Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

Der Colorado Privacy Act erklärt für alle, die von Anzeigen leben

Colorado war nach Kalifornien der erste Bundesstaat, der verlangte, dass Websites das automatische Ablehnungssignal des Browsers respektieren. In diesem Leitfaden verstehen Sie, wann das Gesetz für Ihre Website gilt, was sich mit dem GPC ändert und wie der Generalstaatsanwalt kontrolliert.

Meine Website für Colorado prüfenLeitfaden lesen
  • ✓Basierend auf dem Gesetz, den Regeln und den Seiten des Generalstaatsanwalts von Colorado
  • ✓Beispiele für Websites mit AdSense und Ad Manager
  • ✓Reines Lese-Audit, ohne die Website zu verändern
100.000Verbraucher aus Colorado pro Jahr: die wichtigste Schwelle für die Anwendung des Gesetzes
1bisher vom Bundesstaat anerkannter universeller Opt-out-Mechanismus: die Global Privacy Control
20.000 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß nach dem Verbraucherschutzgesetz von Colorado
45 TageFrist zur Beantwortung von Verbraucheranfragen, einmal um weitere 45 verlängerbar

Was es ist

Ein kurzes Gesetz mit detaillierten Regeln des Generalstaatsanwalts

Der Colorado Privacy Act, kurz CPA, wurde am 7. Juli 2021 unterzeichnet und trat am 1. Juli 2023 in Kraft. Er folgt dem Modell von Virginia, mit Verbraucherrechten, Opt-out bei zielgerichteter Werbung und Einwilligung für sensible Daten.

Der Unterschied liegt im Detail. Der Generalstaatsanwalt von Colorado hat eigene Regeln veröffentlicht, bekannt als 4 CCR 904-3. Sie erklären, wie die Datenschutzerklärung aussehen muss, wie Einwilligung einzuholen ist und wie die universellen Ablehnungssignale zu erkennen sind.

Für alle mit einer Website mit Anzeigen ist der universelle Opt-out-Mechanismus der wichtigste Punkt. Seit dem 1. Juli 2024 müssen betroffene Unternehmen die Global Privacy Control, den GPC, als gültige Ablehnung zielgerichteter Werbung und des Datenverkaufs behandeln.

Das Gesetz arbeitet mit Opt-out für Anzeigen. Es verlangt keine Erlaubnis, bevor Erwachsenen personalisierte Anzeigen gezeigt werden, aber die Ablehnung muss einfach, sichtbar und automatisch sein, wenn der Browser sie meldet.

Checkliste

Was Sie erfüllen müssen

Gelten für alle, die eine der Schwellen des Gesetzes von Colorado überschreiten. Die Regeln des Generalstaatsanwalts erläutern jeden Punkt.

  1. GPC respektieren

    Seit dem 1. Juli 2024 müssen alle über den Schwellen das GPC als Ablehnung von Verkauf und zielgerichteter Werbung akzeptieren. Heute ist es das einzige vom Bundesstaat anerkannte Signal.

  2. Setzen Sie den Ablehnungslink außerhalb der Datenschutzerklärung

    Der Weg zur Ablehnung steht an einer klaren, leicht auffindbaren Stelle außerhalb der Datenschutzerklärung. Der Link muss direkt zur Ablehnung führen und klarmachen, wofür er da ist.

    Beispiel

    Fußzeile: Your Privacy Choices oder Your Colorado Privacy Choices

  3. Datenschutzerklärung vervollständigen

    Die Erklärung beschreibt, wie der Besucher seine Rechte ausübt und wie Ablehnungen per GPC verarbeitet werden, und nennt das Datum der letzten Aktualisierung.

    Beispiel

    Zuletzt aktualisiert: März 2026. Wir respektieren die Global Privacy Control als Ablehnung von Verkauf und zielgerichteter Werbung.

  4. Aktive Einwilligung für sensible Daten einholen

    Die Einwilligung muss freiwillig, spezifisch, informiert und eindeutig sein. Ein vorausgewähltes Kästchen gilt nicht, und die Person muss die Einwilligung leicht widerrufen können.

  5. Kein Login und nicht zu viele Daten verlangen

    Um das GPC zu akzeptieren, darf die Website weder einen Login verlangen noch mehr Daten abfragen als unbedingt nötig.

  6. Innerhalb von 45 Tagen antworten

    Anfragen werden innerhalb von 45 Tagen beantwortet, mit einer Verlängerung um weitere 45 Tage, wenn der Besucher informiert wird. Die erste Auskunftsanfrage innerhalb von 12 Monaten ist kostenlos.

  7. Datenschutz-Folgenabschätzung durchführen

    Bevor Daten verkauft, sensible Daten verarbeitet oder andere Verarbeitungen mit hohem Risiko durchgeführt werden, dokumentiert das Unternehmen eine Abschätzung. Der Generalstaatsanwalt kann dieses Dokument anfordern.

  8. Die Ablehnung an Google weitergeben

    Im Colorado-Abschnitt des GPP-Strings schaltet die Ablehnung von Verkauf oder zielgerichteter Werbung das RDP ein. Sie können das RDP auch direkt im Tag einschalten.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Colorado keine zertifizierte CMP. Nutzen Sie die Meldung von Google für US-Bundesstaaten oder eine CMP, die das GPC liest und GPP erzeugt. Hier sind die offiziellen Links.

Für wen es gilt

Zwei Schwellen und kein Umsatzwert

Der CPA gilt für alle, die in Colorado Geschäfte machen oder Produkte und Dienste an Einwohner des Bundesstaats richten und eine der folgenden Schwellen erreichen. Es gibt keine Umsatzgrenze.

100.000 Verbraucher

Personenbezogene Daten von 100.000 oder mehr Verbrauchern aus Colorado in einem Jahr kontrollieren oder verarbeiten. Besucher mit Cookies und Werbe-IDs zählen mit.

25.000 und Einnahmen aus Verkauf

Daten von 25.000 oder mehr Verbrauchern verarbeiten und Einnahmen oder Rabatte aus dem Datenverkauf haben. Jede Einnahme zählt, es gibt keinen Mindestprozentsatz.

Regeln zur Biometrie

Seit dem 1. Juli 2025 schafft eine Änderung eigene Regeln für biometrische Kennungen und Daten. Wer Biometrie erhebt, sollte diese Regeln gesondert prüfen.

Nur der Verbraucher als natürliche Person

Das Gesetz schützt Einwohner, die in einem persönlichen oder häuslichen Kontext handeln. Daten von Beschäftigten und von Geschäftskontakten sind ausgenommen.

Definitionen

Die Begriffe, die für den Anzeigenverkauf zählen

Colorado definiert Verkauf weiter als Virginia, und das bringt das Gesetz näher an die Realität des Anzeigenmarkts.

Personenbezogenes Datum

Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder vernünftigerweise verknüpft werden kann. Anonymisierte und öffentliche Daten sind ausgenommen.

Sensibles Datum

Rassische oder ethnische Herkunft, Religion, Gesundheitszustand, Sexualleben und sexuelle Orientierung, Staatsbürgerschaft, genetische und biometrische Daten sowie Daten von Kindern unter 13 Jahren.

Verkauf

Austausch personenbezogener Daten gegen Geld oder einen anderen Wert mit einem Dritten. Einem Partner die Datenerhebung im Gegenzug für eine Leistung zu erlauben, kann unter diese Definition fallen.

Zielgerichtete Werbung

Eine Anzeige, die auf Grundlage von Daten über die Aktivitäten der Person im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Kontextbezogene Anzeigen zählen nicht.

Universeller Opt-out

Der GPC wurde am 1. Juli 2024 zur Pflicht

Der CPA schuf das Konzept des universellen Opt-out-Mechanismus: ein Signal, das vom Browser oder einer Erweiterung gesendet wird und allen Websites mitteilt, dass die Person weder zielgerichtete Werbung noch Datenverkauf möchte. So muss sie nicht Website für Website auf Ablehnen klicken.

Der Generalstaatsanwalt nahm Ende 2023 Bewerbungen entgegen und veröffentlichte die offizielle Liste. Bisher ist die Global Privacy Control der einzige anerkannte Mechanismus. Der Bundesstaat sagt, dass die Liste künftig weitere Namen erhalten kann.

Seit dem 1. Juli 2024 müssen Unternehmen über den Schwellen den GPC respektieren. In der Praxis muss die Website das Signal erkennen, den Besucher wie jemanden behandeln, der abgelehnt hat, und diese Ablehnung an alle Anzeigenpartner weitergeben, ohne einen zusätzlichen Klick zu verlangen.

Der Link zur Ablehnung bleibt nötig. Das Gesetz verlangt, dass der Weg zur Ablehnung in der Datenschutzerklärung klar erscheint und auch an einer sichtbaren Stelle außerhalb davon, etwa in der Fußzeile der Website.

Rechte und Pflichten

Rechte der Besucher, Datenschutzerklärung und Einwilligung

Besucher aus Colorado können zielgerichtete Werbung, Datenverkauf und bestimmte Profilbildung ablehnen sowie ihre Daten abrufen, berichtigen, löschen und zu einem anderen Dienst mitnehmen. Das Unternehmen hat 45 Tage zur Antwort, mit einer Verlängerung um weitere 45, wenn es informiert und den Grund erklärt, und muss einen Beschwerdeweg für alle bieten, deren Anfrage abgelehnt wurde.

Die Datenschutzerklärung muss sagen, welche Datenkategorien zu welchen Zwecken verarbeitet werden, welche Daten an welche Kategorien Dritter gehen und wie die Rechte auszuüben sind. Gibt es Verkauf oder zielgerichtete Werbung, muss das klar dort stehen, zusammen mit dem Weg zur Ablehnung.

Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Die Regeln von Colorado verlangen eine aktive, freie, spezifische, informierte und eindeutige Einwilligung. Vorangekreuzte Kästchen, Schweigen oder irreführende Gestaltung zählen nicht.

Seit dem 1. Oktober 2025 schützt eine Änderung Daten Minderjähriger. Ohne Einwilligung des Minderjährigen selbst, oder der Eltern, wenn er unter 13 ist, darf das Unternehmen seine Daten nicht für zielgerichtete Werbung, Verkauf und Profile mit Bezug zu wichtigen Entscheidungen verwenden.

Zeitleiste

Die Daten des Gesetzes von Colorado

Daten bestätigt auf den Seiten des Generalstaatsanwalts von Colorado und in den veröffentlichten Änderungen.

  1. 7. Juli 2021

    Gesetz unterzeichnet

    Der CPA wird als SB 21-190 in Kraft gesetzt.

  2. 15. März 2023

    Endgültige Regeln

    Der Generalstaatsanwalt registriert die Regeln 4 CCR 904-3, die Hinweis, Einwilligung und Opt-out im Detail regeln.

  3. 1. Juli 2023

    Inkrafttreten

    Die Rechte, das Opt-out und die Datenschutz-Folgenabschätzungen treten in Kraft.

  4. 1. Juli 2024

    GPC verpflichtend

    Betroffene Unternehmen müssen den vom Bundesstaat anerkannten universellen Opt-out-Mechanismus respektieren.

  5. 1. Januar 2025

    Ende der verpflichtenden Abhilfefrist

    Die Regel endet, die vor einer Klage eine Mitteilung mit 60 Tagen zur Korrektur verlangte.

  6. 1. Juli 2025

    Biometrische Daten

    Die eigenen Regeln zu biometrischen Kennungen und Daten treten in Kraft.

  7. 1. Oktober 2025

    Minderjährige unter 18

    Die Einwilligungspflicht für die Nutzung von Daten Minderjähriger bei zielgerichteten Anzeigen, Verkauf und bestimmten Profilen gilt.

Bewertungen, Kontrolle und Strafen

Generalstaatsanwalt, Staatsanwälte und Strafen bis zu 20.000 US-Dollar

Der CPA kann vom Generalstaatsanwalt von Colorado und den Bezirksstaatsanwälten des Bundesstaats durchgesetzt werden. Bürger können das Unternehmen auf Grundlage dieses Gesetzes nicht verklagen.

Bis zum 1. Januar 2025, wenn der Mangel behebbar war, musste der Generalstaatsanwalt oder Staatsanwalt eine Mitteilung senden und 60 Tage zur Korrektur geben. Diese verpflichtende Frist ist ausgelaufen. Heute kann die Klage ohne Vorwarnung kommen.

Ein Verstoß gegen den CPA gilt nach dem Verbraucherschutzgesetz von Colorado als irreführende Geschäftspraxis. Nach diesem Gesetz beträgt die zivilrechtliche Strafe bis zu 20.000 US-Dollar pro Verstoß und 50.000 US-Dollar, wenn das Opfer eine ältere Person ist. Jeder betroffene Verbraucher kann als ein Verstoß zählen.

Tätigkeiten mit hohem Risiko, wie zielgerichtete Werbung, Datenverkauf und die Nutzung sensibler Daten, erfordern eine dokumentierte Datenschutz-Folgenabschätzung. Der Generalstaatsanwalt kann dieses Dokument in einer Untersuchung anfordern.

AdSense und Ad Manager

Wie Google Besucher aus Colorado behandelt

AdSense und Ad Manager lesen den GPP-String, das Format des IAB Tech Lab für Datenschutzsignale. Für Colorado akzeptiert Google den eigenen Abschnitt des Bundesstaats und den Abschnitt US National. Wenn der String die Ablehnung von Verkauf oder zielgerichteter Werbung anzeigt, aktiviert Google die eingeschränkte Datenverarbeitung, den RDP, und zeigt nur nicht personalisierte Anzeigen.

Google sagt nicht, dass es den GPC direkt liest. Deshalb ist der sichere Weg, dass die CMP den GPC erkennt, die Ablehnung in den GPP-String schreibt und erst dann die Anzeigen-Tags freigibt. Eine andere Option ist, den RDP direkt im Tag zu aktivieren, zum Beispiel mit restrictDataProcessing im GPT, für alle, die das Signal gesendet haben.

Die Datenschutzmitteilung für US-Bundesstaaten in AdSense und Ad Manager schließt Colorado ein. Sie zeigt den Ablehnungs-Link an und speichert die Wahl im GPP. Die Verantwortung, das Gesetz einzuhalten, bleibt bei der Website.

Nutzt die Website Header Bidding, Video oder Pixel sozialer Netzwerke, muss die Ablehnung auch diese Partner erreichen. Nur Google abzuschalten genügt nicht.

In der Praxis

Was in Colorado erlaubt ist und was nicht

Alltagsbeispiele einer Website mit Anzeigen und Besuchern aus Colorado.

Erlaubt

  • Erwachsenen personalisierte Anzeigen zeigen, ohne vorher um Erlaubnis zu bitten, mit Opt-out
  • Den Besuch von Personen mit aktiviertem GPC automatisch als Ablehnung behandeln
  • Einen Ablehnungs-Link in der Fußzeile haben, außerhalb der Datenschutzerklärung
  • Kontextbezogene Anzeigen für alle zeigen, die abgelehnt haben
  • Die Datenschutzmitteilung für US-Bundesstaaten von Google als Ausgangspunkt nutzen

Nicht erlaubt

  • Besucher mit aktiviertem GPC bitten, zur Bestätigung der Ablehnung noch einmal zu klicken
  • Die Ablehnung nur in der Datenschutzerklärung verstecken
  • Ein vorangekreuztes Kästchen für die Einwilligung zu sensiblen Daten verwenden
  • Daten Minderjähriger ohne Einwilligung für zielgerichtete Anzeigen verwenden
  • Nach der Ablehnung Daten an Header-Bidding-Partner weitergeben

Häufige Fehler

Häufige Fehler bei Websites mit Besuchern aus Colorado

Die meisten Probleme liegen im Abstand zwischen dem, was das Banner sagt, und dem, was die Tags tun.

GPC nur in Kalifornien

Die CMP respektiert den GPC für Kalifornien, ignoriert das Signal aber bei Besuchern aus Colorado.

Ablehnung nur auf dem Papier

Der Ablehnungs-Link existiert, aber der GPP-String ändert sich nicht, und die Anzeigen bleiben personalisiert.

Allgemeine Erklärung

Der Hinweis spricht von einer Verbesserung der Nutzung, ohne zu sagen, dass es zielgerichtete Werbung gibt und wie man ablehnt.

Auf die Abhilfefrist zählen

Seit 2025 gibt es keine verpflichtende Mitteilung mit 60 Tagen mehr. Auf die Benachrichtigung zu warten, ist riskant.

In ConsentMode

Was das Audit zum CPA prüft

  • Öffnet die Website als Besucher aus Colorado mit ausgeschaltetem und eingeschaltetem GPC und vergleicht, was sich auf der Seite und in den Anzeigenanfragen ändert.
  • Liest den GPP-String und zeigt, ob der Abschnitt von Colorado oder US National die Ablehnung anzeigt, wenn der GPC eingeschaltet ist.
  • Sucht den Ablehnungs-Link an einer sichtbaren Stelle außerhalb der Datenschutzerklärung.
  • Erkennt die CMP und prüft, ob die Anzeigen- und Header-Bidding-Tags auf ihre Antwort warten.
  • Liest die Datenschutzerklärung und zeigt, ob Zwecke, Dritte, Rechte, Beschwerdeweg und die Art der Ablehnung fehlen.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zum Gesetz von Colorado

Brauche ich ein Einwilligungsbanner für Colorado?

Für personalisierte Anzeigen bei Erwachsenen nicht. Das Gesetz verlangt Opt-out. Einwilligung ist für sensible Daten nötig und seit Oktober 2025 für die Nutzung von Daten Minderjähriger bei zielgerichteter Werbung.

Was genau ist der GPC?

Es ist eine Einstellung von Browsern und Erweiterungen, die Websites eine Ablehnung meldet. Colorado erkennt den GPC als universellen Opt-out-Mechanismus an, und betroffene Websites müssen ihn seit dem 1. Juli 2024 respektieren.

Meine Website hat wenige Besucher aus Colorado. Gilt das Gesetz?

Nur wenn Sie pro Jahr über 100.000 Verbraucher des Bundesstaats haben oder über 25.000 mit Einnahmen aus Datenverkauf. Darunter gilt der größte Teil des CPA nicht. Wer Biometrie erhebt, sollte die seit Juli 2025 geltenden Regeln gesondert prüfen.

Bekomme ich noch eine Frist zur Korrektur vor der Strafe?

Die verpflichtende Frist von 60 Tagen endete am 1. Januar 2025. Der Generalstaatsanwalt kann direkt handeln.

Schaltet ConsentMode den GPC auf meiner Website ein?

Nein. ConsentMode ist keine CMP und verändert die Website nicht. Es simuliert den Besuch mit GPC, zeigt, ob das Signal respektiert wird, und gibt an, wo zu korrigieren ist.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Testen Sie Ihre Website mit eingeschaltetem GPC

Das Audit öffnet die Website als Besucher aus Colorado und zeigt, ob die Ablehnung die Anzeigen erreicht, ohne etwas zu verändern.

Audit starten