CCPA und Retail Analytics: Was Kaliforniens Datenschutzgesetz zum Zählen von Käufern sagt

Warum kalifornisches Datenschutzrecht für einen Retail-Analytics-Käufer zählt

Kaliforniens Datenschutzregime ist das, was den Vereinigten Staaten am nächsten an ein umfassendes Verbraucherdatenschutzgesetz herankommt, und es betrifft deutlich mehr Händler, als viele denken. Jedes Unternehmen, das Informationen über Einwohner Kaliforniens erhebt und eine der gesetzlichen Schwellen überschreitet, im Wesentlichen 25 Millionen US-Dollar Jahresumsatz, die Verarbeitung personenbezogener Informationen von 100.000 oder mehr kalifornischen Verbrauchern oder Haushalten, oder die Erzielung des Großteils des Umsatzes aus dem Verkauf oder der Weitergabe personenbezogener Informationen, fällt in den Anwendungsbereich. Ein Händler mit auch nur bescheidener E-Commerce-Präsenz und einem Netz physischer Stores überschreitet die zweite Schwelle häufig, ohne darüber nachzudenken.

Damit steht Retail Analytics klar auf der Agenda der Rechts-, Sicherheits- und Betriebsteams. Wenn ein System in einem Store, einem Einkaufszentrum oder einem Distributionszentrum personenbezogene Informationen über Einwohner Kaliforniens erheben könnte, will das Datenschutzteam wissen, was es erfasst, welche Rechte Verbraucher daran haben und welche Hinweispflichten das Unternehmen trifft. Die saubererste Position ist die, in der das Analysesystem überhaupt keine personenbezogenen Informationen erfasst, sodass die meisten der schwereren Pflichten nicht greifen. So gebaute Personenzählung ist das Beispiel, das dieser Artikel durchgeht.

Dieser Artikel ist informativ und stellt keine Rechtsberatung dar. Verweise auf CCPA, CPRA und CPPA beschreiben öffentliches Gesetzesrecht und die veröffentlichte Aufsichtsbehörde. Beziehen Sie Ihre Datenschutzrechtsberatung ein, um eine Compliance-Prüfung speziell für Ihre Deployment-Konfiguration, Ihre Datenflüsse und Ihre Verträge vorzunehmen.

CCPA, CPRA und die CPPA in einem Absatz

Der California Consumer Privacy Act (CCPA) trat 2020 in Kraft. Der California Privacy Rights Act (CPRA), 2020 per Volksentscheid angenommen, hat den CCPA geändert und erweitert und am 1. Januar 2023 vollständig Wirkung entfaltet. Das geänderte Gesetz wird in der Praxis weiterhin meist CCPA genannt. Der CPRA hat außerdem die California Privacy Protection Agency (CPPA) geschaffen, eine unabhängige staatliche Aufsichtsbehörde mit Befugnis zur Regelsetzung und Durchsetzung des Gesetzes. Der Justizminister Kaliforniens behält parallele Durchsetzungsbefugnisse. Die CPPA veröffentlicht Vorschriften, Hinweise und Durchsetzungsschwerpunkte; prüfen Sie die Website der Behörde auf aktuelle Hinweise, statt sich auf eine Zusammenfassung Dritter zu verlassen, einschließlich dieser hier.

Was unter kalifornischem Recht als „personenbezogene Informationen“ gilt

Der CCPA definiert personenbezogene Informationen breit: Informationen, die einen bestimmten Verbraucher oder einen Haushalt identifizieren, sich auf ihn beziehen, ihn beschreiben, vernünftigerweise mit ihm in Verbindung gebracht werden können oder direkt oder indirekt vernünftigerweise mit ihm verknüpft werden könnten. Das Gesetz listet Beispielkategorien auf, darunter Identifikatoren (Name, Alias, Postanschrift, IP-Adresse, E-Mail, Kontoname, Sozialversicherungsnummer, Führerschein, Pass oder andere ähnliche Identifikatoren), kommerzielle Informationen (Aufzeichnungen über gekaufte oder erwogene Produkte oder Dienstleistungen), Internet- oder andere elektronische Netzwerkaktivitäten (Browser-Verlauf, Suchverlauf, Interaktion mit einer Website oder Anwendung), Geolokalisierungsdaten, biometrische Informationen, Schlussfolgerungen aus den oben genannten Informationen und sensible personenbezogene Informationen (eine vom CPRA eingeführte Unterkategorie mit zusätzlichen Rechten).

Drei Ausnahmen sind für das Analytics-Gespräch nützlich zu merken:

• Aggregierte Verbraucherinformationen. Informationen, die sich auf eine Gruppe oder Kategorie von Verbrauchern beziehen, aus denen die Identitäten einzelner Verbraucher entfernt wurden, und die nicht mit einem Verbraucher oder Haushalt verknüpft oder vernünftigerweise verknüpfbar sind, sind von der Definition ausgenommen.
• De-identifizierte Informationen. Informationen, die nicht vernünftigerweise verwendet werden können, um Rückschlüsse auf einen bestimmten Verbraucher zu ziehen oder anderweitig mit ihm verknüpft zu werden, sind ausgenommen, sofern das Unternehmen bestimmte Verpflichtungen rund um die Daten erfüllt (keine Reidentifikationsversuche, vertragliche Pflichten für Empfänger, technische und organisatorische Schutzmaßnahmen).
• Öffentlich verfügbare Informationen. Informationen, die rechtmäßig aus staatlichen Aufzeichnungen oder vom Verbraucher gegenüber der Allgemeinheit zugänglich gemacht wurden, sind ausgenommen.

Für ein Retail-Analytics-System ist die praktische Frage, ob die produzierten Daten in die breite Definition fallen oder unter eine dieser Ausnahmen. Die Antwort hängt fast vollständig davon ab, was die Sensoren überhaupt erfassen.

Wo Retail-Analytics-Systeme üblicherweise in der Definition landen

Retail-Analytics-Technologie deckt eine breite Spanne ab, und unterschiedliche Sensorentscheidungen verorten ein Deployment unter kalifornischem Recht sehr unterschiedlich.

Kameras mit Computer Vision

Eine Kamera, die Bilder identifizierbarer Käufer erfasst, verarbeitet personenbezogene Informationen ab dem Moment, in dem das Bild aufgezeichnet wird. Führt das System Gesichtserkennung oder andere physiologische Identifikator-Extraktion durch, verarbeitet es biometrische Informationen, die auf der CPRA-Liste sensibler personenbezogener Informationen stehen. Auch wenn das Unternehmen sagt, dass Frames schnell verworfen werden, ist die Erfassung selbst das, worauf das Gesetz schaut. Hinweis-, Opt-out-, Löschungs- und Auskunftspflichten greifen alle, und die Unterkategorie sensibler personenbezogener Informationen fügt weitere Verbraucherrechte hinzu, darunter ein Recht auf Beschränkung der Nutzung und Offenlegung dieser Informationen.

Wi-Fi- / MAC-Adressen-basiertes Tracking

Ein System, das Geräte-Identifikatoren (MAC-Adressen, Bluetooth-Identifikatoren, Werbe-IDs) erfasst, verarbeitet personenbezogene Informationen. Die veröffentlichten Hinweise des Justizministers Kaliforniens haben eindeutige Geräte-Identifikatoren historisch als Identifikatoren im Sinne des Gesetzes behandelt, und die CPRA-Definition listet eindeutige persönliche Identifikatoren ausdrücklich auf. Ob die Daten zugleich Geolokalisierungsdaten sind, hängt davon ab, wie sie verwendet werden; eine Innen-Ortung am Endgerät eines bestimmten Verbrauchers ist es in der Regel.

Kamerafreie, identifikatorenfreie Zählung

Ein System, das keine Bilder, keine Geräte-Identifikatoren und keine biometrischen Daten erfasst und nur aggregierte Zählungen und Trajektoriengeometrie produziert, die nicht mit einem bestimmten Verbraucher verknüpft werden können, sitzt strukturell nahe an den Ausnahmen für aggregierte Verbraucherinformationen und de-identifizierte Informationen. Das Unternehmen muss weiterhin bestätigen, dass kein Element seiner eigenen Konfiguration (zum Beispiel das Verbinden der Zählungen mit einem Treueprogramm) die Daten wieder in die Definition zurückbringt, aber die zugrunde liegende Messung erfasst für sich genommen keine personenbezogenen Informationen.

Wie Ariadne misst und warum das hier zählt

Ariadne misst dies mit Hybrid Fusion, der patentierten kamerafreien Methode. Time-of-Flight-Tiefensensorik zählt an den Eingängen jeden Besucher und erfasst Geometrie statt Bilder, während die patentierte Signalerfassung die Bewegung im Innenraum verfolgt und die Signale erkennt, die ein Telefon aussendet, selbst im Flugmodus. Der Sensor streamt beide Datenströme an Ariadne, wo Hybrid Fusion sie zu einer Trajektorie pro Besuch zusammenführt und Zählwerte, Verweildauer und Wege berechnet. Die Datenströme tragen keine Identifikatoren: keine MAC-Adresse, keine Geräte-ID, keine biometrischen Daten, und es ist keine Kamera beteiligt. Identifikatoren werden nur gespeichert, wenn ein Besucher ausdrücklich zustimmt, was die Methode datenschutzfreundlich und außerhalb des biometrischen Bereichs hält.

Angewendet auf die kalifornische Definition produziert die Ariadne-Methode für ein Retail-Deployment drei Output-Kategorien:

• Aggregierte Zählungen. Eintritte, Austritte und Live-Belegung pro Zone, zentral aus Sensor-Streams berechnet. Kein Identifikator hängt an einer Zählung, und die Zählung bezieht sich definitionsgemäß auf eine Gruppe, nicht auf einen Verbraucher.
• Trajektoriengeometrie. Ein Pfad durch den Store, ausgedrückt als Koordinaten über die Zeit, ohne Identifikator und ohne Bild. Die Geometrie beschreibt Bewegung, nicht eine Person, und kann nicht vernünftigerweise mit einem bestimmten Verbraucher verknüpft werden.
• Verweildauer, aggregiert. Der Durchschnitt und die Verteilung der Zeit, die Besucher in jeder Zone verbringen, abgeleitet aus den aggregierten Trajektorien.

Keiner dieser Outputs ist ein Identifikator, eine Biometrie, eine kommerzielle Aufzeichnung des Einkaufs eines bestimmten Verbrauchers oder eine Geolokalisierungs-Auslesung am Endgerät eines bestimmten Verbrauchers. Die Analytics-Daten des Deployments sind daher strukturell nahe an der Ausnahme für aggregierte Informationen im Gesetz. Ob Sie zusätzlich auf die Ausnahme für de-identifizierte Informationen abstellen, hängt davon ab, wie streng Ihre Lesart ist und was Ihre Datenschutzrechtsberatung bevorzugt, aber die zugrunde liegende Erfassung ist der sauberste mögliche Ausgangspunkt.

Die Frage nach „Verkauf“ und „Weitergabe“

Der CCPA gibt Verbrauchern ein Recht auf Opt-out vom „Verkauf“ ihrer personenbezogenen Informationen, und der CPRA hat ein Recht auf Opt-out von der „Weitergabe“ personenbezogener Informationen für übergreifend kontextbezogene verhaltensbasierte Werbung hinzugefügt. Beide Definitionen sind bewusst breit. „Verkauf“ umfasst Verkaufen, Vermieten, Freigeben, Offenlegen, Verbreiten, Verfügbarmachen, Übertragen oder anderweitiges Kommunizieren personenbezogener Informationen für geldwerte oder andere wertvolle Gegenleistung. „Weitergabe“ zielt auf das Ad-Tech-Ökosystem und umfasst ähnliche Kommunikationen für übergreifend kontextbezogene verhaltensbasierte Werbung, unabhängig davon, ob eine Gegenleistung erfolgt. Verkauft oder gibt ein Händler personenbezogene Informationen weiter, muss er einen klaren Opt-out-Mechanismus anbieten, einschließlich Unterstützung des Global-Privacy-Control-(GPC-)Signals, und einen Link „Do Not Sell or Share My Personal Information“ oder einen gleichwertigen Link auf seiner Startseite platzieren.

Für ein Analytics-Deployment, das keine personenbezogenen Informationen erfasst, werden die Fragen zu Verkauf und Weitergabe geradlinig. Es bewegen sich von vornherein keine personenbezogenen Informationen aus dem System heraus, sodass der Rahmen auf den Zähldaten nicht greift. Wo die breiteren Datenflüsse des Händlers Verkauf oder Weitergabe betreffen (zum Beispiel über seinen E-Commerce-Auftritt, Werbe-Pixel oder Treueprogramm-Partnerschaften), ist das ein separates Gespräch für das Datenschutzteam und wird durch die Wahl des Zählers weder beeinflusst noch unterstützt.

Sensible personenbezogene Informationen und der CPRA

Der CPRA hat eine neue Unterkategorie sensibler personenbezogener Informationen mit zusätzlichen Rechten für Verbraucher eingeführt, darunter ein Recht, ihre Nutzung und Offenlegung auf das zu beschränken, was zur Erbringung der von einem durchschnittlichen Verbraucher vernünftigerweise erwarteten Dienste erforderlich ist. Die Unterkategorie umfasst genaue Geolokalisierung, rassische oder ethnische Herkunft, religiöse oder philosophische Überzeugungen, Gewerkschaftsmitgliedschaft, den Inhalt von Verbraucherpost, E-Mails und Textnachrichten, sofern das Unternehmen nicht der vorgesehene Empfänger ist, genetische Daten, biometrische Informationen, die zur eindeutigen Identifizierung eines Verbrauchers verarbeitet werden, personenbezogene Informationen, die zur Gesundheit eines Verbrauchers erhoben und analysiert werden, sowie personenbezogene Informationen, die zum Sexualleben oder zur sexuellen Orientierung eines Verbrauchers erhoben und analysiert werden.

Retail-Analytics-Systeme schneiden mit dieser Unterkategorie auf zwei konkrete Weisen:

• Biometrische Informationen, die zur eindeutigen Identifizierung verarbeitet werden. Gesichtserkennung oder Fingerabdruck-Abgleich, der einen wiederkehrenden Besucher heraushebt, fällt in die Unterkategorie. Ein Zählsystem, das keine Identifizierung durchführt, ist auf diesem Terrain überhaupt nicht. Ariadne führt keine Gesichtserkennung, keine Gangart-Schlussfolgerung und keine demografische Erkennung durch, sodass die zugrunde liegende Messung nicht in die Unterkategorie eintritt.
• Genaue Geolokalisierung. In den Vorschriften als die Fähigkeit definiert, einen Verbraucher mit einer Genauigkeit von 1.850 Fuß oder besser zu orten, aber auf einen bestimmten Verbraucher angewendet. Anonyme Innen-Trajektoriengeometrie ohne anhaftenden Identifikator ortet keinen bestimmten Verbraucher, sie fällt also nicht in diesen Teil der Unterkategorie.

Ändert sich ein Deployment später (zum Beispiel aktivieren Sie eine Opt-in-Erfassung von Identifikatoren für ein Treueprogramm), sollte die Analyse sensibler personenbezogener Informationen erneut durchgeführt werden. Die Ausgangsposition mit einem kamerafreien, identifikatorenfreien Zähler ist, dass die Unterkategorie nicht eingreift.

Mechanik der Verbraucherrechte, wenn bei der Erfassung kein Identifikator anfällt

Kalifornien gibt Verbrauchern eine Reihe von Rechten an ihren personenbezogenen Informationen: das Recht zu erfahren, was erhoben wird, sowie die Kategorien von Quellen und Empfängern, das Recht auf Zugang zu den konkreten Stücken personenbezogener Informationen, das Recht auf Löschung, das Recht auf Berichtigung, das Recht auf Opt-out vom Verkauf oder von der Weitergabe, das Recht auf Beschränkung der Nutzung sensibler personenbezogener Informationen und das Recht, für die Wahrnehmung eines dieser Rechte nicht diskriminiert zu werden.

Ein Händler, der in seinem Analytics-System personenbezogene Informationen erfasst, muss jedes Recht für diese Daten operationalisieren. Anfragen sind zu authentifizieren, durch die Systeme zu verfolgen, die die Daten des Verbrauchers halten, innerhalb der gesetzlichen Fristen zu erfüllen und zu protokollieren. Wo die Daten an Auftragsverarbeiter oder Beauftragte weitergegeben wurden, fließt die Pflicht in der Regel über den Vertrag weiter.

Wenn das Analytics-System überhaupt keinen Identifikator erfasst, spielt sich die Mechanik jedes Rechts anders ab:

• Recht auf Auskunft. Die Datenschutzhinweise des Händlers sollten das Analytics-Deployment weiterhin allgemein offenlegen (ein sensorbasiertes Zählsystem, was es misst, was es nicht erfasst). Die Offenlegung ist ehrlich und kurz, weil es keine verbraucherspezifischen Daten zum Auflisten gibt.
• Recht auf Zugang. Aus den Zähldaten lässt sich kein verbraucherspezifischer Datensatz zurückgeben. Eine Anfrage kann mit einer klaren Erklärung beantwortet werden, dass im Zählsystem keine personenbezogenen Informationen über den Anfragenden gehalten werden, sowie einer Beschreibung dessen, was das System aggregiert erfasst.
• Recht auf Löschung. Löschanfragen haben in den Zähldaten nichts verbraucherspezifisches zu löschen. Dieselbe Erklärung wie bei der Zugangsantwort funktioniert für die Löschung.
• Recht auf Berichtigung. Berichtigungsanfragen haben nichts verbraucherspezifisches zu berichtigen. Das System hält kein Attribut des Anfragenden, über das es falsch sein könnte.
• Recht auf Opt-out vom Verkauf oder von der Weitergabe. Aus den Zähldaten gibt es keine personenbezogenen Informationen zu verkaufen oder weiterzugeben, sodass dieses Recht auf Deployment-Ebene nicht greift. Die weiteren Pflichten des Händlers bleiben unverändert.
• Recht auf Beschränkung sensibler personenbezogener Informationen. Vom Zähler werden keine sensiblen personenbezogenen Informationen erhoben, sodass das Recht auf Deployment-Ebene nicht greift.
• Recht auf Nichtdiskriminierung. Gilt unabhängig von den zugrunde liegenden Daten immer und sollte sich im Gesamtprozess des Händlers zur Behandlung von Verbraucherrechten widerspiegeln.

Das ist der praktische Vorteil der Wahl einer Methode, die keine personenbezogenen Informationen erfasst. Die Rechte bestehen weiterhin, aber jedes hat im Zählkontext eine kurze, vertretbare Antwort. Das Datenschutzteam des Händlers kann seinen operativen Aufwand auf die Systeme richten, die personenbezogene Informationen verarbeiten: E-Commerce, Treueprogramm, Kundenservice, Marketing.

Auftragsverarbeiter, Beauftragte und Dritte: die Begriffe

Das kalifornische Recht unterscheidet einen „service provider“ und einen „contractor“ von einem „third party“. Auftragsverarbeiter und Beauftragte verarbeiten personenbezogene Informationen im Auftrag des Unternehmens, vorbehaltlich eines schriftlichen Vertrags, der die Nutzung der Daten durch den Empfänger auf die im Vertrag festgelegten Geschäftszwecke beschränkt. Ein Dritter ist jeder andere, der personenbezogene Informationen erhält. Eine Offenlegung an einen Auftragsverarbeiter oder Beauftragten mit den richtigen Vertragsbedingungen ist kein „Verkauf“ oder eine „Weitergabe“. Eine Offenlegung an einen Dritten kann es sein.

Ein Retail-Analytics-Anbieter, der personenbezogene Informationen für den Händler verarbeitet, unterzeichnet typischerweise eine Auftragsverarbeitervereinbarung unter dem CCPA, neben einem etwaigen DSGVO-Auftragsverarbeitungsvertrag und vergleichbaren Instrumenten. Der Vertrag sollte die Geschäftszwecke festlegen, eine weitergehende Nutzung untersagen, den Anbieter verpflichten, die Pflichten an seine Unterauftragsverarbeiter weiterzugeben, und Datenkombinationen sowie Weiterübermittlungen adressieren.

Wo das Analytics-Deployment keine personenbezogenen Informationen erfasst, ist der rechtliche Bedarf an einer Auftragsverarbeitervereinbarung für diese Datenkategorie kleiner. Dennoch lohnt es sich, die Vereinbarung in ihrer Standardform zu unterzeichnen, weil (a) sich Konfigurationen mit der Zeit ändern und eine künftige Änderung personenbezogene Informationen in den Anwendungsbereich bringen könnte und (b) Einkaufs- und Sicherheitsteams sie ohnehin selbstverständlich verlangen werden. Die Datenverarbeitung von Ariadne und die Datenresidenz-Position sind in den Datenschutzhinweisen von Ariadne dargelegt, die als Ausgangspunkt anzuhängen sind.

Was ein California-bewusster Käufer einen Zählanbieter fragen sollte

Wenn Sie ein Retail-Analytics-System aus CCPA- / CPRA-Sicht prüfen, sind dies die Fragen, die es lohnt, jedem Anbieter vor einem Test schriftlich zu stellen. Behandeln Sie jede unklare Antwort als rote Flagge.

1. Was erfasst das System? Bitten Sie um eine Aufstellung: Videoframes, MAC-Adressen, Bluetooth-Identifikatoren, Werbe-IDs, biometrische Merkmale, demografische Schlussfolgerungen. Ein klares Nein standardmäßig für jedes ist die Position, die Sie wollen.
2. Führt das System eine biometrische Identifizierung oder demografische Schlussfolgerung durch? Wenn ja, befindet sich das Deployment auf dem Terrain sensibler personenbezogener Informationen, und das Gespräch ist ein anderes. Wenn nein, sollte sich das im Vertrag und in der Datenschutzdokumentation widerspiegeln.
3. Unter welchen Konfigurationen gelangen personenbezogene Informationen in das System? Die meisten Anbieter bieten optionale Funktionen (Gäste-WLAN-Joins, Treueprogramm-Integrationen, Identifizierte-Käufer-Analytics), die die Datenkategorie ändern. Holen Sie die Liste ein und machen Sie die Standardkonfiguration, in der diese aus sind, explizit.
4. Welche Rolle hat der Anbieter für CCPA-Zwecke? Auftragsverarbeiter, Beauftragter oder Dritter. Halten Sie das im Vertrag fest. Ein Auftragsverarbeiter mit angemessenen Beschränkungen ist die Position, die die meisten Händler verhandeln.
5. Wo werden die Daten verarbeitet und gespeichert? Datenresidenz zählt unter kalifornischem Recht weniger als unter der DSGVO, aber Einkaufs- und Sicherheitsteams werden es trotzdem wissen wollen. Holen Sie die Antwort schriftlich ein.
6. Wie reagiert der Anbieter auf Verbraucherrechte-Anfragen, die der Händler weiterleitet? Auftragsverarbeiter sind zur Mitwirkung verpflichtet. Bestätigen Sie den Prozess und die Reaktionszeiten im Vertrag.
7. Wie geht der Anbieter mit einem Sicherheitsvorfall um? Meldefristen, Inhalt der Meldungen und Pflichten zur Mitwirkung bei einer Verbraucherbenachrichtigung, wo erforderlich.

Wie Ariadne hineinpasst

Ariadne ist so gebaut, dass die schweren Fragen oben kurze, strukturelle Antworten haben. Der Sensor erfasst kein Video, erfasst standardmäßig keine MAC-Adressen, produziert keine demografischen Schlussfolgerungen und führt keine biometrische Identifizierung durch. Die Fusion läuft zentral in der Ariadne-Plattform; die Outputs, die der Händler sieht, sind aggregierte Zählungen, anonyme Trajektoriengeometrie und aggregierte Verweildauer. Die Standardkonfiguration sitzt strukturell nahe an der Ausnahme für aggregierte Informationen im kalifornischen Recht und greift die Unterkategorie sensibler personenbezogener Informationen überhaupt nicht an.

Nein. Ariadne zählt mit Hybrid Fusion: Time-of-Flight-Tiefensensorik plus patentierte Signalerfassung, nie mit Kameras. Time-of-Flight erfasst Geometrie statt Bilder, und die Signalerfassung erfasst standardmäßig keine MAC-Adresse, sodass die Messung ohne Video, ohne Gesichter und ohne biometrische Daten auskommt.

Wo ein Händler die Zählungen mit identifizierbaren Verbraucherdaten kombinieren möchte (zum Beispiel eine angemeldete App-Sitzung im Store), ist das eine explizite, opt-in-basierte, vertraglich gebundene Wahl, kein Standard. Die CCPA-Analyse auf Deployment-Ebene wird für diese Konfiguration erneut durchgeführt. Der Ausgangspunkt ist jedoch ein Zähler, der die California-Compliance nicht auf den kritischen Pfad eines Store-für-Store-Rollouts setzt. Die vollständige Produktübersicht findet sich auf der Personenzählung-Seite, und die Datenverarbeitungsspezifika sind in den Datenschutzhinweisen dokumentiert.

FAQ

Gilt der CCPA für Unternehmen außerhalb Kaliforniens?

Das Gesetz gilt für Unternehmen, die personenbezogene Informationen über Einwohner Kaliforniens erheben und eine der gesetzlichen Schwellen erfüllen, unabhängig davon, wo das Unternehmen seinen Sitz hat. Ein Händler mit Sitz außerhalb Kaliforniens, dessen Stores oder E-Commerce-Aktivitäten Einwohner Kaliforniens erreichen, kann durchaus in den Anwendungsbereich fallen. Die Schwellenwert-Analyse sollte von der Rechtsberatung anhand des aktuellen Gesetzestexts vorgenommen werden.

Sind anonyme Personenzählungen „personenbezogene Informationen“ unter dem CCPA?

In der in diesem Artikel beschriebenen Konfiguration nicht. Ein System, das keine Bilder, keine Geräte-Identifikatoren und keine biometrischen Daten erfasst und nur aggregierte Zählungen und Trajektoriengeometrie produziert, die nicht vernünftigerweise mit einem bestimmten Verbraucher verknüpft werden können, sitzt nahe an der Ausnahme für aggregierte Informationen. Bestätigen Sie die Analyse für Ihr konkretes Deployment mit der Datenschutzrechtsberatung, insbesondere wenn Sie planen, die Zähldaten mit einer anderen Quelle zu verbinden, die Identifikatoren enthält.

Müssen wir den Zähler in unsere Datenschutzhinweise aufnehmen?

Es ist gute Praxis, das Deployment in einfacher Sprache in den Datenschutzhinweisen und in der Beschilderung im Store zu erwähnen, auch wenn keine personenbezogenen Informationen erfasst werden. Transparenz über Sensortechnologie schafft Vertrauen bei den Käufern und vermeidet Überraschungen, falls ein Verbraucher nachfragt. Die Offenlegung ist ehrlich und kurz: ein sensorbasiertes Zählsystem, was es misst, was es nicht erfasst.

Was, wenn wir bereits Kameras für die Verlustprävention nutzen?

Verlustpräventions-CCTV ist eine separate Verarbeitungstätigkeit mit eigener Rechtsgrundlage, eigenen Aufbewahrungsregeln und eigener Behandlung von Verbraucherrechten unter kalifornischem Recht. Die Tatsache, dass Sie Kameras für einen Zweck betreiben, ändert nichts an der Analyse eines separaten, kamerafreien Zählsystems. Die beiden Systeme sollten getrennt dokumentiert werden, und die Datenschutzhinweise sollten die Unterscheidung deutlich machen.

Ist dieser Artikel Rechtsberatung?

Nein. Dieser Artikel ist nur informativ. Beziehen Sie Ihre Rechtsberatung für eine Compliance-Prüfung speziell für Ihre Deployment-Konfiguration, Ihre Konfigurationsentscheidungen, Ihre Verträge mit Anbietern und etwaige geplante Verbindungen mit anderen Datenquellen ein, die Sie halten. Halten Sie sich für den aktuellen Stand der Regeln an die von der California Privacy Protection Agency veröffentlichten Vorschriften und Hinweise.