Compliance mit dem Connecticut Data Privacy Act durch ConsentX

Der Connecticut Data Privacy Act (CTDPA) ist das umfassende Verbraucherdatenschutzgesetz Connecticuts. Es gibt Einwohnern Connecticuts Rechte an ihren personenbezogenen Daten und begründet Datenschutzpflichten für erfasste Unternehmen. Das Gesetz ist am 1. Juli 2023 in Kraft getreten.

Der CTDPA gilt grundsätzlich für Organisationen, die in Connecticut geschäftlich tätig sind oder sich an Einwohner Connecticuts richten und bestimmte Schwellenwerte bei der Datenverarbeitung oder beim Datenverkauf erreichen. Das Gesetz enthält zudem besondere Regelungen für bestimmte Verantwortliche von Gesundheitsdaten der Verbraucher sowie Ausnahmen für bestimmte Organisationen und Datenarten.

Verbraucher in Connecticut haben unter anderem das Recht auf Auskunft über ihre personenbezogenen Daten, Berichtigung unrichtiger personenbezogener Daten, Löschung personenbezogener Daten, Datenübertragbarkeit, Informationen zu bestimmten Verkäufen an Dritte, Opt-out vom Verkauf personenbezogener Daten, Opt-out von zielgerichteter Werbung und Opt-out von bestimmten Profiling-Aktivitäten. Diese Rechte gelten vorbehaltlich der einschlägigen Voraussetzungen und Ausnahmen.

Der CTDPA verlangt eine Einwilligung, bevor sensible Daten eines Verbrauchers verarbeitet werden. Nicht jede Verarbeitungsaktivität erfordert eine Einwilligung; Organisationen sollten daher für jede Verarbeitungsaktivität die geltenden rechtlichen Anforderungen bestimmen.

Sensible Daten umfassen bestimmte Kategorien personenbezogener Daten wie rassische oder ethnische Herkunft, religiöse Überzeugungen, Gesundheitsdaten, Sexualleben oder sexuelle Orientierung, Staatsangehörigkeits- oder Aufenthaltsstatus, genetische oder biometrische Daten sowie bestimmte genaue Standortinformationen. Der CTDPA enthält zudem besondere Schutzvorschriften für Daten von Kindern und Minderjährigen.

Ja. Verbraucher in Connecticut haben das Recht, der Verarbeitung ihrer personenbezogenen Daten für zielgerichtete Werbung zu widersprechen.

Ja. Verbraucher haben das Recht, dem Verkauf ihrer personenbezogenen Daten zu widersprechen. Erfasste Unternehmen müssen geeignete Mechanismen bereitstellen, damit Verbraucher dieses Recht ausüben können.

Ja. Verbraucher können Profiling widersprechen, das der Vorbereitung von Entscheidungen dient, die rechtliche oder ähnlich erhebliche Auswirkungen auf sie haben.

Ein Universal Opt-Out Preference Signal ermöglicht es Verbrauchern, bestimmte Datenschutzpräferenzen über einen Browser oder einen anderen Datenschutzmechanismus website- und unternehmensübergreifend zu übermitteln. Ab dem 1. Januar 2025 müssen Unternehmen, die dem CTDPA unterliegen, einschlägige Opt-out-Präferenzsignale von Verbrauchern aus Connecticut beachten.

Ja. Der Attorney General von Connecticut nennt Global Privacy Control (GPC) als Beispiel für ein Opt-out-Präferenzsignal, mit dem Verbraucher ihre Datenschutzpräferenzen übermitteln können. ConsentX unterstützt GPC und hilft Organisationen so, die einschlägigen Universal-Opt-out-Anforderungen umzusetzen.

Der CTDPA regelt die Verarbeitung personenbezogener Daten und nicht Cookies als solche. Soweit Cookies, Tracker oder ähnliche Technologien Informationen erheben oder verarbeiten, die als personenbezogene Daten gelten, sollten Organisationen die einschlägigen CTDPA-Anforderungen prüfen und geeignete Datenschutzkontrollen umsetzen.

Ja. Verbraucher haben das Recht, gegen die Ablehnung einer Verbraucherrechtsanfrage durch einen Verantwortlichen Rechtsbehelf einzulegen. Ein Verantwortlicher hat grundsätzlich 60 Tage nach Eingang des Rechtsbehelfs Zeit, das Ergebnis und die Gründe seiner Entscheidung mitzuteilen.

Ja. Verantwortliche müssen für bestimmte Verarbeitungsaktivitäten mit erhöhtem Schadensrisiko für Verbraucher Datenschutz-Folgenabschätzungen durchführen. Diese Abschätzungen können Aktivitäten im Zusammenhang mit sensiblen Daten, zielgerichteter Werbung, Profiling und dem Verkauf personenbezogener Daten betreffen.

Der Attorney General von Connecticut hat die ausschließliche Durchsetzungsbefugnis nach dem CTDPA. Verstöße können zivilrechtliche Bußgelder von bis zu 5.000 US-Dollar je Verstoß sowie weitere Rechtsfolgen wie Unterlassungsanordnungen, Schadensersatz oder Gewinnabschöpfung nach sich ziehen.

ConsentX stellt Technologie bereit, die wichtige Datenschutzabläufe nach dem CTDPA unterstützt, darunter Einwilligungsmanagement, Einwilligung für sensible Daten, Verbraucher-Opt-outs, GPC-Unterstützung, Tracker-Erkennung, Skript-Blockierung vor Einwilligung, Workflows für Verbraucherrechte und Datenschutznachweise. ConsentX allein garantiert jedoch keine CTDPA-Konformität. Organisationen müssen ihre gesamten Datenverarbeitungsaktivitäten, Datenschutzhinweise, Sicherheitsmaßnahmen, Verträge, Datenschutz-Folgenabschätzungen und weitere geltende rechtliche Pflichten bewerten.