Datenschutz in den USA: was eine Website mit Anzeigen wissen muss

Übersicht

Ein Flickenteppich statt eines einheitlichen Gesetzes

Die Vereinigten Staaten haben kein allgemeines Bundesdatenschutzgesetz wie die DSGVO oder die LGPD. Auf Bundesebene gibt es Gesetze nach Branchen und Zielgruppen. Die wichtigsten für eine Website mit Anzeigen sind das Gesetz der Federal Trade Commission (FTC Act), das irreführende und unfaire Praktiken verbietet, und COPPA, das Daten von Kindern unter 13 Jahren schützt.

In der Praxis heißt das, dass die Datenschutzerklärung die Wahrheit sagen muss. Wenn die Website sagt, dass sie keine Daten teilt, und sie an Werbenetzwerke weitergibt, kann die FTC das als irreführende Praxis werten. Und wenn der Inhalt sich an Kinder richtet, entfallen personalisierte Anzeigen.

Die Lücke auf Bundesebene haben die Bundesstaaten gefüllt. Kalifornien machte mit dem CCPA den Anfang, und seit 2023 hat eine wachsende Zahl von Staaten umfassende Verbraucherdatenschutzgesetze verabschiedet. Jedes Gesetz hat eigene Schwellen, Fristen und Details, aber fast alle folgen demselben Muster.

Die anderen Bundesstaaten

Welche Bundesstaaten schon umfassende Gesetze haben

Nach Kalifornien traten zuerst die Gesetze von Virginia am 1. Januar 2023 sowie von Colorado und Connecticut am 1. Juli 2023 in Kraft. Utah folgte mit einem schlankeren Gesetz.

Die Liste setzte sich fort mit Texas, Oregon, Montana, Iowa, Delaware, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota und Maryland. Die Gesetze von Indiana, Kentucky und Rhode Island gelten seit dem 1. Januar 2026.

Die Schwellen unterscheiden sich von Bundesstaat zu Bundesstaat. In Virginia zum Beispiel erfasst das Gesetz alle, die im Jahr Daten von mindestens 100.000 Verbrauchern verarbeiten oder von 25.000 Verbrauchern, wenn mehr als die Hälfte des Umsatzes aus dem Datenverkauf stammt. In Colorado liegt die Schwelle bei 100.000 Verbrauchern oder bei Umsatz aus dem Datenverkauf von 25.000 oder mehr.

Da jeder Bundesstaat eigene Details hat, bietet ConsentMode getrennte Leitfäden für die wichtigsten. Diese Seite gibt den Überblick. Die praktische Regel ist, die Website einmal nach dem strengsten Modell einzurichten und das Opt-out für alle Bundesstaaten mit geltendem Gesetz anzuwenden.

Signale

GPC und GPP: die zwei Signale, die die Website verstehen muss

Die Global Privacy Control (GPC) ist ein Signal, das der Browser selbst sendet, in Browsern wie Firefox, Brave und DuckDuckGo oder über eine Erweiterung. Sie funktioniert wie ein Knopf „Meine Daten nicht mehr verkaufen oder weitergeben“. Kalifornien verlangt von Unternehmen, dieses Signal als gültigen Opt-out-Antrag zu respektieren.

In Colorado ist die Akzeptanz universeller Opt-out-Mechanismen seit dem 1. Juli 2024 Pflicht, und GPC war der erste vom Bundesstaat anerkannte. In Connecticut gilt die Pflicht seit dem 1. Januar 2025. Das heißt: Ein Besucher mit eingeschaltetem GPC ist so zu behandeln, als hätte er auf den Opt-out-Link geklickt.

Die Global Privacy Platform (GPP) ist etwas anderes. Es ist das vom IAB Tech Lab geschaffene Format, mit dem die CMP die Auswahl des Besuchers an alle Werbepartner weitergibt, mit Abschnitten für die US-Bundesstaaten. Sie ersetzt den alten US-Privacy-String, den das IAB im Januar 2024 eingestellt hat.

Zusammengefasst: GPC ist die Anfrage, die vom Browser kommt. GPP ist die Art, wie die CMP Google und die anderen Netzwerke über die Auswahl des Besuchers informiert.

AdSense und Ad Manager

Wie Google die US-Bundesstaaten behandelt

Google bietet die eingeschränkte Datenverarbeitung (RDP) seit 2019 an, geschaffen für den CCPA, und hat sie im Januar 2023 auf die Landesgesetze ausgeweitet. Bei aktivierter RDP schränkt Google die Nutzung von Kennungen ein und liefert für diesen Besuch nur nicht personalisierte Anzeigen aus.

RDP lässt sich auf drei Arten aktivieren: über eine CMP, die das GPP-Signal sendet, per Einstellung in jeder Anzeigenanfrage im Tag der Website oder für den gesamten Traffic der betroffenen Bundesstaaten in den Einstellungen unter Datenschutz und Mitteilungen. Die Einstellung pro Anfrage passt gut zu einem Opt-out-Link im Footer.

In AdSense und Ad Manager gibt es auch die Kontrolle Ihre Werbepartner überprüfen unter Vorschriften der US-Bundesstaaten, um festzulegen, welche Käufer Nutzern dieser Bundesstaaten Anzeigen ausliefern dürfen. Google empfiehlt den Wechsel vom US-Privacy-String zur GPP, liest den alten String aber aus Kompatibilitätsgründen weiter.

Anders als in Europa verlangt Google für die Vereinigten Staaten keine zertifizierte CMP. Aber der Publisher bleibt dafür verantwortlich, das von den Landesgesetzen verlangte Opt-out anzubieten und die Datenschutzerklärung korrekt zu halten.