Datenschutzgesetz in Montana

Am 19. März 2023 hat der Gouvernor von Montana (Greg Gianforte) den Montana Consumer Data Privacy Act  (MCDPA) unterzeichnet. Das Gesetz tritt am 1. Oktober 2024 in Kraft.

Vom Anwendungsbereich des MCDPA sind grundsätzlich Unternehmen beziehungsweise sogenannte „controller“ (Verarbeiter) erfasst, die in Montana geschäftlich tätig sind (conduct business in Montana) oder Produkte für die Einwohner von Montana herstellen oder ihnen Dienstleistungen anbieten (produce products or services targeted to Montana residents) und im Kalenderjahr entweder:

• die personenbezogenen Daten von 50.000 Verbrauchern kontrolliert oder verarbeitet haben, mit Ausnahme personenbezogener Daten, die ausschließlich zum Zwecke der Abwicklung einer Zahlungstransaktion kontrolliert oder verarbeitet worden sind; oder

• die personenbezogenen Daten von 25.000 Verbrauchern kontrolliert oder verarbeitet und mehr als 25 Prozent ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt haben.

Etwaige Umsatzschwellen, um in den Anwendungsbereich des Gesetzes zu fallen, sieht der MCDPA nicht vor.

Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in Montana, die im eigenen Namen handeln und nicht in einem kommerziellen oder beruflichen Kontext.

Personenbezogene Daten (personal data) im Sinne des MCDPA sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können - ausgenommen sind öffentlich zugängliche Informationen.

Der MCDPA räumt den Verbrauchern unter anderem ein Recht auf Löschung und Korrektur ihrer personenbezogenen Daten ein. Ein Unternehmen (beziehungsweise ein controller) hat innerhalb von 45 Tagen auf eine etwaige Anfrage eines Verbrauchers zu reagieren. Diese Frist kann um weitere 45 Tage verlängert werden, wenn dies angesichts der Komplexität und Anzahl der Verbraucheranfragen erforderlich ist.

Wie die meisten Datenschutzgesetze der US-Bundesstaaten sieht auch der MCDPA kein privates Klagerecht vor. Die Befugnis zur Durchsetzung der Vorschriften des MCDPA obliegt dem Generalstaatsanwalt von Montana (Montana Attorney General). Der Generalstaatsanwalt ist verpflichtet, Unternehmen über einen etwaigen Verstoß zu informieren und ihnen 60 Tage Zeit zu geben, den Verstoß zu beheben. Diese Heilungsbestimmung endet allerdings am 1. April 2026 beziehungsweise achtzehn Monate nach Inkrafttreten des Gesetzes.

Dieser Inhalt gehört zu