Utah UCPA: Für wen er gilt und was Websites tun müssen

Gilt der UCPA für Ihr Unternehmen?

Gehen Sie diese Schritte der Reihe nach durch. Der UCPA gilt nur, wenn Sie die Schritte 1–3 mit Ja beantworten und keine Ausnahme greift.

1. Bezug zu Utah: Sind Sie in Utah geschäftlich tätig oder bieten Sie ein Produkt oder eine Dienstleistung an, die sich an Einwohner von Utah richtet?
2. Umsatz: Beträgt Ihr Jahresumsatz 25.000.000 $ oder mehr? Der Umsatz allein bringt Sie nie in den Anwendungsbereich.
3. Daten: Kontrollieren oder verarbeiten Sie in einem Kalenderjahr personenbezogene Daten von 100.000 oder mehr Verbrauchern in Utah, oder erzielen Sie über 50 % Ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten und verarbeiten dabei Daten von 25.000 oder mehr Verbrauchern?
4. Ausnahmen: Sind Sie eine ausgenommene Organisation, oder sind die Daten selbst ausgenommen?

Die Bestimmung zum Anwendungsbereich nimmt unter anderem gemeinnützige Körperschaften, Hochschulen, staatliche Stellen, indigene Stämme, unter HIPAA fallende Covered Entities und Business Associates, dem GLBA unterliegende Finanzinstitute sowie Fluggesellschaften aus. Zu den ausgenommenen Daten gehören geschützte Gesundheitsinformationen sowie Daten von Beschäftigten oder Stellenbewerbern.

Verbraucher ist eine in Utah ansässige Person, die im privaten oder häuslichen Kontext handelt. Zählen Sie die Einwohner von Utah, deren Daten Sie verarbeiten, nicht die Seitenaufrufe, und halten Sie die Zahlen hinter Ihrer Entscheidung in einer datierten Notiz fest.

Was muss eine erfasste Website bieten?

Ihre Datenschutzerklärung muss angemessen zugänglich und klar sein und Folgendes abdecken: die Kategorien personenbezogener Daten, die Zwecke, wie Rechte ausgeübt werden können sowie die Kategorien weitergegebener Daten und der Dritten, die sie erhalten.

Wenn Sie personenbezogene Daten verkaufen oder zielgerichtete Werbung betreiben, müssen Sie klar und gut sichtbar offenlegen, wie Verbraucher widersprechen können. In Utah setzt ein Verkauf eine Gegenleistung in Geld voraus, während zielgerichtete Werbung eine eigene Tätigkeit ist. Die Aussage „Wir verkaufen keine Daten“ klärt deshalb nicht das Opt-out für Werbung.

Beispiel: Ein erfasster Händler nutzt ein Werbenetzwerk, um Besucher auf nicht verbundenen Websites zu erreichen. Widerspricht ein Kunde aus Utah der zielgerichteten Werbung, prüfen Sie sowohl das Browser-Tag als auch jeden Zielgruppen-Upload, der seine Daten verwendet. Die Bestellabwicklung kann weiterlaufen.

Der UCPA erwähnt Opt-out-Signale des Browsers wie Global Privacy Control nicht. Ob Sie GPC für Besucher aus Utah berücksichtigen, entscheiden Sie selbst; der UCPA verlangt es nicht.

Wie behandelt Utah sensible Daten?

Sensible Daten umfassen Daten, die die rassische oder ethnische Herkunft, religiöse Überzeugungen, die sexuelle Orientierung, die Staatsangehörigkeit oder den Einwanderungsstatus oder die Krankengeschichte und Gesundheitsinformationen offenlegen; genetische oder biometrische Daten, die zur Identifizierung einer Person verarbeitet werden; sowie präzise Standortdaten mit einer Genauigkeit innerhalb von 1.750 Fuß (etwa 530 Meter). Nach den Pflichten des Verantwortlichen müssen Sie vor der Verarbeitung einen klaren Hinweis und die Möglichkeit zum Widerspruch geben.

Das ist der wichtigste Unterschied in Utah. Andere Bundesstaaten verlangen für dieselbe Art von Daten eine vorherige Opt-in-Einwilligung:

Wenn Sie eine einheitliche Lösung für mehrere Bundesstaaten betreiben, können Sie sich für ein Opt-in für alle entscheiden. Beschreiben Sie das als Ihre eigene Richtlinie und nicht als Vorgabe aus Utah.

Welche Rechte müssen Sie unterstützen?

Verbraucher in Utah können:

• bestätigen lassen, ob Sie ihre personenbezogenen Daten verarbeiten, und darauf zugreifen;
• personenbezogene Daten löschen lassen, die sie Ihnen bereitgestellt haben;
• eine übertragbare Kopie der personenbezogenen Daten erhalten, die sie zuvor bereitgestellt haben;
• Sie bitten, unrichtige personenbezogene Daten zu berichtigen;
• der zielgerichteten Werbung und dem Verkauf personenbezogener Daten widersprechen.

Änderung zum 1. Juli 2026: Eine Gesetzesänderung aus dem Jahr 2025 zu Utah Code § 13-61-201 (Laws of Utah 2025, Chapter 468) hat das Recht auf Berichtigung unrichtiger Daten eingeführt, unter Berücksichtigung der Art der Daten und der Zwecke der Verarbeitung. Nehmen Sie die Berichtigung in Ihre Datenschutzerklärung und Ihr Anfrageformular auf, wenn dort nur die ursprünglichen Rechte aufgeführt sind.

Utah kennt kein Widerspruchsrecht gegen Profiling und kein vorgeschriebenes Einspruchsverfahren, und die Löschung umfasst nur Daten, die der Verbraucher selbst bereitgestellt hat. Sie können mehr anbieten, sollten zusätzliche Rechte aber als Ihre eigene Richtlinie darstellen, nicht als Vorgaben des UCPA.

Nach den Regeln zur Beantwortung müssen Sie innerhalb von 45 Tagen auf eine Anfrage reagieren. Bei komplexen oder zahlreichen Anfragen können Sie die Frist einmal um 45 Tage verlängern, wenn Sie den Verbraucher vor Ablauf der ersten Frist darüber informieren. Lehnen Sie ab, nennen Sie Ihre Gründe innerhalb von 45 Tagen. Die erste Anfrage innerhalb von 12 Monaten ist kostenlos.

Website-Checkliste

• Nachweis zum Anwendungsbereich: Notieren Sie Ihre Umsatzzahl, das erfüllte Datenkriterium und etwaige Ausnahmen, mit Datum.
• Opt-out-Test: Widersprechen Sie als Testnutzer der zielgerichteten Werbung; Werbe-Tags und Zielgruppen-Uploads sollten für diesen Nutzer stoppen.
• Sensible Daten: Hinweis und Widerspruchsmöglichkeit sollten erscheinen, bevor ein Formular oder eine Funktion sensible Daten erfasst.
• Formular für Betroffenenrechte: Es sollte neben Auskunft, Löschung, Datenübertragbarkeit und den Opt-outs auch die Berichtigung anbieten.
• Antwortfrist: Erfassen Sie eine Testanfrage und prüfen Sie, ob sie innerhalb von 45 Tagen beantwortet wird.

FAQ