Kalifornien hat begonnen, eines der ehrgeizigsten Datenbroker-Gesetze des Landes durchzusetzen, und die ersten Ergebnisse zeigen bereits, wo die Branche hinter den Erwartungen zurückbleibt. Die Datenschutzbehörde des Bundesstaates hat Durchsetzungsanordnungen gegen Datenbroker erlassen, die es versäumt haben, sich nach dem Delete Act zu registrieren. Ein Fall im Besonderen – das Unternehmen LocateSmarter – hat den Vorhang darüber gelüftet, wie Registrierungsversäumnisse tiefere Probleme im Umgang mit Opt-out- und Löschungsanfragen von Verbrauchern verschleiern können.
Diese Welle der Durchsetzung des kalifornischen Datenbroker-Rechts ist weit über die Grenzen des Bundesstaates hinaus von Bedeutung. Kalifornien gibt häufig den Ton für den nationalen Datenschutz vor, und wie die CPPA diese frühen Fälle behandelt, wird wahrscheinlich das Verhalten von Datenbrokern in jedem Bundesstaat prägen – nicht nur in denen mit eigenen Datenschutzgesetzen.
Was der Delete Act in Kalifornien von Datenbrokern verlangt
Der Delete Act basierte auf einer einfachen Idee: Wenn ein Unternehmen personenbezogene Daten über Kalifornier kauft, verkauft oder lizenziert, ohne eine direkte Beziehung zu diesen Personen zu haben, gilt es als Datenbroker und muss sich beim Bundesstaat registrieren. Die Registrierung ist nicht nur Papierkram. Sie ist die Grundlage, die es Verbrauchern ermöglicht, überhaupt herauszufinden, welche Unternehmen ihre Daten besitzen, und sie speist sich in die breitere Löschungs- und Opt-out-Infrastruktur ein, die das Gesetz geschaffen hat.
Laut den Durchsetzungsmaßnahmen der CPPA haben sich einige Datenbroker schlichtweg gar nicht registriert und damit eine Kernverpflichtung des Gesetzes ignoriert. Dieses Versäumnis allein reicht aus, um Durchsetzungsmaßnahmen auszulösen, aber wie der Fall LocateSmarter zeigt, kann ein Registrierungsverstoß nur die Spitze des Eisbergs sein. Sobald Aufsichtsbehörden den Registrierungsstatus eines Unternehmens prüfen, finden sie oft damit zusammenhängende Compliance-Lücken darin, wie das Unternehmen tatsächlich mit Verbraucheranfragen zum Opt-out aus Datenverkäufen oder zur vollständigen Löschung von Informationen umgeht.
Wie der Fall LocateSmarter Compliance-Lücken beim Opt-out aufdeckte
Die Entscheidung zu LocateSmarter ist bemerkenswert, weil sie über einen einfachen Verstoß vom Typ „Sie haben sich nicht registriert" hinausgeht. Die Prüfung der CPPA ergab, dass das Unternehmen von Verbrauchern verlangte, übermäßige personenbezogene Daten preiszugeben, nur um eine Opt-out- oder Löschungsanfrage einzureichen. Das ist ein erhebliches Problem: Wenn ein Datenbroker mehr Informationen verlangt, als für die Bearbeitung einer Datenschutzanfrage notwendig sind, schafft das eine Hürde, die Menschen davon abhält, Rechte auszuüben, die das Gesetz ihnen garantieren soll.
Diese Art von Reibung steht zunehmend im Fokus der Aufsichtsbehörden. Ein Datenbroker, der technisch einen Opt-out-Mechanismus anbietet, genügt nicht, wenn dieser Mechanismus – absichtlich oder nicht – den Prozess schwieriger macht, als er sein sollte. Der Fall LocateSmarter signalisiert, dass die kalifornischen Aufsichtsbehörden bereit sind, nicht nur zu prüfen, ob sich ein Unternehmen registriert hat, sondern auch, wie nutzbar und gutgläubig seine Datenschutzinstrumente in der Praxis tatsächlich sind.
Was das heute für Ihre Rechte auf Datenlöschung bedeutet
Für Verbraucher ist diese Durchsetzungswelle eine Erinnerung daran, dass die Einhaltung der Datenbroker-Vorschriften nicht automatisch erfolgt und dass man nicht einfach davon ausgehen sollte, dass sie im Hintergrund geschieht. Unternehmen, die personenbezogene Daten kaufen und verkaufen, hatten klare Registrierungs- und Opt-out-Pflichten nach dem Delete Act – dennoch finden die Aufsichtsbehörden weiterhin Broker, die entweder die Regeln vollständig ignoriert haben oder Opt-out-Prozesse aufgebaut haben, die Menschen stillschweigend davon abhalten, sie zu nutzen.
Wenn Sie bei einem Datenbroker eine Löschungs- oder Opt-out-Anfrage eingereicht haben und den Prozess verwirrend, übermäßig anspruchsvoll oder reaktionslos fanden, bilden Sie sich das nicht ein. Genau diese Arten von Praktiken zielen die kalifornischen Aufsichtsbehörden jetzt ab. Es lohnt sich zu prüfen, ob ein Unternehmen, mit dem Sie zu tun hatten, in Kalifornien als Datenbroker registriert ist, und wenn eine Anfrage übermäßig oder obstruktiv wirkt, könnte diese Reibung selbst eine Compliance-Warnflagge sein, die es wert ist, gemeldet zu werden.
Wie sich die Durchsetzung von Datenschutzgesetzen auf Bundesstaatsebene über Kalifornien hinaus ausweitet
Kalifornien ist nicht allein bei der Bekämpfung von Unternehmen, die Verbraucherdaten als monetarisierbare Ressource ohne sinnvolle Transparenz oder Einwilligung behandeln. Generalstaatsanwälte anderer Bundesstaaten haben ähnliche Ziele bei Unternehmen verfolgt, die beschuldigt werden, personenbezogene Daten verdeckt zu sammeln oder zu verwenden. Texas zum Beispiel hat große Plattformen wegen nicht offengelegter Datenpraktiken angegriffen, einschließlich einer Klage, bei der der Texas AG Netflix wegen heimlicher Sammlung von Nutzerdaten verklagte und dem Unternehmen vorwarf, Abonnenteninformationen ohne ordnungsgemäße Einwilligung zu sammeln und zu monetarisieren.
Zusammengenommen deuten diese Fälle auf einen breiteren Trend hin: Aufsichtsbehörden auf Bundesstaatsebene behandeln Registrierungs- und Offenlegungsregeln für Datenbroker nicht länger als Formsache. Sie testen aktiv, ob die Opt-out-Mechanismen, Datenerfassungspraktiken und Einwilligungsprozesse von Unternehmen einer Prüfung standhalten, und sie sind bereit, Durchsetzungsmaßnahmen zu ergreifen, wenn sie das nicht tun.
Die wichtigsten Erkenntnisse
Die Durchsetzung des Delete Act in Kalifornien steckt noch in den Anfängen, aber der Fall LocateSmarter zeigt bereits, dass Registrierungsverstöße oft tiefere Opt-out- und Löschungsprobleme offenbaren. Wenn Sie Ihre eigenen Daten schützen möchten, warten Sie nicht darauf, dass Aufsichtsbehörden jeden Missetäter erwischen. Prüfen Sie, ob Unternehmen, die mit Ihren Informationen umgehen, ordnungsgemäß registriert sind, üben Sie Ihre Opt-out- und Löschungsrechte direkt aus, und wehren Sie sich, wenn ein Unternehmen mehr personenbezogene Daten verlangt, als für die Bearbeitung Ihrer Anfrage notwendig erscheint. Während sich die Durchsetzung des kalifornischen Datenbroker-Rechts ausweitet und andere Bundesstaaten mit eigenen Maßnahmen folgen, bleibt ein proaktiver Umgang mit Ihren Datenschutzrechten der zuverlässigste Weg, Ihre persönlichen Daten aus Händen zu halten, denen Sie nie zugestimmt haben, sie zu teilen.
