US-Bundesstaat Maryland erlässt Datenschutzgesetz

Am 9. Mai 2024 hat der der Gouverneur von Maryland (Wes Moore) den Maryland Online Data Privacy Act (MODPA) unterzeichnet. Trotz seines Namens erstreckt sich der Anwendungsbereich des Gesetzes nicht nur auf Online-Daten, sondern auf alle personenbezogenen Daten, die auf jede Art und Weise erhoben werden. Der MODPA tritt am 1. Oktober 2025 in Kraft.

In den Anwendungsbereich des MODPA fallen Unternehmen beziehungsweise sogenannte controller (Verarbeiter), die in Maryland geschäftlich tätig sind (conduct business in Maryland) oder Produkte für die Einwohner von Maryland herstellen oder ihnen Dienstleistungen anbieten (provide products or services that are targeted to Maryland residents) und dabei innerhalb eines Kalenderjahres:

• die personenbezogenen Daten von 35.000 Verbrauchern kontrolliert oder verarbeitet haben; oder
• die personenbezogenen Daten von 10.000 Verbrauchern kontrolliert oder verarbeitet haben und mehr als 25 Prozent ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt haben.

Im Gegensatz zu anderen Datenschutzgesetzen in den US-Bundesstaaten hat der MODPA eine niedrige Anwendbarkeitsschwelle. 

Als Verbraucher (consumer) im Sinne des Gesetzes gelten natürliche Personen mit Wohnsitz in Maryland, die im eigenen Namen handeln und nicht in einem kommerziellen oder beruflichen Kontext.

Personenbezogene Daten (personal data) im Sinne des MODPA sind alle Informationen, die einer identifizierbaren Person zugeordnet werden können, ausgenommen sind öffentlich zugängliche Informationen.

Der MODPA räumt den Verbrauchern unter anderem ein Recht auf Löschung und Korrektur ihrer personenbezogenen Daten ein. Ein Unternehmen (beziehungsweise ein controller) muss innerhalb von 45 Tagen auf eine etwaige Anfrage eines Verbrauchers reagieren. Diese Frist kann angesichts der Komplexität der Anfrage und Anzahl der Verbraucheranfragen unter Umständen um weitere 45 Tage verlängert werden.

Die Befugnis zur Durchsetzung des MODPA obliegt dem Generalstaatsanwalt von Maryland (Maryland Attorney General). Bis zum 1. April 2027 kann der Generalstaatsanwalt Unternehmen über einen etwaigen Verstoß informieren und ihnen 60 Tage Zeit geben, den Verstoß zu beheben. Verstöße können unter anderem eine Geldstrafen von bis zu 10.000 US-Dollar pro Verstoß zur Folge haben.

Zum Thema:

• GTAI-Textsammlung Datenschutz in den US-Bundesstaaten
• GTAI-Rechtsbericht US-Bundesstaat Nebraska erlässt Datenschutzgesetz