VCDPA: Das Verbraucherdatenschutzgesetz von Virginia erklärt

Das Verbraucherdatenschutzgesetz von Virginia (Virginia Consumer Data Protection Act, VCDPA) wurde 2021 in Kraft gesetzt und soll den Verbrauchern einen verbesserten Datenschutz bieten, einschließlich administrativer Regressmöglichkeiten bei Verstößen.

Virginia ist einer von vier US-Bundesstaaten, die ein umfassendes Datenschutzgesetz für ihre Einwohner entwickeln, ähnlich dem kalifornischen Consumer Privacy Act (CCPA) von 2018 und seinem ergänzenden California Privacy Rights and Enforcement Act (CPRA) von 2020. Die beiden anderen Staaten mit Datenschutzgesetzen sind Utah und Colorado.

Obwohl das VCDPA erst am 1. Januar 2023 in Kraft tritt, ist es wichtig, seine zukünftige Anwendbarkeit auf Ihr Unternehmen zu bestimmen, um potenziell kostspielige Strafen zu vermeiden.

Lesen Sie weiter, um mehr über das VCDPA zu erfahren und was Sie tun müssen, um es einzuhalten. Wir gehen insbesondere darauf ein, wie Verbraucher betroffen sind, wer die Vorschriften einhalten muss, wie Unternehmen sie einhalten können und wie das Gesetz durchgesetzt wird.

Was ist das Virginia Consumer Data Protection Act (VCDPA)?

Das VCDPA ist ein Datenschutzgesetz des Bundesstaates Virginia, das den Verbrauchern mehr Kontrolle über die von Unternehmen über sie gesammelten personenbezogenen Daten gibt und den Unternehmen Leitlinien für die Umsetzung verbesserter Datenschutzmaßnahmen an die Hand gibt. Es ist derzeit eines der vier US-Datenschutzgesetze, die verabschiedet wurden.

Das VCDPA regelt, wie Unternehmen mit personenbezogenen Daten umgehen dürfen, die mit einer identifizierten oder identifizierbaren natürlichen Person, die in Virginia ansässig ist, verknüpft sind oder vernünftigerweise verknüpft werden können.

Den Verbrauchern gewährt das VCDPA spezifische Rechte in Bezug auf die Verwendung ihrer persönlich verknüpfbaren Daten. Dazu gehört das Recht auf:

• Zugang zu ihren persönlichen Daten
• Persönliche Daten korrigieren
• Antrag auf Löschung durch Unternehmen
• Erhalten Sie eine Kopie der persönlichen Daten
• Widerspruch gegen die Verarbeitung personenbezogener Daten
• Abmeldung von gezielter Werbung und Verkauf
• Nicht-Diskriminierung bei der Ausübung von Rechten
• Eine Beschwerde über Rechtsverletzungen einreichen

Was sind die Anforderungen des VCDPA?

Die Anforderungen des VCDPA beziehen sich speziell auf die Art und Weise, wie Ihr Unternehmen die persönlichen Informationen und Daten von Verbrauchern sammelt und verarbeitet.

Um die Anforderungen des VCPDA zu erfüllen, muss Ihr Unternehmen alle verfügbaren Verbraucherrechte in klarer und verständlicher Form darstellen und erläutern. Darüber hinaus muss Ihr Unternehmen ein Verfahren für die Kommunikation mit den Verbrauchern einrichten, bei Bedarf die Zustimmung der Verbraucher einholen und völlig transparent sein, wie Sie die personenbezogenen Daten der Verbraucher weitergeben und verkaufen.

Diese neuen Vorschriften legen fest, wie Ihr Unternehmen die von Ihnen gesammelten Verbraucherdaten und personenbezogenen Informationen erhalten, offenlegen, nutzen, weitergeben, speichern, verkaufen, verarbeiten oder kontrollieren darf. Außerdem müssen die Unternehmen Datenschutzprüfungen im Zusammenhang mit der Verarbeitung personenbezogener Daten für gezielte Werbung und andere Verkaufszwecke durchführen.

Anforderungen der Verbraucher

Um die Schwellenwertanforderungen des VCDPA zu erfüllen, müssen Sie in Virginia geschäftlich tätig sein oder Produkte oder Dienstleistungen herstellen, die sich an Einwohner Virginias richten - dies kann eine große Anzahl von Unternehmen betreffen.

Wenn sich Ihre globale Website beispielsweise an Verbraucher in den gesamten Vereinigten Staaten richtet, würde dies auch die Einwohner von Virginia einschließen. Sie sollten das VCDPA auch einhalten, wenn sich Ihre in der EU ansässige Website an Verbraucher in der EU, im Vereinigten Königreich und in den USA richtet, selbst wenn Sie im Vergleich zu den Nutzern in der EU und im Vereinigten Königreich relativ wenige US-Nutzer haben.

Die übrigen Anforderungen beziehen sich auf die Anzahl der Verbraucher, die während eines Kalenderjahres von Ihren Geschäftspraktiken betroffen sind, und darauf, ob Sie diese auch erfüllen:

• Kontrolle oder Verarbeitung der personenbezogenen Daten von mindestens 100.000 Verbrauchern
• Sie kontrollieren oder verarbeiten die personenbezogenen Daten von 25.000 Verbrauchern und erzielen mehr als 50 % Ihrer Bruttoeinnahmen aus dem Verkauf von personenbezogenen Daten

Personenbezogene Daten definiert

Personenbezogene Daten sind nach dem VCDPA definiert als alle Informationen, die mit einer bestimmten oder bestimmbaren natürlichen Person verknüpft sind oder vernünftigerweise verknüpft werden können.

Die Definition der zu schützenden personenbezogenen Daten im VCDPA umfasst:

• Namen
• Adressen
• Sozialversicherungsnummern
• Führerschein
• Genaue Geolokalisierungsdaten

Zu den sensiblen persönlichen Informationen gehören:

• Rasse oder ethnische Herkunft
• Religiöse oder politische Überzeugungen
• Genetische oder biometrische Daten
• Staatsangehörigkeit oder Einwanderungsstatus
• Sexuelle Orientierung
• Von bekannten Kindern gesammelte Daten

Politik zum Datenschutz

Die Datenschutzpolitik beginnt in der Regel mit der Tatsache, dass Daten gesammelt werden, gefolgt von einer ausführlichen Erläuterung der Arten von Daten, die ein Unternehmen sammeln darf, und dem Recht des Verbrauchers auf Zugang und Kontrolle dieser Daten.

Das VCDPA verlangt, dass Sie die folgenden Informationen in einem klaren, leicht zugänglichen und aussagekräftigen Datenschutzhinweis unterbringen:

• Der Zweck der Verarbeitung personenbezogener Daten
• Kategorien der verarbeiteten Daten
• Kategorien von Daten, die an Dritte weitergegeben werden
• Kategorien von Daten, die an Dritte verkauft werden
• Offenlegung der Kategorien von Dritten selbst
• Erläutert, wie Verbraucheranträge gestellt werden können
• Bietet einen Mechanismus zur Anfechtung von Entscheidungen im Zusammenhang mit Verbraucheranträgen
• die Verarbeitung personenbezogener Daten für gezielte Werbung deutlich offenlegt
• Recht auf Ablehnung der Verarbeitung von Daten

Zustimmung

Das VCDPA verlangt von den Unternehmen, dass sie die ausdrückliche und bestätigende Zustimmung der Verbraucher einholen, die damit ihr informiertes und eindeutiges Einverständnis mit der Verarbeitung ihrer personenbezogenen Daten geben.

Unternehmen können eine Einwilligung einholen, indem sie sich von den Verbrauchern zeigen lassen, dass sie mit der Verarbeitung ihrer personenbezogenen Daten einverstanden sind. Dies geschieht in der Regel, indem die Verbraucher aufgefordert werden:

• Ein leeres elektronisches Kontrollkästchen ankreuzen
• Geben Sie eine schriftliche Erklärung ab - z. B. "Ich bin damit einverstanden, dass [Name des Unternehmens] meine personenbezogenen Daten verarbeitet".

Ihr Unternehmen muss beim Umgang mit Kindern Vorsicht walten lassen. Während für die Verarbeitung sensibler Daten eines Verbrauchers ausdrücklich die Zustimmung erforderlich ist, müssen die Informationen eines Kindes dem Bundesgesetz zum Schutz der Privatsphäre von Kindern im Internet (COPPA) entsprechen.

Freiwillige Zustimmung

Personenbezogene Daten können zu jedem beliebigen Zweck erhoben und weitergegeben werden, solange der Verbraucher darüber informiert wird und freiwillig seine Zustimmung gibt.

Mit anderen Worten: Der Verbraucher muss in der Lage sein, die Entscheidung selbst zu treffen. Wenn Sie z. B. ein Kontrollkästchen verwenden, um seine Zustimmung einzuholen, müssen Sie ein leeres Kästchen bereitstellen, das er ankreuzen kann. Ein leeres Kontrollkästchen ermöglicht es dem Verbraucher, sich für Ihre Allgemeinen Geschäftsbedingungen zu entscheiden.

Wenn Sie den Verbrauchern dagegen ein vorgefertigtes Kästchen zum Ankreuzen geben, haben Sie die Entscheidung bereits für sie getroffen.

Aufbewahrung von Aufzeichnungen

Das Verbraucherschutzgesetz von Virginia enthält keine nennenswerten Aufzeichnungspflichten, abgesehen von der Dokumentation von Datenschutzbewertungen. Diese können jedoch mühsam sein, da sie von jedem Unternehmen verlangen, eine Datenschutzbewertung durchzuführen und zu dokumentieren:

• Die Verarbeitung personenbezogener Daten zum Zwecke der gezielten Werbung
• Der Verkauf von personenbezogenen Daten
• Die Verarbeitung personenbezogener Daten zum Zwecke der Profilerstellung
• Die Verarbeitung von sensiblen Daten
• Verarbeitungen personenbezogener Daten, die ein erhöhtes Risiko eines Schadens für die Verbraucher darstellen

Rechtsmittelverfahren

Wenn Sie unter die Parameter des VCDPA fallen, muss Ihr Unternehmen ein Verfahren zur Bearbeitung von Verbraucheranfragen und Einsprüchen gegen Entscheidungen einrichten.

Sie müssen innerhalb von 45 Tagen auf eine beglaubigte Anfrage zu Verbraucherrechten antworten. Wenn der Verbraucher gegen eine Entscheidung Einspruch erheben möchte, muss Ihr gesamtes Einspruchsverfahren innerhalb von 45 Tagen nach Erhalt abgeschlossen sein.

Während dieses Zeitraums ist eine Nachfrist von weiteren 45 Tagen zulässig, wenn dies vernünftigerweise erforderlich ist.

Darüber hinaus muss Ihr Unternehmen einen Mechanismus zur Verfügung stellen, mit dem ein Verbraucher die Generalstaatsanwaltschaft von Virginia kontaktieren kann, um eine Beschwerde einzureichen, wenn sein Antrag auf Einspruch abgelehnt wurde.

Wenn eine Online-Methode nicht verfügbar ist, müssen Sie eine andere Methode zur Kontaktaufnahme mit der Virginia AG angeben.

VCDPA vs. CCPA/CPRA: Gemeinsamkeiten und Unterschiede

Das VA-Verbrauchergesetz wurde im Gefolge der kalifornischen Datenschutzgesetze geschaffen. Mit diesen ersten Gesetzen wurden die strengsten Datenschutzgesetze und digitalen Verbraucherrechte in den Vereinigten Staaten geschaffen. Virginia hat die besten dieser Gesetze in ein umfassendes Datenschutzgesetz von Virginia aufgenommen, das sowohl klar als auch zugänglich ist.

Schauen wir uns die Politik Kaliforniens an.

Kalifornisches Verbraucherschutzgesetz (CCPA)

Am 1. Januar 2020 trat in Kalifornien der California Consumer Privacy Act (CCPA) in Kraft, der Regeln und Vorschriften für den Umgang mit personenbezogenen Daten der Einwohner Kaliforniens festlegt.

Der CCPA konzentriert sich in erster Linie auf Datenschutzgesetze, die verlangen, dass Sie eine Cookie-Richtlinie vorlegen, in der erklärt wird, welche Cookies Sie sammeln und speichern und wie Sie oder Dritte sie verwenden dürfen.

Derzeit müssen Sie die Vorschriften des CCPA einhalten, wenn Ihr Unternehmen einen der folgenden Punkte erfüllt:

• Jährlicher Bruttoumsatz von über 25 Millionen Dollar
• Persönliche Daten von 50.000 oder mehr Einwohnern, Haushalten oder Geräten in Kalifornien kaufen, erhalten oder verkaufen
• mindestens 50 % der Jahreseinnahmen aus dem Verkauf persönlicher Daten von Einwohnern Kaliforniens erzielen

Kalifornisches Gesetz zum Schutz der Privatsphäre (CPRA)

Im November 2020 wurde ein Zusatz zum CCPA in Kraft gesetzt, der dazu dient, die datenschutzrechtlichen Anforderungen in Kalifornien zu ändern.

Das kalifornische Datenschutzgesetz (California Privacy Rights Act, CPRA) ist ein starkes Datenschutzgesetz, das sich auf die Datenschutz- und Informationspflichten aller Websites auswirkt, die an Verbraucher in Kalifornien gerichtet oder für diese zugänglich sein können.

Das CPRA ersetzt das CCPA nicht, sondern ändert es zum Nutzen der Verbraucher, indem es die Verbraucherrechte stärkt und die Anforderungen an die Einhaltung der Vorschriften durch die Unternehmen genau festlegt. Sowohl das VCDPA als auch die Änderungen des CPRA werden am 1. Januar 2023 in Kraft treten.

Für die CPRA werden sich zwei wichtige Anforderungen ändern:

• Anhebung des Schwellenwerts für den Umgang mit personenbezogenen Daten von 50.000 auf 100.000 Einwohner Kaliforniens
• Der Austausch von Informationen wird als geschützte personenbezogene Daten behandelt - und nicht nur als Kauf, Empfang oder Verkauf.

Der VCPDA verlangt auch die Offenlegung der Handhabung und Verwendung von gemeinsam genutzten personenbezogenen Daten.

Eine interessante Ergänzung des CPRA besteht darin, dass alle Daten, die von Unternehmen ab dem 1. Januar 2022 erhoben werden, der Einhaltung des CPRA unterworfen werden. Dieser Zusatz wird als Rückblickfrist bezeichnet, um zu überprüfen, ob personenbezogene Daten ordnungsgemäß verarbeitet wurden. Das VCPDA sieht keine Rückwirkungsfrist vor.

Virginia Verbraucherdatenschutzgesetz (VCDPA)

Nach dem kalifornischen Zusatz und der Erweiterung scheint das VCDPA das Beste von dem zu übernehmen, was diese anderen Gesetze zu bieten haben. Es ist prägnant, klar und verdeutlicht bestimmte Ausnahmen von seinen Vorschriften.

Jährliche Einnahmen

Die Verbraucherschutzgesetze des Bundesstaates Virginia gelten für Ihr Unternehmen, wenn Sie die personenbezogenen Daten von 100.000 Einwohnern des Bundesstaates Virginia verarbeiten oder kontrollieren oder wenn Sie die personenbezogenen Daten von 25.000 Einwohnern des Bundesstaates Virginia verarbeiten oder verwalten und 50 % Ihrer Bruttoeinnahmen aus dem Verkauf von personenbezogenen Daten erzielen.

Was die Jahreseinnahmen und den Umfang der Einhaltung der Vorschriften betrifft, so ist das VCDPA bei den Schwellenwerten näher am CPRA, da es die Anforderungen an die Offenlegung und den Datenschutzhinweis um die gemeinsame Nutzung erweitert hat.

Da die Weitergabe von Informationen so weit verbreitet ist, wird dies zweifellos viele Unternehmen in Virginia betreffen.

Internet-Aktivität

Anders als in Kalifornien werden im Verbraucherdatenschutzgesetz von Virginia keine Geräte zu den geschützten Informationen hinzugefügt, und es ist unklar, ob Internetaktivitäten geschützt sind. Zu diesen Aktivitäten gehören der Online-Browsing-Verlauf, der Suchverlauf und IP-Adressen, die zum Gerät eines Verbrauchers zurückverfolgt und möglicherweise mit seiner Identität verknüpft werden können.

"Seite "Meine Informationen nicht verkaufen/weitergeben

Derzeit schreibt das VCDPA keine Offenlegung vor, die die Verbraucher darüber informiert, dass ihre personenbezogenen Daten verkauft oder weitergegeben werden. Es schreibt jedoch einen Datenschutzhinweis vor, in dem erklärt wird, wie sie der Verarbeitung ihrer personenbezogenen Daten widersprechen und gezielte Werbung und Verkäufe ablehnen können.

Diese Anforderung ist weniger umständlich als die Verpflichtung, auffällige Links auf Ihren Seiten anzubringen.

Nach dem geänderten CPRA müssen Verbraucher informiert werden, wenn Ihr Unternehmen personenbezogene Daten für kontextübergreifende verhaltensbezogene Werbung an Dritte weitergibt oder offenlegt. Es stimmt zwar, dass der VCPDA eine Benachrichtigung und die Möglichkeit zur Ablehnung vorschreibt, aber wenn das CPRA in Kraft tritt, wird ein ausdrücklicher und auffälliger Link mit der Aufschrift "Meine persönlichen Daten nicht weitergeben" und ein weiterer mit dem Titel "Die Verwendung meiner sensiblen persönlichen Daten einschränken" erforderlich sein.

Wenn Ihr Unternehmen personenbezogene Daten von Einwohnern Kaliforniens verarbeitet, können Sie neben anderen Schwellenwerten auch diesen Gesetzen unterliegen.

Vollstreckung

Wie die kalifornischen Datenschutzgesetze verleiht auch das Datenschutzgesetz von Virginia dem Büro des Generalstaatsanwalts Durchsetzungsbefugnisse in seinem Bundesstaat.

Die CPRA-Änderung des CCPA stärkt die Durchsetzungsbefugnis durch die Einrichtung einer neuen Regierungsbehörde zur Durchsetzung der Datenschutzgesetze, der California Privacy Protection Agency (CPPA).

In Virginia gibt es keine gesonderte Stelle für die Bearbeitung und Durchsetzung von Verbraucherbeschwerden.

Im Gegensatz zum CCPA besagt das VCDPA außerdem ausdrücklich, dass Verbraucher kein privates Klagerecht wie beim CCPA haben, um Unternehmen wegen angeblicher Verstöße zu verklagen. Stattdessen müssen sie die Durchsetzung über die Generalstaatsanwaltschaft beantragen.

Welche Auswirkungen hat das VCDPA auf die Verbraucher?

Das VCDPA gibt den Verbrauchern die Möglichkeit, die persönlichen Informationen und Daten zu schützen, die sie mit Unternehmen teilen. Allerdings sind nur bestimmte Kategorien von Verbrauchern davon betroffen.

Ein nach dem VCDPA geschützter Verbraucher ist definiert als eine natürliche Person, die ihren Wohnsitz im Commonwealth of Virginia hat und nur als Einzelperson oder im Haushalt handelt.

Diese Definition bedeutet, dass sich die Verpflichtungen, die das VCDPA den Unternehmen auferlegt, nicht auf Personen erstrecken, die in einem gewerblichen oder arbeitsrechtlichen Kontext handeln.

Personenbezogene Daten werden auch kategorisiert, wobei personenbezogene Daten aus allen Informationen bestehen, die mit einer identifizierten oder identifizierbaren natürlichen Person verknüpft sind oder vernünftigerweise verknüpft werden können. Dies schließt keine Daten ein, die zuvor de-identifiziert wurden, oder Informationen, die bereits öffentlich zugänglich sind.

Welche Auswirkungen hat das VCDPA auf die Unternehmen?

Das VCPDA verlangt von den Unternehmen mehr Transparenz im Umgang mit den persönlichen Informationen und Daten der Verbraucher. Dieses neue Datenschutzgesetz des US-Bundesstaates Virginia wirkt sich darauf aus, wie Unternehmen personenbezogene Daten ihrer Kunden erhalten, verwenden, darauf zugreifen, sie speichern, offenlegen oder weitergeben.

Die Unternehmen werden stärkere Datenschutzverfahren und -kontrollen entwickeln müssen, um sowohl auf Anfragen als auch auf Beschwerden der Verbraucher schnell reagieren zu können. Auf diese Weise wirkt sich das VCDPA speziell auf die Art der Kommunikation zwischen Ihrem Unternehmen und Ihren Kunden aus.

Wer muss sich an das VCDPA halten?

Ihr Unternehmen muss das VCDPA einhalten, wenn Sie in Virginia geschäftlich tätig sind oder sich mit Ihren Produkten und Dienstleistungen an Einwohner von Virginia wenden.

Darüber hinaus hängt die Einhaltung der Vorschriften von der Anzahl der betroffenen Verbraucher ab. Ihr Unternehmen muss mindestens die personenbezogenen Daten von folgenden Personen kontrollieren oder verarbeiten:

• 100.000 Verbraucher in einem Kalenderjahr
• 25.000 Verbraucher, wenn 50 % Ihrer Bruttoeinnahmen aus dem Verkauf von personenbezogenen Daten stammen

Gibt es Ausnahmen?

Ja, das VCDPA sieht Ausnahmen von seinen Anforderungen vor, die von der Art des Unternehmens oder der betroffenen Einrichtung und den Arten der von Ihnen gesammelten Informationen und Daten abhängen.

Ausnahmeregelungen für Unternehmen oder Einrichtungen:

• Banken oder Finanzinstitute
• Staatliche Stellen
• Gemeinnützige Organisationen
• Hochschulen und Universitäten

Ausnahmeregelungen für bestimmte Informationen und Daten:

• Unternehmen, die in einem kommerziellen oder arbeitsrechtlichen Kontext handeln
• Geschützte Gesundheitsinformationen gemäß dem Health Insurance Portability and Accountability Act (HIPAA)
• Persönliche Daten, die unter den Family Educational Rights and Privacy Act (FERPA) fallen
• Informationen und Daten im Zusammenhang mit Kreditauskünften, wie sie im bundesstaatlichen Fair Credit Reporting Act (FCRA) geregelt sind
• Informationen und Daten im Zusammenhang mit Fahrzeugführerinformationen, wie sie im Bundesgesetz zum Schutz der Privatsphäre von Fahrern von 1994 geregelt sind
• Informationen und Daten, die unter Titel V des Gramm-Leach-Bliley Act (15 U.S.C. § 6801 et seq.) fallen, der im Wesentlichen Banken und Finanzinstitute regelt

Wie können sich Unternehmen an das VCDPA halten?

Unternehmen können das VCDPA einhalten, indem sie transparent machen, welche Daten und persönlichen Informationen sie sammeln. Außerdem müssen Schritte und Verfahren dargelegt werden, die für alle Verbraucher deutlich sichtbar und zugänglich sind.

Wenn Ihr Unternehmen dem VCDPA unterliegt, müssen Sie neue Richtlinien und Verfahren entwickeln und einführen, um sicherzustellen, dass Ihre Überwachungs-, Test- oder Prüfprogramme mit den neuen Regeln des umfassenden Datenschutzgesetzes von Virginia übereinstimmen.

Die Verpflichtungen der Unternehmen im Rahmen des VCDPA müssen erfüllt werden:

• Seien Sie transparent: Sie müssen den Verbrauchern gegenüber transparent sein, wie Sie mit ihren persönlichen Daten umgehen, und erklären, wie Sie Geschäfte mit Drittanbietern abwickeln, wenn es um persönliche Kundendaten geht.
• Begrenzen Sie die Datenerfassung: Beschränken Sie die Sammlung von Informationen und Daten auf das, was angemessen, relevant und vernünftigerweise notwendig ist, um Ihr Geschäft zu betreiben. Das VCDPA gilt sowohl für die Online- als auch für die Offline-Datenerfassung.
• Zweckbeschränkung: Verarbeiten Sie personenbezogene Informationen und Daten nur zu Zwecken, die mit den Zwecken vereinbar sind, die Sie dem Verbraucher mitgeteilt haben.
• Aufrechterhaltung von Sicherheitsprotokollen: Einführung, Umsetzung und Aufrechterhaltung von Sicherheitsmaßnahmen, die vernünftigerweise erforderlich sind, um die personenbezogenen Daten der Verbraucher zu schützen. Neue Bewertungsmaßnahmen können erforderlich sein.
• Vermeiden Sie Diskriminierung: Ihr Unternehmen darf personenbezogene Daten nicht in einer Weise verarbeiten, die gegen staatliche oder bundesstaatliche Antidiskriminierungsgesetze verstößt. Darüber hinaus ist es Unternehmen generell untersagt, einen Verbraucher zu diskriminieren, weil er seine Rechte gemäß dem VCDPA wahrnimmt.
• Einholung der Zustimmung: Ihr Unternehmen muss die Zustimmung zur Verarbeitung personenbezogener Daten einholen. Die ausdrückliche Zustimmung ist besonders wichtig, wenn sensible Daten verarbeitet werden, wenn es um Daten von Kindern geht oder wenn von den zuvor angegebenen Zwecken eines Verbrauchers abgewichen wird.

Wie wird das VCDPA durchgesetzt?

Die Durchsetzungsmethode des VCDPA kann für Ihr Unternehmen sehr vorteilhaft sein, da es eine 30-tägige Heilungsfrist gibt. In dieser Zeit werden den Unternehmen Briefe zugesandt, in denen sie auf die Nichteinhaltung der Vorschriften hingewiesen werden. Die Unternehmen haben dann Zeit, mit dem Büro des Generalstaatsanwalts zu kommunizieren, um mögliche Verstöße zu beheben, bevor Geldbußen verhängt werden.

Angenommen, der Antrag wird abgelehnt und der Verbraucher legt gegen die Entscheidung Widerspruch ein. Für diesen Fall sieht das Verbraucherdatenschutzgesetz von Virginia einen detaillierten Mechanismus für die Einlegung von Rechtsmitteln vor, wenn der Antrag des Verbrauchers, seine Rechte geltend zu machen, abgelehnt wird. Was den Zeitaufwand für die Bearbeitung von Verbraucheranfragen betrifft, so sieht die Durchsetzung des VCPDA eine Frist von 30 Tagen für die Beantwortung einer Verbraucheranfrage vor.

Schließlich ist es für eine ordnungsgemäße Durchsetzung erforderlich, dass die Verbraucher die Möglichkeit haben, sich online oder auf anderem Wege an das Büro des Generalstaatsanwalts von Virginia zu wenden.

Geldbußen und Sanktionen

Unternehmen, die gegen das VCDPA verstoßen, müssen mit Unterlassungsklagen und zivilrechtlichen Strafen von bis zu 7.500 Dollar pro Verstoß sowie mit Anwaltskosten rechnen.

Sie können Geldbußen vermeiden, indem Sie allen verwertbaren Aufforderungen der Generalstaatsanwaltschaft unverzüglich nachkommen. Unternehmen können Bußgelder auch vermeiden, indem sie sich rechtzeitig auf die Anforderungen des VCDPA vorbereiten, um mögliche Strafen im Falle der Nichteinhaltung zu vermeiden.

Letztlich fließen alle Bußgelder in einen Fonds für den Schutz der Privatsphäre der Verbraucher, der zur Unterstützung der Arbeit des Generalstaatsanwalts bei der Durchsetzung der Bestimmungen des VCPDA verwendet wird.

Zusammenfassung

Der beste Ansatz für Ihr Unternehmen ist ein Ansatz, der die Anforderungen der VCPDA-Datenschutzgesetze einbezieht und sich gleichzeitig an künftige Ergänzungen der Datenschutzanforderungen anpassen lässt.

Das VCDPA tritt erst am 1. Januar 2023 in Kraft. Die Unternehmen können diese Zeit nutzen, um die Anforderungen des neuen Gesetzes zu prüfen und die erforderlichen Regeln und Vorschriften zu übernehmen. Wenn sich Ihr Unternehmen nicht an die Anforderungen des neuen Gesetzes hält, können die Strafen teuer sein.

Bis zur Verabschiedung eines Bundesgesetzes über den Datenschutz für Verbraucher repräsentieren Kalifornien und Virginia den sich abzeichnenden Trend zu staatlicher Aufsicht und Regulierung in Bezug auf die Verarbeitung personenbezogener Daten von Verbrauchern.

Mehr über die Autorin

Geschrieben von Masha Komnenic CIPP/E, CIPM, CIPT, FIP

Masha ist Spezialistin für Informationssicherheit und Datenschutz und zertifizierte Datenschutzbeauftragte. In den letzten sechs Jahren war sie als Datenschutzbeauftragte tätig und half kleinen und mittleren Unternehmen bei der Einhaltung von Rechtsvorschriften. Außerdem war sie Mentorin für die Einhaltung von Datenschutzbestimmungen bei vielen internationalen Business Accelerators. Sie ist spezialisiert auf die Umsetzung, Überwachung und Prüfung der Einhaltung von Datenschutzvorschriften (HIPAA, PIPEDA, ePrivacy-Richtlinie, DSGVO, CCPA, POPIA, LGPD). Masha hat an der Universität Belgrad Jura studiert und 2016 die Anwaltsprüfung abgelegt. Mehr über die Autorin