Indiana Consumer Data Protection Act (ICDPA): Datenschutz für Shopify-Shops
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des ICDPA in Indiana zu erfüllen: mit Cookie-Einwilligung, Opt-out von gezielter Werbung und Datenverkauf sowie der Bearbeitung von Datenschutzanfragen.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist der ICDPA?
Der Indiana Consumer Data Protection Act (ICDPA) ist das umfassende Verbraucherdatenschutzgesetz Indianas. Er wurde 2023 als Senate Enrolled Act 5 verabschiedet und ist im Indiana Code 24-15 kodifiziert. Er orientiert sich eng am Virginia Consumer Data Protection Act, gibt Einwohnern Indianas Rechte an ihren personenbezogenen Daten und legt Regeln für die Unternehmen fest, die diese Daten erheben.
Nach dem ICDPA haben Verbraucher in Indiana das Recht:
- Zu erfahren, ob ein Unternehmen ihre personenbezogenen Daten verarbeitet, und eine Kopie oder eine repräsentative Zusammenfassung der von ihnen bereitgestellten Daten zu erhalten
- Unrichtigkeiten in den von ihnen bereitgestellten personenbezogenen Daten zu berichtigen
- Personenbezogene Daten löschen zu lassen, die sie bereitgestellt haben oder die über sie erlangt wurden
- Ihre personenbezogenen Daten in einem übertragbaren, leicht nutzbaren Format zu erhalten
- Gezielter Werbung, dem Verkauf ihrer personenbezogenen Daten und Profiling mit rechtlichen oder ähnlich erheblichen Wirkungen zu widersprechen (Opt-out)
Das Gesetz definiert außerdem sensible Daten. Dazu gehören rassische oder ethnische Herkunft, religiöse Überzeugungen, Gesundheitsdiagnosen, sexuelle Orientierung, Staatsangehörigkeit oder Einwanderungsstatus, genetische oder biometrische Daten zur Identifizierung einer Person, genaue Standortdaten und personenbezogene Daten eines bekannten Kindes.
Für wen gilt der ICDPA?
Der ICDPA gilt für Unternehmen, die in Indiana tätig sind oder Produkte oder Dienstleistungen gezielt an Einwohner Indianas richten und in einem Kalenderjahr entweder die personenbezogenen Daten von mindestens 100.000 Verbrauchern in Indiana verarbeiten oder die personenbezogenen Daten von mindestens 25.000 Verbrauchern in Indiana verarbeiten und mehr als 50 % ihres Bruttoumsatzes mit dem Verkauf personenbezogener Daten erzielen.
Ausgenommen sind unter anderem Behörden, Finanzinstitute, unter HIPAA fallende Stellen (Covered Entities), gemeinnützige Organisationen, Hochschulen und öffentliche Versorgungsunternehmen.
Was passiert, wenn ich den ICDPA nicht einhalte?
Allein der Attorney General von Indiana ist für die Durchsetzung des ICDPA zuständig. Die wichtigsten Punkte:
- Nachbesserungsfrist: Bevor er Klage erhebt, muss der Attorney General das Unternehmen schriftlich benachrichtigen und ihm 30 Tage Zeit geben, den Verstoß zu beheben und schriftlich zu bestätigen, dass er sich nicht wiederholt. Diese Nachbesserungsfrist gilt dauerhaft und läuft nicht aus.
- Zivilrechtliche Strafen: Bis zu 7.500 $ pro Verstoß, zusammen mit einer gerichtlichen Anordnung, den Verstoß einzustellen.
- Kosten: Der Attorney General kann angemessene Ermittlungskosten und Anwaltsgebühren erstattet verlangen.
- Kein privates Klagerecht: Verbraucher können ein Unternehmen nach dem ICDPA nicht direkt verklagen. Sie können sich beim Attorney General beschweren.
Wann ist der ICDPA in Kraft getreten?
Der ICDPA ist am 1. Januar 2026 in Kraft getreten. Unternehmen, die seine Schwellenwerte erreichen, müssen ihn schon jetzt einhalten.
Den ICDPA einhalten
Wenn Ihr Onlineshop die Schwellenwerte des ICDPA erreicht, sind bei Cookies und Tracking vor allem diese Schritte wichtig:
- Bieten Sie ein Opt-out von gezielter Werbung und Verkauf an. Werbepixel und Tags, die Besucher über andere Websites hinweg verfolgen, gelten in der Regel als gezielte Werbung. Wenn Sie personenbezogene Daten verkaufen oder für gezielte Werbung nutzen, müssen Sie dies klar und deutlich offenlegen und erklären, wie Verbraucher widersprechen können. Üblich sind dafür ein sichtbarer Opt-out-Link und ein Cookie-Banner mit klaren Auswahlmöglichkeiten. Der ICDPA verpflichtet Unternehmen nicht, universelle Opt-out-Signale wie Global Privacy Control zu beachten.
- Holen Sie für sensible Daten eine Opt-in-Einwilligung ein. Sensible Daten wie genaue Standortdaten dürfen Sie nicht ohne die Einwilligung des Verbrauchers verarbeiten. Daten eines bekannten Kindes müssen nach dem bundesweiten Children’s Online Privacy Protection Act behandelt werden.
- Veröffentlichen Sie eine klare Datenschutzerklärung. Sie muss beschreiben, welche Kategorien personenbezogener Daten Sie verarbeiten, warum Sie sie verarbeiten, welche Kategorien Sie an Dritte weitergeben und wer diese Dritten sind, und wie Verbraucher ihre Rechte ausüben und gegen Ihre Entscheidungen Einspruch einlegen können.
- Bearbeiten Sie Verbraucheranfragen fristgerecht. Bieten Sie mindestens einen sicheren und zuverlässigen Weg, Anfragen zu stellen, ohne dass ein neues Konto nötig ist. Antworten Sie innerhalb von 45 Tagen, einmalig um weitere 45 Tage verlängerbar, wenn dies vernünftigerweise erforderlich ist, und beantworten Sie Einsprüche innerhalb von 60 Tagen.
- Erheben Sie nur, was Sie brauchen. Beschränken Sie personenbezogene Daten auf das, was für die offengelegten Zwecke angemessen, erheblich und vernünftigerweise erforderlich ist, und schützen Sie sie mit angemessenen Sicherheitsmaßnahmen.
Einfacher geht es mit einer Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance. Sie ist für Shopify-Shops entwickelt und bietet ein Cookie-Banner mit Opt-out-Optionen für US-Bundesstaaten, einen Link „Do not sell or share my personal information“, automatisches Scannen und Kategorisieren von Cookies, eine Cookie-Erklärung, Einwilligungsprotokolle und die Bearbeitung von Anfragen Betroffener. Mit regionsspezifischen Banner-Einstellungen zeigen Sie Besuchern aus Indiana je nach Standort die passende Darstellung.
Jedes Unternehmen ist anders. Lassen Sie Ihre Pflichten nach dem ICDPA daher gegebenenfalls rechtlich prüfen.