Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

DPDPA: Das Gesetz von Delaware, das schon mittelgroße Websites erfasst

Der Delaware Personal Data Privacy Act gilt seit dem 1. Januar 2025 und hat eine der niedrigsten Schwellen des Landes. In diesem Leitfaden verstehen Sie, wer die Vorgaben erfüllen muss, warum auch gemeinnützige Organisationen darunterfallen, wie das universelle Opt-out-Signal funktioniert und was sich 2027 ändert.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf dem Delaware Code und dem Portal des Justizministeriums
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
35.000Verbraucher aus Delaware pro Jahr: die Hauptschwelle bis Ende 2026
10.000Verbraucher genügen, wenn mehr als 20 % des Bruttoumsatzes aus dem Verkauf von Daten stammen
100.000Verbraucher: ab dieser Zahl muss das Unternehmen Datenschutz-Folgenabschätzungen durchführen
10.000 US-Dollarmaximale zivilrechtliche Strafe pro vorsätzlichem Verstoß nach dem Verbraucherbetrugsgesetz

Was es ist

Ein Gesetz mit kleinem Namen und großer Reichweite

Der Delaware Personal Data Privacy Act, kurz DPDPA, ist das allgemeine Datenschutzgesetz von Delaware. Er wurde 2023 verabschiedet, steht in Titel 6, Kapitel 12D des Delaware Code und wird seit dem 1. Januar 2025 vom Justizministerium des Bundesstaats durchgesetzt.

Das Modell ähnelt dem von Connecticut. Besucher können auf ihre Daten zugreifen, sie berichtigen, löschen und mitnehmen, und sie können den Verkauf, zielgerichtete Werbung und bestimmte automatisierte Profile ablehnen. Sensible Daten dürfen nur mit Einwilligung verwendet werden.

Auffällig ist die Reichweite. Delaware ist ein kleiner Bundesstaat, deshalb hat der Gesetzgeber niedrige Schwellen gewählt: Daten von 35.000 Verbrauchern pro Jahr genügen bereits. Und anders als in vielen Bundesstaaten sind gemeinnützige Organisationen nicht ausgenommen.

Für eine Inhaltswebsite mit Besuchern aus den USA ändert das die Rechnung. Ein Nachrichtenportal, ein Finanzblog oder ein Verein mit viel Traffic aus Delaware kann die Schwelle unbemerkt überschreiten, weil jedes Anzeigen-Cookie als personenbezogenes Datum zählt.

Checkliste

Was Sie erfüllen müssen

Wenn die Website die Schwellen des DPDPA überschreitet, ist dies die Basisliste, vom Dringendsten zum weniger Dringenden.

  1. Einen klaren und sichtbaren Ablehnungslink haben

    Die Website braucht einen klaren, sichtbaren Link zu einer Seite, auf der der Besucher zielgerichtete Werbung und den Verkauf ablehnt.

    Beispiel

    Link in der Fußzeile: Do Not Sell or Share My Personal Information, der zu einem Ablehnungsbildschirm führt.

  2. Das Präferenzsignal des Browsers akzeptieren

    Seit dem 1. Januar 2026 muss die Website die über ein Präferenzsignal wie das GPC gesendete Ablehnung akzeptieren. Das Signal darf nicht standardmäßig eingeschaltet sein.

    Beispiel

    Besucher mit aktiviertem GPC: Behandeln Sie ihn so, als hätte er auf den Ablehnungslink geklickt.

  3. Echte Einwilligung für sensible Daten einholen

    Sensible Daten nur mit Einwilligung. Eine Einwilligung, die durch irreführende Voreinstellungen erlangt wurde, gilt nicht, und der Widerruf muss so einfach sein wie die Erteilung.

    Beispiel

    Wenn der Besucher die Einwilligung widerruft, beenden Sie die Verarbeitung innerhalb von 15 Tagen.

  4. Jugendliche von 13 bis 17 Jahren schützen

    Wenn das Unternehmen weiß oder vorsätzlich ignoriert, dass der Besucher zwischen 13 und 17 Jahre alt ist, darf es seine Daten ohne Einwilligung weder für zielgerichtete Werbung nutzen noch verkaufen.

  5. Eine vollständige Datenschutzerklärung veröffentlichen

    Die Erklärung listet die verarbeiteten Daten, die Zwecke, wie man Rechte ausübt und Widerspruch einlegt, die weitergegebenen Daten und die Kategorien von Dritten auf, mit einem aktiven Kontakt.

    Beispiel

    Geben Sie am Ende der Erklärung eine aktive E-Mail-Adresse an, zum Beispiel datenschutz@ihre-website.de.

  6. Anfragen beantworten, ohne ein neues Konto zu verlangen

    Antworten Sie innerhalb von 45 Tagen, mit einer Verlängerung um weitere 45 Tage, wenn Sie Bescheid geben. Verlangen Sie kein neues Konto und richten Sie ein Widerspruchsverfahren ein.

  7. Die Datenschutz-Folgenabschätzung durchführen

    Wer Daten von mindestens 100.000 Verbrauchern verarbeitet, bewertet die Risiken von zielgerichteter Werbung, Verkauf und sensiblen Daten schriftlich. Ab 2027 sinkt die Schwelle auf 50.000.

  8. Die Ablehnung an Google weitergeben

    Google verlangt für US-Bundesstaaten keine CMP. Nutzen Sie die Meldung zu Vorschriften von US-Bundesstaaten unter Datenschutz und Messaging oder schalten Sie die eingeschränkte Datenverarbeitung, das RDP, im Tag für Personen ein, die abgelehnt haben. Mit GPP liest Google den Abschnitt US National für Delaware.

    Beispiel

    AdSense oder Ad Manager: Datenschutz und Messaging, Karte Vorschriften von US-Bundesstaaten, Erstellen. Wählen Sie danach die Websites aus und veröffentlichen Sie.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die Gesetze der US-Bundesstaaten weder eine zertifizierte CMP noch GPP. Sie können die Meldung von Google selbst nutzen oder das RDP im Tag einschalten.

Wer die Vorgaben erfüllen muss

Die Schwellen, die Ihre Website unter den DPDPA bringen

Das Gesetz gilt für alle, die in Delaware Geschäfte machen oder Produkte und Dienstleistungen anbieten, die sich an Einwohner des Bundesstaats richten, und im vorangegangenen Kalenderjahr eine der folgenden Schwellen überschritten haben.

35.000 Verbraucher

Hat Daten von mindestens 35.000 Verbrauchern aus Delaware kontrolliert oder verarbeitet. Daten, die nur zum Abschluss einer Zahlung verwendet werden, zählen nicht.

10.000 und Datenverkauf

Hat Daten von mindestens 10.000 Verbrauchern kontrolliert oder verarbeitet und mehr als 20 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt.

Auch gemeinnützige Organisationen

Das Gesetz gilt für Unternehmen und für gemeinnützige Organisationen. Die einzige ausgenommene Organisation dieser Art ist die, die sich der Bekämpfung von Versicherungsbetrug widmet.

Ausnahmen nach Datenart

Es gibt Ausnahmen für Finanz- und Gesundheitsdaten, die bundesrechtlichen Gesetzen unterliegen. Das Justizministerium selbst empfiehlt, mit einer Anwältin oder einem Anwalt zu klären, ob eine davon zutrifft.

Niedrigere Schwellen 2027

Ein 2026 verabschiedetes Gesetz, HB 380, senkt die Schwellen ab dem 1. Januar 2027: 10.000 Verbraucher oder 5.000 bei mehr als 20 % des Umsatzes aus dem Verkauf von Daten.

Dritte, die Daten kaufen

Ebenfalls ab 2027 werden Dritte erfasst, die personenbezogene Daten von einem Verantwortlichen erwerben, ohne zahlenmäßige Schwelle.

Definitionen

Die Begriffe des Gesetzes, in der Sprache von Website-Betreibern

Die Definitionen stehen in Abschnitt 12D-102 und ähneln denen von Connecticut und Oregon, mit einer längeren Liste sensibler Daten.

Personenbezogenes Datum

Jedes Datum, das mit einer Person verknüpft ist oder verknüpft werden kann: Name, Adresse, E-Mail, Gerätekennungen, genauer Standort und eindeutige Kennungen, wie sie von Anzeigen-Cookies verwendet werden.

Sensibles Datum

Rassische oder ethnische Herkunft, religiöser Glaube, Gesundheitszustand einschließlich Schwangerschaft, Sexualleben, sexuelle Orientierung, Status als trans oder nicht binäre Person, Einwanderungsstatus, genetische und biometrische Daten, Daten von Kindern und genauer Standort.

Verkauf

Der Austausch personenbezogener Daten gegen Geld oder eine andere wertvolle Gegenleistung mit einem Dritten. Weitergaben an Auftragsverarbeiter und an Unternehmen derselben Gruppe sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die auf Grundlage von Daten ausgewählt wird, die aus den Aktivitäten der Besucher im Zeitverlauf auf Websites und in Apps anderer Unternehmen gewonnen oder abgeleitet wurden. Eine Anzeige nach dem Kontext einer Suche zählt nicht.

Rechte der Personen

Was Einwohner von Delaware verlangen können

Die Antwort muss innerhalb von 45 Tagen erfolgen, mit einer Verlängerung um weitere 45 Tage, wenn sie nötig ist und innerhalb der ursprünglichen Frist mitgeteilt wird. Das Unternehmen muss ein Widerspruchsverfahren haben.

Bestätigen und Zugriff

Wissen, ob das Unternehmen Daten über sie verarbeitet, und Zugriff auf diese Daten haben.

Berichtigen und löschen

Falsche Daten berichtigen und die Löschung der personenbezogenen Daten verlangen.

Übertragbarkeit

Eine Kopie der Daten in einem Format erhalten, das sich leicht zu einem anderen Dienst mitnehmen lässt.

Liste der Dritten

Die Liste der Kategorien von Dritten erhalten, die die Daten bekommen haben. Ab 2027 wird daraus die Liste der konkreten Dritten, mit einigen Ausnahmen.

Zielgerichtete Anzeigen und Verkauf ablehnen

Verlangen, dass die Daten nicht für zielgerichtete Werbung verwendet und nicht verkauft werden. Das ist das Recht, das für Websites mit Anzeigen am schwersten wiegt.

Automatisierte Profilbildung ablehnen

Profile ablehnen, die nur von Maschinen erstellt werden und zu Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung führen.

Pflichten der Website

Was eine erfasste Website einsatzbereit haben muss

  1. Vollständige DatenschutzhinweiseDie Hinweise müssen die Kategorien der verarbeiteten Daten, die Zwecke, die Ausübung der Rechte und den Widerspruch, die Kategorien der mit Dritten geteilten Daten, die Kategorien dieser Dritten und eine aktive E-Mail-Adresse oder einen anderen Online-Kontakt nennen.
  2. Verkauf und zielgerichtete Anzeigen offenlegenWenn die Website Daten verkauft oder Daten für zielgerichtete Werbung nutzt, muss sie das klar und sichtbar sagen und erklären, wie man ablehnt.
  3. Nur das Nötige erhebenDie Erhebung muss angemessen, relevant und für die den Besuchern mitgeteilten Zwecke vertretbar notwendig sein.
  4. Einwilligung für sensible DatenSensible Daten nur mit Einwilligung, die die Besucher so leicht widerrufen können, wie sie sie erteilt haben.
  5. Schutz für JugendlicheWenn das Unternehmen weiß oder vorsätzlich ignoriert, dass die Besucher zwischen 13 und 17 Jahre alt sind, darf es ihre Daten ohne Einwilligung weder für zielgerichtete Werbung nutzen noch verkaufen.
  6. Datenschutz-FolgenabschätzungWer Daten von mindestens 100.000 Verbrauchern kontrolliert oder verarbeitet, muss die Risiken von zielgerichteter Werbung, Verkauf, Profilbildung und sensiblen Daten schriftlich bewerten. 2027 sinkt diese Schwelle in bestimmten Fällen auf 50.000.

Durchsetzung und Strafen

Wer kontrolliert und was sich bei der Abhilfefrist geändert hat

Nur das Justizministerium von Delaware setzt den DPDPA durch. Verbraucher können das Unternehmen auf Grundlage dieses Gesetzes nicht verklagen.

Verpflichtende Frist abgelaufen

2025 musste das Ministerium das Unternehmen benachrichtigen und 60 Tage zur Behebung einräumen, bevor es handelte. Diese verpflichtende Frist endete am 31. Dezember 2025.

Jetzt entscheidet die Behörde

Seit 2026 liegt es im Ermessen des Ministeriums, ob es eine Frist zur Behebung einräumt. Es berücksichtigt die Zahl der Verstöße, die Größe des Unternehmens, das Risiko für die Öffentlichkeit und ob der Fehler menschlich oder technisch war.

Unlautere Geschäftspraxis

Ein Verstoß gegen den DPDPA gilt nach dem Verbraucherbetrugsgesetz von Delaware als unlautere Praxis, mit den Ermittlungsinstrumenten dieses Gesetzes.

Bis zu 10.000 US-Dollar pro Verstoß

Wenn das Gericht feststellt, dass der Verstoß vorsätzlich war, kann die zivilrechtliche Strafe bis zu 10.000 US-Dollar pro Verstoß betragen.

Zeitleiste

Die Daten des DPDPA

Delaware hat sein eigenes Gesetz bereits einmal geändert. Im November 2026 gelten die Regeln von 2025, und die von 2027 sind unterwegs.

  1. 2023

    Gesetz verabschiedet

    Delaware verabschiedet den Personal Data Privacy Act.

  2. 1. Januar 2025

    Beginn der Durchsetzung

    Das Justizministerium beginnt, das Gesetz durchzusetzen, mit einer verpflichtenden Frist von 60 Tagen zur Behebung.

  3. 31. Dezember 2025

    Ende der verpflichtenden Frist

    Der Zeitraum endet, in dem das Ministerium verpflichtet war, zu benachrichtigen und 60 Tage zu warten, bevor es handelte.

  4. 1. Januar 2026

    Universelles Signal verpflichtend

    Die Website muss das Opt-out vom Verkauf und von zielgerichteter Werbung akzeptieren, das über ein Präferenzsignal wie GPC gesendet wird.

  5. 2026

    HB 380 verabschiedet

    Delaware verabschiedet Änderungen, die Schwellen senken, sensible Daten erweitern und eine Liste der konkreten Dritten verlangen.

  6. 1. Januar 2027

    Neue Regeln gelten

    Die Schwellen von 10.000 und 5.000 Verbrauchern und die übrigen Änderungen der HB 380 treten in Kraft.

Websites mit AdSense und Ad Manager

GPC verpflichtend und der Weg des Opt-outs bis zu Google

Seit dem 1. Januar 2026 muss die vom DPDPA erfasste Website das Opt-out akzeptieren, das über ein Präferenzsignal gesendet wird, mit Einwilligung der Besucher. Das häufigste Beispiel ist die Global Privacy Control, kurz GPC, die einige Browser und Erweiterungen senden. Für Besucher mit eingeschaltetem GPC muss die Website so handeln, als hätten sie auf den Opt-out-Link geklickt.

Google bietet in AdSense und Ad Manager unter „Datenschutz und Messaging“ eine Meldung zu den Vorschriften der US-Bundesstaaten an, und Delaware gehört zu den unterstützten Bundesstaaten. Die Meldung zeigt den Link Do Not Sell or Share. Wenn die Besucher ablehnen, schaltet Google die eingeschränkte Datenverarbeitung ein, genannt RDP, und verwendet das frühere Verhalten nicht mehr, um Anzeigen auszuwählen.

Zum GPC sagt Google, dass der Partner, der das Signal umgesetzt hat, wählen kann, RDP einzuschalten, wenn er ein Opt-out-GPC erhält. Die Entscheidung und die Konfiguration liegen also bei der Website oder der CMP. Ein Weg ist das Tag: der Parameter restrictDataProcessing von GPT oder das Attribut data-restrict-data-processing von AdSense.

Wer GPP nutzt, sollte wissen, dass es einen eigenen Abschnitt für Delaware gibt, der aber nicht auf der Liste der von Google akzeptierten Abschnitte steht. Für Google ist der Weg der Abschnitt US National, in dem die Ablehnung von Verkauf, Weitergabe oder zielgerichteter Werbung RDP einschaltet.

In der Praxis

Was in Delaware erlaubt ist und was nicht

Beispiele für eine Website mit Traffic aus Delaware, die mit programmatischen Anzeigen Geld verdient.

Erlaubt

  • Kontextbezogene Anzeigen für Besucher zeigen, die abgelehnt haben oder mit eingeschaltetem GPC kamen
  • Die Meldung von Google zu den Vorschriften der US-Bundesstaaten nutzen, um den Opt-out-Link anzubieten
  • Dieselbe GPC-Behandlung für den gesamten US-Traffic anwenden, um es zu vereinfachen
  • Den Abschnitt US National von GPP nutzen, um Google über das Opt-out zu informieren
  • Eine einzige Datenschutzerklärung für die USA beibehalten, solange sie die Kontakt-E-Mail und alles enthält, was Delaware verlangt

Nicht erlaubt

  • Den GPC ignorieren und für diese Besucher weiter personalisierte Anzeigen anfordern
  • Annehmen, dass Ihr Verein oder Ihre NGO ausgenommen ist, nur weil sie nicht gewinnorientiert ist
  • Daten von Jugendlichen zwischen 13 und 17 Jahren ohne Einwilligung für zielgerichtete Anzeigen verwenden
  • Eine Datenschutzerklärung ohne aktive E-Mail-Adresse oder Kontaktformular veröffentlichen
  • Sich auf eine automatische Frist von 60 Tagen zur Behebung verlassen: Sie ist 2025 abgelaufen

Häufige Fehler

Wo Websites beim DPDPA stolpern

Die niedrige Schwelle bringt Delaware zu Websites, die nie an Gesetze der US-Bundesstaaten gedacht haben.

Das Volumen unterschätzen

Die Website zählt nur registrierte Nutzer. Aber auch Cookies und Anzeigenkennungen anonymer Besucher sind personenbezogene Daten und zählen bei den 35.000 mit.

GPC ignoriert

Die CMP liest den GPC nicht oder nur für Kalifornien. Seit 2026 verlangt auch Delaware, dass das Signal beachtet wird.

Opt-out, das die Anzeigen nicht ändert

Die Besucher lehnen ab, aber die Anzeigenanfragen laufen weiter ohne RDP und ohne Opt-out in der GPP-String.

Erklärung ohne Liste der Dritten

Die Datenschutzseite sagt nicht, welche Kategorien von Dritten, etwa Werbenetzwerke und Messpartner, die Daten erhalten.

Bundesstaat-Abschnitt, den Google nicht liest

Die CMP sendet in GPP nur den Abschnitt von Delaware und lässt US National weg. Google erhält das Opt-out nicht.

2027 vergessen

Das Unternehmen liegt unter 35.000 Verbrauchern und entspannt sich, fällt mit den neuen Schwellen von 2027 aber unter das Gesetz.

In ConsentMode

Was das Audit für Delaware prüft

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link in der Fußzeile, im Menü und in der Datenschutzmeldung.
  • Aktiviert das GPC-Signal im Browser des Audits und vergleicht die Seite und die Anzeigenanfragen mit und ohne das Signal.
  • Liest die GPP-String, prüft, ob der Abschnitt US National existiert, und erfasst das Opt-out.
  • Erkennt die CMP oder die Meldung von Google am Code der Seite.
  • Prüft, ob die Datenschutzseite Datenkategorien, Zwecke, Dritte, Rechte, Widerspruch und Kontakt-E-Mail enthält.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Woher weiß ich, ob ich 35.000 Verbraucher aus Delaware überschreite?

Sehen Sie sich den Geografie-Bericht von Analytics oder Ad Manager an und zählen Sie die einzelnen Besucher aus Delaware im vorangegangenen Kalenderjahr. Da Cookies und Anzeigenkennungen personenbezogene Daten sind, zählen auch anonyme Besucher. Daten, die nur für Zahlungen verwendet werden, zählen nicht.

Meine Organisation ist gemeinnützig. Bin ich ausgenommen?

Nicht unbedingt. In Delaware müssen gemeinnützige Organisationen das Gesetz einhalten, wenn sie die Schwellen überschreiten. Die einzige Ausnahme dieser Art gilt für Organisationen, die sich der Bekämpfung von Versicherungsbetrug widmen.

Muss ich den GPC beachten?

Ja, wenn das Gesetz auf Ihre Website anwendbar ist. Seit dem 1. Januar 2026 muss das Opt-out vom Verkauf und von zielgerichteter Werbung, das über ein Präferenzsignal gesendet wird, akzeptiert werden.

Was ändert sich 2027?

HB 380 senkt die Schwellen auf 10.000 Verbraucher oder 5.000 bei mehr als 20 % des Umsatzes aus dem Verkauf von Daten, erweitert die Liste der sensiblen Daten und gibt Verbrauchern das Recht zu erfahren, welche konkreten Dritten die Daten erhalten haben.

Brauche ich ein Cookie-Banner für Delaware?

Das Gesetz folgt dem Opt-out-Modell und verlangt daher keine Einwilligung vor gewöhnlichen Anzeigen. Die Ausnahme sind sensible Daten und Jugendliche zwischen 13 und 17 Jahren, die eine Einwilligung erfordern.

Macht ConsentMode meine Website konform?

ConsentMode ist weder eine CMP noch eine Anwaltskanzlei. Das Audit zeigt, was die Website mit dem Opt-out-Link, dem GPC, GPP und der Datenschutzseite tatsächlich tut, damit Sie es mit Ihrem Anbieter und Ihrer Anwältin oder Ihrem Anwalt korrigieren können.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob Ihre Website den GPC in Delaware beachtet

Das Audit öffnet die Website als US-Besucher, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten