Compliance mit dem Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)

Was ist der RIDTPPA?

Der Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) ist das umfassende Verbraucherdatenschutzgesetz von Rhode Island. Er gibt den Einwohnern Rhode Islands Rechte an ihren personenbezogenen Daten und legt Pflichten für die Unternehmen fest, die diese Daten erheben und verarbeiten. Das Gesetz folgt eng dem Modell, das Bundesstaaten wie Connecticut und Virginia verwenden.

Nach dem RIDTPPA haben die Einwohner Rhode Islands das Recht:

• zu erfahren, ob ein Unternehmen ihre personenbezogenen Daten verarbeitet, und Auskunft über diese Daten zu erhalten
• unrichtige personenbezogene Daten berichtigen zu lassen
• personenbezogene Daten löschen zu lassen
• eine übertragbare Kopie ihrer personenbezogenen Daten zu erhalten
• gezielter Werbung, dem Verkauf ihrer personenbezogenen Daten und Profiling für ausschließlich automatisierte Entscheidungen mit rechtlichen oder ähnlich erheblichen Auswirkungen zu widersprechen (Opt-out)

Unternehmen müssen außerdem eine Einwilligung einholen, bevor sie sensible Daten verarbeiten, etwa Gesundheitsdaten, genaue Standortdaten, biometrische Daten, Daten, aus denen die rassische oder ethnische Herkunft hervorgeht, oder Daten, die von einem bekanntermaßen minderjährigen Kind erhoben wurden.

Besonderes Gewicht legt das Gesetz auf Transparenz. Websites, die personenbezogene Daten von Kunden aus Rhode Island erheben und verkaufen, müssen eine Datenschutzerklärung veröffentlichen, die die Kategorien der erhobenen personenbezogenen Daten beschreibt und die Dritten nennt, an die diese Daten verkauft wurden oder verkauft werden können. Diese Informationspflicht ist weiter gefasst als der Rest des Gesetzes und kann daher auch für Websites gelten, die unter den unten genannten Schwellenwerten liegen.

Was passiert, wenn ich den RIDTPPA nicht einhalte?

Ein Verstoß gegen den RIDTPPA gilt nach dem Recht von Rhode Island als irreführende Geschäftspraktik. Die wichtigsten Punkte zur Durchsetzung:

• Allein der Attorney General von Rhode Island ist für die Durchsetzung des Gesetzes zuständig.
• Verstöße können zivilrechtliche Strafen nach dem Gesetz von Rhode Island über irreführende Geschäftspraktiken nach sich ziehen, die bis zu 10.000 $ pro Verstoß betragen können.
• Wer personenbezogene Daten vorsätzlich unter Verstoß gegen das Gesetz offenlegt, kann außerdem mit einem Bußgeld zwischen 100 $ und 500 $ pro Offenlegung belegt werden.
• Das Gesetz sieht keine Nachbesserungsfrist vor. Unternehmen haben also keine Garantie, ein Problem beheben zu können, bevor Durchsetzungsmaßnahmen beginnen.
• Es gibt kein privates Klagerecht, Verbraucher können Unternehmen also nicht direkt auf Grundlage des Gesetzes verklagen.

Den RIDTPPA einhalten

Wenn Ihr Onlineshop an Einwohner Rhode Islands verkauft, betrifft der größte Teil der praktischen Arbeit Cookies und Tracking. Marketing-Pixel, Analyse-Tags und Werbe-Cookies gelten nach den Datenschutzgesetzen der Bundesstaaten oft als gezielte Werbung oder als „Verkauf“ personenbezogener Daten und müssen daher die Entscheidungen jedes Besuchers respektieren.

Praktische Schritte für einen Shopify-Shop:

• Bieten Sie ein klares Opt-out an. Geben Sie Besuchern eine einfache Möglichkeit, gezielter Werbung und dem Verkauf ihrer personenbezogenen Daten zu widersprechen, etwa über einen Link „Do not sell or share my personal information“, und sorgen Sie dafür, dass das Tracking danach endet.
• Erwägen Sie, Global Privacy Control zu beachten. Anders als einige andere Bundesstaaten verlangt der RIDTPPA nicht ausdrücklich, dass Unternehmen universelle Opt-out-Signale anerkennen. Ein Global-Privacy-Control-Signal (GPC) als Opt-out zu behandeln, ist dennoch ein sinnvoller Weg, die Entscheidungen von Besuchern in allen Bundesstaaten einheitlich zu respektieren.
• Holen Sie für sensible Daten eine Einwilligung ein. Verarbeiten Sie sensible Daten nicht ohne die Einwilligung des Verbrauchers, und prüfen Sie Ihre Apps und Formulare darauf, ob sie solche Daten erheben.
• Aktualisieren Sie Ihre Datenschutzerklärung. Beschreiben Sie, welche personenbezogenen Daten Sie erheben, warum Sie das tun, wie Verbraucher ihre Rechte ausüben können und an welche Dritten personenbezogene Daten verkauft wurden oder verkauft werden können. Ihre Cookie-Liste ist ein guter Ausgangspunkt, um Werbe- und Analysepartner zu ermitteln.
• Bearbeiten Sie Anfragen von Verbrauchern. Richten Sie einen zuverlässigen Weg ein, über den Kunden Auskunft, Berichtigung, Löschung oder eine Kopie ihrer Daten beantragen können, und antworten Sie innerhalb der vorgeschriebenen Frist.

Mit einer Consent-Management-Plattform lassen sich diese Schritte deutlich leichter dauerhaft umsetzen. Pandectes GDPR Compliance ist für Shopify-Shops entwickelt und bietet ein Cookie-Banner mit Opt-out-Optionen für US-Bundesstaaten, einen Link „Do not sell or share my personal information“ und Unterstützung für das Global-Privacy-Control-Signal. Die App scannt und kategorisiert die Cookies in Ihrem Shop automatisch, erstellt eine Cookie-Erklärung, speichert Einwilligungsprotokolle und hilft Ihnen bei der Bearbeitung von Anfragen betroffener Personen. Regionsspezifische Banner-Einstellungen nutzen Geolokalisierung, um Besuchern aus Rhode Island und anderen Bundesstaaten die passende Darstellung zu zeigen.

Hintergründe zur Entstehung des Gesetzes lesen Sie in unserem Artikel Rhode Island implements the Data Transparency and Privacy Protection Act (Englisch).

Datenschutzgesetze unterscheiden sich im Detail und ändern sich laufend. Prüfen Sie Ihre Einrichtung daher bei Bedarf mit einem Rechtsbeistand.