Angemessene Sicherheit, Klagerecht bei Datenpannen und Bußgelder unter dem CCPA

Problem in der Praxis

Weil der Schadensersatz je Verbraucher und Vorfall bemessen wird, wächst das Risiko eines Datenvorfalls mit der Zahl der betroffenen kalifornischen Verbraucher. Für eine deutsche Gruppe mit vielen US-Kunden kann ein einziger Vorfall erhebliche Summen auslösen, auch ohne nachgewiesenen Schaden. Zugleich wird der Maßstab "angemessene Sicherheit" im CCPA selbst nicht ausbuchstabiert; er verweist auf eine andere Vorschrift des kalifornischen Rechts (1798.81.5), die in diesem Track nicht ausgewertet ist.

Ein zweiter Punkt ist die Abhilfe: Vor einer Klage auf gesetzlichen Schadensersatz muss der Verbraucher 30 Tage vorher schriftlich mitteilen, und wenn die Business innerhalb dieser Frist tatsächlich abhilft und dem Verbraucher ausdrücklich schriftlich erklärt, dass die Verstöße behoben sind und keine weiteren erfolgen werden, ist eine solche Klage ausgeschlossen. Ausdrücklich gilt die Einführung angemessener Sicherheit nach dem Vorfall nicht als Abhilfe für diesen Vorfall.

CISO-Einordnung

Sicherheitspflicht (1798.100(e)): angemessene Sicherheitsverfahren und -praktiken, der Art der Daten entsprechend, zum Schutz vor unbefugtem oder rechtswidrigem Zugriff, Zerstörung, Nutzung, Änderung oder Offenlegung, nach Maßgabe von 1798.81.5.

Klagerecht (1798.150):

• Voraussetzungen: nicht verschlüsselte und nicht geschwärzte personenbezogene Daten im Sinne von 1798.81.5(d)(1)(A) oder E-Mail-Adresse mit Passwort oder Sicherheitsfrage und Antwort, die Zugang zum Konto ermöglichen würden; unbefugter Zugriff mit Exfiltration, Diebstahl oder Offenlegung; als Folge der Verletzung der Sicherheitspflicht.
• Rechtsfolgen: gesetzlicher Schadensersatz je Verbraucher und Vorfall oder tatsächlicher Schaden, wenn höher; Unterlassung oder Feststellung; sonstige Abhilfe nach Ermessen des Gerichts. Bei der Bemessung berücksichtigt das Gericht unter anderem Art und Schwere, Zahl und Dauer der Verstöße, Vorsatz sowie Vermögen und Verbindlichkeiten des Beklagten.
• Vorverfahren: 30 Tage schriftliche Mitteilung vor einer Klage auf gesetzlichen Schadensersatz, einzeln oder als Sammelklage; tatsächliche Abhilfe mit schriftlicher Erklärung schließt diese Klage aus, Sicherheitsmaßnahmen nach dem Vorfall gelten nicht als Abhilfe; eine Klage nur auf den tatsächlichen Vermögensschaden braucht keine Mitteilung.
• Reichweite: Das Klagerecht gilt nur für diesen Tatbestand und nicht für Verstöße gegen andere Vorschriften des Gesetzes.

Behördliche Durchsetzung:

• CPPA (1798.155): Verwaltungsbußgeld gegen Business, Service Provider, Contractor oder andere Personen bis 2.500 USD je Verstoß, 7.500 USD je vorsätzlichem Verstoß oder Verstoß mit Daten von Verbrauchern, die nach tatsächlicher Kenntnis unter 16 sind (angepasst: 2.663 und 7.988 USD).
• Attorney General (1798.199.90): Klage auf Unterlassung und zivilrechtliche Strafe, die das Gericht festsetzt, bis 2.500 USD je Verstoß und 7.500 USD je vorsätzlichem Verstoß oder Verstoß mit Daten minderjähriger Verbraucher (Gesetzeswortlaut ohne die Kenntnisvoraussetzung des 1798.155; die Übersicht der CPPA zu den angepassten Beträgen beschreibt beide Fälle gleich); das Gericht kann die gutgläubige Kooperation berücksichtigen; die CPPA setzt auf Verlangen des Attorney General eigene Verfahren aus.

Sensible personenbezogene Daten (1798.140(ae)) sind für die Sicherheitsplanung besonders relevant, weil sie in der Verordnung weitere Pflichten auslösen (Schwellen des Cybersecurity Audits, Risikobewertungen; ccpa-cpra-004, -005). Dazu zählen unter anderem Sozialversicherungs-, Führerschein- und Passnummern, Konto-Login- und Kartendaten mit Zugangsdaten, präzise Geolokation, Inhalte von Post, E-Mails und Textnachrichten, außer die Business ist deren bestimmungsgemäßer Empfänger, genetische und neuronale Daten, biometrische Identifizierung sowie Gesundheitsdaten.

Umsetzungsperspektive

• Verschlüsselung und Schwärzung als wichtigen Hebel gegen das Klagerecht einsetzen: Der erste Tatbestand setzt nicht verschlüsselte und nicht geschwärzte Daten voraus; gegen den zweiten (Kontozugangsdaten) hilft das nicht.
• Zugangsdaten schützen: Der zweite Tatbestand (E-Mail mit Passwort oder Sicherheitsfrage) betrifft Kontenübernahmen direkt.
• Sicherheitsprogramm dokumentieren, damit "angemessene Sicherheit" belegt werden kann; der Maßstab des 1798.81.5 ist rechtlich zu klären.
• Prozess für Mitteilungen nach 1798.150(b) festlegen: Eingang, Prüfung, Abhilfe, schriftliche Erklärung.
• Zahl der betroffenen kalifornischen Verbraucher im Incident-Prozess erfassen, weil sie die Größenordnung des Risikos bestimmt.

Typische Fehler

1. Daten kalifornischer Verbraucher werden unverschlüsselt gespeichert, obwohl der erste Klagetatbestand nicht verschlüsselte und nicht geschwärzte Daten voraussetzt; der zweite Tatbestand (Kontozugangsdaten) bleibt davon unberührt.
2. Nach einem Vorfall wird angenommen, nachträgliche Sicherheitsmaßnahmen seien eine Abhilfe im Sinne des Vorverfahrens.
3. Bußgeldrisiken werden mit den nominalen statt den angepassten Beträgen bewertet.
4. Service Provider und Contractors halten sich für nicht bußgeldpflichtig, obwohl 1798.155 sie ausdrücklich nennt.
5. Der Maßstab "angemessene Sicherheit" wird nicht dokumentiert belegbar gemacht.

Risiken und Trade-offs

Verschlüsselung ruhender Daten verringert das Klagerisiko erheblich, kostet aber Aufwand für Schlüsselmanagement und Anwendungen. Eine großzügige Abhilfepraxis im Vorverfahren kann Klagen verhindern, erfordert aber, dass die Abhilfe tatsächlich möglich ist. Weil Bußgelder und Schadensersatz je Verstoß beziehungsweise je Verbraucher bemessen werden, ist Datenminimierung auch Risikominimierung.

Entscheidungspunkte

• Sind Daten kalifornischer Verbraucher ruhend und bei Übertragung verschlüsselt?
• Wie wird angemessene Sicherheit dokumentiert und belegt?
• Wer bearbeitet Mitteilungen nach 1798.150(b)?
• Wie wird die Zahl betroffener kalifornischer Verbraucher bei Vorfällen ermittelt?

Praktische Empfehlungen

1. Verschlüsseln Sie personenbezogene Daten kalifornischer Verbraucher ruhend und bei Übertragung.
2. Schützen Sie Zugangsdaten mit starken Verfahren gegen Kontenübernahmen.
3. Dokumentieren Sie Ihr Sicherheitsprogramm so, dass Angemessenheit belegbar ist, und lassen Sie den Maßstab des 1798.81.5 rechtlich klären.
4. Richten Sie einen Prozess für Mitteilungen im Vorverfahren ein.
5. Bewerten Sie Risiken mit den aktuellen angepassten Beträgen.

Relevante Normreferenzen

• Cal. Civ. Code 1798.100(e), 1798.140(ae), 1798.150, 1798.155, 1798.199.90, 1798.199.95(d) (Fassung ab 01.01.2026, Behördenfassung der CPPA).
• CPPA, Updated Monetary Thresholds in CCPA (wirksam 01.01.2025).
• Cal. Civ. Code 1798.81.5 (nur Verweis, nicht ausgewertet).