Compliance mit dem Montana Consumer Data Protection Act (MCDPA)
Pandectes GDPR Compliance hilft Shopify-Shops, die Vorgaben des MCDPA zu erfüllen: Die App scannt nach Cookies, liefert Berichte und sorgt für die Einhaltung der Datenschutzstandards.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist der MCDPA?
Der Montana Consumer Data Protection Act (MCDPA) gibt den Einwohnern von Montana bestimmte Rechte an ihren Daten und erlegt denjenigen, die Daten kontrollieren und verarbeiten, Pflichten auf. Er ähnelt in manchen Punkten anderen Gesetzen der Bundesstaaten wie dem California Privacy Rights Act (CPRA) und dem Consumer Data Protection Act (CDPA) von Virginia und orientiert sich außerdem an der Datenschutz-Grundverordnung (DSGVO) der EU.
Es gibt zwar Gemeinsamkeiten, etwa Opt-out-Regelungen für die Erhebung und Verarbeitung von Daten, Schutzvorkehrungen für sensible Daten und die Einbindung von Privacy-by-Design-Grundsätzen, die wesentlichen Unterschiede liegen aber im Detail. Diese Einschätzung stammt von Kirk Nahra, einem erfahrenen Datenschutzanwalt und Co-Vorsitzenden bei Wilmer Hale.
So unterscheiden sich der CPRA (Kalifornien) und der MCDPA (Montana) etwa in ihrer Definition von „sensiblen Daten“. Wie Nahra betont, verlangt die Einhaltung des Gesetzes eine sorgfältige Berücksichtigung dieser Unterschiede. Im Folgenden gehen wir auf die Definition sensibler Daten im MCDPA und seine weiteren Bestimmungen ein.
Für wen gilt der MCDPA?
Der Montana Consumer Data Protection Act (MCDPA) gilt für „Verantwortliche“ (Controller), die in Montana geschäftlich tätig sind oder kommerzielle Produkte oder Dienstleistungen herstellen oder anbieten, die gezielt auf Einwohner von Montana ausgerichtet sind.
Was passiert, wenn ich den MCDPA nicht einhalte?
Der MCDPA legt keine konkreten Strafen oder Bußgelder für Verstöße fest. Verstöße gegen das Gesetz gelten jedoch als irreführende Geschäftspraktik. Sie werden daher nach dem Montana Consumer Protection Act geahndet.
Die Bußgelder pro Verstoß reichen von 2.000 $ bis 20.000 $. Verstöße gegen den MCDPA können auch strafrechtliche Folgen haben.
Für die Durchsetzung des MCDPA sind der Attorney General von Montana und die Bezirksstaatsanwälte zuständig, die Unterlassungsanordnungen, Strafen und Vergleiche umsetzen. Wichtig ist allerdings, dass der MCDPA kein privates Klagerecht vorsieht: Einzelpersonen können Unternehmen also nicht wegen der Verletzung ihrer Rechte verklagen.
Bevor der Attorney General oder die Bezirksstaatsanwälte Durchsetzungsmaßnahmen einleiten können, müssen sie dem betreffenden Unternehmen eine Mitteilung über den Verstoß zustellen. Damit erhält das Unternehmen eine Nachbesserungsfrist von 60 Tagen, in der es die Verstöße beheben kann.
Hält das Unternehmen die Vorgaben nach Ablauf dieser Frist weiterhin nicht ein, können die Bezirksstaatsanwälte oder der Attorney General Durchsetzungsmaßnahmen ergreifen.
Ab dem 1. Januar 2025 entfällt die 60-tägige Nachbesserungsfrist. Stattdessen können Unternehmen beim Büro des Attorney General Auslegungshilfen und Stellungnahmen anfordern.
Wann tritt der MCDPA in Kraft?
Der MCDPA beauftragt den Attorney General von Montana mit seiner Umsetzung und Durchsetzung, einschließlich des Erlasses neuer Vorschriften. Der MCDPA ist Teil des Consumer Protection Act des Bundesstaats Montana und tritt am 1. Juli 2025 in Kraft.
Den MCDPA einhalten
Der MCDPA ist eines der umfassenden Datenschutzgesetze, und auch andere Bundesstaaten wie Indiana, Iowa, Tennessee und Colorado bringen eigene Datenschutzgesetze auf den Weg. Da Unternehmen in mehreren Bundesstaaten tätig sind, wird es immer schwieriger, das komplexe Geflecht der Datenschutzgesetze der Bundesstaaten zu überblicken und einzuhalten.
Wer rechtskonform bleiben will, muss zuerst über die Gesetzesentwicklungen informiert sein, die das eigene Unternehmen betreffen könnten. Es ist wichtig, diese Gesetze auf ihrem Weg durch die Parlamente der Bundesstaaten zu verfolgen. Dabei helfen passende Newsletter und Informationsquellen.
Wenn ein neues Gesetz erlassen, aber noch nicht in Kraft ist, empfiehlt es sich, seinen Text gemeinsam mit einem Rechtsbeistand zu prüfen. Dieser kann einschätzen, wie es um Ihre Compliance steht, und Sie zu den nötigen Schritten beraten.
Um den Compliance-Prozess zu vereinfachen, sollten Sie eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance in Betracht ziehen. Eine CMP entlastet Ihr Team mit anpassbarem Einwilligungsmanagement, automatisierter Bearbeitung von Auskunftsersuchen betroffener Personen und Werkzeugen zur Verwaltung von Cookies und Anbietern. Pandectes GDPR Compliance ist speziell für Shopify-Shops entwickelt und hilft Ihnen, in der sich ständig wandelnden Datenschutzlandschaft rechtskonform zu werden und zu bleiben.