Louisiana-Gesetz zum Datenschutz unterzeichnet, tritt 2027 in Kraft

Louisiana hat sich offiziell der wachsenden Zahl von Bundesstaaten mit umfassenden Verbraucherdatenschutzgesetzen angeschlossen. Mit der Unterschrift des Gouverneurs unter den Senatsentwurf 386 entsteht der Louisiana Data Privacy Act (LDPA). Louisiana ist damit einer von über zwanzig Bundesstaaten, die in den letzten Jahren solche Regelwerke verabschiedet haben. Das Gesetz tritt zwar erst 2027 in Kraft, doch seine Verabschiedung sollte man jetzt schon verstehen – sowohl für die Unternehmen, die es einhalten müssen, als auch für die Einwohner, deren personenbezogene Daten es schützen soll.

Was der Louisiana Data Privacy Act abdeckt

Im Kern folgt der LDPA einem Muster, das sich etabliert hat, während die Bundesstaaten das Vakuum füllen, das durch das Fehlen eines einheitlichen Bundesdatenschutzgesetzes entstanden ist. Diese Gesetze auf Landesebene räumen Verbrauchern in der Regel Rechte auf Auskunft, Berichtigung, Löschung und Übertragbarkeit ihrer personenbezogenen Daten ein, zusammen mit der Möglichkeit, bestimmten Nutzungen wie zielgerichteter Werbung oder dem Verkauf persönlicher Daten zu widersprechen. Unternehmen, die Verbraucherdaten erheben und verarbeiten, sind verpflichtet, Compliance-Programme rund um diese Rechte aufzubauen, was oft bedeutet, Datenschutzerklärungen zu aktualisieren, Mitarbeiter zu schulen und zu überarbeiten, wie Daten durch Lieferantenbeziehungen fließen.

Louisianas Version gilt für Unternehmen, die bestimmte Schwellenwerte hinsichtlich der Menge der verarbeiteten Verbraucherdaten oder der durch den Verkauf personenbezogener Daten erzielten Einnahmen erreichen – eine Struktur, die ähnlich ist wie in anderen Bundesstaaten. Die genauen Details, wer genau unter das Gesetz fällt, werden für Unternehmen, die in Louisiana tätig sind oder dort Einwohner bedienen, enorm wichtig sein, doch für den normalen Verbraucher ist die praktische Auswirkung einfacher: mehr rechtliche Handhabe, um Unternehmen zu fragen, welche Daten sie vorhalten, und um deren Korrektur oder Löschung zu verlangen.

Louisiana gesellt sich zu einem überfüllten, zersplitterten Feld

Bemerkenswert an dieser Nachricht ist nicht, dass Louisiana ein Datenschutzgesetz verabschiedet hat. Es ist die Tatsache, dass der Bundesstaat nun einer von über zwanzig ist, die dies tun – jeder mit eigenen Definitionen, Schwellenwerten und Durchsetzungsmechanismen. Dieser Ansatz von Staat zu Staat ist zum Standardweg geworden, auf dem amerikanische Verbraucher Datenschutz erhalten – in der anhaltenden Abwesenheit einer umfassenden Bundesgesetzgebung. Vermont hat einen ähnlichen Weg eingeschlagen, und sein eigenes Gesetz, das wir in unserer Berichterstattung zum Vermont Data Privacy and Surveillance Act näher beleuchtet haben, ging weiter als die meisten, indem es neben klassischen Verbraucherrechten auch überwachungsspezifische Bestimmungen aufnahm.

Die Flickwerk-Natur dieser Gesetze erzeugt echte Reibung. Ein landesweit tätiges Unternehmen muss möglicherweise Compliance-Verpflichtungen über Dutzende sich überschneidender, aber unterschiedlicher Gesetze nachverfolgen, jedes mit eigenem Inkrafttretensdatum, Frist zur Nachbesserung und Durchsetzungsbehörde. Verbraucher hingegen stellen möglicherweise fest, dass sich ihre Rechte je nach Wohnsitzstaat erheblich unterscheiden – etwas, das bei einem einheitlichen bundesweiten Standard nicht passieren würde. Diese Spannung zwischen Regelsetzung auf Landesebene und Einheitlichkeit zeigt sich auch anderswo, wie die jüngsten Anpassungen Kaliforniens an Vorschlägen zur Altersverifikation zeigen, die wir in unserem Beitrag zu AB 1856 und AB 1043 behandelt haben, wo die Gesetzgeber einen Ansatz zurücknahmen, während sie einen anderen beibehielten.

Compliance-Zeitplan und was als Nächstes kommt

Der LDPA tritt am 1. Januar 2027 in Kraft und gibt Unternehmen ab der Unterschrift des Gouverneurs eine Vorlaufzeit von rund sieben Monaten zur Vorbereitung. Das ist ein nennenswertes Zeitfenster, aber kein unbegrenztes, insbesondere für Unternehmen, die noch keine Datenschutz-Compliance-Infrastruktur für die Gesetze anderer Staaten aufgebaut haben. Das Gesetz enthält zudem eine 30-tägige Frist zur Nachbesserung, die es Unternehmen erlaubt, Verstöße zu beheben, bevor sie mit Durchsetzungsmaßnahmen rechnen müssen. Allerdings läuft diese Nachbesserungsfrist am 31. Juli 2027 aus; danach dürften die Aufsichtsbehörden direktere Durchsetzungsbefugnisse haben, ohne den Unternehmen zuvor eine Gnadenfrist einzuräumen.

Diese zweiphasige Struktur – ein vorübergehendes Nachbesserungsfenster, gefolgt von strengerer Durchsetzung – spiegelt Ansätze wider, die andere Bundesstaaten gewählt haben, um das Gleichgewicht zu wahren, Unternehmen Zeit zur Anpassung zu geben, ohne die Compliance auf unbestimmte Zeit schleifen zu lassen.

Was das für Sie bedeutet

Wenn Sie in Louisiana leben, werden die praktischen Vorteile dieses Gesetzes erst 2027 wirksam, aber die Richtung ist klar: Sie erhalten stärkere gesetzliche Rechte darüber, wie Unternehmen Ihre personenbezogenen Daten erfassen, nutzen und weitergeben. Dazu gehört die Möglichkeit zu erfahren, welche Daten ein Unternehmen über Sie gespeichert hat, Korrekturen zu verlangen, die Löschung zu beantragen und dem Verkauf Ihrer Daten oder deren Nutzung für zielgerichtete Werbung zu widersprechen.

In der Zwischenzeit erinnert die Verabschiedung des Gesetzes daran, dass der Schutz der Privatsphäre in den Vereinigten Staaten uneinheitlich bleibt und vom Wohnort abhängt. Ob Sie robuste Rechte an Ihren eigenen Daten bekommen, hängt oft davon ab, in welchem Bundesstaat Sie zufällig leben, und nicht von einem einheitlichen nationalen Standard. Solange sich das nicht ändert, bleibt es einer der wirksameren Wege, sich für die eigene Privatsphäre einzusetzen, informiert zu sein, welche Schutzmaßnahmen es an Ihrem Wohnort gibt.

Konkrete Handlungsempfehlungen

Sowohl Einwohner Louisianas als auch Unternehmen sollten die kommenden Monate eher als Vorbereitungsfenster betrachten denn als bereits eingetretene Frist. Verbraucher können anfangen, auf die Datenschutzerklärungen der Unternehmen zu achten, mit denen sie regelmäßig zu tun haben, denn viele werden ihre Hinweise schon lange vor dem Inkrafttreten des Gesetzes aktualisieren. Unternehmen, die in Louisiana tätig sind, sollten jetzt mit der Kartierung ihrer Datenflüsse beginnen, anstatt bis kurz vor Januar 2027 zu warten – insbesondere angesichts der begrenzten Gültigkeit der Nachbesserungsfrist. Und wer die breitere Entwicklung der Datenschutzgesetzgebung auf Bundesstaatsebene verfolgt, sollte genau beobachten, wie andere Bundesstaaten, einschließlich jener mit stärker überwachungsbezogenen Bestimmungen, weiterhin prägen, wie digitaler Datenschutz im ganzen Land aussieht.