US-Bundestaat New Jersey erlässt umfassendes Datenschutzgesetz

Am 16. Januar 2023 hat der Gouverneur von New Jersey (Phil Murphy) die Senate Bill 332 beziehungsweise den New Jersey Data Protection Act (NJDPA) unterzeichnet. Das Gesetz wird am 15. Januar 2025 in Kraft treten.

Der Anwendungsbereich des NJDPA erstreckt sich auf Unternehmen beziehungsweise sogenannte controller (Verarbeiter), die in New Jersey geschäftlich tätig sind (conduct business in New Jersey) oder Produkte für die Einwohner von New Jersey herstellen oder ihnen Dienstleistungen anbieten (produce products or services targeted to New Jersey residents) und dabei innerhalb eines Kalenderjahres:

• die personenbezogenen Daten von mindestens 100.000 Verbrauchern kontrollieren oder verarbeiten; oder
• die personenbezogenen Daten von 25.000 Verbrauchern kontrollieren, verarbeiten und Einnahmen aus dem Verkauf personenbezogener Daten erzielen.

Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in New Jersey, die im eigenen Namen handeln und nicht in einem kommerziellen oder beruflichen Kontext. Personenbezogene Daten (personal data) im Sinne des NJDPA sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können.

Der NJDPA räumt den Verbrauchern unter anderem ein Recht auf Löschung und Korrektur ihrer personenbezogenen Daten ein. Ein Unternehmen (beziehungsweise ein controller) hat innerhalb von 45 Tagen auf eine etwaige Anfrage eines Verbrauchers zu reagieren. Diese Frist kann verlängert werden, wenn dies angesichts der Komplexität und Anzahl der Verbraucheranfragen erforderlich ist.

Wie die meisten Datenschutzgesetze der übrigen US-Bundesstaaten sieht auch das Datenschutzgesetz von New Jersey kein privates Klagerecht vor. Dem Generalstaatsanwalt von New Jersey (New Jersey Attorney General) obliegt es, entsprechende Durchsetzungsmaßnahmen nach dem Consumer Fraud Act des Staates durchzuführen. Die Abteilung für Verbraucherangelegenheiten des Ministeriums für Recht und öffentliche Sicherheit (the Division of Consumer Affairs in the Department of Law and Public Safety) ist verpflichtet, Unternehmen über einen etwaigen Verstoß zu informieren und ihnen 30 Tage Zeit zu geben, den Verstoß zu beheben. Diese Heilungsbestimmung endet allerdings 18 Monate nach Inkrafttreten des Gesetzes. 

Zum Thema:

• GTAI-Textsammlung Datenschutz in den US-Bundesstaaten