Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

MCDPA: das Gesetz von Minnesota und seine neuartigen Rechte

Der Minnesota Consumer Data Privacy Act gilt seit dem 31. Juli 2025 und brachte Rechte, die andere Bundesstaaten nicht hatten, etwa das Hinterfragen des Ergebnisses eines automatisierten Profils. In diesem Leitfaden verstehen Sie, wer ihn einhalten muss, das Dateninventar, das verpflichtende GPC und was sich für eine Website mit AdSense oder Ad Manager ändert.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf Kapitel 325M der Gesetze von Minnesota und auf dem Generalstaatsanwalt des Bundesstaats
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
100.000Verbraucher aus Minnesota pro Jahr: die wichtigste Schwelle des Gesetzes
25%des Umsatzes aus dem Verkauf von Daten: damit genügen 25.000 Verbraucher
45 Tageum Anfragen zu beantworten und ein Opt-out anzuwenden
7.500 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß

Was es ist

Ein Datenschutzgesetz mit Rechten über das Opt-out hinaus

Der Minnesota Consumer Data Privacy Act, kurz MCDPA, ist das allgemeine Datenschutzgesetz von Minnesota. Er wurde am 19. Mai 2024 unterzeichnet, steht in Kapitel 325M der Gesetze des Bundesstaats und trat am 31. Juli 2025 in Kraft. Staatlich regulierte Hochschulen müssen ihn erst ab dem 31. Juli 2029 einhalten.

Die Grundlage ist dieselbe wie bei den Gesetzen von Connecticut und Colorado: Auskunft, Berichtigung, Löschung, Übertragbarkeit und Ablehnung von gezielter Werbung, Verkauf und automatisierten Profilen. Die erfasste Website muss außerdem universelle Opt-out-Signale wie das GPC respektieren.

Minnesota ging in zwei Punkten weiter. Der Verbraucher kann das Ergebnis eines automatisierten Profils hinterfragen, das zu einer wichtigen Entscheidung über ihn geführt hat. Und das Unternehmen muss ein Inventar der verarbeiteten Daten führen und seine Datenschutzrichtlinien dokumentieren, mit dem Namen der verantwortlichen Person.

Für eine Website mit Anzeigen wiegt weiterhin das Übliche am schwersten: ein funktionierendes Opt-out, respektiertes GPC und eine vollständige Datenschutzseite. Doch die neuen internen Pflichten zeigen, dass Minnesota von Unternehmen, die Daten in großem Umfang verarbeiten, mehr Organisation erwartet.

Checkliste

Was Sie erfüllen müssen

Wenn Ihre Website die Schwellen des MCDPA überschreitet, müssen diese Punkte funktionieren.

  1. Das universelle Opt-out-Signal respektieren

    Die Website muss das Opt-out akzeptieren, das über ein Präferenzsignal wie das GPC gesendet wird und vom Besucher selbst eingeschaltet wurde. Das Signal darf nicht standardmäßig eingeschaltet sein.

    Beispiel

    Besucher mit aktiviertem GPC: Die Website schaltet die eingeschränkte Datenverarbeitung von Google nur für ihn ein.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Opt-out außerhalb der Datenschutzerklärung

    Wer Daten verkauft, zielgerichtete Werbung oder Profiling betreibt, braucht eine klare und sichtbare Methode zum Ablehnen, außerhalb des Textes der Erklärung.

    Beispiel

    Ein Link in der Fußzeile namens Your Opt-Out Rights oder Your Privacy Rights.

  3. Link mit dem Wort privacy

    Die Datenschutzerklärung muss über einen sichtbaren Link mit dem Wort privacy von der Startseite aus erreichbar sein.

    Beispiel

    Link Privacy Policy in der Fußzeile der Startseite.

  4. Erklärung mit den Sätzen, die Google verlangt

    AdSense verlangt, dass die Datenschutzerklärung auf die Werbe-Cookies von Google und anderen Anbietern hinweist. Sie muss außerdem sagen, wie der Besucher personalisierte Anzeigen ablehnt.

    Beispiel

    Drittanbieter, einschließlich Google, verwenden Cookies, um Anzeigen auf Basis früherer Besuche auf Ihrer Website oder anderen Websites zu zeigen. Sie können personalisierte Werbung in den Anzeigeneinstellungen von Google deaktivieren.

  5. Frist von 45 Tagen

    Das Opt-out gilt so bald wie möglich, spätestens nach 45 Tagen. Auch die übrigen Anfragen haben 45 Tage, mit einer möglichen Verlängerung.

  6. Einwilligung für sensible Daten

    Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Wenn der Besucher die Einwilligung widerruft, endet die Nutzung innerhalb von 15 Tagen.

    Beispiel

    Der Widerruf der Einwilligung muss so einfach sein wie die Erteilung, zum Beispiel mit demselben Button an derselben Stelle.

  7. Jugendliche von 13 bis 16 Jahren

    Wenn Sie wissen, dass der Besucher zwischen 13 und 16 Jahre alt ist, brauchen Sie seine Einwilligung, um die Daten für zielgerichtete Werbung zu nutzen oder zu verkaufen.

  8. Verzeichnis und dokumentierte Richtlinien

    Führen Sie ein Verzeichnis der Daten, die die Website verarbeitet. Dokumentieren Sie die Datenschutzrichtlinien mit Name und Kontakt der verantwortlichen Person.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Minnesota weder eine zertifizierte CMP noch GPP, daher können Sie die Meldung von Google selbst oder eine CMP mit GPP nutzen.

Wer es einhalten muss und Definitionen

Die Schwellen des MCDPA und die Schlüsselbegriffe des Gesetzes

Das Gesetz gilt für alle, die in Minnesota geschäftlich tätig sind oder Produkte und Dienste anbieten, die sich an Einwohner des Bundesstaats richten, und in einem Kalenderjahr eine der folgenden Schwellen überschreiten. Es gibt keine allgemeine Ausnahme für gemeinnützige Einrichtungen. Personenbezogene Daten sind alle Informationen, die mit einer Person verbunden sind oder verbunden werden können, etwa Cookies und Werbekennungen.

100.000 Verbraucher

Kontrolliert oder verarbeitet Daten von mindestens 100.000 Verbrauchern aus Minnesota. Daten, die nur zum Abschluss einer Zahlung genutzt werden, zählen nicht.

25.000 und Datenverkauf

Kontrolliert oder verarbeitet Daten von mindestens 25.000 Verbrauchern und erzielt mehr als 25 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten.

Kleinunternehmen

Kleinunternehmen nach der US-Bundesdefinition sind von den meisten Teilen des Gesetzes ausgenommen, dürfen aber keine sensiblen Daten ohne vorherige Einwilligung verkaufen.

Sensibles Datum

Rassische oder ethnische Herkunft, religiöse Überzeugung, Gesundheit, sexuelle Orientierung, Einwanderungsstatus, biometrische oder genetische Daten, die die Person identifizieren, Daten bekannter Kinder und genauer Standort.

Verkauf

Der Austausch personenbezogener Daten gegen Geld oder eine andere wertvolle Gegenleistung. Weitergaben an Auftragsverarbeiter, an Unternehmen derselben Gruppe und bei Fusionen sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die mit Daten über die Aktivität des Besuchers im Zeitverlauf auf Websites und Apps anderer Unternehmen ausgewählt wird. Eigene Anzeigen, kontextbezogene Anzeigen und Leistungsmessung zählen nicht.

Rechte der Personen

Was die Einwohner von Minnesota verlangen können

Die Antwort muss innerhalb von 45 Tagen erfolgen, mit einer Verlängerung um weitere 45 Tage, wenn sie innerhalb der ersten Frist mitgeteilt wird. Zwei Anfragen pro Jahr sind kostenlos. Das Opt-out erfordert keinen Identitätsnachweis.

Bestätigen und Zugriff

Wissen, ob das Unternehmen seine Daten verarbeitet, und die Kategorien der verarbeiteten Daten kennen.

Berichtigen, löschen und mitnehmen

Falsche Daten berichtigen, die Löschung verlangen und eine übertragbare Kopie der Daten erhalten.

Zielgerichtete Anzeigen und Verkauf ablehnen

Verlangen, dass die Daten nicht für zielgerichtete Werbung verwendet und nicht verkauft werden, auch über ein universelles Signal wie den GPC.

Automatisierte Profilbildung ablehnen

Profile ablehnen, die für Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung genutzt werden, etwa bei Wohnen, Versicherung, Bildung, Beschäftigung, Gesundheit oder Finanzdienstleistungen.

Ein Profil hinterfragen

Das Ergebnis eines Profils hinterfragen, das zu einer wichtigen Entscheidung geführt hat, die Gründe verstehen und die genutzten Daten überprüfen.

Liste der Dritten

Die Liste der konkreten Dritten erhalten, die seine Daten bekommen haben, oder die Liste aller Dritten, wenn das Unternehmen nicht pro Person erfasst.

Was in Minnesota anders ist

Profile hinterfragen und ein Dateninventar führen

Das Recht, Profile zu hinterfragen, ist die größte Neuerung des Gesetzes. Führt ein automatisiertes Profil zu einer Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung, kann der Verbraucher das Ergebnis hinterfragen, die Gründe erfahren und, wenn möglich, wissen, was er hätte tun können, um eine andere Entscheidung zu erhalten. Er kann auch die genutzten Daten überprüfen und, wenn sie falsch sind, eine Berichtigung und eine neue Bewertung verlangen.

Der Generalstaatsanwalt von Minnesota betonte, dass diese Rechte mit oder ohne künstliche Intelligenz gelten. Für die meisten Inhaltswebsites kommt dieses Recht selten vor, ist aber wichtig für Websites mit Kredit-Vorprüfung, Versicherungsangeboten oder Bewerberauswahl.

Die zweite Neuerung ist intern. Das Gesetz verlangt angemessene Sicherheit, einschließlich eines Inventars der Daten, die das Unternehmen verarbeitet. Es verlangt auch, dass das Unternehmen seine Datenschutzrichtlinien und Verfahren dokumentiert, mit Name und Kontakt der Hauptverantwortlichen, etwa eines Datenschutzbeauftragten, sofern vorhanden.

Für alle, die von Anzeigen leben, ist das Inventar eine gute Übung: auflisten, welche Skripte und Anzeigenpartner auf der Website laufen, welche Daten jeder erhält und wohin sie gehen. Es ist dieselbe Übersicht, die hilft, die Liste der Dritten zu beantworten, die der Verbraucher verlangen kann.

Pflichten der Website

Was eine erfasste Website einsatzbereit haben muss

  1. Vollständige DatenschutzhinweiseDie Erklärung muss die Datenkategorien und Zwecke enthalten, wie die Rechte ausgeübt und Rechtsmittel eingelegt werden, die Kategorien verkaufter oder weitergegebener Daten und ihrer Empfänger, einen Kontakt per E-Mail oder Online-Weg, die Aufbewahrungsrichtlinie und das Datum der letzten Aktualisierung.
  2. Link mit dem Wort privacyDie Erklärung muss über einen sichtbaren Link mit dem Wort privacy auf der Startseite erreichbar sein, in Apps auch in den Einstellungen.
  3. Opt-out außerhalb des HinweisesWer Daten verkauft, gezielte Werbung betreibt oder Profile erstellt, muss das Opt-out außerhalb des Richtlinientexts anbieten, zum Beispiel über einen Link namens Your Opt-Out Rights oder Your Privacy Rights.
  4. Einwilligung ohne TricksSensible Daten nur mit Einwilligung, die nicht gilt, wenn sie durch irreführende Voreinstellung oder durch Zustimmung zu allgemeinen Bedingungen erlangt wurde. Widerruft der Verbraucher die Einwilligung, muss die Nutzung innerhalb von 15 Tagen enden.
  5. Schutz für JugendlicheWeiß das Unternehmen, dass der Verbraucher 13 bis 16 Jahre alt ist, darf es seine Daten ohne Einwilligung weder für gezielte Werbung nutzen noch verkaufen.
  6. Datenschutz-FolgenabschätzungGezielte Werbung, Verkauf, sensible Daten und riskante Profile erfordern eine dokumentierte Bewertung, die der Generalstaatsanwalt bei einer Untersuchung anfordern kann.

Durchsetzung und Strafen

Wer kontrolliert und was ein Fehler kostet

Nur der Generalstaatsanwalt von Minnesota überwacht das Gesetz. Ein Verbraucher, dessen Rechtsmittel abgelehnt wurde, kann sich beim Generalstaatsanwalt beschweren.

Abhilfefrist abgelaufen

In den ersten sechs Monaten musste der Generalstaatsanwalt eine Mitteilung senden und 30 Tage zur Behebung gewähren. Diese Regel lief am 31. Januar 2026 aus.

Bis zu 7.500 US-Dollar pro Verstoß

Die zivilrechtliche Strafe kann bis zu 7.500 US-Dollar pro Verstoß betragen, dazu kommt eine gerichtliche Anordnung, die Praxis einzustellen.

Verfahrenskosten

Gewinnt der Staat, kann das Gericht das Unternehmen verpflichten, einen Teil oder alle Verfahrenskosten zu zahlen.

Dokumentiertes Rechtsmittel

Das Unternehmen entscheidet über das Rechtsmittel innerhalb von 45 Tagen, verlängerbar um weitere 60, und bewahrt die Dokumentation der Rechtsmittel mindestens 24 Monate auf.

Zeitleiste

Die Daten des MCDPA

Im November 2026 ist das Gesetz seit mehr als einem Jahr in Kraft und die Frist zur Behebung ist bereits abgelaufen.

  1. 19. Mai 2024

    Unterzeichnung

    Minnesota verabschiedet den Consumer Data Privacy Act.

  2. 31. Juli 2025

    Inkrafttreten

    Das Gesetz tritt in Kraft, mit verpflichtendem GPC und einer Behebungsfrist von 30 Tagen.

  3. 31. Januar 2026

    Ende der Abhilfefrist

    Die Regel läuft aus, die den Generalstaatsanwalt verpflichtete, vor dem Vorgehen 30 Tage zur Behebung zu gewähren.

  4. 31. Juli 2029

    Hochschulen

    Staatlich regulierte Hochschulen müssen das Gesetz nun einhalten.

Websites mit AdSense und Ad Manager

GPC verpflichtend und der Weg des Opt-outs bis zu Google

In Minnesota muss die erfasste Website universelle Opt-out-Signale respektieren, die mit Zustimmung des Besuchers gesendet werden, etwa die Global Privacy Control, kurz GPC. Das Gesetz sagt, dass die IP-Adresse genügt, um zu erkennen, ob der Besucher im Bundesstaat wohnt. Steht das Signal im Konflikt mit einem Treueprogramm, gilt das Signal, und die Website darf um Bestätigung bitten.

Google bietet in AdSense und Ad Manager eine Meldung zu den Vorschriften der US-Bundesstaaten an, unter Datenschutz und Mitteilungen, und Minnesota gehört zu den abgedeckten Bundesstaaten. Die Meldung zeigt den Link Do Not Sell or Share. Die Ablehnung aktiviert die eingeschränkte Datenverarbeitung, kurz RDP, und Google nutzt das frühere Verhalten nicht mehr zur Auswahl von Anzeigen.

Zum GPC sagt Google, dass der Partner, der das Signal umgesetzt hat, wählen kann, das RDP einzuschalten, wenn er ein Opt-out-GPC erhält. Die Konfiguration liegt bei der Website oder der CMP und kann im Tag erfolgen, mit dem Parameter restrictDataProcessing von GPT oder dem Attribut data-restrict-data-processing von AdSense.

Das IAB Tech Lab hat bereits einen GPP-Abschnitt speziell für Minnesota veröffentlicht, doch er steht nicht auf der Liste der von Google akzeptierten Abschnitte. Für Google führt der Weg über den Abschnitt US National, in dem die Ablehnung von Verkauf, Weitergabe oder gezielter Werbung die RDP aktiviert.

In der Praxis

Was in Minnesota erlaubt ist und was nicht

Beispiele für eine Website mit Traffic aus Minnesota, die mit programmatischen Anzeigen Geld verdient.

Erlaubt

  • Die IP-Adresse nutzen, um Besucher aus Minnesota zu erkennen und das GPC anzuwenden
  • Kontextbezogene Anzeigen für Besucher zeigen, die abgelehnt haben oder mit eingeschaltetem GPC kamen
  • In der Fußzeile einen Link namens Your Privacy Rights für das Opt-out platzieren
  • Dem Verbraucher die Liste aller Dritten geben, wenn die Website nicht pro Person erfasst
  • Bewertungen nutzen, die für andere Bundesstaaten erstellt wurden, wenn sie dieselbe Verarbeitung abdecken

Nicht erlaubt

  • Einen Ausweis verlangen, um ein Opt-out anzunehmen
  • Irreführende Schaltflächen nutzen, um die Einwilligung für sensible Daten zu erzwingen
  • Daten von Jugendlichen zwischen 13 und 16 Jahren ohne Einwilligung für zielgerichtete Anzeigen verwenden
  • Eine Richtlinie ohne Aufbewahrungsrichtlinie und ohne Aktualisierungsdatum veröffentlichen
  • Länger als 45 Tage brauchen, um eine Opt-out-Anfrage umzusetzen

Häufige Fehler

Wo Websites beim Gesetz von Minnesota stolpern

Minnesota verlangt mehr Angaben in der Richtlinie und mehr interne Organisation als die meisten Bundesstaaten.

Unvollständige Richtlinie

Die Datenschutzseite sagt nichts zur Aufbewahrung der Daten und zeigt kein Datum der letzten Aktualisierung, beides in Minnesota vorgeschriebene Angaben.

Kein Dateninventar

Niemand kann sagen, welche Anzeigenskripte auf der Website laufen und was jedes erhält. Die Liste der Dritten lässt sich so nicht beantworten.

GPC nur in Kalifornien

Die CMP wendet das GPC nur für Kalifornien an und ignoriert das Signal von Besuchern aus Minnesota.

Opt-out mit Bürokratie

Das Opt-out-Formular verlangt Login oder Ausweis. Das Gesetz sagt, dass das Opt-out keine Authentifizierung braucht.

Bundesstaat-Abschnitt allein in der GPP

Die CMP sendet nur den Abschnitt von Minnesota, den Google nicht liest. Ohne US National erreicht das Opt-out Google nicht.

Opt-out, das die Anzeigen nicht ändert

Die Besucher lehnen ab, aber die Anzeigenanfragen laufen weiter ohne RDP und ohne Opt-out in der GPP-String.

In ConsentMode

Was die Prüfung für Minnesota kontrolliert

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link und den Link mit dem Wort privacy auf der Startseite.
  • Aktiviert das GPC-Signal im Browser des Audits und vergleicht die Seite und die Anzeigenanfragen mit und ohne das Signal.
  • Liest die GPP-String, prüft, ob der Abschnitt US National existiert, und erfasst das Opt-out.
  • Listet die Skripte und Anzeigenpartner auf, die auf der Seite laden, als Ausgangspunkt für das Dateninventar.
  • Prüft, ob die Datenschutzseite Kategorien, Zwecke, Dritte, Rechte, Rechtsmittel, Kontakt, Aufbewahrung und Aktualisierungsdatum enthält.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Betrifft das Recht, Profile zu hinterfragen, eine Inhaltswebsite?

In den meisten Fällen kaum. Es gilt für Profile, die zu Entscheidungen mit rechtlicher oder ähnlicher Wirkung führen, etwa bei Kredit, Versicherung, Wohnen oder Beschäftigung. Anzeigen auszuwählen ist meist keine solche Entscheidung, aber Websites mit Kredit-Vorprüfung oder Bewerberauswahl sollten sich vorbereiten.

Muss ich das GPC in Minnesota respektieren?

Ja, wenn das Gesetz für Ihre Website gilt. Das Gesetz verlangt, universelle Opt-out-Signale zu respektieren, und akzeptiert die IP-Adresse, um zu erkennen, ob der Besucher im Bundesstaat wohnt.

Was ist das Dateninventar?

Es ist eine vom Unternehmen geführte Liste der Daten, die es verarbeitet. Das Gesetz zählt das Inventar zu den angemessenen Sicherheitspraktiken.

Mein Unternehmen ist klein. Bin ich frei?

Fast. Kleinunternehmen nach der US-Bundesdefinition sind von den meisten Teilen des Gesetzes ausgenommen, dürfen aber keine sensiblen Daten ohne vorherige Einwilligung verkaufen.

Gibt es nach einer Mitteilung noch eine Frist zur Behebung?

Nein. Die Frist von 30 Tagen galt bis zum 31. Januar 2026. Seitdem kann der Generalstaatsanwalt ohne diese Frist handeln.

Macht ConsentMode meine Website konform?

ConsentMode ist weder eine CMP noch eine Anwaltskanzlei. Das Audit zeigt, was die Website mit dem Opt-out, dem GPC, GPP und der Datenschutzseite tatsächlich tut, damit Sie es mit Ihrem Anbieter und Ihrer Anwältin oder Ihrem Anwalt korrigieren können.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob Ihre Website Minnesota bedient

Das Audit öffnet die Website als US-Besucher, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten