Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

OCPA: Das Gesetz von Oregon, erklärt für alle mit Anzeigen

Oregon gilt auch für gemeinnützige Organisationen, gibt den Besuchern das Recht zu erfahren, welche Unternehmen genau ihre Daten erhalten haben, und verlangt seit 2026 das Beachten des automatischen Ablehnungssignals des Browsers. Hier sehen Sie, was sich für eine Website mit Anzeigen ändert.

Meine Website für Oregon prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetz und den Mitteilungen des Justizministeriums von Oregon
  • ✓Beispiele für Websites mit AdSense und Ad Manager
  • ✓Reines Lese-Audit, ohne die Website zu verändern
100.000Verbraucher aus Oregon pro Jahr: die wichtigste Schwelle, damit das Gesetz gilt
16Alter, unter dem Datenverkauf und zielgerichtete Werbung seit 2026 verboten sind
214Beschwerden, die die Datenschutzeinheit des Bundesstaats im ersten Jahr des Gesetzes erhielt
7.500 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß

Was es ist

Ein Gesetz mit Transparenz darüber, wer die Daten erhält

Der Oregon Consumer Privacy Act, kurz OCPA, wurde 2023 verabschiedet und gilt seit dem 1. Juli 2024 für die meisten Unternehmen. Für gemeinnützige Organisationen gilt er seit dem 1. Juli 2025, ein Punkt, der ihn von mehreren anderen Bundesstaaten unterscheidet.

Die Struktur folgt dem Modell von Virginia und Colorado: Verbraucherrechte, Opt-out bei zielgerichteter Werbung und Verkauf, Einwilligung für sensible Daten und Datenschutz-Folgenabschätzungen.

Eigen an Oregon ist das Recht, die Liste der konkreten Unternehmen zu verlangen, die die Daten der Person erhalten haben. Für eine Website mit Anzeigen heißt das: genau zu wissen, welche Partner Daten der Besucher erhalten.

Seit dem 1. Januar 2026 wiegen drei Änderungen am meisten: Die Website muss das universelle Ablehnungssignal beachten, die Frist von 30 Tagen zur Behebung vor der Klage ist entfallen, und Minderjährige unter 16 haben vollen Schutz vor Verkauf und zielgerichteter Werbung erhalten.

Checkliste

Was Sie erfüllen müssen

Wenn die Website die Schwellen des OCPA überschreitet, ist dies die Basisliste, vom Dringendsten zum weniger Dringenden.

  1. Einen klaren und sichtbaren Ablehnungslink haben

    Die Website braucht einen klaren, sichtbaren Link, über den der Besucher zielgerichtete Werbung, Verkauf und Profiling ablehnt. Das Justizministerium weist darauf hin, dass ein Cookie-Banner möglicherweise nicht genügt.

    Beispiel

    Link in der Fußzeile: Do Not Sell or Share My Personal Information, der zu einem Ablehnungsbildschirm führt.

  2. Das universelle Ablehnungssignal respektieren

    Seit dem 1. Januar 2026 muss die Website Präferenzsignale respektieren, die der Browser sendet, etwa die Global Privacy Control.

    Beispiel

    Besucher mit aktiviertem GPC: Beenden Sie für ihn den Verkauf und die zielgerichtete Werbung, ohne etwas weiter zu verlangen.

  3. Personen unter 16 Jahren schützen

    Seit 2026 verbietet das Gesetz, Daten von Personen unter 16 Jahren zu verkaufen und diese Daten für zielgerichtete Werbung oder Profiling zu nutzen.

    Beispiel

    Zeigen Sie in einem Bereich der Website für Jugendliche nur nicht personalisierte Anzeigen.

  4. Für sensible Daten eine Einwilligung einholen

    Gesundheit, genauer Standort und Daten von Kindern unter 13 Jahren nur mit Einwilligung. Seit 2026 ist der Verkauf des genauen Standorts für alle verboten.

  5. Eine vollständige Datenschutzerklärung veröffentlichen

    Die Erklärung beschreibt die verarbeiteten Daten, die Zwecke, ob Daten an Dritte weitergegeben werden und wie man Rechte ausübt. Wer Daten weitergibt, listet die Kategorien von Daten und von Dritten auf.

    Beispiel

    Kategorien von Dritten: Werbefirmen, Datenanalysefirmen, Datenhändler.

  6. Anfragen innerhalb von 45 Tagen beantworten

    Antworten Sie innerhalb von 45 Tagen, mit einer Verlängerung um weitere 45 Tage, wenn Sie den Grund nennen. Der Besucher kann auch die Liste der konkreten Dritten verlangen, die seine Daten erhalten haben.

    Beispiel

    Halten Sie die Liste der Werbepartner, die Daten erhalten, bereit, mit dem Namen jedes Unternehmens.

  7. Die Datenschutz-Folgenabschätzung durchführen

    Bevor Daten für zielgerichtete Werbung, Verkauf, Profiling oder sensible Daten genutzt werden, bewertet das Unternehmen die Risiken schriftlich.

  8. Die Ablehnung an Google weitergeben

    Google verlangt für die US-Bundesstaaten keine CMP. Nutzen Sie die Meldung zu Vorschriften von US-Bundesstaaten unter Datenschutz und Messaging oder schalten Sie die eingeschränkte Datenverarbeitung, das RDP, im Tag für Personen ein, die abgelehnt haben. Mit GPP liest Google den Abschnitt US National für Oregon.

    Beispiel

    AdSense oder Ad Manager: Datenschutz und Messaging, Karte Vorschriften von US-Bundesstaaten, Erstellen. Wählen Sie danach die Websites aus und veröffentlichen Sie.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die Gesetze der US-Bundesstaaten weder eine zertifizierte CMP noch GPP. Sie können die Meldung von Google selbst nutzen oder das RDP im Tag einschalten.

Für wen es gilt

Besuchervolumen, mit oder ohne Gewinnabsicht

Der OCPA gilt für alle, die in Oregon Geschäfte machen oder Produkte und Dienstleistungen für Einwohner des Bundesstaats anbieten und in einem Jahr eine der folgenden Schwellen erreichen.

100.000 Verbraucher

Daten von mindestens 100.000 Verbrauchern aus Oregon kontrollieren oder verarbeiten, ohne Daten, die nur zum Abschluss einer Zahlung verwendet werden.

25.000 und ein Viertel des Umsatzes

Daten von mindestens 25.000 Verbrauchern verarbeiten und 25 % oder mehr des jährlichen Bruttoumsatzes mit dem Verkauf personenbezogener Daten erzielen.

Gemeinnützige Organisationen

Seit dem 1. Juli 2025 müssen auch gemeinnützige Organisationen, die die Schwellen überschreiten, das Gesetz erfüllen.

Fahrzeughersteller

Seit September 2025 fallen alle Fahrzeughersteller unter das Gesetz, unabhängig von der Zahl der Verbraucher aus Oregon.

Definitionen

Die Begriffe, die für den Anzeigenverkauf zählen

Oregon hat eine weite Liste sensibler Daten und definiert Verkauf so, dass auch Tauschgeschäfte ohne Geld eingeschlossen sind.

Personenbezogenes Datum

Information, die mit einer Person oder einem mit ihr verbundenen Gerät verknüpft ist oder vernünftigerweise verknüpft werden kann. Anonymisierte und öffentliche Daten sind ausgenommen.

Sensibles Datum

Rassische oder ethnische Herkunft, nationale Herkunft, Religion, Gesundheit, sexuelle Orientierung, trans oder nicht binäre Identität, Opfer einer Straftat zu sein, Einwanderungsstatus, Daten von Kindern, genetische und biometrische Daten sowie Standort in einem Umkreis von 1.750 Fuß.

Verkauf

Austausch personenbezogener Daten gegen Geld oder einen anderen Wert mit einem Dritten. Weitergaben an beauftragte Auftragsverarbeiter und auf Verlangen der Verbraucher sind ausgenommen.

Zielgerichtete Werbung

Eine Anzeige, die auf Grundlage von Daten über die Aktivitäten der Person im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Kontextbezogene Anzeigen und Reichweitenmessung zählen nicht.

Rechte

Was Besucher aus Oregon verlangen können

Die Besucher können bestätigen lassen, ob das Unternehmen ihre Daten verarbeitet, auf diese Daten zugreifen, sie berichtigen, löschen und eine Kopie in einem Format erhalten, das sie zu einem anderen Dienst mitnehmen können. Sie können auch zielgerichtete Werbung, Datenverkauf und Profile ablehnen, die bei wichtigen Entscheidungen verwendet werden.

Das eigene Recht von Oregon ist, die Liste der konkreten Unternehmen zu verlangen, und nicht nur der Kategorien, an die das Unternehmen ihre Daten weitergegeben hat. Auf einer Website mit Anzeigen kann diese Liste Google, die Header-Bidding-Netzwerke, die Videoplattformen und die Pixel sozialer Netzwerke enthalten.

Das Unternehmen muss die Identität der anfragenden Person bestätigen und innerhalb von 45 Tagen antworten. Auch Löschanträge müssen innerhalb von 45 Tagen erfüllt werden, außer in Ausnahmefällen.

Im Bericht zum ersten Jahr sagte das Justizministerium, das Löschrecht sei dasjenige, bei dem die Einwohner am häufigsten meldeten, es sei verweigert worden.

Pflichten der Website

Datenschutzhinweis, universelle Ablehnung und Minderjährige

Der Datenschutzhinweis muss erklären, welche Daten verarbeitet werden, wofür, an wen sie weitergegeben werden und wie die Rechte ausgeübt werden. Wenn die Website Daten verkauft oder zielgerichtete Werbung betreibt, muss sie das klar sagen und zeigen, wie man ablehnt.

Seit dem 1. Januar 2026 muss die Website auch universelle Ablehnungsmechanismen beachten, etwa eine Browsereinstellung oder eine Erweiterung, die das Signal sendet, wie die Global Privacy Control. Wer das Signal eingeschaltet hat, muss wie jemand behandelt werden, der abgelehnt hat, ohne zusätzlichen Klick.

Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Für Kinder unter 13 Jahren gilt das Bundesgesetz COPPA. Seit dem 1. Januar 2026 verbietet das Gesetz, Daten von Verbrauchern unter 16 Jahren zu verkaufen und ihre Daten für zielgerichtete Werbung oder Profile zu nutzen. Zum selben Datum trat das Verbot in Kraft, den genauen Standort irgendeines Verbrauchers zu verkaufen.

Zielgerichtete Werbung, Datenverkauf, sensible Daten und riskante Profile erfordern eine dokumentierte Datenschutz-Folgenabschätzung, die der Generalstaatsanwalt in einer Untersuchung anfordern kann.

Zeitleiste

Die Daten des Gesetzes von Oregon

Daten, bestätigt durch Mitteilungen des Justizministeriums von Oregon.

  1. 2023

    Gesetz verabschiedet

    Oregon verabschiedet den OCPA, mit eigenen Regeln für gemeinnützige Organisationen.

  2. 1. Juli 2024

    Inkrafttreten

    Die Rechte, das Opt-out, die Liste der Dritten und die Frist von 30 Tagen zur Behebung beginnen zu gelten.

  3. 1. Juli 2025

    Gemeinnützige Organisationen

    Gemeinnützige Organisationen, die die Schwellen überschreiten, müssen das Gesetz nun erfüllen.

  4. 29. August 2025

    Bericht zum ersten Jahr

    Das Justizministerium meldet 214 Beschwerden und 38 geöffnete und nach Verstoßhinweisen abgeschlossene Fälle.

  5. 1. Januar 2026

    Universelle Ablehnung und Ende der Abhilfefrist

    Es gelten das Beachten des universellen Signals, das Verbot, Daten von Minderjährigen unter 16 und genauen Standort zu verkaufen, und die verpflichtende Frist von 30 Tagen endet.

Durchsetzung und Strafen

Generalstaatsanwalt, Datenschutzeinheit und Strafe pro Verstoß

Der Generalstaatsanwalt von Oregon ist allein zuständig für die Durchsetzung des Gesetzes, mit einer eigenen Datenschutzeinheit im Justizministerium. Er kann ermitteln, Dokumente verlangen, eine gerichtliche Anordnung beantragen und eine zivilrechtliche Strafe von bis zu 7.500 US-Dollar pro Verstoß einfordern. Bürgerinnen und Bürger können das Unternehmen auf Grundlage des OCPA nicht verklagen.

Bis zum 1. Januar 2026 erhielt das Unternehmen eine Mitteilung und hatte 30 Tage zur Behebung vor der Klage. Diese Frist ist abgelaufen, und der Bundesstaat kann ohne Vorwarnung handeln.

Im ersten Jahr betraf der Großteil der Beschwerden Datenhändler, etwa Websites, die Hintergrundberichte verkaufen. Dennoch gelten die Lehren für jede Website: sagen, welche Dritten Daten erhalten, Marketingprofile in Auskunfts- und Löschanfragen einbeziehen und die Formulare für Rechte zugänglich und funktionsfähig halten.

Laut dem Bundesstaat haben die meisten benachrichtigten Unternehmen den Datenschutzhinweis oder die Anfragemechanismen kurz nach dem Kontakt korrigiert.

AdSense und Ad Manager

Wie Google Besucher aus Oregon behandelt

Das IAB Tech Lab hat in der GPP-String einen Abschnitt für Oregon, aber Google führt ihn nicht unter den von AdSense akzeptierten Abschnitten auf. Für Oregon liest Google den Abschnitt US National.

Wenn US National die Ablehnung von Verkauf, Weitergabe oder zielgerichteter Werbung anzeigt, aktiviert Google die eingeschränkte Datenverarbeitung, das RDP, und zeigt nur nicht personalisierte Anzeigen. US National hat auch Felder für die Einwilligung von Minderjährigen, die Google nutzt, um das RDP zu aktivieren.

Die Meldung für US-Bundesstaaten in AdSense und Ad Manager schließt Oregon ein und speichert die Entscheidung im Abschnitt US National. Prüfen Sie bei einer anderen CMP, ob sie US National an Besucher aus Oregon sendet und die Ablehnung markiert, wenn das universelle Signal eingeschaltet ist.

Um die Anfrage nach der Liste der Dritten zu beantworten, führen Sie ein aktuelles Inventar der Partner für Anzeigen, Header Bidding, Video und Pixel, die auf der Website Daten erhalten.

In der Praxis

Was in Oregon erlaubt ist und was nicht

Beispiele für eine Website mit Anzeigen, die sich im Rahmen des Gesetzes bewegt.

Erlaubt

  • Erwachsenen personalisierte Anzeigen zeigen, ohne vorher um Erlaubnis zu fragen, mit sichtbarem Ablehnungs-Link
  • Den GPC seit Januar 2026 als automatische Ablehnung behandeln
  • Den Besuchern die Liste der Werbepartner geben, die ihre Daten erhalten haben
  • Kontextbezogene Anzeigen für Minderjährige und für alle zeigen, die abgelehnt haben
  • Die Ablehnung im Abschnitt US National der GPP speichern

Nicht erlaubt

  • Daten von Minderjährigen unter 16 für zielgerichtete Werbung oder Profile verwenden
  • Den genauen Standort irgendeines Besuchers verkaufen
  • Die Anfrage nach der Liste der Dritten nur mit allgemeinen Kategorien beantworten
  • Auf eine Abhilfemitteilung warten, die nicht mehr verpflichtend ist
  • Ein Rechteformular unterhalten, das nicht sendet oder keine Antwort erhält

Häufige Fehler

Wo Websites bei Oregon oft Fehler machen

Die Lehren des ersten Jahres und die Änderungen von 2026 weisen auf dieselben Punkte.

Nicht wissen, wer Daten erhält

Die Website hat kein Inventar der Partner und kann die Liste der Dritten, die die Besucher verlangt haben, nicht zusammenstellen.

GPC in Oregon ignoriert

Die CMP beachtet den GPC in Kalifornien und Colorado, wurde aber 2026 nicht für Oregon aktualisiert.

Unvollständige Löschung

Der Löschantrag entfernt die Registrierung, behält aber Marketingprofile und Zielgruppenlisten.

Bundesstaat-Abschnitt ohne US National

Die CMP sendet nur den Abschnitt von Oregon, den AdSense nicht akzeptiert, und Google personalisiert weiter.

In ConsentMode

Was das Audit zum OCPA prüft

  • Öffnet die Website als Besucher aus Oregon mit ausgeschaltetem und eingeschaltetem GPC und vergleicht die Anzeigenanfragen.
  • Liest die GPP-String und zeigt, ob der Abschnitt US National vorhanden ist und die Ablehnung anzeigt.
  • Listet die geladenen Domains für Anzeigen, Header Bidding, Video und Pixel auf, was beim Erstellen der Liste der Dritten hilft.
  • Erkennt die CMP und prüft, ob die Tags auf ihre Antwort warten.
  • Liest die Datenschutzerklärung und zeigt, ob Dritte, Rechte und die Art der Ablehnung fehlen.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zum Gesetz von Oregon

Muss mein gemeinnütziger Verein den OCPA erfüllen?

Seit dem 1. Juli 2025 ja, wenn er eine der Schwellen überschreitet, etwa 100.000 Verbraucher aus Oregon pro Jahr.

Brauche ich ein Einwilligungsbanner für Oregon?

Für personalisierte Anzeigen an Erwachsene nicht. Das Gesetz verlangt ein Opt-out. Eine Einwilligung wird für sensible Daten verlangt, und für Minderjährige unter 16 sind Verkauf und zielgerichtete Werbung verboten.

Ist der GPC in Oregon Pflicht?

Ja, seit dem 1. Januar 2026. Das Justizministerium hat dieses Werkzeug am Datenschutztag 2026 hervorgehoben.

Was antworte ich, wenn nach der Liste der Dritten gefragt wird?

Die Namen der konkreten Unternehmen, die Daten der Person erhalten haben, etwa Werbenetzwerke und Videoplattformen, und nicht nur allgemeine Kategorien.

Erstellt ConsentMode diese Liste für mich?

ConsentMode zeigt, welche Drittanbieter-Domains während des Besuchs auf der Website laden, was beim Erstellen des Inventars hilft. Die Antwort an die Besucher bleibt in der Verantwortung des Unternehmens.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob Ihre Website schon bereit für 2026 ist

Das Audit öffnet die Website als Besucher aus Oregon, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten