Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

NDPA: Das Gesetz von Nebraska ohne Mengenschwelle

Der Nebraska Data Privacy Act gilt seit dem 1. Januar 2025 und nutzt weder Umsatzschwellen noch Schwellen bei der Zahl der Verbraucher. In diesem Leitfaden verstehen Sie, wer ihn erfüllen muss, die Regel, die sogar kleine Unternehmen erfasst, das Opt-out über die Browsereinstellung und was sich für eine Website mit AdSense oder Ad Manager ändert.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetz LB 1074 und der Website des Generalstaatsanwalts von Nebraska
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
30 Tageum den Mangel nach der Mitteilung des Generalstaatsanwalts zu beheben
7.500 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß
45 Tageum Anfragen zu beantworten, mit einer Verlängerung um weitere 45 Tage
60 Tageum den Widerspruch eines Verbrauchers zu beantworten, dessen Antrag abgelehnt wurde

Was es ist

Ein Gesetz eines Bundesstaats, das Zahlen durch die Unternehmensgröße ersetzt

Der Nebraska Data Privacy Act, kurz NDPA, ist das allgemeine Datenschutzgesetz von Nebraska. Er wurde 2024 mit dem Entwurf LB 1074 verabschiedet, steht in den Abschnitten 87-1101 bis 87-1130 der Gesetze des Bundesstaats und gilt seit dem 1. Januar 2025.

Der Text folgt dem Modell von Texas. Statt Verbraucher zu zählen oder auf den Umsatz zu schauen, gilt das Gesetz für alle, die in Nebraska Geschäfte machen oder Produkte und Dienstleistungen anbieten, die im Bundesstaat genutzt werden, personenbezogene Daten verarbeiten oder verkaufen und nach der US-Bundesdefinition kein Kleinunternehmen sind.

Die Rechte der Besucher sind dieselben wie in den umfassendsten Gesetzen: Zugang, Berichtigung, Löschung, Übertragbarkeit und Ablehnung von zielgerichteter Werbung, Verkauf und automatisierten Profilen. Sensible Daten erfordern eine Einwilligung.

Für eine Website mit Besuchern aus den USA bedeutet das: Das Traffic-Volumen aus Nebraska ist nicht die richtige Frage. Die Frage ist die Unternehmensgröße. Und selbst ein Kleinunternehmen braucht eine Einwilligung, um sensible Daten zu verkaufen.

Checkliste

Was Sie erfüllen müssen

Wenn Ihr Unternehmen nach Bundesrecht nicht klein ist und Besucher aus Nebraska hat, ist dies die Basisliste.

  1. Eine vollständige Datenschutzerklärung veröffentlichen

    Die Erklärung muss klar und leicht auffindbar sein. Sie listet die verarbeiteten Daten, die Zwecke, wie man Rechte ausübt und Widerspruch einlegt, die weitergegebenen Daten und die Kategorien von Dritten auf.

    Beispiel

    Link Datenschutzerklärung in der Fußzeile aller Seiten, der zur vollständigen Erklärung führt.

  2. Sagen, dass es zielgerichtete Werbung gibt, und wie man ablehnt

    Wer Daten verkauft oder zielgerichtete Werbung betreibt, muss das klar und sichtbar sagen und erklären, wie man ablehnt.

    Beispiel

    Link in der Fußzeile: Do Not Sell or Share My Personal Information.

  3. Für sensible Daten eine Einwilligung einholen

    Sensible Daten nur mit Einwilligung. Auch kleine Unternehmen brauchen vor dem Verkauf dieser Daten eine Einwilligung. Sensible Daten von Kindern folgen COPPA.

  4. Die vom Browser gesendete Ablehnung akzeptieren

    Der Besucher kann über einen autorisierten Vertreter ablehnen, auch über eine globale Einstellung des Geräts. Setzen Sie sie um, wenn sich die Anfrage überprüfen lässt. Die Einstellung darf nicht standardmäßig eingeschaltet sein.

    Beispiel

    Besucher mit aktiviertem GPC: Behandeln Sie ihn so, als hätte er auf Ablehnen geklickt.

  5. Anfragen entgegennehmen, ohne ein neues Konto zu verlangen

    Bieten Sie zwei oder mehr sichere Kanäle an und verlangen Sie kein neues Konto. Antworten Sie innerhalb von 45 Tagen und beantworten Sie den Widerspruch innerhalb von 60 Tagen schriftlich.

  6. Die Datenschutz-Folgenabschätzung durchführen

    Zielgerichtete Werbung, Datenverkauf und sensible Daten erfordern eine dokumentierte Bewertung. Sie ist vertraulich, aber der Generalstaatsanwalt kann sie anfordern.

  7. Die Ablehnung an Google weitergeben

    Google verlangt für die US-Bundesstaaten keine CMP. Nutzen Sie die Meldung zu Vorschriften von US-Bundesstaaten unter Datenschutz und Messaging oder schalten Sie die eingeschränkte Datenverarbeitung, das RDP, im Tag für Personen ein, die abgelehnt haben. Mit GPP liest Google den Abschnitt US National für Nebraska.

    Beispiel

    AdSense oder Ad Manager: Datenschutz und Messaging, Karte Vorschriften von US-Bundesstaaten, Erstellen. Wählen Sie danach die Websites aus und veröffentlichen Sie.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die Gesetze der US-Bundesstaaten weder eine zertifizierte CMP noch GPP. Sie können die Meldung von Google selbst nutzen oder das RDP im Tag einschalten.

Wer die Vorgaben erfüllen muss

Keine Umsatzschwelle und keine Mindestzahl an Verbrauchern

Das Gesetz gilt für alle, die die drei folgenden Bedingungen gleichzeitig erfüllen. Es spielt keine Rolle, wie viele Besucher aus Nebraska die Website hat.

Geschäfte mit Bezug zu Nebraska

Macht Geschäfte in Nebraska oder erzeugt ein Produkt oder eine Dienstleistung, die von Einwohnern des Bundesstaats genutzt wird. Eine Website mit US-Publikum passt hier meist hinein.

Daten verarbeiten oder verkaufen

Verarbeitet personenbezogene Daten oder beteiligt sich am Verkauf dieser Daten. Cookies und Anzeigenkennungen zählen als personenbezogene Daten.

Kein Kleinunternehmen

Ist nach dem US-Bundesgesetz für kleine Unternehmen, in der Fassung vom 1. Januar 2024, kein Kleinunternehmen. Die Kriterien dieses Gesetzes variieren je nach Branche.

Auch Kleinunternehmen haben eine Regel

Auch ein Kleinunternehmen darf sensible Daten nicht ohne vorherige Einwilligung des Verbrauchers verkaufen und kann gebüßt werden, wenn es das tut.

Definitionen

Die Begriffe des Gesetzes, in der Sprache von Website-Betreibern

Die Definitionen stehen in Abschnitt 2 des LB 1074 und folgen den Gesetzen von Texas und Virginia.

Personenbezogenes Datum

Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder vernünftigerweise verknüpft werden kann, einschließlich sensibler Daten. Auf der Website zählen Cookies, Gerätekennungen, IP und E-Mail.

Sensibles Datum

Rassische oder ethnische Herkunft, religiöser Glaube, Gesundheitsdiagnose, sexuelle Orientierung, Einwanderungsstatus, genetische oder biometrische Daten, die die Person identifizieren, Daten bekannter Kinder und genauer Standort.

Verkauf

Der Austausch personenbezogener Daten gegen Geld oder eine andere wertvolle Gegenleistung mit einem Dritten. Weitergaben an Auftragsverarbeiter und an Unternehmen derselben Gruppe sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die mit Daten über die Aktivität der Besucher auf Websites und in Apps anderer Unternehmen ausgewählt wird. Anzeigen nach dem Kontext der Suche oder des aktuellen Besuchs zählen nicht.

Rechte der Personen

Was Einwohner von Nebraska verlangen können

Die Antwort muss innerhalb von 45 Tagen erfolgen, mit einer Verlängerung um weitere 45, wenn sie innerhalb der ursprünglichen Frist mitgeteilt wird. Über den Widerspruch gegen eine Ablehnung muss innerhalb von 60 Tagen entschieden werden.

Bestätigen und Zugriff

Wissen, ob das Unternehmen Daten über sie verarbeitet, und Zugriff auf diese Daten haben.

Beheben

Die Berichtigung falscher Daten verlangen.

Löschen

Die Löschung der personenbezogenen Daten verlangen.

Übertragbarkeit

Eine Kopie der Daten in einem übertragbaren Format erhalten.

Zielgerichtete Anzeigen und Verkauf ablehnen

Verlangen, dass die Daten nicht für zielgerichtete Werbung verwendet und nicht verkauft werden, auch über einen bevollmächtigten Vertreter.

Automatisierte Profilbildung ablehnen

Profile ablehnen, die zu Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung führen.

Pflichten der Website

Was ein erfasstes Unternehmen einsatzbereit haben muss

  1. DatenschutzhinweisDer Hinweis muss die Kategorien der verarbeiteten Daten, die Zwecke, die Ausübung der Rechte und den Widerspruch, die Kategorien der mit Dritten geteilten Daten und die Kategorien dieser Dritten enthalten.
  2. Verkauf und zielgerichtete Anzeigen offenlegenWenn die Website Daten verkauft oder zielgerichtete Werbung betreibt, muss sie das klar und sichtbar sagen und erklären, wie die Besucher ablehnen können.
  3. Einwilligung für sensible DatenSensible Daten nur mit Einwilligung. Für Kleinunternehmen gilt die Regel für den Verkauf dieser Daten.
  4. Datenschutz-FolgenabschätzungZielgerichtete Werbung, Verkauf, riskante Profile, sensible Daten und andere Verarbeitungen mit erhöhtem Risiko erfordern eine dokumentierte Bewertung. Sie ist vertraulich, kann aber vom Generalstaatsanwalt angefordert werden.
  5. Den bevollmächtigten Vertreter akzeptierenVerbraucher können einen Vertreter benennen, um zielgerichtete Anzeigen und Verkauf abzulehnen, auch über die Browsereinstellung. Das Unternehmen muss nachkommen, wenn es die Anfrage mit wirtschaftlich vertretbarem Aufwand überprüfen kann.
  6. Verträge mit AuftragsverarbeiternAnbieter, die Daten im Auftrag des Unternehmens verarbeiten, folgen dessen Anweisungen, unter einem Vertrag mit den Regeln der Verarbeitung.

Durchsetzung und Strafen

Wer kontrolliert und was ein Fehler kostet

Nur der Generalstaatsanwalt von Nebraska setzt das Gesetz durch. Verbraucher können über die Kanäle des Generalstaatsanwalts Beschwerde einlegen, aber das Unternehmen auf Grundlage des NDPA nicht verklagen.

30 Tage zur Behebung

Bevor er Klage erhebt, sendet der Generalstaatsanwalt eine schriftliche Mitteilung und räumt 30 Tage zur Behebung ein. Das Gesetz sieht kein Datum vor, an dem diese Frist endet.

Schriftliche Erklärung

Um den Fall abzuschließen, muss das Unternehmen den Mangel beheben und eine schriftliche Erklärung sowie Dokumente einreichen, die die Korrektur belegen.

Bis zu 7.500 US-Dollar pro Verstoß

Wenn der Mangel nicht fristgerecht behoben wird oder das Unternehmen gegen die Abhilfeerklärung verstößt, kann die zivilrechtliche Strafe bis zu 7.500 US-Dollar pro Verstoß betragen.

Beschwerdekanäle

Der Generalstaatsanwalt nimmt Datenschutzbeschwerden per Online-Formular, E-Mail, Post und Telefon entgegen.

Zeitleiste

Die Daten des NDPA

Nebraska hat das Gesetz verabschiedet und nur wenige Monate Vorbereitungszeit gegeben.

  1. 2024

    Gesetz verabschiedet

    Das Parlament von Nebraska verabschiedet den Entwurf LB 1074, der den Data Privacy Act schafft.

  2. 1. Januar 2024

    Referenz für Kleinunternehmen

    Das Gesetz verwendet die bundesweite Definition von Kleinunternehmen, wie sie an diesem Datum bestand.

  3. 1. Januar 2025

    Inkrafttreten

    Das Gesetz beginnt zu gelten, mit Durchsetzung durch den Generalstaatsanwalt und einer Abhilfefrist von 30 Tagen.

  4. September 2025

    Google aktualisiert GPP

    Google akzeptiert nun Version 2 des Abschnitts US National von GPP, den Weg, den es für das Opt-out von Bundesstaaten wie Nebraska liest.

Websites mit AdSense und Ad Manager

Opt-out über den Browser und der Weg zu Google

Nebraska behandelt das universelle Signal auf eigene Weise. Verbraucher können einen bevollmächtigten Vertreter benennen, um zielgerichtete Anzeigen und Verkauf abzulehnen, mithilfe einer Technologie wie einem Link, einer Einstellung oder Erweiterung des Browsers oder einer allgemeinen Geräteeinstellung. Die Technologie darf nicht standardmäßig eingeschaltet sein und braucht eine aktive Entscheidung des Verbrauchers.

Das Unternehmen muss nachkommen, wenn es die Anfrage mit wirtschaftlich vertretbarem Aufwand überprüfen kann. Das Gesetz nennt Ausnahmen, zum Beispiel wenn sich nicht bestätigen lässt, dass der Verbraucher in Nebraska wohnt, oder wenn das Unternehmen ähnliche Anfragen aus anderen Bundesstaaten nicht bearbeitet. Da die Global Privacy Control, kurz GPC, ein solches Signal ist, ist der sicherste Weg, sie für den US-Traffic zu beachten.

Google bietet in AdSense und Ad Manager unter „Datenschutz und Messaging“ eine Meldung zu den Vorschriften der US-Bundesstaaten an, und Nebraska gehört zu den unterstützten Bundesstaaten. Die Ablehnung der Besucher schaltet die eingeschränkte Datenverarbeitung ein, genannt RDP. Google sagt außerdem, dass der Partner das RDP einschalten kann, wenn er ein Opt-out-GPC erhält.

In GPP gibt es einen eigenen Abschnitt für Nebraska, der aber nicht auf der Liste der von Google akzeptierten Abschnitte steht. Für Google ist der Weg der Abschnitt US National oder das RDP direkt im Tag, mit dem Parameter restrictDataProcessing von GPT oder dem Attribut data-restrict-data-processing von AdSense.

In der Praxis

Was in Nebraska erlaubt ist und was nicht

Beispiele für eine Website mit Besuchern aus Nebraska, die mit programmatischen Anzeigen Geld verdient.

Erlaubt

  • Kontextbezogene Anzeigen für alle zeigen, die zielgerichtete Werbung abgelehnt haben
  • Das Opt-out anwenden, wenn der Browser der Besucher GPC sendet
  • Die Meldung von Google zu den Vorschriften der US-Bundesstaaten nutzen, um den Opt-out-Link anzubieten
  • Das Opt-out über den Abschnitt US National der GPP zu Google bringen
  • Für andere Bundesstaaten erstellte Datenschutz-Folgenabschätzungen verwenden, wenn sie dieselbe Verarbeitung abdecken

Nicht erlaubt

  • Schlussfolgern, dass man nicht unter das Gesetz fällt, nur weil man wenig Traffic aus Nebraska hat
  • Genauen Standort oder andere sensible Daten ohne Einwilligung verkaufen, auch als Kleinunternehmen
  • Weiter personalisierte Anzeigen zeigen, nachdem die Besucher abgelehnt haben
  • Die Datenschutzseite ohne Erklärung lassen, wie man zielgerichtete Werbung ablehnt
  • Den Widerspruch eines Verbrauchers ignorieren, dessen Antrag abgelehnt wurde

Häufige Fehler

Wo Websites beim Gesetz von Nebraska stolpern

Das Fehlen von Zahlen im Gesetz verwirrt alle, die gewohnt sind, Besucher pro Bundesstaat zu zählen.

Besucher zählen, statt die Größe zu bewerten

Die Website hat wenige Besucher aus Nebraska und hält sich für ausgenommen. Aber das Gesetz hat keine Mengenschwelle: Entscheidend ist, kein Kleinunternehmen zu sein.

Die Regel für sensible Daten vergessen

Das Unternehmen ist klein, nutzt aber einen Partner, der genauen Standort der Besucher kauft. Dieser Verkauf erfordert eine Einwilligung.

Opt-out, das die Anzeigen nicht erreicht

Der Link existiert, aber die Anfragen an Google laufen weiter ohne RDP und ohne Opt-out in der GPP.

Bundesstaat-Abschnitt allein in der GPP

Die CMP sendet nur den Abschnitt von Nebraska, den Google nicht liest. Ohne US National erhält Google die Ablehnung nicht.

GPC nur in Kalifornien behandelt

Die CMP wendet den GPC nur für Kalifornien an, und das Signal von Besuchern aus Nebraska wird ignoriert.

Allgemeine Erklärung

Die Datenschutzseite nennt weder Datenkategorien noch Dritte, Verkauf, zielgerichtete Werbung oder den Rechtsbehelf.

In ConsentMode

Was das Audit für Nebraska prüft

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link in der Fußzeile, im Menü und in der Datenschutzmeldung.
  • Aktiviert das GPC-Signal im Browser des Audits und vergleicht die Seite und die Anzeigenanfragen mit und ohne das Signal.
  • Liest die GPP-String, prüft, ob der Abschnitt US National existiert, und erfasst das Opt-out.
  • Erkennt die CMP oder die Meldung von Google zu den Vorschriften der Bundesstaaten am Code der Seite.
  • Prüft, ob die Datenschutzseite Datenkategorien, Dritte, Verkauf, zielgerichtete Werbung, Rechte und Rechtsbehelf nennt.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Wie viele Besucher aus Nebraska muss ich haben, damit das Gesetz gilt?

Keine Mindestzahl. Das Gesetz gilt für alle, die im Bundesstaat Geschäfte machen oder dort genutzte Produkte haben, personenbezogene Daten verarbeiten oder verkaufen und nach der US-Bundesdefinition kein Kleinunternehmen sind.

Mein Unternehmen ist klein. Bin ich frei?

Fast. Ein Kleinunternehmen ist vom größten Teil des Gesetzes ausgenommen, darf aber sensible Daten nicht ohne vorherige Einwilligung des Verbrauchers verkaufen. Die Kriterien für Kleinunternehmen variieren je nach Branche, deshalb lohnt sich die Bestätigung durch eine Anwältin oder einen Anwalt.

Verlangt Nebraska, den GPC zu beachten?

Das Gesetz erlaubt es Verbrauchern, eine Browsereinstellung als Vertreter zu nutzen, um zielgerichtete Anzeigen und Verkauf abzulehnen, und das Unternehmen muss nachkommen, wenn es die Anfrage überprüfen kann. In der Praxis ist es der sicherste Weg, den GPC zu beachten.

Läuft die Frist von 30 Tagen zur Behebung irgendwann aus?

Das Gesetz sieht kein Datum für das Ende dieser Frist vor, anders als Bundesstaaten wie Minnesota und New Jersey.

Liest Google den Abschnitt von Nebraska in der GPP?

Die Liste der von Google akzeptierten Abschnitte enthält Nebraska nicht. Nutzen Sie den Abschnitt US National, die Meldung von Google zu den Vorschriften der Bundesstaaten oder das RDP im Tag.

Macht ConsentMode meine Website konform?

ConsentMode ist weder eine CMP noch eine Anwaltskanzlei. Das Audit zeigt, was die Website mit dem Opt-out, dem GPC, GPP und der Datenschutzseite tatsächlich tut, damit Sie es mit Ihrem Anbieter und Ihrer Anwältin oder Ihrem Anwalt korrigieren können.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Finden Sie heraus, ob das Opt-out Ihrer Website in Nebraska funktioniert

Das Audit öffnet die Website als US-Besucher, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten