Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

ICDPA: das Datenschutzgesetz von Iowa, das schlankste der USA

Der Iowa Consumer Data Protection Act gilt seit dem 1. Januar 2025 und ist dafür bekannt, weniger Rechte zu geben als die anderen Landesgesetze. In diesem Leitfaden verstehen Sie, wer es einhalten muss, was der Besucher verlangen kann, wie es um gezielte Werbung steht und was sich für eine Website mit AdSense oder Ad Manager ändert.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf Kapitel 715D des Code of Iowa
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
100.000Verbraucher aus Iowa pro Jahr: die Hauptschwelle des Gesetzes
90 Tagezur Beantwortung von Anträgen, die längste Frist unter den Landesgesetzen
90 Tageum den Mangel nach der Mitteilung des Generalstaatsanwalts zu beheben
7.500 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß

Was es ist

Ein Datenschutzgesetz mit dem Minimum an Pflichten

Der Iowa Consumer Data Protection Act, kurz ICDPA, ist das allgemeine Datenschutzgesetz von Iowa. Er wurde 2023 unterzeichnet, steht in Kapitel 715D des Code of Iowa und trat am 1. Januar 2025 in Kraft.

Das Gesetz folgt dem Modell von Virginia, hat aber mehrere Teile gestrichen. Es gibt kein Recht auf Berichtigung von Daten. Es gibt keine Pflicht zur Datenschutz-Folgenabschätzung. Es gibt keine Pflicht, universelle Opt-out-Signale zu akzeptieren. Und sensible Daten funktionieren nach dem Modell Hinweis und Ablehnung, nicht der vorherigen Einwilligung.

Das heißt nicht, dass das Gesetz für Websites mit Anzeigen harmlos ist. Wer die Schwellen überschreitet, muss klar und sichtbar sagen, ob er Daten verkauft oder gezielte Werbung betreibt, und erklären, wie der Besucher diese Aktivitäten ablehnen kann.

Für alle mit Besuchern aus mehreren Bundesstaaten ist Iowa selten der anspruchsvollste Staat. Aber es ist gut, die Unterschiede zu kennen, um auf der Datenschutzseite keine Rechte zu versprechen, die Ihr Prozess nicht liefert, und um nicht zu vergessen, was das Gesetz tatsächlich verlangt.

Checkliste

Was Sie erfüllen müssen

Wenn die Website die Schwellen des ICDPA überschreitet, ist dies die Basisliste. Iowa verlangt weniger als andere Bundesstaaten.

  1. Sagen, dass es Verkauf oder zielgerichtete Werbung gibt

    Wer Daten verkauft oder zielgerichtete Werbung betreibt, muss das klar und sichtbar sagen und erklären, wie der Besucher ablehnt.

    Beispiel

    Link in der Fußzeile: Do Not Sell or Share My Personal Information, der zu einem Ablehnungsbildschirm führt.

  2. Eine vollständige Datenschutzerklärung veröffentlichen

    Die Erklärung muss klar und leicht auffindbar sein. Sie listet die verarbeiteten Daten, die Zwecke, die Rechte, den Widerspruch, die weitergegebenen Daten und die Kategorien von Dritten auf.

    Beispiel

    Nennen Sie in der Erklärung die Kanäle für Anfragen, zum Beispiel ein Formular und eine E-Mail-Adresse.

  3. Vor der Nutzung sensibler Daten informieren

    Iowa verlangt für sensible Daten keine Einwilligung. Verlangt werden ein klarer Hinweis und die Möglichkeit, vor der Nutzung abzulehnen. Sensible Daten von Kindern folgen COPPA.

    Beispiel

    Zeigen Sie vor der Nutzung des genauen Standorts einen Hinweis mit der Option Meinen Standort nicht verwenden.

  4. Anfragen innerhalb von 90 Tagen beantworten

    Antworten Sie innerhalb von 90 Tagen, mit einer Verlängerung um weitere 45 Tage, wenn Sie den Grund nennen. Verlangen Sie für die Anfrage kein neues Konto.

  5. Ein Widerspruchsverfahren haben

    Wer eine abgelehnte Anfrage hatte, kann Widerspruch einlegen. Beantworten Sie den Widerspruch innerhalb von 60 Tagen schriftlich und nennen Sie bei einer Ablehnung einen Online-Weg, um den Generalstaatsanwalt zu kontaktieren.

  6. Die Datensicherheit gewährleisten

    Das Gesetz verlangt angemessene administrative, technische und physische Sicherheitsmaßnahmen für personenbezogene Daten.

  7. Die Ablehnung an Google weitergeben

    Google verlangt für die US-Bundesstaaten keine CMP. Nutzen Sie die Meldung zu Vorschriften von US-Bundesstaaten unter Datenschutz und Messaging oder schalten Sie die eingeschränkte Datenverarbeitung, das RDP, im Tag für Personen ein, die abgelehnt haben. Mit GPP liest Google den Abschnitt US National für Iowa.

    Beispiel

    AdSense oder Ad Manager: Datenschutz und Messaging, Karte Vorschriften von US-Bundesstaaten, Erstellen. Wählen Sie danach die Websites aus und veröffentlichen Sie.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die Gesetze der US-Bundesstaaten weder eine zertifizierte CMP noch GPP. Sie können die Meldung von Google selbst nutzen oder das RDP im Tag einschalten.

Wer es einhalten muss und Definitionen

Die Schwellen des ICDPA und die Schlüsselwörter des Gesetzes

Das Gesetz gilt für alle, die in Iowa Geschäfte machen oder Produkte und Dienstleistungen an Einwohner des Bundesstaats richten und in einem Kalenderjahr eine der zwei folgenden Schwellen überschreiten. Verbraucher ist der Einwohner von Iowa, der als Privatperson handelt, außerhalb des geschäftlichen oder beruflichen Kontexts. Die Definitionen stehen in Abschnitt 715D.1.

100.000 Verbraucher

Kontrolliert oder verarbeitet personenbezogene Daten von mindestens 100.000 Verbrauchern aus Iowa.

25.000 und Datenverkauf

Kontrolliert oder verarbeitet Daten von mindestens 25.000 Verbrauchern und erzielt mehr als 50 % des Bruttoumsatzes mit dem Verkauf personenbezogener Daten.

Personenbezogenes Datum

Information, die mit einer identifizierten oder identifizierbaren natürlichen Person verknüpft ist oder vernünftigerweise verknüpft werden kann. Anonymisierte, aggregierte und öffentliche Daten sind ausgenommen.

Sensibles Datum

Rassische oder ethnische Herkunft, religiöser Glaube, Gesundheitsdiagnose, sexuelle Orientierung, Einwanderungsstatus, genetische oder biometrische Daten, die die Person identifizieren, Daten bekannter Kinder und genauer Standort.

Verkauf

Nur der Austausch personenbezogener Daten gegen Geld mit einem Dritten. Andere wertvolle Gegenleistungen zählen nicht, und Weitergaben an Auftragsverarbeiter, Unternehmen derselben Gruppe oder auf Wunsch des Verbrauchers sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die anhand von Daten über die Aktivität des Besuchers im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Kontextbezogene Anzeigen, eigene Anzeigen und die Leistungsmessung sind ausgenommen.

Rechte der Personen

Was der Einwohner von Iowa verlangen kann und was nicht

Die Liste der Rechte von Iowa ist die kürzeste unter den Landesgesetzen. Die Antwort kann bis zu 90 Tage dauern, mit einer Verlängerung um weitere 45 Tage, wenn nötig und innerhalb der ersten Frist mitgeteilt. Zwei Anträge pro Jahr sind kostenlos.

Bestätigen und Zugriff

Wissen, ob das Unternehmen Daten über sie verarbeitet, und Zugriff auf diese Daten haben.

Löschen, was er bereitgestellt hat

Die Löschung der Daten verlangen, die der Verbraucher selbst bereitgestellt hat. Daten aus anderen Quellen stehen nicht im Text dieses Rechts.

Übertragbarkeit

Eine Kopie der bereitgestellten Daten in einem übertragbaren Format erhalten, wenn die Verarbeitung automatisiert ist.

Den Verkauf ablehnen

Verlangen, dass die Daten nicht verkauft werden. Es ist das einzige Ablehnungsrecht, das in der Liste der Rechte des Gesetzes steht.

Kein Berichtigungsrecht

Iowa gibt dem Verbraucher nicht das Recht, die Berichtigung falscher Daten zu verlangen, anders als die meisten Bundesstaaten.

Widerspruch

Wird der Antrag abgelehnt, kann der Verbraucher Widerspruch einlegen. Das Unternehmen antwortet schriftlich innerhalb von 60 Tagen und zeigt, wenn es erneut ablehnt, wie man sich beim Generalstaatsanwalt beschwert.

Zielgerichtete Werbung

Steht nicht in der Liste der Rechte, aber das Opt-out muss existieren

Eine häufige Frage zu Iowa ist, ob der Besucher gezielte Werbung ablehnen kann. Die Liste der Rechte in Abschnitt 715D.3 enthält nur die Ablehnung des Datenverkaufs. Es gibt kein eigenes Recht, gezielte Anzeigen abzulehnen, wie in Virginia oder Colorado.

Aber Abschnitt 715D.4 schafft eine Pflicht für das Unternehmen: Wer personenbezogene Daten an Dritte verkauft oder gezielte Werbung betreibt, muss das klar und sichtbar offenlegen, ebenso die Art, wie der Verbraucher diese Aktivität ablehnen kann. In der Praxis muss die erfasste Website den Opt-out-Weg für gezielte Anzeigen zeigen.

Sensible Daten folgen derselben Logik von Hinweis und Ablehnung. Bevor sensible Daten für einen nicht ausgenommenen Zweck verarbeitet werden, muss das Unternehmen einen klaren Hinweis geben und die Möglichkeit zur Ablehnung bieten. Daten bekannter Kinder folgen dem Bundesgesetz COPPA.

Deshalb ähnelt die praktische Konfiguration einer Website mit Anzeigen der anderer Bundesstaaten: sichtbarer Opt-out-Link, Datenschutzseite, die die Nutzung von Daten für Anzeigen erklärt, und eine Ablehnung, die die Personalisierung wirklich abschaltet.

Pflichten der Website

Was ein erfasstes Unternehmen einsatzbereit haben muss

  1. DatenschutzhinweisDie Erklärung muss die Kategorien verarbeiteter Daten, den Zweck, die Ausübung der Rechte und den Widerspruch, die Kategorien der an Dritte weitergegebenen Daten und die Kategorien dieser Dritten enthalten.
  2. Verkauf und zielgerichtete Anzeigen offenlegenWenn die Website Daten verkauft oder zielgerichtete Werbung betreibt, muss sie das klar und sichtbar sagen und erklären, wie die Besucher ablehnen können.
  3. Sicherer Kanal für AnträgeDas Unternehmen muss ein oder mehrere sichere und zuverlässige Mittel für Anträge anbieten, ohne zu verlangen, dass der Verbraucher ein neues Konto erstellt.
  4. Hinweis vor sensiblen DatenDie Verarbeitung sensibler Daten erfordert einen klaren Hinweis und die Möglichkeit zur Ablehnung, und Kinderdaten folgen COPPA.
  5. Sicherheit und NichtdiskriminierungDas Unternehmen muss angemessene Sicherheitspraktiken pflegen und darf, wer seine Rechte ausübt, nicht schlechter behandeln.
  6. Verträge mit AuftragsverarbeiternAnbieter, die Daten im Auftrag des Unternehmens verarbeiten, folgen dessen Anweisungen, unter einem Vertrag mit den Regeln der Verarbeitung.

Durchsetzung und Strafen

Die längste Abhilfefrist des Landes

Nur der Generalstaatsanwalt von Iowa kann das Gesetz durchsetzen. Der Verbraucher kann das Unternehmen auf dieser Grundlage nicht verklagen.

90 Tage zur Behebung

Vor jeder Klage sendet der Generalstaatsanwalt eine schriftliche Mitteilung, die die Verstöße benennt. Das Unternehmen hat 90 Tage, um sie zu beheben.

Schriftliche Erklärung

Um den Fall abzuschließen, muss das Unternehmen beheben und schriftlich erklären, dass es behoben hat und der Mangel sich nicht wiederholen wird.

Bis zu 7.500 US-Dollar pro Verstoß

Wenn der Mangel fortbesteht, kann der Generalstaatsanwalt eine gerichtliche Anordnung und eine zivilrechtliche Strafe von bis zu 7.500 US-Dollar pro Verstoß verlangen.

Untersuchung

Der Generalstaatsanwalt kann während der Untersuchung Dokumente und Informationen vom Unternehmen verlangen.

Zeitleiste

Die Termine des ICDPA

Iowa gab zwischen Unterzeichnung und Inkrafttreten fast zwei Jahre Vorbereitungszeit.

  1. 2023

    Unterzeichnung

    Iowa wird, nach Kalifornien, Virginia, Colorado, Utah und Connecticut, einer der ersten Bundesstaaten, die ein allgemeines Datenschutzgesetz verabschieden.

  2. 1. Januar 2025

    Inkrafttreten

    Das Gesetz gilt, mit ausschließlicher Durchsetzung durch den Generalstaatsanwalt.

  3. September 2025

    Google aktualisiert GPP

    Google akzeptiert nun Version 2 des Abschnitts US National der GPP, den Weg, den es für das Opt-out von Bundesstaaten wie Iowa liest.

Websites mit AdSense und Ad Manager

Wie das Opt-out aus Iowa zu Google gelangt

Iowa verpflichtet die Website nicht, universelle Opt-out-Signale wie die Global Privacy Control (GPC) zu erkennen. Trotzdem ist es gute Praxis, GPC für den gesamten US-Traffic zu beachten, weil mehrere Bundesstaaten es verlangen und weil es die Konfiguration der CMP vereinfacht.

Google bietet in AdSense und Ad Manager unter Datenschutz und Mitteilungen eine Meldung zu US-Bundesstaatsvorschriften an, und Iowa gehört zu den unterstützten Bundesstaaten. Die Meldung zeigt den Link Do Not Sell or Share. Wenn der Besucher ablehnt, aktiviert Google die eingeschränkte Datenverarbeitung (RDP) und nutzt das frühere Verhalten nicht mehr zur Auswahl von Anzeigen.

Es gibt einen eigenen Abschnitt für Iowa in der GPP des IAB Tech Lab, aber er steht nicht auf der Liste der von Google akzeptierten Abschnitte. Für Google ist der Weg der Abschnitt US National: Die Ablehnung von Verkauf, Weitergabe oder gezielter Werbung in diesem Abschnitt aktiviert die RDP.

Eine weitere Möglichkeit ist, die RDP im Tag selbst zu aktivieren, mit dem Parameter restrictDataProcessing von GPT oder dem Attribut data-restrict-data-processing von AdSense, nur für alle, die ein Opt-out verlangt haben. Der Abschlusstest ist immer derselbe: Die Anzeigenanfrage muss sich nach der Ablehnung ändern.

In der Praxis

Was in Iowa erlaubt ist und was nicht

Beispiele für ein Unternehmen, das die Schwellen des Gesetzes überschreitet und mit programmatischen Anzeigen Geld verdient.

Erlaubt

  • Kontextbezogene Anzeigen für alle zeigen, die Verkauf oder gezielte Werbung abgelehnt haben
  • Die Meldung von Google zu den Vorschriften der US-Bundesstaaten nutzen, um den Opt-out-Link anzubieten
  • Anträge innerhalb von 90 Tagen beantworten und vorher informieren, wenn weitere 45 nötig sind
  • Für wiederholte oder offensichtlich unbegründete Anträge eine Gebühr verlangen und nachweisen, dass sie missbräuchlich sind
  • Dieselbe Opt-out- und GPC-Richtlinie für den gesamten US-Traffic anwenden

Nicht erlaubt

  • Gezielte Werbung betreiben, ohne es auf der Datenschutzseite zu sagen und zu erklären, wie man ablehnt
  • Verlangen, dass der Besucher ein Konto erstellt, um Zugang oder Löschung zu beantragen
  • Sensible Daten ohne klaren Hinweis und ohne Möglichkeit zur Ablehnung verarbeiten
  • Den Widerspruch eines Verbrauchers ignorieren, dessen Antrag abgelehnt wurde
  • In der Erklärung Rechte versprechen, die Iowa nicht gibt und die Ihr Prozess nicht erfüllt

Häufige Fehler

Wo Websites beim Gesetz von Iowa stolpern

Auch das schlankste Gesetz hat Fallen, vor allem für alle, die nur die Liste der Rechte lesen.

Annehmen, dass es kein Opt-out bei Anzeigen gibt

Weil das Recht nicht in der Liste steht, bietet die Website keine Ablehnung gezielter Werbung an. Aber die Pflicht, offenzulegen und zu erklären, wie man ablehnt, besteht.

Erklärung ohne gezielte Anzeigen

Die Datenschutzseite spricht allgemein von Cookies, sagt aber nicht, dass die Daten für gezielte Werbung genutzt werden.

Meldung nur für Kalifornien

Die Opt-out-Meldung von Google wurde nur für Kalifornien konfiguriert, und der Traffic aus Iowa sieht den Link nie.

Abschnitt von Iowa allein in der GPP

Die CMP sendet nur den Landesabschnitt von Iowa, den Google nicht liest. Ohne US National erreicht das Opt-out die Google-Anzeigen nicht.

Opt-out-Link, der nichts ändert

Der Besucher klickt, aber die Anzeigenanfragen bleiben gleich, ohne RDP und ohne Opt-out in der GPP.

Das Volumen falsch zählen

Die Website berücksichtigt nur Registrierte. Cookies und Anzeigen-Kennungen identifizieren ebenfalls Personen und zählen mit.

In ConsentMode

Was die Prüfung für Iowa kontrolliert

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link in der Fußzeile, im Menü und in der Datenschutzmeldung.
  • Erkennt die CMP oder die Meldung von Google zu den Vorschriften der Bundesstaaten am Code der Seite.
  • Liest den GPP-String und prüft, ob der Abschnitt US National existiert und das Opt-out nach dem Klick erfasst.
  • Aktiviert das GPC-Signal im Browser der Prüfung und zeigt, ob Seite und Anzeigenanfragen reagieren.
  • Prüft, ob die Datenschutzseite sagt, dass es gezielte Werbung oder Datenverkauf gibt, und erklärt, wie man ablehnt.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Kann der Besucher in Iowa gezielte Werbung ablehnen?

Die Liste der Rechte von Iowa enthält nur die Ablehnung des Verkaufs. Aber das Gesetz verlangt, dass, wer gezielte Werbung betreibt, das klar offenlegt und erklärt, wie der Verbraucher diese Aktivität ablehnen kann. In der Praxis muss die erfasste Website diesen Weg anbieten.

Verlangt Iowa, dass ich GPC respektiere?

Nein. Das Gesetz sieht keine universellen Opt-out-Signale vor. Aber andere Bundesstaaten verlangen es, und die meisten CMPs behandeln GPC für den gesamten US-Traffic.

Muss ich für Iowa eine Datenschutz-Folgenabschätzung durchführen?

Nein. Das Gesetz von Iowa verlangt keine Datenschutz-Folgenabschätzungen. Wenn Sie in anderen Bundesstaaten tätig sind, die sie verlangen, bleibt die für diese erstellte Bewertung nötig.

Wie lange habe ich Zeit, einen Antrag zu beantworten?

Bis zu 90 Tage, mit einer Verlängerung um weitere 45 Tage, wenn nötig und innerhalb der ersten Frist mitgeteilt. Zwei Anträge pro Jahr und Verbraucher müssen kostenlos sein.

Verlangt Iowa einen Einwilligungsbanner?

Nein. Das Gesetz nutzt das Opt-out-Modell sogar für sensible Daten, mit Hinweis und Möglichkeit zur Ablehnung. Für Kinder gilt das Bundesgesetz COPPA.

Löst ConsentMode die Einhaltung des Gesetzes von Iowa?

ConsentMode ist weder CMP noch Anwaltskanzlei. Die Prüfung zeigt, was die Website tatsächlich mit Opt-out-Link, GPP und Datenschutzseite macht, damit Sie es mit Ihrem Anbieter und Ihrem Anwalt beheben.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob das Opt-out Ihrer Website für Iowa funktioniert

Das Audit öffnet die Website als US-Besucher und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten