500 Datenhändler müssen jetzt Ihre Daten löschen — Gesetz greift

Die 215.000 kalifornischen Einwohner, die bereits Löschungsanträge über die staatliche DROP-Plattform gestellt hatten, erhielten einen neuen Status: Die Unternehmen, die ihre Daten speichern, sind nun gesetzlich verpflichtet, zu handeln. Seit diesem Stichtag müssen alle registrierten Datenmakler in Kalifornien ausstehende Löschungsanträge abrufen und bearbeiten – zum ersten Mal, dass ein US-Bundesstaat eine solche zentralisierte Anforderung gleichzeitig an eine gesamte Branche stellt.

Die Plattform fungiert als Vermittlungsstelle zwischen Verbrauchern und einer Welt, die die meisten Menschen nie zu Gesicht bekommen. Einwohner besuchen drop.privacy.ca.gov, verifizieren ihre Identität über das staatliche Gateway von Kalifornien oder login.gov und geben ihren Namen, ihre E-Mail-Adresse, Telefonnummer und Postleitzahl an. Optional können sie ihre mobile Werbe-ID – die dauerhafte Kennung ihres Telefons – sowie ihre Fahrzeugidentifikationsnummer angeben. Eine einzige Übermittlung leitet einen Löschungsantrag an alle registrierten Makler gleichzeitig weiter. Bisher mussten Verbraucher jedes Unternehmen einzeln kontaktieren; einige Makler hatten ihre Opt-out-Formulare für Suchmaschinen versteckt, was den Prozess absichtlich erschwerte.

Die von dem Gesetz erfassten Unternehmen sind keine bekannten Namen. Datenmakler sind die Unternehmen, die Kaufhistorien zusammenführen, demografische und psychografische Profile für Werbetreibende erstellen und Bewegungsmuster verkaufen, die von Mobiltelefonen, Smart-TVs und vernetzten Fahrzeugen abgeleitet werden. Firmen wie Acxiom, LexisNexis, Spokeo und BeenVerified sind in diesem Bereich tätig. Ebenso Adtech-Plattformen und Verkäufer von Zielgruppensegmenten, von denen die meisten Verbraucher noch nie gehört haben – die aber wahrscheinlich trotzdem detaillierte Aufzeichnungen über sie besitzen.

Der Strafrahmen soll echte Kosten für die Nichteinhaltung schaffen: 200 Dollar für jeden ignorierten Löschungsantrag, pro Tag, bis der Makler handelt. Diese Summe kann sich schnell summieren, wenn ein Unternehmen Hunderte von Anträgen erhält. Die kalifornische Datenschutzbehörde hat bereits Geldstrafen für grundlegende Registrierungsversäumnisse verhängt – 42.000 Dollar gegen Datamasters, 62.000 Dollar gegen S&P Global – und plant, die Durchsetzung des Löschungsmandats zu verschärfen. Die Geldstrafen gelten jedoch nur für registrierte Makler: Unternehmen, die ohne Registrierung operieren, tauchen im DROP-System gar nicht auf und haben im aktuellen Rahmen keine automatische Löschpflicht.

Die Fristen für die Einhaltung sind langsamer, als Verbraucher erwarten würden. Makler müssen mindestens alle 45 Tage auf das DROP-System zugreifen, um neue Anträge abzurufen, und haben dann weitere 45 Tage Zeit, um jeden einzelnen zu bearbeiten – das bedeutet, dass ein heute eingereichter Löschungsantrag bis zu drei Monate dauern kann. Daten, die nach der Löschung erneut in die Datenbank eines Maklers gelangen, etwa durch Zukauf von einem Dritten, müssen ebenfalls gemäß den Unterdrückungsregeln gelöscht werden. Von HIPAA erfasste Gesundheitseinrichtungen, von GLBA regulierte Finanzinstitute und Unternehmen, die dem Fair Credit Reporting Act unterliegen, sind alle ausgenommen – damit werden Teile des Datenökosystems ausgeklammert, die medizinische Akten und Kreditauskünfte betreffen.

Das kalifornische Gesetz ist der erste zentrale Löschmechanismus seiner Art in den Vereinigten Staaten. Ähnliche Gesetze auf Bundesstaatenebene sind in mehr als einem Dutzend anderer Bundesstaaten anhängig. Der nächste Meilenstein für Kalifornien selbst kommt im Jahr 2028, wenn das Gesetz von registrierten Datenmaklern verlangt, unabhängige Datenschutzprüfungen durchzuführen – mit Ergebnissen, die bis 2029 bei der staatlichen Datenschutzbehörde eingereicht werden müssen.

Schlagwörter: Datenschutz, California Delete Act, CalPrivacy, Datenhändler, Datenschutzgesetz, persönliche Daten