Datenschutzgesetz in Florida

Am 7. Juni 2023 hat der Gouverneur von Florida (Ron DeSantis) die Senate Bill 262 unterzeichnet, deren Bestandteil die Bestimmungen der Florida Digital Bill of Rights (FDBR) sind. Die Senate Bill 262 wird am 1. Juli 2024 in Kraft treten. 

Um in den Anwendungsbereich der FDBR zu fallen beziehungsweise um als Datenverantwortlicher (controller) im Sinne der FDBR zu gelten ist es erforderlich, dass ein Unternehmen einen weltweiten Bruttoumsatz von einer Milliarde US-Dollar erzielt und eine der folgenden Voraussetzungen erfüllt:

• 50 Prozent oder mehr seines weltweiten Bruttojahresumsatzes aus dem Verkauf von Online-Werbung erwirtschaftet;

• betreibt einen intelligenten Lautsprecher- und Sprachbefehlskomponentendienst für Verbraucher mit integrierter virtueller Unterstützung, der mit einem Cloud-Computing-Dienst verbunden ist, der die Freisprech-Sprachaktivierung nutzt; oder

• einen App Store oder eine digitale Vertriebsplattform betreibt, der beziehungsweise die Verbrauchern mindestens 250.000 Softwareanwendungen zum Herunterladen und Installieren anbietet.

Im Vergleich zu anderen einzelstaatlichen Datenschutzgesetzen in den USA hat die FDBR eine relative hohe Anwendungsschwelle. Das Gesetz zielt primär auf sogenannte „Big Tech“-Unternehmen ab.

Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in Florida, die nur als Einzelperson oder in Bezug auf die Haushaltsführung handeln (acting only in an individual or houshold context). Nicht umfasst ist ein etwaiges Handeln in einem kommerziellen oder beruflichen Kontext.

Personenbezogene Daten (personal data) im Sinne der FDBR sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können, ausgenommen sind öffentlich zugängliche Informationen.

Verbrauchern räumt die FDBR unter anderem ein Zugriffsrecht sowie das Recht auf Löschung, Berichtigung und Übertragbarkeit der personenbezogenen Daten ein. Ein Unternehmen (beziehungsweise ein controller) hat auf etwaige Verbraucheranfragen innerhalb von 45 Tagen zu reagieren. Diese Frist kann aufgrund der Komplexität der Anfrage sowie der Anzahl der Verbraucheranfragen um weitere 15 Tage verlängert werden.  

Die FDBR sieht kein privates Klagerecht für Verbraucher vor. Die Durchsetzung der FDBR obliegt ausschließlich dem Rechtsministerium des Bundesstaates (Department of Legal Affairs) beziehungsweise dem Generalstaatsanwalt (Attorney General). Die FDBR sieht eine 45-tätige Heilungsfrist für Datenschutzverstöße vor, die das Rechtsministerium vor der Einleitung von Durchsetzungsmaßnahmen einem controller gewähren kann. Ausgeschlossen ist die Heilungsfrist allerdings bei Verstößen die Kinder betreffen. Bei Verstößen gegen den FDBR kann durch ein Gericht eine zivilrechtliche Strafe von bis zu 50.000 US-Dollar pro Verstoß verhängt werden.

Dieser Inhalt gehört zu