Service Provider, Contractor, Third Party: Rollen und Pflichtverträge unter dem CCPA

Problem in der Praxis

Deutsche Anbieter legen kalifornischen Kunden oft ihren Auftragsverarbeitungsvertrag nach DSGVO vor. Er deckt einen Teil der Anforderungen ab, aber nicht die spezifischen CCPA-Verbote, die erst die Rolle als Service Provider oder Contractor begründen. Fehlen sie, kann der Empfänger rechtlich als Third Party gelten, und die Weitergabe kann für die Business ein "Verkauf" oder "Teilen" mit den daran geknüpften Pflichten werden. Für den Anbieter ist der Vertrag also nicht nur Formsache, sondern die Grundlage, auf der der Kunde ihn überhaupt einsetzen kann.

CISO-Einordnung

Rollen nach Cal. Civ. Code 1798.140:

• Service Provider (Abs. ag): verarbeitet personenbezogene Daten im Auftrag einer Business und erhält sie für einen Business Purpose auf Grundlage eines schriftlichen Vertrags, der verbietet: Verkauf oder Teilen; Speicherung, Nutzung oder Offenlegung für andere als die vertraglich festgelegten Business Purposes, auch für andere kommerzielle Zwecke, soweit das Gesetz nichts anderes erlaubt; Speicherung, Nutzung oder Offenlegung außerhalb der direkten Geschäftsbeziehung; Zusammenführen mit Daten aus anderen Quellen, außer zur Erfüllung bestimmter in der Verordnung festgelegter Business Purposes.
• Contractor (Abs. j): erhält Daten von der Business für einen Business Purpose auf Grundlage eines schriftlichen Vertrags mit denselben Verboten und zusätzlich einer Bestätigung des Contractors, dass er die Beschränkungen versteht und einhalten wird.
• Third Party (Abs. ai): wer weder die Business, mit der der Verbraucher bewusst interagiert und die dabei seine Daten erhebt, noch ein Service Provider oder Contractor dieser Business ist. Eine andere Business kann daher Third Party sein.
• Erlaubte Nutzungen nach der Verordnung (11 CCR 7050(a)): Service Provider und Contractors dürfen Daten außer für die vertraglichen Business Purposes unter anderem auch zum Einsatz von Unterauftragnehmern, die selbst die Anforderungen erfüllen, zur internen Verbesserung der für die Business erbrachten Dienste (nicht für Leistungen an Dritte) und zur Verhinderung, Erkennung oder Untersuchung von Sicherheitsvorfällen nutzen, auch wenn diese Zwecke nicht im Vertrag stehen, jeweils soweit notwendig und verhältnismäßig.
• Business Purpose (Abs. e): Nutzung für operative oder andere mitgeteilte Zwecke der Business oder für operative Zwecke des Service Providers oder Contractors, soweit vernünftigerweise notwendig und verhältnismäßig; dazu gehören unter anderem Sicherheit und Integrität, soweit dafür notwendig und verhältnismäßig, sowie Fehlerbehebung.

Pflichtvertrag nach 1798.100(d), für jeden Empfänger (Third Party, Service Provider, Contractor):

1. Festlegung, dass die Daten nur für begrenzte und festgelegte Zwecke verkauft oder offengelegt werden;
2. Verpflichtung des Empfängers, die anwendbaren Pflichten des Gesetzes einzuhalten und dasselbe Schutzniveau zu bieten;
3. Recht der Business, angemessene Schritte zu ergreifen, um eine gesetzeskonforme Nutzung sicherzustellen;
4. Pflicht des Empfängers, die Business zu benachrichtigen, wenn er seine Pflichten nicht mehr erfüllen kann;
5. Recht der Business, nach Mitteilung angemessene Schritte zu ergreifen, um eine unbefugte Nutzung zu stoppen und zu beheben.

Die Verordnung der CPPA (11 CCR 7050 ff.) konkretisiert die Vertragsanforderungen; sie werden hier nicht im Einzelnen wiedergegeben. Für die Sicherheit relevant: Nach der Verordnung zum Cybersecurity Audit gehört zu den zu prüfenden Zugriffskontrollen auch die Beschränkung der Zugriffe von Service Providern und Contractors auf das für den vertraglichen Business Purpose Notwendige (ccpa-cpra-004).

Umsetzungsperspektive

• Vertragsmuster für kalifornische Kunden um die CCPA-spezifischen Verbote und die Pflichtelemente aus 1798.100(d) ergänzen, statt den DSGVO-Auftragsverarbeitungsvertrag unverändert zu verwenden.
• Eigene Datennutzungen prüfen: Nutzt das Unternehmen Kundendaten für eigene Zwecke (Produktverbesserung, Analytik, Training), muss das mit der Rolle, dem Vertrag und den in 11 CCR 7050(a) erlaubten Nutzungen vereinbar sein.
• Zusammenführungsverbote technisch abbilden: Datenhaltung je Kunde, keine Vermischung mit Daten anderer Kunden außerhalb erlaubter Zwecke.
• Melde- und Mitwirkungsprozess für den Fall definieren, dass Pflichten nicht mehr erfüllt werden können.

Typische Fehler

1. Ein DSGVO-Auftragsverarbeitungsvertrag wird ohne CCPA-Ergänzungen verwendet.
2. Kundendaten werden für eigene Produktzwecke genutzt, obwohl der Vertrag das ausschließt.
3. Die Bestätigung des Contractors fehlt.
4. Das Zusammenführen von Daten verschiedener Kunden ist technisch nicht verhindert.
5. Die Business schließt mit Third Parties keinen Vertrag nach 1798.100(d).

Risiken und Trade-offs

Ein einheitliches globales Vertragswerk vereinfacht die Verwaltung, muss aber die kalifornischen Pflichtelemente vollständig enthalten. Weitgehende eigene Nutzungsrechte an Kundendaten sind kommerziell attraktiv, gefährden aber die Rolle als Service Provider oder Contractor und damit die Einsetzbarkeit beim Kunden.

Entscheidungspunkte

• In welcher Rolle steht das Unternehmen gegenüber jedem kalifornischen Kunden?
• Enthalten die Verträge die Verbote aus 1798.140(ag) bzw. (j) und die Elemente aus 1798.100(d)?
• Welche eigenen Nutzungen von Kundendaten sind mit der Rolle vereinbar?
• Wie wird das Zusammenführungsverbot technisch umgesetzt?

Praktische Empfehlungen

1. Ergänzen Sie Ihre Vertragsmuster um die CCPA-Verbote und die fünf Pflichtelemente.
2. Inventarisieren Sie eigene Nutzungen von Kundendaten und prüfen Sie sie gegen die Rolle.
3. Trennen Sie Kundendaten technisch und dokumentieren Sie erlaubte Zusammenführungen.
4. Legen Sie fest, wie Sie Kunden benachrichtigen, wenn Pflichten nicht mehr erfüllt werden können.
5. Begrenzen Sie Zugriffe eigener Mitarbeiter auf das für den Business Purpose Notwendige.

Relevante Normreferenzen

• Cal. Civ. Code 1798.100(d), 1798.140(e), (j), (ag), (ai) (Fassung ab 01.01.2026, Behördenfassung der CPPA).
• 11 CCR 7050 ff. (Verträge, nur Referenz); 11 CCR 7123 (Zugriffskontrollen im Cybersecurity Audit).