Compliance mit dem Maryland Online Data Privacy Act (MODPA)

Was ist der MODPA?

Der Maryland Online Data Privacy Act (MODPA) ist das umfassende Verbraucherdatenschutzgesetz von Maryland. Er gibt den Einwohnern von Maryland Rechte an ihren personenbezogenen Daten und legt Regeln für die Unternehmen fest, die diese Daten erheben und nutzen. Der MODPA folgt dem allgemeinen Modell anderer Datenschutzgesetze der US-Bundesstaaten, gilt aber weithin als eines der strengsten, vor allem wegen seiner Regeln zur Datenminimierung und seiner Beschränkungen für sensible Daten.

Nach dem MODPA haben Einwohner von Maryland das Recht:

• Sich bestätigen zu lassen, ob ein Unternehmen ihre personenbezogenen Daten verarbeitet, und Zugang zu diesen Daten zu erhalten
• Unrichtige personenbezogene Daten berichtigen zu lassen
• Personenbezogene Daten löschen zu lassen
• Eine übertragbare Kopie ihrer personenbezogenen Daten zu erhalten
• Eine Liste der Kategorien von Dritten zu erhalten, denen ihre Daten offengelegt wurden
• Gezielter Werbung, dem Verkauf ihrer personenbezogenen Daten und bestimmten Arten des Profilings zu widersprechen (Opt-out)

Das Gesetz legt zudem in mehreren Bereichen strengere Regeln fest als die meisten Bundesstaaten. Ein Unternehmen muss die erhobenen personenbezogenen Daten auf das beschränken, was zur Bereitstellung des vom Verbraucher angefragten Produkts oder der Dienstleistung vernünftigerweise erforderlich und verhältnismäßig ist. Sensible Daten, etwa Gesundheitsdaten, genaue Standortdaten, biometrische Daten oder Daten, aus denen die rassische oder ethnische Herkunft hervorgeht, dürfen nur erhoben oder verarbeitet werden, wenn dies für das angefragte Produkt oder die Dienstleistung unbedingt erforderlich ist, und der Verkauf sensibler Daten ist ausnahmslos verboten. Unternehmen dürfen personenbezogene Daten weder verkaufen noch für gezielte Werbung nutzen, wenn sie wissen oder hätten wissen müssen, dass der Verbraucher unter 18 Jahre alt ist.

Was passiert, wenn ich den MODPA nicht einhalte?

Ein Verstoß gegen den MODPA gilt als unlautere, missbräuchliche oder irreführende Geschäftspraktik nach dem Maryland Consumer Protection Act. Die wichtigsten Punkte zur Durchsetzung:

• Der Attorney General von Maryland setzt das Gesetz über seine Consumer Protection Division durch.
• Zivilrechtliche Strafen nach dem Consumer Protection Act können bis zu 10.000 $ pro Verstoß betragen und bis zu 25.000 $ für jeden wiederholten Verstoß.
• Der MODPA gibt Verbrauchern kein privates Klagerecht, um auf Grundlage des Gesetzes selbst zu klagen.
• Bei Verstößen, die am oder vor dem 1. April 2027 erfolgen, kann der Attorney General eine Mitteilung über den Verstoß versenden und mindestens 60 Tage zur Behebung des Problems einräumen, sofern er eine Behebung für möglich hält. Dies liegt in seinem Ermessen, ist nicht garantiert und endet nach diesem Datum.

Den MODPA einhalten

Wenn Ihr Onlineshop an Einwohner von Maryland verkauft und die oben genannten Schwellenwerte erreicht, betrifft der Großteil Ihrer praktischen Arbeit Cookies und Tracking. Marketing-Pixel, Analyse-Tags und Werbe-Cookies gelten nach den Datenschutzgesetzen der Bundesstaaten häufig als gezielte Werbung oder als „Verkauf“ personenbezogener Daten und müssen daher die Entscheidungen jedes Besuchers respektieren.

Praktische Schritte für einen Shopify-Shop sind unter anderem:

• Bieten Sie ein klares Opt-out an. Geben Sie Besuchern eine einfache Möglichkeit, gezielter Werbung und dem Verkauf ihrer personenbezogenen Daten zu widersprechen, etwa über einen Link „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“, und stellen Sie sicher, dass das Tracking danach endet.
• Beachten Sie Opt-out-Präferenzsignale. Der MODPA erkennt Opt-out-Präferenzsignale an, die ein Browser oder Gerät sendet, etwa Global Privacy Control (GPC). Ein GPC-Signal als gültiges Opt-out zu behandeln, ist für Besucher aus Maryland der sicherste Ansatz.
• Erheben Sie weniger Daten. Prüfen Sie Ihre Apps, Pixel und Formulare und entfernen Sie alles, was personenbezogene Daten erhebt, die Sie zur Abwicklung von Bestellungen oder zur Erbringung der von Ihren Kunden angefragten Leistung nicht benötigen.
• Gehen Sie sorgfältig mit sensiblen Daten um. Verkaufen Sie keine sensiblen Daten und erheben Sie sie nur, wenn es unbedingt erforderlich ist. Verzichten Sie auf gezielte Werbung gegenüber Besuchern, von denen Sie wissen oder wissen müssten, dass sie unter 18 Jahre alt sind.
• Aktualisieren Sie Ihre Datenschutzerklärung. Erläutern Sie, welche personenbezogenen Daten Sie erheben, warum, welche Kategorien von Dritten sie erhalten und wie Verbraucher ihre Rechte ausüben können.
• Bearbeiten Sie Verbraucheranfragen. Richten Sie einen zuverlässigen Weg ein, über den Kunden Auskunft, Berichtigung, Löschung oder eine Kopie ihrer Daten anfordern können, und antworten Sie innerhalb der vorgeschriebenen Frist.

Eine Consent-Management-Plattform erleichtert es erheblich, diese Schritte dauerhaft umzusetzen. Pandectes GDPR Compliance ist für Shopify-Shops entwickelt und bietet ein Cookie-Banner mit Opt-out-Optionen für US-Bundesstaaten, einen Link „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“ und Unterstützung für das Global-Privacy-Control-Signal. Die App scannt und klassifiziert automatisch die Cookies in Ihrem Shop, erstellt eine Cookie-Erklärung, führt Einwilligungsprotokolle und hilft Ihnen bei der Bearbeitung von Anfragen betroffener Personen. Regionsspezifische Banner-Einstellungen nutzen Geolokalisierung, um Besuchern aus Maryland und anderen Bundesstaaten jeweils die passende Darstellung zu zeigen.

Datenschutzgesetze unterscheiden sich im Detail und ändern sich laufend. Prüfen Sie Ihre Einrichtung daher gegebenenfalls mit einem Rechtsbeistand.