US-Privacy

Wir haben bereits mehr als 25.000 Websites bei der Einhaltung der DSGVO, TTDSG & ePrivacy geholfen

Zu unseren Kunden gehören einige der größten Webseiten und bekanntesten Marken weltweit.

… und viele mehr.

NOTWENDIGKEIT US-PRIVACY-KONFORMITÄT

… aber ich verarbeite doch gar keine Daten!?

Eine Antwort, die wir von US-Kunden sehr häufig hören, ist, dass diese doch eigentlich gar keine Daten verarbeiten und daher die Datenschutzgesetze nicht auf sie zutreffen.

• Wichtig hier ist zu beachten, dass Webseiten- und App-Betreiber dafür verantwortlich sind, was auf ihrer Webseite bzw. in ihrer App an Daten verarbeitet wird. Daher gelten die Datenschutzgesetze insbesondere auch dann für Unternehmen, wenn diese eine der folgenden Bedingungen erfüllen:

• 1. Werden Daten für eigene Zwecke verarbeitet, etwa via Tracking-Tools wie Google Analytics, Matomo, Hotjar oder ähnlichem

• 2. Das Teilen von Daten mit Dritten, ist ebenfalls ein Verarbeitungsschritt. Daten werden etwa dadurch geteilt, dass ein Plugin von Dritten in die Webseite oder App eingebunden ist. Das betrifft etwa YouTube-Videos, Facebook-Plugins, Google Maps, Chat-Programme oder auch Zahlungsanbieter wie PayPal

• 3. Immer dann, wenn Werbung in die Webseite oder App eingebunden wird, werden dem Werbetreibenden automatisch Daten übermittelt. Die Übermittlung wird als ein Schritt der Datenverarbeitung verstanden.

• Während sich die Bundesstaaten ein wenig darin unterscheiden, wann eine Zustimmung zur Datenverarbeitung gegeben werden muss, besteht quasi bei allen Datenschutzgesetzen eine Pflicht den Opt-Out zu ermöglichen. Im Fall von CCPA/CPRA muss dies u.a. explizit durch einen Link mit der Aufschrift „Do not sell or share my personal information“ umgesetzt werden.

Der neue Standard IAB GPP

Mit neuen Standards die Webseite sicher machen: IAB GPP

Um den Opt-In bzw Opt-Out innerhalb der Webseite oder App transparent an alle eingebundenen Tools, Plugins und Werbeanbieter zu signalisieren, wurde vom IAB der sogenannte IAB GPP Standard entwickelt.

• GPP steht für Global Privacy Platform und definiert diverse Methoden und Schnittstellen wie ein CMP (Consent Management Provider, auch bekannt als „Cookie Banner“ oder „Privacy Notice“) die Zustimmung/Opt-In bzw. die Ablehnung/Opt-Out erfassen und kommunizieren kann. Der Standard basiert zu großen Teilen auf dem IAB TCF Standard, der in Europa bereits seit Jahren erfolgreich eingesetzt wird und zum Muss für Publisher und Advertiser geworden ist.
• Das Team von consentmanager wahr maßgeblich an der Entwicklung des GPP Standards beteiligt, und so ist es nicht verwunderlich, dass consentmanager als erster Anbieter den produktiven Einsatz von IAB GPP anbietet.
  Mehr zu GPP finden Sie auch in unserem Blog.
• Wichtig: Die meisten Datenschutzgesetze erfordern zudem, dass Webseitenbetreiber und App-Betreiber auf „Browsersignale“ reagieren können. Eines dieser Signale ist etwa das in Kalifornien nötige GPC oder „Global Privacy Control“. Mit consentmanager brauchen sich Webseiten und Apps darüber um Glück keine Gedanken machen: Die consentmanager Lösung reagiert automatisch auf die Browsersignale und setzt den Opt-Out automatisch um.
• Jetzt GPP und GPC einsetzen

Warum jetzt konform für US-Datenschutzgesetze werden?

Zahlen Sie nur was Sie nutzen

Unser flexibles Preismodell

Das consentmanager CMP ist günstig und mit einem flexiblen Modell erhältlich: Sie zahlen nur für das, was Sie nutzen!

Überblick:

Wann wurden die Datenschutzgesetze in den USA in Kraft gesetzt?

Das sind die wichtigen US-Privacy-Normen

Welche Datenschutzgesetze gibt es in den USA?

Unternehmen, die in den USA ansässig sind, dort Geschäfte machen oder Dienstleistungen erbringen oder anderweitig mit US-Bürgern zu tun haben, fallen höchstwahrscheinlich unter eines der zahlreichen Gesetze zum Datenschutz.

• Anders als in vielen anderen Ländern, sind in den USA die Datenschutzgesetze auf Bundesstaaten-Ebene geregelt – solange, bis es ein nationales Datenschutzgesetz gibt. Unternehmen sollten daher prüfen ob oder welche Bundesgesetze auf sie zutreffen. Im Einzelnen könnten diese sein:

• CCPA / CPRA – Kalifornien

  CCPA steht für California Consumer Privacy Act und wurde bereits im Jahr 2019 erlassen. Es gilt insbesondere in Kalifornien bzw. in Bezug auf kalifornische Bürger. Das „Update“ zu CCPA ist CPRA oder California Privacy Rights Act. Unter CPRA werden einige Regelungen konkretisiert und verschärft.

• VCDPA – Virginia

  VCDPA steht für Virginia Consumer Data Protection Act und bezieht sich auf Firmen, die Geschäfte im Bundesstaat Virginia machen oder sich an Bürger aus diesem Bundesstaat wenden. Das VCDPA ist am 1. Januar 2023 in Kraft getreten.

• CPA – Colorado

  CPA oder Colorado Privacy Act ist das Datenschutzgesetz des Bundesstaates Colorado. Dieses Gesetz trat am 1. Juli 2023 in Kraft und muss von Unternehmen umgesetzt werden, die in Colorado ansässig sind oder Daten von Einwohnern des Bundesstaates verarbeiten. Das Gesetz stellt eine Anforderung an Websites, den universellen Opt-Out-Mechanismus, der verlangt, dass Websites ihren Nutzern einen Single Opt-Out-Button für die von der Website genutzten Marketing- und Analytics-Dienste zur Verfügung stellen.

• UCPA – Utah

  Das US-Datenschutzgesetz für den Bundesstaat Utah im Westen der USA heißt UCPA oder Utah Consumer Privacy Act. Im Gegensatz zu den beiden vorgenannten Gesetzen tritt der UCPA erst am 31. Dezember 2023 in Kraft. Auch dieses Gesetz betrifft alle Unternehmen, die eine bestimmte Menge an Daten (hier 100.000 pro Jahr) von Bürgern des Bundesstaates verarbeiten.

• CAPDP – Connecticut

  CTDPA steht für Connecticut Data Privacy Act (auch bekannt als Connecticut Act Concerning Personal Data Privacy and Online Monitoring) und ist das Bundesgesetz zum Datenschutz im Bundesstaat Connecticut. Das Gesetz trat am 1. Juli 2023 in Kraft und betrifft Unternehmen, die ihren Sitz im Bundesstaat Connecticut haben, dort geschäftlich tätig sind oder Daten von Einwohnern des Staates verarbeiten.

• TDPSA – Texas

  Der Texas Data Privacy and Security Act (TDPSA), der am 1. Juli 2024 in Kraft treten wird, gilt für Unternehmen, die in Texas tätig sind oder Dienstleistungen für Einwohner von Texas erbringen.

• OCDPA – Oregon

  Der Oregon Consumer Data Privacy Act (OCDPA), der am 1. Juli 2024 in Kraft tritt, gilt für Unternehmen, die in diesem Bundesstaat tätig sind oder Dienstleistungen für dessen Einwohner erbringen. Sie enthält DSGVO-ähnliche Rollen für die für die Datenverarbeitung Verantwortlichen und die Auftragsverarbeiter, schreibt detaillierte Datenschutzhinweise vor und verlangt Datenschutzbewertungen für risikoreiche Aktivitäten.

• MTCDPA – Montana

  Der Montana Consumer Data Privacy Act (MTCDPA), der am 1. Oktober 2024 in Kraft tritt, gilt für Unternehmen, die in Montana Geschäfte tätigen oder Montana-Bürger ansprechen und legt Schwellenwerte für die Anwendbarkeit fest, die auf der Menge der verarbeiteten personenbezogenen Daten und den mit dem Verkauf von personenbezogenen Daten erzielten Einnahmen basieren, wobei bestimmte Unternehmen und Datenarten ausgenommen sind.

• CDPA – Iowa

  Das Iowa Consumer Data Protection Act, gültig ab dem 1. Januar 2025, richtet sich an Datenverantwortliche und Datenverarbeiter, die beträchtliche Mengen an persönlichen Informationen von Einwohnern Iowas verarbeiten oder erhebliche Einnahmen aus dem Verkauf solcher Informationen erzielen.

• DPDPA – Delaware

  Das Delaware Personal Data Privacy Act, gültig ab dem 1. Januar 2025, etabliert Delawares Position zum Schutz von Verbraucherdaten, im Einklang mit allgemeinen Trends in den USA, zeichnet sich jedoch dadurch aus, dass die meisten gemeinnützigen Organisationen und Hochschulen nicht ausgenommen sind.

• TIPA – Tennessee

  Das Tennessee Information Protection Act (TIPA), das am 1. Juli 2025 in Kraft tritt, legt strenge Kriterien fest, wie Unternehmen mit den persönlichen Informationen von Bewohnern Tennessees umgehen müssen. Das TIPA legt restriktive Schwellenwerte für die Anwendbarkeit fest, die auf dem Umsatz und dem Umfang der Datenverarbeitung basieren, und definiert detaillierte Verbraucherrechte, einschließlich Zugang, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch gegen bestimmte Datenverwendungen.

• CDPA – Indiana

  Das Indiana Datenschutzgesetz, gültig ab dem 1. Januar 2026, richtet sich sowohl an „Datenverantwortliche“ als auch „Datenverarbeiter“, die in Indiana tätig sind oder Indiana-Bürger ansprechen. Das Gesetz legt bestimmte Schwellenwerte für die Anwendbarkeit fest und nimmt verschiedene Einrichtungen wie Regierungsbehörden und vom HIPAA abgedeckte Einrichtungen aus.