Kalifornisches Datenschutzgesetz AB 375: Es ist persönlich

Einhaltung    | 16. Juli 2018

Im Juni 2018 verabschiedete Kalifornien eines der fortschrittlichsten Datenschutzgesetze der USA – den California Consumer Privacy Act von 2018 (AB 375). Das Gesetz wird als großer Fortschritt gefeiert und mit der Datenschutz-Grundverordnung (DSGVO) in Europa verglichen.

Bei genauerer Betrachtung stellt AB 375 mehrere Herausforderungen dar, nicht zuletzt, dass es erst 2020 in Kraft treten soll und viele große Technologieunternehmen Änderungen der gesetzlichen Bestimmungen fordern.

Was steht in dem Gesetz

AB 375 legt mehrere Datenschutzrechte für Einwohner Kaliforniens fest und wie die DSGVO in Europa gilt dieses Gesetz für alle Unternehmen, die an Einwohner Kaliforniens verkaufen oder personenbezogene Daten von ihnen besitzen.

Diese Datenschutzrechte sind:

1. Das Recht der Kalifornier zu erfahren, welche persönlichen Daten erfasst werden.
2. Das Recht der Kalifornier zu erfahren, ob ihre persönlichen Daten verkauft oder weitergegeben werden und an wen.
3. Das Recht der Kalifornier, Nein zum Verkauf persönlicher Daten zu sagen.
4. Das Recht der Kalifornier auf Zugriff auf ihre persönlichen Daten.
5. Das Recht der Kalifornier auf gleichen Service und Preis, unabhängig von ihrer Entscheidung, persönliche Daten preiszugeben.

Kurz gesagt bietet AB 375 den Kaliforniern die Möglichkeit, sich von fast allen sekundären Verwendungen ihrer persönlichen Daten abzumelden, sei es für den Verkauf an Datenbroker, Tracking oder andere Verwendungen, die nicht direkt mit der Bereitstellung eines Dienstes verbunden sind.

Wer muss AB 375 einhalten?

Im Gegensatz zur DSGVO gilt das kalifornische Datenschutzgesetz AB 375 nur für eine bestimmte Kategorie gewinnorientierter Unternehmen. Die betroffenen Organisationen müssen in Kalifornien geschäftlich tätig sein oder mit diesem verbunden sein, die persönlichen Daten von mehr als 50.000 Kaliforniern erhalten oder offenlegen und einen Bruttoumsatz von mehr als 25 Millionen US-Dollar erwirtschaften – 50 Prozent davon müssen aus dem Verkauf persönlicher Daten stammen. Das bedeutet, dass kalifornische gemeinnützige Organisationen, kleine Unternehmen oder sogar große Konzerne, die weniger als die erforderlichen Mindestmengen an persönlichen Daten sammeln, von diesem Gesetz nicht betroffen sind.

Was ist nicht in AB 375 enthalten

Obwohl das kalifornische Datenschutzgesetz Strafen für Verstöße vorsieht, die sich aus unzureichendem Schutz von Informationen ergeben, enthält AB 375 keine Anforderungen daran, wie Unternehmen Informationen schützen müssen. Dieses Gesetz enthält auch keine Formulierungen, die einem Gericht bei der Analyse helfen könnten, ob die Datenschutzpraktiken einer Organisation angemessen sind.

Auswirkungen auf den kalifornischen Markt

Im Gegensatz zur europäischen DSGVO enthält AB 375 keine spezifischen Anweisungen für Unternehmen, die sich an die Sicherheit der Datenverarbeitung halten müssen. Das Gesetz schreibt jedoch vor, wie Unternehmen die Zustimmung zur Erfassung und Verwendung personenbezogener Daten einholen müssen. Verbraucher dürfen nicht diskriminiert werden, wenn sie ihre Rechte ausüben.

AB 375 stützt sich in hohem Maße auf andere kalifornische und bundesstaatliche Gesetze, um in diesen Bereichen Orientierung zu bieten. Daher bestehen mehrere Konflikte mit anderen Gesetzen, die eine weitere Klärung durch regulatorische Leitlinien oder Änderungen an AB 375 selbst erfordern.

Darüber hinaus gibt es noch Fragen dazu, wie AB 375 unter dem Druck von Technologieunternehmen und Datenschutzbeauftragten geändert werden könnte oder welche ergänzenden Vorschriften es geben könnte.

Eine logische Lösung

Die Verschlüsselung sensibler Daten ist der Schlüssel zum Nachweis, dass Informationen im Rahmen einer Datenschutzverordnung oder eines Datenschutzgesetzes angemessen geschützt wurden.

Echoworx verpflichtet sich, die Datenschutz- und Rechtsanforderungen der Länder zu erfüllen, in denen das Unternehmen tätig ist. Echoworx fügt laufend Rechenzentren auf der ganzen Welt hinzu, um sicherzustellen, dass die Daten so nah wie möglich am Ursprungsland oder der Ursprungsregion gespeichert werden. Wir betreiben derzeit Rechenzentren in den USA, Großbritannien, Irland, Deutschland, Mexiko und Kanada, um sicherzustellen, dass die Daten gemäß den für unsere Kunden geltenden Vorschriften und Gesetzen gespeichert und verwaltet werden können.

Von Brian Cole, Senior Manager of Security Operations and Support, Echoworx