CCPA-Vorschriften 2026: ADMT, Risikobewertungen und Audits

Auf einen Blick

• Die CCPA-Vorschriften in Titel 11 des California Code of Regulations gelten seit dem 1. Januar 2026 in neuer Fassung, mit neuen Artikeln zu Cybersicherheitsaudits, Risikobewertungen und automatisierter Entscheidungstechnologie (ADMT) sowie zu Versicherungsunternehmen.
• Wer ADMT bereits für wesentliche Entscheidungen über Verbraucher, Bewerber oder Beschäftigte nutzt, braucht bis zum 1. Januar 2027 Vorabinformation, Opt-out oder Ausnahme und ein Auskunftsverfahren, elf Monate vor den Hochrisikopflichten der KI-Verordnung.
• Neue risikoreiche Verarbeitungen setzen schon heute eine Risikobewertung voraus; ältere sind bis zum 31. Dezember 2027 zu bewerten, und zum 1. April 2028 folgt die Bestätigung einer verantwortlichen Führungskraft.
• Unabhängige Cybersicherheitsaudits starten mit einer ersten Zertifizierung zum 1. April 2028 für Unternehmen mit mehr als 100 Millionen US-Dollar Umsatz; kleinere folgen 2029 und 2030.
• Alle CCPA-Verfahren 2026 betrafen bisher erschwerte Opt-outs oder übermäßige Datenerhebung, genau die Kontrollen, die auch ADMT-Pflichten und Risikobewertungen prüfen werden.

CCPA-Vorschriften: was sie regeln und was sich am 1. Januar 2026 geändert hat

Der California Consumer Privacy Act (CCPA) in der durch den CPRA geänderten Fassung setzt den Rahmen, die CCPA-Vorschriften in Titel 11 des California Code of Regulations machen daraus operative Pflichten. Zuständig ist die California Privacy Protection Agency, die heute als CalPrivacy auftritt; parallel setzt der kalifornische Attorney General die CCPA durch. Anders als eine Orientierungshilfe der Datenschutzkonferenz sind diese Regulations verbindliches Recht mit Bußgeldfolgen. Das Office of Administrative Law genehmigte das Paket am 22. September 2025 (Latham & Watkins), die Behörde gab es am Folgetag bekannt (Mitteilung der CPPA), und seit dem 1. Januar 2026 ist es in Kraft. Neu sind Artikel 9 zu Cybersicherheitsaudits (Abschnitte 7120 bis 7124), Artikel 10 zu Risikobewertungen (7150 bis 7157), Artikel 11 zu ADMT (7200 bis 7222) und Artikel 12 zu Versicherungsunternehmen (genehmigter Verordnungstext). Auch Bestehendes wurde verschärft. Das bloße Schließen eines Cookie-Banners ist keine Einwilligung, ein Opt-out darf nicht mehr Schritte erfordern als ein Opt-in, und Unternehmen müssen Verbrauchern zeigen, dass ein Opt-out, auch ein per Global Privacy Control übermitteltes, tatsächlich umgesetzt wurde (Greenberg Traurig). Als sensible personenbezogene Informationen gelten nun auch neuronale Daten sowie Informationen über Verbraucher, von denen das Unternehmen weiß, dass sie jünger als 16 Jahre sind. Der Anwendungsbereich bleibt unverändert. Die CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und eines von drei Kriterien erfüllen: ein Jahresbruttoumsatz von mehr als 26.625.000 US-Dollar (inflationsbereinigt zum 1. Januar 2025), Kauf, Verkauf oder Weitergabe personenbezogener Informationen von mindestens 100.000 Verbrauchern oder Haushalten oder mindestens die Hälfte des Umsatzes aus Verkauf oder Weitergabe solcher Informationen (CalPrivacy zur CPI-Anpassung). Seit dem 1. Januar 2023 zählen Beschäftigte, Bewerber und Geschäftskontakte als „Verbraucher“. Ein deutscher Konzern ohne US-Endkundengeschäft kann also allein über seine kalifornische Belegschaft unter die CCPA fallen, sofern eine Schwelle erreicht ist. Wie sich das in Ihre KI-Compliance einfügt, zeigen die folgenden Abschnitte.

CCPA-Kalender 2026 bis 2030: alle Fristen im Überblick

Die CCPA-Vorschriften treten über vier Jahre gestaffelt in Kraft. Die Tabelle zeigt alle Meilensteine, die wir am Verordnungstext und an Behördenmitteilungen prüfen konnten (Stand: 16. September 2026). <table header-row=“true“> <tr> <td>Datum</td> <td>Was gilt</td> <td>Wen es betrifft</td> </tr> <tr> <td>1. Januar 2026</td> <td>Überarbeitete CCPA-Vorschriften in Kraft; Risikobewertung vor jeder neuen risikoreichen Verarbeitung</td> <td>Alle erfassten Unternehmen</td> </tr> <tr> <td>1. August 2026</td> <td>Registrierte Datenhändler bearbeiten Löschanfragen über die Plattform DROP mindestens alle 45 Tage</td> <td>Datenhändler</td> </tr> <tr> <td>1. Januar 2027</td> <td>ADMT: Vorabinformation, Opt-out und Auskunft bei wesentlichen Entscheidungen</td> <td>Unternehmen, die ADMT einsetzen</td> </tr> <tr> <td>1. Januar 2027</td> <td>Browser müssen ein Opt-out-Präferenzsignal anbieten (AB 566); CPI-Anpassung von Schwellenwerten und Bußgeldern; Gebühr für Datenhändler steigt auf 9.500 US-Dollar</td> <td>Browserhersteller, alle Unternehmen, Datenhändler</td> </tr> <tr> <td>31. Dezember 2027</td> <td>Risikobewertungen für Verarbeitungen, die vor 2026 begonnen haben und andauern</td> <td>Alle erfassten Unternehmen</td> </tr> <tr> <td>1. April 2028</td> <td>Erste Einreichung zu Risikobewertungen samt Bestätigung; erste Zertifizierung des Cybersicherheitsaudits (Umsatz 2026 über 100 Millionen US-Dollar)</td> <td>Alle erfassten Unternehmen; die größten Unternehmen</td> </tr> <tr> <td>1. April 2029</td> <td>Erste Auditzertifizierung bei einem Umsatz 2027 zwischen 50 und 100 Millionen US-Dollar</td> <td>Mittelgroße Unternehmen</td> </tr> <tr> <td>1. April 2030</td> <td>Erste Auditzertifizierung bei einem Umsatz unter 50 Millionen US-Dollar</td> <td>Kleinere Unternehmen</td> </tr> </table> Daraus folgt zweierlei. Erstens ist der 1. Januar 2027 die einzige harte CCPA-Frist der kommenden Monate; wer auch in Colorado tätig ist, gleicht sie mit den Pflichten aus dem Colorado AI Act ab. Zweitens laufen Bewertungsrückstand und erster Auditzeitraum durch das Jahr 2027: Die Nachweise des kommenden Jahres werden 2028 unter persönlicher Verantwortung bestätigt.

CCPA und ADMT: was bis zum 1. Januar 2027 stehen muss

Artikel 11 ist der Teil der CCPA-Vorschriften, der KI am direktesten regelt. Nach Abschnitt 7200(b) muss eine ADMT, die vor dem 1. Januar 2027 für eine wesentliche Entscheidung eingesetzt wird, bis zu diesem Datum konform sein. Alles, was später startet, muss es bereits vor der ersten Nutzung sein.

Liegt ADMT vor? Der Test der menschlichen Beteiligung

ADMT ist nach Abschnitt 7001(e) jede Technologie, die personenbezogene Informationen verarbeitet und menschliche Entscheidungsfindung durch Berechnung ersetzt oder im Wesentlichen ersetzt. Im Wesentlichen ersetzt ist der Mensch, solange keine prüfende Person drei Bedingungen erfüllt: Sie kann das Ergebnis interpretieren und verwenden, sie prüft es zusammen mit anderen relevanten Informationen, und sie ist befugt, die Entscheidung zu treffen oder zu ändern. Wer eine vom System sortierte Shortlist ohne Kontext und Befugnis abzeichnet, besteht den Test nicht. Profiling zählt, wenn es menschliches Urteil ersetzt; Tabellenkalkulationen, Datenbanken, Spamfilter und Firewalls zählen nicht. Art. 22 DSGVO erfasst Entscheidungen, die „ausschließlich“ auf automatisierter Verarbeitung beruhen. Auch europäische Aufsichtsbehörden lassen eine symbolische Freigabe nicht genügen, doch die CCPA schreibt die drei Kriterien ausdrücklich fest und macht sie prüfbar. Ein Fall, den Sie mit Verweis auf eine formale Freigabe aus Art. 22 herausgenommen haben, kann unter der CCPA dennoch ADMT sein. Die Pflichten gelten nur für wesentliche Entscheidungen (Abschnitt 7001(ddd)) über Finanz- und Kreditdienstleistungen, Wohnraum, Bildungszugang und Bildungschancen, Beschäftigungs- oder Auftragschancen und Vergütung sowie Gesundheitsleistungen. Beschäftigung reicht von Einstellung, Arbeitszuweisung, Gehalt und Boni über Beförderung und Herabstufung bis zu Suspendierung und Kündigung. Werbung ist ausgenommen. Weitere Regelwerke für Auswahl-Tools zeigt unser Überblick zu KI im Recruiting. Für deutsche Konzerne liegt der Einstieg im Personalbereich. Ein konzernweit ausgerolltes Scoring-Tool hat hierzulande meist schon den Betriebsrat beschäftigt, denn technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegen nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung. Die Betriebsvereinbarung beschreibt oft Zweck, Datenkategorien, Auswertungslogik und Entscheidungsbefugnis. Sie ersetzt keine CCPA-Pflicht, liefert aber Rohmaterial für Vorabinformation und Beteiligungsnachweis. Wie eine prüfende Person verankert wird, beschreibt unser Beitrag zur menschlichen Aufsicht.

Die Vorabinformation vor dem Einsatz

Abschnitt 7220 verlangt einen Hinweis bei oder vor der Erhebung oder, wenn vorhandene Daten für ADMT umgewidmet werden, vor dieser Zweckänderung. Er nennt den konkreten Zweck (die Formel „um eine wesentliche Entscheidung zu treffen“ reicht nicht), das Opt-out oder die genutzte Ausnahme, das Auskunftsrecht und das Benachteiligungsverbot. Außerdem erklärt er die Funktionsweise: welche Kategorien personenbezogener Informationen das Ergebnis beeinflussen, welche Art von Ergebnis entsteht, wie es in die Entscheidung einfließt und welches alternative Verfahren bei Widerspruch gilt. Geschäftsgeheimnisse und Sicherheitsdetails dürfen zurückgehalten werden, konsolidierte Hinweise sind zulässig. Wer Datenschutzhinweise nach Art. 13 DSGVO pflegt, hat das Grundgerüst; neu ist, dass die CCPA ein real existierendes Alternativverfahren voraussetzt.

Das Opt-out und seine drei Ausnahmen

Abschnitt 7221 gibt Verbrauchern das Recht, der Nutzung von ADMT für wesentliche Entscheidungen zu widersprechen. Nötig sind mindestens zwei Wege, einer davon im üblichen Interaktionskanal; ein Cookie-Banner genügt nicht. Binnen 15 Geschäftstagen muss die Verarbeitung enden, Dienstleister sind entsprechend anzuweisen, und erst nach zwölf Monaten darf das Unternehmen erneut fragen. An die Stelle des Opt-outs kann eine von drei Ausnahmen treten:

1. Menschliche Überprüfung auf Beschwerde. Eine prüfende Person mit der Befugnis, die Entscheidung aufzuheben, würdigt das Vorbringen der betroffenen Person.
2. Zulassung, Annahme oder Einstellung. Die ADMT dient ausschließlich der Beurteilung der Eignung für eine Tätigkeit oder ein Bildungsprogramm und erfüllt diesen Zweck ohne rechtswidrige Diskriminierung.
3. Arbeitszuweisung und Vergütung. Die ADMT dient ausschließlich diesem Zweck, unter derselben Bedingung.

Die zweite und dritte Ausnahme gibt es nicht zum Nulltarif: „Funktioniert und diskriminiert nicht rechtswidrig“ ist eine Tatsachenbehauptung, für die die CCPA faktisch Validierungs- und Bias-Testprotokolle verlangt. Die erste Ausnahme deckt sich mit Art. 22 Abs. 3 DSGVO: Eingreifen einer Person, Darlegung des eigenen Standpunkts, Anfechtung.

Auskunftsersuchen

Nach Abschnitt 7222 können Verbraucher erfragen, wie ADMT in ihrem Fall eingesetzt wurde. Die Antwort nennt den konkreten Zweck, die Logik in nachvollziehbarer Form (gegebenenfalls mit Parametern und dem individuellen Ergebnis) und den Ausgang, auch ob das Ergebnis alleiniger Faktor war und welche Rolle ein Mensch spielte. Wurde ein Tool binnen zwölf Monaten mehr als viermal gegenüber derselben Person eingesetzt, ist eine zusammengefasste Antwort erlaubt. Anbieter müssen ihre Kunden unterstützen. Das europäische Gegenstück sind die „aussagekräftigen Informationen über die involvierte Logik“ nach Art. 13 bis 15 DSGVO.

Risikobewertungen nach der CCPA: der Rückstand bis zum 31. Dezember 2027

Artikel 10 ist die Pflicht mit dem längsten Nachlauf. Abschnitt 7150 nennt sechs Tätigkeiten, die vor ihrem Beginn eine Risikobewertung nach der CCPA erfordern:

• Verkauf oder Weitergabe personenbezogener Informationen;
• Verarbeitung sensibler personenbezogener Informationen (mit enger Ausnahme für Lohnabrechnung, betriebliche Leistungen, Arbeitsplatzanpassungen und Arbeitserlaubnisse);
• Einsatz von ADMT für eine wesentliche Entscheidung;
• automatisierte Rückschlüsse auf Merkmale wie Fähigkeiten, Leistung oder Gesundheit aus der systematischen Beobachtung von Bewerbern, Studierenden, Beschäftigten oder Auftragnehmern;
• solche Rückschlüsse aus der Anwesenheit an einem sensiblen Ort;
• Training von ADMT für wesentliche Entscheidungen oder von Gesichtserkennung, Emotionserkennung, Identitäts- und biometrischen Technologien.

Der Bericht nach Abschnitt 7152 umfasst den konkreten Zweck; die Kategorien und das notwendige Minimum an personenbezogenen Informationen; operative Elemente wie Methode, Quellen, Speicherdauer, Interaktion, Zahl der Betroffenen, Offenlegungen und Empfänger; bei ADMT die Logik und die Verwendung des Ergebnisses; den Nutzen; negative Auswirkungen auf Sicherheit, Diskriminierung, Kontrolle, Zwang sowie wirtschaftliche, körperliche, reputationsbezogene und psychische Schäden; Schutzmaßnahmen; die Entscheidung über den Start; die Mitwirkenden; und die entscheidungsbefugten Genehmigenden mit Namen und Datum. Abschnitt 7154 nennt das Ziel offen: Verarbeitungen sind einzuschränken oder zu untersagen, wenn die Risiken für die Privatsphäre den Nutzen überwiegen. Eine Bewertung, die nie etwas verändert, ist schwer zu verteidigen. Bewertungen sind mindestens alle drei Jahre zu überprüfen und binnen 45 Kalendertagen nach einer wesentlichen Änderung zu aktualisieren; aufbewahrt werden sie für die Dauer der Verarbeitung oder fünf Jahre nach deren Ende, je nachdem, was länger ist (Abschnitt 7155). Abschnitt 7156 erlaubt eine gemeinsame Bewertung für vergleichbare Verarbeitungen und die Wiederverwendung von Bewertungen nach anderem Recht, etwa einer DSFA oder eines Data Protection Assessment aus Colorado, Virginia oder Connecticut, sofern fehlende Elemente ergänzt werden. Nach Abschnitt 7153 muss, wer ADMT anderen bereitstellt, seinen Kunden alle Fakten für deren eigene Bewertung liefern: eine Klausel für jeden Fragebogen zur Due Diligence bei KI-Lieferanten. Wer seine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO sauber führt und die DSFA-Liste der Datenschutzkonferenz (DSK) beachtet, hat damit für viele CCPA-Auslöser bereits eine Vorlage. Meist fehlen nur die Zahl der Betroffenen, die namentliche Genehmigung mit Datum und bei ADMT die Verwendung des Ergebnisses in der Entscheidung. Die Einreichung ist der Punkt, an dem die CCPA Zähne zeigt. Bis zum 1. April 2028 und danach jeweils zum 1. April meldet das Unternehmen die Zahl der Bewertungen je Auslöser, die betroffenen Kategorien personenbezogener Informationen und eine Bestätigung unter Strafandrohung wegen Meineids (penalty of perjury), unterzeichnet von einer unmittelbar verantwortlichen Führungskraft (Abschnitt 7157). Behörde oder Attorney General können die vollständigen Berichte jederzeit anfordern, mit einer Frist von 30 Kalendertagen. Wie eine einzige Vorlage DSFA, KI-Folgenabschätzung und CCPA-Bewertung zugleich abdeckt, zeigen unsere Leitfäden.

Cybersicherheitsaudits nach der CCPA: wer, wann und wie unabhängig

Artikel 9 betrifft Unternehmen, deren Verarbeitung ein erhebliches Sicherheitsrisiko birgt (Abschnitt 7120): solche, die mindestens die Hälfte ihres Umsatzes mit Verkauf oder Weitergabe personenbezogener Informationen erzielen, und solche oberhalb der Umsatzschwelle, die im Vorjahr Informationen von mindestens 250.000 Verbrauchern oder Haushalten oder sensible Informationen von mindestens 50.000 Verbrauchern verarbeitet haben. Der Zeitplan folgt dem Umsatz (Abschnitt 7121). Wer 2026 mehr als 100 Millionen US-Dollar umsetzt, prüft das Kalenderjahr 2027 und zertifiziert bis zum 1. April 2028. Zwischen 50 und 100 Millionen US-Dollar ist die erste Zertifizierung zum 1. April 2029 fällig, darunter zum 1. April 2030. Danach wird jährlich geprüft. Wichtiger als die Termine sind die Unabhängigkeitsregeln in Abschnitt 7122. Interne Auditoren sind erlaubt, doch die Leitung der internen Revision muss an eine Führungskraft ohne Verantwortung für das Cybersicherheitsprogramm berichten, die zugleich Vergütung und Beurteilung des Auditors festlegt. Wer die geprüften Kontrollen entworfen oder betrieben hat, darf sie nicht prüfen. Feststellungen dürfen nicht überwiegend auf Aussagen des Managements beruhen, sondern auf Dokumenten, Stichproben und Tests. Die Zertifizierung nach Abschnitt 7124 erfolgt unter Strafandrohung wegen Meineids. Die Sicherheitslogik kennen Sie aus Art. 32 DSGVO, die Vorgabe zur Berichtslinie ist strenger. Berichtet Ihre Revision an das für Informationssicherheit zuständige Vorstandsmitglied oder prüft Ihre Funktion für KI-Audits auch Cyberkontrollen, klären Sie das jetzt.

Durchsetzung 2026: was die Bußgelder zeigen

Die CCPA-Durchsetzung 2026 zeigt, wo künftige ADMT-Verfahren ansetzen dürften.

• Disney, 2,75 Millionen US-Dollar (Attorney General, 11. Februar 2026). Opt-outs galten nur für einen Dienst oder ein Gerät, und Global-Privacy-Control-Signale wurden nicht kontoweit umgesetzt (Hunton).
• PlayOn Sports, 1,1 Millionen US-Dollar (CalPrivacy, 3. März 2026). Schülerinnen und Schüler mussten Tracking akzeptieren, um ihre Tickets zu nutzen; die Anordnung verpflichtet das Unternehmen zu Risikobewertungen (Hunton).
• Ford, 375.703 US-Dollar (CalPrivacy, 5. März 2026). Verbraucher mussten erst eine E-Mail-Adresse bestätigen, bevor ihr Opt-out bearbeitet wurde (CalPrivacy).
• General Motors, 12,75 Millionen US-Dollar (Attorney General mit CalPrivacy und vier Bezirksstaatsanwaltschaften, 8. Mai 2026). Der bislang größte CCPA-Vergleich und das erste Verfahren zur Datenminimierung: Fahr- und Standortdaten wurden an Datenhändler verkauft (California Attorney General).
• LocateSmarter, 116.490 US-Dollar (CalPrivacy, 11. August 2026). Das erste Verfahren gegen einen Datenhändler nach CCPA und Delete Act zugleich, weil vor einem Opt-out Ziffern der Sozialversicherungsnummer verlangt wurden (CalPrivacy).

Das Muster ist eindeutig: Reibung bei der Ausübung von Rechten und mehr Daten, als der Zweck erfordert. Die Bußgelder sind auf 2.663 US-Dollar je Verstoß und 7.988 US-Dollar je vorsätzlichem Verstoß oder Verstoß mit Bezug zu unter 16-Jährigen begrenzt. Weil jeder betroffene Verbraucher als eigener Verstoß zählen kann, entstehen daraus sieben- und achtstellige Vergleiche. Anders als nach Art. 83 DSGVO, der am weltweiten Jahresumsatz ansetzt, skaliert das Risiko unter der CCPA mit der Zahl der Betroffenen. Am 6. und 7. August 2026 wies der Verwaltungsrat von CalPrivacy zudem die Mitarbeiter an, ein förmliches Rechtsetzungsverfahren vorzubereiten, das Global Privacy Control namentlich in den Vorschriften verankert (Wilson Sonsini). Ab dem 1. Januar 2027 muss jeder Browser nach AB 566 ein Opt-out-Präferenzsignal mitbringen (CalPrivacy). Wer Opt-out-Pfade per Compliance-Monitoring für KI-Systeme laufend überwacht, bemerkt Brüche vor der Behörde.

Eine Bewertung, vier Regime: CCPA, DSGVO, KI-Verordnung und weitere US-Bundesstaaten

Für Gruppen mit Geschäft in Kalifornien und Europa überschneidet sich die CCPA stark mit bestehenden Pflichten. So ordnen wir Kontrollen zu, damit ein Nachweis mehrere Aufsichtsbehörden bedient: <table header-row=“true“> <tr> <td>Pflicht nach der CCPA</td> <td>DSGVO</td> <td>KI-Verordnung</td> <td>Weitere US-Bundesstaaten</td> </tr> <tr> <td>Risikobewertung (Abschnitte 7150 bis 7157)</td> <td>DSFA, Art. 35</td> <td>Grundrechte-Folgenabschätzung, Art. 27, für bestimmte Betreiber ab 2. Dezember 2027</td> <td>Data Protection Assessments in Colorado, Virginia, Connecticut</td> </tr> <tr> <td>ADMT-Opt-out oder menschliche Überprüfung (Abschnitt 7221)</td> <td>Schutzmaßnahmen nach Art. 22, Recht auf Eingreifen einer Person</td> <td>Menschliche Aufsicht, Art. 14 und 26</td> <td>Colorado AI Act: menschliche Überprüfung und erneute Prüfung</td> </tr> <tr> <td>ADMT-Auskunft zu Logik und Ergebnis (Abschnitt 7222)</td> <td>Art. 13 bis 15, aussagekräftige Informationen über die involvierte Logik</td> <td>Recht auf Erläuterung der Entscheidungsfindung, Art. 86</td> <td>Colorado AI Act: Offenlegung binnen 30 Tagen nach nachteiliger Entscheidung</td> </tr> <tr> <td>Cybersicherheitsaudit (Abschnitte 7120 bis 7124)</td> <td>Art. 32, Sicherheit der Verarbeitung</td> <td>Genauigkeit, Robustheit und Cybersicherheit, Art. 15</td> <td>NYDFS Part 500 für regulierte Unternehmen</td> </tr> </table> Die EU-Spalte folgt der KI-Verordnung (Verordnung (EU) 2024/1689). Die Änderungsverordnung (EU) 2026/1744 hat die Hochrisikopflichten nach Anhang III und die Grundrechte-Folgenabschätzung nach Art. 27 auf den 2. Dezember 2027 verschoben (EUR-Lex). Entscheidend ist die Reihenfolge: Das ADMT-Datum der CCPA liegt elf Monate früher. Vorabinformation, Beschwerdeweg und Logikerklärung für Kalifornien werden so zum ersten Entwurf Ihrer Betreiberdokumentation. Die Einstufung erläutert unser Beitrag zu Hochrisiko-KI-Systemen. Für die DSFA bleibt Ihre zuständige Landesdatenschutzbehörde der Ansprechpartner, für Telekommunikations- und Postdienste die oder der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI); die Auslegung prägt maßgeblich die Datenschutzkonferenz. Pragmatisch: Die DSFA bleibt das führende Dokument, ergänzt um einen CCPA-Anhang mit den Angaben nach Abschnitt 7152 und, sobald sie greift, um die Grundrechte-Folgenabschätzung.

Die Nachweisakte, die CalPrivacy anfordern kann

Weil die Behörde vollständige Berichte binnen 30 Tagen anfordern kann und beide Bestätigungen unter Strafandrohung erfolgen, ist die CCPA im Kern eine Dokumentationspflicht. Jederzeit vorlegbar sein sollten:

1. Ein Verzeichnis aller ADMT-Einsätze mit Kategorie der wesentlichen Entscheidung und Datum der ersten Nutzung.
2. Jede Fassung jeder Vorabinformation mit Veröffentlichungsdatum und Kanälen.
3. Protokolle zu Opt-outs und Beschwerden: Eingang, Stopp binnen 15 Geschäftstagen, Mitteilung an Dienstleister.
4. Unterlagen zu den prüfenden Personen: wer prüft, Schulung, Befugnis, Ergebnisse.
5. Validierungs- und Diskriminierungstests für jede ADMT, die sich auf die Einstellungs- oder Arbeitszuweisungsausnahme stützt.
6. Vorlagen und Musterantworten für Auskunftsersuchen zu Logik und Ergebnis.
7. Risikobewertungen mit Genehmigenden, Überprüfungsdaten und Änderungsauslösern, aufbewahrt für mindestens fünf Jahre.
8. Faktenpakete von Anbietern nach Abschnitt 7153 und die Vertragsklauseln, die sie einfordern.
9. Einreichungsbelege und unterzeichnete Bestätigungen gegenüber der Behörde.
10. Auditberichte, Nachweise zur Unabhängigkeit des Auditors (Berichtslinie, Vergütung, Beurteilung) und die Zertifizierung.

Das Prinzip kennen Sie aus Art. 5 Abs. 2 DSGVO: Einhaltung zählt nur, wenn sie nachweisbar ist. Genau so ist eine Akte zur KI-Rechenschaftspflicht aufgebaut, und aktuell bleibt sie nur durch kontinuierliches Compliance-Monitoring.

Ein 107-Tage-Plan bis zum 1. Januar 2027

Ab dem 16. September 2026 bleiben 107 Tage, bis die ADMT-Pflichten der CCPA gelten. Ein realistischer Plan:

1. Wochen 1 bis 3: Bestandsaufnahme. Erfassen Sie jedes Tool, das in Recruiting, Personalsteuerung, Kreditvergabe, Wohnungsvermietung, Bildung oder Gesundheitsversorgung bewertet, sortiert, filtert oder empfiehlt. Wenden Sie den Beteiligungstest ehrlich an und gleichen Sie die Liste mit Ihrem Verarbeitungsverzeichnis nach Art. 30 DSGVO ab.
2. Wochen 4 bis 6: Weg je Einsatz festlegen. Opt-out mit alternativem Verfahren, menschliche Überprüfung auf Beschwerde oder eine der beiden engen Ausnahmen, jeweils mit dokumentierter Begründung. Laufen dieselben HR-Tools auch in Deutschland, binden Sie den Betriebsrat früh ein.
3. Wochen 7 bis 10: aufbauen und testen. Vorabinformationen entwerfen, zwei Opt-out-Wege einrichten, die Vorlage für Auskunftsantworten schreiben, prüfende Personen schulen und bei Anbietern die Fakten nach Abschnitt 7153 anfordern.
4. Wochen 11 bis 15: bewerten und belegen. Zuerst Risikobewertungen für ADMT-Einsätze durchführen, dann den Altbestand vor 2026 über das Jahr 2027 verteilen. Fällt Ihr Unternehmen unter Artikel 9, die Berichtslinie der Revision korrigieren.

Führen Sie den Plan im Register Ihres KI-Governance-Rahmenwerks, damit neue Fristen aus US-Bundesstaaten oder der EU nur Zeilen ergänzen, statt ein neues Programm auszulösen.

Häufige Fragen

Welche neuen CCPA-Anforderungen gelten seit 2026? Die überarbeiteten Vorschriften gelten seit dem 1. Januar 2026. Sie verlangen Risikobewertungen vor risikoreichen Verarbeitungen, führen ab dem 1. Januar 2027 Pflichten zu Vorabinformation, Opt-out und Auskunft bei ADMT ein und bringen ab 2028 schrittweise unabhängige Cybersicherheitsaudits. Zudem wurden die Einwilligungsregeln verschärft: Ein geschlossenes Cookie-Banner ist keine Einwilligung, ein Opt-out darf nicht aufwendiger sein als ein Opt-in, und Unternehmen müssen sichtbar bestätigen, dass Opt-outs einschließlich Global-Privacy-Control-Signalen umgesetzt wurden. Ist die CCPA noch in Kraft? Ja. Die CCPA in der durch den CPRA geänderten Fassung und die zugehörigen Vorschriften gelten uneingeschränkt und werden von CalPrivacy und vom Attorney General durchgesetzt. Die Durchsetzung hat 2026 an Tempo gewonnen, mit dem Vergleich über 12,75 Millionen US-Dollar mit General Motors im Mai und dem ersten Verfahren gegen einen Datenhändler im August. Zum 1. Januar 2027 werden die inflationsbereinigten Schwellenwerte und Bußgelder erneut angepasst. Wer muss die CCPA einhalten? Gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und mindestens eine Schwelle erreichen: einen Jahresbruttoumsatz von mehr als 26.625.000 US-Dollar, Kauf, Verkauf oder Weitergabe personenbezogener Informationen von mindestens 100.000 Verbrauchern oder Haushalten oder mindestens die Hälfte des Umsatzes aus Verkauf oder Weitergabe solcher Informationen. Ein Sitz außerhalb Kaliforniens befreit nicht. Beschäftigte und Bewerber gelten als Verbraucher, sodass auch Arbeitgeber ohne Verbrauchergeschäft betroffen sein können. Worin unterscheidet sich die CCPA von der DSGVO? Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage; das kalifornische Recht regelt vor allem Transparenz, Betroffenenrechte sowie Verkauf und Weitergabe. Die neuen Vorschriften verkleinern den Abstand: Risikobewertungen ähneln der DSFA, die ADMT-Rechte den Schutzmaßnahmen nach Art. 22 DSGVO. Zudem greift die CCPA erst ab Umsatz- und Mengenschwellen, die DSGVO praktisch immer. Auch die Aufsicht unterscheidet sich: in Kalifornien CalPrivacy und Attorney General, in Deutschland Landesdatenschutzbehörden und BfDI. Erfassen die ADMT-Regeln auch generative KI und Chatbots? Nur wenn das Tool eine wesentliche Entscheidung über eine Person trifft oder einen Menschen dabei im Wesentlichen ersetzt, etwa bei der Vorauswahl von Bewerbungen oder der Genehmigung eines Kredits. Ein Kundenservice-Chatbot oder ein Schreibassistent ist nach der CCPA keine ADMT, solange sein Ergebnis nicht ohne echte menschliche Beteiligung über eines dieser Ergebnisse entscheidet. Maßgeblich ist der Einsatzzweck, nicht die Technik, ähnlich wie bei der Hochrisiko-Einstufung nach der KI-Verordnung. Muss ein europäisches Unternehmen die CCPA einhalten? Ja, wenn es in Kalifornien geschäftlich tätig ist und eine Schwelle erreicht, etwa über kalifornische Kunden, eine US-Tochtergesellschaft oder Beschäftigte in Kalifornien. Ein großer Teil der Arbeit überschneidet sich mit der DSFA nach Art. 35 DSGVO und den Betreiberpflichten der KI-Verordnung. Effizient ist meist eine einzige Bewertungsvorlage mit kalifornischem Anhang, die zugleich als Grundlage einer KI-Folgenabschätzung dient. So entsteht keine Parallelstruktur, und die Nachweise stehen vor dem europäischen Stichtag.

Fazit

Die CCPA-Vorschriften sind kein Entwurf mehr, den man beobachtet. Sie gelten seit dem 1. Januar 2026, die ADMT-Pflichten folgen am 1. Januar 2027, und bis zum 1. April 2028 bestätigt eine Führungskraft unter Strafandrohung, dass die Risikobewertungen existieren. Die Bußgelder 2026 zeigen, was Behörden zuerst prüfen: einfache Rechteausübung und zweckgerechte Datennutzung. Nutzen Sie die nächsten 107 Tage, um Entscheidungstools zu erfassen, für jedes einen rechtssicheren Weg festzulegen und die Nachweisakte anzulegen, auf die sich die Bestätigung 2028 stützt. Einmal aufgebaut und mit DSFA, Art. 22 DSGVO und KI-Verordnung verknüpft, beantwortet diese Akte dieselbe Frage für jede Aufsicht, nur in anderem Vokabular. Die europäische Seite ordnet unser Überblick zur KI-Verordnung 2026 ein.