Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

TIPA: Das Datenschutzgesetz von Tennessee ohne Juristendeutsch

Der Tennessee Information Protection Act gilt seit dem 1. Juli 2025 und erfasst nur große Unternehmen. In diesem Leitfaden verstehen Sie, wer ihn erfüllen muss, welche Rechte die Besucher erhalten haben, wie die auf NIST basierende Verteidigung funktioniert und was sich für eine Website mit AdSense oder Ad Manager ändert.

Meine Website für die USA prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetzestext und der Zusammenfassung des Generalstaatsanwalts von Tennessee
  • ✓Praktische Beispiele für Websites mit Anzeigen
  • ✓Reines Lese-Audit, ohne die Website zu verändern
25 Mio. US-DollarJahresumsatz: darunter bleibt das Unternehmen außerhalb des Gesetzes
175.000Verbraucher aus Tennessee pro Jahr: die wichtigste Mengenschwelle
60 TageFrist zur Behebung nach der Mitteilung des Generalstaatsanwalts, ohne Ablaufdatum
45 Tageum Verbraucheranfragen zu beantworten, mit Erklärung und Rechtsbehelf bei Ablehnung

Was es ist

Ein Datenschutzgesetz eines Bundesstaats mit Fokus auf große Unternehmen

Der TIPA ist das allgemeine Datenschutzgesetz des Bundesstaats Tennessee in den Vereinigten Staaten. Er wurde 2023 verabschiedet und trat am 1. Juli 2025 in Kraft. Das Gesetz gibt den Einwohnern des Bundesstaats Rechte an ihren Daten und schafft Pflichten für Unternehmen, die diese Daten nutzen.

Das Modell folgt dem der Gesetze von Virginia und Colorado. Besucher können Zugang, Berichtigung und Löschung der Daten verlangen und den Verkauf der Daten, zielgerichtete Werbung und bestimmte Arten automatisierter Profile ablehnen. Sensible Daten dürfen nur mit Einwilligung verwendet werden.

Zwei Dinge machen den TIPA besonders. Die erste ist die hohe Schwelle: Nur Unternehmen mit einem Jahresumsatz über 25 Millionen US-Dollar fallen unter das Gesetz. Die zweite ist die auf NIST basierende Verteidigung: Ein Unternehmen, das ein schriftliches Datenschutzprogramm im Einklang mit dem Privacy Framework des NIST unterhält, kann dies in einem Verfahren als Verteidigung nutzen.

Für Inhaber einer brasilianischen Website mit Besuchern in den USA ist die praktische Frage einfach: Überschreitet Ihr Geschäft die Schwellen? Wenn ja, braucht die Website einen vollständigen Datenschutzhinweis, einen klaren Weg zum Opt-out und Sorgfalt dabei, was die Werbepartner mit den Daten tun.

Checkliste

Was Sie erfüllen müssen

Wenn Ihr Unternehmen die Schwellen des TIPA überschreitet, müssen diese Punkte funktionieren.

  1. Weg zum Ablehnen von Verkauf und Anzeigen

    Einwohner von Tennessee können zielgerichtete Werbung, den Verkauf der Daten und bestimmtes Profiling ablehnen. Die Website muss diesen Weg anbieten und dafür sorgen, dass die Ablehnung die Anzeigenanfrage ändert.

    Beispiel

    Die Meldung von Google zu Vorschriften von US-Bundesstaaten zeigt den Link Do Not Sell or Share My Personal Information für Besucher aus Tennessee.

    <!-- AdSense: anúncio sem dados de comportamento -->
<ins class="adsbygoogle" ...
     data-restrict-data-processing="1"></ins>

// GPT (Ad Manager)
googletag.pubads().setPrivacySettings({
  'restrictDataProcessing': true
});

  2. Zugängliche Datenschutzerklärung

    Das Unternehmen braucht eine angemessen zugängliche Datenschutzerklärung. Sie erklärt, wie der Besucher seine Rechte ausübt und wie er gegen eine ablehnende Antwort Widerspruch einlegt.

    Beispiel

    Ein Link Datenschutz in der Fußzeile aller Seiten, der zur vollständigen Erklärung führt.

  3. Erklärung mit den Sätzen, die Google verlangt

    AdSense verlangt, dass die Datenschutzerklärung auf die Werbe-Cookies von Google und anderen Anbietern hinweist. Sie muss außerdem sagen, wie der Besucher personalisierte Anzeigen ablehnt.

    Beispiel

    Drittanbieter, einschließlich Google, verwenden Cookies, um Anzeigen auf Basis früherer Besuche auf Ihrer Website oder anderen Websites zu zeigen. Sie können personalisierte Werbung in den Anzeigeneinstellungen von Google deaktivieren.

  4. Antwort innerhalb von 45 Tagen

    Anfragen auf Auskunft, Berichtigung, Löschung, Übertragbarkeit und Opt-out müssen innerhalb von 45 Tagen nach Eingang beantwortet werden.

    Beispiel

    Eine Datenschutz-E-Mail-Adresse mit Kontrolle des Eingangsdatums jeder Anfrage.

  5. Einwilligung für sensible Daten

    Sensible Daten dürfen nur mit Einwilligung des Besuchers verarbeitet werden.

    Beispiel

    Eine Gesundheitswebsite fragt vorher, bevor sie das gelesene Thema zur Auswahl von Anzeigen nutzt: Einverstanden? Ja oder Nein.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Tennessee weder eine zertifizierte CMP noch GPP, daher können Sie die Meldung von Google selbst oder eine CMP mit GPP nutzen.

Wer die Vorgaben erfüllen muss

Die Schwellen, die ein Unternehmen unter den TIPA bringen

Das Gesetz gilt für alle, die in Tennessee Geschäfte machen oder Produkte und Dienstleistungen anbieten, die sich an Einwohner des Bundesstaats richten. Aber nur, wenn das Unternehmen beide Filter unten passiert.

Umsatz über 25 Millionen US-Dollar

Das ist der erste Filter und er ist zwingend. Ein Unternehmen mit einem geringeren Jahresumsatz fällt nicht unter den TIPA, auch wenn es viele Besucher aus Tennessee hat.

175.000 Verbraucher

Zusätzlich zum Umsatz muss das Unternehmen in einem Kalenderjahr Daten von mindestens 175.000 Verbrauchern aus Tennessee kontrollieren oder verarbeiten.

Oder 25.000 und Datenverkauf

Der andere Zugang: Daten von mindestens 25.000 Verbrauchern und die Hälfte oder mehr des Bruttoumsatzes aus dem Verkauf personenbezogener Informationen.

Wer ausgenommen ist

Öffentliche Stellen, Finanzinstitute, von der HIPAA erfasste Gesundheitseinrichtungen, gemeinnützige Organisationen und Hochschulen sind ausgenommen.

Definitionen

Die Begriffe des Gesetzes, in der Sprache von Website-Betreibern

Der TIPA verwendet den Begriff personenbezogene Information statt personenbezogenes Datum. Die Bedeutung ist dieselbe wie in den anderen Gesetzen der Bundesstaaten, mit einem wichtigen Unterschied in der Definition von Verkauf.

Personenbezogene Information

Jede Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder verknüpft werden kann. Im Alltag einer Website umfasst das Cookies, Anzeigenkennungen, IP-Adresse und die E-Mail-Adresse des Newsletters.

Sensible Information

Rassische oder ethnische Herkunft, religiöser Glaube, Gesundheitsdiagnose, sexuelle Orientierung, Einwanderungsstatus, genetische und biometrische Daten, Daten von Kindern und genauer Standort in einem Umkreis von 1.750 Fuß.

Verkauf

Im TIPA ist Verkauf der Austausch personenbezogener Informationen gegen Geld mit einem Dritten. Das Gesetz spricht nicht von einer anderen wertvollen Gegenleistung, wie es Bundesstaaten wie Delaware und Montana tun.

Zielgerichtete Werbung

Eine Anzeige, die auf Grundlage des Verhaltens der Besucher im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Eine Anzeige nach dem Kontext der Seite fällt nicht unter diese Definition.

Rechte der Personen

Was Einwohner von Tennessee von Ihrer Website verlangen können

Anfragen müssen innerhalb von 45 Tagen beantwortet werden. Wenn das Unternehmen ablehnt, muss es den Grund erklären und einen Rechtsbehelf anbieten.

Bestätigen und Zugriff

Wissen, ob das Unternehmen Daten über sie verarbeitet, und Zugriff auf diese Daten erhalten.

Beheben

Die Berichtigung falscher Daten verlangen, unter Berücksichtigung der Art der Daten und des Zwecks der Nutzung.

Löschen

Verlangen, dass die von ihnen bereitgestellten oder über sie erlangten Daten gelöscht werden. Aggregierte oder entpersonalisierte Daten sind ausgenommen.

Übertragbarkeit

Eine Kopie der Daten in einem Format erhalten, das zu einem anderen Dienst mitgenommen werden kann, wenn das technisch möglich ist.

Zielgerichtete Anzeigen und Verkauf ablehnen

Verlangen, dass die Daten nicht für zielgerichtete Werbung verwendet und nicht verkauft werden. Das ist das Recht, das Websites mit Anzeigen am stärksten betrifft.

Automatisierte Profilbildung ablehnen

Die Nutzung der Daten in Profilen ablehnen, die zu Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung führen, etwa bei Kredit, Wohnen oder Beschäftigung.

Pflichten der Website

Was ein erfasstes Unternehmen einsatzbereit haben muss

  1. Vollständige DatenschutzhinweiseDer Hinweis muss sagen, wofür die Daten verwendet werden, welche Kategorien verarbeitet werden, welche Kategorien an Dritte verkauft werden, wie die Rechte ausgeübt werden und wie man gegen eine abschlägige Antwort vorgeht. Er muss auch das Recht erklären, den Verkauf abzulehnen.
  2. Nur das Nötige erhebenDie Erhebung muss auf das vernünftigerweise Notwendige für die mitgeteilten Zwecke beschränkt sein. Die Nutzung der Daten für einen anderen Zweck erfordert eine Einwilligung.
  3. Einwilligung für sensible DatenSensible Daten dürfen nur mit Einwilligung verarbeitet werden. Daten von Kindern unter 13 Jahren folgen den Regeln des Bundesgesetzes COPPA.
  4. Datenschutz-FolgenabschätzungBevor Daten für zielgerichtete Werbung, Verkauf, riskante Profile oder sensible Daten genutzt werden, muss das Unternehmen eine Bewertung von Risiken und Nutzen dokumentieren. Die Regel gilt für Tätigkeiten, die ab dem 1. Juli 2024 geschaffen oder erzeugt wurden.
  5. Verträge mit AuftragsverarbeiternAnbieter, die Daten im Auftrag des Unternehmens verarbeiten, brauchen einen schriftlichen Vertrag mit Vertraulichkeit, Rückgabe oder Löschung der Daten, Unterstützung bei den Bewertungen und denselben Regeln für Unterauftragnehmer.
  6. Angemessene SicherheitDas Unternehmen muss Sicherheitspraktiken unterhalten, die dem Volumen und der Sensibilität der Daten angemessen sind, und darf Daten nicht in einer Weise verarbeiten, die gegen Antidiskriminierungsgesetze verstößt.

Durchsetzung und Verteidigung über NIST

Wer kontrolliert, die Abhilfefrist und das Programm, das als Verteidigung dienen kann

Nur der Generalstaatsanwalt von Tennessee kann den TIPA durchsetzen, und Verbraucher können das Unternehmen auf Grundlage dieses Gesetzes nicht verklagen. Bevor er Klage erhebt, muss der Generalstaatsanwalt eine schriftliche Mitteilung senden und dem Unternehmen 60 Tage zur Behebung einräumen. Wenn das Unternehmen korrigiert und das schriftlich mitteilt, ruht der Fall, es sei denn, der Mangel wiederholt sich. Anders als in anderen Bundesstaaten hat diese Frist kein Ablaufdatum.

Wenn der Mangel nicht fristgerecht behoben wird, kann der Generalstaatsanwalt den Fall vor Gericht bringen und die im Gesetz vorgesehenen zivilrechtlichen Sanktionen beantragen. Der Generalstaatsanwalt kann aufgrund eigener Untersuchungen oder Beschwerden von Verbrauchern handeln, die über die Website, per E-Mail oder per Post eingereicht werden können. Die genauen Beträge der Bußen stehen im Gesetzestext, und es lohnt sich, sie mit einer Anwältin oder einem Anwalt zu prüfen.

Der TIPA bringt auch eine Einrede mit. Ein Unternehmen, das ein schriftliches Datenschutzprogramm unterhält und befolgt, das vernünftigerweise dem Privacy Framework des NIST, dem US-amerikanischen Institut für Standards und Technologie, oder einem vergleichbaren Modell entspricht, kann dies als Verteidigung nutzen. Das Programm muss den Verbrauchern die Rechte des Gesetzes geben und innerhalb von zwei Jahren nach jeder neuen Version des Frameworks aktualisiert werden. Auch die Zertifizierung Global CBPR kann berücksichtigt werden.

Ein Dokument in der Schublade genügt nicht. Der Umfang des Programms bemisst sich nach der Größe des Unternehmens, der Art der Tätigkeit und der Sensibilität der Daten. Für alle, die von Anzeigen leben, ist es bereits der Anfang dieses Programms, zu dokumentieren, welche Daten die Website erhebt, welche Partner diese Daten erhalten und wie das Opt-out funktioniert.

Zeitleiste

Die Daten des TIPA

Das Gesetz hatte eine lange Anpassungsfrist. Im November 2026 ist es bereits seit mehr als einem Jahr in Kraft.

  1. 2023

    Gesetz verabschiedet

    Tennessee verabschiedet den Tennessee Information Protection Act und kommt auf die Liste der Bundesstaaten mit allgemeinem Datenschutzgesetz.

  2. 1. Juli 2024

    Stichtag der Bewertungen

    Verarbeitungstätigkeiten, die ab diesem Datum geschaffen oder erzeugt wurden, fallen unter die Regel der Datenschutz-Folgenabschätzungen. Frühere Tätigkeiten sind nicht erfasst.

  3. 1. Juli 2025

    Inkrafttreten

    Der TIPA beginnt zu gelten. Erfasste Unternehmen müssen Anfragen beantworten, ein Opt-out anbieten und den vollständigen Datenschutzhinweis führen.

  4. 2025

    Material des Generalstaatsanwalts

    Der Generalstaatsanwalt veröffentlicht eine Zusammenfassung des Gesetzes, häufige Fragen für Verbraucher und Unternehmen und einen Kanal für Datenschutzbeschwerden.

Websites mit AdSense und Ad Manager

Wie das Opt-out aus Tennessee zu Google gelangt

Der TIPA verpflichtet das Unternehmen nicht, universelle Opt-out-Signale wie die Global Privacy Control, kurz GPC, zu erkennen, die einige Browser senden. Die Besucher müssen den Weg nutzen, den die Website anbietet. Dennoch ist es gute Praxis, den GPC zu beachten, und es vermeidet Probleme mit Bundesstaaten, in denen er Pflicht ist.

Google bietet in AdSense und Ad Manager im Bereich „Datenschutz und Messaging“ eine Meldung zu den Vorschriften der US-Bundesstaaten an. Sie schließt Tennessee unter den unterstützten Bundesstaaten ein und zeigt den Link Do Not Sell or Share. Wenn die Besucher ablehnen, aktiviert Google die eingeschränkte Datenverarbeitung, genannt RDP, und liefert Anzeigen aus, die den Verhaltensverlauf nicht nutzen.

Wer eine eigene CMP nutzt, kann die Entscheidung über GPP weitergeben, das Protokoll des IAB Tech Lab. Es gibt einen eigenen Abschnitt für Tennessee in der GPP, aber die Liste der von Google akzeptierten Abschnitte enthält ihn nicht. Für Google ist der Weg der Abschnitt US National: Die Ablehnung von Verkauf, Weitergabe oder zielgerichteter Werbung in diesem Abschnitt schaltet das RDP ein.

Man kann das RDP auch direkt im Tag einschalten, mit dem Parameter restrictDataProcessing von GPT oder dem Attribut data-restrict-data-processing von AdSense, nur für alle, die ein Opt-out verlangt haben. Wichtig ist, dass die Ablehnung der Besucher die Anzeigenanfrage tatsächlich verändert.

In der Praxis

Was mit dem TIPA erlaubt ist und was nicht

Beispiele für ein Unternehmen, das die Schwellen des Gesetzes überschreitet und Websites mit programmatischen Anzeigen monetarisiert.

Erlaubt

  • Kontextbezogene Anzeigen, nach dem Thema der Seite ausgewählt, für alle zeigen, die ein Opt-out verlangt haben
  • Die Meldung von Google zu den Vorschriften der Bundesstaaten nutzen, um den Link Do Not Sell or Share anzubieten
  • Einen einzigen Datenschutzhinweis für alle Bundesstaaten beibehalten, solange er abdeckt, was der TIPA verlangt
  • Für andere Landesgesetze erstellte Risikobewertungen weiterverwenden, wenn sie vergleichbar sind
  • Das auf NIST basierende Datenschutzprogramm als Verteidigung nutzen, wenn es schriftlich vorliegt und aktuell ist

Nicht erlaubt

  • Weiter Daten für personalisierte Anzeigen senden, nachdem die Besucher abgelehnt haben
  • Genauen Standort für Anzeigen ohne Einwilligung erheben
  • Die Datenschutzseite ohne Hinweis lassen, wie man gegen eine abgelehnte Anfrage vorgeht
  • Verlangen, dass die Besucher ein Konto anlegen, um Löschung oder Opt-out zu beantragen
  • NIST wie ein Siegel behandeln: Ohne ein wirklich befolgtes Programm gibt es keine Verteidigung

Häufige Fehler

Wo Websites beim TIPA stolpern

Diese Probleme treten häufig bei Websites auf, die sich schon um die GDPR und Kalifornien kümmern, aber Tennessee vergessen.

Meldung nur für Kalifornien

Die Opt-out-Meldung wurde vor Jahren nur für Kalifornien konfiguriert. Besucher aus Tennessee sehen den Link nie.

Link, der nichts tut

Die Fußzeile hat den Opt-out-Link, aber er führt zu einer Textseite. Die Anzeigenanfrage bleibt nach dem Klick gleich.

Hinweis ohne Verkauf und Anzeigen

Die Datenschutzerklärung spricht von Cookies, sagt aber nicht, dass Daten für zielgerichtete Werbung genutzt werden, und nicht, wie man ablehnt.

GPP ohne den Abschnitt US National

Die CMP erzeugt nur Bundesstaat-Abschnitte, die Google nicht liest. Das Opt-out existiert, erreicht aber die Google-Anzeigen nicht.

Bewertung nie durchgeführt

Das Unternehmen nutzt seit 2024 Daten für zielgerichtete Anzeigen, hat aber keine einzige dokumentierte Datenschutz-Folgenabschätzung.

Denken, man sei zu klein

Die Gruppe summiert mehrere Websites und überschreitet 25 Millionen US-Dollar Umsatz, aber jede Website wird behandelt, als läge sie außerhalb des Gesetzes.

In ConsentMode

Was das Audit für Tennessee prüft

  • Öffnet die Website als Besucher aus den USA und sucht den Opt-out-Link in der Fußzeile, im Menü und in der Datenschutzmeldung.
  • Erkennt die CMP oder die Meldung von Google am Code der Seite.
  • Liest die GPP-String in den Anzeigenanfragen und prüft, ob der Abschnitt US National existiert und sich nach dem Opt-out ändert.
  • Aktiviert das GPC-Signal im Browser des Audits und zeigt, ob sich das Verhalten der Seite und der Anzeigenanfragen ändert.
  • Prüft, ob die Datenschutzseite Verkauf, zielgerichtete Werbung, Rechte, Rechtsbehelf und Kontaktmöglichkeit nennt.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Meine brasilianische Website hat Besucher aus Tennessee. Muss ich den TIPA erfüllen?

Nur wenn Ihr Unternehmen die Schwellen überschreitet: Jahresumsatz über 25 Millionen US-Dollar und Daten von mindestens 175.000 Verbrauchern des Bundesstaats, oder 25.000 Verbraucher mit der Hälfte oder mehr des Umsatzes aus dem Verkauf von Daten. Die meisten kleinen Websites bleiben außen vor. Dennoch können Bundesstaaten mit niedrigeren Schwellen, etwa Delaware, Maryland und Nebraska, Ihr Geschäft erfassen, deshalb lohnt es sich, das Opt-out für den gesamten US-Traffic anzubieten.

Verpflichtet der TIPA dazu, den GPC zu beachten?

Nein. Das Gesetz verlangt nicht, universelle Opt-out-Signale anzuerkennen. Aber mehrere andere Bundesstaaten verlangen es, daher behandeln die meisten CMPs den GPC bereits für den gesamten US-Traffic.

Was passiert mit dem Umsatz, wenn die Besucher ablehnen?

Google nutzt dann die eingeschränkte Datenverarbeitung und liefert Anzeigen aus, die den Verlauf der Besucher nicht nutzen. Der Umsatz pro tausend Impressionen ist für dieses Publikum meist geringer, aber die Anzeige erscheint weiterhin.

Verlangt der TIPA ein Cookie-Banner?

Nein. Das Gesetz folgt dem Opt-out-Modell: Die Website darf Daten für Anzeigen nutzen, bis die Besucher ablehnen. Die Ausnahme sind sensible Daten, die eine vorherige Einwilligung erfordern.

Brauche ich ein NIST-Programm, um das Gesetz zu erfüllen?

Nein. Das auf NIST basierende Programm ist eine optionale Verteidigung. Es hilft bei einer Untersuchung, aber das Unternehmen muss das Gesetz trotzdem erfüllen.

Löst ConsentMode die Compliance mit dem TIPA?

ConsentMode ist weder eine Anwaltskanzlei noch eine CMP. Das Audit zeigt, was die Website mit dem Opt-out, GPP und der Datenschutzseite tatsächlich tut, damit Sie es mit Ihrem Anbieter und Ihrer Anwältin oder Ihrem Anwalt korrigieren können.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob das Opt-out Ihrer Website bei den Anzeigen ankommt

Das Audit öffnet die Website als US-Besucher und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten