Zusammenfassung des Colorado Privacy Act

Der Colorado Privacy Act („CPA“) wurde im Juli 2021 verabschiedet. Colorado folgt damit dem Weg, den Kalifornien und Virginia mit den ersten beiden umfassenden Datenschutzgesetzen für personenbezogene Daten in den Vereinigten Staaten geebnet haben. Der CPA tritt am 1. Juli 2023 in Kraft; der vollständige Text des CPA ist hier verfügbar.

Für wen gilt der Colorado Privacy Act?

Der CPA gilt für Unternehmen, die Produkte oder Dienstleistungen an Einwohner Colorados richten und die entweder:

• in einem Kalenderjahr die personenbezogenen Daten von mindestens 100.000 Verbrauchern in Colorado kontrollieren oder verarbeiten; oder
• die personenbezogenen Daten von mindestens 25.000 Verbrauchern in Colorado kontrollieren oder verarbeiten und dabei Einnahmen aus dem Verkauf personenbezogener Daten erzielen

Der CPA gilt auch für gemeinnützige Organisationen, jedoch nicht für staatliche Stellen einschließlich Schulen.

Zentrale Begriffe des CPA

Ein Großteil der Terminologie des CPA ist der DSGVO entlehnt, darunter:

• „Verbraucher“ bezeichnet Einwohner Colorados; anders als die CCPA schließt der CPA Beschäftigte und Stellenbewerber aus.
• „Verantwortlicher“ bezeichnet jede Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
• „Personenbezogene Daten“ bezeichnet alle Informationen, die mit einer identifizierten oder identifizierbaren Person verknüpft sind oder vernünftigerweise verknüpft werden können. Ähnlich wie bei der DSGVO und anders als bei der kalifornischen CCPA bezieht sich die Definition des CPA nur auf Einzelpersonen und schließt „Haushalte“ aus. Ebenfalls ausgenommen sind Daten, die de-identifiziert oder öffentlich verfügbar sind (d. h. aus behördlichen Registern stammen oder bei denen der Verantwortliche vernünftigerweise annimmt, dass der Verbraucher sie der Allgemeinheit zugänglich gemacht hat).
• „Auftragsverarbeiter“ bezeichnet jede Person, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.
• „Verkauf personenbezogener Daten“ bezeichnet den Austausch personenbezogener Daten durch einen Verantwortlichen mit einem Dritten gegen Geld oder eine andere geldwerte Gegenleistung. Ausgenommen sind Offenlegungen: (1) an einen Auftragsverarbeiter; (2) an einen Dritten, um ein vom Verbraucher angefordertes Produkt oder eine angeforderte Dienstleistung bereitzustellen; (3) an ein verbundenes Unternehmen des Verantwortlichen; (4) im Rahmen einer Fusion, Übernahme, Insolvenz oder sonstigen Transaktion, die das Vermögen des Verantwortlichen ganz oder teilweise betrifft; (5) auf Anweisung des Verbrauchers, auch durch eine bewusste Interaktion mit einem Dritten; sowie von Daten, die der Verbraucher bewusst über Massenmedien der Allgemeinheit zugänglich gemacht hat.
• „Sensible Daten“ bezeichnet: (1) Daten, aus denen die rassische oder ethnische Herkunft, religiöse Überzeugungen, die psychische oder körperliche Gesundheit, das Sexualleben, die sexuelle Orientierung oder die Staatsangehörigkeit hervorgehen; (2) genetische oder biometrische Daten, die zur eindeutigen Identifizierung einer Person verwendet werden, und (3) Daten über ein bekanntermaßen unter 13 Jahre altes Kind.

Bevor ein Verantwortlicher einen Auftragsverarbeiter beauftragt, muss er mit diesem einen Vertrag schließen, der dem Auftragsverarbeiter die unten beschriebenen Pflichten auferlegt. Wichtig: Solche Verträge können weder den Verantwortlichen noch den Auftragsverarbeiter von der Haftung für Verstöße gegen den CPA befreien.

Pflichten von Auftragsverarbeitern nach dem CPA

Der CPA erlegt Auftragsverarbeitern grundsätzlich weniger Pflichten auf als Verantwortlichen. Zu den wichtigsten gehört, dass Auftragsverarbeiter:

die Weisungen ihrer Verantwortlichen befolgen und sie bei der Erfüllung ihrer Pflichten nach dem CPA unterstützen müssen.

• Geeignete technische und organisatorische Maßnahmen ergreifen, um Verantwortliche bei der Beantwortung von Datenschutzanfragen der Verbraucher zu unterstützen
• Verantwortliche über Sicherheitsverletzungen informieren;
• Sicherstellen, dass jede Person, die die personenbezogenen Daten verarbeitet, einer Vertraulichkeitspflicht unterliegt;
• Verantwortliche vor der Beauftragung eines Unterauftragsverarbeiters informieren und ihnen Gelegenheit zum Widerspruch geben sowie jedem Unterauftragsverarbeiter die Anforderungen des CPA an Auftragsverarbeiter auferlegen.

Pflichten von Verantwortlichen nach dem CPA

Der CPA erlegt Verantwortlichen eine Reihe von Pflichten auf, die denen der DSGVO und der CCPA ähneln:

• Transparenzpflicht: Eine gut zugängliche, klare und aussagekräftige Datenschutzerklärung, die Folgendes enthält:

  • Die Kategorien personenbezogener Daten, die der Verantwortliche oder seine Auftragsverarbeiter erheben oder verarbeiten;
  • Die Zwecke der Datenverarbeitung. Werden Daten für zielgerichtete Werbung verarbeitet oder verkauft, muss der Verantwortliche dies deutlich offenlegen und einen Opt-out-Mechanismus bereitstellen;
  • Wie Verbraucher ihre Rechte ausüben und Entscheidungen des Verantwortlichen anfechten können;
  • Die Kategorien personenbezogener Daten, die an Dritte weitergegeben werden;
  • Die Kategorien von Dritten, an die Daten weitergegeben werden.

• Pflicht zur Zweckbestimmung: Angabe der ausdrücklichen Zwecke, für die personenbezogene Daten erhoben und verarbeitet werden (dies scheint bereits in der Transparenzpflicht aufzugehen).

• Pflicht zur Datenminimierung: Die Datenerhebung muss angemessen, relevant und für die festgelegten Verarbeitungszwecke vernünftigerweise erforderlich sein. Interessanterweise deutet das Kriterium „angemessen“ darauf hin, dass Verantwortliche unter Umständen eine Mindestmenge an Daten erheben müssen, um ihren Zweck zu erfüllen. Das widerspricht dem Gedanken der „Minimierung“ geradezu.

• Pflicht zur Vermeidung von Zweckänderungen: Die Verarbeitung darf nur Zwecke umfassen, die für die bei der Datenerhebung festgelegten Zwecke vernünftigerweise erforderlich oder mit ihnen vereinbar sind. Davon kann mit einer nach der Erhebung eingeholten Einwilligung des Verbrauchers abgewichen werden. Im Kern wird der CPA damit für neue oder unvorhergesehene Zwecke zu einem Opt-in- statt einem Opt-out-Gesetz.

• Sorgfaltspflicht: Verantwortliche müssen angemessene Maßnahmen ergreifen, um personenbezogene Daten bei Speicherung und Nutzung zu schützen, die dem Umfang, der Reichweite und der Art der verarbeiteten personenbezogenen Daten entsprechen.

• Pflicht zur Vermeidung rechtswidriger Diskriminierung: Verantwortliche dürfen personenbezogene Daten nicht unter Verstoß gegen bundesstaatliche oder bundesweite Antidiskriminierungsgesetze verarbeiten. Das bedeutet, dass Verantwortliche für dasselbe diskriminierende Verhalten sowohl nach dem eigentlichen Antidiskriminierungsgesetz als auch nach dem CPA haften können.

• Pflichten bei sensiblen Daten: Für die Verarbeitung sensibler Daten müssen Verantwortliche eine Opt-in-Einwilligung einholen; bei Daten von Kindern muss diese von einem Elternteil stammen. (Alle Daten über ein Kind unter 13 Jahren gelten als sensibel.) Jede nach dem CPA erforderliche Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt werden.

• Datenschutz-Folgenabschätzungen: Verantwortliche müssen vor jeder Verarbeitung, die ein erhöhtes Schadensrisiko für einen Verbraucher birgt, eine Datenschutz-Folgenabschätzung durchführen. Darin müssen die direkten und indirekten Vorteile der Verarbeitung für den Verantwortlichen, den Verbraucher, andere Beteiligte und die Öffentlichkeit ermittelt und gegen die potenziellen Risiken für die Rechte des Verbrauchers abgewogen werden, unter Berücksichtigung aller Schutzmaßnahmen, die der Verantwortliche zur Risikominderung einsetzt. Der CPA nennt mehrere Beispiele, in denen eine Datenschutz-Folgenabschätzung erforderlich ist, darunter (1) der Verkauf personenbezogener Daten, (2) die Verarbeitung sensibler Daten und (3) Targeting oder Profiling von Verbrauchern, wenn ein vorhersehbares Risiko besteht für: unfaire oder täuschende Behandlung oder rechtswidrige ungleiche Auswirkungen auf Verbraucher; finanzielle oder körperliche Schäden; ein physisches oder sonstiges Eindringen in die Privat- oder Intimsphäre, sofern dies für eine vernünftige Person anstößig wäre; oder sonstige erhebliche Schäden

Datenschutzrechte der Verbraucher nach dem CPA

Neben den oben erläuterten Pflichten sind Verantwortliche auch dafür zuständig, dass Verbraucher ihre Datenschutzrechte nach dem CPA ausüben können:

• Auskunftsrecht: Zu erfahren, ob ein Verantwortlicher personenbezogene Daten verarbeitet, und „Zugang“ zu diesen zu erhalten (Hinweis: Es ist unklar, worin sich das Auskunftsrecht vom unten beschriebenen Recht auf Datenübertragbarkeit unterscheidet).
• Recht auf Berichtigung: Unrichtige personenbezogene Daten des Verbrauchers zu korrigieren.
• Recht auf Löschung: Personenbezogene Daten über den Verbraucher löschen zu lassen. Da das Gesetz für dieses Recht keine Ausnahmen vorsieht, ist zu erwarten, dass Ausnahmen, z. B. zur Einhaltung von Gesetzen und zur Betrugsprävention, Gegenstand von Verordnungen sein werden.
• Recht auf Datenübertragbarkeit: Eine Kopie der eigenen personenbezogenen Daten zu erhalten, soweit technisch möglich in einem leicht nutzbaren Format, das die Übermittlung an eine andere Stelle ermöglicht. Ein Verbraucher kann dieses Recht höchstens zweimal pro Kalenderjahr ausüben.
• Recht auf Opt-out: Der Verarbeitung seiner personenbezogenen Daten zu widersprechen für: (1) zielgerichtete Werbung; (2) den Verkauf personenbezogener Daten; oder (3) Profiling, das zu Entscheidungen mit rechtlichen oder ähnlich erheblichen Auswirkungen für den Verbraucher führt. Ab dem 1. Juli 2024 müssen Verantwortliche Verbrauchern einen universellen Opt-out-Mechanismus bereitstellen, mit dem sie zielgerichteter Werbung und dem Verkauf von Daten widersprechen können. Der Attorney General wird hierzu Verordnungen erlassen. Unklar ist, ob der universelle Opt-out-Mechanismus Unternehmen verpflichten wird, „Do Not Track“-Browsersignale oder einen ähnlichen Mechanismus zu respektieren. Allerdings sieht der CPA vor, dass eine ausdrückliche Einwilligung bzw. ein Opt-in alle über den universellen Opt-out-Mechanismus ausgedrückten Hintergrundeinstellungen übersteuert. Man könnte also argumentieren, dass der universelle Opt-out bereits durch ein Kontrollkästchen zur Zustimmung zu den Nutzungsbedingungen einer Website ausgehebelt wird.
• Recht auf Widerspruch gegen Entscheidungen: Gegen jede Untätigkeit eines Verantwortlichen bei der Umsetzung der Datenschutzentscheidungen des Verbrauchers Einspruch einzulegen. Das Einspruchsverfahren muss einfach und gut erkennbar sein. Wird ein Einspruch abgelehnt, muss der Verantwortliche den Verbraucher über sein Recht informieren, sich wegen des Ergebnisses an den Attorney General zu wenden.

Wie bei der CCPA müssen Verantwortliche nach dem CPA Datenschutzanfragen innerhalb von 45 Tagen nach Eingang erfüllen. Sofern vernünftigerweise erforderlich, können sie diese Frist auf 90 Tage verlängern, indem sie die Verbraucher innerhalb der ursprünglichen 45-Tage-Frist über die Verlängerung informieren. Ebenfalls nicht im Gesetz geregelt sind Anforderungen an die Verifizierung von Datenschutzanfragen vor deren Erfüllung; diese werden voraussichtlich in den Verordnungen des AG festgelegt.

Wie CCPA Toll Free Unternehmen bei der Einhaltung des CPA unterstützt

CCPA Toll Free unterstützt Unternehmen bei der Einhaltung des CPA mit kosteneffizienten, schnell einsetzbaren und automatisierten Workflow-Tools. Zu unseren Enterprise-Funktionen gehören:

• Ein interaktiver Privacy Request Manager für Ihre Verbraucher
• Eine sofort bereitgestellte Toll-Free Number, über die Sie ebenfalls Datenschutzanfragen annehmen
• Tools zur Authentifizierung von Datenschutzanfragen sowie zur Nachverfolgung und zum Nachweis der Compliance
• Ein robustes Sicherheitskonzept mit Verschlüsselung bei der Übertragung und im Ruhezustand, Zwei-Faktor-Authentifizierung, SSO und API-Integrationen

CCPA Toll Free bietet eine kostenlose Testversion ohne Angabe einer Zahlungsmethode. Klicken Sie oben auf Kostenlose Testversion starten, um mehr darüber zu erfahren, wie wir Sie bei der Datenschutz-Compliance nach dem CPA unterstützen können.

Durchsetzung des CPA und Fazit

Der CPA kann nicht nur vom Attorney General von Colorado, sondern auch von jedem District Attorney durchgesetzt werden. Vom Inkrafttreten des CPA im Juli 2023 bis zum 1. Januar 2025 müssen AG oder DA den Verantwortlichen vor Einleitung eines Durchsetzungsverfahrens auf jeden Verstoß gegen den CPA hinweisen und ihm eine 60-tägige Frist zur Abhilfe gewähren.

Der CPA selbst legt keine Bußgelder fest. Da ein Verstoß gegen den CPA jedoch als irreführende Geschäftspraxis im Sinne des Colorado Consumer Protection Act gilt, kann ein Unternehmen folglich mit bis zu 20.000 $ pro Verstoß gegen den CPA belegt werden.

Bis Mitte 2023 bleibt reichlich Zeit, sich auf die Einhaltung des CPA vorzubereiten. Die gute Nachricht: Unternehmen, die bereits Compliance-Programme für DSGVO und CCPA eingeführt haben, sind bestens aufgestellt, um das Gesetz Colorados einzuhalten. Im Kern führt es zu einer weitgehenden Einhaltung des CPA, wenn Sie Einwohnern Colorados alle Rechte nach DSGVO und CCPA gewähren. Auch wenn Einwohner Colorados dadurch einige zusätzliche Rechte erhalten, ist dies der Weg, den viele Unternehmen voraussichtlich einschlagen werden.