Datenschutzgesetz in Texas

Am 18. Juni hat der Gouverneur von Texas (Greg Abbott) den Texas Data Privacy and Security Act (TDPSA) unterzeichnet. Das Gesetz tritt am 1. Juli 2024 in Kraft.

Der Anwendungsbereich des TDPSA erstreckt sich auf Unternehmen beziehungsweise sogenannte „controller“, die:

• in Texas geschäftlich tätig sind oder Produkte herstellen, Dienstleistungen anbieten, die von den Einwohnern von Texas in Anspruch genommen werden (controller who conducts buisness in Texas by producing products or services consumed by residents of the state);
• personenbezogene Daten verarbeiten oder verkaufen und
• keine Kleinunternehmer (small businesses) im Sinne der US Small Business Administration (SBA) sind.

Mithin enthält der TDPSA im Gegensatz zu anderen Datenschutzgesetzen der US-Bundesstaaten weder ein Umsatzschwelle noch eine Mindestzahl von Verbrauchern, deren personenbezogene Daten verarbeitet oder verkauft werden, damit ein Unternehmen in den Anwendungsbereich des Gesetzes fällt.

Die SBA führt eine Tabelle mit Standards für Kleinunternehmen, die den Codes des nordamerikanischen Industrieklassifizierungssystems entsprechen. Die SBA-Größenstandards werden zumeist entweder in Umsatzbeträgen oder in der Anzahl der Mitarbeitenden ausgedrückt und können je nach Unternehmen und Branche stark variieren. Das Office of Advocacy der SBA definiert im Rahmen seiner FAQ’s im März 2023 ein Kleinunternehmen als ein unabhängiges Unternehmen mit weniger als 500 Mitarbeitenden.

Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in Texas, die im eigenen Namen handeln und nicht in einem kommerziellen oder beruflichen Kontext. 

Personenbezogene Daten (personal data) im Sinne des TDPSA sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können.

Der TDPSA räumt den Verbrauchern unter anderem ein Recht auf Löschung und Korrektur ihrer personenbezogenen Daten ein. Ein Unternehmen (beziehungsweise ein controller) hat innerhalb von 45 Tagen auf eine etwaige Anfrage eines Verbrauchers zu reagieren. Diese Frist kann um weitere 45 Tage verlängert werden, wenn dies angesichts der Komplexität und Anzahl der Verbraucheranfragen erforderlich ist.

Wie die meisten Datenschutzgesetze der US-Bundestaaten sieht auch der TDPSA kein privates Klagerecht vor. Die Befugnis zur Durchsetzung der Vorschriften des TDPSA obliegt dem Generalstaatsanwalt von Texas (Texas Attorney General). Der Generalstaatsanwalt ist verpflichtet, Unternehmen über einen etwaigen Verstoß zu informieren und ihnen 30 Tage Zeit zu geben, den Verstoß zu beheben. Der Generalstaatsanwalt kann vor Gericht Klage einreichen und verschiedene Formen der Entschädigung beantragen. Ein Gericht kann für jeden Verstoß gegen den TDPAS eine zivilrechtliche Strafe von bis zu 7.500 US-Dollar verhängen.

Dieser Inhalt gehört zu