Vor dem Hintergrund der zunehmenden Cyberkriminalität und Datenschutzverletzungen in den Jahren 2020 und 2021 haben Gesetzgeber in mehr als 29 US-Bundesstaaten dem Datenschutz in diesem Jahr besondere Aufmerksamkeit gewidmet und ihn in den Sitzungen der Parlamente weit oben auf die Tagesordnung gesetzt.
Unter anderem wurden das Recht der Verbraucher, der Datenerfassung auf Websites zu widersprechen, ein lückenloser Schutz und der Datenschutz für Kinder im Internet sowie die Überwachung von E-Mails der Mitarbeiter eingehend geprüft.
Besonders wichtig ist, dass die Gesetzgeber die Rolle und Verantwortung von Unternehmen und staatlichen Stellen bei der Gewährleistung des Datenschutzes genauer untersucht haben – ebenso wie die Notwendigkeit, dass Unternehmen klar darlegen, welche Daten erfasst werden, was damit geschieht und wie lange sie gespeichert werden.
Letztlich haben in diesem Jahr nur Virginia und Colorado Datenschutzgesetze verabschiedet, die am 2. März 2021 beziehungsweise am 7. Juli 2021 in Kraft traten. Damit sind sie nach Kalifornien die zweiten und dritten Bundesstaaten, die solche Gesetze verabschiedet haben. In anderen Bundesstaaten scheiterten die Datenschutzgesetze jedoch.
Ohne entsprechende Regelungen werden selbst Virginia, Colorado und Kalifornien den Datenschutz der Verbraucher aufgrund zweier entscheidender Faktoren nicht angemessen schützen können: Das Internet ist nicht auf die Grenzen eines einzelnen Bundesstaates beschränkt, sodass beliebige Gesetze den bundesstaatenübergreifenden Vorgaben und Compliance-Anforderungen nicht gerecht würden. Außerdem können online tätige Akteure gemäß der Commerce Clause, Artikel I, Abschnitt 8 der Verfassung, nur von der Bundesregierung reguliert werden.
Gesetze zum Schutz der Privatsphäre von Verbrauchern bilden eine entscheidende Grundlage für den Schutz ihrer Rechte und ihre Sicherheit und Privatsphäre im Internet. Da es bislang keine US-weiten Gesetze gibt, die ein Unternehmen oder eine staatliche Stelle für diese Aufgabe verantwortlich machen – und angesichts des zunehmenden Ausmaßes von Datenschutzverletzungen und Versäumnissen bei der digitalen Verwaltung von Daten –, ist es inzwischen von größter Bedeutung, dieses Problem anzugehen.
Heute leben wir in einem Umfeld zunehmender Cyberkriminalität, in dem Jahr für Jahr eine Rekordzahl immer ausgefeilterer und schwerwiegenderer Datenschutzverletzungen stattfindet. Daher überrascht es nicht, dass das Vertrauen der Verbraucher in das Versprechen der
Datensicherheit
auf einem historischen Tiefstand liegt und die Mehrheit der Amerikaner inzwischen glaubt, die vollständige Kontrolle über ihre Daten verloren zu haben.
Ein Flickenteppich bestehender Schutzvorkehrungen
Die Ausweitung dieses Flickenteppichs aus einzelstaatlichen Datenschutzgesetzen wird daher nur für noch mehr Verwirrung und Instabilität bei Unternehmen und Kunden sorgen. Diese Gesetze regeln beispielsweise keinen bundesstaatenübergreifenden Handel und beeinträchtigen damit jedes Unternehmen, das in mehreren Bundesstaaten tätig ist oder Kunden dort bedient.
In Ermangelung eines einheitlichen nationalen Datenschutzsystems werden weitere Bundesstaaten eigene lokale Vorschriften erlassen. Das wird die Kosten erhöhen und die Compliance noch weiter erschweren – mit einer Vielzahl von Durchsetzungsregelungen für Unternehmen und Privatpersonen gleichermaßen.Ein großer Teil der westlichen Welt hat umfassende gesetzliche Schutzvorkehrungen für personenbezogene Daten eingeführt. Die Vereinigten Staaten haben damit jedoch weiterhin Schwierigkeiten: Branchenspezifische Gesetze und Vorschriften schützen die Daten der Verbraucher nicht angemessen und führen lediglich zu komplizierten und häufig widersprüchlichen Anforderungen für Unternehmen und Verbraucher.Ein gutes Beispiel hierfür ist das Health Insurance Portability and Accountability Act (HIPAA) – das wichtigste US-Gesetz zum Schutz und zur Sicherheit von Gesundheitsdaten, das nur für „betroffene Einrichtungen“ gilt, die „geschützte Gesundheitsinformationen“ speichern. Das System ist so kompliziert, dass die meisten
Amerikaner nicht wissen, wann ihre Gesundheitsdaten gesetzlich geschützt sind oder welche Sicherheitsstandards auf ihren individuellen Fall zutreffen.Darüber hinaus regeln separate Datenschutzgesetze bestimmte Bereiche des US-Gesundheitswesens. Impfungen von Schülern und andere Gesundheitsunterlagen von Schulen fallen im Allgemeinen unter den Family Educational Rights and Privacy Act (FERPA), der wiederum
mit dem Children’s Online Privacy Protection Act (COPPA) zusammenwirkt und manchmal mit ihm kollidiert
, der Daten schützt, allerdings nur von Kindern unter 13 Jahren.
Die einzelstaatlichen Gesetze machen diesen verwirrenden Flickenteppich nur noch komplexer, insbesondere im Hinblick auf Datenschutzverletzungen. Denn es ist anerkannt, dass die weitverbreitete Erfassung personenbezogener Daten die Privatsphäre und Sicherheit von Menschen gefährdet. Zwar gibt es Bundesgesetze, nach denen Einzelpersonen benachrichtigt werden müssen, wenn ihre Daten kompromittiert wurden; welche Arten personenbezogener Daten schutzwürdig sind, welche Einrichtungen unter die Regelungen fallen und was überhaupt als Datenschutzverletzung gilt, unterscheidet sich jedoch von Bundesstaat zu Bundesstaat.
Selbst die am besten aufgestellten Organisationen werden aufgrund der anhaltenden Bedrohung durch Cyberkriminelle, Insiderbedrohungen oder Wirtschaftsspionage irgendwann Opfer einer Datenschutzverletzung. Die Schäden, die aus der Erfassung und dem Missbrauch von Daten entstehen können, entwickeln sich ständig weiter und nehmen zu. Daher ist jetzt der richtige Zeitpunkt, die Einführung bundesweiter Gesetze und die Schaffung eines nationalen Standards für die Benachrichtigung über Datenschutzverletzungen erneut in Angriff zu nehmen. So wird sichergestellt, dass Einzelpersonen erfahren, wann eine Datenschutzverletzung mit ihren personenbezogenen Daten stattgefunden hat.Auf dem Weg zu einem einheitlichen nationalen Rahmen für den DatenschutzWährend sich der US-Rechtsrahmen traditionell darauf verlassen hat, dass einzelne Bundesstaaten ihre eigenen Varianten von Datenschutzgesetzen einführen, hat die
General Data Protection Regulation
(GDPR) der EU den globalen Dialog über Datenschutz geprägt und einen internationalen Standard für den Schutz aller personenbezogenen Daten gesetzt – unabhängig davon, wer sie erfasst oder wie sie verarbeitet werden. Fortschrittliche digitale Volkswirtschaften wie Kanada, Israel und Japan beginnen, sich daran auszurichten, was US-Unternehmen möglicherweise einen globalen Wettbewerbsnachteil verschaffen könnte.
Um die Vereinigten Staaten mit diesen neu entstehenden Datenschutzstandards in Einklang zu bringen, sollte der Kongress nun einen einzigen, umfassenden Rahmen schaffen, der alle Institutionen umfasst – einen Rahmen, der unterschiedliche Bundesgesetze und -vorschriften sowie Rechte und Pflichten außer Kraft setzt und miteinander in Einklang bringt und sicherstellt, dass alle Unternehmen zu verantwortungsvollen Verwaltern von Daten werden, um alle US-Bürger besser zu schützen.
Nun ist es an den Gesetzgebern der Bundesstaaten, dies zu fördern und gemeinsam mit dem Kongress eine übergreifende, fortschrittliche Lösung zu erarbeiten, die der Bedeutung des Rechts des Einzelnen auf Privatsphäre und der Pflicht von Organisationen zu deren Schutz Rechnung trägt.Über den Autor: