Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

CTDPA: das Gesetz von Connecticut erklärt für alle mit Anzeigen

Connecticut hat sein Datenschutzgesetz 2025 neu gefasst, und die Änderungen gelten seit dem 1. Juli 2026. Die Besucherschwelle ist stark gesunken, Jugendliche haben vollen Schutz vor gezielter Werbung erhalten, und die Datenschutzerklärung wurde anspruchsvoller. Hier sehen Sie, was das für eine Website mit Anzeigen bedeutet.

Meine Website für Connecticut prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetz und den Seiten des Generalstaatsanwalts von Connecticut
  • ✓Beispiele für Websites mit AdSense und Ad Manager
  • ✓Reines Lese-Audit, ohne die Website zu verändern
35.000Verbraucher aus Connecticut pro Jahr: die neue Schwelle, die seit Juli 2026 gilt
18Alter, unter dem Verkauf und gezielte Werbung für Jugendliche ab 13 Jahren verboten sind, auch mit Einwilligung
5.000 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß nach dem Gesetz des Bundesstaats gegen unlautere Geschäftspraktiken
85.000 US-DollarBetrag des Vergleichs von TicketNetwork mit dem Generalstaatsanwalt, im Juli 2025 angekündigt

Was es ist

Ein Gesetz, das ähnlich wie das von Virginia begann und immer strenger wurde

Der Connecticut Data Privacy Act, kurz CTDPA, wurde am 10. Mai 2022 unterzeichnet und gilt seit dem 1. Juli 2023. Er folgt dem Modell von Virginia und Colorado: Verbraucherrechte, Opt-out bei gezielter Werbung, Einwilligung für sensible Daten und Datenschutz-Folgenabschätzungen.

Seitdem wurde das Gesetz mehrfach geändert. 2023 erhielt es Regeln für Gesundheitsdaten von Verbrauchern und für Online-Dienste für Minderjährige. 2025 senkte eine große Überarbeitung, verabschiedet als SB 1295, die Anwendungsschwellen, erweiterte die sensiblen Daten und verschärfte die Regeln für Minderjährige. Diese Überarbeitung gilt seit dem 1. Juli 2026.

Für eine Website mit Anzeigen sind drei Punkte zentral: Der Besucher kann gezielte Werbung und den Verkauf von Daten ablehnen, die Website muss seit 2025 das automatische Ablehnungssignal des Browsers beachten, und Jugendliche von 13 bis 17 Jahren dürfen keine gezielten Anzeigen erhalten.

Das Gesetz arbeitet für Erwachsene mit Opt-out. Es verlangt keine Erlaubnis, bevor personalisierte Anzeigen gezeigt werden, aber die Ablehnung muss einfach, sichtbar und wirklich wirksam sein.

Checkliste

Was Sie erfüllen müssen

Gelten für alle, die unter das Gesetz von Connecticut fallen. Klären Sie mit Ihrer Rechtsabteilung, ob Ihre Website darunter fällt.

  1. Einen leicht auffindbaren Link anbieten

    Wer zielgerichtete Werbung betreibt oder Daten verkauft, braucht auf der Website einen leicht erreichbaren Link, über den der Besucher ablehnen kann.

    Beispiel

    Fußzeile: Do Not Sell or Share My Personal Information

  2. Ablehnungssignale des Browsers beachten

    Seit dem 1. Januar 2025 muss jeder erfasste Verantwortliche Signale wie das GPC respektieren. Das Signal muss erkennen lassen, ob die Person in Connecticut wohnt.

  3. Alles in der Datenschutzerklärung erklären

    Die Erklärung nennt, welche Daten Sie verarbeiten, wofür, ob Sie sie an Dritte weitergeben und wie der Besucher seine Rechte ausübt.

    Beispiel

    Wir teilen Browsingdaten mit Werbepartnern für zielgerichtete Werbung. Sie können über den Link in der Fußzeile ablehnen.

  4. Für sensible Daten eine Einwilligung einholen

    Bevor sensible Daten wie Gesundheits- oder genaue Standortdaten verarbeitet werden, braucht die Website die Einwilligung des Besuchers.

  5. Minderjährige schützen

    Für Personen unter 16 Jahren erfordern Verkauf und zielgerichtete Werbung eine vorherige Einwilligung. Bei Online-Diensten für Personen unter 18 Jahren verbietet das Gesetz zielgerichtete Werbung und den Verkauf von Daten.

  6. Fristgerecht antworten

    Anfragen werden innerhalb von 45 Tagen beantwortet, mit einer möglichen Verlängerung um weitere 45 Tage. Auf einen Widerspruch wird innerhalb von 60 Tagen schriftlich geantwortet.

  7. Eine Risikobewertung dokumentieren

    Zielgerichtete Werbung, Datenverkauf, Profile und sensible Daten erfordern vor dem Start eine Datenschutz-Folgenabschätzung.

  8. Die Ablehnung an Google weitergeben

    Im Connecticut-Abschnitt des GPP-Strings schaltet die Ablehnung von Verkauf oder zielgerichteter Werbung das RDP ein. Im AdSense-Tag kann das RDP auch für Personen eingeschaltet werden, die abgelehnt haben.

    <!-- AdSense: RDP no bloco de anúncio de quem recusou -->
<ins class="adsbygoogle"
     data-ad-client="ca-pub-XXXXXXXXXXXXXXXX"
     data-ad-slot="1234567890"
     data-restrict-data-processing="1"></ins>

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Connecticut keine zertifizierte CMP. Nutzen Sie die Meldung von Google für US-Bundesstaaten oder eine CMP, die das GPC liest und GPP erzeugt. Hier sind die offiziellen Links.

Für wen es gilt

Die Schwellen wurden 2026 deutlich gesenkt

Das Gesetz gilt für alle, die in Connecticut Geschäfte machen oder Produkte und Dienstleistungen an Einwohner des Bundesstaats richten. Seit dem 1. Juli 2026 genügt es, im Vorjahr eines der folgenden Kriterien zu erfüllen.

35.000 Verbraucher

Daten von mindestens 35.000 Verbrauchern aus Connecticut kontrollieren oder verarbeiten, ohne Daten, die nur für eine Zahlungsabwicklung genutzt werden. Zuvor lag die Schwelle bei 100.000.

Beliebige sensible Daten

Sensible Daten von Verbrauchern in beliebiger Menge zu kontrollieren oder zu verarbeiten, bringt das Unternehmen ebenfalls unter das Gesetz.

Beliebiger Datenverkauf

Personenbezogene Daten in beliebiger Menge zum Verkauf anzubieten, bringt das Unternehmen ebenfalls unter das Gesetz. Zuvor brauchte man 25.000 Verbraucher und mehr als 25 % des Umsatzes aus dem Verkauf.

Nur der Verbraucher als natürliche Person

Das Gesetz schützt Einwohner von Connecticut, die als Verbraucher handeln, nicht im Arbeitskontext.

Definitionen

Die Begriffe, die für den Anzeigenverkauf zählen

Connecticut hat eine der längsten Listen sensibler Daten unter den US-Bundesstaaten.

Personenbezogenes Datum

Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder vernünftigerweise verknüpft werden kann. Anonymisierte und öffentliche Daten sind ausgenommen.

Sensibles Datum

Ethnische Herkunft, Religion, Gesundheit, Behinderung, sexuelle Orientierung, trans oder nicht binäre Identität, Einwanderungsstatus, Dokumente, Login von Finanzkonten, neuronale, genetische und biometrische Daten, Kinderdaten und genauer Standort im Umkreis von 1.750 Fuß.

Verkauf

Austausch personenbezogener Daten gegen Geld oder einen anderen Wert mit einem Dritten. Die Weitergabe von Daten an einen Werbepartner im Austausch für eine Leistung kann unter diese Definition fallen.

Zielgerichtete Werbung

Eine Anzeige, die auf Grundlage von Daten über die Aktivitäten der Person im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Kontextbezogene Anzeigen zählen nicht.

Rechte und Opt-out

Rechte des Besuchers, Ablehnungslink und GPC seit 2025

Der Besucher aus Connecticut kann auf seine Daten zugreifen, auch auf die daraus gezogenen Schlüsse, sie berichtigen, löschen, eine Kopie mitnehmen, die Liste der Dritten verlangen, die seine Daten gekauft haben, und gezielte Werbung, Verkauf und Risikoprofile ablehnen. Seit 2026 kann er auch Entscheidungen auf Grundlage von Profilen anfechten. Das Unternehmen hat 45 Tage für die Antwort und 60 Tage für die Antwort auf einen Widerspruch.

Wer gezielte Werbung betreibt oder Daten verkauft, braucht einen klaren, sichtbaren Link auf der Website, der die Ablehnung ermöglicht. Das Gesetz legt den genauen Text nicht fest, aber der Link muss zu einem einfachen Weg führen, ohne ein neues Konto anzulegen.

Seit dem 1. Januar 2025 muss die Website auch automatische Ablehnungssignale akzeptieren, wie die Global Privacy Control, GPC. Das Gesetz sagt, das Signal müsse eine aktive Wahl des Verbrauchers widerspiegeln und keine werkseitig eingeschaltete Einstellung, und es muss dem Unternehmen ermöglichen zu erkennen, ob die Person in Connecticut wohnt.

Wenn das Signal im Konflikt mit einer Einstellung steht, die der Besucher zuvor auf der Website gewählt hat, gilt das Signal. Die Website kann auf den Konflikt hinweisen und die Option anbieten, die frühere Wahl beizubehalten. In der Praxis sollte die CMP das GPC erkennen und die Ablehnung vor der ersten Anfrage an die Werbepartner weitergeben.

Hinweis, Minderjährige und Folgenabschätzungen

Die Datenschutzerklärung wurde 2026 detaillierter

Mit der Überarbeitung von 2025 braucht die Datenschutzerklärung einen Link mit dem Wort Datenschutz auf der Startseite, das Aktualisierungsdatum mit Monat und Jahr, die Kategorien der an Dritte verkauften Daten und eine klare Erklärung zu gezielter Werbung und Verkauf. Sie muss auch sagen, ob die Daten zum Training großer Sprachmodelle verwendet werden.

Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Für Kinder unter 13 Jahren gilt die Einwilligung der Eltern im Format des Bundesgesetzes COPPA.

Für Jugendliche von 13 bis 17 Jahren verbietet die Überarbeitung von 2025 den Verkauf von Daten und gezielte Werbung, auch mit Einwilligung. Für Online-Dienste für Minderjährige begrenzt das Gesetz außerdem Profile und die Erhebung genauer Standortdaten.

Gezielte Werbung, Datenverkauf, sensible Daten und Risikoprofile erfordern eine dokumentierte Datenschutz-Folgenabschätzung. Für Profile, die in wichtigen Entscheidungen genutzt werden, verlangt die Überarbeitung von 2025 zusätzlich eine Folgenabschätzung bei Aktivitäten, die ab dem 1. August 2026 beginnen.

Zeitleiste

Die Termine des Gesetzes von Connecticut

Termine, bestätigt im Gesetzestext und auf den Seiten des Generalstaatsanwalts von Connecticut.

  1. 10. Mai 2022

    Gesetz unterzeichnet

    Der CTDPA wird als Senate Bill 6 unterzeichnet.

  2. 1. Juli 2023

    Inkrafttreten

    Die Rechte, das Opt-out und die verpflichtende Abhilfefrist von 60 Tagen gelten.

  3. 1. Januar 2025

    GPC verpflichtend und Ende der verpflichtenden Abhilfe

    Die Website muss universelle Ablehnungssignale akzeptieren. Die Chance zur Behebung vor einer Klage wird zur Entscheidung des Generalstaatsanwalts.

  4. 8. Juli 2025

    Vergleich mit TicketNetwork

    TicketNetwork zahlt 85.000 US-Dollar für eine unleserliche Datenschutzerklärung und Antragsmechanismen, die nicht funktionierten.

  5. 1. Juli 2026

    Überarbeitung SB 1295 in Kraft

    Neue Schwellen, mehr sensible Daten, Verbot gezielter Werbung für Jugendliche von 13 bis 17 Jahren und vollständigere Datenschutzerklärung.

Durchsetzung und Strafen

Generalstaatsanwalt, öffentliche Berichte und Strafe pro Verstoß

Der Generalstaatsanwalt von Connecticut ist allein für die Durchsetzung des Gesetzes zuständig. Einzelpersonen können das Unternehmen auf Grundlage des CTDPA nicht verklagen.

Zwischen Juli 2023 und Dezember 2024, wenn der Mangel behoben werden konnte, musste der Generalstaatsanwalt benachrichtigen und 60 Tage zur Behebung einräumen. Seit dem 1. Januar 2025 ist diese Chance seine Entscheidung, die die Zahl der Verstöße, die Größe des Unternehmens, die Sensibilität der Daten und die Frage berücksichtigt, ob der Fehler menschlich oder technisch war.

Ein Verstoß gegen den CTDPA gilt als unlautere Geschäftspraktik. Die zivilrechtliche Strafe beträgt bis zu 5.000 US-Dollar pro Verstoß, und der Generalstaatsanwalt kann außerdem eine gerichtliche Anordnung, Rückerstattung und die Herausgabe von Gewinnen verlangen.

Das Büro veröffentlicht jährliche Durchsetzungsberichte. Im am 8. Juli 2025 angekündigten Vergleich zahlte TicketNetwork 85.000 US-Dollar, weil die Datenschutzerklärung schwer lesbar war und die Wege zur Ausübung von Rechten kaputt waren, auch nach Warnungen.

AdSense und Ad Manager

Wie Google Besucher aus Connecticut behandelt

AdSense und Ad Manager lesen den GPP-String, das Format des IAB Tech Lab für Datenschutzsignale. Für Connecticut akzeptiert Google den eigenen Abschnitt des Bundesstaats und den Abschnitt US National. Wenn der String eine Ablehnung von Verkauf oder gezielter Werbung anzeigt, aktiviert Google die eingeschränkte Datenverarbeitung (RDP) und zeigt nur noch nicht personalisierte Anzeigen.

Im Abschnitt von Connecticut liest Google auch die Felder für Minderjährige. Ohne Einwilligung für Verkauf oder gezielte Werbung bei Jugendlichen von 13 bis 15 Jahren aktiviert es RDP. Für sensible Daten eines bekannten Kindes wendet es die Behandlung für Kinder an. Mit den Regeln von 2026 muss die CMP widerspiegeln, dass Jugendliche von 13 bis 17 Jahren keine gezielten Anzeigen erhalten dürfen.

Die Datenschutzmeldung für US-Bundesstaaten in AdSense und Ad Manager umfasst Connecticut. Sie zeigt den Ablehnungslink und speichert die Auswahl in der GPP. Google weist darauf hin, dass die rechtliche Verantwortung bei der Website liegt.

Header Bidding, Video, Pixel und Widgets anderer Unternehmen müssen die Ablehnung ebenfalls erhalten. Nur Google abzuschalten löst das nicht.

In der Praxis

Was in Connecticut erlaubt ist und was nicht

Alltagsbeispiele einer Website mit Anzeigen und Besuchern aus Connecticut.

Erlaubt

  • Erwachsenen personalisierte Anzeigen zeigen, mit sichtbarem Ablehnungslink
  • GPC als Ablehnung behandeln und den Besucher informieren, wenn es mit einer früheren Auswahl kollidiert
  • Kontextbezogene Anzeigen für Minderjährige und für alle zeigen, die abgelehnt haben
  • Im Footer der Startseite einen Link mit dem Wort Datenschutz setzen
  • Die Erklärung mit Monat und Jahr der letzten Überprüfung datieren

Nicht erlaubt

  • Gezielte Anzeigen für einen Nutzer zeigen, von dem Sie wissen, dass er zwischen 13 und 17 ist
  • GPC ignorieren, weil der Besucher nicht auf den Banner geklickt hat
  • Die Erklärung nicht sagen lassen, welche Datenkategorien verkauft werden
  • Rechteformulare behalten, die Fehler zeigen oder bei niemandem ankommen
  • Gesundheitsdaten oder genaue Standortdaten ohne Einwilligung verarbeiten

Häufige Fehler

Mängel, die der Generalstaatsanwalt bereits beanstandet hat

Die Berichte und der Vergleich mit TicketNetwork zeigen, dass die Grundlagen bei vielen Websites noch fehlen.

Unleserlicher Hinweis

Lange, verwirrende Erklärung ohne die Verbraucherrechte von Connecticut, wie im Fall TicketNetwork.

Kaputtes Formular

Der Link zum Rechteantrag führt zu einem Formular, das nicht sendet, oder zu einer E-Mail, die niemand liest.

Alte Schwellen

Das Unternehmen dachte, es sei außen vor, weil es weniger als 100.000 Besucher hatte, aber die Schwelle sank im Juli 2026 auf 35.000.

GPC ohne Wirkung

Der Banner erkennt das GPC, aber der an die Anzeigen gesendete GPP-String enthält die Ablehnung weiterhin nicht.

In ConsentMode

Was die Prüfung zum CTDPA kontrolliert

  • Öffnet die Website als Besucher aus Connecticut mit ausgeschaltetem und eingeschaltetem GPC und vergleicht die Anzeigenanfragen.
  • Liest den GPP-String und zeigt, ob der Abschnitt von Connecticut oder US National die Ablehnung anzeigt.
  • Sucht auf der Startseite einen Link mit dem Wort Datenschutz und einen sichtbaren Ablehnungslink.
  • Liest die Erklärung und weist darauf hin, wenn Aktualisierungsdatum, verkaufte Kategorien, gezielte Werbung und die Nutzung zum Training von Sprachmodellen fehlen.
  • Erkennt die CMP und prüft, ob die Anzeigen-Tags auf ihre Antwort warten.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zum Gesetz von Connecticut

Meine Website hat 40.000 Besucher aus Connecticut pro Jahr. Gilt das Gesetz?

Seit dem 1. Juli 2026 ja, wenn Sie Daten dieser Besucher kontrollieren oder verarbeiten, wie Cookies und Anzeigen-Kennungen. Die Schwelle sank von 100.000 auf 35.000 Verbraucher.

Brauche ich einen Einwilligungsbanner für Connecticut?

Für Erwachsene verlangt das Gesetz ein Opt-out, keine vorherige Erlaubnis. Eine Einwilligung wird für sensible Daten verlangt, und für Jugendliche von 13 bis 17 Jahren ist gezielte Werbung verboten.

Woher weiß ich, ob der Besucher minderjährig ist?

Das Gesetz betrachtet, was das Unternehmen über das Alter des Besuchers weiß. Fragt die Website bei der Anmeldung das Alter ab oder hat sie Inhalte für Jugendliche, muss das bei der Konfiguration der Anzeigen berücksichtigt werden.

Gibt es vor der Strafe noch eine Frist zur Behebung?

Seit dem 1. Januar 2025 nicht mehr verpflichtend. Der Generalstaatsanwalt kann diese Chance anbieten, entscheidet aber von Fall zu Fall.

Aktualisiert ConsentMode meine Erklärung?

Nein. ConsentMode verändert die Website nicht. Es liest die Erklärung und die gesendeten Signale und liefert einen Bericht darüber, was fehlt und wie es zu beheben ist.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie Ihre Website mit den Regeln von 2026

Die Prüfung öffnet die Website als Besucher aus Connecticut und zeigt, was bei Hinweis und Signalen zu beheben ist, ohne etwas zu verändern.

Audit starten