B2B-Besuchererkennung in Kalifornien

Ja, und genau das unterscheidet Kalifornien von den meisten anderen US-Bundesstaaten mit umfassenden Datenschutzgesetzen. Der ursprüngliche CCPA enthielt eine befristete Ausnahme für personenbezogene Daten aus B2B-Kontexten sowie eine getrennte befristete Ausnahme für Mitarbeiter- und Bewerberdaten. Beide wurden vom Gesetzgeber Jahr für Jahr verlängert, aber nach dem 1. Januar 2023 nicht erneut verlängert, sodass beide Ausnahmen an diesem Datum endgültig ausliefen. Seither ist der Name, die geschäftliche E-Mail-Adresse, die Position oder die geschäftliche Telefonnummer eines Geschäftskontakts, die im Rahmen einer B2B-Interaktion erhoben wird, personenbezogenes Datum nach dem CCPA/CPRA auf derselben Stufe wie Verbraucherdaten, mit denselben Rechten auf Auskunft, Löschung, Berichtigung und Widerspruch. Unternehmen, die in oder aus Kalifornien tätig sind und noch von einer automatischen B2B-Ausnahme ausgehen, sollten diese Annahme überprüfen, idealerweise mit rechtlicher Beratung, denn sie stimmt seit Jahren nicht mehr.

Der CCPA/CPRA definiert „sale“ als Offenlegung gegen Geld oder einen anderen geldwerten Vorteil, und „sharing“ speziell als Offenlegung für kontextübergreifende Verhaltenswerbung — beide Definitionen beschreiben einen anderen Datenfluss als die Erkennung auf Firmenebene. lead.box ermittelt die hinter einem Website-Besuch stehende Organisation anhand netzwerkbezogener Signale wie IP-Adressbereichen, ohne eine namentlich bekannte Person zu identifizieren, und gibt diese Information nicht an Werbenetzwerke weiter und nutzt sie nicht zum Aufbau seitenübergreifender Werbeprofile. Damit entspricht die Tätigkeit nicht dem Muster, das beide Definitionen erfassen sollen; die Bestätigung anhand der eigenen konkreten Umsetzung und der eigenen Datenschutzerklärung bleibt jedoch Aufgabe des Unternehmens, da sich die gesetzlichen Definitionen und die CPPA-Leitlinien weiterentwickeln und eine allgemeine Darstellung wie diese diese Prüfung nicht ersetzen kann.

Global Privacy Control (GPC) ist ein browser- oder erweiterungsseitiges Signal, das ein kalifornischer Verbraucher einmalig aktivieren kann und das der CCPA/CPRA als gültigen, dauerhaften Widerspruch gegen den Verkauf oder das Teilen personenbezogener Daten anerkennt, ohne dass ein gesondertes Widerspruchsformular auf jeder besuchten Website nötig wäre. Websites, die dem CCPA/CPRA unterliegen, müssen dieses Signal erkennen und respektieren. Da lead.box von vornherein keine personenbezogenen Daten für kontextübergreifende Verhaltenswerbung verkauft oder teilt, fällt die Erkennung auf Firmenebene nicht unter die Art von Verarbeitung, die GPC unterbinden soll. Ein Unternehmen, das auf derselben Website weitere Tools mit tatsächlichem Verkauf oder Teilen von Daten einsetzt, benötigt dafür unabhängig davon eine eigene GPC-Handhabung.

Die Durchsetzung liegt bei zwei Stellen, was unter den US-Datenschutzgesetzen ungewöhnlich ist. Die California Privacy Protection Agency (CPPA), eigens durch die CPRA geschaffen, erlässt Ausführungsverordnungen und kann eigene Verfahren einschließlich Verwaltungsverfahren einleiten. Der kalifornische Attorney General behält unabhängig davon eigene Durchsetzungsbefugnisse. Ein Unternehmen kann also grundsätzlich von beiden Seiten geprüft werden. Für die meisten aktuellen Verstöße sieht das Gesetz keine allgemeine Nachbesserungsfrist vor, anders als einige andere Bundesstaatengesetze dieser Gruppe, die ein festgelegtes Zeitfenster zur Behebung eines dokumentierten Problems vor einer Sanktion einräumen. Das macht eine präzise, korrekte Dokumentation dessen, was ein Besuchererkennungs-Tool tut und nicht tut, für ein kalifornisch ausgerichtetes Unternehmen dringlicher als für eines, das nur in Staaten mit fester Nachbesserungsfrist tätig ist.

Der CCPA/CPRA gewährt kalifornischen Verbrauchern Rechte auf Auskunft, Löschung, Berichtigung sowie Widerspruch gegen Verkauf oder Teilen von Daten, und seit dem Auslaufen der B2B-Ausnahme gelten diese Rechte auch für Geschäftskontakte. Da lead.box keine personenbezogenen Daten im Sinne der gesetzlichen Definitionen verkauft oder teilt und erkannte Firmendaten nicht mit dem Profil einer namentlich bekannten Person verknüpft, ist der spezifische Widerspruchsmechanismus gegen Verkauf oder Teilen für diese Tätigkeit nicht der einschlägige Rechtsbehelf. Ein Unternehmen, das lead.box auf einer kalifornisch ausgerichteten Website einsetzt, sollte dennoch eine allgemeine Datenschutzerklärung zu dieser Verarbeitung sowie einen Weg für Anfragen bereithalten, da die weiteren CCPA/CPRA-Rechte und die eigenen Offenlegungspflichten unabhängig davon bestehen, ob die Tätigkeit eines einzelnen Anbieters die Definition von Verkauf oder Teilen erfüllt.

Die Rechte und Pflichten des CCPA/CPRA knüpfen an personenbezogene Daten an, die vernünftigerweise einer identifizierten oder identifizierbaren natürlichen Person oder einem Haushalt zugeordnet werden können. lead.box ermittelt, welche Organisation eine Website besucht — Firmenname, Branche und Größenklasse, abgeleitet aus netzwerkbezogenen Signalen wie IP-Adressbereichen —, ohne festzustellen, welcher einzelne Mitarbeiter gerade surft, und ohne eine Liste namentlich bekannter Kontakte, Positionen oder privater E-Mail-Adressen zu erzeugen. Das ist ein deutlich anderes Ergebnis als bei einem Tool, das einzelne Besucher identifiziert, und genau deshalb wirft die Erkennung auf Firmenebene nach kalifornischem Recht andere Fragen auf als etwa ein Formularausfüll- oder E-Mail-Anreicherungsdienst. Diese Unterscheidung sollte in der eigenen Datenschutzdokumentation ausdrücklich benannt werden, denn „B2B“ und „Firmenebene statt Einzelperson“ sind zwei getrennte Abgrenzungsfragen im Gesetz, nicht eine.

Eine kalifornisch ausgerichtete Prüfung fragt üblicherweise mindestens, ob das Tool personenbezogene Daten im Sinne der gesetzlichen Definitionen verkauft oder teilt, wie es mit dem Global-Privacy-Control-Signal umgeht, ob sensible personenbezogene Daten erhoben werden, und welche Unterlagen diese Antworten belegen, etwa eine Auftragsverarbeitungsvereinbarung und eine Liste der Subunternehmer. lead.box stellt diese Unterlagen auf Anfrage bereit und beschreibt den Mechanismus so konkret, dass ein Datenschutzteam ihn gegen den aktuellen Wortlaut des CCPA/CPRA und geltende CPPA-Verordnungen abgleichen kann. Da sich Gesetz und Ausführungsverordnungen weiterentwickeln und diese Darstellung der allgemeinen Orientierung dient, nicht einer Compliance-Bestätigung, sollte ein Unternehmen die aktuellen Anforderungen durch eigene fachkundige Beratung bestätigen lassen, statt sich allein auf die Zusammenfassung eines Anbieters zu verlassen.

Nein. Diese Seite erklärt auf allgemeiner Ebene, wie der Anwendungsbereich des CCPA/CPRA, seine Definitionen von „sale“ und „sharing“ sowie seine Durchsetzungsstruktur mit der Erkennung auf Firmenebene zusammenhängen, und ersetzt keine Rechtsberatung zu Ihrem konkreten Unternehmen, Ihren konkreten Datenflüssen oder Ihrem konkreten Traffic aus Kalifornien. lead.box handelt als Auftragsverarbeiter im Rahmen einer Auftragsverarbeitungsvereinbarung und kann Unterlagen bereitstellen, die beschreiben, was das Produkt erhebt und was nicht — kann aber keine für den Kunden verbindliche Compliance-Bestätigung für dessen Nutzung im Zusammenspiel mit eigenen weiteren Systemen, Offenlegungen und Anbietern ausstellen. Angesichts der gemeinsamen Durchsetzung durch CPPA und Attorney General sowie des Fehlens einer allgemeinen Nachbesserungsfrist sollte ein Unternehmen seine gesamte Datenverarbeitung, einschließlich, aber nicht beschränkt auf den Einsatz von lead.box, durch qualifizierte rechtliche Beratung prüfen lassen, bevor es sich allein auf die Darstellung eines Anbieters verlässt.