CCPA/CPRA im Überblick: wann kalifornisches Datenschutzrecht deutsche Unternehmen erfasst

Problem in der Praxis

Deutsche Unternehmen stufen den CCPA oft als reines Verbraucherschutzrecht für Onlinehändler ein und prüfen ihn nicht, wenn sie in Kalifornien keine Niederlassung haben. Drei Konstellationen werden dabei übersehen. Erstens die Konzernzurechnung: Eine deutsche Muttergesellschaft, die eine US-Tochter beherrscht, denselben Markennamen führt und Daten mit ihr teilt, kann über 1798.140(d)(2) selbst als Business gelten, wenn die Tochter eine ist. Zweitens die Beschäftigtendaten: Eine US-Tochter mit Mitarbeitern in Kalifornien verarbeitet seit 2023 Daten, die nicht mehr pauschal ausgenommen sind. Drittens die Dienstleisterrolle: Wer für eine kalifornische Business Daten verarbeitet, braucht einen Vertrag mit gesetzlich vorgegebenem Inhalt (ccpa-cpra-002).

CISO-Einordnung

Anwendungsbereich im Einzelnen (Cal. Civ. Code 1798.140):

• Consumer: natürliche Person mit Wohnsitz in Kalifornien, gleich wie identifiziert. Das Gesetz knüpft also an den Wohnsitz der betroffenen Person an, nicht an die Staatsangehörigkeit.
• Business: siehe oben; die Umsatzschwelle bezieht sich auf den Jahresbruttoumsatz des Vorjahres zum 01.01. des Kalenderjahres und wird nach 1798.199.95(d) alle ungeraden Jahre angepasst.
• Konzern: Beherrschung (mehr als 50 Prozent der Stimmrechte einer Gattung, Kontrolle über die Wahl der Mehrheit der Direktoren oder beherrschender Einfluss auf die Geschäftsführung) plus gemeinsame Marke (Name, Dienstleistungs- oder Handelsmarke, die ein durchschnittlicher Verbraucher als Zeichen gemeinsamen Eigentums verstehen würde) plus Teilen personenbezogener Daten.

Ausnahmen mit Bedeutung für deutsche Unternehmen:

• Gesundheitsdaten: Der CCPA gilt nicht für geschützte Gesundheitsinformationen, die eine HIPAA Covered Entity oder ein Business Associate erhebt, und nicht für diese Stellen, soweit sie Patienteninformationen wie solche Informationen behandeln (1798.146(a)); die HIPAA-Seite steht im hipaa-Track.
• Beschäftigten- und B2B-Daten: Die Ausnahmen in 1798.145(m) und (n) sind seit 01.01.2023 nicht mehr anwendbar. Für eine US-Tochter mit Beschäftigten in Kalifornien gelten damit die allgemeinen Regeln auch für Personaldaten.

Aufsicht: Die California Privacy Protection Agency (CPPA) setzt das Gesetz durch und erlässt Verordnungen (11 CCR 7000 ff., in der Fassung ab 01.01.2026); daneben klagt der Attorney General (ccpa-cpra-003). Seit 2026 verlangt die Verordnung für bestimmte Businesses unabhängige Cybersecurity Audits (ccpa-cpra-004) und Risikobewertungen (ccpa-cpra-005).

Umsetzungsperspektive

• Schwellenprüfung je Gesellschaft dokumentieren: Umsatz des Vorjahres, Anzahl der kalifornischen Verbraucher oder Haushalte, deren Daten gekauft, verkauft oder geteilt werden, Umsatzanteil aus Datenverkauf oder -teilen.
• Konzernzurechnung prüfen: Beherrschung, gemeinsame Marke und Datenteilung zwischen deutscher Mutter und US-Gesellschaften.
• Personaldaten der US-Tochter in das Datenschutzprogramm aufnehmen.
• Die Frage "does business in the State of California" für Gesellschaften ohne kalifornische Niederlassung rechtlich klären lassen, statt sie pauschal zu verneinen.
• Rollen in Dienstleistungsbeziehungen klären (ccpa-cpra-002).

Typische Fehler

1. Der CCPA wird verneint, weil das Unternehmen keine Niederlassung in Kalifornien hat, ohne die Frage des "doing business" zu prüfen.
2. Die Konzernzurechnung über die gemeinsame Marke wird übersehen.
3. Beschäftigtendaten gelten weiter als ausgenommen, obwohl die Ausnahme seit 2023 nicht mehr anwendbar ist.
4. Die Umsatzschwelle wird mit dem nominalen Wert von 25 Mio. USD statt mit dem angepassten Betrag geprüft.
5. Die DSGVO-Umsetzung wird als ausreichend angesehen, ohne die kalifornischen Pflichten (etwa Verträge, Audits, Risikobewertungen) abzugleichen.

Risiken und Trade-offs

Ein gruppenweites Datenschutzprogramm nach DSGVO-Muster deckt viele Grundsätze ab, aber nicht die kalifornischen Formvorgaben, Schwellen und Behördenpflichten. Ein eigenes CCPA-Programm schafft Doppelarbeit. Tragfähig ist eine gemeinsame Basis mit kalifornischen Ergänzungen, wobei die Schwellen jährlich geprüft werden, weil sich der Status mit Umsatz und Datenmengen ändern kann.

Entscheidungspunkte

• Erfüllt eine Gesellschaft der Gruppe die Business-Definition, und über welche Schwelle?
• Greift die Konzernzurechnung über gemeinsame Marke und Datenteilung?
• Wie werden Personaldaten der US-Tochter behandelt?
• Wer prüft jährlich die Schwellen?

Praktische Empfehlungen

1. Prüfen und dokumentieren Sie die drei Schwellen jährlich je Gesellschaft mit dem aktuellen angepassten Umsatzwert.
2. Prüfen Sie die Konzernzurechnung nach 1798.140(d)(2).
3. Nehmen Sie Beschäftigten- und B2B-Daten in das Programm auf.
4. Lassen Sie die Frage des "doing business in California" für Gesellschaften ohne Niederlassung rechtlich bewerten.
5. Gleichen Sie das DSGVO-Programm mit den kalifornischen Zusatzpflichten ab.

Relevante Normreferenzen

• California Consumer Privacy Act, Cal. Civ. Code 1798.100 ff., in der Fassung ab 01.01.2026 (Behördenfassung der CPPA): 1798.140(d), (i), 1798.145(m), (n), 1798.146, 1798.199.95(d).
• CPPA, Updated Monetary Thresholds in CCPA (wirksam 01.01.2025).
• 11 CCR 7000 ff. (CCPA Regulations, Fassung ab 01.01.2026).