Colorado Privacy Act (CPA): Datenschutz für Shopify-Shops
Pandectes GDPR Compliance hilft Shopify-Shops, die Vorgaben des CPA zu erfüllen: Die App scannt nach Cookies, liefert Berichte und sorgt für die Einhaltung der Datenschutzstandards.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist der CPA?
Der Colorado Privacy Act gibt Einwohnern Colorados bestimmte Rechte an ihren Daten und erlegt denjenigen, die Daten kontrollieren und verarbeiten, Pflichten auf. Er ähnelt in manchem anderen Gesetzen der Bundesstaaten wie dem California Privacy Rights Act (CPRA) und dem Consumer Data Protection Act (CDPA) von Virginia und orientiert sich zugleich an der Datenschutz-Grundverordnung (DSGVO) der EU.
Es gibt Gemeinsamkeiten, etwa Opt-out-Regelungen für die Erhebung und Verarbeitung von Daten, Schutzvorkehrungen für sensible Daten und die Einbindung von Privacy-by-Design-Grundsätzen. Die wesentlichen Unterschiede liegen jedoch im Detail. Darauf weist Kirk Nahra hin, ein erfahrener Datenschutzanwalt und Co-Vorsitzender bei Wilmer Hale.
So definieren der CPRA (Kalifornien) und der CPA (Colorado) „sensible Daten“ unterschiedlich. Wie Nahra betont, verlangt die Einhaltung des Gesetzes, diese Unterschiede sorgfältig zu berücksichtigen. Im Folgenden gehen wir auf die Definition sensibler Daten im CPA und seine weiteren Bestimmungen ein.
Für wen gilt der CPA?
Der Colorado Privacy Act gilt für „Verantwortliche“ (Controllers), die in Colorado geschäftlich tätig sind oder kommerzielle Produkte oder Dienstleistungen herstellen oder anbieten, die gezielt auf Einwohner Colorados ausgerichtet sind.
Was passiert, wenn ich den CPA nicht einhalte?
Der CPA legt keine eigenen Strafen oder Bußgelder für Verstöße fest. Verstöße gelten jedoch als irreführende Geschäftspraktik. Sie werden also nach dem Colorado Consumer Protection Act geahndet.
Die Bußgelder pro Verstoß reichen von 2.000 $ bis 20.000 $. Verstöße gegen den CPA können auch strafrechtliche Folgen haben.
Für die Durchsetzung des CPA sind der Attorney General von Colorado und die District Attorneys zuständig, die Unterlassungsanordnungen, Strafen und Vergleiche durchsetzen. Wichtig ist allerdings: Der CPA sieht kein privates Klagerecht vor. Einzelpersonen können Unternehmen also nicht wegen der Verletzung ihrer Rechte verklagen.
Bevor der Attorney General oder die District Attorneys Durchsetzungsmaßnahmen einleiten können, müssen sie dem betreffenden Unternehmen eine Mitteilung über den Verstoß zusenden. Diese Mitteilung räumt eine Nachbesserungsfrist von 60 Tagen ein, in der der Verstoß behoben werden kann.
Hält sich das Unternehmen nach Ablauf dieser Frist weiterhin nicht an die Vorgaben, können die District Attorneys oder der Attorney General Durchsetzungsmaßnahmen ergreifen.
Ab dem 1. Januar 2025 gilt die 60-tägige Nachbesserungsfrist nicht mehr. Stattdessen können Unternehmen beim Büro des Attorney General Auslegungshinweise und Stellungnahmen anfordern.
Wann tritt der CPA in Kraft?
Der CPA beauftragt den Attorney General von Colorado mit der Umsetzung und Durchsetzung des Gesetzes, einschließlich des Erlasses neuer Vorschriften. Der CPA ist Teil des Consumer Protection Act des Bundesstaats Colorado und tritt am 1. Juli 2023 in Kraft.
Den CPA einhalten
Der CPA ist eines der umfassenden Datenschutzgesetze, und auch andere Bundesstaaten wie Indiana, Iowa, Tennessee und Montana bringen eigene Datenschutzgesetze auf den Weg. Da Unternehmen in mehreren Bundesstaaten tätig sind, wird es immer schwieriger, das komplexe Geflecht einzelstaatlicher Datenschutzgesetze zu überblicken und einzuhalten.
Wer rechtskonform bleiben will, muss zuerst wissen, welche neuen Gesetze das eigene Unternehmen betreffen könnten. Es ist wichtig, diese Gesetze auf ihrem Weg durch die Parlamente der Bundesstaaten zu verfolgen. Dabei helfen passende Newsletter und Informationsquellen.
Wurde ein neues Gesetz verabschiedet, ist aber noch nicht in Kraft, empfiehlt es sich, den Text gemeinsam mit einer Rechtsberatung zu prüfen. Sie kann einschätzen, wo Sie stehen, und Sie beraten, was zu tun ist.
Um den Datenschutz einfacher umzusetzen, empfiehlt sich eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance. Eine CMP entlastet Ihr Team mit anpassbarer Einwilligungsverwaltung, automatisierten Auskunftsanfragen von Betroffenen und Werkzeugen zur Verwaltung von Cookies und Anbietern. Pandectes GDPR Compliance ist speziell für Shopify-Shops entwickelt und hilft Ihnen, in der sich ständig wandelnden Welt des Datenschutzes rechtskonform zu werden und zu bleiben.