Datenschutzgesetze der US-Bundesstaaten (CCPA/CPRA und weitere)
Die Rechtslage, wie wir sie am 5. November 2026 verstehen. Welches Gesetz für Sie gilt, hängt von Schwellenwerten ab (Umsatz, Zahl der Verbraucher), die sich von Bundesstaat zu Bundesstaat unterscheiden. Was diese Seiten sind und was nicht, lesen Sie im Überblick.
Was das Gesetz verlangt
Die Gesetze der US-Bundesstaaten verlangen keine Einwilligung, bevor Cookies laufen. Sie verlangen einen Hinweis und ein Widerspruchsrecht (Opt-out): Informieren Sie Besucher darüber, was Sie erheben, lassen Sie sie dem „Verkauf“ oder der „Weitergabe“ ihrer personenbezogenen Daten sowie zielgerichteter Werbung widersprechen, und holen Sie eine Opt-in-Einwilligung nur für sensible Daten und bei Minderjährigen ein.
Kalifornien (CCPA in der Fassung des CPRA)
- Hinweis bei der Erhebung, zum oder vor dem Zeitpunkt, zu dem Daten erhoben werden.
- Ein Link „Do Not Sell or Share My Personal Information“ (Meine personenbezogenen Daten nicht verkaufen oder weitergeben) und, wo zutreffend, ein Link „Limit the Use of My Sensitive Personal Information“ (Verwendung meiner sensiblen personenbezogenen Daten einschränken) – oder stattdessen ein einziger Link „Your Privacy Choices“ (Ihre Datenschutzeinstellungen) mit dem Opt-out-Symbol.
- Opt-out-Präferenzsignale. Ein Unternehmen, das Daten verkauft oder weitergibt, muss ein Browsersignal wie Global Privacy Control als wirksamen Widerspruch für diesen Browser behandeln, ohne weitere Angaben zu verlangen. Seit dem 1. Januar 2026 muss das Unternehmen außerdem anzeigen, ob es das Signal verarbeitet hat (zum Beispiel „Opt-Out Request Honored“).
- Symmetrie der Wahlmöglichkeiten: Die datenschutzfreundliche Option darf nicht länger oder aufwendiger sein als die andere; eine durch Dark Patterns erlangte Einwilligung ist keine Einwilligung.
- Warten Sie nach einem Widerspruch 12 Monate, bevor Sie die Person bitten, wieder zuzustimmen.
Durchgesetzt wird das Gesetz von der California Privacy Protection Agency, der kalifornischen Datenschutzbehörde, und vom Attorney General (Generalstaatsanwalt); die Bußgelder betragen bis zu 2.663 $ pro Verstoß und 7.988 $ pro vorsätzlichem Verstoß (Beträge von 2025).
Die anderen Bundesstaaten
Umfassende Datenschutzgesetze gelten in rund zwanzig Bundesstaaten, darunter Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana, Iowa, Delaware, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota und Maryland; in Indiana, Kentucky und Rhode Island seit dem 1. Januar 2026. Sie unterscheiden sich im Detail, gemeinsam ist ihnen das Widerspruchsrecht gegen den Verkauf und gegen zielgerichtete Werbung.
Zwölf Bundesstaaten verlangen, dass universelle Opt-out-Signale wie Global Privacy Control beachtet werden: Kalifornien, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon und Texas, mit Startterminen zwischen 2024 und 2026. Colorado ist der einzige Bundesstaat, der eine offizielle Liste führt, und GPC ist der einzige Mechanismus darauf.
IAB GPP
Werbetechnologie liest Opt-out-Entscheidungen aus den USA aus der Global
Privacy Platform des IAB (__gpp). Deren Abschnitt US National (usnat),
der auf das Multi-State Privacy Agreement zurückgeht, überträgt die Widersprüche
und ein Global-Privacy-Control-Kennzeichen in einem einzigen String.
Wie ConnectWiz damit umgeht
ConnectWiz startet Besucher aus den USA wie alle anderen – alles abgelehnt, bis sie entscheiden –, was jedes US-Gesetz zulässt. Wenn Sie an Kunden in den USA verkaufen und das Modell aus Hinweis und Opt-out nutzen möchten, aktivieren Sie unter Standard vor einer Entscheidung, nach Region die Option US-Datenschutzmodell der Bundesstaaten verwenden (Opt-out) (siehe Besucher aus den USA):
| Die Regel | In ConnectWiz |
|---|---|
| Hinweis bei der Erhebung | Besucher aus den USA sehen das Banner einmal als Hinweis, in ihrer Sprache. |
| „Do Not Sell or Share“ | Der Hinweis hat drei gleichwertige Schaltflächen: OK, Meine personenbezogenen Daten nicht verkaufen oder weitergeben (Marketing aus, der Rest bleibt) und Einstellungen. |
| Link „Your Privacy Choices“ | Die Cookie-Schaltfläche heißt Ihre Datenschutzeinstellungen; jedes Element mit data-cwz-privacy-choices in Ihrer Fußzeile öffnet dieselbe Auswahl. |
| Global Privacy Control | Wird auf jeder Website beachtet, mit oder ohne US-Modell: Ein Browser, der das Signal sendet, startet nie mit aktiviertem Marketing, und der Hinweis teilt mit, dass das Signal angewendet wurde. Nur die eigene Entscheidung des Besuchers kann Marketing wieder einschalten. |
| 12 Monate nach einem Widerspruch | Eine Entscheidung, die Marketing abschaltet, wird mindestens 12 Monate gespeichert. |
| Nachweis | Jeder Nachweis vermerkt, dass er unter dem Opt-out-Modell entstanden ist und ob der Browser GPC gesendet hat. |
| IAB GPP | Ist Zusätzlich IAB-GPP-Signale senden (US National) aktiviert, beantwortet die Seite __gpp mit einem usnat-String, einschließlich des GPC-Unterabschnitts. Siehe IAB-GPP-Signale. |
Das Modell gilt für die gesamten Vereinigten Staaten: Aus der Adresse lässt sich der Bundesstaat eines Besuchers nicht ermitteln, und Hinweis und Widerspruchsmöglichkeit schaden nicht, wo ein Bundesstaat kein entsprechendes Gesetz hat.
Was Sie noch tun müssen
- Ihre Datenschutzerklärung muss beschreiben, was Sie erheben, welche Kategorien Sie verkaufen oder weitergeben und wie man widerspricht; der Hinweis im Banner ersetzt sie nicht.
- Sensible Daten und Minderjährige erfordern eine Opt-in-Einwilligung; erhebt Ihre Website solche Daten, reicht das Opt-out-Modell für diese Zwecke nicht aus.
- Anfragen per E-Mail oder Formular (Auskunft, Löschung, Widerspruch für Daten, die nicht an einen Browser gebunden sind) müssen Sie selbst beantworten; ConnectWiz speichert die Entscheidungen, die im Browser getroffen werden.
- Prüfen Sie, ob ein Gesetz für Sie gilt – die Schwellenwerte unterscheiden sich von Bundesstaat zu Bundesstaat.