Compliance mit dem Texas Data Privacy & Security Act durch ConsentX

Der Texas Data Privacy and Security Act (TDPSA) ist das umfassende Verbraucherdatenschutzgesetz von Texas. Es regelt die Erhebung, Nutzung, Verarbeitung und Behandlung personenbezogener Daten von Verbrauchern und ist am 1. Juli 2024 in Kraft getreten.

Verbraucher in Texas haben grundsätzlich das Recht, eine Bestätigung darüber zu erhalten, ob ein Verantwortlicher ihre personenbezogenen Daten verarbeitet, Auskunft über ihre personenbezogenen Daten zu erhalten, Unrichtigkeiten in ihren personenbezogenen Daten berichtigen zu lassen, von ihnen bereitgestellte oder über sie erlangte personenbezogene Daten löschen zu lassen, eine übertragbare Kopie ihrer personenbezogenen Daten zu erhalten, zielgerichteter Werbung zu widersprechen, dem Verkauf personenbezogener Daten zu widersprechen und bestimmten Profiling-Aktivitäten mit rechtlichen oder ähnlich erheblichen Auswirkungen zu widersprechen.

Der TDPSA verlangt nicht für jede Art der Verarbeitung personenbezogener Daten eine Einwilligung. Verantwortliche müssen jedoch vor der Verarbeitung sensibler Daten eine Einwilligung einholen; in bestimmten Konstellationen können zusätzliche Einwilligungserfordernisse gelten.

Zu sensiblen Daten zählen bestimmte Informationen über rassische oder ethnische Herkunft, religiöse Überzeugungen, psychische oder körperliche Gesundheitszustände oder Diagnosen, Sexualität, Staatsangehörigkeits- oder Aufenthaltsstatus, genetische oder biometrische Daten zur eindeutigen Identifizierung, personenbezogene Daten von Kindern unter 13 Jahren sowie genaue Standortdaten.

Ja. Verbraucher haben das Recht, der Verarbeitung ihrer personenbezogenen Daten für zielgerichtete Werbung zu widersprechen.

Ja. Der TDPSA gibt Verbrauchern das Recht, dem Verkauf ihrer personenbezogenen Daten zu widersprechen.

Ja. Verbraucher können Profiling widersprechen, das der Vorbereitung von Entscheidungen mit rechtlichen oder ähnlich erheblichen Auswirkungen dient.

Der TDPSA sieht bestimmte Mechanismen vor, über die Verbraucher ihre Opt-out-Rechte ausüben können, darunter bevollmächtigte Vertreter und Technologien, die die gesetzlichen Anforderungen erfüllen. Organisationen sollten ihre Umsetzung universeller oder browserbasierter Datenschutzsignale gemeinsam mit den Anforderungen anderer geltender Datenschutzgesetze der Bundesstaaten bewerten.

Der TDPSA regelt die Verarbeitung personenbezogener Daten und nicht Cookies als eigenständige Technologie. Cookies, Pixel, Werbe-Tags, SDKs und andere Tracking-Technologien können gleichwohl personenbezogene Daten verarbeiten oder zielgerichtete Werbung unterstützen. Deshalb können das Aufspüren von Trackern und die Durchsetzung der Datenschutzentscheidungen von Verbrauchern wichtige Bestandteile eines TDPSA-Compliance-Programms sein.

Ja. Verantwortliche müssen einen angemessen zugänglichen und klaren Datenschutzhinweis bereitstellen, der die relevanten Kategorien und Zwecke der Verarbeitung personenbezogener Daten, die einschlägigen Offenlegungen gegenüber Dritten und die Wege zur Ausübung der Verbraucherrechte beschreibt.

Ja. Verantwortliche müssen für bestimmte Verarbeitungsaktivitäten Datenschutz-Folgenabschätzungen durchführen und dokumentieren, darunter zielgerichtete Werbung, den Verkauf personenbezogener Daten, bestimmtes Profiling, die Verarbeitung sensibler Daten und weitere Verarbeitungen mit erhöhtem Schadensrisiko für Verbraucher.

Verantwortliche müssen auf Verbraucheranfragen grundsätzlich innerhalb von 45 Tagen nach Eingang antworten. Die Frist kann um weitere 45 Tage verlängert werden, wenn dies vernünftigerweise erforderlich ist und die geltenden Voraussetzungen erfüllt sind.

Grundsätzlich müssen Verantwortliche Informationen auf eine Verbraucheranfrage hin mindestens zweimal jährlich unentgeltlich bereitstellen. Für offensichtlich unbegründete, exzessive oder sich wiederholende Anfragen können nach Maßgabe des Gesetzes bestimmte Gebühren zulässig sein.

Ja. Der TDPSA sieht einen erhöhten Schutz für Daten bekannter Kinder vor, einschließlich Anforderungen an die elterliche Einwilligung. Das Gesetz behandelt personenbezogene Daten von Kindern unter 13 Jahren zudem als sensible Daten.

Der Attorney General von Texas hat die ausschließliche Befugnis zur Durchsetzung des TDPSA. Das Gesetz begründet kein privates Klagerecht bei Verstößen.

ConsentX hilft dabei, wichtige Datenschutzkontrollen operativ umzusetzen, etwa Einwilligungsmanagement, Tracker-Erkennung, Skript-Blockierung vor Einwilligung, Verwaltung von Verbraucher-Opt-outs, Workflows für Rechtsanfragen und Prüfnachweise. Keine Software kann jedoch für sich allein die Einhaltung des Gesetzes garantieren. Organisationen sollten ihr gesamtes Datenschutzprogramm am TDPSA und allen weiteren geltenden Gesetzen messen.