Kentucky Consumer Data Protection Act (KCDPA): Datenschutz für Shopify-Shops
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des KCDPA in Kentucky zu erfüllen: mit Cookie-Einwilligung, Opt-out von gezielter Werbung und Datenverkauf sowie der Bearbeitung von Datenschutzanfragen.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist der KCDPA?
Der Kentucky Consumer Data Protection Act (KCDPA) ist das umfassende Verbraucherdatenschutzgesetz Kentuckys. Er wurde 2024 als House Bill 15 verabschiedet und in Kapitel 367 der Kentucky Revised Statutes aufgenommen. Er orientiert sich eng am Virginia Consumer Data Protection Act, gibt Einwohnern Kentuckys Rechte an ihren personenbezogenen Daten und legt Regeln für die Unternehmen fest, die diese Daten erheben.
Nach dem KCDPA haben Verbraucher in Kentucky das Recht:
- Zu erfahren, ob ein Unternehmen ihre personenbezogenen Daten verarbeitet, und Zugang zu ihnen zu erhalten
- Unrichtigkeiten in ihren personenbezogenen Daten zu berichtigen
- Personenbezogene Daten löschen zu lassen, die sie bereitgestellt haben oder die über sie erlangt wurden
- Eine übertragbare Kopie der von ihnen bereitgestellten personenbezogenen Daten zu erhalten
- Gezielter Werbung, dem Verkauf ihrer personenbezogenen Daten und Profiling mit rechtlichen oder ähnlich erheblichen Wirkungen zu widersprechen (Opt-out)
Das Gesetz definiert außerdem sensible Daten. Dazu gehören rassische oder ethnische Herkunft, religiöse Überzeugungen, Gesundheitsdiagnosen, sexuelle Orientierung, Staatsangehörigkeit oder Einwanderungsstatus, genetische oder biometrische Daten zur Identifizierung einer Person, genaue Standortdaten und personenbezogene Daten, die von einem bekannten Kind erhoben wurden.
Für wen gilt der KCDPA?
Der KCDPA gilt für Unternehmen, die in Kentucky tätig sind oder Produkte oder Dienstleistungen gezielt an Einwohner Kentuckys richten und in einem Kalenderjahr entweder die personenbezogenen Daten von mindestens 100.000 Verbrauchern verarbeiten oder die personenbezogenen Daten von mindestens 25.000 Verbrauchern verarbeiten und mehr als 50 % ihres Bruttoumsatzes mit dem Verkauf personenbezogener Daten erzielen.
Ausgenommen sind unter anderem Behörden, Finanzinstitute, die dem Gramm-Leach-Bliley Act unterliegen, unter HIPAA fallende Stellen (Covered Entities) und ihre Geschäftspartner (Business Associates), gemeinnützige Organisationen und Hochschulen.
Was passiert, wenn ich den KCDPA nicht einhalte?
Allein der Attorney General von Kentucky ist für die Durchsetzung des KCDPA zuständig. Die wichtigsten Punkte:
- Nachbesserungsfrist: Bevor er Klage erhebt, muss der Attorney General das Unternehmen schriftlich benachrichtigen und ihm 30 Tage Zeit geben, den Verstoß zu beheben und schriftlich zu bestätigen, dass er sich nicht wiederholt. Diese Nachbesserungsfrist gilt dauerhaft und läuft nicht aus.
- Strafen: Dauert der Verstoß nach Ablauf der Nachbesserungsfrist an oder wird die schriftliche Erklärung verletzt, kann der Attorney General bis zu 7.500 $ für jeden fortgesetzten Verstoß verlangen.
- Kosten: Der Attorney General kann angemessene Ermittlungskosten, Gerichtskosten und Anwaltsgebühren erstattet verlangen.
- Kein privates Klagerecht: Verbraucher können ein Unternehmen nach dem KCDPA nicht direkt verklagen. Sie können sich beim Attorney General beschweren.
Wann ist der KCDPA in Kraft getreten?
Der KCDPA ist am 1. Januar 2026 in Kraft getreten. Unternehmen, die seine Schwellenwerte erreichen, müssen ihn schon jetzt einhalten.
Den KCDPA einhalten
Wenn Ihr Onlineshop die Schwellenwerte des KCDPA erreicht, sind bei Cookies und Tracking vor allem diese Schritte wichtig:
- Bieten Sie ein Opt-out von gezielter Werbung und Verkauf an. Werbepixel und Tags, die Besucher über andere Websites hinweg verfolgen, gelten in der Regel als gezielte Werbung. Wenn Sie personenbezogene Daten verkaufen oder für gezielte Werbung nutzen, müssen Sie dies klar und deutlich offenlegen und erklären, wie Verbraucher widersprechen können. Üblich sind dafür ein sichtbarer Opt-out-Link und ein Cookie-Banner mit klaren Auswahlmöglichkeiten. Der KCDPA verpflichtet Unternehmen nicht, universelle Opt-out-Signale wie Global Privacy Control zu beachten.
- Holen Sie für sensible Daten eine Opt-in-Einwilligung ein. Sensible Daten wie genaue Standortdaten dürfen Sie nicht ohne die Einwilligung des Verbrauchers verarbeiten. Daten, die von einem bekannten Kind erhoben wurden, müssen nach dem bundesweiten Children’s Online Privacy Protection Act behandelt werden.
- Veröffentlichen Sie eine klare Datenschutzerklärung. Sie muss beschreiben, welche Kategorien personenbezogener Daten Sie verarbeiten, warum Sie sie verarbeiten, welche Kategorien Sie an Dritte weitergeben und wer diese Dritten sind, und wie Verbraucher ihre Rechte ausüben und gegen Ihre Entscheidungen Einspruch einlegen können.
- Bearbeiten Sie Verbraucheranfragen fristgerecht. Bieten Sie mindestens einen sicheren und zuverlässigen Weg, Anfragen zu stellen, ohne dass ein neues Konto nötig ist. Antworten Sie innerhalb von 45 Tagen, einmalig um weitere 45 Tage verlängerbar, wenn dies vernünftigerweise erforderlich ist, und beantworten Sie Einsprüche innerhalb von 60 Tagen.
- Erheben Sie nur, was Sie brauchen. Beschränken Sie personenbezogene Daten auf das, was für die offengelegten Zwecke angemessen, erheblich und vernünftigerweise erforderlich ist, und schützen Sie sie mit angemessenen Sicherheitsmaßnahmen.
Einfacher geht es mit einer Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance. Sie ist für Shopify-Shops entwickelt und bietet ein Cookie-Banner mit Opt-out-Optionen für US-Bundesstaaten, einen Link „Do not sell or share my personal information“, automatisches Scannen und Kategorisieren von Cookies, eine Cookie-Erklärung, Einwilligungsprotokolle und die Bearbeitung von Anfragen Betroffener. Mit regionsspezifischen Banner-Einstellungen zeigen Sie Besuchern aus Kentucky je nach Standort die passende Darstellung.
Jedes Unternehmen ist anders. Lassen Sie Ihre Pflichten nach dem KCDPA daher gegebenenfalls rechtlich prüfen.