Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

NJDPA: Das Gesetz von New Jersey, erklärt ohne Juristendeutsch

Der New Jersey Data Privacy Act gilt seit dem 15. Januar 2025 und verlangt seit Juli 2025, dass die Website den GPC beachtet. In diesem Leitfaden verstehen Sie, wer ihn erfüllen muss, was als sensibles Datum zählt, die Bußen, den Stand der Regulierung und was sich für eine Website mit AdSense oder Ad Manager ändert.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf den häufigen Fragen der Abteilung für Verbraucherangelegenheiten
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
100.000Verbraucher aus New Jersey pro Jahr: die Hauptschwelle des Gesetzes
25.000Verbraucher genügen, wenn das Unternehmen mit dem Verkauf personenbezogener Daten Geld verdient
10.000 US-DollarHöchstbuße beim ersten Verstoß
20.000 US-DollarHöchstbuße bei wiederholtem Verstoß

Was es ist

Ein Datenschutzgesetz ohne Ausnahme für gemeinnützige Organisationen

Der New Jersey Data Privacy Act, kurz NJDPA, ist das allgemeine Datenschutzgesetz von New Jersey. Er wurde im Januar 2024 unterzeichnet und gilt seit dem 15. Januar 2025. Die erfassten Unternehmen und die für sie arbeitenden Auftragsverarbeiter müssen das Gesetz seit diesem Datum erfüllen.

Das Modell folgt dem von Connecticut, mit einigen strengeren Punkten. Finanzdaten und der Status als trans oder nicht binäre Person sind sensible Daten. Gemeinnützige Organisationen und kleine Unternehmen sind nicht ausgenommen, wenn sie die Schwellen überschreiten. Und die Website muss universelle Opt-out-Signale wie den GPC seit dem 15. Juli 2025 beachten.

Das Gesetz weist die Abteilung für Verbraucherangelegenheiten an, eine Verordnung zu erlassen, und ein Regelentwurf wurde sogar zur öffentlichen Stellungnahme vorgelegt. Aber die Pflicht, das Gesetz zu erfüllen, hängt nicht von diesen Regeln ab: Unternehmen und Auftragsverarbeiter müssen es seit dem 15. Januar 2025 erfüllen. Bevor Sie Details der Verordnung befolgen, prüfen Sie auf der Website der Abteilung, was tatsächlich in Kraft ist.

Für eine Website mit Besuchern aus den USA wiegt New Jersey wegen der Größe des Publikums. Der Bundesstaat ist bevölkerungsreich, sodass ein Portal mit relevantem US-Traffic unbemerkt über 100.000 Verbraucher kommen kann.

Checkliste

Was Sie erfüllen müssen

Wenn Ihre Website die Schwellen des NJDPA überschreitet, müssen diese Punkte funktionieren.

  1. Das GPC respektieren

    Seit dem 15. Juli 2025 muss die Website universelle Opt-out-Signale wie das GPC akzeptieren. Wer mit eingeschaltetem Signal kommt, muss so behandelt werden, als hätte er Verkauf und zielgerichtete Anzeigen abgelehnt.

    Beispiel

    Besucher mit aktiviertem GPC: Die Website schaltet die eingeschränkte Datenverarbeitung von Google nur für ihn ein, ohne einen weiteren Klick zu verlangen.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Einen klaren Weg zum Ablehnen zeigen

    Wer Daten verkauft oder zielgerichtete Werbung betreibt, muss einen klaren Weg zum Ablehnen anbieten. Die Datenschutzerklärung muss erklären, wie der Besucher dieses Recht nutzt.

    Beispiel

    Die Meldung von Google zu Vorschriften von US-Bundesstaaten zeigt den Link Do Not Sell or Share My Personal Information.

  3. Vollständige Datenschutzhinweise

    Die Erklärung sagt, welche Daten die Website verarbeitet, wofür, mit wem sie sie teilt und wie der Besucher Auskunft, Berichtigung oder Löschung verlangt oder Widerspruch einlegt.

    Beispiel

    Um Auskunft, Berichtigung oder Löschung Ihrer Daten zu verlangen, schreiben Sie an datenschutz@ihre-website.de.

  4. Erklärung mit den Sätzen, die Google verlangt

    AdSense verlangt, dass die Datenschutzerklärung auf die Werbe-Cookies von Google und anderen Anbietern hinweist. Sie muss außerdem sagen, wie der Besucher personalisierte Anzeigen ablehnt.

    Beispiel

    Drittanbieter, einschließlich Google, verwenden Cookies, um Anzeigen auf Basis früherer Besuche auf Ihrer Website oder anderen Websites zu zeigen. Sie können personalisierte Werbung in den Anzeigeneinstellungen von Google deaktivieren.

  5. Einwilligung für sensible Daten

    Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. In New Jersey gehören auch Finanzinformationen dazu.

    Beispiel

    Ein Kreditrechner fragt vorher: Dürfen wir Ihre Antworten nutzen, um Angebote zu zeigen? Ja oder Nein.

  6. Einwilligung von Jugendlichen

    Wenn Sie wissen oder wissen müssten, dass der Besucher zwischen 13 und 16 Jahre alt ist, sagt die Division, dass vor der Verarbeitung der personenbezogenen Daten seine Einwilligung nötig ist.

  7. Datenschutz-Folgenabschätzung

    Wenn Sie sensible Daten verarbeiten oder Aktivitäten mit hohem Risiko durchführen, dokumentieren Sie schriftlich eine Bewertung von Risiken und Nutzen.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für New Jersey weder eine zertifizierte CMP noch GPP, daher können Sie die Meldung von Google selbst oder eine CMP mit GPP nutzen.

Wer die Vorgaben erfüllen muss

Die Schwellen, die Ihre Website unter den NJDPA bringen

Das Gesetz gilt für alle, die in New Jersey Geschäfte machen oder Produkte und Dienstleistungen anbieten, die sich an Einwohner des Bundesstaats richten, und in einem Kalenderjahr eine der folgenden Schwellen überschreiten.

100.000 Verbraucher

Kontrolliert oder verarbeitet im Jahr personenbezogene Daten von mindestens 100.000 Verbrauchern aus New Jersey.

25.000 und Datenverkauf

Kontrolliert oder verarbeitet Daten von mindestens 25.000 Verbrauchern und verdient, in den Worten der Abteilung für Verbraucherangelegenheiten, Geld mit dem Verkauf personenbezogener Daten.

Auch gemeinnützige Organisationen

Gemeinnützige Organisationen und kleine Unternehmen sind nicht ausgeschlossen. Wenn sie die Schwellen überschreiten, müssen sie das Gesetz erfüllen.

Auch Auftragsverarbeiter

Anbieter, die Daten im Auftrag eines erfassten Unternehmens verarbeiten, haben ebenfalls Pflichten, etwa die Anweisungen und den Vertrag zu befolgen.

Definitionen

Die Begriffe des Gesetzes, in der Sprache von Website-Betreibern

Die Definitionen von New Jersey ähneln denen von Connecticut, mit einer weiteren Liste sensibler Daten.

Personenbezogenes Datum

Information, die eine bestimmte Person identifiziert oder identifizieren kann. Auf der Website zählen Cookies, Gerätekennungen, IP und die E-Mail-Adresse des Newsletters.

Sensibles Datum

Rassische oder ethnische Herkunft, religiöser Glaube, Gesundheitszustand, Finanzinformationen, Sexualleben und sexuelle Orientierung, Einwanderungsstatus, Status als trans oder nicht binäre Person, genetische oder biometrische Daten, genauer Standort und Daten von Kindern.

Verkauf

Der Austausch personenbezogener Daten gegen Geld oder eine andere wertvolle Gegenleistung mit einem Dritten. Weitergaben an Auftragsverarbeiter sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die mit Daten über die Aktivität der Besucher im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Eine Anzeige nach dem Kontext der Seite zählt nicht.

Rechte der Personen

Was Einwohner von New Jersey verlangen können

Verbraucher können das Unternehmen auf Grundlage dieses Gesetzes nicht verklagen, aber bei der Abteilung für Verbraucherangelegenheiten Beschwerde einlegen. Das Unternehmen muss Anfragen beantworten und einen Rechtsbehelf anbieten.

Bestätigen und Zugriff

Wissen, ob das Unternehmen Daten über sie verarbeitet, und Zugriff auf diese Daten haben.

Beheben

Die Berichtigung falscher Daten verlangen.

Löschen

Die Löschung der personenbezogenen Daten verlangen.

Übertragbarkeit

Eine Kopie der Daten in einem Format erhalten, das sie zu einem anderen Dienst mitnehmen können.

Zielgerichtete Anzeigen und Verkauf ablehnen

Verlangen, dass die Daten nicht für zielgerichtete Werbung verwendet und nicht verkauft werden, auch über ein universelles Signal wie den GPC.

Automatisierte Profilbildung ablehnen

Profile ablehnen, die zu Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung führen.

Pflichten der Website

Was eine erfasste Website einsatzbereit haben muss

  1. Vollständige DatenschutzhinweiseDer Hinweis muss erklären, welche Datenkategorien verarbeitet werden, wofür, wie die Rechte ausgeübt werden und wie man Widerspruch einlegt, welche Daten an Dritte gehen und welche Arten von Dritten diese Daten erhalten.
  2. Klares Opt-out und GPCWer Daten verkauft oder zielgerichtete Werbung betreibt, muss einen klaren Weg zur Ablehnung zeigen und seit dem 15. Juli 2025 universelle Opt-out-Signale wie den GPC akzeptieren.
  3. Einwilligung für sensible DatenSensible Daten, einschließlich Finanzinformationen, dürfen nur mit Einwilligung der Besucher verarbeitet werden.
  4. Schutz für JugendlicheBei Verbrauchern von 13 bis 16 Jahren braucht das Unternehmen eine Einwilligung, bevor es die Daten für zielgerichtete Werbung, Verkauf oder Profile nutzt. Für Kinder unter 13 gilt das Bundesgesetz COPPA.
  5. Datenschutz-FolgenabschätzungVor Verarbeitungen mit erhöhtem Risiko, wie Datenverkauf, sensible Daten und Profile, die zu ungerechter Behandlung oder Schaden führen können, muss das Unternehmen Risiken und Nutzen schriftlich bewerten.
  6. Verträge mit AuftragsverarbeiternAnbieter, die Daten im Auftrag des Unternehmens verarbeiten, folgen dessen Anweisungen, unter einem Vertrag mit den Regeln der Verarbeitung.

Durchsetzung und Strafen

Bußen pro Verstoß und das Ende der Abhilfefrist

Das Gesetz wird von der Generalstaatsanwaltschaft von New Jersey und der Abteilung für Verbraucherangelegenheiten durchgesetzt, mit den Werkzeugen des Verbraucherbetrugsgesetzes des Bundesstaats.

10.000 US-Dollar beim ersten

Die Buße kann beim ersten Verstoß bis zu 10.000 US-Dollar betragen.

20.000 US-Dollar bei den folgenden

Wiederholte Verstöße können jeweils bis zu 20.000 US-Dollar kosten. Die Generalstaatsanwaltschaft kann auch eine gerichtliche Anordnung und Entschädigung für die Betroffenen beantragen.

Abhilfefrist abgelaufen

Bis zum 1. Juli 2026 benachrichtigte die Abteilung das Unternehmen und räumte 30 Tage zur Behebung behebbarer Mängel ein. Dieser Zeitraum ist beendet.

Verbraucherbeschwerde

Verbraucher reichen die Beschwerde auf der Website der Abteilung für Verbraucherangelegenheiten ein. Sie können das Unternehmen auf Grundlage dieses Gesetzes nicht verklagen.

Zeitleiste

Die Daten des NJDPA

Im November 2026 ist das Gesetz in Kraft, der GPC ist Pflicht, die Abhilfefrist ist abgelaufen, und die Verordnung sollte weiterhin auf der Website der Abteilung geprüft werden.

  1. Januar 2024

    Unterzeichnung

    New Jersey verabschiedet das allgemeine Datenschutzgesetz.

  2. 15. Januar 2025

    Inkrafttreten

    Erfasste Unternehmen und Auftragsverarbeiter erfüllen nun das Gesetz.

  3. 2025

    Regelentwurf

    Die Abteilung für Verbraucherangelegenheiten legt einen Regelentwurf zur öffentlichen Stellungnahme vor. Das Gesetz gilt unabhängig davon bereits.

  4. 15. Juli 2025

    GPC verpflichtend

    Die erfasste Website muss universelle Opt-out-Signale wie die Global Privacy Control beachten.

  5. 1. Juli 2026

    Ende der Abhilfefrist

    Der Zeitraum endet, in dem die Abteilung 30 Tage zur Behebung einräumte, bevor sie handelte.

Websites mit AdSense und Ad Manager

GPC verpflichtend und der Weg des Opt-outs bis zu Google

Seit dem 15. Juli 2025 muss die erfasste Website universelle Opt-out-Signale beachten. Die häufigen Fragen der Abteilung selbst nennen die Global Privacy Control, kurz GPC, als Beispiel. Für Besucher, die mit eingeschaltetem GPC kommen, muss die Website so handeln, als hätten sie auf den Opt-out-Link geklickt.

Google bietet in AdSense und Ad Manager unter „Datenschutz und Messaging“ eine Meldung zu den Vorschriften der US-Bundesstaaten an, und New Jersey gehört zu den unterstützten Bundesstaaten. Die Meldung zeigt den Link Do Not Sell or Share. Die Ablehnung schaltet die eingeschränkte Datenverarbeitung ein, genannt RDP, und Google nutzt das frühere Verhalten nicht mehr, um Anzeigen auszuwählen.

Zum GPC sagt Google, dass der Partner, der das Signal umgesetzt hat, wählen kann, das RDP einzuschalten, wenn er ein Opt-out-GPC erhält. Die Konfiguration liegt bei der Website oder der CMP und kann im Tag erfolgen, mit dem Parameter restrictDataProcessing von GPT oder dem Attribut data-restrict-data-processing von AdSense.

In der GPP gibt es einen eigenen Abschnitt für New Jersey, der aber nicht auf der Liste der von Google akzeptierten Abschnitte steht. Für Google ist der Weg der Abschnitt US National, in dem die Ablehnung von Verkauf, Weitergabe oder zielgerichteter Werbung das RDP einschaltet.

In der Praxis

Was in New Jersey erlaubt ist und was nicht

Beispiele für eine Website mit Traffic aus New Jersey, die mit programmatischen Anzeigen Geld verdient.

Erlaubt

  • Kontextbezogene Anzeigen für Besucher zeigen, die abgelehnt haben oder mit eingeschaltetem GPC kamen
  • Die Meldung von Google zu den Vorschriften der US-Bundesstaaten nutzen, um den Opt-out-Link anzubieten
  • Das Opt-out über den Abschnitt US National der GPP zu Google bringen
  • Den GPC für den gesamten US-Traffic anwenden, um die Konfiguration zu vereinfachen
  • Das Gesetz weiter erfüllen, auch ohne erlassene Verordnung, auf Grundlage des Gesetzestextes

Nicht erlaubt

  • Den GPC ignorieren und für diese Besucher weiter personalisierte Anzeigen anfordern
  • Finanzinformationen der Besucher, etwa Daten aus einem Kreditrechner, ohne Einwilligung verarbeiten
  • Daten von Jugendlichen zwischen 13 und 16 Jahren ohne Einwilligung für zielgerichtete Anzeigen verwenden
  • Annehmen, dass Ihre NGO oder Ihr Verein ausgenommen ist, nur weil sie nicht gewinnorientiert sind
  • Auf 30 Tage zur Behebung nach einer Mitteilung zählen: Dieser Zeitraum endete im Juli 2026

Häufige Fehler

Wo Websites beim NJDPA stolpern

Diese Probleme treten bei Websites auf, die den Datenschutz für die USA nur mit Blick auf Kalifornien eingerichtet haben.

Finanzdaten vergessen

Finanz-Websites erheben Einkommen oder Schulden in Formularen und Rechnern und geben sie an Partner weiter. In New Jersey ist das ein sensibles Datum und erfordert eine Einwilligung.

GPC nur in Kalifornien

Die CMP wendet den GPC nur für Kalifornien an, und das Signal von Besuchern aus New Jersey wird ignoriert.

Auf die Verordnung warten

Das Unternehmen hat die Anpassungen aufgeschoben und auf die endgültigen Regeln gewartet. Das Gesetz gilt seit Januar 2025, mit oder ohne Verordnung.

Opt-out, das die Anzeigen nicht ändert

Die Besucher lehnen ab, aber die Anzeigenanfragen laufen weiter ohne RDP und ohne Opt-out in der GPP-String.

Bundesstaat-Abschnitt allein in der GPP

Die CMP sendet nur den Abschnitt von New Jersey, den Google nicht liest. Ohne US National erreicht das Opt-out Google nicht.

Erklärung ohne Dritte

Die Datenschutzseite sagt nicht, welche Arten von Dritten, etwa Werbenetzwerke und Messpartner, die Daten erhalten.

In ConsentMode

Was das Audit für New Jersey prüft

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link in der Fußzeile, im Menü und in der Datenschutzmeldung.
  • Aktiviert das GPC-Signal im Browser des Audits und vergleicht die Seite und die Anzeigenanfragen mit und ohne das Signal.
  • Liest die GPP-String, prüft, ob der Abschnitt US National existiert, und erfasst das Opt-out.
  • Erkennt die CMP oder die Meldung von Google zu den Vorschriften der Bundesstaaten am Code der Seite.
  • Prüft, ob die Datenschutzseite Datenkategorien, Zwecke, Dritte, Rechte und Rechtsbehelf nennt.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Gilt die Verordnung von New Jersey schon?

Ein Regelentwurf wurde zur öffentlichen Stellungnahme vorgelegt, aber prüfen Sie auf der Website der Abteilung für Verbraucherangelegenheiten, ob endgültige Regeln in Kraft sind, bevor Sie Details daraus befolgen. Das Gesetz selbst gilt seit dem 15. Januar 2025, mit oder ohne Verordnung.

Muss ich den GPC beachten?

Ja, wenn das Gesetz auf Ihre Website anwendbar ist. Seit dem 15. Juli 2025 müssen universelle Opt-out-Signale wie der GPC beachtet werden.

Mein Verein ist gemeinnützig. Bin ich ausgenommen?

Nein. In New Jersey müssen gemeinnützige Organisationen und kleine Unternehmen das Gesetz erfüllen, wenn sie die Schwellen überschreiten.

Bringt mich schon ein kleiner Datenverkauf an die Schwelle von 25.000?

Das kann sein. Laut der Abteilung für Verbraucherangelegenheiten gilt die zweite Schwelle für alle, die Daten von mindestens 25.000 Verbrauchern verarbeiten und mit dem Verkauf personenbezogener Daten Geld verdienen. Die Abteilung nennt keinen Mindestumsatz, deshalb lohnt es sich, Ihren Fall mit einer Anwältin oder einem Anwalt zu klären.

Habe ich nach einer Mitteilung noch Zeit zur Behebung?

Die Frist von 30 Tagen galt bis zum 1. Juli 2026. Danach kann die Abteilung handeln, ohne diese Frist einzuräumen.

Macht ConsentMode meine Website konform?

ConsentMode ist weder eine CMP noch eine Anwaltskanzlei. Das Audit zeigt, was die Website mit dem Opt-out, dem GPC, GPP und der Datenschutzseite tatsächlich tut, damit Sie es mit Ihrem Anbieter und Ihrer Anwältin oder Ihrem Anwalt korrigieren können.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob Ihre Website den GPC in New Jersey beachtet

Das Audit öffnet die Website als US-Besucher, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten