Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

MTCDPA: Das Gesetz von Montana wurde 2025 strenger

Der Montana Consumer Data Privacy Act gilt seit dem 1. Oktober 2024 und wurde durch eine Änderung verstärkt, die am 1. Oktober 2025 in Kraft trat. In diesem Leitfaden verstehen Sie die neuen Schwellen, das Ende der Abhilfefrist, das universelle Opt-out-Signal und was sich für eine Website mit AdSense oder Ad Manager ändert.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf dem Montana Code und dem Justizministerium des Bundesstaats
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
25.000Verbraucher aus Montana pro Jahr: die Schwelle seit der Änderung von 2025
15.000Verbraucher genügen, wenn mehr als 25 % des Bruttoumsatzes aus dem Verkauf von Daten stammen
45 Tageum Anfragen zu beantworten, mit einer Verlängerung um weitere 45 Tage
7.500 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß, durch die Änderung von 2025 eingeführt

Was es ist

Ein Datenschutzgesetz, das schon eine Reform erlebt hat

Der Montana Consumer Data Privacy Act, kurz MTCDPA, ist das allgemeine Datenschutzgesetz von Montana. Er wurde 2023 verabschiedet, steht in Titel 30, Kapitel 14, Teil 28 des Montana Code und trat am 1. Oktober 2024 in Kraft.

Das Modell folgt dem von Connecticut. Besucher können auf ihre Daten zugreifen, sie berichtigen, löschen und mitnehmen, und sie können den Verkauf, zielgerichtete Werbung und bestimmte automatisierte Profile ablehnen. Sensible Daten dürfen nur mit Einwilligung verwendet werden. Und die erfasste Website muss universelle Opt-out-Signale wie den GPC akzeptieren.

2025 verabschiedete der Bundesstaat die Änderung SB 297, im Mai 2025 unterzeichnet und seit dem 1. Oktober 2025 in Kraft. Sie senkte die Anwendungsschwellen, schaffte die Abhilfefrist vor der Durchsetzung ab, setzte eine Strafe von bis zu 7.500 US-Dollar pro Verstoß fest und schuf neue Regeln für Minderjährige unter 18.

Für eine Website mit Besuchern aus den USA ist Montana zu einem Bundesstaat geworden, auf den man achten muss. Schon mit 25.000 Verbrauchern pro Jahr kann man unter das Gesetz fallen, und es gibt keine garantierte Vorwarnung mehr vor einer Klage des Generalstaatsanwalts.

Checkliste

Was Sie erfüllen müssen

Wenn die Website die Schwellen des MTCDPA überschreitet, ist dies die Basisliste, vom Dringendsten zum weniger Dringenden.

  1. Die Erklärung auf der Startseite mit dem Wort privacy verlinken

    Die Datenschutzerklärung braucht auf der Startseite einen sichtbaren Link, der das Wort privacy verwendet.

    Beispiel

    Fußzeile der Startseite: Privacy Policy.

  2. Einen Ablehnungsweg außerhalb der Erklärung haben

    Wer Daten verkauft oder zielgerichtete Werbung betreibt, braucht einen klaren Ablehnungsweg außerhalb der Datenschutzerklärung.

    Beispiel

    Link in der Fußzeile: Your Opt-Out Rights oder Your Privacy Rights.

  3. Das Präferenzsignal des Browsers akzeptieren

    Seit dem 1. Januar 2025 muss die Website die über ein Präferenzsignal gesendete Ablehnung akzeptieren. Wenn das Signal einer früheren Auswahl widerspricht, gilt das Signal.

    Beispiel

    Besucher mit aktiviertem GPC: Beenden Sie für ihn den Verkauf und die zielgerichtete Werbung.

  4. Einwilligung für sensible Daten und Jugendliche einholen

    Sensible Daten nur mit Einwilligung. Wenn das Unternehmen weiß oder vorsätzlich ignoriert, dass der Besucher zwischen 13 und 15 Jahre alt ist, erfordern auch zielgerichtete Werbung und Verkauf eine Einwilligung.

  5. Die Erklärung vollständig und aktuell halten

    Die Erklärung listet Daten, Zwecke, Dritte, Rechte und eine aktive E-Mail-Adresse auf, mit dem Datum der letzten Aktualisierung. Sie muss in jeder Sprache vorliegen, in der die Website den Dienst anbietet.

    Beispiel

    Oben in der Erklärung: Zuletzt aktualisiert am 3. November 2026.

  6. Kein Konto verlangen und den Widerruf erleichtern

    Der Besucher darf nicht gezwungen werden, ein neues Konto zu erstellen, um Rechte auszuüben. Der Widerruf der Einwilligung muss so einfach sein wie die Erteilung.

  7. Die Datenschutz-Folgenabschätzung durchführen

    Zielgerichtete Werbung, Verkauf, Risikoprofile und sensible Daten erfordern eine dokumentierte Bewertung, die der Generalstaatsanwalt anfordern kann.

  8. Die Ablehnung an Google weitergeben

    Google verlangt für die US-Bundesstaaten keine CMP. Nutzen Sie die Meldung zu Vorschriften von US-Bundesstaaten unter Datenschutz und Messaging oder schalten Sie die eingeschränkte Datenverarbeitung, das RDP, im Tag für Personen ein, die abgelehnt haben. Mit GPP liest Google den Abschnitt US National für Montana.

    Beispiel

    AdSense oder Ad Manager: Datenschutz und Messaging, Karte Vorschriften von US-Bundesstaaten, Erstellen. Wählen Sie danach die Websites aus und veröffentlichen Sie.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die Gesetze der US-Bundesstaaten weder eine zertifizierte CMP noch GPP. Sie können die Meldung von Google selbst nutzen oder das RDP im Tag einschalten.

Wer die Vorgaben erfüllen muss

Die Schwellen nach der Änderung von 2025

Das Gesetz gilt für alle, die in Montana Geschäfte machen oder Produkte und Dienstleistungen anbieten, die sich an Einwohner des Bundesstaats richten, und eine der folgenden Schwellen überschreiten.

25.000 Verbraucher

Kontrolliert oder verarbeitet Daten von mindestens 25.000 Verbrauchern aus Montana. Daten, die nur zum Abschluss einer Zahlung verwendet werden, zählen nicht. Vor der Änderung lag die Schwelle bei 50.000.

15.000 und Datenverkauf

Kontrolliert oder verarbeitet Daten von mindestens 15.000 Verbrauchern und erzielt mehr als 25 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten. Vorher waren es 25.000 Verbraucher.

Regeln für Minderjährige ohne Schwelle

Die Schutzregeln für Minderjährige gelten für jedes Unternehmen, das in Montana Geschäfte macht oder dessen Einwohner anspricht, ohne Anforderung einer Mindestmenge.

Engere Ausnahmen

Die Änderung beschränkte die Ausnahme für gemeinnützige Organisationen auf diejenigen, die Versicherungsbetrug bekämpfen, und ersetzte die weite Ausnahme für Finanzinstitute durch spezifische Ausnahmen für Banken, Kreditgenossenschaften und Versicherer.

Definitionen

Die Begriffe des Gesetzes, in der Sprache von Website-Betreibern

Die Definitionen stehen in Abschnitt 30-14-2802 des Montana Code.

Verbraucher und Minderjährige

Verbraucher ist, wer in Montana wohnt, außerhalb eines geschäftlichen oder beruflichen Kontexts. Erwachsen ist, wer 18 Jahre oder älter ist. Minderjährig ist der Verbraucher unter 18 Jahren.

Sensibles Datum

Rassische oder ethnische Herkunft, Religion, körperliche oder psychische Gesundheit, Sexualleben, sexuelle Orientierung, Einwanderungsstatus, genetische oder biometrische Daten, die die Person identifizieren, Daten bekannter Kinder und genauer Standort.

Verkauf

Der Austausch personenbezogener Daten gegen Geld oder eine andere wertvolle Gegenleistung mit einem Dritten. Weitergaben an Auftragsverarbeiter, an Unternehmen derselben Gruppe und bei Fusionen sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die mit Daten ausgewählt wird, die aus der Aktivität der Besucher im Zeitverlauf auf Websites und in Apps anderer Unternehmen gewonnen oder abgeleitet wurden. Anzeigen nach dem Kontext der Suche oder des Besuchs zählen nicht.

Rechte der Personen

Was Einwohner von Montana verlangen können

Die Antwort muss innerhalb von 45 Tagen erfolgen, mit einer Verlängerung um weitere 45, wenn sie nötig ist und innerhalb der ursprünglichen Frist mitgeteilt wird. Bei einer Ablehnung bietet das Unternehmen einen Rechtsbehelf und antwortet schriftlich innerhalb von 60 Tagen.

Bestätigen und Zugriff

Wissen, ob das Unternehmen Daten über sie verarbeitet, und Zugriff auf diese Daten haben, ohne dass das Unternehmen Geschäftsgeheimnisse offenlegen muss.

Beheben

Die Berichtigung falscher Daten verlangen.

Löschen

Die Löschung der personenbezogenen Daten über sich verlangen.

Übertragbarkeit

Die selbst bereitgestellten Daten in einem übertragbaren Format erhalten, wenn die Verarbeitung automatisiert erfolgt.

Zielgerichtete Anzeigen und Verkauf ablehnen

Verlangen, dass die Daten nicht für zielgerichtete Werbung verwendet und nicht verkauft werden. Das kann über ein universelles Signal wie den GPC geschehen.

Automatisierte Profilbildung ablehnen

Profile ablehnen, die zu Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung führen.

Pflichten der Website

Was eine erfasste Website einsatzbereit haben muss

  1. Vollständige DatenschutzhinweiseDer Hinweis muss die Kategorien der verarbeiteten Daten, die Zwecke, die Kategorien der verkauften oder weitergegebenen Daten, die Kategorien der Dritten, eine aktive E-Mail-Adresse oder einen anderen Kontakt, die Erklärung der Rechte und des Rechtsbehelfs sowie das Datum der letzten Aktualisierung enthalten.
  2. Link mit dem Wort privacyNach der Änderung muss der Hinweis auf der Startseite über einen sichtbaren Link mit dem Wort privacy verlinkt sein und in jeder Sprache verfügbar sein, in der die Website ihre Dienste anbietet.
  3. Opt-out außerhalb des HinweisesWer Daten verkauft oder zielgerichtete Werbung betreibt, muss außerhalb des Datenschutzhinweises einen klaren Ablehnungsweg anbieten, etwa einen Link namens your opt-out rights oder your privacy rights.
  4. Einwilligung für sensible Daten und JugendlicheSensible Daten nur mit Einwilligung. Wenn das Unternehmen weiß oder vorsätzlich ignoriert, dass die Besucher zwischen 13 und 15 Jahre alt sind, braucht es auch für zielgerichtete Werbung und Verkauf eine Einwilligung.
  5. Sorgfalt bei Minderjährigen unter 18Online-Dienste, die bekannte Minderjährige nutzen, erfordern angemessene Sorgfalt, um ein erhöhtes Schadensrisiko zu vermeiden, und spezifische Bewertungen dieses Risikos.
  6. Datenschutz-FolgenabschätzungZielgerichtete Werbung, Verkauf, riskante Profile und sensible Daten erfordern eine dokumentierte Bewertung, die der Generalstaatsanwalt in einer Untersuchung anfordern kann.

Durchsetzung und Strafen

Keine Abhilfefrist seit Oktober 2025

Nur der Generalstaatsanwalt von Montana setzt das Gesetz durch. Verbraucher können das Unternehmen auf dieser Grundlage nicht verklagen, aber über den Kanal des Justizministeriums Beschwerde einlegen.

Ende der Abhilfefrist

Das ursprüngliche Gesetz räumte 60 Tage zur Behebung vor einer Klage ein. Die Änderung von 2025 hat diese Garantie abgeschafft, die erst 2026 ausgelaufen wäre.

Bis zu 7.500 US-Dollar pro Verstoß

Die Änderung setzte eine zivilrechtliche Strafe von bis zu 7.500 US-Dollar pro Verstoß fest. Der Generalstaatsanwalt kann auch eine gerichtliche Anordnung und die Erstattung der Kosten beantragen.

Untersuchung mit Bewertungen

In einer Untersuchung kann der Generalstaatsanwalt Dokumente und die Datenschutz-Folgenabschätzungen des Unternehmens anfordern.

Beschwerdekanal

Das Gesetz verpflichtet den Generalstaatsanwalt, Informationen zu den Pflichten der Unternehmen und einen Online-Kanal für Beschwerden zu veröffentlichen.

Zeitleiste

Die Daten des MTCDPA

In etwas mehr als zwei Jahren hat Montana sein Gesetz verabschiedet, in Kraft gesetzt und reformiert.

  1. 2023

    Gesetz verabschiedet

    Montana verabschiedet den Consumer Data Privacy Act.

  2. 1. Oktober 2024

    Inkrafttreten

    Das Gesetz beginnt zu gelten, mit Schwellen von 50.000 Verbrauchern oder 25.000 bei Datenverkauf und einer Abhilfefrist von 60 Tagen.

  3. 1. Januar 2025

    Universelles Signal verpflichtend

    Die erfasste Website muss das Opt-out vom Verkauf und von zielgerichteter Werbung akzeptieren, das über ein Präferenzsignal wie den GPC gesendet wird.

  4. Mai 2025

    Änderung unterzeichnet

    Der Gouverneur unterzeichnet die SB 297, die das Gesetz reformiert.

  5. 1. Oktober 2025

    Änderung in Kraft

    Es gelten die Schwellen von 25.000 und 15.000 Verbrauchern, die Regeln für Minderjährige, die Strafe von 7.500 US-Dollar und das Ende der Abhilfefrist.

Websites mit AdSense und Ad Manager

GPC verpflichtend und der Weg des Opt-outs bis zu Google

Seit dem 1. Januar 2025 muss die erfasste Website das Opt-out vom Verkauf und von zielgerichteter Werbung akzeptieren, das über ein Präferenzsignal gesendet wird, mit Einwilligung der Besucher. Das bekannteste Beispiel ist die Global Privacy Control, kurz GPC. Wenn das Signal mit einer früheren Einstellung der Besucher kollidiert, gilt das Signal.

Google bietet in AdSense und Ad Manager unter „Datenschutz und Messaging“ eine Meldung zu den Vorschriften der US-Bundesstaaten an, und Montana gehört zu den unterstützten Bundesstaaten. Die Meldung zeigt den Link Do Not Sell or Share, und die Ablehnung schaltet die eingeschränkte Datenverarbeitung ein, genannt RDP, die Anzeigen auf Grundlage des früheren Verhaltens verhindert.

Zum GPC sagt Google, dass der Partner, der das Signal umgesetzt hat, wählen kann, das RDP einzuschalten, wenn er ein Opt-out-GPC erhält. Die Konfiguration liegt bei der Website oder der CMP. Ein direkter Weg ist das Tag: der Parameter restrictDataProcessing von GPT oder das Attribut data-restrict-data-processing von AdSense.

Im GPP des IAB Tech Lab gibt es einen eigenen Abschnitt für Montana, der aber nicht auf der Liste der von Google akzeptierten Abschnitte steht. Für Google ist der Weg der Abschnitt US National, in dem die Ablehnung von Verkauf, Weitergabe oder zielgerichteter Werbung das RDP einschaltet.

In der Praxis

Was in Montana erlaubt ist und was nicht

Beispiele für eine Website mit Traffic aus Montana, die mit programmatischen Anzeigen Geld verdient.

Erlaubt

  • Kontextbezogene Anzeigen für Besucher zeigen, die abgelehnt haben oder mit eingeschaltetem GPC kamen
  • Einen Link in der Fußzeile namens your privacy rights für das Opt-out verwenden, getrennt von der Erklärung
  • Den Abschnitt US National der GPP nutzen, um das Opt-out zu Google zu bringen
  • Einen einzigen Datenschutzhinweis für die USA beibehalten, mit sichtbarem Aktualisierungsdatum
  • Die Besucher um Bestätigung bitten, wenn der GPC mit einer früheren Entscheidung kollidiert, ohne das Signal dennoch anzuwenden

Nicht erlaubt

  • Den GPC ignorieren und für diese Besucher weiter personalisierte Anzeigen anfordern
  • Das Opt-out im Text der Datenschutzerklärung verstecken
  • Daten von Jugendlichen zwischen 13 und 15 Jahren ohne Einwilligung für zielgerichtete Anzeigen verwenden
  • Die Erklärung nur auf Englisch veröffentlichen, wenn die Website auch in einer anderen Sprache angeboten wird
  • Auf eine Mitteilung mit 60 Tagen Frist warten, bevor man korrigiert: Diese Garantie ist im Oktober 2025 abgelaufen

Häufige Fehler

Wo Websites beim Gesetz von Montana stolpern

Die Änderung von 2025 hat viele Websites mit Konfigurationen erwischt, die für die alte Fassung des Gesetzes gemacht waren.

Die alten Schwellen verwenden

Die Website hielt sich für ausgenommen, weil sie weniger als 50.000 Verbraucher aus Montana hat. Mit der neuen Schwelle von 25.000 kann sie darunterfallen.

GPC ignoriert

Die CMP liest den GPC nur für Kalifornien. Montana verlangt dasselbe seit Januar 2025.

Erklärung ohne Datum

Die Datenschutzseite zeigt nicht, wann sie aktualisiert wurde, ein Punkt, den die Änderung zur Pflicht gemacht hat.

Link ohne das Wort privacy

Die Erklärung versteckt sich hinter einem allgemeinen Link wie Bedingungen oder Rechtliches, ohne das Wort privacy auf der Startseite.

Bundesstaat-Abschnitt, den Google nicht liest

Die CMP sendet in der GPP nur den Abschnitt von Montana und lässt US National weg. Das Opt-out erreicht Google nicht.

Opt-out, das die Anzeigen nicht ändert

Die Besucher lehnen ab, aber die Anzeigenanfragen laufen weiter ohne RDP und ohne Opt-out in der GPP-String.

In ConsentMode

Was das Audit für Montana prüft

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link und den Link mit dem Wort privacy auf der Startseite.
  • Aktiviert das GPC-Signal im Browser des Audits und vergleicht die Seite und die Anzeigenanfragen mit und ohne das Signal.
  • Liest die GPP-String, prüft, ob der Abschnitt US National existiert, und erfasst das Opt-out.
  • Erkennt die CMP oder die Meldung von Google zu den Vorschriften der Bundesstaaten am Code der Seite.
  • Prüft, ob die Datenschutzseite Datenkategorien, Dritte, Rechte, Rechtsbehelf, Kontakt und Datum der letzten Aktualisierung enthält.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Was hat sich 2025 in Montana geändert?

Die Änderung SB 297, seit dem 1. Oktober 2025 in Kraft, senkte die Schwellen auf 25.000 Verbraucher oder 15.000 bei mehr als 25 % des Umsatzes aus dem Verkauf von Daten, schaffte die Abhilfefrist ab, setzte eine Strafe von bis zu 7.500 US-Dollar pro Verstoß fest, verlangte mehr Punkte im Datenschutzhinweis und schuf Regeln für Minderjährige unter 18.

Muss ich in Montana den GPC beachten?

Ja, wenn das Gesetz auf Ihre Website anwendbar ist. Seit dem 1. Januar 2025 muss das Opt-out vom Verkauf und von zielgerichteter Werbung, das über ein Präferenzsignal gesendet wird, akzeptiert werden.

Habe ich nach einer Mitteilung noch 60 Tage zur Behebung?

Nein. Die Änderung hat die Pflicht des Generalstaatsanwalts, eine Abhilfefrist einzuräumen, abgeschafft. Er kann direkt handeln.

Meine Website ist nicht für Kinder. Betreffen mich die Regeln für Minderjährige?

Sie können Sie betreffen, wenn Sie wissen oder vorsätzlich ignorieren, dass ein Besucher minderjährig ist. Bei Jugendlichen von 13 bis 15 Jahren erfordern zielgerichtete Werbung und Verkauf eine Einwilligung. Die Regeln für Minderjährige gelten ohne Mengenschwelle.

Liest Google den Abschnitt von Montana in der GPP?

Die Liste der von Google akzeptierten Abschnitte enthält Montana nicht. Um das Opt-out zu Google zu bringen, nutzen Sie den Abschnitt US National, die Meldung von Google zu den Vorschriften der Bundesstaaten oder das RDP im Tag.

Macht ConsentMode meine Website konform?

ConsentMode ist weder eine CMP noch eine Anwaltskanzlei. Das Audit zeigt, was die Website mit dem Opt-out, dem GPC, GPP und der Datenschutzseite tatsächlich tut, damit Sie es mit Ihrem Anbieter und Ihrer Anwältin oder Ihrem Anwalt korrigieren können.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob Ihre Website für das neue Gesetz von Montana bereit ist

Das Audit öffnet die Website als US-Besucher, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten