Vermont verabschiedet Senatsgesetz 71, Datenschutzgesetz tritt 2028 in Kraft

Vermont hat offiziell den Senatsgesetzentwurf 71 verabschiedet, ein umfassendes Datenschutzgesetz, das regelt, wie Unternehmen personenbezogene Daten von Einwohnern des Bundesstaates erheben, nutzen, offenlegen, verkaufen und schützen. Das Gesetz soll am 1. Januar 2028 in Kraft treten und gibt Unternehmen mehrere Jahre Zeit, ihre Datenpraktiken konform zu gestalten, bevor die Durchsetzung beginnt. Damit ist Vermont der jüngste Bundesstaat, der eine eigene Version eines umfassenden Datenschutzgesetzes verabschiedet hat, und fügt dem zunehmend komplexen nationalen Bild für alle, die ihre digitalen Rechte verstehen wollen, ein weiteres Teil hinzu.

Was der Senatsgesetzentwurf 71 abdeckt und wer ihn einhalten muss

Im Kern zielt S.71 darauf ab, den gesamten Lebenszyklus personenbezogener Daten zu regulieren – von dem Moment an, in dem ein Unternehmen sie erhebt, bis hin dazu, wie diese Daten schließlich genutzt, weitergegeben, verkauft oder gesichert werden. Das Gesetz gilt für Unternehmen, die geschäftlich mit personenbezogenen Daten von Einwohnern Vermonts umgehen, eine Struktur, die bei umfassenden Datenschutzgesetzen, die anderswo im Land verabschiedet wurden, üblich ist. Anstatt auf eine einzelne Branche abzuzielen, gelten diese Gesetze in der Regel branchenübergreifend und erfassen jedes „erfasste Unternehmen", das bestimmte Schwellenwerte bei der Datenverarbeitung erreicht.

Die mehrjährige Vorlaufzeit bis zum Inkrafttreten des Gesetzes ist beabsichtigt. Unternehmen brauchen Zeit, um interne Data-Governance-Richtlinien zu aktualisieren, Mitarbeiter zu schulen und in vielen Fällen grundlegend zu überarbeiten, wie sie Verbrauchereinwilligungen und Datenflüsse dokumentieren. Diese Zeitspanne zwischen Verabschiedung und Durchsetzung ist ein Muster, das sich auch bei anderen Datenschutzgesetzen der Bundesstaaten zeigt und den Unternehmen ein Compliance-Fenster statt einer sofortigen Frist einräumt.

Neue Verbraucherrechte unter dem Datenschutzgesetz von Vermont

Die Ausgestaltung von S.71, der regelt, wie Unternehmen personenbezogene Daten erheben, nutzen, offenlegen, verkaufen und schützen, signalisiert, dass das Gesetz den Einwohnern Vermonts in jeder Phase dieses Prozesses mehr Transparenz und Kontrolle geben soll. Umfassende Datenschutzgesetze dieser Art verlagern in der Regel mehr Entscheidungsbefugnis auf die Verbraucher, wie mit ihren Daten umgegangen wird, anstatt diese Entscheidungen vollständig den datenerhebenden Unternehmen zu überlassen.

Für die Einwohner bedeutet dies im Allgemeinen klarere Erwartungen an die Einwilligung, mehr Transparenz darüber, welche Daten erhoben werden, und strengere Verpflichtungen für Unternehmen, diese Daten nach der Erhebung zu schützen. Da das Gesetz erst 2028 in Kraft tritt, liegen die praktischen Details der Durchsetzung und der Verbrauchererfahrung noch vor uns, doch die Richtung steht im Einklang mit dem breiteren Trend, dem Einzelnen mehr Mitsprache über seinen persönlichen Daten-Fußabdruck zu geben.

Wie Vermont in den wachsenden Flickenteppich der Datenschutzgesetze der Bundesstaaten passt

Der Schritt Vermonts ist Teil eines größeren Trends, der sich von Bundesstaat zu Bundesstaat abspielt, da es keinen einheitlichen Datenschutzstandard auf Bundesebene gibt. Die Bundesstaaten haben ihre eigenen umfassenden Datenschutzgesetze mit gestaffelten Zeitplänen verabschiedet, jedes mit leicht unterschiedlichen Definitionen, Schwellenwerten und Verbraucherschutzbestimmungen. Louisiana folgte demselben Weg, als der Gouverneur den Louisiana Data Privacy Act unterzeichnete, der 2027 in Kraft tritt, ein Jahr vor dem Gesetz von Vermont.

Dieser wachsende Flickenteppich schafft echte Komplexität. Die Datenrechte eines Einwohners können sich erheblich unterscheiden, je nachdem, in welchem Bundesstaat er lebt, und Unternehmen, die in mehreren Bundesstaaten tätig sind, müssen ein sich veränderndes Netz von Compliance-Verpflichtungen verfolgen. Solange der Kongress kein einheitliches Bundesdatenschutzgesetz verabschiedet, wird diese Uneinheitlichkeit wahrscheinlich bestehen bleiben, und es ist zu erwarten, dass in den kommenden Jahren weitere Bundesstaaten eigene Versionen einbringen oder verabschieden.

Warum ein Landesgesetz kein Ersatz für persönliche Datenschutz-Tools ist

Selbst wenn S.71 in Kraft tritt, wird er nur innerhalb der Grenzen Vermonts gelten und nur für Unternehmen, die die spezifischen Kriterien des Gesetzes erfüllen. Datenhändler, Werbenetzwerke und Dienste mit Sitz außerhalb des Bundesstaates könnten vollständig aus seinem Anwendungsbereich fallen, und die Durchsetzungsmechanismen in umfassenden Datenschutzgesetzen stützen sich in der Regel auf staatliche Aufsichtsbehörden, anstatt Einzelpersonen ein umfassendes Klagerecht einzuräumen. Vielleicht noch wichtiger: Das Gesetz tritt erst in Jahren in Kraft, was bedeutet, dass die Datenpraktiken, die es anspricht, in der Zwischenzeit weitgehend unverändert fortbestehen.

Genau in dieser Lücke bleiben persönliche Datenschutz-Tools relevant, unabhängig vom Stand eines Gesetzes. Ein VPN kann zwar kein staatliches Gesetz neu schreiben, aber es kann Ihre IP-Adresse verschleiern, Ihren Browserverkehr verschlüsseln und die Menge an Standort- und Verhaltensdaten reduzieren, die Trackern und Werbenetzwerken in Echtzeit zur Verfügung stehen – Schutzmaßnahmen, die unabhängig von jedem gesetzgeberischen Zeitplan existieren.

Was das für Sie bedeutet

Wenn Sie in Vermont leben, ist S.71 eine positive Entwicklung, aber sein Schutz wird erst 2028 greifen, und selbst dann wird die Abdeckung Grenzen haben. Wenn Sie anderswo leben, hängen Ihre Rechte vollständig von den Gesetzen Ihres eigenen Bundesstaates ab, die in Umfang und Stärke stark variieren. In jedem Fall ist es heute keine praktikable Datenschutzstrategie, darauf zu warten, dass die Gesetzgebung aufholt.

• Überprüfen Sie jetzt, welche Daten Ihre häufig genutzten Apps und Dienste erheben, anstatt darauf zu warten, dass ein Gesetz sie für Sie offenlegt.
• Nutzen Sie Datenschutz-Tools wie ein VPN, um Tracking einzuschränken und die Preisgabe Ihrer IP-Adresse und Surfgewohnheiten zu reduzieren, insbesondere in öffentlichen oder ungesicherten Netzwerken.
• Behalten Sie die Gesetzgebungsaktivitäten in Ihrem eigenen Bundesstaat im Auge, da in den nächsten Jahren voraussichtlich weitere Bundesstaaten dem Beispiel Vermonts und Louisianas folgen werden.
• Unternehmen, die mit Daten von Einwohnern Vermonts umgehen, sollten angesichts der im Gesetz vorgesehenen mehrjährigen Vorlaufzeit frühzeitig mit der Compliance-Planung beginnen.

Die Verabschiedung eines umfassenden Datenschutzgesetzes durch Vermont ist ein bedeutender Schritt, unterstreicht aber auch, wie ungleichmäßig und schleppend der Datenschutz auf Bundesstaatenebene bleibt. Solange kein Bundesstandard diese Lücken schließt, reiht sich das Datenschutzgesetz von Vermont in eine wachsende Liste von Bemühungen der Bundesstaaten – einschließlich der von Louisiana – ein, die Fortschritte zeigen, aber den Einzelnen in den Jahren vor der Durchsetzung weiterhin einen Großteil des eigenen Datenschutzes selbst in die Hand nehmen lassen.