Virginia Consumer Data Protection Act tritt 2023 in Kraft

Ein einheitliches Bundesdatenschutzgesetz existiert in den USA nach wie vor nicht. Mit Inkrafttreten des Virginia Consumer Data Protection Act (VCDPA) im Januar 2023 zählt Virginia zu den wenigen US-Bundesstaaten, die über ein umfassendes Datenschutzgesetz verfügen.

Das aktuell bekannteste Datenschutzgesetz der USA ist der bereits am 1. Januar 2020 in Kraft getretene California Consumer Privacy Act (CCPA), dessen endgültige Regelungen im August 2020 vom California Office of Administrative Law genehmigt worden sind. Ferner haben die kalifornischen Wähler am 3. November 2020 der Verabschiedung des California Privacy Rights Act (CPRA) zugestimmt, dessen Regelungen vollumfänglich am 1. Januar 2023 in Kraft treten. Der CCPA erlegt Unternehmen, die personenbezogene Daten von kalifornischen Verbrauchern sammeln, zahlreiche Verpflichtungen auf und räumt den Verbrauchern mit EU-Niveau vergleichbare Betroffenenrechte ein (zum Beispiel das Recht auf Löschung). Der CPRA erweitert den Schutz personenbezogener Daten und verpflichtet unter anderem Unternehmen dazu, zusätzliche Mechanismen für den Zugriff, die Korrektur oder das Löschen von personenbezogenen Daten von Angestellten bereitzustellen.

Wer und welche Daten sind von VCDPA geschützt?

Vom VCDPA geschützt werden Verbraucher (consumer). Als Verbraucher definiert der VCDPA alle Einwohner von Virginia, die in einem Einzel- oder Haushaltskontext handeln (Virginia residents acting in an individual or household context). Nicht vom Schutzbereich des VCDPA erfasst sind Personen, die in einem Beschäftigungs- oder gewerblichen Kontext handeln (individuals acting in an employment or commercial context).

Geschützt sind personenbezogene Daten (personal data). Als personenbezogene Daten definiert der VCDPA Informationen, die mit einer identifizierten oder identifizierbaren Person verknüpft werden können. Nicht vom Schutzbereich erfasst werden Daten, die anonymisiert oder öffentlich verfügbar sind. Einen besonderen Schutz genießen darüber hinaus sensible personenbezogene Daten (sensitive Data). Für die Verarbeitung ist erforderlich, dass die Verbraucher vorher zustimmen. Unter sensible personenbezogene Daten fallen Daten, die unter anderem die ethnische Herkunft, die religiösen Überzeugungen, psychische oder physische Gesundheitsdiagnosen, die sexuelle Orientierung, die Staatsbürgerschaft oder den Einwanderungsstatus einer Person offenbaren.

Welche Unternehmen sind vom VCDPA betroffen?

Um in den Anwendungsbereich des VCDPA zu fallen muss ein Unternehmen in Virginia geschäftlich tätig sein oder Produkte oder Dienstleistungen für die Verbraucher in Virginia herstellen beziehungsweise bereitstellen und entweder während eines Kalenderjahres personenbezogene Daten von mindestens 100.000 Verbrauchern verarbeiten oder personenbezogene Daten von mindestens 25.000 Verbrauchern verarbeiten und dabei über 50 Prozent des Bruttoumsatzes mit dem Verkauf personenbezogener Daten erzielen.

Welche Rechte haben Verbraucher?

Im Rahmen des VCDPA haben Verbraucher das Recht zu erfahren, ob ein Unternehmen, das in den Anwendungsbereich des VCDPA fällt, personenbezogene Daten erfasst. In Bezug auf die erfassten Daten steht Verbrauchern unter anderem ein Recht auf Berichtigung und Löschung der Daten zu. Auf diesbezüglich eingehende Verbraucheranfragen haben Unternehmen 45 Tage lang Zeit zu reagieren. Diese Frist kann gegebenenfalls um weitere 45 Tage verlängert werden.

Sanktionen und Rechtsbehelfe

Im Gegensatz zum CCPA sieht der VCDPA kein privates Klagerecht vor. Der VCDPA wird vom Attorney General von Virginia durchgesetzt und sieht für datenschutzrechtliche Verstöße Geldstrafen in Höhe von bis zu 7.500 US-Dollar (US$) vor.

Zum Thema:

• GTAI-Rechtsbericht: Entwicklungen im US-EU-Datenschutz 2022 
• GTAI -Länderbericht: Recht kompakt USA