Compliance mit dem Montana Consumer Data Privacy Act durch ConsentX

Der Montana Consumer Data Privacy Act (MCDPA) ist das umfassende Verbraucherdatenschutzgesetz Montanas. Es ist am 1. Oktober 2024 in Kraft getreten und begründet Datenschutzrechte für Verbraucher in Montana sowie Pflichten für erfasste Unternehmen. Montana hat das Gesetz anschließend geändert; wesentliche Änderungen gelten ab dem 1. Oktober 2025.

Verbraucher in Montana haben grundsätzlich das Recht zu erfahren, ob ihre personenbezogenen Daten verarbeitet werden, Auskunft über ihre personenbezogenen Daten zu erhalten, unrichtige personenbezogene Daten berichtigen zu lassen, die Löschung ihrer personenbezogenen Daten zu verlangen, eine Kopie ihrer personenbezogenen Daten zu erhalten, zielgerichteter Werbung zu widersprechen, dem Verkauf personenbezogener Daten zu widersprechen und Profiling zur Vorbereitung bestimmter automatisierter Entscheidungen zu widersprechen.

Der MCDPA verlangt nicht für jede Art der Verarbeitung personenbezogener Daten eine Einwilligung. Vor der Verarbeitung bestimmter sensibler Daten ist jedoch eine Einwilligung erforderlich. Für bestimmte Verarbeitungsaktivitäten im Zusammenhang mit Minderjährigen gelten zusätzliche Einwilligungserfordernisse.

Zu sensiblen Daten zählen bestimmte Kategorien personenbezogener Informationen, die erhöhte Datenschutzrisiken bergen können, darunter Angaben zu rassischer oder ethnischer Herkunft, religiösen Überzeugungen, psychischer oder körperlicher Gesundheit, sexueller Orientierung, Staatsangehörigkeits- oder Aufenthaltsstatus, genetische oder biometrische Daten zur Identifizierung, genaue Standortdaten sowie personenbezogene Daten von Kindern.

Ja. Verbraucher in Montana haben das Recht, der Verarbeitung ihrer personenbezogenen Daten für zielgerichtete Werbung zu widersprechen.

Ja. Verbraucher haben das Recht, dem Verkauf ihrer personenbezogenen Daten zu widersprechen.

Ja. Verbraucher können Profiling widersprechen, das der Vorbereitung von Entscheidungen dient, die rechtliche oder ähnlich erhebliche Auswirkungen auf sie haben.

Organisationen sollten universelle Opt-out-Signale im Zusammenspiel mit dem MCDPA und den Anforderungen anderer geltender Datenschutzgesetze der Bundesstaaten bewerten. Der Datenschutzrahmen Montanas sollte nicht mit dem kalifornischen oder anderen Gesetzen mit ausdrücklichen Universal-Opt-out-Pflichten gleichgesetzt werden.

Der MCDPA regelt die Verarbeitung personenbezogener Daten und nicht Cookies als eigenständige Technologie. Cookies, Pixel, Werbe-Tags, SDKs und andere Tracking-Technologien können gleichwohl personenbezogene Daten erheben oder verarbeiten oder zielgerichtete Werbung unterstützen. Deshalb können Tracker-Erkennung, die Verwaltung von Datenschutzpräferenzen und die Durchsetzung von Verbraucherentscheidungen wichtige Bestandteile eines MCDPA-Compliance-Programms sein.

Ja. Verantwortliche müssen Verbrauchern einen angemessen zugänglichen und klaren Datenschutzhinweis bereitstellen, der die relevanten Kategorien und Zwecke der Verarbeitung personenbezogener Daten sowie Informationen zu den einschlägigen Verbraucherrechten erläutert.

Ja. Verantwortliche müssen für bestimmte Verarbeitungsaktivitäten mit erhöhten Risiken für Verbraucher Datenschutz-Folgenabschätzungen durchführen, darunter einschlägige zielgerichtete Werbung, Profiling, den Verkauf personenbezogener Daten und die Verarbeitung sensibler Daten.

Verantwortliche müssen auf eine Verbraucheranfrage grundsätzlich innerhalb von 45 Tagen nach Eingang antworten. Die Frist kann in der Regel um weitere 45 Tage verlängert werden, wenn dies vernünftigerweise erforderlich ist und die geltenden Voraussetzungen erfüllt sind.

Ja. Verbraucher haben das Recht, gegen die Weigerung eines Verantwortlichen, auf eine Anfrage zur Ausübung ihrer Datenschutzrechte tätig zu werden, Rechtsbehelf einzulegen.

Ja. Der geänderte MCDPA erweitert den Schutz Minderjähriger erheblich. Als minderjährig gilt grundsätzlich eine Person unter 18 Jahren, während Kinder unter 13 Jahren zusätzlichen Schutz genießen. Unternehmen, die wissen oder vernünftigerweise wissen müssten, dass sie personenbezogene Daten Minderjähriger verarbeiten, müssen angemessene Sorgfalt walten lassen, um erhöhte Schadensrisiken zu vermeiden. Zusätzliche Einwilligungserfordernisse können für die Verarbeitung von Daten Minderjähriger zu Zwecken zielgerichteter Werbung, für den Verkauf, für bestimmtes automatisiertes Profiling, für bestimmte Verarbeitungen genauer Standortdaten, für eine verlängerte Speicherung sowie für bestimmte Systemgestaltungen gelten, die die Nutzungsdauer Minderjähriger deutlich erhöhen oder aufrechterhalten sollen.

Die allgemeine Anwendbarkeit des MCDPA richtet sich vor allem nach der Menge der verarbeiteten Verbraucherdaten aus Montana; für Unternehmen, die mehr als 25 % ihres Umsatzes aus dem Verkauf personenbezogener Daten erzielen, gilt eine niedrigere Verbraucherschwelle. Nach der aktuellen Gesetzesfassung liegen die allgemeinen Schwellen bei 25.000 Verbrauchern bzw. 15.000 Verbrauchern, wenn mehr als 25 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten stammen.

Der Attorney General von Montana ist für die Durchsetzung des MCDPA zuständig. Das Office of Consumer Protection Montanas stellt Informationen und Ressourcen zum Verbraucherdatenschutz in Montana bereit.

ConsentX hilft dabei, wichtige Datenschutzkontrollen operativ umzusetzen, etwa Einwilligungsmanagement, Tracker-Erkennung, Skript-Blockierung vor Einwilligung, Verwaltung von Verbraucher-Opt-outs, Workflows für Rechtsanfragen und Prüfnachweise. Keine Software kann jedoch für sich allein die Einhaltung des Gesetzes garantieren. Organisationen sollten ihr gesamtes Datenschutzprogramm am MCDPA und allen weiteren geltenden Gesetzen messen.