Compliance mit der Florida Digital Bill of Rights durch ConsentX

Die Florida Digital Bill of Rights (FDBR) ist das umfassende Verbraucherdatenschutzgesetz Floridas. Es begründet Verbraucherrechte an personenbezogenen Daten und erlegt erfassten Verantwortlichen und Auftragsverarbeitern Pflichten auf. Das Gesetz ist am 1. Juli 2024 in Kraft getreten.

Verbraucher in Florida haben grundsätzlich das Recht, eine Bestätigung über die Verarbeitung ihrer personenbezogenen Daten zu erhalten, Auskunft über ihre personenbezogenen Daten zu verlangen, Unrichtigkeiten zu berichtigen, die Löschung personenbezogener Daten zu verlangen, eine übertragbare Kopie ihrer personenbezogenen Daten zu erhalten, zielgerichteter Werbung zu widersprechen, dem Verkauf personenbezogener Daten zu widersprechen, bestimmten Profiling-Aktivitäten zu widersprechen, der Erhebung oder Verarbeitung sensibler Daten zu widersprechen und der Erhebung bestimmter Stimm- und Gesichtserkennungsdaten zu widersprechen.

Die FDBR verlangt nicht für jede Art der Verarbeitung personenbezogener Daten eine Einwilligung. Für bestimmte Aktivitäten gelten jedoch besondere Einwilligungserfordernisse, etwa für den Verkauf sensibler personenbezogener Daten. Verantwortliche müssen vor dem Verkauf sensibler Daten die vorherige Einwilligung des Verbrauchers einholen, vorbehaltlich besonderer Regeln für bekannte Kinder.

Zu sensiblen Daten zählen Kategorien wie rassische oder ethnische Herkunft, religiöse Überzeugungen, psychische oder körperliche Gesundheitszustände oder Diagnosen, sexuelle Orientierung, Staatsangehörigkeits- oder Aufenthaltsstatus, genetische oder biometrische Daten zur Identifizierung, genaue Standortdaten sowie personenbezogene Daten eines bekannten Kindes. Die FDBR gibt Verbrauchern das Recht, der Erhebung oder Verarbeitung sensibler Daten zu widersprechen.

Ja. Verbraucher haben das Recht, der Verarbeitung ihrer personenbezogenen Daten für zielgerichtete Werbung zu widersprechen.

Ja. Die FDBR gibt Verbrauchern das Recht, dem Verkauf ihrer personenbezogenen Daten zu widersprechen.

Ja. Verbraucher können Profiling widersprechen, das der Vorbereitung einer Entscheidung dient, die rechtliche oder ähnlich erhebliche Auswirkungen auf sie hat.

Ja. Verbraucher haben das Recht, der Erhebung personenbezogener Daten durch den Betrieb einer Stimm- oder Gesichtserkennungsfunktion zu widersprechen. Das Gesetz beschränkt zudem bestimmte Überwachungsnutzungen von Gerätefunktionen wie Stimm-, Gesichts-, Video-, Audio-, visuellen, thermischen oder olfaktorischen Fähigkeiten, wenn diese Funktionen vom Verbraucher nicht aktiv genutzt werden, sofern nichts anderes ausdrücklich zugelassen ist.

Die FDBR regelt die Verarbeitung personenbezogener Daten und nicht Cookies als eigenständige Technologie. Cookies, Pixel, Werbe-Tags, SDKs und andere Tracking-Technologien können gleichwohl personenbezogene Daten erheben oder verarbeiten oder zielgerichtete Werbung unterstützen. Tracker-Erkennung und die Durchsetzung von Datenschutzpräferenzen können daher ein wichtiger Bestandteil eines FDBR-Compliance-Programms sein.

Ja. Verantwortliche müssen einen Datenschutzhinweis bereitstellen, der die relevante Verarbeitung personenbezogener Daten und die Datenschutzrechte der Verbraucher beschreibt. Der Hinweis sollte Verbrauchern aussagekräftige Informationen darüber geben, wie ihre personenbezogenen Daten erhoben, genutzt, offengelegt und verwaltet werden.

Ja. Verantwortliche müssen für bestimmte Verarbeitungsaktivitäten Datenschutz-Folgenabschätzungen durchführen und dokumentieren, darunter zielgerichtete Werbung, den Verkauf personenbezogener Daten, bestimmtes Profiling, die Verarbeitung sensibler Daten und weitere Verarbeitungen mit erhöhtem Schadensrisiko für Verbraucher.

Verantwortliche müssen grundsätzlich ohne unangemessene Verzögerung und spätestens 45 Tage nach Eingang einer Verbraucheranfrage antworten. Die Frist kann einmalig um weitere 15 Tage verlängert werden, wenn dies vernünftigerweise erforderlich ist und der Verbraucher innerhalb der ersten 45 Tage über die Verlängerung und deren Grund informiert wird.

Ja. Verantwortliche müssen ein Verfahren einrichten, über das Verbraucher gegen die Ablehnung einer Datenschutzanfrage Rechtsbehelf einlegen können. Der Verantwortliche muss innerhalb von 60 Tagen nach Eingang des Rechtsbehelfs eine schriftliche Entscheidung mitteilen.

Verantwortliche müssen mindestens zwei sichere, zuverlässige und klar zugängliche Wege bereitstellen, über die Verbraucher Datenschutzrechtsanfragen einreichen können. Ein Verantwortlicher darf nicht verlangen, dass ein Verbraucher allein zur Ausübung von Datenschutzrechten ein neues Konto anlegt; ein bestehendes Konto darf jedoch zur Authentifizierung genutzt werden.

Ja. Die FDBR enthält besondere Schutzvorschriften für Daten bekannter Kinder, darunter besondere Anforderungen an den Verkauf sensibler Daten und an die elterliche Einwilligung. Die FDBR gilt zudem neben den gesonderten Vorschriften Floridas zum Onlinedatenschutz für Kinder.

Für Durchsetzung und Umsetzung der FDBR ist das Florida Department of Legal Affairs zuständig. Florida hat bereits Verbraucherbeschwerden und Durchsetzungsmaßnahmen nach dem Gesetz gemeldet, was zeigt, dass die FDBR eine aktive Compliance-Pflicht und kein rein zukunftsgerichtetes Regelwerk ist.

ConsentX hilft dabei, wichtige Datenschutzkontrollen operativ umzusetzen, etwa Einwilligungsmanagement, Tracker-Erkennung, Skript-Blockierung vor Einwilligung, Verwaltung von Verbraucher-Opt-outs, Workflows für Rechtsanfragen und Prüfnachweise. Keine Software kann jedoch für sich allein die Einhaltung des Gesetzes garantieren. Organisationen sollten ihr gesamtes Datenschutzprogramm an der FDBR und allen weiteren geltenden Gesetzen messen.