Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

VCDPA: das Gesetz von Virginia erklärt für alle mit Anzeigen

Virginia war der zweite US-Bundesstaat, der ein umfassendes Datenschutzgesetz verabschiedete, und wurde zum Vorbild für viele andere. Hier verstehen Sie, wann es für Ihre Website gilt, was das Gesetz gezielte Werbung nennt und was der Besucher ablehnen kann.

  • ✓Basiert auf dem offiziellen Text des Code of Virginia
  • ✓Beispiele für Websites mit AdSense und Ad Manager
  • ✓Reines Lese-Audit, ohne die Website zu verändern
100.000Verbraucher aus Virginia pro Jahr: die Hauptschwelle, damit das Gesetz gilt
30 TageFrist, um einen Mangel nach der Mitteilung des Generalstaatsanwalts zu beheben, vor jedem Verfahren
7.500 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß
45 TageFrist zur Beantwortung von Verbraucheranfragen, einmal um denselben Zeitraum verlängerbar

Was es ist

Das Gesetz, das der Hälfte der Vereinigten Staaten als Vorbild diente

Der Virginia Consumer Data Protection Act, kurz VCDPA, steht im Code of Virginia, in den Abschnitten 59.1-575 bis 59.1-584. Er wurde 2021 verabschiedet und gilt seit dem 1. Januar 2023, am selben Tag, an dem die Änderungen des CPRA in Kalifornien in Kraft traten.

Anders als das kalifornische Gesetz entstand der VCDPA mit einer schlankeren Struktur, ähnlich der europäischen DSGVO: Verantwortliche, Auftragsverarbeiter, Datenschutz-Folgenabschätzung und Einwilligung für sensible Daten. Bundesstaaten wie Colorado, Connecticut, Utah, Texas und Oregon haben einen guten Teil dieses Musters kopiert.

Für eine Website mit Anzeigen ist die praktische Wirkung diese: Wenn das Gesetz für Sie gilt, kann der Besucher aus Virginia gezielte Werbung ablehnen, und Ihre Datenschutzerklärung muss erklären, wie er das tut.

Das Gesetz arbeitet bei Anzeigen mit Opt-out. Es verlangt also nicht, vor personalisierten Anzeigen für Erwachsene um Erlaubnis zu fragen. Eine vorherige Erlaubnis wird nur für sensible Daten verlangt.

Checkliste

Was Sie erfüllen müssen

Gelten für alle, die eine der Schwellen des Gesetzes von Virginia überschreiten.

  1. Klar zeigen, wie man ablehnt

    Wenn die Website zielgerichtete Werbung betreibt oder Daten verkauft, muss sie das klar und sichtbar sagen, zusammen mit dem Weg zum Ablehnen. Das Gesetz legt den Text des Links nicht fest.

    Beispiel

    Fußzeile: Your Privacy Choices, der zum Bildschirm zur Ablehnung zielgerichteter Werbung führt

  2. Eine vollständige Datenschutzerklärung veröffentlichen

    Die Erklärung listet die Datenkategorien, die Zwecke, wie man Rechte ausübt und Widerspruch einlegt, die an Dritte weitergegebenen Daten und die Arten von Dritten auf.

    Beispiel

    Datenkategorien: Cookie-Kennungen und Browsingdaten. Zweck: Anzeigen ausspielen und messen. Dritte: Werbenetzwerke.

  3. Kein neues Konto verlangen

    Die Kanäle zur Ausübung von Rechten müssen sicher und verlässlich sein und dürfen nicht verlangen, dass der Besucher ein Konto erstellt.

  4. Für sensible Daten eine Einwilligung einholen

    Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Für bekannte Kinder gilt die Einwilligung der Eltern im Format des Gesetzes COPPA, und das Gesetz verbietet den Verkauf des genauen Standorts.

  5. Antworten und Widersprüche annehmen

    Die Antwort erfolgt innerhalb von 45 Tagen, einmal um weitere 45 verlängerbar, und ist bis zu zweimal im Jahr kostenlos. Der Widerspruch wird innerhalb von 60 Tagen beantwortet, mit dem Weg zur Beschwerde beim Generalstaatsanwalt.

  6. Datenschutz-Folgenabschätzung durchführen

    Zielgerichtete Werbung, Datenverkauf, Risikoprofile und sensible Daten erfordern eine dokumentierte Bewertung für Aktivitäten, die nach dem 1. Januar 2023 geschaffen wurden.

  7. Wer Rechte ausübt, nicht schlechter behandeln

    Die Website darf Personen, die die Rechte aus dem Gesetz genutzt haben, den Dienst nicht verweigern und keinen anderen Preis berechnen.

  8. Die Ablehnung an Google weitergeben

    Im Virginia-Abschnitt oder im Abschnitt US National des GPP-Strings schaltet die Ablehnung von Verkauf oder zielgerichteter Werbung das RDP ein. Die Meldung von Google für US-Bundesstaaten deckt auch Virginia ab.

    // GPT: liga o processamento restrito de dados (RDP)
    // para quem recusou a venda ou a publicidade direcionada
    googletag.cmd.push(function () {
      googletag.pubads().setPrivacySettings({
        restrictDataProcessing: true
      });
    });

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Virginia keine zertifizierte CMP. Nutzen Sie die Meldung von Google für US-Bundesstaaten, eine CMP, die GPP erzeugt, oder das RDP im Tag. Hier sind die offiziellen Links.

Für wen es gilt

Besucherzahl, nicht Umsatz

Der VCDPA gilt für alle, die in Virginia Geschäfte machen oder Einwohnern des Bundesstaats Produkte und Dienstleistungen anbieten und in einem Jahr eine der folgenden Schwellen erreichen. Es gibt keine Umsatzschwelle: Ein kleines Unternehmen mit viel Traffic kann darunter fallen.

100.000 Verbraucher

Personenbezogene Daten von mindestens 100.000 Verbrauchern aus Virginia in einem Kalenderjahr kontrollieren oder verarbeiten. Besucher einer Website mit Anzeigen-Cookies zählen.

25.000 und mehr als die Hälfte des Umsatzes

Daten von mindestens 25.000 Verbrauchern verarbeiten und mehr als 50 % des Bruttoumsatzes mit dem Verkauf personenbezogener Daten erzielen.

Wer nicht erfasst ist

Behörden, gemeinnützige Organisationen, Universitäten, Finanzinstitute, die dem Bundesgesetz GLBA unterliegen, und Gesundheitseinrichtungen, die HIPAA unterliegen.

Nur der Verbraucher als natürliche Person

Das Gesetz schützt Einwohner, die in einem persönlichen oder häuslichen Kontext handeln. Daten von Beschäftigten und von Geschäftskontakten sind ausgenommen.

Definitionen

Die Begriffe, die für den Anzeigenverkauf zählen

Der VCDPA definiert jedes Konzept enger als Kalifornien, und das ändert das Ergebnis erheblich.

Personenbezogenes Datum

Jede Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder vernünftigerweise verknüpft werden kann. Anonymisierte und öffentliche Daten sind ausgenommen.

Sensibles Datum

Ethnische oder rassische Herkunft, Religion, Gesundheitsdiagnose, sexuelle Orientierung, Einwanderungsstatus, genetische und biometrische Daten, Daten eines bekannten Kindes und genauer Standort im Umkreis von 1.750 Fuß, etwa 530 Meter.

Verkauf

Austausch personenbezogener Daten gegen Geld mit einem Dritten. Virginia zählt nur Zahlung in Geld, anders als Bundesstaaten, die auch andere Werte einbeziehen.

Zielgerichtete Werbung

Eine Anzeige, die anhand von Daten über die Aktivitäten der Person im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Kontextbezogene Anzeigen oder solche nur auf Grundlage der eigenen Website zählen nicht.

Rechte

Was der Besucher aus Virginia verlangen kann

Das Unternehmen antwortet innerhalb von 45 Tagen, einmal um weitere 45 verlängerbar. Bis zu zwei Anträge pro Jahr sind kostenlos, und wer einen abgelehnten Antrag hat, kann Widerspruch einlegen.

Zugang und Übertragbarkeit

Bestätigen, ob das Unternehmen seine Daten verarbeitet, diese Daten einsehen und eine Kopie in einem Format erhalten, das zu einem anderen Dienst mitgenommen werden kann.

Berichtigung und Löschung

Falsche Daten berichtigen und die Löschung der von ihm bereitgestellten oder über ihn erlangten Daten verlangen.

Opt-out

Gezielte Werbung, den Verkauf von Daten und die Erstellung von Profilen ablehnen, die in Entscheidungen mit rechtlicher oder ebenso wichtiger Wirkung verwendet werden.

Widerspruch

Gegen eine Ablehnung Widerspruch einlegen. Das Unternehmen hat 60 Tage, um auf den Widerspruch zu antworten, und muss, wenn es erneut ablehnt, mitteilen, wie man sich beim Generalstaatsanwalt beschwert.

Pflichten der Website

Datenschutzerklärung, Opt-out und sensible Daten

Das Unternehmen braucht eine klare und zugängliche Datenschutzerklärung. Sie muss die Kategorien verarbeiteter Daten, die Zwecke, die Ausübung der Rechte und den Widerspruch, die Kategorien an Dritte weitergegebener Daten und die Kategorien dieser Dritten auflisten.

Wenn die Website gezielte Werbung betreibt oder Daten verkauft, muss das klar und sichtbar geschrieben stehen, zusammen mit dem Weg zur Ablehnung. Das Gesetz legt den genauen Text des Links nicht fest, aber der Weg muss sicher und zuverlässig sein und darf nicht die Erstellung eines neuen Kontos verlangen.

Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Für ein bekanntes Kind, also unter 13 Jahren, gilt die Einwilligung der Eltern im Format des Bundesgesetzes COPPA. Das Gesetz verbietet außerdem den Verkauf genauer Standortdaten und, ohne diese Einwilligung der Eltern, die Nutzung von Daten eines bekannten Kindes für gezielte Werbung oder Verkauf.

Der VCDPA verpflichtet die Website nicht, automatische Browsersignale wie die Global Privacy Control zu respektieren. Viele Websites respektieren GPC trotzdem, weil andere Bundesstaaten es verlangen und weil eine einzige landesweite Regel leichter zu pflegen ist.

Zeitleiste

Die Termine des Gesetzes von Virginia

Der VCDPA hat sich seit dem Inkrafttreten wenig verändert. Die Änderungen betrafen vor allem Kinder und Jugendliche.

  1. 2021

    Gesetz verabschiedet

    Virginia wird der zweite Bundesstaat mit einem umfassenden Verbraucherdatenschutzgesetz.

  2. 1. Januar 2023

    Inkrafttreten

    Die Rechte, das Opt-out bei gezielter Werbung und die Datenschutz-Folgenabschätzungen gelten.

  3. 2024

    Regeln für Kinder

    Änderungen erweitern den Schutz für Daten eines bekannten Kindes, etwa mit Grenzen für gezielte Werbung und genaue Standortdaten.

  4. 2025

    Soziale Netzwerke und unter 16

    Eine Änderung schafft Regeln für Plattformen sozialer Netzwerke mit Nutzern unter 16 Jahren, etwa eine tägliche Nutzungsgrenze. Sie zielt nicht auf Blogs oder Portale.

Bewertungen, Kontrolle und Strafen

Schriftliche Bewertung, vorherige Mitteilung und Strafe von bis zu 7.500 US-Dollar

Das erfasste Unternehmen muss für gezielte Werbung, Datenverkauf, Risikoprofile, sensible Daten und andere Verarbeitungen mit erhöhtem Risiko eine Datenschutz-Folgenabschätzung durchführen und aufbewahren. Die Bewertung wägt Nutzen und Risiken für den Verbraucher ab und gilt für Aktivitäten, die nach dem 1. Januar 2023 entstanden sind. Der Generalstaatsanwalt kann sie in einer Untersuchung anfordern, und sie ist vor öffentlicher Offenlegung geschützt.

Nur der Generalstaatsanwalt von Virginia setzt das Gesetz durch. Einzelpersonen können das Unternehmen auf Grundlage des VCDPA nicht verklagen.

Vor einer Klage muss der Generalstaatsanwalt eine schriftliche Mitteilung senden. Das Unternehmen hat 30 Tage, um den Mangel zu beheben und eine Erklärung zu senden, dass es ihn behoben hat und nicht wiederholen wird. Anders als in anderen Bundesstaaten läuft diese Abhilfefrist nicht aus.

Wenn das Unternehmen nicht behebt oder erneut verstößt, beträgt die zivilrechtliche Strafe bis zu 7.500 US-Dollar pro Verstoß, zuzüglich Kosten und Anwaltshonoraren. Da jeder betroffene Besucher einzeln gezählt werden kann, kann der Betrag auch bei einem einfachen Mangel hoch werden.

AdSense und Ad Manager

Wie Google Besucher aus Virginia behandelt

AdSense und Ad Manager lesen den GPP-String, das Format des IAB Tech Lab für Datenschutzsignale. Für Virginia akzeptiert Google den eigenen Abschnitt des Bundesstaats und den Abschnitt US National. Wenn der Besucher Verkauf oder gezielte Werbung ablehnt, aktiviert Google die eingeschränkte Datenverarbeitung (RDP) und zeigt nur noch nicht personalisierte Anzeigen.

Im Abschnitt von Virginia liest Google auch das Einwilligungsfeld für sensible Daten eines bekannten Kindes und wendet bei Bedarf die Behandlung für Kinder an.

Die Datenschutzmeldung für US-Bundesstaaten in AdSense und Ad Manager umfasst Virginia. Sie zeigt den Ablehnungslink und speichert die Auswahl in der GPP. Eine weitere Möglichkeit ist, RDP direkt im Anzeigen-Tag für alle zu aktivieren, die über einen eigenen Link der Website abgelehnt haben.

Denken Sie daran, dass auch Header Bidding, Video, Pixel und Widgets anderer Unternehmen Daten erhalten. Die Ablehnung muss alle erreichen, nicht nur Google.

In der Praxis

Was in Virginia erlaubt ist und was nicht

Alltagsbeispiele einer Website mit Anzeigen und Besuchern aus Virginia.

Erlaubt

  • Erwachsenen personalisierte Anzeigen zeigen, ohne vorher um Erlaubnis zu fragen, und dabei das Opt-out anbieten
  • Einen Ablehnungslink im Footer nutzen, der zu einem einfachen Auswahlbildschirm führt
  • Die Ablehnung im Abschnitt von Virginia oder im Abschnitt US National des GPP-Strings speichern
  • Für den Auskunftsantrag von Personen, die bereits ein Konto auf der Website haben, ein Login verlangen
  • Einen komplexen Antrag innerhalb von 90 Tagen beantworten und den Besucher innerhalb der ersten 45 informieren

Nicht erlaubt

  • Vom Besucher verlangen, ein Konto zu erstellen, nur um gezielte Anzeigen abzulehnen
  • Gesundheitsdaten oder genaue Standortdaten ohne Einwilligung verarbeiten
  • Den genauen Standort von Besuchern verkaufen, auch mit Hinweis
  • In der Erklärung verbergen, dass die Website gezielte Werbung betreibt
  • Für die ersten zwei Anträge des Jahres desselben Besuchers eine Gebühr verlangen

Häufige Fehler

Wo Websites mit Anzeigen oft stolpern

Das Gesetz ist einfacher als das von Kalifornien, aber dieselben Probleme tauchen auf.

Annehmen, dass nur Kalifornien zählt

Die Website zeigt die Opt-out-Meldung nur für Kalifornien und vergisst Virginia und die anderen Bundesstaaten mit ähnlichen Gesetzen.

Erklärung ohne das Wort Anzeigen

Die Erklärung spricht von Cookies, sagt aber nicht, dass die Daten für gezielte Werbung dienen und wie man ablehnt.

Ablehnung, die Google nicht erreicht

Der Besucher klickt auf Ablehnen, aber es wird kein GPP-String erzeugt, und die Anzeigenanfrage läuft ohne RDP weiter.

Bewertung, die nie gemacht wurde

Das Unternehmen liegt über der Schwelle, betreibt gezielte Werbung und hat keine schriftliche Datenschutz-Folgenabschätzung.

In ConsentMode

Was die Prüfung zum VCDPA kontrolliert

  • Öffnet die Website als Besucher aus Virginia und sucht den Link oder die Schaltfläche zur Ablehnung gezielter Werbung.
  • Erkennt die CMP am Seitencode und prüft, ob sie die Meldung auch außerhalb Kaliforniens zeigt.
  • Liest den GPP-String in den Anzeigenanfragen und zeigt, ob der Abschnitt von Virginia oder US National nach dem Klick die Ablehnung anzeigt.
  • Schaltet GPC ein und hält fest, ob die Website das Signal ändert. Das ist in Virginia nicht vorgeschrieben, in anderen Bundesstaaten aber schon.
  • Liest die Datenschutzerklärung und weist darauf hin, wenn Zwecke, Kategorien von Dritten, Rechte und der Widerspruchsweg fehlen.

Häufige Fragen zum VCDPA

Brauche ich einen Einwilligungsbanner für Virginia?

Für personalisierte Anzeigen für Erwachsene nein. Das Gesetz verlangt ein Opt-out, keine vorherige Erlaubnis. Eine Einwilligung wird nur für sensible Daten verlangt, wie Gesundheit und genauen Standort.

Zählt AdSense in Virginia als Datenverkauf?

Virginia betrachtet nur den Austausch gegen Geld als Verkauf. Auch wenn es keinen Verkauf gibt, sind personalisierte Anzeigen auf Grundlage des Surfens auf anderen Websites gezielte Werbung, und der Besucher kann ablehnen.

Muss ich GPC in Virginia respektieren?

Der Text des VCDPA verlangt es nicht. Aber Kalifornien, Colorado, Connecticut und Oregon verlangen es, daher ist es meist einfacher, GPC im ganzen Land zu respektieren.

Was passiert, wenn mich der Generalstaatsanwalt benachrichtigt?

Sie haben 30 Tage, um den Mangel zu beheben und eine schriftliche Erklärung zu senden. Wenn Sie ihn beheben, gibt es kein Verfahren. Wenn Sie nicht beheben oder den Mangel wiederholen, kann die Strafe bis zu 7.500 US-Dollar pro Verstoß betragen.

Führt ConsentMode die Datenschutz-Folgenabschätzung durch?

Nein. ConsentMode prüft die Website von außen und zeigt, welche Partner Daten erhalten und welche Signale gesendet werden, was beim Schreiben der Bewertung hilft. Das Dokument liegt in der Verantwortung des Unternehmens.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob die Ablehnung aus Virginia die Anzeigen erreicht

Die Prüfung öffnet die Website als Besucher aus Virginia und zeigt, was zu beheben ist, ohne etwas zu verändern.

Audit starten