Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

Der Florida Digital Bill of Rights erklärt für alle, die von Anzeigen leben

Das Datenschutzgesetz von Florida gilt seit dem 1. Juli 2024, aber der Großteil der Regeln betrifft nur Riesenunternehmen. In diesem Leitfaden verstehen Sie diesen engen Anwendungsbereich, die Regel zu sensiblen Daten, die für viel mehr Unternehmen gilt, und was Google mit dem Opt-out von Besuchern aus Florida macht.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf dem Text der Florida Statutes, Abschnitte 501.701 bis 501.722
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
1 Mrd. US-Dollarweltweiter Jahresbruttoumsatz: die Grenze, um nach dem Gesetz Verantwortlicher zu sein
50%oder mehr des Umsatzes aus dem Verkauf von Online-Werbung: eines von drei Eingangskriterien
50.000 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß, die in bestimmten Fällen verdreifacht werden kann
45 Tageum Anfragen von Verbrauchern zu beantworten, mit einer Verlängerung um 15 Tage

Was es ist

Ein Datenschutzgesetz für die größten Technologieunternehmen

Der Florida Digital Bill of Rights, kurz FDBR, ist das Datenschutzgesetz von Florida. Er wurde am 6. Juni 2023 unterzeichnet und trat am 1. Juli 2024 in Kraft. Das Gesetz steht in Teil V von Kapitel 501 der Florida Statutes, in den Abschnitten 501.701 bis 501.722.

Die Rechte der Verbraucher ähneln denen anderer Bundesstaaten: Auskunft, Berichtigung, Löschung, Übertragbarkeit und Widerspruch gegen gezielte Werbung, Verkauf und automatisiertes Profiling. Florida ergänzt eigene Rechte, etwa den Widerspruch gegen die Datenerfassung durch Stimm- oder Gesichtserkennung.

Anders ist der Anwendungsbereich. Der größte Teil der Pflichten gilt nur für Verantwortliche mit einem weltweiten Umsatz von über 1 Milliarde US-Dollar, die zusätzlich zu einem von drei sehr bestimmten Profilen passen. In der Praxis zielt das auf große Werbeplattformen, Sprachassistenten und App-Stores.

Trotzdem sollte eine kleine Website das Gesetz nicht ignorieren. Eine Regel zum Verkauf sensibler Daten gilt für jedes gewinnorientierte Unternehmen, das in Florida geschäftlich tätig ist und Daten erhebt. Und Werbepartner, die Daten Ihrer Website erhalten, können unter das Gesetz fallen.

Checkliste

Was Sie erfüllen müssen

Der größte Teil des Gesetzes gilt nur für riesige Verantwortliche, aber die Regel zu sensiblen Daten betrifft viel mehr Websites.

  1. Keine sensiblen Daten ohne Einwilligung verkaufen

    Die Regel gilt für gewinnorientierte Unternehmen, die in Florida Geschäfte machen und Daten erheben, ohne die Grenze von 1 Milliarde US-Dollar. Der Verkauf sensibler Daten erfordert eine vorherige Einwilligung.

    Beispiel

    Bevor Sie Gesundheitsdaten an einen Partner weitergeben, holen Sie die Erlaubnis mit den Optionen Zulassen und Nicht zulassen ein.

  2. Den exakten Satz veröffentlichen, wenn Sie sensible Daten verkaufen

    Wer sensible Daten verkauft, muss einen Hinweis mit festem Wortlaut auf Englisch veröffentlichen.

    Beispiel

    NOTICE: This website may sell your sensitive personal data.

  3. Sensible Daten von Minderjährigen schützen

    Wenn die sensiblen Daten von einem bekannten Minderjährigen zwischen 13 und 18 Jahren stammen, erfordert der Verkauf seine Erlaubnis. Unter 13 Jahren gilt das Bundesgesetz COPPA, mit Einwilligung der Eltern.

  4. Wenn Sie Verantwortlicher sind: Erklärung jedes Jahr überarbeiten

    Die Erklärung muss klar sein und Daten, Zwecke, Dritte, Rechte, Widerspruch und Anfragekanäle auflisten. Sie muss mindestens einmal im Jahr aktualisiert werden.

  5. Wenn Sie Verantwortlicher sind: Satz für biometrische Daten

    Wer biometrische Daten verkauft, veröffentlicht ebenfalls einen Hinweis mit festem Wortlaut auf Englisch.

    Beispiel

    NOTICE: This website may sell your biometric personal data.

  6. Wenn Sie Verantwortlicher sind: sagen, wie man ablehnt

    Wer Daten verkauft oder zielgerichtete Werbung betreibt, muss das klar und sichtbar sagen und erklären, wie man ablehnt.

    Beispiel

    Link in der Fußzeile: Do Not Sell or Share My Personal Information.

  7. Die Ablehnung an Google weitergeben

    Google verlangt für die US-Bundesstaaten keine CMP. Nutzen Sie die Meldung zu Vorschriften von US-Bundesstaaten unter Datenschutz und Messaging oder schalten Sie die eingeschränkte Datenverarbeitung, das RDP, im Tag für Personen ein, die abgelehnt haben. Florida hat einen eigenen Abschnitt im GPP, und Google akzeptiert diesen Abschnitt.

    Beispiel

    AdSense oder Ad Manager: Datenschutz und Messaging, Karte Vorschriften von US-Bundesstaaten, Erstellen. Wählen Sie danach die Websites aus und veröffentlichen Sie.

    <!-- Só para o visitante que recusou -->
<ins class="adsbygoogle"
  data-ad-client="ca-pub-0000000000000000"
  data-ad-slot="0000000000"
  data-restrict-data-processing="1"></ins>

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die Gesetze der US-Bundesstaaten weder eine zertifizierte CMP noch GPP. Sie können die Meldung von Google selbst nutzen oder das RDP im Tag einschalten. Florida ist einer der wenigen Bundesstaaten mit eigenem GPP-Abschnitt, den Google akzeptiert.

Wer die Vorgaben erfüllen muss

Der enge Anwendungsbereich des Verantwortlichen in Florida

Um Verantwortlicher zu sein, muss das Unternehmen gewinnorientiert sein, in Florida geschäftlich tätig sein, Verbraucherdaten erheben, über deren Verwendung entscheiden, einen weltweiten Umsatz von über 1 Milliarde US-Dollar haben und mindestens zu einem der folgenden Profile passen.

Umsatz aus Anzeigen

Die Hälfte oder mehr des weltweiten Jahresbruttoumsatzes stammt aus dem Verkauf von Online-Werbung, einschließlich gezielter Werbung.

Sprachassistent

Betreibt einen Smart Speaker oder einen Sprachbefehlsdienst mit einem cloudbasierten virtuellen Assistenten, der freihändig aktiviert wird. Systeme von Fahrzeugherstellern sind ausgenommen.

App-Store

Betreibt einen App-Store oder eine digitale Vertriebsplattform mit mindestens 250.000 verschiedenen Apps.

Verbundene Unternehmen

Unternehmen, die einen Verantwortlichen kontrollieren oder von ihm kontrolliert werden, fallen ebenfalls unter die Definition.

Die Regel zu sensiblen Daten gilt für mehr Unternehmen

Das Verbot, sensible Daten ohne Einwilligung zu verkaufen, erfasst jedes gewinnorientierte Unternehmen, das in Florida geschäftlich tätig ist und Daten erhebt, ohne die Grenze von 1 Milliarde US-Dollar.

Wer Verbraucher ist

Einwohner oder Wohnsitzinhaber von Florida, der als Privatperson oder im häuslichen Kontext handelt. Wer im geschäftlichen oder beruflichen Kontext handelt, ist ausgenommen.

Definitionen

Die Begriffe des Gesetzes, in der Sprache von Website-Betreibern

Die Definitionen stehen in Abschnitt 501.702 und folgen eng dem Muster der anderen Landesgesetze.

Personenbezogenes Datum

Jede Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder vernünftigerweise verknüpft werden kann, auch pseudonymisierte Daten, wenn sie mit zusätzlichen Informationen der Person zugeordnet werden können. Anonymisierte und öffentliche Daten sind ausgenommen.

Sensibles Datum

Rassische oder ethnische Herkunft, religiöser Glaube, Gesundheitsdiagnose, sexuelle Orientierung, Einwanderungsstatus, genetische oder biometrische Daten, die die Person identifizieren, Daten bekannter Kinder und genauer Standort.

Verkauf

Personenbezogene Daten gegen Geld oder eine andere wertvolle Gegenleistung an einen Dritten weitergeben, offenlegen oder übertragen. Weitergaben an Auftragsverarbeiter und auf Wunsch des Verbrauchers sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die anhand der Aktivität des Verbrauchers über die Zeit auf mehreren Websites und in mehreren Apps ausgewählt wird. Eine Anzeige nach dem Kontext einer Suche auf der Website selbst zählt nicht.

Rechte der Personen

Was Verbraucher aus Florida verlangen können

Der Verantwortliche antwortet innerhalb von 45 Tagen und kann einmal um weitere 15 Tage verlängern, wenn er den Verbraucher innerhalb der ersten Frist informiert. Er muss auch einen Beschwerdeweg anbieten.

Zugriff

Erfahren, ob das Unternehmen Daten über ihn verarbeitet, und diese Daten einsehen.

Berichtigen und löschen

Falsche Daten berichtigen und die Löschung eines Teils oder aller personenbezogenen Daten verlangen.

Übertragbarkeit

Eine Kopie der Daten in einem Format erhalten, das in einem anderen Dienst verwendet werden kann, wenn das machbar ist.

Gezielte Anzeigen, Verkauf und Profiling ablehnen

Gezielte Werbung, den Verkauf der Daten und Profile ablehnen, die zu Entscheidungen mit rechtlicher oder ähnlicher Wirkung führen.

Sensible Daten ablehnen

Die Erhebung oder Verarbeitung sensibler Daten ablehnen, einschließlich genauer Standortdaten.

Stimme und Gesicht ablehnen

Die Datenerhebung durch Funktionen zur Stimmerkennung oder Gesichtserkennung ablehnen.

Pflichten

Was der Verantwortliche eingerichtet haben muss

  1. Jährlich überprüfte DatenschutzerklärungDie Erklärung muss zugänglich und klar sein und die Kategorien verarbeiteter Daten, auch sensibler, den Zweck, die Ausübung der Rechte und den Beschwerdeweg, die Kategorien weitergegebener Daten, die Kategorien von Dritten und die Kanäle für Anfragen auflisten. Sie muss mindestens einmal im Jahr aktualisiert werden.
  2. Standardisierte VerkaufshinweiseWer sensible Daten verkauft, muss den Hinweis NOTICE: This website may sell your sensitive personal data. veröffentlichen. Wer biometrische Daten verkauft, muss NOTICE: This website may sell your biometric personal data. veröffentlichen.
  3. Offenlegung von Verkauf und gezielter WerbungWenn der Verantwortliche Daten verkauft oder gezielte Werbung betreibt, muss er das klar und sichtbar sagen und erklären, wie der Verbraucher ablehnen kann.
  4. Datenschutz-FolgenabschätzungDas Gesetz verlangt dokumentierte Bewertungen für Verarbeitungen mit höherem Risiko, wie gezielte Werbung, Datenverkauf, Profiling und sensible Daten.
  5. Vertrag mit AuftragsverarbeiternAnbieter, die Daten im Auftrag des Verantwortlichen verarbeiten, folgen dessen Anweisungen und brauchen einen Vertrag mit den Regeln der Verarbeitung.
  6. Einwilligung für sensible DatenKein von der Regel erfasstes Unternehmen darf sensible Daten ohne vorherige Einwilligung des Verbrauchers verkaufen. Für Kinder gelten eigene Regeln und das Bundesgesetz COPPA.

Durchsetzung und Strafen

Die höchsten Strafen unter den Landesgesetzen

Die Durchsetzung liegt beim Department of Legal Affairs, das dem Generalstaatsanwalt von Florida angehört. Das Gesetz sagt ausdrücklich, dass es keine private Klagemöglichkeit für Verbraucher schafft.

Bis zu 50.000 US-Dollar pro Verstoß

Der Höchstbetrag der zivilrechtlichen Strafe beträgt 50.000 US-Dollar pro Verstoß, zusätzlich zu anderen Maßnahmen nach dem Gesetz über unlautere Geschäftspraktiken in Florida.

Verdreifachte Strafe

Der Betrag kann verdreifacht werden, wenn ein bekanntes Kind betroffen ist, wenn das Unternehmen Daten nach einer gültigen Anfrage nicht löscht oder berichtigt oder wenn es nach dem Opt-out weiter Daten verkauft.

45 Tage zur Behebung, wenn die Behörde es will

Die Behörde kann dem Unternehmen 45 Tage zur Behebung des Verstoßes einräumen, aber das liegt in ihrem Ermessen und ist kein Recht des Unternehmens. Bei Verstößen mit Kindern gibt es diese Frist nicht.

Jährlicher öffentlicher Bericht

Jedes Jahr bis zum 1. Februar veröffentlicht die Behörde einen Bericht mit eingegangenen Beschwerden sowie verhängten und erhaltenen Maßnahmen und Strafen.

Zeitleiste

Die Termine des FDBR

Zwischen Unterzeichnung und Inkrafttreten lag ein Jahr Vorbereitungszeit.

  1. 6. Juni 2023

    Unterzeichnung

    Der Gouverneur unterzeichnet den Gesetzentwurf SB 262, der den Florida Digital Bill of Rights schafft.

  2. 1. Juli 2024

    Inkrafttreten

    Das Gesetz gilt. Verantwortliche müssen Anfragen beantworten, ein Opt-out anbieten und die Datenschutzerklärung veröffentlichen.

  3. Jeden 1. Februar

    Durchsetzungsbericht

    Das Department of Legal Affairs veröffentlicht auf seiner Website die Jahresbilanz der Beschwerden, Maßnahmen und Strafen.

  4. September 2025

    Google aktualisiert GPP

    Google akzeptiert nun Version 2 des Abschnitts US National der GPP und behält auch den spezifischen Abschnitt für Florida unter den akzeptierten bei.

Websites mit AdSense und Ad Manager

Wie das Opt-out aus Florida zu Google gelangt

Der FDBR verpflichtet die Website nicht, universelle Opt-out-Signale wie die Global Privacy Control (GPC) zu erkennen. Der Besucher muss den Weg nutzen, den die Website anbietet. Trotzdem ist die Beachtung von GPC eine gute Praxis und gilt für Bundesstaaten, in denen sie Pflicht ist.

Google bietet in AdSense und Ad Manager unter Datenschutz und Mitteilungen eine Meldung zu US-Bundesstaatsvorschriften an. Florida steht auf der Liste der unterstützten Bundesstaaten. Die Meldung zeigt den Link Do Not Sell or Share, und die Ablehnung des Besuchers aktiviert die eingeschränkte Datenverarbeitung (RDP), die Anzeigen auf Basis früheren Verhaltens verhindert.

Wer eine eigene CMP nutzt: Florida ist einer der wenigen Bundesstaaten mit einem eigenen GPP-Abschnitt, den Google akzeptiert. In diesem Abschnitt aktiviert die Ablehnung von Verkauf oder gezielter Werbung die RDP. Der Abschnitt US National wird ebenfalls akzeptiert und funktioniert für Verkauf, Weitergabe und gezielte Werbung genauso.

Es gibt außerdem den Weg über den Tag selbst: den Parameter restrictDataProcessing von GPT oder das Attribut data-restrict-data-processing von AdSense, nur für diejenigen verwendet, die ein Opt-out verlangt haben. Welchen Weg Sie auch wählen, der Test ist derselbe: Die Anzeigenanfrage muss sich nach der Ablehnung ändern.

In der Praxis

Was in Florida erlaubt ist und was nicht

Beispiele für eine Website, die Besucher aus Florida erhält und mit programmatischen Anzeigen Geld verdient.

Erlaubt

  • Kontextbezogene Anzeigen für alle zeigen, die zielgerichtete Werbung abgelehnt haben
  • Den Florida-Abschnitt oder den Abschnitt US National der GPP nutzen, um Google über das Opt-out zu informieren
  • Die Meldung von Google zu den Vorschriften der US-Bundesstaaten nutzen, um den Opt-out-Link anzubieten
  • Eine einzige Datenschutzerklärung für die USA führen, solange sie enthält, was Florida verlangt
  • Die Datenschutzseite mindestens einmal im Jahr überprüfen und aktualisieren

Nicht erlaubt

  • Sensible Daten wie genaue Standortdaten ohne vorherige Einwilligung verkaufen, auch als kleines Unternehmen
  • Sensible Daten verkaufen, ohne den vom Gesetz verlangten standardisierten Hinweis zu veröffentlichen
  • Nach dem Opt-out weiter Daten verkaufen oder weitergeben, der Fall, der die Strafe verdreifachen kann
  • Den Opt-out-Link auf einer Seite verstecken, die niemand findet
  • Annehmen, dass der Werbepartner nicht unter das Gesetz fällt, nur weil Ihre Website klein ist

Häufige Fehler

Wo Websites beim Gesetz von Florida stolpern

Der enge Anwendungsbereich des Gesetzes lässt viele glauben, sie müssten nichts tun. Das sind die häufigsten Fehler.

Die Regel zu sensiblen Daten ignorieren

Die Website nutzt ein SDK oder Skript, das genaue Standortdaten erhebt und an Partner weitergibt. Dieser Verkauf erfordert eine Einwilligung, auch ohne die Grenze von 1 Milliarde US-Dollar.

Eingefrorene Datenschutzerklärung

Die Datenschutzseite hat sich seit Jahren nicht geändert. Das Gesetz verlangt für Verantwortliche mindestens eine jährliche Aktualisierung.

Meldung ohne Florida

Die Opt-out-Meldung von Google wurde nur für Kalifornien aktiviert, und der Traffic aus Florida sieht den Link nie.

Falscher Landesabschnitt in der GPP

Die CMP sendet einen Abschnitt, den Google nicht akzeptiert, und lässt den von Florida und US National weg. Das Opt-out erreicht die Anzeigen nicht.

Opt-out, das den Verkauf nicht stoppt

Der Besucher klickt, aber die Anzeigenanfragen enthalten weiter Daten zur Personalisierung. In Florida kann das die Strafe verdreifachen.

Minderjährige vergessen

Verstöße mit bekannten Kindern haben keine Abhilfefrist und können mit verdreifachter Strafe belegt werden.

In ConsentMode

Was die Prüfung für Florida kontrolliert

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link in der Fußzeile, im Menü und in der Datenschutzmeldung.
  • Erkennt die CMP oder die Meldung von Google zu den Vorschriften der Bundesstaaten am Code der Seite.
  • Liest den GPP-String und sagt, ob er den Florida-Abschnitt oder den Abschnitt US National enthält und ob er sich nach dem Opt-out ändert.
  • Aktiviert das GPC-Signal im Browser der Prüfung und zeigt, ob Seite und Anzeigenanfragen reagieren.
  • Prüft, ob die Datenschutzseite Verkauf, gezielte Werbung, Rechte, Beschwerdeweg und gegebenenfalls die Hinweise zum Verkauf sensibler Daten nennt.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Meine Website ist klein. Gilt das Gesetz von Florida für mich?

Der Großteil der Pflichten nicht, denn der Verantwortliche muss einen weltweiten Umsatz von über 1 Milliarde US-Dollar haben und zu einem der drei Profile des Gesetzes passen. Aber die Regel, die den Verkauf sensibler Daten ohne Einwilligung verbietet, gilt für jedes gewinnorientierte Unternehmen, das in Florida geschäftlich tätig ist und Daten erhebt.

Warum sollte ich mich dann um das Opt-out von Florida kümmern?

Weil die Partner, die auf Ihrer Website Anzeigen kaufen und ausliefern, nach dem Gesetz Verantwortliche sein können und weil andere Bundesstaaten mit niedrigeren Schwellen Ihr Geschäft erfassen können. Das Opt-out für den gesamten US-Traffic anzubieten, vereinfacht den Betrieb.

Verlangt Florida, dass ich GPC respektiere?

Nein. Das Gesetz sieht keine universellen Opt-out-Signale vor. Trotzdem behandeln viele CMPs GPC in allen Bundesstaaten, was bei den Gesetzen hilft, die es verlangen.

Liest Google den Florida-Abschnitt in der GPP?

Ja. Florida steht auf der Liste der von Google akzeptierten Abschnitte, zusammen mit US National, Kalifornien, Colorado, Connecticut und Virginia. Die Ablehnung von Verkauf oder gezielter Werbung in diesem Abschnitt aktiviert die eingeschränkte Datenverarbeitung.

Was ist der NOTICE-Hinweis, den das Gesetz verlangt?

Es ist ein standardisierter englischer Text, den veröffentlichen muss, wer sensible oder biometrische Daten verkauft. Er warnt, dass die Website solche Daten verkaufen kann. Die meisten Websites mit Anzeigen verkaufen solche Daten nicht und brauchen den Hinweis nicht.

Sorgt ConsentMode dafür, dass meine Website das Gesetz von Florida einhält?

ConsentMode ist weder CMP noch Anwaltskanzlei. Die Prüfung zeigt mit Screenshots, was die Website mit dem Opt-out, der GPP und der Datenschutzseite macht, damit Sie es mit Ihrem Anbieter und Ihrem Anwalt beheben.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Finden Sie heraus, ob das Opt-out aus Florida Ihre Anzeigen erreicht

Das Audit öffnet die Website als US-Besucher und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten