100.000 Verbraucher
Personenbezogene Daten von mindestens 100.000 Verbrauchern aus Virginia in einem Kalenderjahr kontrollieren oder verarbeiten. Besucher einer Website mit Anzeigen-Cookies zählen.
Leitfaden · Gesetz eines US-Bundesstaats
Virginia war der zweite US-Bundesstaat, der ein umfassendes Datenschutzgesetz verabschiedete, und wurde zum Vorbild für viele andere. Hier verstehen Sie, wann es für Ihre Website gilt, was das Gesetz gezielte Werbung nennt und was der Besucher ablehnen kann.
Was es ist
Der Virginia Consumer Data Protection Act, kurz VCDPA, steht im Code of Virginia, in den Abschnitten 59.1-575 bis 59.1-584. Er wurde 2021 verabschiedet und gilt seit dem 1. Januar 2023, am selben Tag, an dem die Änderungen des CPRA in Kalifornien in Kraft traten.
Anders als das kalifornische Gesetz entstand der VCDPA mit einer schlankeren Struktur, ähnlich der europäischen DSGVO: Verantwortliche, Auftragsverarbeiter, Datenschutz-Folgenabschätzung und Einwilligung für sensible Daten. Bundesstaaten wie Colorado, Connecticut, Utah, Texas und Oregon haben einen guten Teil dieses Musters kopiert.
Für eine Website mit Anzeigen ist die praktische Wirkung diese: Wenn das Gesetz für Sie gilt, kann der Besucher aus Virginia gezielte Werbung ablehnen, und Ihre Datenschutzerklärung muss erklären, wie er das tut.
Das Gesetz arbeitet bei Anzeigen mit Opt-out. Es verlangt also nicht, vor personalisierten Anzeigen für Erwachsene um Erlaubnis zu fragen. Eine vorherige Erlaubnis wird nur für sensible Daten verlangt.
Checkliste
Gelten für alle, die eine der Schwellen des Gesetzes von Virginia überschreiten.
Wenn die Website zielgerichtete Werbung betreibt oder Daten verkauft, muss sie das klar und sichtbar sagen, zusammen mit dem Weg zum Ablehnen. Das Gesetz legt den Text des Links nicht fest.
Fußzeile: Your Privacy Choices, der zum Bildschirm zur Ablehnung zielgerichteter Werbung führt
Die Erklärung listet die Datenkategorien, die Zwecke, wie man Rechte ausübt und Widerspruch einlegt, die an Dritte weitergegebenen Daten und die Arten von Dritten auf.
Datenkategorien: Cookie-Kennungen und Browsingdaten. Zweck: Anzeigen ausspielen und messen. Dritte: Werbenetzwerke.
Die Kanäle zur Ausübung von Rechten müssen sicher und verlässlich sein und dürfen nicht verlangen, dass der Besucher ein Konto erstellt.
Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Für bekannte Kinder gilt die Einwilligung der Eltern im Format des Gesetzes COPPA, und das Gesetz verbietet den Verkauf des genauen Standorts.
Die Antwort erfolgt innerhalb von 45 Tagen, einmal um weitere 45 verlängerbar, und ist bis zu zweimal im Jahr kostenlos. Der Widerspruch wird innerhalb von 60 Tagen beantwortet, mit dem Weg zur Beschwerde beim Generalstaatsanwalt.
Zielgerichtete Werbung, Datenverkauf, Risikoprofile und sensible Daten erfordern eine dokumentierte Bewertung für Aktivitäten, die nach dem 1. Januar 2023 geschaffen wurden.
Die Website darf Personen, die die Rechte aus dem Gesetz genutzt haben, den Dienst nicht verweigern und keinen anderen Preis berechnen.
Im Virginia-Abschnitt oder im Abschnitt US National des GPP-Strings schaltet die Ablehnung von Verkauf oder zielgerichteter Werbung das RDP ein. Die Meldung von Google für US-Bundesstaaten deckt auch Virginia ab.
// GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
googletag.pubads().setPrivacySettings({
restrictDataProcessing: true
});
});In der Praxis
Offizielle Tools
Google verlangt für Virginia keine zertifizierte CMP. Nutzen Sie die Meldung von Google für US-Bundesstaaten, eine CMP, die GPP erzeugt, oder das RDP im Tag. Hier sind die offiziellen Links.
Für wen es gilt
Der VCDPA gilt für alle, die in Virginia Geschäfte machen oder Einwohnern des Bundesstaats Produkte und Dienstleistungen anbieten und in einem Jahr eine der folgenden Schwellen erreichen. Es gibt keine Umsatzschwelle: Ein kleines Unternehmen mit viel Traffic kann darunter fallen.
Personenbezogene Daten von mindestens 100.000 Verbrauchern aus Virginia in einem Kalenderjahr kontrollieren oder verarbeiten. Besucher einer Website mit Anzeigen-Cookies zählen.
Daten von mindestens 25.000 Verbrauchern verarbeiten und mehr als 50 % des Bruttoumsatzes mit dem Verkauf personenbezogener Daten erzielen.
Behörden, gemeinnützige Organisationen, Universitäten, Finanzinstitute, die dem Bundesgesetz GLBA unterliegen, und Gesundheitseinrichtungen, die HIPAA unterliegen.
Das Gesetz schützt Einwohner, die in einem persönlichen oder häuslichen Kontext handeln. Daten von Beschäftigten und von Geschäftskontakten sind ausgenommen.
Definitionen
Der VCDPA definiert jedes Konzept enger als Kalifornien, und das ändert das Ergebnis erheblich.
Jede Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder vernünftigerweise verknüpft werden kann. Anonymisierte und öffentliche Daten sind ausgenommen.
Ethnische oder rassische Herkunft, Religion, Gesundheitsdiagnose, sexuelle Orientierung, Einwanderungsstatus, genetische und biometrische Daten, Daten eines bekannten Kindes und genauer Standort im Umkreis von 1.750 Fuß, etwa 530 Meter.
Austausch personenbezogener Daten gegen Geld mit einem Dritten. Virginia zählt nur Zahlung in Geld, anders als Bundesstaaten, die auch andere Werte einbeziehen.
Eine Anzeige, die anhand von Daten über die Aktivitäten der Person im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Kontextbezogene Anzeigen oder solche nur auf Grundlage der eigenen Website zählen nicht.
Rechte
Das Unternehmen antwortet innerhalb von 45 Tagen, einmal um weitere 45 verlängerbar. Bis zu zwei Anträge pro Jahr sind kostenlos, und wer einen abgelehnten Antrag hat, kann Widerspruch einlegen.
Bestätigen, ob das Unternehmen seine Daten verarbeitet, diese Daten einsehen und eine Kopie in einem Format erhalten, das zu einem anderen Dienst mitgenommen werden kann.
Falsche Daten berichtigen und die Löschung der von ihm bereitgestellten oder über ihn erlangten Daten verlangen.
Gezielte Werbung, den Verkauf von Daten und die Erstellung von Profilen ablehnen, die in Entscheidungen mit rechtlicher oder ebenso wichtiger Wirkung verwendet werden.
Gegen eine Ablehnung Widerspruch einlegen. Das Unternehmen hat 60 Tage, um auf den Widerspruch zu antworten, und muss, wenn es erneut ablehnt, mitteilen, wie man sich beim Generalstaatsanwalt beschwert.
Pflichten der Website
Das Unternehmen braucht eine klare und zugängliche Datenschutzerklärung. Sie muss die Kategorien verarbeiteter Daten, die Zwecke, die Ausübung der Rechte und den Widerspruch, die Kategorien an Dritte weitergegebener Daten und die Kategorien dieser Dritten auflisten.
Wenn die Website gezielte Werbung betreibt oder Daten verkauft, muss das klar und sichtbar geschrieben stehen, zusammen mit dem Weg zur Ablehnung. Das Gesetz legt den genauen Text des Links nicht fest, aber der Weg muss sicher und zuverlässig sein und darf nicht die Erstellung eines neuen Kontos verlangen.
Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Für ein bekanntes Kind, also unter 13 Jahren, gilt die Einwilligung der Eltern im Format des Bundesgesetzes COPPA. Das Gesetz verbietet außerdem den Verkauf genauer Standortdaten und, ohne diese Einwilligung der Eltern, die Nutzung von Daten eines bekannten Kindes für gezielte Werbung oder Verkauf.
Der VCDPA verpflichtet die Website nicht, automatische Browsersignale wie die Global Privacy Control zu respektieren. Viele Websites respektieren GPC trotzdem, weil andere Bundesstaaten es verlangen und weil eine einzige landesweite Regel leichter zu pflegen ist.
Zeitleiste
Der VCDPA hat sich seit dem Inkrafttreten wenig verändert. Die Änderungen betrafen vor allem Kinder und Jugendliche.
Virginia wird der zweite Bundesstaat mit einem umfassenden Verbraucherdatenschutzgesetz.
Die Rechte, das Opt-out bei gezielter Werbung und die Datenschutz-Folgenabschätzungen gelten.
Änderungen erweitern den Schutz für Daten eines bekannten Kindes, etwa mit Grenzen für gezielte Werbung und genaue Standortdaten.
Eine Änderung schafft Regeln für Plattformen sozialer Netzwerke mit Nutzern unter 16 Jahren, etwa eine tägliche Nutzungsgrenze. Sie zielt nicht auf Blogs oder Portale.
Bewertungen, Kontrolle und Strafen
Das erfasste Unternehmen muss für gezielte Werbung, Datenverkauf, Risikoprofile, sensible Daten und andere Verarbeitungen mit erhöhtem Risiko eine Datenschutz-Folgenabschätzung durchführen und aufbewahren. Die Bewertung wägt Nutzen und Risiken für den Verbraucher ab und gilt für Aktivitäten, die nach dem 1. Januar 2023 entstanden sind. Der Generalstaatsanwalt kann sie in einer Untersuchung anfordern, und sie ist vor öffentlicher Offenlegung geschützt.
Nur der Generalstaatsanwalt von Virginia setzt das Gesetz durch. Einzelpersonen können das Unternehmen auf Grundlage des VCDPA nicht verklagen.
Vor einer Klage muss der Generalstaatsanwalt eine schriftliche Mitteilung senden. Das Unternehmen hat 30 Tage, um den Mangel zu beheben und eine Erklärung zu senden, dass es ihn behoben hat und nicht wiederholen wird. Anders als in anderen Bundesstaaten läuft diese Abhilfefrist nicht aus.
Wenn das Unternehmen nicht behebt oder erneut verstößt, beträgt die zivilrechtliche Strafe bis zu 7.500 US-Dollar pro Verstoß, zuzüglich Kosten und Anwaltshonoraren. Da jeder betroffene Besucher einzeln gezählt werden kann, kann der Betrag auch bei einem einfachen Mangel hoch werden.
AdSense und Ad Manager
AdSense und Ad Manager lesen den GPP-String, das Format des IAB Tech Lab für Datenschutzsignale. Für Virginia akzeptiert Google den eigenen Abschnitt des Bundesstaats und den Abschnitt US National. Wenn der Besucher Verkauf oder gezielte Werbung ablehnt, aktiviert Google die eingeschränkte Datenverarbeitung (RDP) und zeigt nur noch nicht personalisierte Anzeigen.
Im Abschnitt von Virginia liest Google auch das Einwilligungsfeld für sensible Daten eines bekannten Kindes und wendet bei Bedarf die Behandlung für Kinder an.
Die Datenschutzmeldung für US-Bundesstaaten in AdSense und Ad Manager umfasst Virginia. Sie zeigt den Ablehnungslink und speichert die Auswahl in der GPP. Eine weitere Möglichkeit ist, RDP direkt im Anzeigen-Tag für alle zu aktivieren, die über einen eigenen Link der Website abgelehnt haben.
Denken Sie daran, dass auch Header Bidding, Video, Pixel und Widgets anderer Unternehmen Daten erhalten. Die Ablehnung muss alle erreichen, nicht nur Google.
In der Praxis
Alltagsbeispiele einer Website mit Anzeigen und Besuchern aus Virginia.
Häufige Fehler
Das Gesetz ist einfacher als das von Kalifornien, aber dieselben Probleme tauchen auf.
Die Website zeigt die Opt-out-Meldung nur für Kalifornien und vergisst Virginia und die anderen Bundesstaaten mit ähnlichen Gesetzen.
Die Erklärung spricht von Cookies, sagt aber nicht, dass die Daten für gezielte Werbung dienen und wie man ablehnt.
Der Besucher klickt auf Ablehnen, aber es wird kein GPP-String erzeugt, und die Anzeigenanfrage läuft ohne RDP weiter.
Das Unternehmen liegt über der Schwelle, betreibt gezielte Werbung und hat keine schriftliche Datenschutz-Folgenabschätzung.
In ConsentMode
Für personalisierte Anzeigen für Erwachsene nein. Das Gesetz verlangt ein Opt-out, keine vorherige Erlaubnis. Eine Einwilligung wird nur für sensible Daten verlangt, wie Gesundheit und genauen Standort.
Virginia betrachtet nur den Austausch gegen Geld als Verkauf. Auch wenn es keinen Verkauf gibt, sind personalisierte Anzeigen auf Grundlage des Surfens auf anderen Websites gezielte Werbung, und der Besucher kann ablehnen.
Der Text des VCDPA verlangt es nicht. Aber Kalifornien, Colorado, Connecticut und Oregon verlangen es, daher ist es meist einfacher, GPC im ganzen Land zu respektieren.
Sie haben 30 Tage, um den Mangel zu beheben und eine schriftliche Erklärung zu senden. Wenn Sie ihn beheben, gibt es kein Verfahren. Wenn Sie nicht beheben oder den Mangel wiederholen, kann die Strafe bis zu 7.500 US-Dollar pro Verstoß betragen.
Nein. ConsentMode prüft die Website von außen und zeigt, welche Partner Daten erhalten und welche Signale gesendet werden, was beim Schreiben der Bewertung hilft. Das Dokument liegt in der Verantwortung des Unternehmens.
Bibliothek
Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:
Die Prüfung öffnet die Website als Besucher aus Virginia und zeigt, was zu beheben ist, ohne etwas zu verändern.