Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

TDPSA: Das Gesetz von Texas, erklärt für alle mit Anzeigen

Das Gesetz von Texas nutzt nicht die Zahl der Besucher, um zu entscheiden, wer es erfüllen muss. Es prüft, ob das Unternehmen nach den bundesweiten Kriterien klein ist. In diesem Leitfaden verstehen Sie diese Regel, was Besucher ablehnen können und wie der Generalstaatsanwalt von Texas die Durchsetzung betreibt.

Meine Website für Texas prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetz und der Seite des Generalstaatsanwalts von Texas
  • ✓Beispiele für Websites mit AdSense und Ad Manager
  • ✓Reines Lese-Audit, ohne die Website zu verändern
2Hinweise mit Pflichttext für alle, die sensible oder biometrische Daten verkaufen
30 TageFrist zur Behebung eines Mangels nach der Mitteilung des Generalstaatsanwalts, vor der Klage
7.500 US-Dollarmaximale zivilrechtliche Strafe pro Verstoß
45 TageFrist zur Beantwortung von Verbraucheranfragen, um weitere 45 Tage verlängerbar

Was es ist

Ein Gesetz eines Bundesstaats mit großer Reichweite und aktiver Durchsetzung

Der Texas Data Privacy and Security Act, kurz TDPSA, steht in Kapitel 541 des Business and Commerce Code von Texas. Er wurde 2023 verabschiedet und gilt seit dem 1. Juli 2024.

Die Struktur ähnelt der von Virginia: Verbraucherrechte, Opt-out bei zielgerichteter Werbung und Verkauf, Einwilligung für sensible Daten und Datenschutz-Folgenabschätzungen. Der große Unterschied liegt darin, wer es erfüllen muss.

Statt eine Mindestzahl an Besuchern zu verlangen, gilt der TDPSA für alle, die in Texas Geschäfte machen oder deren Produkte oder Dienstleistungen von Texanern genutzt werden, personenbezogene Daten verarbeiten und nach den Kriterien der Bundesbehörde für kleine Unternehmen, der SBA, kein Kleinunternehmen sind.

Für eine Website mit Anzeigen bedeutet das: Die Größe des Unternehmens zählt mehr als der Traffic. Und der Generalstaatsanwalt von Texas hat bereits gezeigt, dass er das Gesetz nutzt: Im Januar 2025 verklagte er auf dieser Grundlage den Versicherer Allstate und das Datenunternehmen Arity.

Checkliste

Was Sie erfüllen müssen

Wenn Ihr Unternehmen nach den Kriterien der SBA nicht klein ist und Besucher aus Texas hat, ist dies die Basisliste.

  1. Eine vollständige Datenschutzerklärung veröffentlichen

    Die Erklärung muss klar und leicht auffindbar sein. Sie listet die verarbeiteten Daten, die Zwecke, die weitergegebenen Daten, die Kategorien von Dritten, die Anfragekanäle und den Widerspruchsweg auf.

    Beispiel

    Link Datenschutzerklärung in der Fußzeile aller Seiten, der zur vollständigen Erklärung führt.

  2. Sagen, dass es zielgerichtete Werbung gibt, und wie man ablehnt

    Wer Daten verkauft oder zielgerichtete Werbung betreibt, muss das klar und sichtbar sagen. Dazu muss er erklären, wie der Besucher ablehnt.

    Beispiel

    Satz in der Erklärung: Wir nutzen Ihre Daten für zielgerichtete Werbung. Zum Ablehnen nutzen Sie den Link Do Not Sell or Share My Personal Information.

  3. Den exakten Satz verwenden, wenn Sie sensible Daten verkaufen

    Das Gesetz verlangt, einen Hinweis mit festem Wortlaut auf Englisch zu veröffentlichen, wenn man sensible oder biometrische Daten verkauft.

    Beispiel

    NOTICE: We may sell your sensitive personal data. Für biometrische Daten: NOTICE: We may sell your biometric personal data.

  4. Für sensible Daten eine Einwilligung einholen

    Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Auch kleine Unternehmen brauchen vor dem Verkauf dieser Daten eine Einwilligung.

    Beispiel

    Zeigen Sie vor der Nutzung des genauen Standorts des Besuchers eine Frage mit den Optionen Zulassen und Nicht zulassen.

  5. Die vom Browser gesendete Ablehnung akzeptieren

    Seit dem 1. Januar 2025 kann der Besucher über eine globale Einstellung des Browsers oder des Geräts ablehnen. Setzen Sie sie um, wenn sich die Anfrage überprüfen lässt.

    Beispiel

    Besucher mit aktiviertem GPC: Behandeln Sie ihn so, als hätte er auf Ablehnen geklickt.

  6. Anfragen entgegennehmen, ohne ein neues Konto zu verlangen

    Bieten Sie mindestens zwei sichere Kanäle für Anfragen an und verlangen Sie kein neues Konto. Antworten Sie innerhalb von 45 Tagen, um weitere 45 verlängerbar, und richten Sie einen Widerspruchsweg ein.

    Beispiel

    Laut Generalstaatsanwalt darf ein reines Online-Unternehmen mit direkter Beziehung zum Verbraucher nur eine E-Mail-Adresse anbieten, etwa datenschutz@ihre-website.de.

  7. Die Datenschutz-Folgenabschätzung durchführen

    Zielgerichtete Werbung, Datenverkauf und sensible Daten erfordern eine schriftliche Bewertung von Risiken und Nutzen. Der Generalstaatsanwalt kann dieses Dokument anfordern.

  8. Die Ablehnung an Google weitergeben

    Google verlangt für die US-Bundesstaaten keine CMP. Nutzen Sie die Meldung zu Vorschriften von US-Bundesstaaten unter Datenschutz und Messaging oder schalten Sie die eingeschränkte Datenverarbeitung, das RDP, im Tag für Personen ein, die abgelehnt haben. Mit GPP liest Google den Abschnitt US National für Texas.

    Beispiel

    AdSense oder Ad Manager: Datenschutz und Messaging, Karte Vorschriften von US-Bundesstaaten, Erstellen. Wählen Sie danach die Websites aus und veröffentlichen Sie.

    // Só para o visitante que recusou
googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true,
});

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die Gesetze der US-Bundesstaaten weder eine zertifizierte CMP noch GPP. Sie können die Meldung von Google selbst nutzen oder das RDP im Tag einschalten.

Für wen es gilt

Die Kleinunternehmensregel

Der TDPSA hat keine eigene Schwelle bei Besuchern oder Umsatz. Die Hauptfrage ist, ob Ihr Unternehmen nach den Kriterien der SBA klein ist.

Geschäfte mit Bezug zu Texas

In Texas Geschäfte machen oder Produkte und Dienstleistungen haben, die von Einwohnern des Bundesstaats genutzt werden. Eine Website mit texanischem Publikum kann darunterfallen.

Daten verarbeiten oder verkaufen

Personenbezogene Daten verarbeiten oder diese Daten verkaufen. Cookies und Anzeigenkennungen sind personenbezogene Daten.

Kein Kleinunternehmen sein

Die SBA definiert Kleinunternehmen nach Branche, auf Grundlage von Umsatz oder Zahl der Mitarbeitenden. Wer diese Größe überschreitet, fällt unter das Gesetz.

Ausnahme, die für alle gilt

Auch ein Kleinunternehmen braucht die Einwilligung der Verbraucher, bevor es deren sensible Daten verkauft.

Definitionen

Die Begriffe, die für den Anzeigenverkauf zählen

Texas definiert Verkauf weit, einschließlich Tauschgeschäften, bei denen kein Geld fließt.

Personenbezogenes Datum

Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder vernünftigerweise verknüpft werden kann. Anonymisierte und öffentliche Daten sind ausgenommen.

Sensibles Datum

Rassische oder ethnische Herkunft, Religion, psychische oder körperliche Gesundheit, Sexualität, Einwanderungsstatus, genetische und biometrische Daten, Daten bekannter Kinder und genauer Standort.

Verkauf

Personenbezogene Daten an Dritte gegen Geld oder einen anderen Wert weitergeben, offenlegen oder übermitteln. Datenpartnerschaften im Austausch für einen Dienst können zählen.

Zielgerichtete Werbung

Eine Anzeige, die auf Grundlage von Daten über die Aktivitäten der Person im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Kontextbezogene Anzeigen zählen nicht.

Pflichten der Website

Datenschutzhinweis mit Pflichtsätzen

Das Unternehmen braucht einen klaren, zugänglichen Datenschutzhinweis. Er listet die Kategorien der verarbeiteten Daten, die Zwecke, die Ausübung der Rechte und den Widerspruch, die Kategorien der an Dritte weitergegebenen Daten und die Kategorien dieser Dritten.

Texas schreibt in zwei Fällen einen exakten Wortlaut vor. Wer sensible Daten verkauft, muss in den Hinweis den Satz NOTICE: We may sell your sensitive personal data. aufnehmen. Wer biometrische Daten verkauft, muss NOTICE: We may sell your biometric personal data. aufnehmen. Die Hinweise erscheinen auf Englisch, wie es das Gesetz vorschreibt.

Wer Daten verkauft oder zielgerichtete Werbung betreibt, muss das ebenfalls klar und sichtbar zeigen, zusammen mit dem Weg zur Ablehnung. Die Ablehnung darf nicht verlangen, ein neues Konto anzulegen.

Sensible Daten dürfen nur mit Einwilligung verarbeitet werden. Für bekannte Kinder unter 13 Jahren gilt das Bundesgesetz COPPA, mit Einwilligung der Eltern.

Rechte, Opt-out und Folgenabschätzungen

Rechte der Besucher, Ablehnung über den Browser und Folgenabschätzungen

Besucher aus Texas können wissen, ob das Unternehmen ihre Daten verarbeitet, darauf zugreifen, eine Kopie mitnehmen, berichtigen, löschen und zielgerichtete Werbung, Verkauf und bestimmte Profile ablehnen, ohne Vergeltung zu erleiden. Das Unternehmen antwortet innerhalb von 45 Tagen, um weitere 45 verlängerbar, und muss denjenigen, deren Antrag abgelehnt wurde, einen Rechtsbehelf bieten.

Seit dem 1. Januar 2025 erlaubt das Gesetz den Besuchern, zielgerichtete Werbung und den Datenverkauf über eine Technologie abzulehnen, etwa eine globale Einstellung des Browsers oder Geräts, die als bevollmächtigter Vertreter fungiert. Das Unternehmen muss ihr nachkommen, wenn es Identität und Bevollmächtigung überprüfen kann. Das Gesetz nennt die Global Privacy Control nicht namentlich, aber der GPC ist das bekannteste Beispiel für diese Art von Einstellung.

In der Praxis ist der sicherste Weg, dass die CMP den GPC erkennt, die Besucher als abgelehnt markiert und diese Ablehnung vor der ersten Anfrage an alle Werbepartner weitergibt.

Das Unternehmen muss außerdem Datenschutz-Folgenabschätzungen für zielgerichtete Werbung, Datenverkauf, sensible Daten und bestimmte Profile durchführen. Die Bewertung wägt Nutzen und Risiken ab und kann vom Generalstaatsanwalt in einer Untersuchung angefordert werden.

Zeitleiste

Die Daten des Gesetzes von Texas

Daten, bestätigt auf der Seite des Generalstaatsanwalts von Texas und in offiziellen Mitteilungen.

  1. 2023

    Gesetz verabschiedet

    Texas verabschiedet den TDPSA, der in Kapitel 541 des Business and Commerce Code aufgenommen wird.

  2. 1. Juli 2024

    Inkrafttreten

    Die Rechte, die Pflichthinweise, das Opt-out und die Folgenabschätzungen beginnen zu gelten.

  3. 1. Januar 2025

    Ablehnung über den Browser

    Die Ablehnung über eine globale Einstellung des Browsers oder Geräts beginnt zu gelten.

  4. Januar 2025

    Klage gegen Allstate

    Der Generalstaatsanwalt verklagt Allstate und Arity wegen der Nutzung von Standortdaten ohne Hinweis und Einwilligung.

Durchsetzung und Strafen

Generalstaatsanwalt mit alleiniger Befugnis und Frist von 30 Tagen

Der Generalstaatsanwalt von Texas ist allein zuständig für die Durchsetzung des TDPSA. Er kann Dokumente verlangen, eine gerichtliche Anordnung beantragen, Bußen und Honorare einfordern. Bürgerinnen und Bürger können das Unternehmen nicht verklagen, aber auf der Website des Generalstaatsanwalts eine Beschwerde einreichen.

Bevor er Klage erhebt, muss der Generalstaatsanwalt schriftlich benachrichtigen. Das Unternehmen hat 30 Tage, um den Mangel zu beheben und eine schriftliche Erklärung mit Dokumenten einzureichen, die die Korrektur belegen, einschließlich Änderungen interner Richtlinien. Für diese Frist gibt es kein Ablaufdatum.

Wer nicht fristgerecht korrigiert oder gegen die eingereichte Erklärung verstößt, unterliegt einer zivilrechtlichen Strafe von bis zu 7.500 US-Dollar pro Verstoß.

Im Januar 2025 beschuldigte der Generalstaatsanwalt Allstate und Arity, über Apps genaue Standortdaten von Fahrern erhoben und verkauft zu haben, ohne den für sensible Daten verlangten Hinweis und die Einwilligung.

AdSense und Ad Manager

Wie Google Besucher aus Texas behandelt

Das IAB Tech Lab hat in der GPP-String einen Abschnitt für Texas, aber Google führt ihn nicht unter den von AdSense akzeptierten Abschnitten auf. Für Texas liest Google den Abschnitt US National.

Wenn US National die Ablehnung von Verkauf, Weitergabe oder zielgerichteter Werbung anzeigt, aktiviert Google die eingeschränkte Datenverarbeitung, das RDP, und zeigt nur nicht personalisierte Anzeigen.

Die Meldung für US-Bundesstaaten in AdSense und Ad Manager schließt Texas ein und speichert die Entscheidung im Abschnitt US National. Prüfen Sie bei einer anderen CMP, ob sie US National für texanische Besucher sendet und die Ablehnung markiert, wenn der GPC eingeschaltet ist.

Eine weitere Option ist, das RDP direkt im Anzeigen-Tag zu aktivieren, zum Beispiel mit restrictDataProcessing in GPT, für alle, die abgelehnt haben. Die Ablehnung muss auch Header Bidding, Video und Pixel erreichen.

In der Praxis

Was in Texas erlaubt ist und was nicht

Beispiele für eine Website mit Anzeigen, die sich im Rahmen des Gesetzes bewegt.

Erlaubt

  • Erwachsenen personalisierte Anzeigen zeigen, ohne vorher um Erlaubnis zu fragen, mit sichtbarem Ablehnungs-Link
  • Den GPC und andere globale Einstellungen als Ablehnung zielgerichteter Werbung behandeln
  • Die Ablehnung im Abschnitt US National der GPP speichern
  • Kontextbezogene Anzeigen für alle zeigen, die abgelehnt haben
  • Den Mangel beheben und die schriftliche Erklärung innerhalb von 30 Tagen nach einer Mitteilung senden

Nicht erlaubt

  • Sensible Daten ohne Einwilligung verkaufen, auch als Kleinunternehmen
  • Sensible Daten ohne den Pflichthinweis-Satz in der Erklärung verkaufen
  • Verlangen, ein Konto anzulegen, um zielgerichtete Werbung abzulehnen
  • Eine globale Ablehnungseinstellung ignorieren, weil die Besucher nicht auf das Banner geklickt haben
  • Genauen Standort über eine App ohne Hinweis und Einwilligung erheben

Häufige Fehler

Wo Websites bei Texas oft Fehler machen

Das Fehlen einer Besucherschwelle verwirrt viele.

Nach einer Besucherzahl suchen

Das Unternehmen sucht eine Schwelle von 100.000 Besuchern, die es in Texas nicht gibt, und prüft nicht, ob es nach der SBA ein Kleinunternehmen ist.

Bundesstaat-Abschnitt ohne US National

Die CMP sendet nur den Abschnitt von Texas, den AdSense nicht akzeptiert, und die Anzeigen bleiben personalisiert.

Globale Einstellung ignoriert

Die Website beachtet den GPC nur für Kalifornien und vergisst, dass das Gesetz von Texas seit 2025 die Ablehnung über eine globale Browsereinstellung vorsieht.

Erklärung ohne den geforderten Hinweis

Das Unternehmen verkauft sensible Daten, aber die Erklärung enthält nicht den Pflichtsatz.

In ConsentMode

Was das Audit zum TDPSA prüft

  • Öffnet die Website als Besucher aus Texas mit ausgeschaltetem und eingeschaltetem GPC und vergleicht die Anzeigenanfragen.
  • Liest die GPP-String und zeigt, ob der Abschnitt US National vorhanden ist und die Ablehnung anzeigt.
  • Sucht den Ablehnungs-Link an sichtbarer Stelle und prüft, ob er zu einem Auswahlbildschirm ohne Registrierung führt.
  • Erkennt die CMP und prüft, ob die Anzeigen- und Header-Bidding-Tags auf ihre Antwort warten.
  • Liest die Datenschutzerklärung und zeigt, ob die Rechte, die Dritten, die zielgerichtete Werbung und die Pflichtsätze fehlen, wenn sensible Daten verkauft werden.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zum Gesetz von Texas

Meine Website ist klein. Gilt der TDPSA für mich?

Wenn das Unternehmen nach den Kriterien der SBA klein ist, gilt der größte Teil des Gesetzes nicht. Die Ausnahme ist der Verkauf sensibler Daten, der bei jedem Unternehmen eine Einwilligung erfordert. Die SBA-Kriterien ändern sich je nach Branche, deshalb lohnt sich eine Rücksprache mit Ihrer Buchhaltung oder Ihrer Anwältin oder Ihrem Anwalt.

Brauche ich ein Einwilligungsbanner für Texas?

Für personalisierte Anzeigen an Erwachsene nicht. Das Gesetz verlangt ein Opt-out. Eine Einwilligung wird für sensible Daten verlangt.

Verpflichtet Texas dazu, den GPC zu beachten?

Seit dem 1. Januar 2025 schreibt das Gesetz vor, Ablehnungen zu erfüllen, die über eine globale Einstellung des Browsers oder Geräts gesendet werden, wenn Identität und Bevollmächtigung überprüfbar sind. Das Gesetz nennt den GPC nicht namentlich, aber er ist das bekannteste Beispiel, und ihn zu beachten ist der sicherste Weg.

Welchen Abschnitt der GPP soll ich für Texas senden?

Für Google den Abschnitt US National. Der Abschnitt von Texas existiert im Standard der IAB, aber AdSense führt ihn nicht als akzeptiert auf.

Sagt ConsentMode, ob ich ein Kleinunternehmen bin?

Nein. Das ist eine rechtliche und buchhalterische Beurteilung. ConsentMode prüft die Website von außen und zeigt, ob Link, Signale und Erklärung an ihrem Platz sind.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob die Ablehnung aus Texas bei den Anzeigen ankommt

Das Audit öffnet die Website als Besucher aus Texas, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten