Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

MODPA: das Gesetz von Maryland, das strengste der USA

Der Maryland Online Data Privacy Act gilt seit dem 1. Oktober 2025 und gilt als das strengste Landesgesetz des Landes. In diesem Leitfaden verstehen Sie die strikte Datenminimierung, das Verbot, sensible Daten zu verkaufen, die Regeln für unter 18-Jährige und was sich für eine Website mit AdSense oder Ad Manager ändert.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetzestext und der Website des Generalstaatsanwalts von Maryland
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
35.000Verbraucher aus Maryland pro Jahr: die Hauptschwelle des Gesetzes
10.000Verbraucher genügen, wenn mehr als 20 % des Bruttoumsatzes aus dem Verkauf von Daten stammen
10.000 US-Dollarmaximale Strafe pro Verstoß
25.000 US-DollarHöchstbuße bei wiederholtem Verstoß

Was es ist

Ein Gesetz, das die Frage von darf ablehnen zu muss erheben ändert

Der Maryland Online Data Privacy Act, kurz MODPA, ist das allgemeine Datenschutzgesetz von Maryland. Er wurde 2024 verabschiedet und trat am 1. Oktober 2025 in Kraft. Das Gesetz selbst sagt, dass es Datenverarbeitungstätigkeiten vor dem 1. April 2026 nicht erfasst, dem Datum, ab dem die Durchsetzung an Kraft gewinnt.

Die Rechte des Besuchers ähneln denen anderer Bundesstaaten: Auskunft, Berichtigung, Löschung, Übertragbarkeit und Widerspruch gegen gezielte Werbung, Verkauf und Profiling. Der Unterschied liegt in den Pflichten des Unternehmens. In den meisten Bundesstaaten darf die Website Daten nutzen, bis der Besucher ablehnt. In Maryland muss die Erhebung für den Dienst nötig sein, den der Besucher angefragt hat.

Das Gesetz verbietet außerdem den Verkauf sensibler Daten, ohne Ausnahme durch Einwilligung, und begrenzt die Verarbeitung dieser Daten auf das unbedingt Notwendige. Für Jugendliche unter 18 Jahren ist gezielte Werbung verboten, wenn das Unternehmen das Alter kannte oder kennen musste.

Für eine Website mit Anzeigen ist Maryland der Bundesstaat, der am meisten Überprüfung verlangt. Skripte von Drittanbietern, die Daten, die sie erhalten, und die Art, wie Gesundheits-, Finanz- oder Community-Websites sensible Informationen behandeln, müssen sorgfältig betrachtet werden.

Checkliste

Was Sie erfüllen müssen

Wenn Ihre Website die Schwellen des MODPA überschreitet, müssen diese Punkte funktionieren.

  1. Nur das Nötige erheben

    Die Datenerhebung muss für das vom Besucher gewünschte Produkt oder die Dienstleistung vernünftigerweise notwendig und verhältnismäßig sein.

    Beispiel

    Bevor Sie ein Anzeigen-Skript installieren, notieren Sie, welche Daten es erhält und warum die Website das braucht.

  2. Sensible Daten niemals verkaufen

    Der Verkauf sensibler Daten ist verboten. Das Erheben oder Weitergeben dieser Daten ist nur erlaubt, wenn es für die gewünschte Dienstleistung unbedingt notwendig ist.

  3. Keine zielgerichteten Anzeigen für Personen unter 18

    Wenn Sie wussten oder hätten wissen müssen, dass der Besucher zwischen 13 und 17 Jahre alt ist, dürfen Sie seine Daten nicht für zielgerichtete Werbung nutzen. Der Verkauf dieser Daten erfordert eine Einwilligung.

  4. Das universelle Opt-out-Signal respektieren

    Seit dem 1. Oktober 2025 kann der Besucher zielgerichtete Werbung über ein Präferenzsignal wie das GPC ablehnen, und die Website muss es respektieren.

    Beispiel

    Besucher mit aktiviertem GPC: Die Website schaltet die eingeschränkte Datenverarbeitung von Google nur für ihn ein.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  5. Klar sagen, dass es zielgerichtete Anzeigen gibt

    Wenn die Website Daten verkauft oder zielgerichtete Werbung betreibt, muss sie das klar und sichtbar sagen und erklären, wie man ablehnt.

    Beispiel

    Wir nutzen Ihre Daten für zielgerichtete Anzeigen. Zum Ablehnen klicken Sie auf Do Not Sell or Share My Personal Information.

  6. Erklärung mit den Sätzen, die Google verlangt

    AdSense verlangt, dass die Datenschutzerklärung auf die Werbe-Cookies von Google und anderen Anbietern hinweist. Sie muss außerdem sagen, wie der Besucher personalisierte Anzeigen ablehnt.

    Beispiel

    Drittanbieter, einschließlich Google, verwenden Cookies, um Anzeigen auf Basis früherer Besuche auf Ihrer Website oder anderen Websites zu zeigen. Sie können personalisierte Werbung in den Anzeigeneinstellungen von Google deaktivieren.

  7. Sicherer Kanal für Anträge

    Bieten Sie einen sicheren und verlässlichen Weg für Anfragen zu Rechten. Verlangen Sie nicht, dass der Besucher ein neues Konto erstellt.

  8. Risikobewertung

    Führen Sie vor Verarbeitungen mit hohem Risiko wie zielgerichteter Werbung, Verkauf und sensiblen Daten eine Bewertung durch. Auch jeder Risikoalgorithmus muss bewertet werden.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Maryland weder eine zertifizierte CMP noch GPP, daher können Sie die Meldung von Google selbst oder eine CMP mit GPP nutzen.

Wer es einhalten muss und Definitionen

Die Schwellen des MODPA und die Schlüsselwörter des Gesetzes

Das Gesetz gilt für alle, die in Maryland Geschäfte machen oder Produkte und Dienstleistungen an Einwohner des Bundesstaats richten und im vorangegangenen Kalenderjahr eine der folgenden Schwellen überschritten haben. Gemeinnützige Organisationen haben keine allgemeine Ausnahme, und Auftragsverarbeiter, die für erfasste Unternehmen arbeiten, haben ebenfalls Pflichten.

35.000 Verbraucher

Daten von mindestens 35.000 Verbrauchern aus Maryland kontrolliert oder verarbeitet. Daten, die nur für eine Zahlungsabwicklung genutzt werden, zählen nicht.

10.000 und Datenverkauf

Hat Daten von mindestens 10.000 Verbrauchern kontrolliert oder verarbeitet und mehr als 20 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt.

Sensibles Datum

Ethnische oder rassische Herkunft, religiöse Überzeugung, Gesundheitsdaten von Verbrauchern, Sexualleben und sexuelle Orientierung, trans oder nicht binärer Status, nationale Herkunft, Einwanderungsstatus, genetische oder biometrische Daten, Kinderdaten und genauer Standort.

Gesundheitsdaten von Verbrauchern

Personenbezogene Daten, die genutzt werden, um den körperlichen oder psychischen Gesundheitszustand der Person zu identifizieren, auch Daten zu geschlechtsangleichender Versorgung und zu reproduktiver oder sexueller Gesundheit.

Verkauf

Der Austausch personenbezogener Daten gegen Geld oder eine andere wertvolle Gegenleistung. Weitergaben an Auftragsverarbeiter und auf Wunsch des Verbrauchers sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die anhand von Daten ausgewählt wird, die aus der Aktivität des Besuchers auf Websites und in Apps anderer Unternehmen gewonnen oder abgeleitet wurden. Kontextbezogene Anzeigen, Anzeigen auf der eigenen Website und die Leistungsmessung zählen nicht.

Strikte Minimierung

Nur das Nötige für das, was der Besucher angefragt hat

Die zentrale Regel des MODPA ist die Minimierung. Das Unternehmen darf personenbezogene Daten nur in dem Maß erheben, das vernünftigerweise notwendig und verhältnismäßig ist, um ein bestimmtes Produkt oder einen bestimmten Dienst anzubieten oder aufrechtzuerhalten, den der Verbraucher angefragt hat. Es genügt nicht, den Zweck in der Datenschutzerklärung zu nennen, wie in anderen Bundesstaaten.

Bei sensiblen Daten steigt der Maßstab. Sensible Daten zu erheben, zu verarbeiten oder zu teilen ist nur erlaubt, wenn es unbedingt nötig ist, um das angefragte Produkt oder den angefragten Dienst anzubieten oder aufrechtzuerhalten. Und der Verkauf sensibler Daten ist auch mit Einwilligung verboten. Der Generalstaatsanwalt von Maryland wiederholt beide Regeln auf seiner Seite zum Gesetz.

Für unter 18-Jährige verbietet das Gesetz, die Daten für gezielte Werbung zu nutzen, wenn das Unternehmen das Alter kannte oder kennen musste, und schränkt auch den Verkauf der Daten dieser Jugendlichen ein. Der Test kennen musste ist weiter gefasst als der der tatsächlichen Kenntnis in anderen Bundesstaaten.

In der Praxis muss eine Gesundheitswebsite, die Anzeigen-Skripte das Thema jedes Artikels lesen und an Partner weitergeben lässt, oder eine Finanzwebsite, die Antworten eines Simulators weitergibt, diesen Ablauf neu bewerten. Kontextbezogene Anzeigen und Messung ohne Profil bleiben möglich.

Rechte der Personen

Was der Einwohner von Maryland verlangen kann

Die Antwort muss innerhalb von 45 Tagen kommen, mit Verlängerung um weitere 45, wenn innerhalb der ersten Frist informiert wird. Der erste Antrag in jeweils 12 Monaten ist kostenlos, und der Widerspruch braucht eine schriftliche Antwort innerhalb von 60 Tagen.

Bestätigen und Zugriff

Wissen, ob das Unternehmen Daten über sie verarbeitet, und Zugriff auf diese Daten haben.

Berichtigen und löschen

Falsche Daten berichtigen und die Löschung personenbezogener Daten verlangen, mit den Ausnahmen des Gesetzes.

Übertragbarkeit

Eine übertragbare Kopie der automatisiert verarbeiteten Daten erhalten.

Liste der Dritten

Die Liste der Kategorien von Dritten erhalten, die seine Daten erhalten haben, oder die aller Verbraucher, wenn das Unternehmen nicht pro Person aufzeichnet.

Zielgerichtete Anzeigen und Verkauf ablehnen

Verlangen, dass die Daten nicht für gezielte Werbung genutzt und nicht verkauft werden, auch durch ein universelles Signal wie GPC oder durch einen bevollmächtigten Vertreter.

Profiling ablehnen und Einwilligung widerrufen

Bestimmtes automatisiertes Profiling ablehnen und eine erteilte Einwilligung widerrufen. Nach dem Widerruf hat das Unternehmen bis zu 30 Tage, um aufzuhören.

Pflichten der Website

Was eine erfasste Website einsatzbereit haben muss

  1. Vollständige DatenschutzhinweiseDie Erklärung muss die Kategorien verarbeiteter Daten, auch sensibler, die Zwecke, die Ausübung der Rechte, den Widerspruch und den Widerruf der Einwilligung, die Kategorien von Dritten und die Art des Geschäfts jedes einzelnen, die Kategorien geteilter Daten und eine aktive E-Mail-Adresse oder einen anderen Online-Kontakt enthalten.
  2. Verkauf und zielgerichtete Anzeigen offenlegenWenn die Website Daten verkauft, gezielte Werbung oder bestimmtes Profiling betreibt, muss sie das klar und sichtbar sagen und erklären, wie man ablehnt.
  3. Das universelle Signal akzeptierenSeit dem 1. Oktober 2025 muss das Opt-out bei Verkauf und gezielter Werbung, das über ein Präferenzsignal wie GPC gesendet wird, akzeptiert werden.
  4. Sicherer Kanal für AnträgeDas Unternehmen bietet ein sicheres und zuverlässiges Mittel für Anträge an und darf nicht verlangen, dass der Verbraucher ein neues Konto erstellt.
  5. Bewertung für jeden AlgorithmusVerarbeitungen mit erhöhtem Risiko wie gezielte Werbung, Verkauf, sensible Daten und bestimmtes Profiling erfordern eine regelmäßige Bewertung. Das Gesetz verlangt auch die Bewertung jedes genutzten Algorithmus. Die Regel gilt für Verarbeitungen ab dem 1. Oktober 2025.
  6. Verträge mit AuftragsverarbeiternAnbieter, die Daten verarbeiten, brauchen einen Vertrag mit Anweisungen, Datenart, Dauer, Vertraulichkeit, Sicherheit, Löschung oder Rückgabe und Zusammenarbeit bei den Bewertungen.

Durchsetzung und Strafen

Wer kontrolliert und was ein Fehler kostet

Das Gesetz wird von der Verbraucherschutzabteilung des Generalstaatsanwalts von Maryland durchgesetzt. Der Verstoß gilt nach dem Verbraucherschutzgesetz des Bundesstaats als unlautere, missbräuchliche oder irreführende Geschäftspraktik.

Bis zu 10.000 US-Dollar pro Verstoß

Die Strafe kann bis zu 10.000 US-Dollar pro Verstoß betragen.

Bis zu 25.000 US-Dollar bei Wiederholung

Wiederholte Verstöße können bis zu 25.000 US-Dollar pro Verstoß kosten. Der Generalstaatsanwalt kann außerdem eine gerichtliche Anordnung, Rückerstattung und die Herausgabe von Gewinnen verlangen.

Optionale Abhilfefrist

Bei Verstößen bis zum 1. April 2027 kann die Abteilung benachrichtigen und mindestens 60 Tage zur Behebung einräumen, wenn eine Behebung möglich ist. Das liegt in ihrem Ermessen, ist keine Garantie.

Kriterien der Abteilung

Bei der Entscheidung über die Frist berücksichtigt die Abteilung unter anderem die Zahl der Verstöße, die Größe des Unternehmens und ob der Mangel menschlich oder technisch war.

Zeitleiste

Die Termine des MODPA

Im November 2026 ist das Gesetz in Kraft, erfasst Verarbeitungen seit April 2026 und hat noch die optionale Abhilfefrist.

  1. 2024

    Gesetz verabschiedet

    Maryland verabschiedet den Online Data Privacy Act.

  2. 1. Oktober 2025

    Inkrafttreten

    Das Gesetz gilt, mit verpflichtendem universellem Signal und Bewertungen für Verarbeitungen, die ab diesem Datum beginnen.

  3. 1. April 2026

    Erfasste Verarbeitungen

    Das Gesetz erfasst keine Verarbeitungstätigkeiten vor diesem Datum, das den tatsächlichen Beginn der Durchsetzung markiert.

  4. 1. April 2027

    Ende der optionalen Abhilfefrist

    Der Zeitraum endet, in dem die Abteilung mindestens 60 Tage zur Behebung einräumen kann, bevor sie handelt.

Websites mit AdSense und Ad Manager

GPC verpflichtend und der Weg des Opt-outs bis zu Google

Seit dem 1. Oktober 2025 muss die erfasste Website das Opt-out bei Verkauf und gezielter Werbung akzeptieren, das über ein Präferenzsignal wie die Global Privacy Control (GPC) gesendet wird. Der Mechanismus darf nicht standardmäßig eingeschaltet sein und muss bestätigen lassen, dass der Besucher im Bundesstaat wohnt.

Google bietet in AdSense und Ad Manager unter Datenschutz und Mitteilungen eine Meldung zu US-Bundesstaatsvorschriften an, und Maryland gehört zu den unterstützten Bundesstaaten. Die Meldung zeigt den Link Do Not Sell or Share. Die Ablehnung aktiviert die eingeschränkte Datenverarbeitung (RDP), und Google nutzt das frühere Verhalten nicht mehr zur Auswahl von Anzeigen.

Zum GPC sagt Google, dass der Partner, der das Signal umgesetzt hat, wählen kann, das RDP einzuschalten, wenn er ein Opt-out-GPC erhält. Die Konfiguration liegt bei der Website oder der CMP und kann im Tag erfolgen, mit dem Parameter restrictDataProcessing von GPT oder dem Attribut data-restrict-data-processing von AdSense.

Das IAB Tech Lab hat bereits einen eigenen GPP-Abschnitt für Maryland veröffentlicht, der aber nicht auf der Liste der von Google akzeptierten Abschnitte steht. Für Google ist der Weg der Abschnitt US National. Denken Sie daran, dass das Opt-out nur ein Teil ist: In Maryland gelten die Minimierung und das Verbot, sensible Daten zu verkaufen, auch für alle, die nie etwas abgelehnt haben.

In der Praxis

Was in Maryland erlaubt ist und was nicht

Beispiele für eine Website mit Traffic aus Maryland, die mit programmatischen Anzeigen Geld verdient.

Erlaubt

  • Kontextbezogene Anzeigen zeigen, nach dem Thema der Seite ausgewählt
  • Das Opt-out anwenden, wenn der Browser der Besucher GPC sendet
  • Das Opt-out über den Abschnitt US National der GPP oder die Google-Meldung an Google weitergeben
  • Vom Besucher angegebene Gesundheitsdaten nutzen, um den angefragten Dienst zu liefern, wenn es unbedingt nötig ist
  • In der Erklärung die Art des Geschäfts jeder Kategorie von Dritten angeben, etwa Werbenetzwerk oder Messung

Nicht erlaubt

  • Genauen Standort oder Gesundheitsdaten verkaufen, auch mit Einwilligung
  • Gezielte Werbung für alle zeigen, von denen Sie wissen oder wissen müssten, dass sie unter 18 sind
  • Den Werbepartnern das Gesundheitsthema weitergeben, das jeder Besucher gelesen hat
  • In Formularen zusätzliche Daten erheben, nur weil sie eines Tages nützlich sein könnten
  • GPC ignorieren und weiter personalisierte Anzeigen anfordern

Häufige Fehler

Wo Websites beim MODPA stolpern

Einstellungen, die in anderen Bundesstaaten genügen, genügen in Maryland vielleicht nicht.

Annehmen, dass das Opt-out alles löst

Die Website bietet ein Opt-out, erhebt aber weiter Daten, die für den angefragten Dienst nicht nötig sind. In Maryland gilt die Minimierung für alle.

Pixel auf Gesundheitsseiten

Anzeigen- und Mess-Skripte erhalten die Adresse von Artikeln über Krankheiten oder Schwangerschaft. Das kann Gesundheitsdaten von Verbrauchern offenbaren.

Verkauf sensibler Daten mit Einwilligung

Die Website holt eine Einwilligung ein, um genauen Standort an Partner weiterzugeben. In Maryland ist dieser Verkauf auch mit Einwilligung verboten.

Altershinweise ignorieren

Die Website hat Inhalte für Jugendliche, zeigt aber allen gezielte Werbung. Der Test kennen musste kann gegen sie sprechen.

GPC nur in Kalifornien

Die CMP wendet GPC nur für Kalifornien an und ignoriert das Signal von Besuchern aus Maryland.

Bundesstaat-Abschnitt allein in der GPP

Die CMP sendet nur den Abschnitt von Maryland, den Google nicht liest. Ohne US National erreicht das Opt-out Google nicht.

In ConsentMode

Was die Prüfung für Maryland kontrolliert

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link in der Fußzeile, im Menü und in der Datenschutzmeldung.
  • Aktiviert das GPC-Signal im Browser des Audits und vergleicht die Seite und die Anzeigenanfragen mit und ohne das Signal.
  • Liest die GPP-String, prüft, ob der Abschnitt US National existiert, und erfasst das Opt-out.
  • Listet die Skripte und Partner auf, die auf Seiten mit sensiblen Themen wie Gesundheit und Finanzen laden, und zeigt, was an sie gesendet wird.
  • Prüft, ob die Datenschutzseite Datenkategorien, Zwecke, Arten von Dritten, Rechte, Widerspruch, Widerruf der Einwilligung und Kontakt enthält.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Warum heißt Maryland das strengste Gesetz?

Weil es neben dem Opt-out die Erhebung auf das für den angefragten Dienst Nötige begrenzt, den Verkauf sensibler Daten auch mit Einwilligung verbietet und gezielte Werbung für unter 18-Jährige verbietet, wenn das Unternehmen das Alter kannte oder kennen musste.

Kann ich in Maryland weiter personalisierte Anzeigen nutzen?

Das Gesetz verbietet gezielte Werbung für Erwachsene nicht. Der Besucher kann ablehnen, auch per GPC, und die Erhebung muss die Minimierung respektieren. Für unter 18-Jährige ist gezielte Werbung verboten, wenn das Unternehmen das Alter kannte oder kennen musste.

Muss ich den GPC beachten?

Ja, wenn das Gesetz für Ihre Website gilt. Seit dem 1. Oktober 2025 muss das über ein Präferenzsignal gesendete Opt-out akzeptiert werden.

Wann hat die Durchsetzung tatsächlich begonnen?

Das Gesetz gilt seit dem 1. Oktober 2025, erfasst aber keine Verarbeitungstätigkeiten vor dem 1. April 2026. Bis zum 1. April 2027 kann die Abteilung noch eine Abhilfefrist anbieten, wenn sie will.

Mein Verein ist gemeinnützig. Bin ich ausgenommen?

Nicht unbedingt. Maryland nimmt nur gemeinnützige Organisationen aus, die Daten ausschließlich verarbeiten, um der Polizei bei Versicherungsbetrug oder Rettungskräften bei Katastrophen zu helfen.

Macht ConsentMode meine Website konform?

ConsentMode ist weder CMP noch Anwaltskanzlei. Die Prüfung zeigt, was die Website tatsächlich mit Opt-out, GPC, GPP, Skripten von Drittanbietern und Datenschutzseite macht, damit Sie es mit Ihrem Anbieter und Ihrem Anwalt beheben.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Sehen Sie, was Ihre Website in Maryland an Partner weitergibt

Das Audit öffnet die Website als US-Besucher, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten