Neues Datenschutzgesetz in Rhode Island (RIDTPPA): Sind Sie auf 2026 vorbereitet?

Ein weiteres US-Datenschutzgesetz steht vor der Tür: Der Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) wurde am 28. Juni 2024 verabschiedet und wird ab dem 1. Juni 2026 wirksam. Für Unternehmen, die in Rhode Island tätig sind, bedeutet dies neue Compliance-Anforderungen in Bezug auf die Verarbeitung von Verbraucherdaten.

Dieser Artikel gibt Ihnen einen klaren Überblick über die wichtigsten Pflichten des RIDTPPA und zeigt Ihnen, wie Sie Ihr Unternehmen optimal auf die neuen Regelungen vorbereiten.

Was ist der Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)?

Der Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) ist das neue Datenschutzgesetz des US-Bundesstaates Rhode Island. Es zielt darauf ab, die persönlichen Daten der über eine Million Einwohner zu schützen und Unternehmen klare Pflichten bei der Datenverarbeitung aufzuerlegen. Das Gesetz wurde am 28. Juni 2024 verabschiedet und tritt am 1. Juni 2026 in Kraft.

Für welche Unternehmen gilt das RIDTPPA?

Die Pflichten des RIDTPPA gelten für alle Unternehmen ("Controller"), die in Rhode Island geschäftlich tätig sind oder ihre Produkte und Dienstleistungen gezielt den Einwohnern des Staates anbieten und deren personenbezogene Daten verarbeiten.

Wichtig ist die Definition des "Kunden": Geschützt ist jede Person mit Wohnsitz in Rhode Island, die „in einem individuellen oder Haushaltskontext handelt“. Personen, die in einem geschäftlichen oder beruflichen Kontext handeln (B2B), sind vom RIDTPPA ausdrücklich ausgenommen.

Was sind die Kernpflichten für Unternehmen?

Wie viele andere US-Datenschutzgesetze (z.B. CCPA) folgt das RIDTPPA einem Opt-out-Modell. Das bedeutet, eine vorherige Einwilligung zur Datenerfassung ist meist nicht nötig. Unternehmen müssen jedoch zwingend:

• Eine klare und leicht zugängliche Möglichkeit zum Widerspruch (Opt-out) anbieten.

• Transparent darüber informieren, welche Kategorien personenbezogener Daten sie sammeln.

• Auskunft geben, an welche Drittanbieter die Daten weitergegeben werden.

• Offenlegen, ob Daten für gezielte Werbung verkauft oder verarbeitet werden.

Was macht das RIDTPPA so besonders? Die entscheidenden Unterschiede!

Obwohl es viele Ähnlichkeiten zu anderen Gesetzen gibt, hat das RIDTPPA zwei kritische Besonderheiten:

1. Keine Frist zur Mängelbehebung (No "Cure Period"): Dies ist der wichtigste Unterschied. Wird ein Gesetzesverstoß festgestellt, können sofort Geldstrafen verhängt werden. Es gibt keine Schonfrist, um den Fehler zu beheben. Dies macht die proaktive Compliance unerlässlich.

2. Keine Pflicht zur Angabe des Verarbeitungszwecks: Im Gegensatz zu vielen anderen Gesetzen (wie der DSGVO) verlangt das RIDTPPA von Unternehmen nicht explizit, den genauen Zweck der Datenverarbeitung offenzulegen.

Gilt das RIDTPPA für Ihr Unternehmen? Geltungsbereich, Schwellenwerte und Ausnahmen

Der Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) legt genau fest, welche Unternehmen (sog. "Controller" oder Datenverantwortliche) seine Vorschriften einhalten müssen. Ob Ihr Unternehmen betroffen ist, hängt primär vom Volumen der verarbeiteten Daten ab, nicht vom Umsatz.

Wer muss das RIDTPPA einhalten? Die Schwellenwerte im Detail

Das Gesetz gilt für jedes Unternehmen, das in Rhode Island geschäftlich tätig ist oder seine Produkte an dessen Einwohner richtet und innerhalb eines Kalenderjahres eine der folgenden Bedingungen erfüllt:

• Bedingung 1: Es kontrolliert oder verarbeitet die personenbezogenen Daten von mindestens 35.000 Kunden. (Ausnahme: Daten, die ausschließlich für Zahlungstransaktionen verarbeitet werden.)

• Bedingung 2: Es kontrolliert oder verarbeitet die personenbezogenen Daten von mindestens 10.000 Kunden UND erzielt mehr als 20 % seiner Bruttoeinnahmen aus dem Verkauf dieser Daten.

Ein entscheidender Unterschied zu Gesetzen wie dem CCPA/CPRA in Kalifornien ist das Fehlen einer reinen Umsatzschwelle. Die Anwendbarkeit des RIDTPPA wird also durch die verarbeitete Datenmenge bestimmt, was auch kleinere Unternehmen mit hohem Datenvolumen in die Pflicht nimmt.

Wer ist von der Compliance ausgenommen?

Das RIDTPPA sieht, ähnlich wie andere US-Datenschutzgesetze, Ausnahmen auf zwei Ebenen vor: für bestimmte Organisationen und für bestimmte Datentypen.

Vom Gesetz ausgenommene Organisationen:

• Staatliche und behördliche Einrichtungen

• Gemeinnützige Organisationen (Non-Profits)

• Hochschuleinrichtungen

• Finanzinstitute, die unter den Gramm-Leach-Bliley Act (GLBA) fallen

• Gesundheitsorganisationen und deren Geschäftspartner, die dem HIPAA unterliegen

Vom Gesetz ausgenommene Datenkategorien:

• Gesundheitsbezogene Informationen, die bereits durch HIPAA geschützt sind

• Beschäftigungs- und personalbezogene Daten

• Daten, die unter andere Bundesgesetze fallen, wie z.B. das Gesetz über faire Kreditberichterstattung (FCRA) oder das Gesetz über Bildungsrechte (FERPA).

Diese Ausnahmen stellen sicher, dass das RIDTPPA bestehende Regelungen ergänzt und keine doppelten Compliance-Anforderungen schafft.

Die wichtigsten Definitionen des RIDTPPA: Welche Begriffe Sie kennen müssen

Um die Anforderungen des Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) zu verstehen, ist es entscheidend, die zentralen Begriffe des Gesetzes zu kennen. Wir haben die wichtigsten Definitionen für Sie aufbereitet.

Verbraucherrechte im RIDTPPA: Ihre Pflichten als Unternehmen im Überblick

Der Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) stattet Verbraucher ("Kunden") mit einer Reihe von Rechten aus, um die Kontrolle über ihre personenbezogenen Daten zu erlangen. Für Unternehmen bedeutet dies klare Pflichten bei der Bearbeitung von Anfragen zu Betroffenenrechten (sog. "Data Subject Requests" oder DSRs).

Die zentralen Verbraucherrechte nach dem RIDTPPA

Unternehmen müssen Prozesse implementieren, um die folgenden fünf Hauptrechte zu gewährleisten:

• Recht auf Auskunft: Kunden können bestätigen lassen, ob ihre Daten verarbeitet werden, und auf diese zugreifen.

• Recht auf Berichtigung: Kunden haben das Recht, unrichtige personenbezogene Daten korrigieren zu lassen.

• Recht auf Löschung: Kunden können die Löschung ihrer personenbezogenen Daten verlangen (mit einigen Ausnahmen).

• Recht auf Datenübertragbarkeit: Kunden können eine Kopie ihrer Daten in einem gängigen, maschinenlesbaren Format anfordern.

• Recht auf Widerspruch (Opt-out): Kunden können der Verarbeitung ihrer Daten für Zwecke des Verkaufs, der gezielten Werbung oder des Profilings widersprechen.

Fristen und Pflichten: So müssen Unternehmen auf Anfragen reagieren

Erhält ein Unternehmen eine Anfrage, sind klare Fristen einzuhalten:

• Antwortfrist: Die Antwort an den Kunden muss innerhalb von 45 Tagen erfolgen.

• Verlängerung: Bei Notwendigkeit kann die Frist einmalig um weitere 45 Tage verlängert werden, worüber der Kunde jedoch innerhalb der ersten 45-Tage-Frist informiert werden muss.

• Kosten: Die Auskunft ist für den Kunden einmal pro Jahr kostenlos.

• Ablehnung: Offensichtlich unbegründete, exzessive oder wiederholte Anfragen können gegen eine Gebühr bearbeitet oder abgelehnt werden. Das Unternehmen trägt hierfür jedoch die Beweislast.

Wichtige Einschränkung: Kein privates Klagerecht

Ein entscheidender Punkt des RIDTPPA ist, dass es kein privates Klagerecht für Verbraucher vorsieht. Das bedeutet, Einzelpersonen können Unternehmen nicht direkt wegen eines Verstoßes verklagen. Die Durchsetzung des Gesetzes obliegt ausschließlich dem Generalstaatsanwalt von Rhode Island.

Einwilligung nach RIDTPPA: Das müssen Unternehmen über das Opt-out-Modell wissen

Das Einwilligungsmanagement (Consent Management) nach dem Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) orientiert sich stark an anderen US-Datenschutzgesetzen und setzt primär auf ein Opt-out-Modell. Für Unternehmen bedeutet das jedoch nicht, dass eine Einwilligung nie erforderlich ist.

Die Grundregel: Das Opt-out-Prinzip

Für die allgemeine Verarbeitung personenbezogener Daten verlangt das RIDTPPA keine vorherige aktive Zustimmung. Stattdessen müssen Unternehmen den Verbrauchern ein klares und leicht zugängliches Recht auf Widerspruch (Opt-out) einräumen. Dieses Opt-out-Recht muss insbesondere für folgende Zwecke angeboten werden:

• Den Verkauf personenbezogener Daten

• Gezielte Werbung (Targeted Advertising)

• Profiling zu Zwecken, die rechtliche oder ähnlich bedeutsame Auswirkungen haben

Die Ausnahme: Wann eine aktive Einwilligung (Opt-in) Pflicht ist

Eine vorherige, aktive Zustimmung ist zwingend erforderlich bei der Verarbeitung von:

• Sensiblen personenbezogenen Daten

• Personenbezogenen Daten von Kindern (unter 13 Jahren)

Die praktische Umsetzung mit einer Consent Management Platform (CMP)

Für die technische Umsetzung des Opt-out-Rechts nutzen die meisten Unternehmen Consent Management Platform (CMP). Sie sorgt dafür, dass:

• Verbraucher transparent über die Datenverarbeitung informiert werden.

• Tracking-Technologien blockiert werden, sobald ein Nutzer sein Opt-out-Recht ausübt.

• Die Einhaltung der Compliance über verschiedene Gesetze hinweg erleichtert wird.

RIDTPPA-Compliance: Die 7 wichtigsten Pflichten, die jedes Unternehmen kennen muss

Das neue Datenschutzgesetz von Rhode Island (RIDTPPA) bringt zahlreiche neue Aufgaben für Unternehmen mit sich. Wir haben die sieben zentralen Verpflichtungen für Sie zusammengefasst.

1. Führen Sie Datenschutz-Folgenabschätzungen (DSFAs) durch Für alle risikoreichen Aktivitäten wie gezielte Werbung, den Verkauf von Daten oder die Verarbeitung sensibler Daten ist eine DSFA Pflicht. Der Generalstaatsanwalt kann Einsicht verlangen!
2. Erfüllen Sie die einzigartigen Transparenzpflichten Das RIDTPPA verlangt keine klassische Datenschutzerklärung, sondern klare Informationen über gesammelte Datenkategorien, Verkaufspartner und eine Kontaktmöglichkeit an einer „auffälligen Stelle“ Ihrer Webseite.
3. Meistern Sie das Einwilligungsmanagement Grundsätzlich gilt ein Opt-out-Modell. Aber Achtung: Für sensible Daten und Daten von Kindern benötigen Sie eine aktive Einwilligung (Opt-in). Ein universeller Opt-out wie GPC ist nicht erforderlich.
4. Etablieren Sie einen Prozess für Betroffenenrechte Sie müssen Anfragen von Kunden innerhalb von 45 Tagen beantworten und einen klaren Prozess für Beschwerden nach einer Ablehnung haben.
5. Schließen Sie Datenverarbeitungsverträge (DPAs) ab Die Zusammenarbeit mit Dienstleistern (Processors) muss vertraglich geregelt sein. Das RIDTPPA definiert hier klare Anforderungen an den Inhalt und enthält eine besondere Haftungsausnahme.
6. Gewährleisten Sie Datensicherheit und Zweckbindung Sammeln Sie nur die Daten, die für den genannten Zweck wirklich notwendig sind, und schützen Sie diese durch angemessene technische und organisatorische Maßnahmen.
7. Beachten Sie das Diskriminierungsverbot Kunden dürfen für die Ausübung ihrer Rechte nicht benachteiligt werden. Gut zu wissen: Freiwillige Bonus- oder Treueprogramme sind weiterhin erlaubt.

RIDTPPA-Durchsetzung: Welche Strafen drohen bei Verstößen?

Die Durchsetzung des Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) liegt in einer Hand, was die Compliance für Unternehmen zu einem kritischen Thema macht. Hier erfahren Sie, wer das Gesetz durchsetzt und welche Sanktionen bei Nichteinhaltung drohen.

Zuständigkeit: Die alleinige Befugnis des Generalstaatsanwalts

Die ausschließliche Verantwortung für die Durchsetzung des RIDTPPA liegt beim Generalstaatsanwalt von Rhode Island. Verbraucher haben kein privates Klagerecht, können also nicht selbst klagen. Sie spielen jedoch eine wichtige Rolle, indem sie Beschwerden über mögliche Verstöße direkt bei der Generalstaatsanwaltschaft einreichen können.

Das höchste Risiko: Keine Heilungsfrist ("Cure Period")

Einer der einschneidendsten Aspekte des RIDTPPA ist das Fehlen einer Heilungsfrist. Im Gegensatz zu vielen anderen US-Datenschutzgesetzen erhalten Unternehmen keine Schonfrist, um festgestellte Mängel zu beheben. Ein Verstoß kann sofort zu Sanktionen führen.

Strafen und Bußgelder nach dem RIDTPPA

Verstöße gegen das Datenschutzgesetz werden nach dem Gesetz über betrügerische Handelspraktiken geahndet. Dies kann zu empfindlichen Strafen führen:

• Pro Verstoß kann ein Bußgeld von bis zu 10.000 US-Dollar verhängt werden.

• Zusätzlich können für vorsätzliche oder grobe Verstöße weitere Geldstrafen zwischen 100 und 500 US-Dollar pro Offenlegung anfallen.

Diese Regelungen machen eine proaktive und lückenlose Datenschutz-Compliance für alle betroffenen Unternehmen unerlässlich.

RIDTPPA-Compliance: So bereiten Sie Ihr Unternehmen auf 2026 vor

Unternehmen haben bis zum 1. Juni 2026 Zeit, um die Anforderungen des Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) umzusetzen. Obwohl es Überschneidungen mit anderen US-Datenschutzgesetzen gibt, wie das Recht auf Opt-out oder die Einwilligungspflicht für sensible Daten, bringt das RIDTPPA auch einzigartige Pflichten mit sich. Eine proaktive Vorbereitung ist daher unerlässlich.

Ihr Fahrplan zur RIDTPPA-Compliance:

1. Betroffenheit prüfen (Scoping): Der erste Schritt ist die Klärung, ob Ihr Unternehmen unter die Schwellenwerte des RIDTPPA fällt. Analysieren Sie das Volumen der verarbeiteten Kundendaten und prüfen Sie, ob die spezifischen Anforderungen zum Informationsaustausch für Sie gelten.

2. „Privacy by Design“ als Grundprinzip: Verankern Sie den Datenschutz von Beginn an in Ihren Prozessen. Dieser Ansatz hilft nicht nur bei der Einhaltung des RIDTPPA, sondern verbessert auch das Vertrauen Ihrer Kunden und die Effizienz Ihrer Datenverarbeitung.

3. Implementieren Sie eine Consent Management Platform (CMP): Ein zentrales Werkzeug zur Umsetzung der Compliance ist eine CMP. Sie hilft Ihnen, die Einwilligung für Cookies und Tracker rechtssicher zu managen, das Opt-out-Recht technisch umzusetzen und die geforderten Transparenzpflichten zu erfüllen.

4. Holen Sie sich Expertenrat: Die Datenschutzlandschaft entwickelt sich ständig weiter. Um langfristig konform zu bleiben, ist die Zusammenarbeit mit qualifizierten Rechtsexperten oder einem externen Datenschutzbeauftragten (DSB) dringend zu empfehlen. Sie stellen sicher, dass Ihre Maßnahmen nicht nur heute, sondern auch in Zukunft den gesetzlichen Anforderungen entsprechen.

Beginnen Sie frühzeitig mit der Vorbereitung, um die Frist am 1. Juni 2026 sicher einzuhalten und kostspielige Strafen zu vermeiden.

Fazit: Handeln Sie jetzt, um für 2026 gerüstet zu sein

Das Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) zeigt einmal mehr, dass die US-Datenschutzlandschaft immer komplexer wird. Besonders das Fehlen einer Heilungsfrist macht ein proaktives und fundiertes Vorgehen für Unternehmen unerlässlich.

Doch Sie müssen diese Herausforderung nicht allein meistern. Unser Team aus Datenschutz-Experten steht bereit, um Ihre spezifische Situation zu analysieren und einen klaren Fahrplan für Ihre RIDTPPA-Compliance zu entwickeln. Nutzen Sie die verbleibende Zeit bis zum 1. Juni 2026, um Rechtssicherheit zu erlangen und kostspielige Risiken zu vermeiden.