Der California Consumer Privacy Act (CCPA), der durch den California Privacy Rights Act (CPRA) geändert wurde, stellt das umfassendste Datenschutzgesetz auf Staatsebene in den Vereinigten Staaten dar. Obwohl es sich nicht um eine E-Mail-spezifische Regelung wie CAN-SPAM handelt, hat der CCPA erhebliche Auswirkungen darauf, wie Unternehmen E-Mail-Adressen und Abonnentendaten sammeln, verwenden und weitergeben. Dieser Leitfaden erklärt, wie die kalifornischen Datenschutzgesetze das E-Mail-Marketing beeinflussen, und bietet praktische Compliance-Strategien.
CCPA und CPRA verstehen
Bevor wir uns mit den Auswirkungen auf das E-Mail-Marketing befassen, wollen wir verstehen, was diese Gesetze sind und für wen sie gelten.
Was ist CCPA?
Der California Consumer Privacy Act, der am 1. Januar 2020 in Kraft trat, gewährt kalifornischen Einwohnern neue Rechte über ihre personenbezogenen Daten und erlegt Unternehmen, die diese sammeln, Verpflichtungen auf.
Grundlegende CCPA-Prinzipien:
Transparenz: Verbraucher müssen wissen, welche Daten gesammelt werden und warum
Kontrolle: Verbraucher können auf Daten zugreifen, sie löschen und dem Verkauf widersprechen
Nichtdiskriminierung: Unternehmen dürfen Verbraucher nicht dafür bestrafen, dass sie ihre Rechte ausüben
Rechenschaftspflicht: Unternehmen müssen angemessene Sicherheitsmaßnahmen implementieren
Was ist CPRA?
Der California Privacy Rights Act, der am 1. Januar 2023 in Kraft trat, ändert und stärkt den CCPA:
Wichtige CPRA-Ergänzungen:
Schaffung der California Privacy Protection Agency (CPPA) zur Durchsetzung
Hinzufügung der Kategorie „sensible personenbezogene Daten" mit zusätzlichem Schutz
Einführung des „Rechts auf Berichtigung" unrichtiger Informationen
Etablierung des „Rechts auf Einschränkung der Nutzung" sensibler Daten
Erweiterte Anforderungen an die Datenminimierung
Neue Verpflichtungen für Auftragnehmer und Dienstleister
Wer muss die Vorschriften einhalten?
CCPA/CPRA gilt für Unternehmen, die:
Geschäfte in Kalifornien tätigen, UND
EINE der folgenden Schwellenwerte erreichen:
Jahresbruttoumsatz über 25 Millionen USD
Kauf, Verkauf oder Weitergabe personenbezogener Daten von 100.000+ kalifornischen Einwohnern/Haushalten jährlich
50%+ des Jahresumsatzes stammen aus dem Verkauf/der Weitergabe personenbezogener Daten
Wichtige Klarstellungen:
Sie benötigen keine physische Präsenz in Kalifornien
„Geschäfte in Kalifornien tätigen" umfasst das Haben kalifornischer Kunden
Beginnen Sie noch heute mit der Verifizierung von E-Mails mit BillionVerify. Erhalten Sie 100 kostenlose Credits bei der Anmeldung - keine Kreditkarte erforderlich. Schließen Sie sich Tausenden von Unternehmen an, die ihren E-Mail-Marketing-ROI mit präziser E-Mail-Verifizierung verbessern.
Keine Kreditkarte erforderlich · 100+ kostenlose Credits täglich · In 30 Sekunden starten
99.9%
Genauigkeit
Real-time
API-Geschwindigkeit
$0.00014
Pro E-Mail
100/day
Dauerhaft kostenlos
Schwellenwerte werden jährlich bewertet
Kleine Unternehmen können dennoch erfasst werden, wenn sie erhebliche personenbezogene Daten verarbeiten
Was sind personenbezogene Daten nach CCPA?
Personenbezogene Daten werden breit definiert als Informationen, die einen bestimmten Verbraucher oder Haushalt identifizieren, sich auf ihn beziehen, ihn beschreiben, vernünftigerweise mit ihm in Verbindung gebracht werden könnten oder vernünftigerweise mit ihm verknüpft werden könnten.
Beispiele relevant für E-Mail-Marketing:
E-Mail-Adressen
Namen
IP-Adressen
Gerätekennungen
Browserverlauf
Kaufhistorie
Aus den oben genannten abgeleitete Rückschlüsse
Sensible personenbezogene Daten (zusätzlicher Schutz unter CPRA):
Behördliche Ausweisdokumente
Finanzkonteninformationen
Präzise Standortdaten
Rassische/ethnische Herkunft
Religiöse Überzeugungen
Genetische Daten
Biometrische Daten
Gesundheitsinformationen
Daten zum Sexualleben/zur sexuellen Orientierung
Für die meisten E-Mail-Marketer gelten die Standardregeln für personenbezogene Daten. Sensible personenbezogene Daten werden im E-Mail-Marketing-Kontext normalerweise nicht gesammelt.
CCPA-Verbraucherrechte und E-Mail-Marketing
Der CCPA gewährt kalifornischen Einwohnern spezifische Rechte, die sich darauf auswirken, wie Sie E-Mail-Abonnentendaten verwalten.
Recht auf Auskunft (Zugang)
Was es bedeutet: Verbraucher können die Offenlegung von Folgendem verlangen:
Kategorien der gesammelten personenbezogenen Daten
Spezifische Teile der gesammelten personenbezogenen Daten
Quellen der Informationen
Geschäftszwecke für die Sammlung
Kategorien von Dritten, mit denen Informationen geteilt werden
Auswirkungen auf E-Mail-Marketing:
Seien Sie bereit, alle Daten bereitzustellen, die Sie über einen Abonnenten besitzen
Dokumentieren Sie Ihre Datensammlungsquellen und -zwecke
Verfolgen Sie die Weitergabe an Dritte (ESPs, Analytics, Werbetreibende)
Anforderungen an die Beantwortung von Anfragen:
Überprüfen Sie die Verbraucheridentität vor der Beantwortung
Antworten Sie innerhalb von 45 Tagen (verlängerbar auf 90 Tage mit Benachrichtigung)
Stellen Sie Informationen kostenlos zur Verfügung
Liefern Sie in einem übertragbaren, leicht verwendbaren Format
Recht auf Löschung
Was es bedeutet: Verbraucher können die Löschung ihrer personenbezogenen Daten verlangen, mit bestimmten Ausnahmen.
Auswirkungen auf E-Mail-Marketing:
E-Mail-Adresse und zugehörige Daten müssen auf Anfrage gelöscht werden
Löschen Sie aus Marketing-Listen, CRM, Analytics-Plattformen
Weisen Sie Dienstleister an, ebenfalls zu löschen
Kann Eintrag in Sperrliste behalten, um erneutes Hinzufügen zu verhindern
Ausnahmen von der Löschung:
Abschluss von Transaktionen, für die die Daten gesammelt wurden
Erkennung von Sicherheitsvorfällen
Ausübung von Meinungsfreiheitsrechten
Einhaltung gesetzlicher Verpflichtungen
Interne Verwendungen im Einklang mit Verbrauchererwartungen
Praktischer Ansatz: Behandeln Sie Löschanfragen ähnlich wie Abmeldeanfragen, jedoch umfassender – löschen Sie alle Daten, nicht nur das Stoppen des E-Mail-Versands.
Recht auf Berichtigung (CPRA)
Was es bedeutet: Verbraucher können die Berichtigung unrichtiger personenbezogener Daten verlangen.
Auswirkungen auf E-Mail-Marketing:
Stellen Sie einen Mechanismus zur Aktualisierung von Profilinformationen bereit
Bearbeiten Sie Berichtigungsanfragen innerhalb von 45 Tagen
Aktualisieren Sie über alle Systeme hinweg, in denen Daten gespeichert sind
Benachrichtigen Sie auch Dienstleister zur Berichtigung
Recht auf Widerspruch gegen Verkauf/Weitergabe
Was es bedeutet: Verbraucher können Unternehmen anweisen, ihre personenbezogenen Daten nicht zu verkaufen oder weiterzugeben.
„Verkaufen" nach CCPA: Breit definiert – umfasst den Austausch von Daten gegen monetäre oder andere wertvolle Gegenleistungen.
„Weitergeben" nach CPRA: Umfasst die Offenlegung von Daten für kontextübergreifende Verhaltenswerbung, auch ohne Bezahlung.
Auswirkungen auf E-Mail-Marketing:
Wenn Sie Abonnentendaten mit Werbeplattformen für Targeting teilen, kann dies „Weitergabe" darstellen
Retargeting basierend auf E-Mail-Listen kann Widerspruchsrechte auslösen
Datenanreicherung durch Dritte kann „Verkauf" beinhalten
„Meine personenbezogenen Daten nicht verkaufen oder weitergeben"-Link: Erforderlich auf Ihrer Website, wenn Sie Daten verkaufen oder weitergeben. Muss sein:
Klar und auffällig
Leicht zu finden (typischerweise in der Fußzeile)
Funktionsfähig ohne Kontoerstellung
Recht auf Einschränkung der Nutzung sensibler personenbezogener Daten
Was es bedeutet: Verbraucher können die Nutzung sensibler personenbezogener Daten auf das für die Dienstleistungserbringung Notwendige beschränken.
Auswirkungen auf E-Mail-Marketing: Die meisten E-Mail-Marketing-Aktivitäten beinhalten keine sensiblen personenbezogenen Daten. Wenn Sie jedoch Folgendes sammeln:
Präzise Standortdaten für lokale Angebote
Gesundheitsinformationen für gesundheitsbezogenes Marketing
Finanzdaten für Marketing von Finanzdienstleistungen
Müssen Sie einen Link „Nutzung meiner sensiblen personenbezogenen Daten einschränken" bereitstellen und Einschränkungsanfragen nachkommen.
Recht auf Nichtdiskriminierung
Was es bedeutet: Unternehmen dürfen Verbraucher, die ihre CCPA-Rechte ausüben, nicht diskriminieren.
Verbotene Handlungen:
Verweigerung von Waren oder Dienstleistungen
Berechnung unterschiedlicher Preise
Bereitstellung unterschiedlicher Qualitätsstufen
Androhung einer der oben genannten Handlungen
Auswirkungen auf E-Mail-Marketing:
Sie können angeforderte transaktionale E-Mails nicht verweigern
Sie können denjenigen, die ihre Rechte ausgeübt haben, nicht minderwertige E-Mail-Inhalte bereitstellen
Sie können nach Widerspruchsanfragen keine zusätzlichen Gebühren für E-Mail-Abonnements verlangen
Zulässige Differenzierung: Sie können Anreize für die Datenweitergabe anbieten, aber diese müssen:
In vernünftigem Verhältnis zum Datenwert stehen
Im Voraus offengelegt werden
Nicht zwingend sein
CCPA-Compliance für E-Mail-Marketer
Lassen Sie uns nun die CCPA-Anforderungen in praktische E-Mail-Marketing-Compliance übersetzen.
Anforderungen an die Datenschutzerklärung
Erforderliche Offenlegungen:
Kategorien der gesammelten personenbezogenen Daten: Listen Sie auf, was Sie in den letzten 12 Monaten gesammelt haben:
Identifikatoren (Name, E-Mail, IP-Adresse)
Internetaktivität (Browsen, E-Mail-Engagement)
Kommerzielle Informationen (Kaufhistorie)
Rückschlüsse (abgeleitete Präferenzen, Segmente)
Quellen personenbezogener Daten:
Direkt von Verbrauchern (Anmeldeformulare)
Automatisch (Cookies, E-Mail-Öffnungen)
Von Dritten (gekaufte Listen, Anreicherung)
Geschäftszwecke:
Marketing-Kommunikation
Personalisierung
Analytics und Verbesserung
Betrugsprävention
Kategorien von Dritten:
E-Mail-Dienstleister
Analytics-Anbieter
Werbeplattformen
Datenanreicherungsdienste
Verbraucherrechte und wie sie ausgeübt werden:
Beschreibung jedes Rechts
Wie Anfragen eingereicht werden
Verifizierungsprozess
Antwortzeiten
Offenlegung zu Nicht-Verkauf/Weitergabe: Geben Sie an, ob Sie Daten verkaufen/weitergeben. Falls ja, fügen Sie den Widerspruchslink hinzu.
Best Practices für Datenschutzerklärungen
Formatanforderungen:
Vernünftig zugänglich
In den Sprachen verfügbar, in denen Sie Geschäfte tätigen
Mindestens jährlich aktualisiert
Mit Datum der letzten Aktualisierung versehen
Best Practices:
Verwenden Sie klare, verständliche Sprache
Organisieren Sie mit Überschriften und Abschnitten
Fügen Sie einen Kalifornien-spezifischen Abschnitt hinzu
Verlinken Sie prominent von der Website und Anmeldeformularen
Datensammlungspraktiken
Hinweis bei der Sammlung: Informieren Sie Verbraucher vor der Sammlung personenbezogener Daten über:
Kategorien der gesammelten Informationen
Zwecke der Sammlung
Ob Informationen verkauft/weitergegeben werden
Aufbewahrungsfristen (oder Kriterien zur Bestimmung)
Für E-Mail-Anmeldeformulare:
Durch Angabe Ihrer E-Mail-Adresse stimmen Sie dem Erhalt von
Marketing-Mitteilungen von BillionVerify zu. Wir sammeln
Ihre E-Mail, Ihren Namen und Engagement-Daten zur Personalisierung
von Inhalten und Verbesserung unserer Dienste. Wir verkaufen Ihre
personenbezogenen Daten nicht. Siehe unsere Datenschutzerklärung für Details
zu Ihren kalifornischen Datenschutzrechten.
Datenminimierung (CPRA): Sammeln Sie nur das, was für die offengelegten Zwecke vernünftigerweise notwendig ist. Für E-Mail-Marketing:
E-Mail-Adresse (erforderlich)
Name (vernünftig für Personalisierung)
Umfangreiche demografische Daten (können ohne klaren Zweck übermäßig sein)
Verwaltung von Dritten
Dienstleistervereinbarungen: Stellen Sie beim Teilen von Abonnentendaten mit E-Mail-Dienstleistern sicher, dass Verträge Folgendes enthalten:
Beschränkungen der Datennutzung auf vertragliche Zwecke
Verbot des Verkaufs oder der Weitergabe der Daten
Anforderung zur Einhaltung von Verbraucheranfragen
Angemessene Sicherheitsmaßnahmen
Einschränkungen der Unterauftragnehmerbenutzung
Werbung durch Dritte: Wenn Sie E-Mail-Listen auf Werbeplattformen hochladen:
Dies kann „Weitergabe" nach CPRA darstellen
Erfordert „Nicht verkaufen oder weitergeben"-Link
Widerspruchsanfragen müssen eingehalten werden
Erwägen Sie die Verwendung von gehashten E-Mails zur Risikominderung
Bearbeitung von Verbraucheranfragen
Verifizierungsprozess: Überprüfen Sie vor der Beantwortung von Anfragen, ob der Antragsteller der tatsächliche Verbraucher ist:
Für Recht auf Auskunft/Löschung:
Gleichen Sie identifizierende Informationen in Ihren Aufzeichnungen ab
Fordern Sie zusätzliche Verifizierung an (E-Mail-Bestätigung, Sicherheitsfragen)
Angemessene Verifizierungsmethoden basierend auf dem Risiko
Für Widerspruch:
Keine Verifizierung erforderlich
Muss ohne Kontoerstellung akzeptiert werden
Sofort einhalten
Beantwortungsprozess:
Bestätigen Sie den Eingang innerhalb von 10 Tagen
Überprüfen Sie die Identität
Lokalisieren Sie alle personenbezogenen Daten
Erfüllen Sie die Anfrage innerhalb von 45 Tagen
Dokumentieren Sie Anfrage und Antwort
Festgelegte Anfragemethoden: Bieten Sie mindestens zwei Methoden an:
Gebührenfreie Telefonnummer
Website-Formular
E-Mail-Adresse (akzeptabel)
Wenn Sie Online-Konten haben: kontobasierte Anfragen
E-Mail-Listenverwaltung nach CCPA
Der CCPA beeinflusst, wie Sie E-Mail-Listen aufbauen, pflegen und verwenden.
Compliance beim Listenaufbau
Erstanbieter-Sammlung:
Stellen Sie einen Hinweis bei der Sammlung bereit
Link zur Datenschutzerklärung
Geben Sie klar an, welche E-Mails sie erhalten werden
Verlangen Sie keine E-Mail für unabhängige Dienste
Drittanbieterlisten: Die Verwendung gekaufter oder gemieteter Listen ist unter CCPA riskant:
Sie müssen überprüfen, dass der Verkäufer die ordnungsgemäße Einwilligung hatte
Sie müssen beim ersten Kontakt einen Hinweis geben
Verbraucher können Löschung verlangen
Kann „Kauf" personenbezogener Daten darstellen
Best Practice: Bauen Sie Listen organisch durch Ihre eigenen Sammlungsbemühungen auf. Es ist konformer und performt besser.
CPRA-Anforderungen: Bewahren Sie personenbezogene Daten nicht länger auf als vernünftigerweise notwendig.
Überlegungen zum E-Mail-Marketing:
Wie lange sollen inaktive Abonnenten behalten werden?
Wann soll die Engagement-Historie gelöscht werden?
Was ist Ihre Aufbewahrungsrichtlinie?
Praktischer Ansatz:
Definieren Sie Aufbewahrungsfristen für jeden Datentyp
Implementieren Sie automatisierte Löschprozesse
Dokumentieren Sie Aufbewahrungsentscheidungen
Erwägen Sie 2-3 Jahre für E-Mail-Engagement-Daten
Überprüfen und aktualisieren Sie Richtlinien jährlich
Einhaltung von Verbraucheranfragen
Auskunftsanfragen: Seien Sie bereit, Folgendes bereitzustellen:
E-Mail-Adresse
Name und Profildaten
Engagement-Historie (Öffnungen, Klicks)
Kaufhistorie
Segmentzuweisungen
Quelle der Sammlung
Löschanfragen: Löschen Sie aus:
Primärer Marketing-Datenbank
E-Mail-Dienstleister
CRM-System
Analytics-Plattformen
Backup-Systemen (innerhalb angemessener Zeit)
Anreicherungsanbietern, mit denen Sie geteilt haben
In Sperrliste behalten: Behalten Sie einen Sperreintrag bei, um erneutes Hinzufügen der Adresse zu verhindern. Dies ist auch nach der Löschung zulässig.
CCPA im Vergleich zu anderen Datenschutzgesetzen
Das Verständnis, wie der CCPA sich zu anderen Vorschriften verhält, hilft beim Aufbau einer umfassenden Compliance.
Praktischer Ansatz: Wenn Sie sowohl EU- als auch kalifornische Abonnenten haben, deckt die GDPR-Compliance im Allgemeinen die CCPA-Anforderungen ab, plus zusätzliche Einwilligungsmaßnahmen.
Kalifornien führte den Weg an, aber andere Staaten folgen:
Virginia Consumer Data Protection Act (VCDPA): In Kraft seit Januar 2023 Colorado Privacy Act (CPA): In Kraft seit Juli 2023 Connecticut Data Privacy Act (CTDPA): In Kraft seit Juli 2023 Utah Consumer Privacy Act (UCPA): In Kraft seit Dezember 2023
Und weitere kommen: Texas, Oregon, Montana, Delaware und andere Staaten haben Datenschutzgesetze verabschiedet oder vorgeschlagen.
Praktischer Ansatz: Bauen Sie ein Compliance-Framework auf, das sich an neue staatliche Gesetze anpassen kann. Die Kernprinzipien sind ähnlich – Transparenz, Verbraucherrechte und Datenschutz.
CCPA-Compliance-Checkliste
Verwenden Sie diese Checkliste, um Ihre CCPA-Compliance im E-Mail-Marketing zu bewerten.
Datenschutzerklärung und Hinweise
[ ] Datenschutzerklärung enthält alle erforderlichen CCPA-Offenlegungen
Vierteljährliche Aktualisierungen des Dateninventars
Monatliche Audits der Anfragebearbeitung
Laufende regulatorische Überwachung
Periodische Bewertungen durch Dritte
Integration mit E-Mail-Marketing-Operationen
Compliance in Workflows einbetten:
Datenschutzhinweis in Anmeldeprozesse einbeziehen
Verifizierung zu Listen-Importverfahren hinzufügen
Löschung in Abmelde-Workflows integrieren
Anfragebearbeitung mit CRM verbinden
Tools, die Compliance unterstützen:
E-Mail-Verifizierungsdienste wie BillionVerify für Datengenauigkeit
Consent-Management-Plattformen
Automatisierungstools für Datenschutzanfragen
Datenmapping-Lösungen
Fazit
CCPA und CPRA fügen wichtige Datenschutzmaßnahmen hinzu, die sich darauf auswirken, wie E-Mail-Marketer Abonnentendaten sammeln, verwenden und weitergeben. Während die Compliance fortlaufende Anstrengungen erfordert, entspricht sie Best Practices, die auch die Marketing-Effektivität verbessern – transparente Sammlung, Qualitätsdaten und Respekt vor Verbraucherpräferenzen.
Wichtige Erkenntnisse:
Kennen Sie Ihre Verpflichtungen: Bestimmen Sie, ob Sie die CCPA-Schwellenwerte erfüllen und welche Anforderungen gelten.
Aktualisieren Sie Ihre Datenschutzerklärung: Stellen Sie sicher, dass umfassende CCPA-Offenlegungen enthalten und aktuell sind.
Bauen Sie Prozesse zur Anfragebearbeitung auf: Seien Sie bereit, Auskunfts-, Lösch- und Widerspruchsanfragen innerhalb der erforderlichen Fristen zu erfüllen.
Verwalten Sie Dritte: Aktualisieren Sie Dienstleisterverträge und bewerten Sie Weitergabepraktiken.
Pflegen Sie die Datenqualität: Verwenden Sie E-Mail-Verifizierung und Listenhygiene zur Unterstützung der Genauigkeitsanforderungen.
Bleiben Sie auf dem Laufenden: Datenschutzrecht entwickelt sich schnell. Überwachen Sie Entwicklungen und passen Sie sich entsprechend an.
Die kalifornischen Datenschutzgesetze stellen eine bedeutende Verschiebung hin zur Verbraucherkontrolle über personenbezogene Daten dar. Indem Sie diese Prinzipien in Ihr E-Mail-Marketing-Programm integrieren, erfüllen Sie nicht nur aktuelle Anforderungen, sondern bereiten sich auf die breitere Datenschutzlandschaft vor, die sich landesweit entwickelt.
