Compliance mit dem Colorado Privacy Act durch ConsentX

Der Colorado Privacy Act (CPA) ist das umfassende Verbraucherdatenschutzgesetz Colorados. Es gibt Verbrauchern in Colorado Rechte an ihren personenbezogenen Daten und begründet Pflichten für Organisationen, die diese Daten kontrollieren oder verarbeiten.

Der CPA gilt grundsätzlich für Organisationen, die in Colorado geschäftlich tätig sind oder sich an Einwohner Colorados richten und die einschlägigen Schwellenwerte des Gesetzes für die Kontrolle oder Verarbeitung personenbezogener Daten erreichen. Bestimmte Einrichtungen, Daten und Aktivitäten sind ausgenommen.

Verbraucher in Colorado haben unter anderem das Recht auf Auskunft über ihre personenbezogenen Daten, Berichtigung unrichtiger personenbezogener Daten, Löschung personenbezogener Daten, Datenübertragbarkeit, Opt-out vom Verkauf personenbezogener Daten, Opt-out von zielgerichteter Werbung und Opt-out von bestimmten Profiling-Aktivitäten. Verbraucher können diese Rechte vorbehaltlich der geltenden Voraussetzungen und Ausnahmen ausüben.

Der CPA verlangt für bestimmte Verarbeitungsaktivitäten eine Einwilligung, insbesondere für die Verarbeitung sensibler Daten. Nicht jede Verarbeitung erfordert eine Einwilligung; Organisationen sollten daher für jede Verarbeitungsaktivität die passende Rechtsgrundlage und die geltenden Anforderungen bestimmen.

Sensible Daten umfassen bestimmte Kategorien personenbezogener Daten, etwa Angaben, aus denen die rassische oder ethnische Herkunft hervorgeht, religiöse Überzeugungen, psychische oder körperliche Gesundheitszustände oder Diagnosen, Sexualleben oder sexuelle Orientierung, Staatsangehörigkeits- oder Aufenthaltsstatus, bestimmte genetische oder biometrische Daten sowie bestimmte Daten von Kindern. Der Datenschutzrahmen Colorados wurde zudem geändert, um weitere Kategorien wie genaue Standortdaten zu erfassen.

Ein Universal Opt-Out Mechanism (UOOM) erlaubt es Verbrauchern, bestimmte Datenschutzentscheidungen gegenüber mehreren Unternehmen zu übermitteln, ohne bei jeder Organisation einzeln ein Opt-out einzureichen. Colorado verpflichtet erfasste Organisationen, einschlägige UOOM-Signale für bestimmte Opt-out-Rechte zu beachten.

Ja. Global Privacy Control (GPC) wird derzeit vom Colorado Department of Law als gültiger Universal Opt-Out Mechanism anerkannt. Erfasste Organisationen müssen GPC für die einschlägigen Opt-out-Rechte beachten, darunter das Opt-out vom Verkauf personenbezogener Daten und von deren Nutzung für zielgerichtete Werbung.

Ja. Verbraucher in Colorado haben das Recht, der Verarbeitung ihrer personenbezogenen Daten für zielgerichtete Werbung zu widersprechen.

Ja. Der CPA gibt Verbrauchern das Recht, bestimmten Profiling-Aktivitäten zu widersprechen, insbesondere Profiling zur Vorbereitung von Entscheidungen, die rechtliche oder ähnlich erhebliche Auswirkungen auf den Verbraucher haben.

Der CPA regelt die Verarbeitung personenbezogener Daten und nicht Cookies als solche. Soweit Cookies, Tracker oder ähnliche Technologien Informationen erheben oder verarbeiten, die als personenbezogene Daten gelten, sollten Organisationen die einschlägigen CPA-Anforderungen prüfen und geeignete Datenschutzkontrollen umsetzen.

Ja. Verantwortliche müssen für bestimmte Verarbeitungsaktivitäten mit erhöhtem Schadensrisiko für Verbraucher Datenschutz-Folgenabschätzungen durchführen. Dazu können Verarbeitungen im Zusammenhang mit zielgerichteter Werbung, Profiling, dem Verkauf personenbezogener Daten und sensiblen Daten zählen.

Eine erfasste Organisation muss auf eine Verbraucheranfrage grundsätzlich innerhalb von 45 Tagen antworten. Diese Frist kann um weitere 45 Tage verlängert werden, wenn dies vernünftigerweise erforderlich ist und der Verbraucher über die Verlängerung und deren Gründe informiert wird.

ConsentX stellt Technologie bereit, die wichtige Abläufe nach dem Colorado Privacy Act unterstützt, darunter Einwilligungsmanagement, Einwilligung für sensible Daten, Verbraucher-Opt-outs, GPC-Unterstützung, Tracker-Erkennung, Skript-Blockierung vor Einwilligung, Workflows für Verbraucherrechte und Datenschutznachweise. ConsentX allein garantiert jedoch keine CPA-Konformität. Organisationen müssen ihre gesamten Datenverarbeitungsaktivitäten, Datenschutzhinweise, Sicherheitsmaßnahmen, Verträge, Datenschutz-Folgenabschätzungen und weitere geltende rechtliche Pflichten bewerten.