Vierter US-Bundesstaat verabschiedet Datenschutzgesetz

Der Utah Consumer Privacy Act (UCPA) ist am 25. Februar 2022 einstimmig vom Senat von Utah und am 2. März 2022 einstimmig vom Utah House verabschiedet worden. Die endgültige Fassung wartet auf die Unterschrift von Gouverneur Spencer Cox. Sofern dieser den UCPA unterzeichnet, tritt der UCPA am 31. Dezember 2023 in Kraft. Damit wäre Utah der vierte US-Bundesstaat nach Kalifornien, Virginia und Colorado, der ein umfassendes Datenschutzgesetz hat.

Wer fällt in den Anwendungsbereich des UCPA?

Der UCPA gilt für Verantwortliche (controller) oder Auftragsverarbeiter (processor), die im Bundesstaat Utah geschäftlich tätig sind oder ein Produkt oder eine Dienstleistung für die Verbraucher (consumer) in Utah herstellen und einen Jahresumsatz von 25 Millionen US-Dollar (US$) oder mehr haben; und entweder a) personenbezogene Daten von 100.000 oder mehr Verbraucher während eines Kalenderjahres kontrollieren oder verarbeiten; oder b) mehr als 50 Prozent der Bruttoeinnahmen des Unternehmens aus dem Verkauf personenbezogener Daten erzielen und personenbezogene Daten von 25.000 oder mehr Verbraucher kontrollieren oder verarbeiten.

Verbraucher (consumer) im Sinne des UCPA ist eine Person mit Wohnsitz in Utah, die in einem Einzel- oder Haushaltskontext (acting in an individual or household context) handelt. Nicht umfasst sind Personen, die in einem Beschäftigungs- oder gewerblichen Kontext (an individual acting in an employment or commercial context) handeln. Verantwortlicher (controller) im Sinne des UCPA ist eine in Utah geschäftlich tätige Person (a person doing business), die die Zwecke bestimmt, für die und mit welchen Mitteln personenbezogene Daten verarbeitet werden (who determines the purposes for which and the means by which personal data are processed), unabhängig davon, ob die Person die Festlegung allein oder mit anderen trifft. Verarbeiter (processor) ist eine Person, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.

Welche Datenschutzrechte stehen den Verbrauchern zu?

Die Datenschutzrechte, die den Verbraucher in Utah nach dem UCPA gewährt werden, sind den geltenden drei Datenschutzgesetzen sehr ähnlich. Die Verbraucher haben unter anderem ein Auskunftsrecht (right to access) und ein Recht auf Löschung (right of deletion). Den Verbraucher von Utah steht aber zum Beispiel kein Recht auf Berichtigung der Daten (right to correction) zu. Darüber hinaus müssen Unternehmen in Utah keine Risikobewertungen zu ihren internen Datenverarbeitungspraktiken durchführen und dokumentieren. Außerdem wird Utah von Unternehmen nicht verlangen, vor der Verarbeitung von Verbraucherdaten Zustimmungsmechanismen einzurichten, solange den Verbrauchern „ein klarer Hinweis und die Möglichkeit gegeben werden, der Verarbeitung zu widersprechen“ (with clear notice and an opportunity to opt out of the processing).

Bußgelder

Wie der Virginia Data Privacy Act und der Colorado Privacy Act enthält der UCPA kein Privatklagerecht (private right of action), es obliegt dem Attorney General einen etwaigen Schadensersatz von bis zu 7.500 US$ pro Verstoß geltend zu machen. Hinsichtlich dessen, hat der Attorney General eine 30-tätige Frist einzuhalten, in deren Rahmen das Unternehmen etwaige Verstöße beheben kann.  

Zum Thema:

• GTAI-Länderbericht: Recht kompakt USA
• GTAI-Rechtsbericht: Entwicklungen im US-Datenschutzrecht im Jahr 2021