US-Datenschutzgesetz-Compliance für Ihre Website, App und Ihr Unternehmen
Staatsgesetze stellen neue Anforderungen an Unternehmen und damit auch neue rechtliche und technische Belastungen. Die Einhaltung der Vorschriften kann grundsätzlich kompliziert sein. Unsere Softwarelösungen machen das Rätselraten über die Einhaltung von Vorschriften überflüssig, indem sie Ihnen die schwere technische und rechtliche Arbeit abnehmen, damit Sie sich auf das Wachstum Ihres Unternehmens konzentrieren können.
Im Allgemeinen können die Datenschutzgesetze der US-Bundesstaaten wie das CPRA (früher CCPA) und das VCDPA für Sie gelten, wenn Sie sich an Nutzer in diesen Staaten richten und gleichzeitig eine der unten genannten Anforderungen erfüllen.
CPRA
VCDPA
CPA
CTDPA
UCPA
TDPSA
MTCDPA
OCPA
Das California Privacy Rights Act (CPRA) baut auf den bestehenden Bestimmungen des CCPA auf, erweitert die Verbraucherrechte und fügt neue Anforderungen für Unternehmen hinzu, die personenbezogene Daten von Einwohnern Kaliforniens verarbeiten. Das CPRA gilt für juristische Personen, die in Kalifornien gewinnorientiert geschäftlich tätig sind, die personenbezogene Daten von Verbrauchern verarbeiten und die eine oder mehrere der folgenden Bedingungen erfüllen:
das Unternehmen hat einen Bruttojahresumsatz von mehr als fünfundzwanzig Millionen Dollar (25.000.000 $);
kauft, verkauft oder teilt jährlich die personenbezogenen Daten von 100.000 oder mehr Verbrauchern oder Haushalten; oder
es erzielt 50 % oder mehr ihres Jahresumsatzes mit dem Verkauf oder der Weitergabe* von personenbezogenen Daten der Verbraucher.
* Dies kann auch die Integration von Dritten in Ihre Website einschließen.
Der Virginia Consumer Data Protection Act (VCDPA) wurde im März 2021 in Kraft gesetzt. Damit ist Virginia nach Kalifornien der zweite Bundesstaat der Vereinigten Staaten, der ein umfassendes Datenschutzgesetz erlassen hat. Der VCDPA tritt am 1. Januar 2023 in Kraft.
Er gilt für Personen, die in Virginia geschäftlich tätig sind oder Produkte oder Dienste anbieten, die sich an Einwohner von Virginia richten und die:
während des Kalenderjahres die personenbezogenen Daten von mindestens 100.000 Verbrauchern kontrollieren oder verarbeiten; oder
Personenbezogene Daten von mindestens 25.000 Verbrauchern kontrollieren oder verarbeiten und mehr als 50 Prozent der Bruttoeinnahmen aus dem Verkauf von personenbezogenen Daten erzielen.
Der Colorado Privacy Act (CPA) soll die Datenschutzrechte der Einwohner von Colorado schützen, indem er regelt, wie Unternehmen personenbezogene Daten erheben, verarbeiten und speichern.
Er gilt für Verantwortliche, die in Colorado geschäftlich tätig sind oder sich bewusst mit kommerziellen Produkten oder Diensten an Einwohner von Colorado wenden, und:
die personenbezogenen Daten von 100.000 Verbrauchern oder mehr während eines Kalenderjahres kontrollieren oder verarbeiten; oder
Einnahmen aus dem Verkauf personenbezogener Daten erzielen und die personenbezogenen Daten von 25.000 oder mehr Verbrauchern verarbeiten oder kontrollieren.
Der Connecticut Data Privacy Act (CTDPA) verpflichtet Sie dazu, Verbrauchern klare und aussagekräftige Datenschutzhinweise zur Verfügung zu stellen, die unter anderem Informationen über die Verarbeitung personenbezogener Daten, den Zweck, die Verbraucherrechte und die Weitergabe an Dritte enthalten.
Sie gilt für Personen, die in Connecticut geschäftlich tätig sind oder Produkte oder Dienste bereitstellen, die für die Einwohner von Connecticut bestimmt sind und die im vorangegangenen Kalenderjahr:
personenbezogene Daten von mindestens 100.000 Verbrauchern kontrolliert oder verarbeitet haben (ausgenommen sind personenbezogene Daten, die ausschließlich zur Abwicklung eines Zahlungsvorgangs kontrolliert oder verarbeitet werden); oder
personenbezogene Daten von mindestens 25.000 Verbrauchern kontrolliert oder verarbeitet haben und mehr als 25 % ihres Bruttoumsatzes aus dem Verkauf von personenbezogenen Daten erzielten.
Der Utah Consumer Privacy Act (UCPA) ist ein neues Verbraucherschutzgesetz in Utah, das am 31. Dezember 2024 in Kraft trat. Der UCPA verfolgt einen unternehmensfreundlichen Verbraucherdatenschutz-Ansatz. Der UCPA soll einen umsetzbaren Standard für Unternehmen bieten und gleichzeitig die garantierten Rechte der Verbraucher in Utah schützen.
Er gilt für alle Organisationen, die:
Geschäfte in Utah betreiben; oder
Produkte oder Dienste anbieten, die sich an Verbraucher richten, die in Utah ansässig sind;
einen Jahresumsatz von $25.000.000 oder mehr haben; und
einen oder mehrere der folgenden Grenzwerte erreichen:
Kontrolle oder Verarbeitung der personenbezogenen Daten von 100.000 oder mehr Verbrauchern während eines Kalenderjahres; oder
mehr als 50 % Bruttoumsatz des Unternehmens durch den Verkauf personenbezogener Daten und Kontrolle und Verarbeitung der personenbezogenen Daten von 25.000 oder mehr Verbrauchern.
Der Texas Data Privacy and Security Act (TDPSA), auch bekannt als H.B. 4, wurde am 18. Juni von Gouverneur Greg Abbott unterzeichnet und trat am 1. Juli 2024 in Kraft.
Das Gesetz gilt für:
Unternehmen, die in Texas tätig sind;
Produkte oder Dienste für die Einwohner von Texas bereitstellen;
personenbezogene Daten verarbeiten oder verkaufen; und
nicht als Kleinunternehmen im Sinne der U.S. Small Business Administration-Richtlinien gelten.
Der Montana Consumer Data Privacy Act (MTCDPA) trat am 1. Oktober 2024 in Kraft. Dieses Gesetz zielt darauf ab, den Einwohnern von Montana mehr Kontrolle über ihre personenbezogenen Daten zu geben und ihre Privatsphäre in der sich schnell entwickelnden digitalen Welt zu schützen.
Das Gesetz gilt für Unternehmen, die in Montana tätig sind oder sich an die dortigen Einwohner wenden und eines der folgenden Kriterien erfüllen:
Kontrolle oder Verarbeitung der personenbezogenen Daten von mindestens 50.000 Verbrauchern (Zahlungsverkehrsdaten ausgenommen), oder
Kontrolle oder Verarbeitung der Daten von mindestens 25.000 Verbrauchern und mehr als 25 % Bruttoumsatz durch den Verkauf personenbezogener Daten.
Gemeinnützige Organisationen und bestimmte andere Einrichtungen sind von diesem Gesetz ausgenommen.
Der Oregon Consumer Privacy Act (OCPA) wurde am 18. Juli 2023 von Gouverneurin Tina Kotek unterzeichnet und trat am 1. Juli 2024 in Kraft. Dieses Gesetz soll dabei helfen, die Datenschutzrechte der Einwohner von Oregon zu stärken.
Der OCPA gilt für Unternehmen, die in Oregon tätig sind oder Produkte oder Dienste für Einwohner von Oregon anbieten und:
personenbezogene Daten von 100.000 oder mehr Verbrauchern in Oregon kontrollieren oder verarbeiten, oder
personenbezogene Daten von 25.000 oder mehr Verbrauchern in Oregon kontrollieren oder verarbeiten und 25 % ihres Jahresumsatzes mit dem Verkauf dieser Daten erzielen.
Gemeinnützige Unternehmen haben ein weiteres Jahr, d. h. bis 1. Juli 2025, Zeit, um die Anforderungen dieses Gesetzes zu erfüllen.
CPRA
Das California Privacy Rights Act (CPRA) baut auf den bestehenden Bestimmungen des CCPA auf, erweitert die Verbraucherrechte und fügt neue Anforderungen für Unternehmen hinzu, die personenbezogene Daten von Einwohnern Kaliforniens verarbeiten. Das CPRA gilt für juristische Personen, die in Kalifornien gewinnorientiert geschäftlich tätig sind, die personenbezogene Daten von Verbrauchern verarbeiten und die eine oder mehrere der folgenden Bedingungen erfüllen:
das Unternehmen hat einen Bruttojahresumsatz von mehr als fünfundzwanzig Millionen Dollar (25.000.000 $);
kauft, verkauft oder teilt jährlich die personenbezogenen Daten von 100.000 oder mehr Verbrauchern oder Haushalten; oder
es erzielt 50 % oder mehr ihres Jahresumsatzes mit dem Verkauf oder der Weitergabe* von personenbezogenen Daten der Verbraucher.
* Dies kann auch die Integration von Dritten in Ihre Website einschließen.
Der Virginia Consumer Data Protection Act (VCDPA) wurde im März 2021 in Kraft gesetzt. Damit ist Virginia nach Kalifornien der zweite Bundesstaat der Vereinigten Staaten, der ein umfassendes Datenschutzgesetz erlassen hat. Der VCDPA tritt am 1. Januar 2023 in Kraft.
Er gilt für Personen, die in Virginia geschäftlich tätig sind oder Produkte oder Dienste anbieten, die sich an Einwohner von Virginia richten und die:
während des Kalenderjahres die personenbezogenen Daten von mindestens 100.000 Verbrauchern kontrollieren oder verarbeiten; oder
Personenbezogene Daten von mindestens 25.000 Verbrauchern kontrollieren oder verarbeiten und mehr als 50 Prozent der Bruttoeinnahmen aus dem Verkauf von personenbezogenen Daten erzielen.
CPA
Der Colorado Privacy Act (CPA) soll die Datenschutzrechte der Einwohner von Colorado schützen, indem er regelt, wie Unternehmen personenbezogene Daten erheben, verarbeiten und speichern.
Er gilt für Verantwortliche, die in Colorado geschäftlich tätig sind oder sich bewusst mit kommerziellen Produkten oder Diensten an Einwohner von Colorado wenden, und:
die personenbezogenen Daten von 100.000 Verbrauchern oder mehr während eines Kalenderjahres kontrollieren oder verarbeiten; oder
Einnahmen aus dem Verkauf personenbezogener Daten erzielen und die personenbezogenen Daten von 25.000 oder mehr Verbrauchern verarbeiten oder kontrollieren.
CTDPA
Der Connecticut Data Privacy Act (CTDPA) verpflichtet Sie dazu, Verbrauchern klare und aussagekräftige Datenschutzhinweise zur Verfügung zu stellen, die unter anderem Informationen über die Verarbeitung personenbezogener Daten, den Zweck, die Verbraucherrechte und die Weitergabe an Dritte enthalten.
Sie gilt für Personen, die in Connecticut geschäftlich tätig sind oder Produkte oder Dienste bereitstellen, die für die Einwohner von Connecticut bestimmt sind und die im vorangegangenen Kalenderjahr:
personenbezogene Daten von mindestens 100.000 Verbrauchern kontrolliert oder verarbeitet haben (ausgenommen sind personenbezogene Daten, die ausschließlich zur Abwicklung eines Zahlungsvorgangs kontrolliert oder verarbeitet werden); oder
personenbezogene Daten von mindestens 25.000 Verbrauchern kontrolliert oder verarbeitet haben und mehr als 25 % ihres Bruttoumsatzes aus dem Verkauf von personenbezogenen Daten erzielten.
UCPA
Der Utah Consumer Privacy Act (UCPA) ist ein neues Verbraucherschutzgesetz in Utah, das am 31. Dezember 2024 in Kraft trat. Der UCPA verfolgt einen unternehmensfreundlichen Verbraucherdatenschutz-Ansatz. Der UCPA soll einen umsetzbaren Standard für Unternehmen bieten und gleichzeitig die garantierten Rechte der Verbraucher in Utah schützen.
Er gilt für alle Organisationen, die:
Geschäfte in Utah betreiben; oder
Produkte oder Dienste anbieten, die sich an Verbraucher richten, die in Utah ansässig sind;
einen Jahresumsatz von $25.000.000 oder mehr haben; und
einen oder mehrere der folgenden Grenzwerte erreichen:
Kontrolle oder Verarbeitung der personenbezogenen Daten von 100.000 oder mehr Verbrauchern während eines Kalenderjahres; oder
mehr als 50 % Bruttoumsatz des Unternehmens durch den Verkauf personenbezogener Daten und Kontrolle und Verarbeitung der personenbezogenen Daten von 25.000 oder mehr Verbrauchern.
TDPSA
Der Texas Data Privacy and Security Act (TDPSA), auch bekannt als H.B. 4, wurde am 18. Juni von Gouverneur Greg Abbott unterzeichnet und trat am 1. Juli 2024 in Kraft.
Das Gesetz gilt für:
Unternehmen, die in Texas tätig sind;
Produkte oder Dienste für die Einwohner von Texas bereitstellen;
personenbezogene Daten verarbeiten oder verkaufen; und
nicht als Kleinunternehmen im Sinne der U.S. Small Business Administration-Richtlinien gelten.
MTCDPA
Der Texas Data Privacy and Security Act (TDPSA), auch bekannt als H.B. 4, wurde am 18. Juni von Gouverneur Greg Abbott unterzeichnet und trat am 1. Juli 2024 in Kraft.
Das Gesetz gilt für:
Unternehmen, die in Texas tätig sind;
Produkte oder Dienste für die Einwohner von Texas bereitstellen;
personenbezogene Daten verarbeiten oder verkaufen; und
nicht als Kleinunternehmen im Sinne der U.S. Small Business Administration-Richtlinien gelten.
Zeitleiste der bundesstaatlichen US-Gesetze
Das California Consumer Privacy Act (CCPA) tritt mit einer Kulanzfrist von 6 Monaten in Kraft.
Die Einhaltung des CCPA wird nun aktiv durch die Generalstaatsanwaltschaft überwacht und durchgesetzt, wobei Abmahnungen wegen Nichteinhaltung erlassen und Geldbußen verhängt werden, sofern der Verstoß nach Ablauf der 30-tägigen Behebungsfrist weiterhin fortbesteht.
Der im CPRA vorgesehene 12-monatige Rückblickszeitraum findet Anwendung. Unternehmen müssen nun die personenbezogenen Informationen berücksichtigen, die von ihnen in den letzten 12 Monaten vor der Anfrage eines Verbrauchers erhoben und verarbeitet wurden.
Das California Privacy Rights Act (CPRA) ergänzt das CCPA und tritt in Kraft. Die 30-tägige Behebungsfrist findet keine Anwendung mehr.
Um die Anforderungen des CPRA zu erfüllen, müssen Sie ggf. die folgenden Maßnahmen ergreifen:
Das Virginia Consumer Data Protection Act (VCDPA) tritt in Kraft und wird durchgesetzt.
Um die Anforderungen des VCDPA zu erfüllen, müssen Sie ggf. die folgenden Maßnahmen ergreifen:
Bitte beachten Sie, dass die konkreten von Ihnen zu ergreifenden Maßnahmen von der Art Ihres Unternehmens, der Art der von Ihnen erhobenen und verarbeiteten personenbezogenen Informationen und anderen Faktoren abhängen.
Das California Privacy Rights Act (CPRA) wird durchgesetzt.
Die Einhaltung des CPRA wird nun aktiv durch die California Privacy Protection Agency (CPPA) überwacht und durchgesetzt. Bei Nichteinhaltung werden Geldbußen oder Strafen verhängt.
Bitte beachten Sie, dass nach der Entscheidung des Sacramento County Superior Court die Durchsetzung der von der California Privacy Protection Agency erlassenen endgültigen Vorschriften auf den 29. März 2024 verschoben worden ist. Die Entscheidung hat jedoch keine Auswirkungen auf die gesetzlichen Bestimmungen des CPRA, die ab dem 1. Juli 2023 in Kraft treten.
Das Colorado Privacy Act (CP) tritt in Kraft.
Um die Anforderungen des CPA zu erfüllen, müssen Sie ggf. die folgenden Maßnahmen ergreifen:
Das Connecticut Data Privacy Act (CTDPA) tritt in Kraft.
Um die Anforderungen des CTDPA zu erfüllen, müssen Sie ggf. die folgenden Maßnahmen ergreifen:
Nähere Informationen dazu, wie Sie den obigen Anforderungen nachkommen können, finden Sie hier.
Das Utah Consumer Privacy Act (UCPA) tritt in Kraft.
Um die Anforderungen des UCPA zu erfüllen, müssen Sie ggf. die folgenden Maßnahmen ergreifen:
Nähere Informationen dazu, wie Sie den obigen Anforderungen nachkommen können, finden Sie hier.
Die Vorschrift des Colorado Privacy Act, wonach die von Verbrauchern über einen universellen Opt-out-Mechanismus bekundeten Opt-out-Anfragen respektiert werden müssen, ist jetzt in Kraft.
Der Oregon Consumer Privacy Act (OCPA) ist jetzt in Kraft
Bitte beachten Sie, dass gemeinnützige Unternehmen ein weiteres Jahr, d. h.bis zum 1. Juli 2025 Zeit haben, um die Anforderungen dieses Gesetzes zu erfüllen.
Das texanische Gesetz zum Datenschutz und zur Datensicherheit (TDPSA) ist jetzt in Kraft.
Der Montana Consumer Data Privacy Act (MTCDPA) ist jetzt in Kraft.
Bitte beachten Sie, dass gemeinnützige Organisationen und bestimmte andere Einrichtungen von diesem Gesetz ausgenommen sind.
Der Montana Consumer Data Privacy Act verpflichtet Unternehmen nun, die universellen Opt-out-Signale von Verbrauchern anzuerkennen und zu beachten, die sich gegen den Verkauf ihrer personenbezogenen Daten oder gegen zielgerichtete Werbung entscheiden.
Der Oregon Consumer Privacy Act verlangt nun, dass Unternehmen die „Global Privacy Control“-Signale von Browsern wie Chrome erkennen, die es Nutzern ermöglichen, sich gegen den Verkauf von Daten oder zielgerichtete Werbung zu entscheiden.
Was ist für die Einhaltung der Gesetze in den USA erforderlich?
Da sich die gesetzlichen Bestimmungen von Staat zu Staat leicht unterscheiden, kann es eine mühsame Aufgabe sein, mit jedem Szenario mitzuhalten. Die intelligenten Lösungen von iubenda wenden die robustesten Standards an, damit Sie die Vorschriften mit minimalem Aufwand einhalten können. Wählen Sie einfach Bundesstaatliche US-Gesetzein Ihrem Generator aus, um die wichtigsten Vorschriften in den USA zu erfüllen.
Detaillierte Angaben durch die Datenschutzerklärung
Anforderung der USA
Unternehmen müssen spezifische Angaben in ihrer Datenschutzerklärung angeben. Diese Angaben beinhalten Beschreibungen von Verbraucherrechten, Verarbeitungspartnern, Verwendungszwecke, Quellen und mehr. Die Informationen müssen vollständig, aktuell und auf Ihrer gesamten Website/Applikation leicht zugänglich sein.
Dokumente mit fehlenden oder fehlerhaften Informationen schützen nicht
Um die Anforderungen zu erfüllen, muss Ihre Datenschutzerklärung mindestens Folgendes enthalten:
Geben Sie die Kategorien personenbezogener Informationen an, die Ihr Unternehmen in den letzten 12 Monaten an Dritte verkauft oder weitergegeben hat, eine Liste der beteiligten Dritten und Ihren geschäftlichen Zweck. Sie müssen auch angeben, ob Sie in den letzten 12 Monaten die personenbezogenen Informationen von Nutzern nicht verkauft oder weitergegeben haben.
Fügen Sie eine Erklärung hinzu, ob Ihr Unternehmen wissentlich die personenbezogene Informationen von Nutzern unter 16 Jahren verkauft oder weitergibt.
Geben Sie die Kategorien personenbezogener Informationen an, die Ihr Unternehmen in den letzten 12 Monaten (für geschäftliche Zwecke) an Dritte weitergegeben hat (für betriebliche Zwecke), eine Liste der beteiligten Dritten und den Zweck Ihres Unternehmens. Sie müssen auch angeben, ob Sie in den vorangegangenen 12 Monaten keine personenbezogenen Informationen von Verbrauchern weitergegeben haben.
Geben Sie an, ob Ihr Unternehmen für andere als die im Gesetz genannten Zwecke sensible personenbezogene Informationen verwendet oder weitergibt.
Stellen Sie Links zu Online-Anfrageformularen oder -Portalen zur Verfügung, über die Ihre Nutzer Anfragen bezüglich der Erhebung, Weitergabe oder des Verkaufs ihrer personenbezogenen Informationen stellen können.
Geben Sie die Kategorien der von Ihrem Unternehmen verarbeiteten personenbezogenen Daten an.
Geben Sie den Zweck Ihres Unternehmens für die Verarbeitung der personenbezogenen Daten an.
Informieren Sie Ihre Nutzer darüber, wie sie ihre Rechte ausüben können (siehe unten), einschließlich der Frage, wie sie gegen eine Entscheidung über ihre Anfragen Widerspruch einlegen können. Sie müssen eine oder mehrere Methoden bereitstellen, mit denen Nutzer eine Anfrage einreichen können.
Geben Sie die Kategorien der personenbezogene Daten an, die Ihr Unternehmen ggf. an Dritte weitergibt.
Geben Sie die Kategorien der Dritten an, an die Ihr Unternehmen ggf. personenbezogene Daten weitergibt.
Das CPA verlangt insbesondere, dass Sie einen Datenschutzhinweis bereitstellen, der die folgenden Informationen enthält:
Die Kategorien der erhobenen oder verarbeiteten personenbezogenen Daten.
Die Zwecke, für die diese Kategorien personenbezogener Daten verarbeitet werden.
Wie und wo Verbraucher ihre Rechte ausüben können, einschließlich der Kontaktinformationen und der Möglichkeit, gegen die Maßnahmen eines Verantwortlichen in Bezug auf die Anfrage eines Verbrauchers Widerspruch einzulegen.
Die Kategorien der personenbezogenen Daten, die ggf. an Dritte weitergegeben werden.
Die Kategorien von Dritten, an die ggf. personenbezogene Daten weitergegeben werden.
Das neue Datenschutzgesetz von Connecticut verlangt, dass Sie Verbrauchern einen deutlichen und aussagekräftigen Datenschutzhinweis bereitstellen, der in hinlänglich zugänglich ist. Hier finden Sie eine Checkliste, was in Ihrer Datenschutzerklärung enthalten sein muss, um dem neuen Gesetz zu entsprechen:
Kategorien von personenbezogenen Daten: Ihre Datenschutzerklärung muss eine Liste der Kategorien personenbezogener Daten enthalten, die Sie verarbeiten.
Zwecke der Verarbeitung: In Ihrer Datenschutzerklärung müssen Sie die Zwecke für die Verarbeitung personenbezogener Daten deutlich angeben. Dazu gehört jeder Grund, aus dem Sie personenbezogene Daten erheben und verwenden, z. B. um einen Vertrag zu erfüllen oder einen Dienst zu erbringen.
Verbraucherrechte: Ihre Datenschutzerklärung muss erläutern, wie Verbraucher ihre Rechte nach dem Gesetz ausüben können. Dazu gehört auch, wie ein Verbraucher auf seine personenbezogenen Daten zugreifen, sie berichtigen, löschen oder die Verarbeitung einschränken kann. Sie müssen auch Angaben dazu machen, wie ein Verbraucher gegen eine Entscheidung in Bezug auf seine Anfrage Widerspruch einlegen kann.
Weitergabe an Dritte: Wenn Sie personenbezogene Daten an Dritte weitergeben, muss in Ihrer Datenschutzerklärung angegeben werden, welche Kategorien personenbezogener Daten Sie weitergeben.
Kategorien von Dritten: In Ihrer Datenschutzerklärung müssen Sie auch die Kategorien der Dritten angeben, an die Sie personenbezogene Daten weitergeben.
Kontaktinformationen: Ihre Datenschutzerklärung muss eine aktive E-Mail-Adresse oder einen anderen Online-Mechanismus enthalten, über den Verbraucher Sie bei Fragen oder Bedenken bezüglich ihrer personenbezogenen Daten kontaktieren können.
Verkauf oder zielgerichtete Werbung: Wenn Sie personenbezogene Daten zum Zwecke des Verkaufs oder der zielgerichteten Werbung verarbeiten, müssen Sie dies in Ihrer Datenschutzerklärung klar und deutlich angeben. Sie müssen auch Informationen darüber bereitstellen, wie Verbraucher ihr Recht ausüben können, einer solchen Verarbeitung zu widersprechen.
Wenn Sie dem Utah Consumer Privacy Act (UCPA) unterliegen, müssen Sie eine Datenschutzerklärung bereitstellen, die für Verbraucher hinlänglich zugänglich und deutlich ist. Ihre Datenschutzerklärung sollte Folgendes enthalten:
Kategorien der verarbeiteten personenbezogenen Daten: Geben Sie die Arten der personenbezogenen Daten an, die Ihr Unternehmen erhebt und verarbeitet, z. B. Namen, E-Mail-Adressen und Zahlungsinformationenen.
Zwecke der Verarbeitung personenbezogener Daten: Beschreiben Sie die Gründe, warum Ihr Unternehmen personenbezogene Daten erhebt und verarbeitet, z. B. um Bestellungen zu erfüllen, Kundensupport zu leisten oder Produkte oder Dienste zu verbessern.
Verbraucherrechte: Erklären Sie, wie Verbraucher ihre Rechte ausüben können, z. B. das Recht auf Auskunft und Löschung ihrer personenbezogenen Daten. Beachten Sie, dass das UCPA den Verbrauchern nicht das Recht einräumt, die Berichtigung unzutreffender personenbezogener Daten zu verlangen.
Weitergabe personenbezogener Daten: Geben Sie die Kategorien personenbezogener Daten an, die Ihr Unternehmen ggf. an Dritten weitergibt. Beispielsweise wenn Sie Zahlungsinformationen an einen Zahlungsabwickler oder Postadressen an einen Versanddienstleister weitergeben.
Dritte: Geben Sie die Kategorien der Dritten an, an die Ihr Unternehmen ggf. personenbezogene Daten weitergibt. Dies können z. B. Anbieter, Dienstleister oder Marketingpartner sein.
Der Texas Data Privacy and Security Act verlangt von den Verantwortlichen, dass sie den Verbrauchern einen angemessen zugänglichen und klaren Datenschutzhinweis zur Verfügung stellen, in dem unter anderem folgende Informationen enthalten sind:
die Kategorien personenbezogener Daten, einschließlich ggf. sensibler Daten, die verarbeitet werden, und die Zwecke der Verarbeitung;
wie Verbraucher ihre Rechte wahrnehmen können und
die Kategorien personenbezogener Daten, die mit Dritten geteilt werden, und die Kategorien der Drittparteien, mit denen die Informationen geteilt werden.
Wenn die Verantwortlichen den Verkauf sensibler Daten veranlassen, sind sie verpflichtet, die Verbraucher in angemessener Weise darüber zu informieren.
Für bestimmte Arten der Datenverarbeitung müssen die Verantwortlichen datenschutzrechtliche Beurteilungen durchführen.
Ein klarer Datenschutzhinweis mit folgenden Angaben:
die Kategorien der verarbeiteten personenbezogenen Daten;
Verarbeitungszwecke;
Weitergabepraktiken;
Kontaktinformationen; und
wie Verbraucher ihre Rechte wahrnehmen können.
Der OCDPA schreibt vor, dass die Verantwortlichen den Verbrauchern einen klaren, zugänglichen und aussagekräftigen Datenschutzhinweis bieten müssen. Dieser Hinweis muss Folgendes enthalten:
Die Kategorien der personenbezogenen Daten (einschließlich sensibler Daten), die von dem Verantwortlichen verarbeitet werden, und die Verarbeitungszwecke.
Die Kategorien personenbezogener Daten, die an Dritte weitergegeben werden, und die Identitäten dieser Dritten.
Einzelheiten zu allen Verarbeitungsaktivitäten im Zusammenhang mit zielgerichteter Werbung.
Anweisungen, wie Verbraucher den Verantwortlichen kontaktieren und ihre Datenschutzrechte ausüben können, einschließlich des Verfahrens zur Einlegung einer Rechtsbeschwerde.
Lösung
Generator für Datenschutz- und Cookie-Richtlinien
Erstellen Sie Ihre Datenschutzerklärung und Cookie-Richtlinien in Minutenschnelle.
Anpassbar aus mehr als 2000 Klauseln, verfügbar in 14 Sprachen und automatisch aktualisiert, wenn sich das Gesetz ändert. Unser Generator ermöglicht es Ihnen, ein rechtliches Dokument in Minutenschnelle zu erstellen und es nahtlos in Ihre Website oder App zu integrieren.
Das CPRA (CCPA-Ergänzung) schreibt vor, dass Sie zum oder vor dem Zeitpunkt der Datenerhebung einen Hinweis anzeigen, der Verbraucher darüber informiert, welche Kategorien personenbezogener Informationen erhoben werden und zu welchem Zweck diese Erhebung erfolgt. Die Verbraucher müssen auch die Möglichkeit haben, sich gegen diese Verarbeitung zu entscheiden. Als Unternehmen sind Sie daher dafür verantwortlich, die Verbraucher über diese Möglichkeit zu informieren und geeignete Mittel für den Widerspruch bereitzustellen.
Insbesondere müssen Sie:
feststellen, ob ein Verbraucher in Kalifornien ansässig ist und ob er Ihre Website schon einmal besucht hat oder nicht,
Opt-out-Anfragen durch einen DNSMPI-Link ermöglichen,
beteiligte Dritte anweisen, die Verarbeitung der Daten des Verbrauchers einzustellen, wenn eine Opt-out-Anfrage eingegangen ist,
beim ersten Besuch der Website einen Hinweis einblenden, der alle erforderlichen Angaben enthält.
Bitte beachten Sie, dass es nach dem VCDPA keine Anhaltspunkte dafür gibt, dass Opt-out-Links, die es den Nutzern ermöglichen, der Verarbeitung personenbezogener Daten für bestimmte Zwecke zu widersprechen, erforderlich sind.
Die Bestimmungen des VCDPA behandeln die Opt-out-Rechte von Nutzern nämlich genauso wie alle anderen Rechte, die Nutzern im Rahmen des Gesetzes zustehen.
Ihr Unternehmen muss Anfragen von Nutzern wie folgt nachkommen:
Sie müssen der Anfrage innerhalb von 45 Tagen entsprechen. Die Beantwortungsfrist kann einmalig um 45 Tage verlängert werden, wenn dies vernünftigerweise notwendig ist, sofern Sie den Nutzer innerhalb der ursprünglichen 45-tägigen Beantwortungsfrist über die Verlängerung informieren und den Grund für die Verlängerung angeben.
Wenn Sie es ablehnen, Maßnahmen bezüglich der Anfrage eines Nutzer zu ergreifen, informieren Sie den Nutzer innerhalb von 45 Tagen über diese Ablehnung, und zwar unter Angabe der entsprechenden Gründe und einer Anleitung dazu, wie der Nutzer gegen die Entscheidung vorgehen kann.
Wenn Sie nicht in der Lage sind, eine Anfrage im wirtschaftlich vertretbarem Umfang zu authentifizieren, sind Sie nicht verpflichtet, der Anfrage nachzukommen, und Sie können zusätzliche Informationen anfordern, die vernünftigerweise erforderlich sind, um den Nutzer und seine Anfrage zu authentifizieren.
Bitte beachten Sie, dass es nach dem CPA keine Hinweise darauf gibt, dass Opt-out-Links erforderlich sind, die es den Verbrauchern ermöglichen, der Verarbeitung personenbezogener Daten für bestimmte Zwecke zu widersprechen. Wenn Sie jedoch personenbezogene Daten für zielgerichtete Werbung oder zum Verkauf verarbeiten, müssen Sie den Verbrauchern eine klare und deutliche Methode zur Verfügung stellen, um ihr Widerspruchsrecht auszuüben.
Diese Methode muss im Datenschutzhinweis klar und deutlich beschrieben werden und außerhalb des Datenschutzhinweises leicht zugänglich sein.
Sie müssen Verbrauchern im Zuge ihrer Einwilligung auch die Möglichkeit geben, durch ein Opt-out-Präferenzsignal, das über eine Plattform, eine Technologie oder einen Mechanismus gesendet wird, der Verarbeitung ihrer personenbezogenen Daten für zielgerichtete Werbung und dem Verkauf zu widersprechen. Dieser Mechanismus muss:
so gestaltet sein, dass andere Verantwortliche nicht in unfairer Weise benachteiligt werden,
eine bestätigende und eindeutige Entscheidung des Verbrauchers erfordern,
einfach zu benutzen sein,
so weit wie möglich mit anderen ähnlichen Mechanismen übereinstimmen, die gemäß bundesstaatlichem oder Bundesrecht oder entsprechende einschlägige Vorschriften vorgeschrieben sind, und
den Verantwortlichen in die Lage versetzen, feststellen zu können, ob der Verbraucher in Connecticut ansässig ist und einen rechtmäßigen Opt-out-Antrag gestellt hat.
Gemäß dem Utah Consumer Privacy Act (UCPA) haben Verbraucher das Recht, der Verarbeitung ihrer personenbezogenen Daten zum Zweck der zielgerichteten Werbung und dem Verkauf ihrer personenbezogenen Daten an Dritte zu widersprechen. Das Gesetz enthält jedoch keine spezifischen Vorgaben dazu, wie Sie den Verbrauchern die Ausübung dieses Rechts ermöglichen sollten.
Um das UCPA einzuhalten, müssen Sie:
den Verbrauchern die Möglichkeit zu geben, Opt-out-Anfragen einzureichen und
das Recht anzugeben, das sie ausüben wollen.
Es ist wichtig zu wissen, dass gemäß UCPA Opt-out-Links nur in Bezug auf das Recht der Verbraucher infrage kommen, der Verarbeitung sensibler Daten zu widersprechen.
Der TDPSA verlangt in den folgenden Szenarien die Einwilligung der Nutzer:
Opt-in-Vorgehensweise für die Verarbeitung sensibler Daten: Die Verantwortlichen können sensible Daten nicht ohne ausdrückliche Einwilligung des Nutzers verarbeiten. Bei der Verarbeitung sensibler personenbezogener Daten von Kindern müssen die Verantwortlichen auch den Children's Online Privacy Protection Act von 1998 einhalten.
Opt-in-Vorgehensweise für die Verarbeitung der Daten von Kindern: Für die Zwecke dieses Gesetzes werden Kinder als Minderjährige unter 13 Jahren definiert.
Unternehmen können die Daten von Verbrauchern im Allgemeinen ohne deren Einwilligung verarbeiten, wenn die Verarbeitungszwecke dieselben sind wie die ursprünglich angegebenen. Für Zwecke, die nicht vernünftigerweise notwendig und mit den ursprünglich in der Datenschutzerklärung angegebenen Zwecken vereinbar sind, ist die Einwilligung des Nutzers erforderlich.
Unternehmen müssen die Einwilligung der Verbraucher für die folgenden Zwecke einholen:
Verarbeitung sensibler Daten.
Die Verarbeitung personenbezogener Daten von Kindern im Alter von 13 bis 16 Jahren zu Verkaufs- und zielgerichteten Werbezwecken, wenn dem Unternehmen das Alter der Kinder bekannt ist.
Verbrauchern müssen ihre Einwilligung einfach widerrufen können. Sobald ein Verbraucher seine Einwilligung widerruft, muss die entsprechende Verarbeitung seiner personenbezogenen Daten innerhalb von 45 Tagen eingestellt werden.
Opt-out-Mechanismen
Müssen angeben, ob personenbezogene Daten verkauft oder für zielgerichtete Werbung verwendet werden.
Müssen Methoden bereitstellen, mit denen Verbraucher den Verkauf von Daten, zielgerichtete Werbung und Profiling ablehnen können.
Müssen überprüfbare Opt-out-Signale von Bevollmächtigten erkennen, einschließlich globaler Opt-out-Mechanismen.
Bis zum 1. Januar 2025 müssen Unternehmen Verbrauchern die Möglichkeit geben, zielgerichtete Werbung und den Verkauf ihrer personenbezogenen Daten durch Opt-out-Signale abzulehnen.
Für die Verarbeitung personenbezogener Daten über die den Verbrauchern ursprünglich mitgeteilten Zwecke hinaus müssen Unternehmen die aktive Einwilligung der Verbraucher (Opt-in) einholen. Die gleichen Einwilligungsrichtlinien gelten auch für die Erfassung und Verarbeitung sensibler Daten.
Der OCPA legt klare Anforderungen für die Einwilligung fest:
Die Verbraucher müssen klar bestätigen.
Die Einwilligung muss eindeutig und in Kenntnis der Sachlage erfolgen.
Der Einwilligunsmechanismus darf die Entscheidungsfindung der Verbraucher nicht verfälschen, untergraben oder beeinträchtigen.
Es muss eine einfache und ähnliche Möglichkeit für Verbraucher geben, ihre Einwilligung jederzeit zu widerrufen.
Die Untätigkeit eines Verbrauchers gilt nicht als Einwilligung.
Darüber hinaus ist die aktive Einwilligung eines Erziehungsberechtigten erforderlich, um Daten über Kinder unter dreizehn Jahren zu verarbeiten, so auch für zielgerichtete Werbung oder den Verkauf ihrer Informationen.
Lösung
Privacy Controls and Cookie Solution für das CCPA
Verbraucher benachrichtigen und Opt-Out verwalten. IAB CCPA Compliance Framework integriert.
Unsere Lösung ermöglicht, dass Sie:
Anzeige eines Einwilligungs-Banner zur Aufklärung der Nutzer
Die Anzeige eines „Meine personenbezogenen Daten nicht verkaufen“-Links (Do Not Sell My Personal Information - (DNSMPI) in dem Hinweis und an anderen Stellen auf Ihrer Website/App und unterstützen Sie so das Opt-Out (die Ablehnung) vom Verkauf
Automatisches Erkennen und Anwenden der richtigen Standards (auch mehrerer Standards) basierend auf dem Standort. Unsere Lösung ermöglicht es Ihnen, sowohl CCPA CPRA (früher CCPA)- als auch DSGVO-Standards auf dieselben Nutzer anzuwenden, wenn dies gesetzlich vorgeschrieben ist
Einfache Registrierung und automatische Weitergabe von Nutzerpräferenzen wie Opt-Out an Anzeigenanbieter, die das IAB CCPA Compliance Framework nutzen und unterstützen (wie Google und AdRoll)
Die Privacy Controls and Cookie Solution von iubenda unterstützt die Opt-out-Präferenz
Signale wie die GPC
und GPP
wie im CPRA vorgeschrieben
Aktuelles Verzeichnis ihrer manuellen Opt-Out-Vorgänge aufbewahren
Anforderung der USA
Wie bereits oben erwähnt, gewähren die meisten dieser Staatsgesetze, ähnlich wie das CPRA (früher CCPA), den Nutzern das Recht auf Opt-Out. In Fällen, in denen die Datenverarbeitung mehr oder weniger manuell erfolgt (d.h. nicht in Verbindung mit Skripten vor Ort, wie z.B. im Fall von Direct-E-Mail-Marketing (DEM)), müssen Unternehmen die Opt-Out-Anforderung möglicherweise manuell umsetzen.
Zudem schreiben Gesetze wie das CPRA vor, dass nicht zugelassene Nutzer für mindestens 12 Monate nach der Anfrage nicht kontaktiert werden dürfen. Aus diesem Grund ist es ratsam, ein Verzeichnis über die Einzelheiten des Opt-Out zu führen, wie z.B. den jeweiligen Nutzer, das Datum und die Auftragnehmer, die im Falle von Anfragen zu benachrichtigen sind.
Lösung
Consent Database
Unsere Consent Database verbindet sich mit Ihren Web-Formularen, damit Sie automatisch Details zu Verbraucherpräferenzen, wie z. B. Opt-Out, über eine API an ein zentral verwaltetes visuelles Dashboard weitergeben können. Sie können alle relevanten Details aufzeichnen, einschließlich Datum und Uhrzeit des Opt-out, Version der Datenschutzerklärung, die dem Nutzer zum Zeitpunkt des Opt-Out vorliegt, Nutzer-ID, E-Mail und sogar IP-Adresse, um die Überprüfung einer Anfrage zu erleichtern.
Zivilstrafe von $2.500 für jeden Verstoß oder; $7.500 für jeden Verstoß, wenn dieser beabsichtigt ist oder die personenbezogenen Daten eines Kindes betrifft.
Zivilstrafe von
bis zu $7.500 für jeden Verstoß.
Auch wenn diese Bußgelder im Vergleich zu anderen Datenschutzgesetzen nicht besonders hoch erscheinen mögen, sollten Sie berücksichtigen,dass diese Bußgelder für jeden einzelnen Verstoß und jeden Verbraucher gelten. Für ein Unternehmen mit nur ein paar Kunden können sich diese Bußgelder zu einer hohen Summe addieren.
Im Allgemeinen, was sind die wichtigsten Anforderungen für Betreiber von Websites und Apps?
Weitergabe und Profiling
Wenn Sie Nutzer aus den USA haben, müssen Sie möglicherweise Gesetze wie das CPRA und das VCDPA einhalten, wenn es um das Profiling oder die Weitergabe von Nutzerdaten geht. Das bedeutet, dass Sie die Nutzer darüber informieren müssen, dass Sie ihre Daten auf diese Weise verarbeiten und ihnen die Möglichkeit geben, die Weitergabe zu beenden (Opt-out).
Einwilligungsverzeichnis
In einigen Regionen wie Europa und Brasilien müssen Sie Nachweise der Einwilligung (auch Einwilligungsverzeichnis) aufbewahren. In vielen Fällen können ohne diese Verzeichnisse die von Ihnen eingeholten Einwilligungen als ungültig betrachtet werden - und Sie damit gegen das Gesetz verstoßen.
Regionsübergreifende Anforderungen
Wenn Sie Nutzer aus verschiedenen Regionen haben (z.B. aus Europa und den USA), müssen Sie möglicherweise gleichzeitig Gesetze aus mehreren Regionen einhalten, wie z.B. das kalifornische [CPRA] oder die europäische DSGVO. Dies beinhaltet das Hinzufügen von regionsspezifischen Angaben in Ihren Datenschutzdokumenten und mehr.
Mehr als 130.000 Kunden in über 100 Ländern vertrauen unseren Produkten
„Wenn Sie, wie ich, Teil eines kompetenten Teams sind und es hassen, Ihre Datenschutzerklärung jedes Mal zu aktualisieren, wenn Sie einen Code zu Ihrer Website hinzufügen, dann ist iubenda genau das Richtige für Sie. Es ist ausgesprochen erschwinglich und superleicht zu benutzen.“
VOR DEM KAUF einfach testen oder UMSONST BEI DER BASISVERSION BLEIBEN
3039862 selbstaktualisierende Dokumente, die bereits generiert wurden
HÄUFIG GESTELLTE FRAGEN
Wie Sie sich auf das CPRA vorbereiten können?
Das CPRA tritt am 1. Januar 2023 in Kraft und wird ab dem 1. Juli 2023 durchgesetzt.
Wir bei iubenda behalten die neuesten Updates immer im Auge und sorgen dafür, dass alle unsere Dokumente und Produkte rechtzeitig angepasst werden, damit Sie gesetzeskonform bleiben.
Wenn Sie bereits Verfahren für das CCPA eingeführt haben, sollten Sie damit beginnen, Ihre Prozesse zu überprüfen und ein paar Dinge zu beachten:
Was Sie tun müssen, um sich auf das VCDPA vorzubereiten
Die Vereinigten Staaten erhalten mit dem Virginia Data Protection Act (VCDPA) eine weitere Datenschutzregelung.
Das VCDPA tritt am 1. Januar 2023 in Kraft.
Wenn Ihr Unternehmen in den Geltungsbereich des VCDPA fällt, sollten Sie sich nach Compliance-Lösungen umschauen, die vertrauenswürdig sind und von Anwälten verfasst wurden.
Falls Sie also noch keine haben, beginnen Sie noch heute damit, alles Notwendige einzurichten, und wir informieren Sie, sobald die Klauseln verfügbar sind!
Oder nehmen Sie an unserem nächsten Webinar teil, um einen Überblick über die gesetzlichen Vorschriften zu erhalten und live Fragen zu stellen
Alle unsere Produkte sind WCAG Level AAA-konform
Eine 360°-Lösung, um Ihre Websites und Apps gesetzeskonform zu machen
Compliance für Websites und Apps
Generator für Datenschutz- und Cookie-Richtlinien
Erstellen Sie Ihre Datenschutzerklärung und Cookie-Richtlinien in Minutenschnelle.
Anpassbar aus mehr als 2000 Klauseln, verfügbar in 14 Sprachen und automatisch aktualisiert, wenn sich das Gesetz ändert. Unser Generator ermöglicht es Ihnen, ein rechtliches Dokument in Minutenschnelle zu erstellen und es nahtlos in Ihre Website oder App zu integrieren.
Verwalten Sie Einwilligungspräferenzen für die ePrivacy, DSGVO, CPRA (CCPA-Ergänzung) und LGPD. Integriert mit dem IAB TCF und dem CCPA Compliance Framework.
Mit unserer Lösung können Sie ein vollständig anpassbares Cookie-/Einwilligungs-Banner anzeigen, die Einwilligung in Cookies erheben, die vorherige Blockierung (einschließlich der Auto-Blocking) implementieren, Werbepräferenzen festlegen und vieles mehr.
Erfassen Sie DSGVO- und LGPD-Einwilligungen, dokumentieren Sie Opt-Ins und CCPA Opt-outs mit Hilfe Ihrer Webformulare.
Unsere Lösung lässt sich nahtlos in Ihre Einwilligungsformulare integrieren, synchronisiert sich mit Ihren rechtlichen Dokumenten und enthält ein benutzerfreundliches Dashboard zur Überprüfung der Einwilligungsaufzeichnungen Ihrer Aktivitäten.
Dokumentieren Sie die gesamte Datenverarbeitungsaktivität innerhalb Ihres Unternehmens.
Um den Datenschutzgesetzen und insbesondere der DSGVO zu entsprechen, müssen Unternehmen aufzeichnen, wie sie die Daten, die sie von ihren Nutzern erfassen, speichern und verwenden. Mit unserer Anwendung können Sie auf einfache Weise alle Datenverarbeitungsaktivitäten innerhalb Ihres Unternehmens dokumentieren.
