Vor dem Hintergrund der zunehmenden Cyberkriminalität und der Datenschutzverletzungen in den Jahren 2020 und 2021 haben Gesetzgeber in mehr als 29 US-Bundesstaaten dem Datenschutz in diesem Jahr besondere Aufmerksamkeit gewidmet und ihn bei den Sitzungen der Parlamente weit oben auf die Tagesordnung gesetzt.
Dazu gehören unter anderem das Recht von Verbrauchern, der Datenerfassung auf Websites zu widersprechen, ein lückenloser Schutz und die Privatsphäre von Kindern im Internet sowie die Überwachung von E-Mails der Beschäftigten, die allesamt eingehend geprüft wurden.
Besonders wichtig ist, dass Gesetzgeber die Rolle und Verantwortung kommerzieller und staatlicher Stellen bei der Gewährleistung des Datenschutzes genauer untersucht haben – ebenso wie die Notwendigkeit, dass Unternehmen klar angeben, welche Daten erfasst werden, was damit geschieht und wie lange sie gespeichert werden.
Letztlich haben in diesem Jahr nur Virginia und Colorado Datenschutzgesetze verabschiedet, die am 2. März 2021 beziehungsweise am 7. Juli 2021 in Kraft traten. Damit sind sie nach Kalifornien die zweiten und dritten Bundesstaaten, die solche Gesetze erlassen. In anderen Bundesstaaten scheiterten die Datenschutzgesetze hingegen an der Verabschiedung.
Ohne entsprechende Regelungen werden selbst Virginia, Colorado und Kalifornien den Datenschutz von Verbrauchern nicht angemessen schützen können – und zwar aus zwei entscheidenden Gründen: Das Internet ist nicht auf die Grenzen eines einzelnen Bundesstaates beschränkt, sodass Gesetze den bundesstaatenübergreifenden föderalen Vorschriften und Compliance-Anforderungen nicht gerecht würden; außerdem können online tätige Akteure nur von der Bundesregierung auf Grundlage der Commerce Clause, Artikel I, Abschnitt 8 der Verfassung, reguliert werden.
Datenschutzgesetze für Verbraucher bilden eine entscheidende Grundlage für den Schutz der Rechte von Verbrauchern und ihre Sicherheit und Privatsphäre im Internet. Da es bislang keine nationale US-Gesetzgebung gibt, die kommerziellen oder staatlichen Stellen hierfür die Verantwortung überträgt, und angesichts des zunehmenden Ausmaßes von Datenschutzverletzungen und Versäumnissen bei der digitalen Datenverwaltung ist es nun von größter Bedeutung, dieses Problem anzugehen.
Heute leben wir in einem Umfeld zunehmender Cyberkriminalität, in dem Jahr für Jahr eine rekordverdächtige Zahl immer ausgefeilterer und schwerwiegenderer Datenschutzverletzungen stattfindet. Daher überrascht es nicht, dass das Vertrauen der Verbraucher in das Versprechen der Datensicherheit einen historischen Tiefstand erreicht hat und die Mehrheit der Amerikaner inzwischen glaubt, die vollständige Kontrolle über ihre Daten verloren zu haben.
Ein Flickenteppich bestehender Schutzmaßnahmen
Diesen Flickenteppich einzelstaatlicher Datenschutzgesetze weiter auszubauen, würde daher nur für noch mehr Verwirrung und Instabilität bei Unternehmen und Kunden sorgen. So sehen diese Gesetze beispielsweise keinen zwischenstaatlichen Handel vor und würden damit jedes Unternehmen beeinträchtigen, das in mehreren Bundesstaaten tätig ist oder Kunden dort bedient.
In Ermangelung eines einheitlichen nationalen Datenschutzregimes werden weitere Bundesstaaten eigene lokale Vorschriften erlassen, was die Kosten erhöhen und die Einhaltung der Vorschriften noch weiter erschweren wird – mit einer Vielzahl von Durchsetzungsregimen für Unternehmen und Privatpersonen gleichermaßen.
Ein großer Teil der westlichen Welt hat umfassende gesetzliche Schutzmaßnahmen für personenbezogene Daten eingeführt. Die Vereinigten Staaten tun sich damit jedoch weiterhin schwer und verfügen über sektorspezifische Gesetze und Vorschriften, die den Schutz von Verbraucherdaten nicht angemessen gewährleisten und lediglich zu komplizierten und oft widersprüchlichen Anforderungen für Unternehmen und Verbraucher führen.
Ein gutes Beispiel dafür ist der Health Insurance Portability and Accountability Act (HIPAA) – das wichtigste US-Gesetz zum Schutz und zur Sicherheit von Gesundheitsdaten, das nur für „covered entities“ gilt, die „protected health information“ speichern. Das System ist so kompliziert, dass die meisten Amerikaner nicht wissen, wann ihre Gesundheitsdaten gesetzlich geschützt sind und welche Sicherheitsstandards auf ihren individuellen Fall Anwendung finden.
Darüber hinaus regeln separate Datenschutzgesetze bestimmte Bereiche des US-Gesundheitswesens. Impfungen von Schülern und andere Gesundheitsunterlagen von Schulen fallen im Allgemeinen unter den Family Educational Rights and Privacy Act (FERPA), der wiederum mit dem Children’s Online Privacy Protection Act (COPPA) verbunden ist und mit ihm teilweise kollidiert, der Daten schützt, allerdings nur von Kindern unter 13 Jahren.
Die einzelstaatlichen Gesetze tragen nur zu diesem verwirrenden Flickenteppich bei, insbesondere im Hinblick auf Datenschutzverletzungen. Dabei ist anerkannt, dass die weitverbreitete Erfassung personenbezogener Daten die Privatsphäre und Sicherheit von Menschen gefährdet. Zwar gibt es Bundesgesetze, die eine Benachrichtigung der Betroffenen vorschreiben, wenn ihre Daten kompromittiert wurden, doch unterscheiden sich von Bundesstaat zu Bundesstaat die Arten personenbezogener Daten, die Schutz verdienen, die erfassten Stellen und sogar die Definition einer Datenschutzverletzung.
Selbst die fortschrittlichsten Organisationen werden irgendwann Opfer einer Datenschutzverletzung – sei es durch die anhaltende Bedrohung durch Cyberkriminelle, Insider-Bedrohungen oder kommerzielle Angriffe. Die Schäden, die aus der Erfassung und dem Missbrauch von Daten entstehen können, entwickeln sich ständig weiter und nehmen zu. Daher ist jetzt der richtige Zeitpunkt, die Einführung bundesstaatlicher Rechtsvorschriften und die Schaffung eines nationalen Standards für die Benachrichtigung über Datenschutzverletzungen erneut in Angriff zu nehmen. So wird sichergestellt, dass Betroffene erfahren, wann eine Datenschutzverletzung mit ihren personenbezogenen Daten stattgefunden hat.
Auf dem Weg zu einem einheitlichen nationalen Rahmen für den Datenschutz
Während sich der US-Rechtsrahmen traditionell darauf verlassen hat, dass einzelne Bundesstaaten ihre eigenen Varianten von Datenschutzgesetzen einführen, hat die Datenschutz-Grundverordnung (DSGVO) der EU den weltweiten Dialog über Datenschutz angeführt und einen internationalen Standard für den Schutz sämtlicher personenbezogener Daten gesetzt – unabhängig davon, wer sie erfasst oder wie sie verarbeitet werden. Fortschrittliche digitale Volkswirtschaften wie Kanada, Israel und Japan beginnen, sich daran auszurichten, was US-Unternehmen auf dem Weltmarkt möglicherweise benachteiligen könnte.
Um die Vereinigten Staaten an diese neu entstehenden Datenschutzstandards anzugleichen, sollte der Kongress nun einen einzigen, umfassenden Rahmen schaffen, der alle Institutionen erfasst – einen Rahmen, der unterschiedliche Bundesgesetze und -vorschriften sowie Rechte und Pflichten außer Kraft setzt und miteinander in Einklang bringt und sicherstellt, dass alle Unternehmen zu verantwortungsvollen Verwaltern von Daten werden, um alle US-Bürger besser zu schützen.
Jetzt ist es an den Gesetzgebern der Bundesstaaten, dies zu fördern und gemeinsam mit dem Kongress an einer übergreifenden, fortschrittlichen Lösung zu arbeiten, die die Bedeutung des individuellen Rechts auf Privatsphäre und die Pflicht von Organisationen zu ihrem Schutz widerspiegelt.
Über den Autor:
Adam Strange, Global Marketing Director, Titus by HelpSystems