Compliance mit dem Oregon Consumer Data Privacy Act (OCDPA)
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des OCDPA zu erfüllen: Die App scannt nach Cookies, erstellt Berichte und sorgt für Datenschutz-Compliance.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist der OCDPA?
Der Oregon Consumer Data Privacy Act (OCDPA) gibt den Einwohnern Oregons bestimmte Rechte an ihren Daten und erlegt denjenigen, die Daten kontrollieren und verarbeiten, Pflichten auf. Er ähnelt in manchen Punkten anderen Gesetzen der Bundesstaaten wie dem California Privacy Rights Act (CPRA) und dem Virginia Consumer Data Protection Act (CDPA) und orientiert sich außerdem an der Datenschutz-Grundverordnung (DSGVO) der EU.
Es gibt zwar Gemeinsamkeiten, etwa Opt-out-Regelungen für die Erhebung und Verarbeitung von Daten, Schutzvorkehrungen für sensible Daten und die Einbindung von Privacy-by-Design-Grundsätzen, die wesentlichen Unterschiede liegen aber im Detail. Diese Einschätzung stammt von Kirk Nahra, einem erfahrenen Datenschutzanwalt und Co-Vorsitzenden bei Wilmer Hale.
So unterscheiden sich der CPRA (Kalifornien) und der OCDPA (Oregon) etwa in ihrer Definition von „sensiblen Daten“. Wie Nahra betont, verlangt die Einhaltung des Gesetzes eine sorgfältige Berücksichtigung dieser Unterschiede. Im Folgenden gehen wir auf die Definition sensibler Daten im OCDPA und seine weiteren Bestimmungen ein.
Für wen gilt der OCDPA?
Der Oregon Consumer Data Privacy Act (OCDPA) gilt für „Verantwortliche“ (Controller), die in Oregon geschäftlich tätig sind oder kommerzielle Produkte oder Dienstleistungen herstellen oder anbieten, die gezielt auf Einwohner Oregons ausgerichtet sind.
Was passiert, wenn ich den OCDPA nicht einhalte?
Der OCDPA legt keine konkreten Strafen oder Bußgelder für Verstöße fest. Verstöße gegen das Gesetz gelten jedoch als irreführende Geschäftspraktik. Sie werden daher nach dem Oregon Unlawful Trade Practices Act geahndet.
Die Höhe der Bußgelder pro Verstoß kann je nach den Umständen des Verstoßes unterschiedlich ausfallen. Verstöße gegen den OCDPA können auch strafrechtliche Folgen haben.
Für die Durchsetzung des OCDPA sind der Attorney General von Oregon und die Bezirksstaatsanwälte zuständig, die Unterlassungsanordnungen, Strafen und Vergleiche umsetzen. Wichtig ist allerdings, dass der OCDPA kein privates Klagerecht vorsieht: Einzelpersonen können Unternehmen also nicht wegen der Verletzung ihrer Rechte verklagen.
Bevor der Attorney General oder die Bezirksstaatsanwälte Durchsetzungsmaßnahmen einleiten können, müssen sie dem betreffenden Unternehmen eine Mitteilung über den Verstoß zustellen. Damit erhält das Unternehmen eine Nachbesserungsfrist von 60 Tagen, in der es die Verstöße beheben kann.
Hält das Unternehmen die Vorgaben nach Ablauf dieser Frist weiterhin nicht ein, können die Bezirksstaatsanwälte oder der Attorney General Durchsetzungsmaßnahmen ergreifen.
Ab dem 1. Januar 2025 entfällt die 60-tägige Nachbesserungsfrist. Stattdessen können Unternehmen beim Büro des Attorney General Auslegungshilfen und Stellungnahmen anfordern.
Wann tritt der OCDPA in Kraft?
Der OCDPA beauftragt den Attorney General von Oregon mit seiner Umsetzung und Durchsetzung, einschließlich des Erlasses neuer Vorschriften. Der OCDPA ist Teil des Unlawful Trade Practices Act des Bundesstaats Oregon und tritt am 1. Juli 2025 in Kraft.
Den OCDPA einhalten
Der OCDPA ist eines der umfassenden Datenschutzgesetze, und auch andere Bundesstaaten wie Indiana, Iowa, Tennessee und Colorado bringen eigene Datenschutzgesetze auf den Weg. Da Unternehmen in mehreren Bundesstaaten tätig sind, wird es immer schwieriger, das komplexe Geflecht der Datenschutzgesetze der Bundesstaaten zu überblicken und einzuhalten.
Wer rechtskonform bleiben will, muss zuerst über die Gesetzesentwicklungen informiert sein, die das eigene Unternehmen betreffen könnten. Es ist wichtig, diese Gesetze auf ihrem Weg durch die Parlamente der Bundesstaaten zu verfolgen. Dabei helfen passende Newsletter und Informationsquellen.
Wenn ein neues Gesetz erlassen, aber noch nicht in Kraft ist, empfiehlt es sich, seinen Text gemeinsam mit einem Rechtsbeistand zu prüfen. Dieser kann einschätzen, wie es um Ihre Compliance steht, und Sie zu den nötigen Schritten beraten.
Um den Compliance-Prozess zu vereinfachen, sollten Sie eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance in Betracht ziehen. Eine CMP entlastet Ihr Team mit anpassbarem Einwilligungsmanagement, automatisierter Bearbeitung von Auskunftsersuchen betroffener Personen und Werkzeugen zur Verwaltung von Cookies und Anbietern. Pandectes GDPR Compliance ist speziell für Shopify-Shops entwickelt und hilft Ihnen, in der sich ständig wandelnden Datenschutzlandschaft rechtskonform zu werden und zu bleiben.