Texas Data Privacy and Security Act (TDPSA)

Der Texas Data Privacy and Security Act (TDPSA) trat am 1. Juli 2024 in Kraft und macht Texas zu einem der größten US-Bundesstaaten mit umfassender Datenschutzgesetzgebung. Wenn Ihr Unternehmen personenbezogene Daten von Einwohnern in Texas erhebt oder verarbeitet, erfahren Sie hier, was Sie wissen müssen.

Was ist der TDPSA?

Der TDPSA schafft einen Rahmen dafür, wie Unternehmen mit den personenbezogenen Daten von Texanern umgehen müssen. Anders als einige US-amerikanische Datenschutzgesetze der Bundesstaaten setzt er keinen Umsatz- oder Datenvolumen-Schwellenwert; die meisten kommerziellen Einrichtungen, die personenbezogene Daten verarbeiten und in Texas geschäftlich tätig sind, sind betroffen.

Das Gesetz gibt Verbrauchern Rechte über ihre Daten, verpflichtet Unternehmen zu Transparenz in ihren Datenpraktiken und schreibt Opt-Out-Mechanismen für zielgerichtete Werbung, Datenverkauf und bestimmte Profiling-Aktivitäten vor. Verantwortliche müssen auf Verbraucheranfragen innerhalb von 45 Tagen antworten, verlängerbar um weitere 45 Tage, wenn dies vernünftigerweise erforderlich ist.

Für wen gilt der TDPSA?

Der TDPSA gilt für Unternehmen, die in Texas geschäftlich tätig sind oder Produkte oder Dienstleistungen für Einwohner von Texas anbieten und im Rahmen dieser Tätigkeit personenbezogene Daten verarbeiten. Es gibt keinen Mindestumsatz oder Verbraucherschwellenwert.

Ausnahmen gelten für texanische Staatsbehörden, Finanzinstitute, die dem Gramm-Leach-Bliley Act unterliegen, HIPAA-betroffene Einrichtungen und deren Geschäftspartner sowie gemeinnützige Organisationen. Hochschuleinrichtungen und bestimmte beschäftigungsbezogene Daten sind ebenfalls ausgenommen. Kleine Unternehmen gemäß der Definition der US Small Business Administration sind befreit, sofern sie keine sensiblen Daten verkaufen.

Verbraucherrechte nach dem TDPSA

Einwohner von Texas können folgende Rechte gegenüber den vom Gesetz betroffenen Unternehmen ausüben:

• Recht auf Auskunft: bestätigen lassen, ob ein Unternehmen ihre personenbezogenen Daten verarbeitet, und eine Kopie anfordern
• Recht auf Berichtigung: die Korrektur ungenauer personenbezogener Daten anfordern
• Recht auf Löschung: die Löschung personenbezogener Daten anfordern, die der Verbraucher bereitgestellt hat oder die über ihn erhoben wurden
• Recht auf Datenübertragbarkeit: eine Kopie ihrer personenbezogenen Daten in einem übertragbaren, nutzbaren Format erhalten
• Recht auf Widerspruch: dem Verkauf ihrer personenbezogenen Daten, zielgerichteter Werbung und Profiling widersprechen, das für Entscheidungen mit rechtlichen oder ähnlich bedeutsamen Auswirkungen verwendet wird

Unternehmen müssen auf verifizierte Anfragen innerhalb von 45 Tagen antworten. Wenn ein Unternehmen eine Anfrage ablehnt, kann der Verbraucher Widerspruch einlegen, und das Unternehmen muss innerhalb von 60 Tagen auf den Widerspruch antworten.

Opt-Out-Anforderungen

Der TDPSA verpflichtet Unternehmen, Verbrauchern einen klaren und zugänglichen Weg zu bieten, drei spezifischen Aktivitäten zu widersprechen: dem Verkauf personenbezogener Daten, zielgerichteter Werbung und Profiling, das Entscheidungen mit erheblichen rechtlichen Auswirkungen erzeugt.

Unternehmen waren außerdem verpflichtet, bis zum 1. Januar 2025 universelle Opt-Out-Signale (einschließlich Global Privacy Control) zu erkennen. Das bedeutet: Wenn der Browser eines Nutzers ein GPC-Signal sendet, muss das Unternehmen es als gültige Opt-Out-Anfrage behandeln, ohne dass der Verbraucher zusätzliche Maßnahmen ergreifen muss.

Sensible Daten und Opt-In-Einwilligung

Die Verarbeitung sensibler Daten nach dem TDPSA erfordert eine Opt-In-Einwilligung vor der Verarbeitung. Das Gesetz definiert sensible Daten als rassische oder ethnische Herkunft, religiöse Überzeugungen, psychische oder physische Gesundheitsdiagnosen, sexuelle Orientierung oder Staatsangehörigkeitsstatus; genetische oder biometrische Daten, die zur eindeutigen Identifizierung einer Person verarbeitet werden; personenbezogene Daten eines bekannten Kindes unter 13 Jahren; und präzise Standortdaten (innerhalb eines Radius von 1.750 Fuß).

Dies ist strenger als die Opt-Out-Standardeinstellung, die für die meisten personenbezogenen Daten nach dem Gesetz gilt, und erfordert einen aktiven Einwilligungsmechanismus, bevor mit der Verarbeitung sensibler Daten begonnen wird.

Datenschutz-Folgenabschätzungen

Verantwortliche müssen Datenschutz-Folgenabschätzungen durchführen, bevor sie Verarbeitungstätigkeiten mit erhöhtem Risiko aufnehmen, einschließlich:

• Zielgerichtete Werbung
• Verkauf personenbezogener Daten
• Verarbeitung sensibler Daten
• Profiling, bei dem ein vernünftigerweise vorhersehbares Risiko eines Schadens für Verbraucher besteht
• Jede andere Verarbeitung, die ein erhöhtes Schadensrisiko für Verbraucher darstellt

Diese Bewertungen müssen nicht veröffentlicht werden, müssen aber dem texanischen Generalstaatsanwalt auf Anfrage zur Verfügung gestellt werden. Es gibt kein vorgeschriebenes Format, aber die Bewertung sollte den Zweck der Verarbeitung, die Abwägung von Nutzen und Risiken sowie vorhandene Schutzmaßnahmen dokumentieren.

Cookies und Tracking nach dem TDPSA

Cookies und Tracking-Technologien, die personenbezogene Daten erheben, fallen in den Anwendungsbereich des TDPSA, wenn sie für zielgerichtete Werbung oder den Datenverkauf verwendet werden. IP-Adressen, Gerätekennungen, Surfverhalten und Standortdaten können nach dem Gesetz personenbezogene Daten darstellen.

Unternehmen, die auf Werbetechnologie von Drittanbietern setzen, sollten prüfen, welche Anbieter personenbezogene Daten erhalten, und sicherstellen, dass die Opt-Out-Mechanismen sich auf diese Datenflüsse erstrecken, nicht nur auf die Erstanbieter-Erhebung. Für jede zielgerichtete Werbeaktivität ist wahrscheinlich eine Datenschutz-Folgenabschätzung erforderlich.

Verwenden Sie den UniConsent Cookie Consent Manager, um Opt-Out-Präferenzen und die Erkennung universeller Opt-Out-Signale für Ihre Zielgruppe in Texas zu verwalten.

Wie UniConsent die TDPSA-Compliance unterstützt

UniConsent bietet die Einwilligungs- und Präferenzverwaltungsinfrastruktur, die Unternehmen benötigen, um die TDPSA-Anforderungen zu erfüllen:

• Opt-Out- und Opt-In-Einwilligungsbanner, die nach Rechtsgebiet konfigurierbar sind
• Erkennung von Global Privacy Control (GPC)-Signalen
• Verwaltung von Verbraucher-Datenrechtsanfragen (Auskunft, Berichtigung, Löschung, Übertragbarkeit)
• Unterstützung und Dokumentation von Datenschutz-Folgenabschätzungen
• Integration mit Websites, mobilen Apps und Tag-Managern

Entdecken Sie die Compliance-Tools von UniConsent oder starten Sie mit einem kostenlosen Konto.