobewertungen erledigt. Die Verordnung erlaubt die Mitnutzung einer für einen anderen Zweck erstellten Bewertung, aber nur, wenn sie die vorgeschriebenen Inhalte enthält oder um die fehlenden ergänzt wird (7156(b)). Für US-Töchter ist besonders relevant, dass automatisierte Auswertungen über Beschäftigte und Bewerber, etwa zur Leistung am Arbeitsplatz, ausdrücklich als risikoreiche Verarbeitung genannt sind und Werkzeuge zur Bewerberauswahl als ADMT für erhebliche Entscheidungen gelten können.

CISO-Einordnung

Risikobewertung (11 CCR 7150 bis 7157):

• Auslöser (7150(b)): Verkauf oder Teilen; Verarbeitung sensibler Daten, ausgenommen die Verarbeitung sensibler Daten von Beschäftigten oder Auftragnehmern ausschließlich zur Lohnabrechnung, zur Feststellung und Speicherung der Arbeitserlaubnis, zur Verwaltung von Leistungen, für gesetzlich gebotene Vorkehrungen oder gesetzliche Lohnmeldungen; ADMT für eine erhebliche Entscheidung; automatisierte Rückschlüsse auf Fähigkeiten, Leistung, Gesundheit, Verhalten oder Bewegungen auf Grundlage systematischer Beobachtung von Bewerbern, Studierenden, Beschäftigten oder Auftragnehmern; entsprechende Rückschlüsse über Verbraucher allgemein aufgrund ihrer Anwesenheit an sensiblen Orten, ausgenommen die Nutzung ausschließlich zur Warenlieferung an den Verbraucher oder zu seiner Beförderung an einem sensiblen Ort; Verarbeitung zum Training von ADMT für erhebliche Entscheidungen oder von Gesichts-, Emotionserkennungs- oder Identifizierungstechnik.
• Zweck und Inhalt (7152): Bewertet wird, ob die Risiken für die Privatsphäre den Nutzen für Verbraucher, Business, andere Beteiligte und Öffentlichkeit überwiegen; der Zweck ist konkret zu beschreiben, nicht allgemein ("to improve our services"). Die weiteren Pflichtinhalte stehen in 7152 und werden hier nicht im Einzelnen wiedergegeben.
• Beteiligung (7151): Beschäftigte, die an der Verarbeitung mitwirken, sind in die Bewertung einzubeziehen; externe Beteiligte können einbezogen werden.
• Zeitpunkte (7155): vor Beginn der Verarbeitung; Überprüfung mindestens alle drei Jahre; Aktualisierung bei wesentlicher Änderung so bald wie möglich, spätestens binnen 45 Kalendertagen; Altverarbeitungen bis 31.12.2027; Aufbewahrung, solange die Verarbeitung andauert oder fünf Jahre nach Abschluss der Bewertung, je nachdem was später ist.
• Mitnutzung (7156): eine Bewertung für vergleichbare Verarbeitungen; Nutzung einer für einen anderen Zweck erstellten Bewertung, wenn sie die Inhalte des 7152 enthält oder ergänzt wird.
• Übermittlung (7157): Angaben zu durchgeführten Bewertungen (unter anderem Anzahl, betroffene Datenkategorien) mit Bestätigung bis 01.04.2028 für 2026 und 2027, danach jährlich bis 01.04.; Vorlage der Berichte auf Verlangen von CPPA oder Attorney General binnen 30 Kalendertagen.

ADMT (11 CCR 7001, 7200 ff.):

• Begriff: Technik, die personenbezogene Daten verarbeitet und mit Berechnung menschliche Entscheidungen ersetzt oder im Wesentlichen ersetzt. Im Wesentlichen ersetzt heißt: Die Ausgabe wird ohne menschliche Beteiligung verwendet; menschliche Beteiligung verlangt, dass ein Mensch die Ausgabe verstehen und verwenden kann, sie samt anderer relevanter Informationen prüft und die Befugnis hat, die Entscheidung zu treffen oder zu ändern. Hosting, Netze, Speicherung, Firewalls, Virenschutz und ähnliche Werkzeuge sind keine ADMT, solange sie keine Entscheidung ersetzen.
• Erhebliche Entscheidung: Gewährung oder Versagung von Finanz- oder Kreditleistungen, Wohnraum, Bildungszugang und -abschlüssen, Beschäftigung oder Auftragnehmerverhältnissen oder Vergütung, Gesundheitsleistungen. Eine Wohnraumentscheidung allein nach Verfügbarkeit oder Leerstand oder nach erfolgreichem Zahlungseingang ist keine erhebliche Entscheidung.
• Vorab-Hinweis (7220): mit konkretem Zweck, Beschreibung der Rechte auf Widerspruch und Auskunft; er ist vor oder bei der Erhebung der Daten zu geben, die mit ADMT verarbeitet werden sollen; wurden die Daten zuvor für einen anderen Zweck erhoben, vor der ADMT-Verarbeitung.
• Widerspruchsrecht (7221(b)): entfällt, wenn die Business einen leicht nutzbaren Beschwerdeweg zu einem benannten menschlichen Prüfer bietet, der die ADMT-Ausgabe verstehen und verwenden kann, sie samt der vom Verbraucher vorgebrachten Informationen prüft und die Entscheidung ändern darf; ferner bei Zulassungs-, Annahme- und Einstellungsentscheidungen, wenn die ADMT ausschließlich zur Beurteilung der Leistungsfähigkeit bei der Arbeit oder im Bildungsprogramm dient, und bei Arbeitszuweisung und Vergütung, wenn sie ausschließlich dafür eingesetzt wird, jeweils nur, wenn sie für den Zweck funktioniert und nicht rechtswidrig diskriminiert; der Hinweis erläutert dann den Beschwerdeweg oder nennt die genutzte Ausnahme (7220(c)(2)).
• Zeitpunkt: Einhaltung ab 01.01.2027 für vorher begonnene Nutzungen, sonst ab Einsatzbeginn (7200(b)).

Umsetzungsperspektive

• Verarbeitungen mit Auslösern nach 7150(b) inventarisieren, einschließlich HR- und Bewerberprozessen der US-Tochter.
• Vorhandene DSGVO-Folgenabschätzungen gegen 7152 abgleichen und ergänzen.
• Altverarbeitungen bis 31.12.2027 bewerten und die Übermittlung bis 01.04.2028 vorbereiten.
• ADMT-Einsätze identifizieren und prüfen, ob die menschliche Beteiligung die Anforderungen erfüllt; wenn nicht, Vorab-Hinweis, Auskunfts- und Widerspruchsrecht oder eine zulässige Ausnahme (etwa einen Beschwerdeweg zu einem menschlichen Prüfer) bis 01.01.2027 umsetzen.
• Prozess für wesentliche Änderungen mit der 45-Tage-Frist verankern.

Typische Fehler

1. DSGVO-Folgenabschätzungen werden ohne Abgleich mit 7152 als ausreichend angesehen.
2. Bewerber- und Leistungsauswertungen der US-Tochter werden nicht als risikoreiche Verarbeitung erkannt.
3. Ein "Mensch im Prozess" wird angenommen, der die Ausgabe nur abnickt, ohne Prüfung und Entscheidungsbefugnis.
4. Altverarbeitungen werden nicht bis 31.12.2027 nachbewertet.
5. Wesentliche Änderungen lösen keine fristgerechte Aktualisierung aus.

Risiken und Trade-offs

Echte menschliche Beteiligung kann ADMT-Pflichten vermeiden, kostet aber Personal und Zeit; eine nur formale Beteiligung erfüllt die Definition nicht. Eine einheitliche Bewertungsmethode für DSGVO und CCPA spart Aufwand, muss aber die kalifornischen Pflichtinhalte und Fristen abdecken. Die Übermittlung an die Behörde macht Bewertungen nachprüfbar; ihre Qualität ist damit auch ein Durchsetzungsrisiko.

Entscheidungspunkte

• Welche Verarbeitungen lösen eine Risikobewertung aus, und welche sind Altverarbeitungen?
• Welche vorhandenen Bewertungen lassen sich mitnutzen?
• Wo wird ADMT für erhebliche Entscheidungen eingesetzt, und ist die menschliche Beteiligung belastbar?
• Wer übermittelt die Angaben an die CPPA?

Praktische Empfehlungen

1. Inventarisieren Sie Verarbeitungen nach 11 CCR 7150(b), einschließlich HR-Prozessen.
2. Gleichen Sie vorhandene Folgenabschätzungen mit 7152 ab und ergänzen Sie fehlende Inhalte.
3. Planen Sie die Nachbewertung von Altverarbeitungen bis 31.12.2027 und die Übermittlung bis 01.04.2028.
4. Prüfen Sie ADMT-Einsätze auf echte menschliche Beteiligung und bereiten Sie Hinweise und Rechte bis 01.01.2027 vor.
5. Verankern Sie die 45-Tage-Frist für Aktualisierungen bei wesentlichen Änderungen.

Relevante Normreferenzen

• 11 CCR 7001 (Begriffe ADMT und Significant decision), 7150 bis 7157 (Risk Assessments), 7200, 7220 (ADMT) (CCPA Regulations, Fassung ab 01.01.2026).
• Cal. Civ. Code 1798.140(ae), 1798.185.