US-Bundestaaten Florida und Texas erlassen Datenschutzgesetz

Kein einheitliches Bundesdatenschutzgesetz

Ein einheitliches Bundesdatenschutzgesetz existiert in den USA nach wie vor nicht. Allerdings hat eine Vielzahl von Bundesstaaten in den letzten Jahren über umfassende Datenschutzgesetze diskutiert und diese in einigen Fällen sogar erlassen.

Am bekanntesten ist der bereits am 1. Januar 2020 in Kraft getretene California Consumer Privacy Act (CCPA), dessen endgültige Regelungen im August 2020 vom California Office of Administrative Law genehmigt worden sind. Ferner haben die kalifornischen Wähler am 3. November 2020 der Verabschiedung des California Privacy Rights Act (CPRA) zugestimmt. Der CPRA ist am 1. Januar 2023 in Kraft getreten und ergänzt die Regelungen des CCPA.

Zudem haben im Jahr 2022 die vier Bundesstaaten Virginia, Colorado, Utah und Connecticut Datenschutzgesetze erlassen, die alle im Verlauf des Jahres 2023 in Kraft treten.

Anfang diesen Jahres haben darüber hinaus die Bundesstaaten Iowa, Indiana und Tennessee umfassende Datenschutzgesetze erlassen. Die Datenschutzgesetze von Iowa und Tennessee werden im Jahr 2025 in Kraft treten. Das Datenschutzgesetz von Indiana tritt im Jahr 2026 in Kraft.

Mittlerweile sind auf Ebene der US-Bundesstaaten drei weitere Datenschutzgesetze hinzugekommen: der Montana Consumer Data Privacy Act (siehe hierzu GTAI- Rechtsmeldung: US-Bundesstaat Montana verabschiedet Datenschutzgesetz), die Florida Digital Bill of Rights (FDBR) und der Texas Data Privacy and Security Act (TDPSA).

Florida Digital Bill of Rights

Am 7. Juni 2023 hat der Gouverneur von Florida (Ron DeSantis) die Senate Bill 262 unterzeichnet, deren Bestandteil die Bestimmungen der FDBR sind. Die Senate Bill 262 wird am 1. Juli 2024 in Kraft treten. Obwohl die FDBR durchaus an die bisher erlassenen Datenschutzgesetze der US-Bundesstaaten anknüpft, weist sie durchaus aber auch einzigartige Aspekte auf.

Um in den Anwendungsbereich der FDBR zu fallen beziehungsweise um als Datenverantwortlicher (Controller) im Sinne der FDBR zu gelten ist es erforderlich, dass ein Unternehmen einen weltweiten Bruttoumsatz von einer Milliarde US-Dollar erzielt und eine der folgenden Voraussetzungen erfüllt:

• 50 Prozent oder mehr seines weltweiten Bruttojahresumsatzes aus dem Verkauf von Online-Werbung erwirtschaftet, einschließlich gezielter Werbung und dem Verkauf von Anzeigen;

• betreibt einen intelligenten Lautsprecher- und Sprachbefehlskomponentendienst für Verbraucher mit integrierter virtueller Unterstützung, der mit einem Cloud-Computing-Dienst verbunden ist, der die Freisprech-Sprachaktivierung nutzt; oder

• einen App Store oder eine digitale Vertriebsplattform betreibt, der Verbrauchern mindestens 250.000 Softwareanwendungen zum Herunterladen und Installieren anbietet.

Verbrauchern mit Wohnsitz in Florida räumt die FDBR unter anderem ein Zugriffsrecht sowie das Recht auf Löschung, Berichtigung und Übertragbarkeit der personenbezogenen Daten ein.

Die FDBR sieht kein privates Klagerecht für Verbraucher vor. Die Durchsetzung der FDBR obliegt ausschließlich dem Rechtsministerium des Bundesstaates (Department of Legal Affairs) beziehungsweise dem Generalstaatsanwalt (Attorney General). Bei Verstößen gegen den FDBR können zivilrechtliche Strafen von bis zu 50.000 US-Dollar pro Verstoß drohen.

Texas Data Privacy and Security Act 

Der Gouverneur des Bundesstaates Texas (Greg Abbott) hat am 18. Juni 2023 den TDPSA unterzeichnet. Das Gesetz tritt am 1. Juli 2024 in Kraft.

Der Anwendungsbereich des TDPSA erstreckt sich auf Unternehmen, die:

• in Texas geschäftlich tätig sind oder Produkte herstellen, Dienstleistungen anbieten, die von den Einwohnern von Texas in Anspruch genommen werden;

• personenbezogene Daten verarbeiten oder verkaufen; und

• keine Kleinunternehmer (small businesses) im Sinne der US Small Buinsess Administration (SBA) sind.

Die SBA führt eine Tabelle mit Standards für Kleinunternehmen, die den Codes des nordamerikanischen Industrieklassifizierungssystems entsprechen. Die SBA-Größenstandards werden zumeist entweder in Umsatzbeträgen oder in der Anzahl der Mitarbeiter ausgedrückt und können je nach Unternehmen und Branche stark variieren. Das Office of Advocacy der SBA definiert im Rahmen seiner FAQ’s im März 2023 ein Kleinunternehmen als ein unabhängiges Unternehmen mit weniger als 500 Mitarbeitern.

Verbraucher mit Wohnsitz in Texas steht unter anderem ein Recht auf Löschung oder Widerspruch gegen die Verarbeitung der personenbezogenen Daten zu.

Durchgesetzt wird der TDPSA vom texanischen Generalstaatsanwalt (Attorney General). Bei einem Verstoß gegen das Gesetz, kann eine zivilrechtliche Strafe von bis zu 7.500 US-Dollar pro Verstoß anfallen.

Zum Thema:

• GTAI- Rechtsmeldung: USA erfüllen Anforderungen des EU-US-Datenschutzrahmens
• GTAI- Rechtsmeldung: Angemessenes Datenschutzniveau in den USA