B2B-Besuchererkennung in Florida

Für die meisten B2B-Unternehmen nein — und das ist die wichtigste Tatsache zur FDBR überhaupt. Ihre Kernpflichten für Verantwortliche, etwa Auskunfts- und Löschungsrechte oder der Widerspruch gegen einen „Sale“, treffen nur ein gewinnorientiertes Unternehmen, das in Florida geschäftlich tätig ist, weltweit mehr als 1 Milliarde US-Dollar Bruttoumsatz erzielt und zusätzlich entweder mindestens die Hälfte dieses Umsatzes aus Online-Werbung erzielt, einen Smart Speaker betreibt, oder einen App Store mit mindestens 250.000 Apps führt. Ein mittelständischer SaaS-Anbieter oder Dienstleister erreicht diese kombinierte Schwelle fast nie und ist damit kein Verantwortlicher im Sinne der Hauptregelungen der FDBR. Gesonderte Regelungen zu staatlich angeordneter Moderation, zum Verkauf sensibler Daten und zum Schutz Minderjähriger gelten breiter. Ob ein konkretes Unternehmen die Schwelle überschreitet, ist eine Frage für einen mit dem Gesetz vertrauten Anwalt, keine pauschale Annahme.

Beide Bundesstaaten kommen über sehr unterschiedliche Wege zu einem ähnlichen praktischen Ergebnis, und der Unterschied ist für jeden Vergleich wichtig. Kaliforniens CCPA nahm B2B-Kontakt- und Mitarbeiterdaten ursprünglich befristet aus, doch diese Ausnahme lief am 1. Januar 2023 aus, sodass geschäftliche Kontaktdaten von Personen mit Wohnsitz in Kalifornien seither vollständig unter CCPA/CPRA fallen. Eine solche befristete Ausnahme, die auslaufen konnte, gab es in Florida nie: Die FDBR definiert einen „Consumer“ von Anfang an als Person mit Wohnsitz in Florida, die ausschließlich im individuellen oder häuslichen Kontext handelt, und schließt eine Person im geschäftlichen oder beschäftigungsbezogenen Kontext ausdrücklich aus. In Florida standen rein geschäftliche Daten also von Beginn an außerhalb des Verbraucherbegriffs, während sie in Kalifornien seit Jahren wieder erfasst sind. Wie genau die jeweilige Definition auf einen konkreten Datenfluss anzuwenden ist, sollte ein Anwalt klären, kein allgemeiner Vergleich wie dieser.

Die Umsatz-und-Aktivitäts-Schwelle bedeutet, dass die Kernpflichten der FDBR für ein Unternehmen dieser Größe mit hoher Wahrscheinlichkeit nicht gelten, was auf die große Mehrheit der in Florida aktiven B2B-Anbieter zutrifft. Allerdings enthält die FDBR einige Regelungen — zu staatlich angeordneter Inhaltsmoderation, zum Verkauf sensibler personenbezogener Daten und zum Schutz bekannter Minderjähriger online —, die nicht an die Milliarden-Schwelle gebunden sind und je nach Geschäftstätigkeit theoretisch auch ein kleineres Unternehmen erfassen könnten. Zudem gelten für Käufer in Florida unabhängig von der FDBR weitere Gesetze, allgemeine Verbraucherschutzregeln und eigene vertragliche Erwartungen. „Unter der Schwelle“ als abschließendes Ergebnis zu behandeln, statt dies mit einem Anwalt zu bestätigen und die engeren Regelungen separat zu prüfen, ist genau die Abkürzung, die später Probleme verursachen kann.

In der Regel nein, aus zwei voneinander unabhängigen Gründen, die es sich lohnt, getrennt zu betrachten. Erstens ermittelt lead.box die besuchende Organisation — einen Firmennamen, eine Branche und eine Größenklasse aus netzwerkbezogenen Signalen — statt eine namentlich bekannte Person zu identifizieren, sodass in dem Sinne, in dem die Rechte der FDBR gedacht sind, kein Profiling einer Einzelperson stattfindet. Zweitens schließt der Consumer-Begriff der FDBR eine Person mit Wohnsitz in Florida aus, die im geschäftlichen oder beschäftigungsbezogenen Kontext handelt — was die meisten B2B-Recherchen auf Websites beschreibt. Beide Punkte sind getrennt von der Frage zu sehen, ob Ihr Unternehmen angesichts der Umsatz-und-Aktivitäts-Schwelle überhaupt als Verantwortlicher unter der FDBR gilt. Alle drei Punkte getrennt zu dokumentieren, statt sie als ein einziges Argument zu behandeln, hält einer Prüfung durch Käufer oder Anwalt in der Regel besser stand.

Für die schmale Gruppe von Unternehmen, die tatsächlich als Verantwortliche unter der FDBR gelten, muss der Florida Attorney General in der Regel einen mutmaßlichen Verstoß mitteilen und 45 Tage zur Nachbesserung einräumen, bevor eine Durchsetzungsmaßnahme nach dem FDUTPA erfolgt. Diese Frist gibt einem betroffenen Unternehmen eine echte Gelegenheit, eine Lücke zu schließen — etwa eine Offenlegung zu aktualisieren, einem Löschantrag nachzukommen oder einen Opt-out-Mechanismus anzupassen —, bevor die Bußgelder des Gesetzes greifen, die bis zu 50.000 US-Dollar je Verstoß erreichen und in bestimmten Fällen verdreifacht werden können. Da die Frist nur relevant ist, wenn ein Unternehmen überhaupt Verantwortlicher unter der FDBR ist, werden die meisten B2B-Anbieter sich nie darauf berufen müssen — für die Plattformen, die das Gesetz eigentlich adressieren sollte, ist sie aber ein bedeutsamer Schutz. Nicht betroffene Unternehmen sollten trotzdem dokumentieren, was ihre eigenen Käufer erwarten.

Die Durchsetzung liegt beim Florida Attorney General und dem Department of Legal Affairs, die dabei Verfahren nach dem bestehenden Gesetz gegen unlautere und irreführende Geschäftspraktiken einleiten, statt einen eigenständigen Datenschutz-Durchsetzungsmechanismus zu nutzen. Ein allgemeines individuelles Klagerecht, das einer Person mit Wohnsitz in Florida erlaubt, ein Unternehmen direkt wegen eines Verstoßes zu verklagen, sieht die FDBR nicht vor; die Durchsetzung läuft über das Büro des Attorney General, nach der oben beschriebenen 45-tägigen Nachbesserungsfrist für betroffene Verantwortliche. Diese zentralisierte, einbehördliche Struktur ist einfacher als in Bundesstaaten, die Zuständigkeiten zwischen Attorney General und einer eigenen Datenschutzbehörde aufteilen, ändert aber nichts daran, wer überhaupt erfasst ist — die enge Umsatz-und-Aktivitäts-Schwelle entscheidet weiterhin, ob die Hauptpflichten der FDBR für ein Unternehmen überhaupt greifen.

Eine Vendor-Prüfung in Florida stellt typischerweise dieselben Fragen wie überall im Land, weitgehend unabhängig davon, ob die FDBR für eine der beiden Seiten überhaupt gilt: welche Daten erhoben werden, ob davon etwas an Dritte verkauft oder weitergegeben wird, wo die Verarbeitung und Speicherung stattfindet, und ob eine unterschriftsfähige Auftragsverarbeitungsvereinbarung vorliegt. lead.box kann alle vier Punkte klar beantworten — das Produkt identifiziert die besuchende Organisation statt einer namentlich bekannten Person, verkauft oder teilt keine personenbezogenen Daten für Werbung, verarbeitet Daten in ISO-zertifizierten EU-Rechenzentren und stellt eine Auftragsverarbeitungsvereinbarung samt veröffentlichter Sub-Processor-Liste bereit. Diese Antworten parat zu haben, statt auf den engen Anwendungsbereich der FDBR zu verweisen, als beende das die Diskussion, bringt einen Beschaffungsprozess in Florida tatsächlich voran.

Nein, und dieser Punkt wiegt hier schwerer als in den meisten anderen Bundesstaaten, gerade weil die Anwendbarkeit der FDBR von einer sehr konkreten Kombination aus Umsatz- und Geschäftstätigkeitsfakten abhängt, die nur Ihre eigene Rechtsabteilung für Ihr Unternehmen bestätigen kann. Diese Seite beschreibt die Struktur des Gesetzes, seine enge Schwelle für Verantwortliche, seinen Verbraucherbegriff und seinen Durchsetzungsmechanismus als allgemeinen Hintergrund und ordnet ein, wo firmenbezogene Erkennung dazu steht — sie ersetzt aber keine anwaltliche Prüfung Ihrer konkreten Umsatzzahlen, Geschäftstätigkeiten und Datenflüsse. Floridas schwellenwertbasierter Ansatz macht die Abgrenzungsfrage tatsächlich komplexer als ein einfaches „gilt dieses Gesetz für meine Branche“-Prüfung, weshalb es der richtige nächste Schritt ist, vor jeder Schlussfolgerung aus diesem Text eine Anwältin oder einen Anwalt hinzuzuziehen — kein optionaler Zusatzschritt.