Virginia CDPA: Was Ihre Website Kunden in Virginia bieten muss

Gilt der CDPA für Ihr Unternehmen?

Das Gesetz erfasst Unternehmen, die in Virginia tätig sind oder Produkte oder Dienstleistungen an seine Einwohner richten und die in einem Kalenderjahr:

• Mengentest: personenbezogene Daten von mindestens 100.000 Verbrauchern kontrollieren oder verarbeiten; oder
• Datenverkaufstest: personenbezogene Daten von mindestens 25.000 Verbrauchern kontrollieren oder verarbeiten und über 50 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielen.

Verbraucher sind Einwohner Virginias, die privat oder für ihren Haushalt handeln, nicht im geschäftlichen Kontext oder als Beschäftigte. Zählen Sie diese Personen, nicht Seitenaufrufe. Einen reinen Umsatztest gibt es nicht.

Die Bestimmung zum Anwendungsbereich nimmt gemeinnützige Organisationen, Hochschulen, öffentliche Stellen, GLBA-regulierte Finanzinstitute und unter HIPAA fallende Einrichtungen (Covered Entities) aus, ebenso bestimmte Daten wie geschützte Gesundheitsinformationen und Beschäftigtendaten.

Wie unterscheiden sich die Definitionen in Virginia von denen in Kalifornien?

Der kalifornische CCPA unterscheidet sich: Er hat einen Umsatztest, zählt auch andere geldwerte Gegenleistungen als Verkauf und regelt die „Weitergabe“ für kontextübergreifende verhaltensbasierte Werbung. Bewerten Sie den CCPA separat.

Wie sollte der Widerspruch gegen zielgerichtete Werbung funktionieren?

Wenn Sie personenbezogene Daten verkaufen oder für zielgerichtete Werbung nutzen, verlangt Virginia, dass Sie diese Tätigkeit und die Widerspruchsmöglichkeit klar und deutlich offenlegen. Verbraucher können außerdem Profiling widersprechen, das rechtliche oder ähnlich erhebliche Wirkungen hat.

Der Widerspruch muss die Aktivität erreichen, nicht nur das Banner. Beispiel: Ein Onlineshop bildet Werbezielgruppen aus Browsing- und Kaufdaten. Wenn ein Kunde aus Virginia widerspricht, müssen sowohl das Retargeting-Tag als auch der nächtliche Upload der Kundenliste aufhören, seine Daten zu nutzen, während Bestellungen und Support weiterlaufen.

Das Gesetz in Virginia verlangt nicht, dass Sie Browsersignale wie Global Privacy Control anerkennen. GPC zu beachten ist hier eine praktische Entscheidung, keine Anforderung des CDPA.

Wann brauchen Sie eine Einwilligung?

Die Pflichten der Verantwortlichen verlangen eine Einwilligung, bevor Sie sensible Daten verarbeiten: Daten, die die rassische oder ethnische Herkunft, religiöse Überzeugungen, eine Gesundheitsdiagnose, die sexuelle Orientierung oder die Staatsbürgerschaft oder den Einwanderungsstatus offenbaren; genetische oder biometrische Daten, die zur Identifizierung einer Person verwendet werden; Daten eines bekannten Kindes; und genaue Standortdaten.

Einwilligung bedeutet eine klare bestätigende Handlung, die freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgt. Sie ist auch für Zwecke nötig, die für die offengelegten Zwecke weder angemessen notwendig noch mit ihnen vereinbar sind.

Änderung zum 1. Juli 2026: Eine Änderung von § 59.1-578 (2026 Acts of Assembly, chapter 820) verbietet es, die genauen Standortdaten eines Verbrauchers zu verkaufen oder zum Verkauf anzubieten. Eine Einwilligung hebt dieses Verbot nicht auf.

Seit dem 1. Januar 2025 dürfen Daten eines bekannten Kindes nur mit nachprüfbarer elterlicher Einwilligung nach COPPA für zielgerichtete Werbung, Verkauf oder Profiling mit erheblichen Auswirkungen genutzt werden. Auch die Erhebung genauer Standortdaten eines bekannten Kindes erfordert diese Einwilligung, muss für den Dienst notwendig sein und setzt ein sichtbares Signal voraus, solange sie andauert.

Wie müssen Sie mit Anfragen und Einsprüchen umgehen?

Verbraucher können Auskunft über ihre Daten verlangen, sie berichtigen und löschen lassen (auch Daten, die über sie beschafft wurden), eine übertragbare Kopie der von ihnen bereitgestellten Daten erhalten und widersprechen. Ihr Datenschutzhinweis muss einen sicheren und zuverlässigen Weg für Anfragen beschreiben, und Sie dürfen kein neues Konto verlangen.

Antworten Sie innerhalb von 45 Tagen oder verlängern Sie einmalig um 45 Tage, mit einer Begründung innerhalb der ersten Frist. Antworten sind bis zu zweimal pro Jahr kostenlos.

Wenn Sie ablehnen, erklären Sie den Grund und wie man Einspruch einlegt. Nach der Bestimmung zu den Verbraucherrechten muss der Einspruchsweg gut sichtbar sein und dem Anfrageverfahren ähneln. Beantworten Sie Einsprüche innerhalb von 60 Tagen schriftlich; wenn Sie einen ablehnen, teilen Sie dem Verbraucher mit, wie er sich beim Attorney General beschweren kann.

Welche Aktivitäten brauchen eine dokumentierte Bewertung?

Die Bestimmung zu Bewertungen verlangt eine dokumentierte Datenschutzbewertung für zielgerichtete Werbung, Verkauf, sensible Daten, riskantes Profiling, andere Verarbeitungen mit hohem Risiko und Onlinedienste, die sich an bekannte Kinder richten. Wägen Sie Nutzen und Risiken ab und dokumentieren Sie Ihre Schutzmaßnahmen.

Website-Checkliste

• Anwendungsbereich: Dokumentieren Sie, welchen Test Sie erfüllen oder welche Ausnahme gilt, mit Datum.
• Widerspruch: Widersprechen Sie als Testnutzer; Retargeting-Tags und Zielgruppenexporte sollten für diesen Nutzer stoppen.
• Sensible Daten: Gehen Sie Formulare und Standortfunktionen durch; nichts aus diesen Kategorien sollte verarbeitet werden, bevor die Einwilligung erfasst ist.
• Standortdaten: Prüfen Sie Verträge und SDKs; keines davon sollte genaue Standortdaten verkaufen.
• Einspruch durchspielen: Lehnen Sie eine Testanfrage ab und legen Sie Einspruch ein; die schriftliche Ablehnung sollte erklären, wie man den Attorney General kontaktiert.
• Bewertungen und Auftragsverarbeiter: Überprüfen Sie Bewertungen und Verträge mit Auftragsverarbeitern, wenn sich ein Tool oder Zweck ändert.

FAQ