US-Bundesstaat New Hampshire erlässt Datenschutzgesetz

Am 6. März 2024 hat der Gouverneur von New Hampshire (Christopher T. Sununu) die Senat Bill 255 beziehungsweise den New Hampshire Privacy Act (NHPA) unterzeichnet. New Hampshire ist damit nach New Jersey der zweite US-Bundesstaat, der im Jahr 2024 ein umfassendes Datenschutzgesetz verabschiedet hat. Der NHPA wird am 1. Januar 2025 in Kraft treten.

Der Anwendungsbereich des NHPA erstreckt sich auf alle Personen, die in New Hampshire geschäftlich tätig sind (conduct business in New Hampshire) oder Produkte für die Einwohner von New Hampshire herstellen oder ihnen Dienstleistungen anbieten (produce products or services targeted to New Hampshire residents) und dabei innerhalb eines Jahres:

• die personenbezogenen Daten von 35.000 Verbrauchern kontrolliert oder verarbeitet haben, mit Ausnahme personenbezogener Daten, die ausschließlich zum Zwecke der Abwicklung einer Zahlungstransaktion kontrolliert oder verarbeitet worden sind; oder

• die personenbezogenen Daten von 10.000 Verbrauchern kontrolliert oder verarbeitet und mehr als 25 Prozent ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt haben.

Etwaige Umsatzschwellen, um in den Anwendungsbereich des Gesetzes zu fallen, sieht der NHPA nicht vor.

Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in New Hampshire, die im eigenen Namen handeln und nicht in einem kommerziellen oder beruflichen Kontext. 

Personenbezogene Daten (personal data) im Sinne des NHPA sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können.

Der NHPA räumt den Verbrauchern unter anderem ein Recht auf Löschung und Korrektur ihrer personenbezogenen Daten ein. Ein Unternehmen hat innerhalb von 45 Tagen auf eine etwaige Anfrage eines Verbrauchers zu reagieren. Diese Frist kann um weitere 45 Tage verlängert werden, wenn dies angesichts der Komplexität und Anzahl der Verbraucheranfragen erforderlich ist.

Wie die meisten Datenschutzgesetze der US-Bundesstaaten sieht auch der NHPA kein privates Klagerecht vor. Die Befugnis zur Durchsetzung der Vorschriften des NHPA obliegt dem Generalstaatsanwalt von New Hampshire (New Hampshire Attorney General). Der Generalstaatsanwalt ist zwischen dem 1. Januar 2025 und dem 31. Dezember 2025 verpflichtet, Unternehmen über einen etwaigen Verstoß zu informieren und ihnen 60 Tage Zeit zu geben, den Verstoß zu beheben. Diese Heilungsbestimmung endet allerdings am 1. Januar 2026 und es obliegt dann dem Ermessen des Generalstaatsanwalts einem Unternehmen eine Heilungsfrist einzuräumen.

Zum Thema:

• GTAI-Textsammlung Datenschutz in den US-Bundesstaaten