Compliance mit dem Oregon Consumer Privacy Act durch ConsentX

Der Oregon Consumer Privacy Act (OCPA) ist das umfassende Verbraucherdatenschutzgesetz Oregons. Es ist am 1. Juli 2024 in Kraft getreten, gibt Verbrauchern in Oregon Rechte an ihren personenbezogenen Daten und begründet Pflichten für erfasste Unternehmen.

Verbraucher in Oregon haben grundsätzlich das Recht zu erfahren, welche personenbezogenen Daten ein Verantwortlicher erhoben hat, eine Bestätigung über die Verarbeitung ihrer personenbezogenen Daten zu erhalten, eine Kopie ihrer personenbezogenen Daten zu erhalten, die Berichtigung unrichtiger personenbezogener Daten zu verlangen, die Löschung ihrer personenbezogenen Daten zu verlangen, Informationen über bestimmte Dritte zu erhalten, die ihre Daten erhalten haben, zielgerichteter Werbung zu widersprechen, dem Verkauf personenbezogener Daten zu widersprechen und Profiling mit rechtlichen oder ähnlich erheblichen Auswirkungen zu widersprechen. Das Department of Justice in Oregon fasst diese Rechte in seinem L.O.C.K.E.D.-Framework zusammen: List (auflisten), Opt-out (widersprechen), Copy (Kopie erhalten), Know (wissen), Edit (berichtigen) und Delete (löschen).

Nicht für jede Verarbeitung personenbezogener Daten. Verantwortliche müssen jedoch vor der Verarbeitung sensibler Daten eine Einwilligung einholen. Der OCPA verlangt zudem einen wirksamen Mechanismus, mit dem Verbraucher ihre Einwilligung widerrufen können; dieser Widerrufsmechanismus muss mindestens so einfach zu nutzen sein wie der Mechanismus, über den die Einwilligung erteilt wurde.

Zu sensiblen Daten zählen bestimmte Informationen über rassische oder ethnische Herkunft, nationale Herkunft, religiöse Überzeugungen, psychische oder körperliche Verfassung oder Diagnosen, sexuelle Orientierung, Transgender- oder nichtbinären Status, den Status als Verbrechensopfer, Staatsangehörigkeits- oder Aufenthaltsstatus sowie genetische oder biometrische Daten, bestimmte genaue Standortdaten und personenbezogene Daten von Kindern. Personenbezogene Daten von Kindern unter 13 Jahren gelten ausdrücklich als sensible Daten.

Ja. Verbraucher in Oregon haben das Recht, der Verarbeitung ihrer personenbezogenen Daten für zielgerichtete Werbung zu widersprechen.

Ja. Verbraucher haben das Recht, dem Verkauf ihrer personenbezogenen Daten zu widersprechen. Der OCPA sieht zudem Mechanismen vor, über die ein bevollmächtigter Vertreter bestimmte Opt-out-Rechte im Namen eines Verbrauchers ausüben kann.

Ja. Verbraucher können Profiling widersprechen, wenn dieses der Vorbereitung von Entscheidungen dient, die rechtliche oder ähnlich erhebliche Auswirkungen haben.

Der OCPA verpflichtet erfasste Verantwortliche, einen Mechanismus bereitzustellen, über den Verbraucher oder bevollmächtigte Vertreter ihre Opt-out-Präferenzen mittels geeigneter Technologien oder Mechanismen übermitteln können. Der Mechanismus muss eine bestätigende, freiwillige und unmissverständliche Entscheidung erfordern und darf nicht auf einer Voreinstellung beruhen. Organisationen sollten die Anforderungen Oregons gemeinsam mit den Universal-Opt-out-Pflichten anderer Datenschutzgesetze der Bundesstaaten bewerten.

Der OCPA regelt die Verarbeitung personenbezogener Daten und nicht Cookies als eigenständige Technologie. Cookies, Pixel, Werbe-Tags, SDKs und andere Tracking-Technologien können gleichwohl personenbezogene Daten erheben oder verarbeiten oder zielgerichtete Werbung unterstützen. Deshalb können Tracker-Erkennung, die Verwaltung von Datenschutzpräferenzen und die Durchsetzung von Verbraucherentscheidungen wichtige Bestandteile eines OCPA-Compliance-Programms sein.

Ja. Verantwortliche müssen einen angemessen zugänglichen, klaren und aussagekräftigen Datenschutzhinweis bereitstellen, der die Kategorien der verarbeiteten personenbezogenen Daten, die Verarbeitungszwecke, die einschlägigen Verbraucherrechte, die an Dritte weitergegebenen Datenkategorien, die relevanten Kategorien von Dritten und die Wege zur Einreichung von Verbraucheranfragen beschreibt.

Ja. Verantwortliche müssen für Verarbeitungsaktivitäten mit erhöhtem Schadensrisiko für Verbraucher Datenschutz-Folgenabschätzungen durchführen und dokumentieren. Dazu können zielgerichtete Werbung, die Verarbeitung sensibler Daten, der Verkauf personenbezogener Daten und bestimmte Profiling-Aktivitäten zählen.

Verantwortliche müssen auf eine Verbraucheranfrage grundsätzlich ohne unangemessene Verzögerung und spätestens 45 Tage nach Eingang antworten. Die Frist kann in der Regel um weitere 45 Tage verlängert werden, wenn dies vernünftigerweise erforderlich ist und der Verantwortliche den Verbraucher innerhalb der ursprünglichen Frist informiert und den Grund der Verlängerung erläutert.

Ja. Verantwortliche müssen ein Verfahren einrichten, über das Verbraucher gegen die Ablehnung einer Datenschutzanfrage Rechtsbehelf einlegen können. Der Verantwortliche muss grundsätzlich innerhalb von 45 Tagen über den Rechtsbehelf entscheiden und bei einer Ablehnung Informationen bereitstellen, mit denen der Verbraucher den Attorney General von Oregon kontaktieren kann.

Ja. Verbraucher können einen bevollmächtigten Vertreter benennen, der bestimmte Opt-out-Rechte in ihrem Namen ausübt. Der OCPA lässt Opt-out-Anfragen zudem über Mechanismen wie Internetlinks, Browsereinstellungen, Browsererweiterungen, globale Geräteeinstellungen oder andere geeignete Technologien zu.

Ja. Der OCPA sieht einen erhöhten Schutz für Daten von Kindern vor. Personenbezogene Daten von Kindern unter 13 Jahren gelten als sensible Daten; darüber hinaus enthält das Gesetz zusätzliche Schutzvorschriften für Verbraucher unter 16 Jahren, darunter Beschränkungen für zielgerichtete Werbung, Profiling und bestimmte Verkäufe personenbezogener Daten.

Der OCPA wird vom Attorney General von Oregon über das Oregon Department of Justice durchgesetzt. Oregon hat Leitfäden für Verbraucher und Unternehmen veröffentlicht, die das Gesetz und seinen Durchsetzungsrahmen erläutern.

ConsentX hilft dabei, wichtige Datenschutzkontrollen operativ umzusetzen, etwa Einwilligungsmanagement, Tracker-Erkennung, Skript-Blockierung vor Einwilligung, Verwaltung von Verbraucher-Opt-outs, Workflows für Rechtsanfragen und Prüfnachweise. Keine Software kann jedoch für sich allein die Einhaltung des Gesetzes garantieren. Organisationen sollten ihr gesamtes Datenschutzprogramm am OCPA und allen weiteren geltenden Gesetzen messen.