2024 US-Datenschutzgesetze: Wichtige Aktualisierungen und Änderungen

2024 US Data Privacy Laws: Key Updates and Changes

Ein kurzer zeitlicher Überblick

Am 21. Juni 2022 wurde der American Data Privacy and Protection Act (ADPPA) eingebracht. Der ADPPA erhielt genügend überparteiliche Unterstützung, um echten Optimismus für die Verabschiedung eines bundesweiten Datenschutzgesetzes zu wecken.

Der ADPPA schaffte es jedoch nie zur Abstimmung im Repräsentantenhaus. Im Jahr 2023 erlebte die Datenschutzlandschaft die Verabschiedung zahlreicher umfassender bundesstaatlicher Datenschutzgesetze in verschiedenen Rechtsräumen, wodurch Unternehmen jedes Gesetz einzeln auf spezifische Compliance-Anforderungen und Verbraucherrechte hin prüfen mussten.

Im April 2024 wurde der American Privacy Rights Act (APRA) angekündigt. Bis Juli 2024 hatten weitere Bundesstaaten ähnliche Gesetze erlassen, und mit der Weiterentwicklung der Aufsichtsbehörden nahmen auch Durchsetzungsmaßnahmen und Vergleiche zu. Folglich mussten Unternehmen der Einhaltung der Datenschutzgesetze Priorität einräumen.

Zusätzlich verzeichnete KI ein erhebliches Wachstum bei Technologie, Verbreitung und geplanten Regulierungen, begleitet von verstärkter Durchsetzung und einer Executive Order von Präsident Biden, wobei auf bundesstaatlicher Ebene eine weitere Ausweitung von KI-Richtlinien und -Regulierungen erwartet wird.

Erlassene und bevorstehende bundesstaatliche Datenschutzgesetze

Am 31. Dezember 2023 trat der Utah Consumer Privacy Act (UCPA) in Kraft. Dieses Gesetz galt für Unternehmen mit einem Jahresumsatz von mindestens 25 Millionen US-Dollar, die entweder (a) die personenbezogenen Daten von 100.000 oder mehr Verbrauchern aus Utah pro Kalenderjahr kontrollierten oder verarbeiteten, oder (b) mehr als 50 Prozent ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielten und die personenbezogenen Daten von 25.000 oder mehr Verbrauchern aus Utah kontrollierten oder verarbeiteten. Trotz der im Gesetz vorgesehenen 30-tägigen Nachbesserungsfrist wurden Unternehmen ermutigt, ihre Compliance-Pflichten noch vor Jahresende zu erfüllen.

Vier neue bundesstaatliche Verbraucherdatenschutzgesetze sollen 2024 in Kraft treten, während der APRA sich weiterhin im Ausschuss befindet.

Am 1. Juli 2024 traten Floridas Digital Bill of Rights, Oregons Consumer Privacy Act und Texas' Data Privacy and Security Act in Kraft.

Am 1. Oktober 2024 wird Montanas Consumer Data Privacy Act in Kraft treten.

Hier finden Sie eine Übersicht der US-bundesstaatlichen Datenschutzgesetzgebung:

BUNDESSTAAT	GESETZ VERABSCHIEDET	IN KRAFT SEIT
CALIFORNIA	CALIFORNIA CONSUMER PRIVACY ACT	JAN. 1, 2020
COLORADO	COLORADO PRIVACY ACT	JUL. 1, 2023
CONNECTICUT	CONNECTICUT DATA PRIVACY ACT	JUL. 1, 2023
DELAWARE	DELAWARE PERSONAL DATA PRIVACY ACT	JAN. 1, 2025
INDIANA	INDIANA CONSUMER DATA PROTECTION ACT	JAN. 1, 2026
IOWA	IOWA CONSUMER DATA PROTECTION ACT	JAN. 1, 2025
KENTUCKY	KENTUCKY CONSUMER DATA PROTECTION ACT	JAN. 1, 2026
MARYLAND	MARYLAND ONLINE DATA PRIVACY ACT	OCT. 1, 2025
MINNESOTA	MINNESOTA CONSUMER DATA PRIVACY ACT	JUL. 31, 2025
MONTANA	MONTANA CONSUMER DATA PRIVACY ACT	OCT. 1, 2024
NEBRASKA	NEBRASKA DATA PRIVACY ACT	JAN. 1, 2025
NEW HAMPSHIRE	NEW HAMPSHIRE PRIVACY ACT	JAN. 1, 2025
NEW JERSEY	NEW JERSEY DATA PRIVACY ACT	JAN. 15, 2025
OREGON	OREGON CONSUMER PRIVACY ACT	JUL. 1, 2024
TENNESSEE	TENNESSEE INFORMATION PROTECTION ACT	JUL. 1, 2025
TEXAS	TEXAS DATA PRIVACY & SECURITY ACT	JUL. 1, 2024
UTAH	UTAH CONSUMER PRIVACY ACT	DEC. 31, 2023
VIRGINIA	VIRGINIA CONSUMER DATA PROTECTION ACT	JAN. 1, 2023

Durchsetzung

Seit 2023 haben Aufsichtsbehörden Durchsetzungsaktionen und Untersuchungen eingeleitet, um die Einhaltung der Vorschriften sicherzustellen.

Auf Bundesebene ist die FTC gegen mehrere Unternehmen wegen Datenschutzverletzungen, unfairer und irreführender Offenlegungen im Zusammenhang mit der Weitergabe von Gesundheitsdaten, dem Versäumnis, die elterliche Einwilligung zur Erhebung von Kinderdaten einzuholen, sowie der Verwendung von Dark Patterns im Zusammenhang mit der Privatsphäre von Kindern vorgegangen.

Auf bundesstaatlicher Ebene richtete der Generalstaatsanwalt von Kalifornien Anfragen an bestimmte Arbeitgeber bezüglich der Verarbeitung personenbezogener Daten von Mitarbeitenden, und die CPPA begann mit der Überprüfung der Datenschutzpraktiken von Herstellern vernetzter Fahrzeuge und verwandter Technologien. Ähnlich richtete der Generalstaatsanwalt von Colorado Anfragen an Stellen bezüglich der Verarbeitung sensibler Daten.

Grundlegende Datenschutzprinzipien

• Recht auf Auskunft: Verbraucher können die über sie erhobenen Daten einsehen und erfahren, mit welchen Dritten diese geteilt werden.
• Recht auf Berichtigung: Verbraucher können die Korrektur ungenauer oder veralteter personenbezogener Daten verlangen.
• Recht auf Löschung: Verbraucher können die Löschung ihrer personenbezogenen Daten verlangen.
• Recht auf Einschränkung der Verarbeitung: Verbraucher können einschränken, wie Unternehmen ihre Daten verarbeiten.
• Recht auf Datenübertragbarkeit: Verbraucher können ihre Daten in einem gängigen Format anfordern.
• Widerspruchsrecht: Verbraucher können verhindern, dass ihre Daten an Dritte verkauft werden.

UniConsent zur Verwaltung der bundesstaatlichen Datenschutzgesetze nutzen

Die Consent-Management-Plattform (CMP) von UniConsent unterstützt US-Organisationen dabei, diese Anforderungen zu bewältigen und dabei die richtige Balance zwischen reduzierter operativer Komplexität und der Flexibilität zu finden, die zur Optimierung ihrer Datenpraktiken benötigt wird.

Wenn Sie diese Gesetze selbst verwalten möchten, finden Sie hier einige Hinweise für Unternehmen angesichts der sich ständig weiterentwickelnden US-Datenschutzlandschaft:

• Datenzuordnung (Data Mapping) durchführen: Stellen Sie sicher, dass Datenerhebung, -weitergabe und -verarbeitung den neuen Anforderungen entsprechen und konsistent bleiben.
• Externe Datenschutzrichtlinien überprüfen: Bestätigen Sie, dass alle erforderlichen Offenlegungen enthalten, korrekt sind und die Verbraucherrechte gemäß den geltenden Gesetzen berücksichtigen.
• Opt-out-Präferenzsignale implementieren: Erkennen und implementieren Sie Opt-out-Präferenzen für Websites in Bundesstaaten, in denen diese Verpflichtungen 2024 in Kraft treten, sofern zutreffend.
• Datenschutz-Folgenabschätzungen (DPIA) durchführen: Führen Sie DPIAs für die Verarbeitung personenbezogener Daten durch, sofern dies gesetzlich vorgeschrieben ist, oder stellen Sie sicher, dass bestehende DPIAs den geltenden Gesetzen entsprechen. Berücksichtigen Sie alle relevanten Faktoren, wie die Nutzung sensibler Informationen und ADMT.
• Einsatz von KI-Tools überprüfen: Richten Sie sich nach veröffentlichten Rahmenwerken zum Datenschutz, wie der Executive Order zur sicheren, geschützten und vertrauenswürdigen Entwicklung und Nutzung Künstlicher Intelligenz, dem Blueprint for an AI Bill of Rights des Weißen Hauses und dem Artificial Intelligence Risk Management Framework des NIST. Verstehen Sie alle Modelleingaben und -ausgaben, stellen Sie Daten- und IP-Compliance sicher, etablieren Sie eine interne KI-Richtlinie für Mitarbeitende, überprüfen Sie externe KI-Aussagen auf Genauigkeit und Transparenz und integrieren Sie Datenschutz-, Bias-, Ethik- und Sicherheitsprüfungen in KI-Produkte.

Über UniConsent

UniConsent CMP ist eine weltweit anerkannte und zertifizierte Consent-Management-Plattform (CMP), die führende Publisher betreut und täglich zig Millionen Nutzer bedient. Durch ein nahtloses Datenschutzerlebnis unterstützt UniConsent CMP Unternehmen dabei, sich in der Post-DSGVO-Ära zurechtzufinden und die sich weiterentwickelnden Anforderungen der Datenschutzvorschriften zu erfüllen. Kontaktieren Sie uns, um mehr zu erfahren: hello@uniconsent.com