Compliance mit dem Minnesota Consumer Data Privacy Act (MCDPA)

Was ist der MCDPA?

Der Minnesota Consumer Data Privacy Act (MCDPA) ist das umfassende Verbraucherdatenschutzgesetz von Minnesota. Er gibt den Einwohnern von Minnesota Rechte an ihren personenbezogenen Daten und legt Pflichten für die Unternehmen fest, die diese Daten erheben und verarbeiten. Das Datenschutzgesetz von Montana trägt dieselbe Abkürzung, diese Seite behandelt jedoch ausschließlich das Gesetz von Minnesota.

Das Gesetz von Minnesota folgt dem allgemeinen Modell anderer Datenschutzgesetze der US-Bundesstaaten, mit einigen Merkmalen, die darüber hinausgehen. Einwohner von Minnesota haben das Recht:

• Sich bestätigen zu lassen, ob ein Unternehmen ihre personenbezogenen Daten verarbeitet, und Zugang zu diesen Daten zu erhalten
• Unrichtige personenbezogene Daten berichtigen zu lassen
• Personenbezogene Daten löschen zu lassen
• Eine übertragbare Kopie ihrer personenbezogenen Daten zu erhalten
• Gezielter Werbung, dem Verkauf ihrer personenbezogenen Daten und bestimmten Arten des Profilings zu widersprechen (Opt-out)
• Eine Liste der konkreten Dritten zu erhalten, denen das Unternehmen ihre personenbezogenen Daten offengelegt hat
• Das Ergebnis einer Profiling-Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung anzufechten, die Gründe dafür zu erfahren und sie neu bewerten zu lassen, wenn sie auf unrichtigen Daten beruhte

Unternehmen müssen außerdem eine Einwilligung einholen, bevor sie sensible Daten verarbeiten, etwa Gesundheitsdaten, genaue Standortdaten, biometrische Daten oder Daten, aus denen die rassische oder ethnische Herkunft hervorgeht. Sie müssen die Datenerhebung auf das beschränken, was für die offengelegten Zwecke angemessen, erheblich und vernünftigerweise erforderlich ist, und im Rahmen ihrer Datensicherheitspraktiken ein Verzeichnis der von ihnen verwalteten personenbezogenen Daten führen.

Was passiert, wenn ich den MCDPA nicht einhalte?

Der Attorney General von Minnesota setzt das Gesetz durch. Die wichtigsten Punkte zur Durchsetzung:

• Einem Unternehmen, das gegen das Gesetz verstößt, drohen eine Unterlassungsanordnung und eine zivilrechtliche Strafe von bis zu 7.500 $ pro Verstoß.
• Das Gesetz begründet kein privates Klagerecht, Verbraucher können Unternehmen auf seiner Grundlage also nicht direkt verklagen.
• Bis zum 31. Januar 2026 musste der Attorney General ein Warnschreiben versenden und 30 Tage zur Behebung eines Verstoßes einräumen, bevor er Maßnahmen ergreifen konnte. Diese Nachbesserungsfrist ist abgelaufen, sodass der Attorney General nun ohne vorherige Mitteilung Durchsetzungsmaßnahmen einleiten kann.

Den MCDPA einhalten

Wenn Ihr Onlineshop an Einwohner von Minnesota verkauft und die oben genannten Schwellenwerte erreicht, betrifft der Großteil Ihrer praktischen Arbeit Cookies und Tracking. Marketing-Pixel, Analyse-Tags und Werbe-Cookies gelten nach den Datenschutzgesetzen der Bundesstaaten häufig als gezielte Werbung oder als „Verkauf“ personenbezogener Daten und müssen daher die Entscheidungen jedes Besuchers respektieren.

Praktische Schritte für einen Shopify-Shop sind unter anderem:

• Bieten Sie ein klares Opt-out an. Geben Sie Besuchern eine einfache Möglichkeit, gezielter Werbung und dem Verkauf ihrer personenbezogenen Daten zu widersprechen, etwa über einen Link „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“, und stellen Sie sicher, dass das Tracking danach endet.
• Beachten Sie universelle Opt-out-Signale. Das Gesetz von Minnesota verpflichtet Unternehmen, Verbrauchern ein Opt-out über einen universellen Opt-out-Mechanismus zu ermöglichen, den ihr Browser oder Gerät sendet, etwa Global Privacy Control (GPC).
• Holen Sie eine Einwilligung für sensible Daten ein. Verarbeiten Sie sensible Daten nicht ohne die Einwilligung des Verbrauchers, und prüfen Sie Ihre Apps und Formulare darauf, ob sie solche Daten erheben.
• Führen Sie ein Datenverzeichnis. Dokumentieren Sie, welche personenbezogenen Daten Ihr Shop erhebt, wo sie gespeichert werden und welche Apps und Partner sie erhalten. So können Sie Kunden auch leichter die Liste der konkreten Dritten geben, die sie anfordern dürfen.
• Aktualisieren Sie Ihre Datenschutzerklärung. Erläutern Sie, welche personenbezogenen Daten Sie erheben, warum, wer sie erhält, wie lange Sie sie aufbewahren und wie Verbraucher ihre Rechte ausüben können, einschließlich ihres Rechts, Profiling-Entscheidungen anzufechten.
• Bearbeiten Sie Verbraucheranfragen. Richten Sie einen zuverlässigen Weg ein, über den Kunden Auskunft, Berichtigung, Löschung oder eine Kopie ihrer Daten anfordern können, und antworten Sie innerhalb der vorgeschriebenen Frist.

Eine Consent-Management-Plattform erleichtert es erheblich, diese Schritte dauerhaft umzusetzen. Pandectes GDPR Compliance ist für Shopify-Shops entwickelt und bietet ein Cookie-Banner mit Opt-out-Optionen für US-Bundesstaaten, einen Link „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“ und Unterstützung für das Global-Privacy-Control-Signal. Die App scannt und klassifiziert automatisch die Cookies in Ihrem Shop, erstellt eine Cookie-Erklärung, führt Einwilligungsprotokolle und hilft Ihnen bei der Bearbeitung von Anfragen betroffener Personen. Regionsspezifische Banner-Einstellungen nutzen Geolokalisierung, um Besuchern aus Minnesota und anderen Bundesstaaten jeweils die passende Darstellung zu zeigen.

Datenschutzgesetze unterscheiden sich im Detail und ändern sich laufend. Prüfen Sie Ihre Einrichtung daher gegebenenfalls mit einem Rechtsbeistand.