Rechtsbericht | USA | Datenschutzrecht
Datenschutzgesetz in Iowa
Der Iowa Consumer Data Protection Act wird am 1. Januar 2025 in Kraft treten.
25.10.2023
Von Jan Sebisch | Bonn
Am 23. März 2023 hat die Gouverneurin des Bundestaates Iowa (Kim Reynolds) den Iowa Consumer Data Protection Act (ICDPA) unterzeichnet. Das Gesetz wird am 1. Januar 2025 in Kraft treten.
Vom Anwendungsbereich des ICDPA sind grundsätzlich Unternehmen beziehungsweise sogenannte „controller“ (Verarbeiter) erfasst, die in Iowa geschäftlich tätig sind (conduct business in Iowa) oder Produkte für die Einwohner von Iowa herstellen oder ihnen Dienstleistungen anbieten (produce products or services targeted to Iowa residents) und im Kalenderjahr entweder:
die personenbezogenen Daten von 100.000 Verbrauchern kontrolliert oder verarbeitet haben; oder
die personenbezogenen Daten von 25.000 Verbrauchern kontrolliert oder verarbeitet haben und mehr als 50 Prozent ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt haben.
Etwaige Umsatzschwellen, um in den Anwendungsbereich des Gesetzes zu fallen, sieht der ICDPA nicht vor.
Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in Iowa, die im eigenen Namen handeln und nicht in einem kommerziellen oder beruflichen Kontext.
Personenbezogene Daten (personal data) im Sinne des ICDPA sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können, ausgenommen sind öffentlich zugängliche Informationen.
Der ICDPA räumt den Verbrauchern unter anderem ein Recht auf Zugriff und Löschung ihrer personenbezogenen Daten ein. Ein Unternehmen (beziehungsweise ein controller) hat 90 Tage Zeit, um auf eine etwaige Verbraucheranfrage zu reagieren. Diese Frist kann jedoch je nach Komplexität und Anzahl der Verbraucheranfragen um 45 Tage verlängert werden.
Ein privates Klagerecht sieht der ICDPA nicht vor. Die Befugnis zur Durchsetzung der Vorschriften des ICDPA obliegt dem Generalstaatsanwalt von Iowa (Iowa Attorney General). Der Generalstaatsanwalt ist verpflichtet, Unternehmen über einen etwaigen Verstoß zu informieren und ihnen 90 Tage Zeit zu geben, den Verstoß zu beheben. Für jeden Verstoß gegen den ICDPA kann ein Gericht eine zivilrechtliche Strafe in Höhe von 7.500 US-Dollar verhängen.
