US-Bundesstaat Kentucky erlässt Datenschutzgesetz

Am 4. April 2024 hat der Gouverneur von Kentucky (Andy Brashea) die Senate Bill 15 beziehungsweise den Kentucky Consumer Data Protection Act (KCDPA) unterzeichnet. Der KCPA wird am 1. Januar 2026 in Kraft treten.

Der Anwendungsbereich des KCPA erstreckt sich auf sogenannte controller (Verarbeiter) beziehungsweise alle Personen, die in Kentucky geschäftlich tätig sind (conduct business in Kentucky) oder Produkte für die Einwohner von Kentucky herstellen oder ihnen Dienstleistungen anbieten (produce products or services targeting Kentuckians) und dabei innerhalb eines Kalenderjahres:

• die personenbezogenen Daten von 100.000 Verbrauchern kontrolliert oder verarbeitet haben; oder
• die personenbezogenen Daten von 25.000 Verbrauchern kontrolliert oder verarbeitet haben und mehr als 50 Prozent ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt haben.

Etwaige Umsatzschwellen, um in den Anwendungsbereich des Gesetzes zu fallen, sieht der KCDPA nicht vor.

Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in Kentucky, die im eigenen Namen handeln und nicht in einem kommerziellen oder beruflichen Kontext.

Personenbezogene Daten (personal data) im Sinne des KCPA sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können, ausgenommen sind öffentlich zugängliche Informationen.

Der KCPA räumt den Verbrauchern unter anderem ein Recht auf Löschung und Korrektur ihrer personenbezogenen Daten ein. Ein controller hat innerhalb von 45 Tagen auf eine etwaige Anfrage eines Verbrauchers zu reagieren. Diese Frist kann um weitere 45 Tage verlängert werden, wenn dies angesichts der Komplexität und Anzahl der Verbraucheranfragen erforderlich ist.

Die Befugnis zur Durchsetzung der Vorschriften des KCPA obliegt dem Generalstaatsanwalt von Kentucky (Kentucky Attorney General). Der Generalstaatsanwalt ist verpflichtet, Unternehmen über einen etwaigen Verstoß zu informieren und ihnen 30 Tage Zeit zu geben, den Verstoß zu beheben. Verstöße gegen das Gesetz können mit einer Geldstrafe von bis zu 7.500 US-Dollar pro Verstoß geahndet werden.

Zum Thema:

• GTAI-Textsammlung Datenschutz in den US-Bundesstaaten