Navigation durch globale Daten-Compliance und Vorschriften im Jahr 2025

17. Dezember 2024

Schutz vor Verlust, Diebstahl und Datenbeschädigung – das sind die Ziele von Datenschutzvorschriften.

Die Einhaltung dieser Vorschriften macht Sie zu einem vertrauenswürdigen Absender, aber es erfordert Ressourcen, um mit den sich entwickelnden Richtlinien rund um den Datenschutz Schritt zu halten. Da wir selbst ein engagierter Datenverarbeiter sind, respektieren wir jedes Bit an Daten, mit dem wir in Berührung kommen, und dieser Index ist Ihr Leitfaden für bestehende globale Gesetze und das, was uns im kommenden Jahr erwartet.

Daten-Compliance ist der Prozess, der die Gesetzgebung und Governance zur Überwachung des Datenschutzes bestimmt. Das ist eine schöne Umschreibung dafür, dass Datenschutzgesetze Ihnen vorschreiben, wie Sie die Daten innerhalb Ihrer Organisation verwalten müssen. Datenvorschriften umfassen den Zugriff auf und die Verwaltung von Daten in Bezug auf:

• Verbraucherdatenschutz
• Datensicherheit
• Anforderungen an die Datenspeicherung
• Umgang mit unbefugtem Zugriff und Cybersicherheitsangriffen

Daten-Compliance umfasst nicht weniger als grundlegende Sicherheitsrechte, und wir können dies aus vielen Blickwinkeln betrachten – von den Rechten des Einzelnen bis zum Betrieb von Unternehmen.

Wir wissen aus erster Hand, dass Daten ein komplexes Geschäftsthema sind, aber Verbraucherdaten sind viel mehr als nur Informationen oder Zahlen. Hinter jedem Datensatz, den Sie erhalten, stehen Menschen. Deshalb sind sie schützenswert und es ist umso wichtiger, dass sie nicht in die falschen Hände geraten.

Natürlich sind diese Daten auch für die Unternehmen, die sie sammeln, sehr wertvoll, da sie ihnen helfen, ihr Geschäft auszubauen und bessere Nutzererlebnisse zu schaffen. Die Datenschutzgesetzgebung schützt nicht nur den Datenschutz von normalen Menschen, sondern auch die Sicherheit der Datenbestände einer Organisation.

In einer von Sinch Mailjet durchgeführten Umfragewurde deutlich, dass sich die DSGVO als Notwendigkeit etabliert hat, aber beachtliche 25 % der Befragten waren sich unsicher über die spezifischen Datenschutzgesetze, die für sie gelten. Es gibt viel zu beachten bei den verschiedenen Ländern und Definitionen, aber lesen Sie weiter und wir werden diese Richtlinien klarstellen.

Es gibt drei verschiedene Parteien, die von der Datenschutzgesetzgebung betroffen sind: betroffene Personen, Datenverantwortliche und Datenverarbeiter, die jeweils ihre eigene Rolle spielen. Obwohl diese drei Akteure jeweils in allen aktuellen Datenschutzgesetzen vertreten sind, werden sie nicht in jedem auf die gleiche Weise dargestellt.

Bevor wir aufschlüsseln, wer welche Regeln befolgen muss, lassen Sie uns einige grundlegende Definitionen klären.

Betroffene Personen sind Individuen, deren personenbezogene Daten von einem Unternehmen oder einer Organisation gesammelt, gespeichert, verkauft oder verarbeitet werden. Als E-Mail-Absender sind Ihre betroffenen Personen Ihre Abonnenten oder alle, deren E-Mail-Adresse Sie speichern.

Die Gesetzgebung, die die Datenrechte von Verbrauchern vertritt, entstand erstmals im Jahr 2016 mit der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union (EU) (Inkrafttreten im Mai 2018). In den USA es gibt derzeit keine umfassende bundesstaatliche Datenschutzgesetzgebung. Bisher haben nur eine Handvoll Staaten ihre eigene Gesetzgebung vorgelegt, darunter Kalifornien mit dem California Consumer Privacy Act (CCPA), der im Januar 2020 in Kraft trat.

Datenverantwortliche bestimmen die Zwecke und Mittel, mit denen personenbezogene Daten verarbeitet werden. Wenn Sie ein Unternehmen sind, das personenbezogene Daten (PII) sammelt und speichert, und Sie Ihre eigenen Nutzer/Kunden haben, dann sind Sie ein Datenverantwortlicher. Sie sind auch ein Datenverantwortlicher, allein dadurch, dass Sie die Daten Ihrer eigenen Mitarbeiter verarbeiten. Datenverantwortliche sind Entscheidungsträger, die darüber bestimmen, wie die von ihnen erfassten Daten verwaltet und genutzt werden.

Ein Datenverarbeiter ist derjenige, der die tatsächliche Verarbeitung der Daten durchführt. Ein gutes Beispiel für die Datenrollen wäre Ihr bevorzugter E-Commerce-Shop. Die Nutzer/Kunden sind die betroffenen Personen, der Shop ist der Datenverantwortliche, der die Produkte verwaltet, und ein Unternehmen wie Mailgun ist einer der Datenverarbeiter, die mit diesem Unternehmen zusammenarbeiten, um deren automatisierte Transaktions-E-Mails.

Sie sind nicht unbedingt auf eine Datenrolle beschränkt. Mailgun ist beispielsweise ein Datenverarbeiter, wenn es um die Ermöglichung automatisierter E-Mails geht, aber wir sind auch ein Datenverantwortlicher in Bezug auf das Sammeln und Speichern der eigenen Daten unserer Kunden sowie ein Datenverantwortlicher in unserer Partnerschaft mit unserem Zahlungsanbieter. Es kann auch Unterauftragsverarbeiter geben, die Daten für den Datenverarbeiter im Auftrag des Datenverantwortlichen verarbeiten.

Nachdem wir nun die Definitionen geklärt haben, lassen Sie uns über die Datenschutzgesetze sprechen, die Sie betreffen könnten.

Es gibt eine wachsende Zahl von Gesetzen, und je nach den spezifischen Gesetzen haben betroffene Personen, Verantwortliche und Verarbeiter unterschiedliche Rechte. Wenn Sie ein US-amerikanisches Unternehmen sind, sind dies die drei wichtigsten Richtlinien, die Sie wahrscheinlich am meisten betreffen werden:

Die DSGVO war die erste bedeutende Gesetzgebung, die sich auf den Schutz von Datenrechten konzentrierte, indem sie Transparenz vorschrieb und dem Einzelnen die Datenkontrolle zurückgab. Die DSGVO verhängt hohe Strafen für Verstöße und regelt die Datennutzung mit der Mentalität, dass Individuen ihre Daten an Anbieter ausleihen, anstatt sie bei der Anmeldung aufzugeben. Sie zielt darauf ab, den größtmöglichen Schutz für Verbraucher zu gewährleisten.

Wichtige Fakten, die Sie sich merken sollten:

• In Kraft seit dem 25. Mai 2018.
• Sie harmonisiert die Datenschutzgesetze in der gesamten EU.
• Sie betrifft jedes Unternehmen, das Daten von EU-Bürgern verarbeitet, unabhängig davon, wo diese ansässig sind.

Der CCPA schützt nur die Rechte von Personen, die in Kalifornien ansässig sind. Wenn Sie bereits DSGVO-konform sind, erfordert die Erreichung der CCPA-Konformität keinen erheblichen zusätzlichen Aufwand.

Wichtige Fakten, die Sie sich merken sollten:

• In Kraft seit dem 1. Jan. 2020.
• Diese Gesetzgebung bietet Datenschutzrechte für Einwohner Kaliforniens.
• Der CCPA betrifft Organisationen, die in Kalifornien Geschäfte tätigen.

HIPAA enthält Regeln für neue Technologien zur Verwaltung von Gesundheitsdaten wie E-Mails, digitale Zahlungsanbieter und Telemedizin-Dienste. 2022 brachte vorgeschlagene Aktualisierungen mit sich, die geschützte Gesundheitsinformationen (PHI), den Informationsfluss und die Zugangsrechte von Patienten betreffen. Die HIPAA-Datenschutzrichtlinie zielt darauf ab, die Pflegekoordination und den Datenaustausch (neben dem Aufstieg der Telemedizin) zu verbessern, und wird umfangreiche Infrastruktur-Updates und zusätzliche Schulungen für Gesundheitsdienstleister und Geschäftspartner erfordern.

Wichtige Fakten, die Sie sich merken sollten:

• Ursprünglich verabschiedet im Jahr 1996.
• Es schützt vor der Offenlegung von persönlichen Gesundheitsinformationen.
• HIPAA gilt für betroffene Entitäten und Geschäftspartner innerhalb der Vereinigten Staaten, auch in Bezug auf Nicht-US-Bürger oder -Einwohner.

DSGVO, CCPA und HIPAA sind die großen Drei, wenn es um die Regulierung individueller Verbraucherdaten geht, aber sie sind nicht die einzige Gesetzgebung, und der Betrieb ohne einige der anderen Compliance-Standards kann es schwierig machen, Ihr Unternehmen grenzüberschreitend zu führen.

Wir wissen, dass sich all dieses Gerede über Richtlinien vielleicht ein wenig wie ein Lehrbuch anfühlt. Wir sind nicht hier, um Vorträge zu halten, aber wir haben die Fakten. Wenn Sie sich unsicher sind, welche Datenschutzgesetze für Sie gelten, haben wir eine Tabelle erstellt, die Ihnen hilft, sich schnell einen Überblick zu verschaffen.

Gesetzgebung	Geldstrafen	Geschützte betroffene Personen	Betroffene Datenverantwortliche und Datenverarbeiter
DSGVO: Die Datenschutz-Grundverordnung der EU	20 Mio. € oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Wert höher ist).	Jeder EU-Bürger, dessen personenbezogene Daten von einer Organisation gesammelt, aufbewahrt oder verarbeitet werden.	Weltweite Unternehmen, die personenbezogene Daten von EU-Bürgern verarbeiten, einschließlich gemeinnütziger Organisationen, die Spenden von EU-Bürgern annehmen.
CCPA: California Consumer Privacy Act	100 bis 750 $ pro Verbraucher und Vorfall. 2.400 bis 7.500 $ pro zivilrechtlichem Verstoß.	Nur Einwohner von Kalifornien.	Unternehmen, die in Kalifornien tätig sind und einen Umsatz von 25 Mio. $ oder mehr erzielen oder Daten von 50.000 Einwohnern oder mehr verarbeiten.
UCPA Utah Consumer Privacy Act	Bis zu 7.500 $ pro Verstoß.	Eine Einzelperson, die ihren Wohnsitz in Utah hat und im individuellen oder haushaltsbezogenen Kontext handelt.	Personen oder Entitäten, die im Bundesstaat Utah geschäftlich tätig sind, einen Jahresumsatz von 25.000.000 $ oder mehr erzielen und entweder personenbezogene Daten von 100.000 oder mehr Verbrauchern verarbeiten oder über 50 % ihres Bruttoumsatzes aus dem Verkauf von personenbezogenen Daten erzielen, während sie personenbezogene Daten von 25.000 oder mehr Verbrauchern kontrollieren oder verarbeiten.
VCDPA Virginia Consumer Data Protection Act	Bis zu 7.500 $ pro Verstoß, durchgesetzt durch den Generalstaatsanwalt des Bundesstaates.	Nur Einwohner von Virginia.	Natürliche und juristische Personen, die in VA Geschäfte tätigen und mindestens eine dieser Anforderungen erfüllen: Kontrolle oder Verarbeitung personenbezogener Daten von mindestens 100.000 VA-Einwohnern, oder Kontrolle und Verarbeitung personenbezogener Daten von mindestens 25.000 VA-Verbrauchern und Erzielung von 50 % oder mehr des Bruttoumsatzes aus dem Verkauf von personenbezogenen Daten in einem Kalenderjahr.
OCPA Oregon Consumer Privacy Act	Bis zu 7.500 $ pro Verstoß	Nur Einwohner von Oregon.	Unternehmen, die personenbezogene Daten von mindestens 100.000 Verbrauchern kontrollieren oder personenbezogene Daten von mindestens 25.000 oder mehr Verbrauchern kontrollieren oder verarbeiten und 25 Prozent oder mehr ihres jährlichen Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielen.
MTCDPA Montana Consumer Data Privacy Act	Im MTCDPA werden keine Strafen spezifiziert, aber es wird darauf hingewiesen, dass der Generalstaatsanwalt „Klage erheben“ kann.	Nur Einwohner von Montana	Unternehmen, die personenbezogene Daten von mindestens 35.000 Verbrauchern kontrollieren (ausschließlich personenbezogener Daten, die nur zum Abschluss von Zahlungstransaktionen kontrolliert oder verarbeitet werden) oder personenbezogene Daten von mindestens 10.000 oder mehr Verbrauchern kontrollieren oder verarbeiten und 20 Prozent oder mehr ihres jährlichen Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielen
TDPSA Texas Data Privacy and Security Act	Bis zu 7.500 $ pro Verstoß	Nur Einwohner von Texas	Unternehmen, die in Texas Geschäfte tätigen oder Produkte bzw. Dienstleistungen anbieten, die von Einwohnern von Texas konsumiert werden, und die personenbezogene Daten verarbeiten oder sich an deren Verkauf beteiligen und die sich nicht als Kleinunternehmen gemäß der Definition der U.S. Small Business Administration identifizieren (unabhängige gewinnorientierte Entität mit weniger als 500 Mitarbeitern)
HIPAA: Health Insurance Portability and Accountability Act	Zivilrechtliche Geldstrafen (CMP) reichen von 100 $ bis 50.000 $ pro betroffenem PHI-Datensatz, mit einer maximalen Strafe von 1,5 Mio. $ pro Vorfall.	Alle Krankenakten und andere individuell identifizierbare Gesundheitsinformationen, die von einer betroffenen Entität in irgendeiner Form verwendet oder offengelegt werden.	HIPAA betrifft Gesundheitsanbieter, Krankenversicherungen und Abrechnungsstellen im Gesundheitswesen sowie Geschäftspartner, die im Auftrag einer betroffenen Entität Arbeiten ausführen.
UK GDPR: Großbritanniens Erlass der DSGVO nach dem Brexit. Die DSGVO wird als UK GDPR in nationales Recht übernommen, aber das Vereinigte Königreich hat die Unabhängigkeit, das Rahmenwerk weiterhin zu überprüfen.	Die UK GDPR hat zwei Stufen von Geldstrafen; die standardmäßige Höchststrafe beträgt 8,7 Mio. £ oder 2 % des weltweiten Jahresumsatzes und die höhere Höchststrafe 17,5 Mio. £ oder 4 % des weltweiten Jahresumsatzes.	Regelt die Verarbeitung personenbezogener Daten von Personen, die sich im Vereinigten Königreich befinden.	Die UK GDPR gilt für Datenverantwortliche und Datenverarbeiter innerhalb des Vereinigten Königreichs. Sie deckt Organisationen ab, die ihren Sitz außerhalb des Vereinigten Königreichs haben, wenn sich ihre Verarbeitungsaktivitäten auf die Überwachung oder das Anbieten von Waren oder Dienstleistungen für Personen im Vereinigten Königreich beziehen.
LGPD: Brasiliens allgemeines Datenschutzgesetz	Bis zu 2 % des Nettoumsatzes der Unternehmensgruppe in Brasilien im letzten Geschäftsjahr, begrenzt auf 50 Mio. BRL (ca. 10,5 Mio. USD) pro Verstoß.	Gilt für jede natürliche Person in Brasilien, deren Daten gesammelt oder verarbeitet wurden, unabhängig davon, wo sich das datenerfassende Unternehmen befindet.	Das LGPD gilt für jede Datenverarbeitung, die in Brasilien stattfindet, zum Zwecke des Anbietens von Waren und Dienstleistungen oder zur Verarbeitung von Daten von Personen, die sich in Brasilien befinden.
PIPEDA: Kanadas Personal Information Protection and Electronic Documents Act	Organisationen, die Straftaten begehen, können mit Geldstrafen von bis zu 100.000 CAD belegt werden.	PIPEDA schützt die persönlichen Informationen von Individuen. Eine Einzelperson muss kein kanadischer Staatsbürger oder Einwohner einer bestimmten Provinz sein.	PIPEDA gilt für Organisationen des privaten Sektors in ganz Kanada, die persönliche Informationen im Rahmen einer kommerziellen Aktivität.
APPI: Japans Gesetz zum Schutz personenbezogener Daten	Bis zu 100.000.000 japanische Yen (907.715 $) oder eine strafrechtliche Verurteilung von bis zu 1 Jahr Gefängnis.	Das APPI zielt darauf ab, die personenbezogenen Daten japanischer Staatsbürger zu schützen.	APPI gilt für alle Wirtschaftsakteure, die personenbezogene Daten von Personen in Japan handhaben. Unabhängig davon, ob sich das Unternehmen im Land befindet.
PIPL: Chinas Gesetz zum Schutz personenbezogener Daten	Das PIPL verhängt eine Höchststrafe von bis zu 50 Millionen Yuan (7,8 Millionen USD) oder 5 % des Jahresumsatzes des vorangegangenen Geschäftsjahres.	Das PIPL zielt darauf ab, die Rechte und Interessen des Einzelnen zu schützen, die Verarbeitung personenbezogener Informationen zu regulieren und die angemessene Nutzung personenbezogener Informationen zu erleichtern.	Die PIPL-Anforderungen decken alle Unternehmen ab, die die Daten chinesischer Bürger verarbeiten, unabhängig davon, ob es sich um ein inländisches oder internationales, großes oder kleines Unternehmen handelt.

Wir können Ihnen keinen Artikel über Datenrichtlinien liefern, ohne über Folgendes zu sprechen: PCI DSS, SOC2 und ISO sind Daten-Compliance-Standards. Während sich diese oft mit der globalen Gesetzgebung überschneiden, die wir behandelt haben, gibt es separate Compliance-Entitäten, die sie regeln.

Diese Datensicherheitsstandards sind im Wesentlichen Audits, die zu Compliance-Zertifizierungen führen. Sobald diese Standards erreicht sind, zeigen sie Datenverantwortlichen, dass eine Organisation ein verantwortungsvoller Partner ist.

Die Zusammenarbeit mit Organisationen, die diese Standards erreicht haben, kann Ihnen die Mühe ersparen, sie selbst erlangen zu müssen. Zum Beispiel muss Mailgun nicht PCI-konform sein, weil wir die Zahlungsdienste an Unterauftragsverarbeiter vergeben und mit Zahlungsverarbeitern zusammenarbeiten, die ihre eigenen Verpflichtungen einhalten.

Lassen Sie uns etwas mehr über diese Standards lernen.

In der PCI DSS geht es darum, Vertrauen und Sicherheit bei der Zahlungsabwicklung zu schaffen. Dieser Standard wird vom PCI Security Standards Council verwaltet und ist eine Reihe von Sicherheitsstandards, die 2004 von Visa, Mastercard, Discover Financial Services, JCB International und American Express gebildet wurden. Er schützt die Karteninhaberdaten und Authentifizierungsdaten von Personen und reduziert das Risiko von Datenschutzverletzungen.

Der PCI DSS hat vier Hauptziele:

1. Gespeicherte Karteninhaberdaten schützen.
2. Antivirensoftware oder -programme verwenden und regelmäßig aktualisieren.
3. Den Zugriff auf Karteninhaberdaten auf geschäftliche Erforderlichkeit (Need-to-know) beschränken.
4. Jeden Zugriff auf Netzwerkressourcen und Karteninhaberdaten nachverfolgen und überwachen.

System and Organization Controls (SOC) sind interne Berichte, die als Sicherheitsnachweis dienen. Technologie-Dienstanbieter wie Mailgun erwerben diese Zertifizierung freiwillig, um zu beweisen, dass ihren Sicherheitsprozessen vertraut werden kann. Ein weiterer auditbasierter Compliance-Standard, SOC2, macht Anbieter für ihre Datenverarbeitungsmethoden und Cybersicherheitskontrollen verantwortlich.

Mailgun verfügt über SOC2 Typ I & II, bei denen es sich um strenge und umfassende Berichte handelt, die die Wirksamkeit von Sicherheitskontrollen testen und sicherstellen, dass sie funktionieren.

• SOC 2 Typ I: Testet, ob E-Mail-Sicherheitskontrollen vorhanden sind (dies ist für Typ II erforderlich).
• SOC 2 Typ II: Testet, um sicherzustellen, dass Kontrollen vorhanden sind und effektiv funktionieren.

ISO-Standards legen Basissicherheiten fest. Wenn jedes Land unterschiedliche Ansätze für Sicherheits-Best Practices hätte, wäre es für Unternehmen nahezu unmöglich, eine Sicherheitsinfrastruktur aufzubauen. Die Lösung ist ein gemeinsames internationales Normungsgremium, das die Compliance im Konsens regelt. Die Internationale Organisation für Normung (ISO) hat seit 1947 25.000 Standards entwickelt und veröffentlicht (Mailgun hat zwei erreicht).

Die ISO-Compliance beweist, dass Sie mit verschiedenen Szenarien umgehen und Variablen kontrollieren können, die dazu beitragen, Daten zu schützen und bösartige Cyberangriffe, Datenschutzverletzungen und andere Sicherheitskatastrophen zu verhindern. Diese Standards können auch spezifisch sein. Beispielsweise ist ISO27701 eine seltene Zertifizierung im E-Mail-Bereich, die 40 Datenschutzkontrollen enthält, die eng auf die DSGVO-Standards abgestimmt sind.

Aus den von uns geteilten Informationen könnten Sie schließen, dass die bestehende Gesetzgebung fast alles abdeckt, aber das ist nicht der Fall. In Wahrheit sind noch viele weitere Richtlinien in Vorbereitung.

Wie Sie der sehr großen Tabelle weiter oben in diesem Beitrag entnehmen können, sind nicht alle Datenschutzgesetze gleich geschaffen. Derzeit wird die Daten-Compliance von den einzelnen Ländern geregelt – und in den USA durch einzelne Bundesstaaten – und das kann die Etablierung effektiver Geschäftspraktiken erschweren. Hier sind die wichtigsten Dinge, die Sie beachten sollten:

• Datenzuständigkeit: Wo Ihr Unternehmen existiert, ist nicht unbedingt von Bedeutung. Die Datenzuständigkeit wird eher dadurch bestimmt, wo sich Ihre betroffenen Personen befinden.
• Datenauswirkungen: Nicht alle Organisationen sind groß genug, um in der Gesetzgebung vertreten zu sein. In Kalifornien beispielsweise betrifft Sie der CCPA nur, wenn Sie Daten von 50.000 oder mehr Einwohnern verarbeiten.
• Strafen: Es gibt keine Konsistenz hinsichtlich der Ahndung von Verstößen. Einige berechnen einen prozentualen Anteil des Nettoumsatzes, während andere pro betroffener Person für jeden Verstoß abrechnen.

Die Datenrichtlinie ändert sich nicht nur, sie ändert sich schnell.

In den USA wurde eine Executive Order Anfang Oktober 2022 von Präsident Biden unterzeichnet, die das EU-US- Datenschutz-Rahmenabkommen umsetzt, das uns der Behebung des Schutzes grenzüberschreitender Datenübertragungen näher bringt.

Ab dem 10. Juli 2023 hat die Europäische Kommission ihren Angemessenheitsbeschluss für das EU-US- Datenschutz-Rahmenabkommen (Data Privacy Framework) verabschiedet. Was bedeutet das? Diese Annahme bedeutet, dass die Vereinigten Staaten ein angemessenes Schutzniveau für die personenbezogenen Daten von EU-Bürgern bieten, die durch US-Organisationen übertragen werden.

Diese jüngste Annahme folgt dem Safe Harbor Framework (2015 für ungültig erklärt) und dem EU-US Privacy Shield Framework (2020 für ungültig erklärt), die beide von europäischen Gerichten gekippt wurden.

Es ist wahrscheinlich, dass in den USA bald Bundesdatengesetze erlassen werden, insbesondere wenn das DPF-Programm Bestand hat, die mit der europäischen DSGVO vergleichbar sein werden und die Datenrichtlinien zwischen den USA und der EU nahtloser machen werden. Bis Ende 2024 erleben die USA weiterhin das Entstehen eines Flickenteppichs von Bundesstaatengesetzen, was einer Bundesgesetzgebung zu Daten immer näher rückt. Die folgenden Staaten haben neue Gesetze zum Verbraucherdatenschutz bestätigt, die ab 2025 in Kraft treten:

Unterzeichnete Gesetze

• Der Delaware Personal Data Privacy Act tritt am 1. Januar 2025 in Kraft.
• Der Iowa Consumer Data Protection Act tritt am 1. Jan. 2025 in Kraft.
• Die Gesetzgebung von New Jersey tritt am 15. Januar 2025 in Kraft.
• Der Tennessee Information Protection Act tritt am 1. Juli 2025 in Kraft.
• Der Indiana Consumer Data Protection Act tritt am 1. Januar 2026 in Kraft.
• Der Colorado Privacy Act trat am 1. Juli 2023 stufenweise in Kraft und tritt am 1. Oktober 2025 vollständig in Kraft.
• Der Nebraska Data Privacy Act tritt am 1. Januar 2025 in Kraft.
• Der Kentucky Consumer Data Protection Act tritt am 1. Januar 2026 in Kraft.
• Der Maryland Online Data Privacy Act tritt am 1. Oktober 2025 in Kraft.
• Der New Jersey Senate Bill 332 tritt am 15. Januar 2025 in Kraft.
• Der Connecticut Data Privacy Act trat am 1. Juli 2023 stufenweise in Kraft und tritt am 1. Januar 2025 vollständig in Kraft.
• Der Rhode Island Data Transparency and Privacy Protection Act tritt am 1. Januar 2026 in Kraft.
• Der New Hampshire Senate Bill 255 tritt am 1. Januar 2025 in Kraft.

Bundesstaaten mit Gesetzgebung im Ausschuss

• Ohio
• Pennsylvania
• Michigan

Bundesstaaten mit eingebrachter Gesetzgebung

• Oklahoma

Sobald alle oben genannten Bundesstaaten über eine aktive Gesetzgebung verfügen, werden rund 50 % des Landes mit Datenrichtlinien unterschiedlichen Ausmaßes operieren, während die andere Hälfte der Bundesstaaten derzeit keine Gesetzentwürfe eingebracht hat. Die zunehmende Verabschiedung länderspezifischer Gesetze beschleunigt den Druck auf eine Gesetzgebung auf Bundesebene, die möglicherweise die DSGVO-Standards widerspiegelt.

Diese Länder entwickeln Gesetzgebungen, deren Fertigstellung wir 2025 oder in den nächsten Jahren erleben könnten.

Australien

Der aktualisierte australische Privacy Act befasst sich mit digitalen Bedenken und verbessert den Online-Datenschutz und andere Maßnahmen. Der Gesetzentwurf (vorgeschlagen im Jahr 2021) wird der Verpflichtung der australischen Regierung, den Privacy Act von 1988 zu stärken, Wirksamkeit verleihen. Er ermöglicht die Einführung eines verbindlichen Online-Datenschutzkodex für Social Media und bestimmte andere Online-Plattformen, erhöht Strafen und Durchsetzungsmaßnahmen und zielt darauf ab, die Datenrichtlinien für Australien stärker in Einklang mit den durch die DSGVO festgelegten Standards zu bringen. Im Februar 2023 veröffentlichte das Generalstaatsanwaltsministerium von Australien einen abschließenden Bericht über die Überprüfung des Privacy Act, in dem über 100 vorgeschlagene Reformen des Gesetzes vorgestellt wurden, um es für das digitale Zeitalter zu aktualisieren. Die Änderungen der australischen Regierung am Privacy Act von 1988 werden voraussichtlich im Jahr 2025 abgeschlossen sein. Die vorgeschlagenen Aktualisierungen konzentrieren sich auf digitalen Datenschutz, Transparenz von Verbraucherdaten und an die DSGVO angepasste Strafen.

Indien

Indiens Personal Data Protection Bill (PDPB) wurde 2019 vorgeschlagen und kürzlich zurückgezogen (Stand: August. 2022) aufgrund heftiger Kritik von Interessenvertretern, die der Ansicht waren, das Gesetz würde der Regierung zu viel Macht über die Daten ihrer Bürger verleihen. Eine neue Gesetzgebung wurde im August 2023 vom indischen Präsidenten gebilligt. Indiens Digital Personal Data Protection Act (DPDP) wird voraussichtlich Mitte 2025 vollständig in Kraft treten und strenge Grenzen für die Datenverarbeitung für Unternehmen festlegen, die Daten indischer Bürger verarbeiten.

Kanada

Kanadas erwartete Aktualisierung des Personal Information Protection and Electronic Documents Act (PIPEDA) wird einen stärkeren Schutz individueller Rechte und Richtlinien für grenzüberschreitende Datenübertragungen integrieren, geplant für das 1. Quartal 2025.

Daten repräsentieren Menschen, und bei Mailgun respektieren wir Menschen.

Es ist keine Überraschung, dass Daten – eine endlose Ressource – viel Erklärung und Recherche erfordern, um sie zu verstehen. Als Datenverantwortlicher im Technologiebereich weiß das niemand besser als wir. Wenn die Links in diesem Beitrag Sie nicht zu den gewünschten Informationen führen oder wenn Sie mehr darüber erfahren möchten, wie Mailgun Ihre Daten verwaltet, lesen Sie unseren Daten- und Compliance-Leitfaden.