Das kalifornische Gesetz zum Schutz der Privatsphäre von Verbrauchern (CCPA) legt strenge Beschränkungen für die Erhebung und Verarbeitung von Informationen über Einwohner Kaliforniens fest. Wenn Sie Marktplätze parsen, die Preise von Wettbewerbern überwachen oder öffentliche Daten über Proxys sammeln, ist es wichtig, die Anforderungen des Gesetzes und die Methoden zu verstehen, um diese einzuhalten.
In diesem Leitfaden werden wir die praktischen Aspekte der Arbeit mit Proxys im Kontext der CCPA untersuchen: welche Daten gesammelt werden können, wie Prozesse eingerichtet werden, um gesetzeskonform zu sein und Strafen von bis zu 7.500 USD für Verstöße zu vermeiden.
Was ist die CCPA und auf wen gilt das Gesetz
Der California Consumer Privacy Act (CCPA) ist ein kalifornisches Gesetz zum Schutz personenbezogener Daten, das am 1. Januar 2020 in Kraft trat. Es ist eines der strengsten Datenschutzgesetze in den USA und wird oft mit der europäischen Datenschutz-Grundverordnung (GDPR) verglichen. Im Jahr 2023 wurde das Gesetz durch Änderungen des California Privacy Rights Act (CPRA) verstärkt.
Die CCPA gilt für kommerzielle Organisationen, die personenbezogene Daten von Einwohnern Kaliforniens sammeln und mindestens eines der folgenden Kriterien erfüllen:
- Jährlicher Umsatz über 25 Millionen USD
- Das Unternehmen verarbeitet personenbezogene Daten von 100.000+ Verbrauchern, Haushalten oder Geräten pro Jahr
- 50% oder mehr des Umsatzes stammen aus dem Verkauf personenbezogener Daten von Verbrauchern
Ein wichtiger Punkt: Das Gesetz gilt für Unternehmen unabhängig von ihrem Standort. Wenn Sie aus Russland, Kasachstan oder der Ukraine arbeiten, aber Daten von Einwohnern Kaliforniens sammeln, gilt die CCPA für Ihre Aktivitäten.
Praktisches Beispiel: Wenn Sie Daten von amerikanischen Marktplätzen (Amazon, eBay, Walmart) parsen oder Informationen über die Preise von Wettbewerbern in den USA sammeln, besteht eine hohe Wahrscheinlichkeit, dass unter diesen Daten Informationen über Einwohner Kaliforniens sind.
Welche Daten gelten als personenbezogene Daten gemäß CCPA
Die CCPA definiert personenbezogene Informationen sehr weit — es handelt sich um alle Daten, die eine bestimmte Person oder ein bestimmter Haushalt identifizieren, sich auf sie beziehen, sie beschreiben oder vernünftigerweise mit ihnen in Verbindung gebracht werden können. Die Liste umfasst mehr als 10 Datenkategorien.
| Datenkategorie | Beispiele | Risiko beim Parsen |
|---|---|---|
| Identifikatoren | Name, E-Mail, Telefon, IP-Adresse, Cookie-ID | Hoch |
| Kommerzielle Informationen | Kaufhistorie, Produktpräferenzen | Mittel |
| Daten zur Internetaktivität | Browserverlauf, Suchanfragen, Interaktionen mit der Website | Hoch |
| Geolokalisierungsdaten | Physischer Standort, GPS-Koordinaten | Mittel |
| Biometrische Daten | Fingerabdrücke, Gesichtserkennung | Niedrig |
| Berufliche Informationen | Position, Arbeitgeber, Beschäftigungshistorie | Mittel |
Ein entscheidender Punkt: Selbst wenn Sie keine Namen und E-Mail-Adressen direkt sammeln, gelten IP-Adressen und Cookies, die bei der Verwendung von Proxys übertragen werden, bereits als personenbezogene Identifikatoren gemäß der CCPA.
Wie die Verwendung von Proxys mit den Anforderungen der CCPA verbunden ist
Proxys selbst verletzen nicht die CCPA — sie sind ein technisches Werkzeug zur Weiterleitung von Datenverkehr. Probleme entstehen nicht durch die Verwendung von Proxys, sondern durch die Daten, die Sie über sie sammeln, und wie Sie diese Daten verarbeiten.
Typische Nutzungsszenarien von Proxys, bei denen Fragen zur Einhaltung der CCPA auftreten:
1. Parsen von Marktplätzen und E-Commerce-Websites
Wenn Sie Daten über Produkte von Amazon, Walmart, eBay über residential Proxys sammeln, können Sie unbeabsichtigt personenbezogene Informationen sammeln: Kundenbewertungen mit Namen, Benutzerbewertungen, Kundenfragen. Wenn diese Benutzer Einwohner Kaliforniens sind, gilt die CCPA.
2. Überwachung von Wettbewerberpreisen
Bei der Überwachung von Preisen über Proxys können Sie personalisierte Preise sehen, die auf Geolokalisierung und Benutzerhistorie basieren. Das Sammeln solcher Daten kann unter die Definition der Verarbeitung kommerzieller Informationen von Verbrauchern fallen.
3. Datensammlung aus sozialen Medien
Das Parsen öffentlicher Profile auf Instagram, Facebook, LinkedIn über Proxys für Marketingforschungen ist eine direkte Sammlung personenbezogener Daten. Selbst wenn die Profile öffentlich sind, verlangt die CCPA die Einhaltung bestimmter Regeln.
Die Verwendung von Proxys erschwert die Situation, da Sie Ihre wahre Identität und Ihren Standort maskieren. Aus Sicht der CCPA ist dies nicht an sich ein Verstoß, aber wenn Sie personenbezogene Daten heimlich sammeln und den Verbrauchern keine Möglichkeit geben, der Datensammlung zu widersprechen, ist das ein Problem.
Rechtmäßige Methoden zur Datensammlung über Proxys
Die CCPA verbietet die Datensammlung nicht vollständig — das Gesetz regelt die Transparenz, die Kontrolle der Verbraucher über ihre Daten und die Zwecke der Datennutzung. Hier sind Methoden, die helfen, im Rahmen des Gesetzes zu bleiben, wenn Sie mit Proxys arbeiten.
Methode 1: Nur öffentliche, nicht personenbezogene Daten sammeln
Konzentrieren Sie sich auf Daten, die keine bestimmten Personen identifizieren:
- Produktpreise ohne Bezug zu Benutzern
- Aggregierte Statistiken (durchschnittliche Produktbewertung, Anzahl der Bewertungen)
- Technische Spezifikationen von Produkten
- Verfügbarkeit von Produkten im Lager
- Öffentliche Daten über Unternehmen (nicht über Personen)
Stellen Sie beim Parsen von Marktplätzen über Proxys sicher, dass Ihre Skripte Benutzerinhalte ignorieren: Bewertungen mit Namen, Fragen von Käufern, Benutzerprofile.
Methode 2: Anonymisierung und Aggregation von Daten
Wenn Sie Daten sammeln müssen, die personenbezogene Informationen enthalten könnten, anonymisieren Sie diese sofort:
- Entfernen Sie Namen, E-Mail-Adressen, Telefonnummern automatisch aus den gesammelten Daten
- Ersetzen Sie genaue IP-Adressen durch Bereiche oder Regionen
- Aggregieren Sie Daten: anstelle von "Benutzer John kaufte Produkt X" → "Produkt X wurde 150 Mal gekauft"
- Verwenden Sie Hashing für Identifikatoren, wenn diese für die Analyse erforderlich sind
Wichtig: Die Anonymisierung muss irreversibel sein. Wenn Sie personenbezogene Daten aus einem anonymisierten Datensatz wiederherstellen können, gilt die CCPA weiterhin.
Methode 3: Einhaltung von robots.txt und Nutzungsbedingungen
Obwohl dies keine direkte Anforderung der CCPA ist, zeigt die Einhaltung der Regeln von Websites, dass Sie in gutem Glauben handeln:
- Überprüfen Sie die Datei robots.txt vor dem Parsen — viele Websites verbieten ausdrücklich das Sammeln bestimmter Daten
- Lesen Sie die Nutzungsbedingungen der Zielwebsites — dort können Einschränkungen für die automatische Datensammlung enthalten sein
- Verwenden Sie angemessene Verzögerungen zwischen Anfragen über Proxys (Rate Limiting)
- Identifizieren Sie Ihren Bot über den User-Agent, wenn möglich
Methode 4: Transparenz und Dokumentation der Zwecke
Die CCPA verlangt von Unternehmen, dass sie transparent hinsichtlich der Datensammlung sind:
- Dokumentieren Sie, welche Daten Sie sammeln und zu welchen Zwecken
- Wenn Sie eine Website haben — veröffentlichen Sie eine Datenschutzrichtlinie mit einer Beschreibung der Datensammlungspraktiken
- Speichern Sie Daten nur so lange, wie es für die angegebenen Zwecke erforderlich ist
- Verkaufen Sie gesammelte Daten nicht an Dritte ohne ausdrückliche Zustimmung
Praktischer Rat: Wenn Sie Datacenter-Proxys zum Parsen verwenden, dokumentieren Sie den Prozess: was Sie parsen, wie Sie personenbezogene Daten filtern, wie lange Sie Informationen speichern. Dies hilft im Falle einer Überprüfung.
Öffentliche Daten vs. persönliche Informationen: Wo ist die Grenze
Eine der häufigsten Fragen lautet: "Wenn Daten öffentlich im Internet verfügbar sind, kann ich sie dann frei sammeln?" Die CCPA macht keine Ausnahmen für öffentliche Daten — wenn Informationen einen Einwohner Kaliforniens identifizieren, fallen sie unter das Gesetz.
| Datentyp | Öffentlicher Zugang | Gilt die CCPA | Empfehlung |
|---|---|---|---|
| Produktpreise | Ja | Nein | Sicher parsen |
| Bewertungen mit Benutzernamen | Ja | Ja | Namen bei der Sammlung entfernen |
| E-Mail aus öffentlichen LinkedIn-Profilen | Ja | Ja | Hohes Risiko, vermeiden |
| Aggregierte Verkaufsstatistiken | Ja | Nein | Sicher parsen |
| IP-Adressen von Website-Besuchern | Nein (technische Daten) | Ja | Benötigt Datenschutzrichtlinie |
| Öffentliche Beiträge auf Instagram | Ja | Hängt vom Inhalt ab | Autoren anonymisieren |
Die wichtigste Regel: Die Öffentlichkeit von Daten hebt nicht ihren Status als personenbezogene Informationen auf. Wenn Sie öffentliche Daten sammeln, die Personen identifizieren, gilt die CCPA. Der Unterschied besteht nur darin, dass es einfacher ist, für öffentliche Daten ein "berechtigtes Interesse" als Grundlage für die Verarbeitung zu rechtfertigen.
Ausnahmen von der CCPA
Das Gesetz sieht mehrere Ausnahmen vor, bei denen Daten nicht als personenbezogene Informationen gelten:
- Öffentlich zugängliche Informationen aus Regierungsquellen (staatliche Register, Gerichtsakten)
- Deidentifizierte Daten, die nicht mit einem bestimmten Verbraucher in Verbindung gebracht werden können
- Aggregierte Informationen über Verbraucher
- Daten, die im Rahmen von wissenschaftlichen Forschungen unter Einhaltung ethischer Standards gesammelt wurden
Checkliste zur Einhaltung der CCPA beim Parsen von Daten
Verwenden Sie diese Checkliste, bevor Sie ein Projekt zur Datensammlung über Proxys starten, wenn Ihre Zielgruppe oder Datenquellen mit Kalifornien verbunden sind:
✅ Planungsphase
- Bestimmen Sie, welche Daten Sie benötigen und ob sie gemäß CCPA personenbezogen sind
- Bewerten Sie, ob Ihr Unternehmen unter die CCPA fällt (Einkommenskriterien, Datenvolumen)
- Dokumentieren Sie die rechtliche Grundlage für die Datensammlung (berechtigtes Interesse, Vertrag, Zustimmung)
- Überprüfen Sie die Nutzungsbedingungen der Zielwebsites auf Einschränkungen beim Parsen
✅ Technische Einrichtung
- Richten Sie Filter ein, um personenbezogene Identifikatoren automatisch zu entfernen (Namen, E-Mail, Telefonnummern)
- Verwenden Sie residential Proxys mit Rotation zur Minimierung von Spuren
- Implementieren Sie Rate Limiting zur Einhaltung von robots.txt
- Richten Sie automatische Anonymisierung von IP-Adressen und anderen Identifikatoren ein
- Speichern Sie gesammelte Daten in verschlüsselter Form
✅ Dokumentationsphase
- Erstellen Sie eine Datenschutzrichtlinie, die die Praktiken zur Datensammlung beschreibt (wenn Sie eine Website oder einen Dienst haben)
- Dokumentieren Sie die Verfahren zur Bearbeitung von Anfragen zur Löschung von Daten durch Verbraucher
- Führen Sie ein Protokoll über die Datenverarbeitung: was gesammelt wurde, wann, zu welchem Zweck
- Legen Sie Fristen für die Datenspeicherung und Verfahren zur automatischen Löschung fest
✅ Betriebsphase
- Überprüfen Sie regelmäßig die gesammelten Daten auf personenbezogene Informationen
- Verkaufen oder übertragen Sie Daten nicht an Dritte ohne ausdrückliche Zustimmung
- Aktualisieren Sie die Datenschutzrichtlinie bei Änderungen der Datensammlungspraktiken
- Schulen Sie Ihr Team in den Grundlagen der CCPA und den Verfahren zur Datenverarbeitung
- Richten Sie einen Mechanismus zur Bearbeitung von Verbraucheranfragen zum Zugriff/Löschen von Daten ein
Proxy-Einstellungen zur Minimierung rechtlicher Risiken
Eine korrekte Proxy-Einstellung garantiert nicht die Einhaltung der CCPA, hilft jedoch, Risiken zu minimieren und zeigt im Falle einer Überprüfung, dass Sie in gutem Glauben handeln.
Wahl des Proxy-Typs je nach Aufgabe
| Proxy-Typ | Besser geeignet für | CCPA-Risiken |
|---|---|---|
| Residential Proxys | Parsen von Marktplätzen, Sammeln öffentlicher Daten aus sozialen Medien | Mittel — erscheinen wie normale Benutzer |
| Mobile Proxys | Datensammlung aus mobilen Anwendungen, Überprüfung von Geotargeting | Mittel — hohe Anonymität |
| Datacenter-Proxys | Massensammeln nicht personenbezogener Daten (Preise, Verfügbarkeit) | Niedrig — wenn keine personenbezogenen Daten gesammelt werden |
Proxy-Einstellungen zur Einhaltung des Gesetzes
1. IP-Rotation: Verwenden Sie automatische IP-Rotation zur Lastverteilung und um zu vermeiden, dass gesammelte Daten einem einzigen Identifikator zugeordnet werden. Dies erschwert die Erstellung von Benutzerprofilen.
2. Geografische Zuordnung: Wenn Sie NICHT mit Daten von Einwohnern Kaliforniens arbeiten, richten Sie Proxys so ein, dass kalifornische IPs ausgeschlossen werden. Die meisten Proxy-Anbieter erlauben die Auswahl von Regionen.
3. Protokollierung von Anfragen: Führen Sie Protokolle aller Anfragen über Proxys mit Zeitstempeln. Dies hilft, die Einhaltung von Rate Limiting und das Fehlen von Missbrauch im Falle einer Überprüfung nachzuweisen.
4. User-Agent und Identifizierung: Einige Juristen empfehlen, einen ehrlichen User-Agent zu verwenden, der Ihren Parser identifiziert (z. B. "MyCompanyBot/1.0"). Dies zeigt Transparenz, kann jedoch das Risiko von Blockierungen erhöhen.
Wichtig: Die Verwendung von mobilen Proxys zum Umgehen von Blockierungen ist an sich kein Verstoß gegen die CCPA, aber wenn Sie Schutzmaßnahmen umgehen, um personenbezogene Daten ohne Zustimmung zu sammeln, kann dies als Verstoß angesehen werden.
Strafen für Verstöße gegen die CCPA und reale Fälle
Die CCPA sieht zwei Arten von Strafen vor: administrative (von der Generalstaatsanwaltschaft Kaliforniens) und zivilrechtliche Klagen von Verbrauchern.
Höhe der Strafen
- Administrative Strafen: bis zu 2.500 USD für jedes unbeabsichtigte Vergehen, bis zu 7.500 USD für jedes vorsätzliche Vergehen
- Zivilklagen: 100–750 USD pro Verbraucher für jeden Vorfall eines Datenlecks (oder tatsächlicher Schaden, wenn dieser höher ist)
- Kollektivklagen: Bei einem Datenleck von Tausenden von Nutzern kann die Summe Millionen von Dollar erreichen
Reale Fälle von Verstößen gegen die CCPA
Sephora — 1,2 Millionen USD Strafe (2022)
Das Unternehmen verkaufte personenbezogene Daten von Verbrauchern an Dritte, ohne die Möglichkeit zur Ablehnung anzubieten. Dies ist die erste große Strafe für einen Verstoß gegen die CCPA. Lektion: Wenn Sie Daten sammeln und an Dritte weitergeben — gilt dies als "Verkauf" gemäß CCPA, was eine Benachrichtigung erfordert.
DoorDash — Kollektivklage (2020)
Ein Datenleck von 4,9 Millionen Nutzern führte zu einer Kollektivklage auf Grundlage der CCPA. Obwohl der Fall außergerichtlich geregelt wurde, zeigte er, dass selbst Startups mit ernsthaften Konsequenzen konfrontiert werden können.
Clearview AI — laufende Ermittlungen
Das Unternehmen sammelte Fotos aus sozialen Medien (öffentliche Daten), um eine Datenbank zur Gesichtserkennung zu erstellen. Trotz der Öffentlichkeit der Daten wurden gegen Clearview zahlreiche Klagen eingereicht, darunter auch Vorwürfe wegen Verstößen gegen die CCPA. Lektion: Selbst das Sammeln öffentlicher personenbezogener Daten kann zu Problemen führen.
Für kleine und mittelständische Unternehmen ist das Risiko von Strafen real, wenn Sie unter die Kriterien der CCPA fallen. Der Generalstaatsanwalt von Kalifornien untersucht aktiv Verbraucherbeschwerden, und seit 2023 gibt es eine spezielle Behörde, die California Privacy Protection Agency (CPPA), die die Einhaltung des Gesetzes überwacht.
Wie man das Risiko von Strafen verringert
- Führen Sie eine Datenprüfung durch: Was sammeln Sie, wie speichern Sie es, an wen geben Sie es weiter
- Implementieren Sie Verfahren zur Bearbeitung von Verbraucheranfragen (Zugriff, Löschung, Widerspruch gegen den Verkauf von Daten)
- Veröffentlichen Sie eine Datenschutzrichtlinie auf Ihrer Website, die die Praktiken zur Datensammlung beschreibt
- Schulen Sie Ihr Team in den Grundlagen der CCPA und den Verfahren zur Bearbeitung von Anfragen
- Erwägen Sie eine Cyber-Risiko-Versicherung, die Strafen für Datenschutzverletzungen abdeckt
- Bei Zweifeln — konsultieren Sie einen Anwalt, der auf Datenschutzrecht spezialisiert ist
Fazit
Die CCPA stellt erhebliche Anforderungen an Unternehmen, die personenbezogene Daten von Einwohnern Kaliforniens sammeln, unabhängig davon, ob Sie Proxys verwenden oder nicht. Die wichtigsten Prinzipien zur Einhaltung des Gesetzes sind: Transparenz der Datensammelzwecke, Minimierung der Menge an personenbezogenen Informationen, den Verbrauchern Kontrolle über ihre Daten geben und sichere Speicherung.
Die Verwendung von Proxys zur Datensammlung ist rechtmäßig, wenn Sie sich auf nicht personenbezogene Informationen konzentrieren oder personenbezogene Daten sofort anonymisieren. Dokumentieren Sie die Prozesse, halten Sie sich an die Nutzungsbedingungen der Zielplattformen und seien Sie bereit, die Rechtmäßigkeit Ihrer Handlungen zu rechtfertigen.
Denken Sie daran: Strafen für Verstöße gegen die CCPA können Millionen von Dollar erreichen, aber die meisten Probleme können durch die richtige Einrichtung von Datensammel- und Verarbeitungsprozessen vermieden werden. Investitionen in die Einhaltung des Gesetzes zahlen sich durch den Schutz vor rechtlichen Risiken und das Vertrauen der Nutzer aus.
Wenn Sie planen, Daten aus amerikanischen Quellen zu sammeln, empfehlen wir die Verwendung von residential Proxys mit der Möglichkeit, die Geografie auszuwählen — dies ermöglicht es, kalifornische IPs aus der Rotation auszuschließen oder umgekehrt, Daten spezifisch nach Regionen zu sammeln, entsprechend Ihren Geschäftsanforderungen und rechtlichen Anforderungen.