Colorado Privacy Act: GPC, Daten Minderjähriger und was Ihre Website tun muss

Gilt der CPA für Ihre Organisation?

Die allgemeinen Regeln erfassen Verantwortliche, die in Colorado geschäftlich tätig sind oder sich gezielt an seine Einwohner richten und die:

• Menge: in einem Kalenderjahr personenbezogene Daten von 100.000 oder mehr Verbrauchern in Colorado kontrollieren oder verarbeiten; oder
• Datenverkäufe: Einnahmen oder einen Rabatt aus dem Verkauf personenbezogener Daten erzielen und Daten von 25.000 oder mehr Verbrauchern kontrollieren oder verarbeiten.

Es gibt keinen Umsatzschwellenwert, und die Hinweise des Attorney General bestätigen, dass gemeinnützige Organisationen erfasst sind, anders als in Virginia und Utah. Ausnahmen gelten unter anderem für GLBA-Finanzinstitute, Fluggesellschaften, unter HIPAA fallende Daten und Beschäftigtendaten.

Die Regeln zu Minderjährigen und biometrischen Daten reichen weiter: Sie gelten auch für Verantwortliche unterhalb dieser Schwellenwerte, wie die Tabelle unten zeigt.

Was hat sich seit Inkrafttreten des Gesetzes geändert?

Wie müssen Sie mit GPC und anderen Opt-out-Signalen umgehen?

Wenn Sie personenbezogene Daten verkaufen oder für zielgerichtete Werbung nutzen, verlangt der CPA, dass Sie Widersprüche akzeptieren, die über einen anerkannten universellen Opt-out-Mechanismus gesendet werden. Die Liste des Attorney General nennt derzeit einen: Global Privacy Control (GPC).

Nach den CPA Rules ist GPC ein gültiger Widerspruch gegen zielgerichtete Werbung und Verkauf für diesen Browser oder dieses Gerät und, wenn Sie die Person kennen, für diesen Verbraucher. Er bleibt wirksam, bis die Person einwilligt; ein späterer Besuch ohne Signal ist keine Einwilligung, und Sie dürfen keine Anmeldung verlangen.

Direkte Widerspruchsmöglichkeiten bleiben wichtig: Zeigen Sie die Opt-out-Methode in Ihrem Datenschutzhinweis und an einer zugänglichen Stelle außerhalb davon, etwa als Link im Footer. Der Hinweis muss außerdem erklären, wie Sie Opt-out-Signale verarbeiten.

Passiro verarbeitet GPC in jedem Tarif und behandelt das Signal als Widerspruch; der GPC-Leitfaden erklärt, wie Sie testen, was Ihre Tags und serverseitigen Abläufe damit tun.

Was gilt für Nutzer unter 18 Jahren?

Seit dem 1. Oktober 2025 gilt SB24-041, wenn Sie einen Onlinedienst für jemanden anbieten, von dem Sie wissen oder bewusst ignorieren, dass er unter 18 ist. Sie müssen angemessene Sorgfalt walten lassen, um ein erhöhtes Schadensrisiko für Minderjährige zu vermeiden.

Ohne Einwilligung der minderjährigen Person oder, wenn sie unter 13 ist, eines Elternteils oder Vormunds dürfen Sie nicht:

• die Daten einer minderjährigen Person für zielgerichtete Werbung, Verkauf oder Profiling mit erheblichen Auswirkungen verarbeiten;
• sie über die bei der Erhebung offengelegten Zwecke hinaus nutzen oder länger als nötig speichern;
• Designfunktionen einsetzen, um die Nutzung durch eine minderjährige Person erheblich zu steigern, aufrechtzuerhalten oder zu verlängern;
• genaue Standortdaten erheben, es sei denn, dies ist für den Dienst notwendig, sie werden nur so lange wie nötig gespeichert und der minderjährigen Person wird die Erhebung durchgehend angezeigt.

Das Gesetz verlangt keine Altersverifikation. Wenn eine Funktion ein erhöhtes Schadensrisiko schafft, dokumentieren Sie eine Bewertung und einen Plan zur Verringerung des Risikos, und verwenden Sie keine Einwilligungsanfragen, die darauf angelegt sind, die Entscheidung einer minderjährigen Person zu unterlaufen.

Wann brauchen Sie sonst eine Einwilligung?

Sie brauchen eine Einwilligung, bevor Sie sensible Daten verarbeiten oder verkaufen: Daten, die die rassische oder ethnische Herkunft, religiöse Überzeugungen, einen Gesundheitszustand oder eine Diagnose, das Sexualleben oder die sexuelle Orientierung oder den Staatsbürgerschaftsstatus offenbaren; genetische, biometrische, biologische oder neuronale Daten, die zur Identifizierung einer Person verwendet werden; Daten eines bekannten Kindes; und genaue Standortdaten innerhalb von 1.850 Fuß (etwa 560 Meter).

Eine Einwilligung ist außerdem nötig für Sekundärnutzungen, die für die offengelegten Zwecke nicht angemessen notwendig oder mit ihnen nicht vereinbar sind, sowie für zielgerichtete Werbung oder Verkauf nach einem Widerspruch. Die Annahme allgemein gehaltener Bedingungen oder eine durch Dark Patterns herbeigeführte Einwilligung zählen nicht.

Die CPA Rules verlangen, die Einwilligung für sensible Daten nach 24 Monaten ohne Interaktion zu erneuern, es sei denn, der Verbraucher kann seine Entscheidungen jederzeit auf einer Einstellungsseite ändern. Für biometrische Identifikatoren sind zudem eine öffentliche Aufbewahrungsrichtlinie und vor der Erhebung ein Hinweis auf Zweck und Aufbewahrung erforderlich.

Wie funktionieren Anfragen und Einsprüche?

Verbraucher können widersprechen, Auskunft über ihre Daten verlangen, sie berichtigen und löschen lassen und bis zu zweimal pro Kalenderjahr eine übertragbare Kopie erhalten. Für ein reines Onlineunternehmen reicht laut Attorney General eine E-Mail-Adresse als Anfrageweg.

Antworten Sie innerhalb von 45 Tagen (um 45 verlängerbar). Wenn Sie ablehnen, nennen Sie den Grund und wie man Einspruch einlegt. Der Einspruch muss gut sichtbar und so einfach wie die Anfrage sein; beantworten Sie ihn innerhalb von 45 Tagen (um 60 verlängerbar) schriftlich und teilen Sie dem Verbraucher mit, dass er sich an den Attorney General wenden kann.

Website-Checkliste

• GPC an: Besuchen Sie die Website mit aktiviertem GPC und dann erneut ohne; Werbe- und Verkaufs-Tags sollten beide Male deaktiviert bleiben, ohne Anmeldung.
• Bekannte Kunden: Ein angemeldeter Kunde, der widersprochen hat, sollte im nächsten Zielgruppen- oder Kundenlisten-Upload fehlen.
• Direkter Widerspruch: Nutzen Sie den Opt-out-Link im Footer als Testnutzer; er sollte dieselben Aktivitäten stoppen wie GPC.
• Einwilligung: Testen Sie Formulare und Standortabfragen; sensible Daten, einschließlich genauer Standortdaten, sollten nicht fließen, bevor die Einwilligung erfasst ist.
• Minderjährige: Bei bekannten Nutzern unter 18 sollten Werbung, Verkauf und genaue Standortdaten ohne Einwilligung deaktiviert bleiben.
• Anfrage und Einspruch: Lehnen Sie eine Testanfrage ab und legen Sie Einspruch ein; die schriftliche Antwort sollte den Attorney General erwähnen.

FAQ