Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

UCPA: das Gesetz von Utah erklärt für alle mit Anzeigen

Utah hat eines der leichtesten Datenschutzgesetze der US-Bundesstaaten und erfasst nur größere Unternehmen. Trotzdem müssen alle, die darunter fallen, zielgerichtete Werbung erklären und eine einfache Möglichkeit zur Ablehnung bieten. Sehen Sie, wann es für Ihre Website gilt und was Google mit dem Signal macht.

Meine Website für Utah prüfenLeitfaden lesen
  • ✓Basierend auf dem offiziellen Text des Utah Code
  • ✓Beispiele für Websites mit AdSense und Ad Manager
  • ✓Reines Lese-Audit, ohne die Website zu verändern
25 Mio. US-DollarMindestjahresumsatz, damit das Gesetz gilt, zusätzlich zu einer Verbraucherschwelle
100.000Verbraucher aus Utah pro Jahr, die Mengenschwelle für Unternehmen über der Umsatzgrenze
30 TageFrist zur Behebung eines Mangels nach der schriftlichen Mitteilung des Generalstaatsanwalts
7.500 US-Dollarmaximales Bußgeld pro Verstoß, zusätzlich zum tatsächlichen Schaden der Verbraucher

Was es ist

Ein schlankes Gesetz, gedacht, um kleine Unternehmen nicht zu belasten

Der Utah Consumer Privacy Act, kurz UCPA, steht in Kapitel 61 von Titel 13 des Utah Code. Er wurde 2022 verabschiedet und trat am 31. Dezember 2023 in Kraft.

Der UCPA folgt der Struktur des Gesetzes von Virginia, ist aber leichter. Er verlangt keine Datenschutz-Folgenabschätzungen, verpflichtet die Website nicht, automatische Browsersignale zu beachten, und erlaubt die Verarbeitung sensibler Daten mit Hinweis und Ablehnungsoption statt vorheriger Einwilligung.

Er ist außerdem das einzige Gesetz dieser Gruppe, das einen Mindestumsatz verlangt. Ein Unternehmen fällt nur darunter, wenn es einen Jahresumsatz von mindestens 25 Millionen US-Dollar und zusätzlich eine relevante Zahl von Verbrauchern aus Utah hat.

Für alle, die darunter fallen, ändert sich die zentrale Regel nicht: Die Website muss darauf hinweisen, dass sie zielgerichtete Werbung betreibt, und dem Besucher einen klaren Weg zur Ablehnung bieten.

Checkliste

Was Sie erfüllen müssen

Gelten nur für Unternehmen mit einem Jahresumsatz von 25 Millionen US-Dollar oder mehr, die zusätzlich eine der Mengenschwellen überschreiten.

  1. Klar zeigen, wie man ablehnt

    Wer Daten verkauft oder zielgerichtete Werbung betreibt, muss klar und sichtbar zeigen, wie der Besucher ablehnt. Das Gesetz legt den Text des Links nicht fest.

    Beispiel

    Fußzeile: Do Not Sell or Share My Personal Information

  2. Eine klare Datenschutzerklärung veröffentlichen

    Die Erklärung listet die Datenkategorien, die Zwecke, wie man Rechte ausübt, die an Dritte weitergegebenen Daten und die Arten von Dritten auf.

    Beispiel

    Wir nutzen Browsingdaten, um Anzeigen zu zeigen. Wir teilen diese Daten mit Werbenetzwerken. Zum Ablehnen nutzen Sie den Link in der Fußzeile.

  3. Vor der Nutzung sensibler Daten informieren

    Bevor sensible Daten verarbeitet werden, gibt die Website einen klaren Hinweis und die Möglichkeit zur Ablehnung. Für bekannte Kinder gilt das Gesetz COPPA.

  4. Innerhalb von 45 Tagen antworten

    Anfragen werden innerhalb von 45 Tagen beantwortet. Wenn weitere 45 nötig sind, informiert die Website den Besucher und sagt, wie viel länger es dauern wird.

  5. Die Anfrage auf Berichtigung erfüllen

    Seit dem 1. Juli 2026 kann der Besucher auch die Berichtigung falscher Daten verlangen.

  6. Den Abschnitt US National mit Google nutzen

    Google akzeptiert den Utah-Abschnitt des GPP-Strings nicht. Für Utah muss die CMP US National senden, oder die Website schaltet das RDP direkt im Tag ein.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

  7. Bei einer Mitteilung schnell beheben

    Der Generalstaatsanwalt benachrichtigt schriftlich und gewährt 30 Tage zur Behebung. Bleibt der Mangel bestehen, beträgt das Bußgeld bis zu 7.500 US-Dollar pro Verstoß.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Utah keine zertifizierte CMP. Die Meldung von Google für US-Bundesstaaten deckt Utah ab und speichert die Auswahl im Abschnitt US National. Hier sind die offiziellen Links.

Für wen es gilt

Umsatz und Menge, beides zugleich

Das Gesetz gilt für alle, die in Utah Geschäfte machen oder Produkte und Dienste an Einwohner des Bundesstaats anbieten und die Umsatzbedingung sowie eine der Mengenbedingungen erfüllen.

Umsatz von 25 Millionen US-Dollar

Jahresumsatz von 25 Millionen US-Dollar oder mehr. Ohne diese Bedingung gilt das Gesetz nicht, egal wie groß der Traffic ist.

100.000 Verbraucher

Zusätzlich zum Umsatz Daten von 100.000 oder mehr Verbrauchern aus Utah in einem Kalenderjahr kontrollieren oder verarbeiten.

Oder 25.000 und Datenverkauf

Oder Daten von 25.000 Verbrauchern verarbeiten und mehr als 50 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielen.

Wer nicht erfasst ist

Öffentliche Stellen, gemeinnützige Organisationen, Hochschulen und Daten, die unter Bundesgesetze zu Finanzen und Gesundheit fallen.

Definitionen

Die Begriffe, die für den Anzeigenverkauf zählen

Utah verwendet enge Definitionen, ähnlich denen von Virginia.

Personenbezogenes Datum

Information, die mit einer identifizierten oder identifizierbaren Person verknüpft ist oder vernünftigerweise verknüpft werden kann. Anonymisierte und öffentliche Daten sind ausgenommen.

Sensibles Datum

Rassische oder ethnische Herkunft, Religion, sexuelle Orientierung, Einwanderungsstatus, Krankengeschichte und Gesundheitsdaten, genetische und biometrische Daten sowie präziser Standort.

Verkauf

Austausch personenbezogener Daten gegen Geld mit einem Dritten. Wie in Virginia zählt nur eine Zahlung in Geld.

Zielgerichtete Werbung

Eine Anzeige, die auf Grundlage von Daten über die Aktivitäten der Person im Zeitverlauf auf Websites und in Apps anderer Unternehmen ausgewählt wird. Kontextbezogene Anzeigen zählen nicht.

Rechte

Was der Besucher aus Utah verlangen kann

Das Unternehmen hat 45 Tage zur Antwort, mit der Möglichkeit einer Verlängerung. Die Liste der Rechte ist kleiner als in anderen Bundesstaaten.

Auskunft

Bestätigen, ob das Unternehmen seine Daten verarbeitet, und Zugang zu ihnen haben.

Löschung und Übertragbarkeit

Die Daten löschen, die er selbst bereitgestellt hat, und eine Kopie in einem Format erhalten, das er zu einem anderen Dienst mitnehmen kann.

Berichtigung, seit dem 1. Juli 2026

Eine 2025 beschlossene Änderung fügte das Recht hinzu, die Berichtigung falscher Daten zu verlangen, das im ursprünglichen Gesetz fehlte.

Opt-out

Die Nutzung der Daten für zielgerichtete Werbung und den Verkauf personenbezogener Daten ablehnen.

Pflichten der Website

Datenschutzerklärung, Ablehnung und sensible Daten

Das Unternehmen braucht eine zugängliche und klare Datenschutzerklärung. Sie muss die Kategorien verarbeiteter Daten, die Zwecke, die Ausübung der Rechte, die Kategorien an Dritte weitergegebener Daten und die Kategorien dieser Dritten nennen.

Verkauft die Website Daten oder betreibt sie zielgerichtete Werbung, muss sie klar und sichtbar zeigen, wie der Besucher ablehnen kann. Das Gesetz legt den Text des Links nicht fest, aber er muss leicht zu finden sein, etwa in der Fußzeile.

Sensible Daten dürfen erst nach einem klaren Hinweis und der Chance zur Ablehnung verarbeitet werden. Für Daten bekanntermaßen minderjähriger Kinder gilt das Bundesgesetz COPPA, mit Einwilligung der Eltern.

Utah verlangt nicht, dass die Website die Global Privacy Control oder andere automatische Browsersignale beachtet, und verlangt keine Datenschutz-Folgenabschätzungen. Das hindert das Unternehmen nicht, den GPC freiwillig zu beachten, was den Betrieb in mehreren Bundesstaaten vereinfacht.

Zeitleiste

Die Daten des Gesetzes von Utah

Der UCPA hat sich seit dem Inkrafttreten wenig verändert.

  1. 2022

    Gesetz verabschiedet

    Utah verabschiedet sein umfassendes Verbraucherdatenschutzgesetz, die SB 227.

  2. 31. Dezember 2023

    Inkrafttreten

    Die Rechte, die Datenschutzerklärung und das Opt-out bei zielgerichteter Werbung und Verkauf treten in Kraft.

  3. 2025

    Änderung beschlossen

    Das Parlament von Utah beschließt die Aufnahme des Berichtigungsrechts.

  4. 1. Juli 2026

    Berichtigungsrecht in Kraft

    Besucher können jetzt verlangen, dass falsche Daten berichtigt werden.

Durchsetzung und Strafen

Generalstaatsanwalt, Verbraucherschutzabteilung und 30 Tage Frist

Der Generalstaatsanwalt von Utah ist allein für die Durchsetzung des Gesetzes zuständig. Die staatliche Verbraucherschutzabteilung nimmt Beschwerden entgegen, ermittelt und kann den Fall an den Generalstaatsanwalt weiterleiten. Einzelpersonen können das Unternehmen auf Grundlage des UCPA nicht verklagen.

Vor einer Klage muss der Generalstaatsanwalt mindestens 30 Tage vorher eine schriftliche Mitteilung schicken, in der jeder Verstoß benannt wird. Wenn das Unternehmen innerhalb dieser Frist alles behebt und schriftlich erklärt, dass es den Verstoß behoben hat und nicht wiederholen wird, gibt es kein Verfahren. Diese Abhilfefrist läuft nicht aus.

Wenn der Verstoß fortbesteht oder erneut auftritt, kann der Generalstaatsanwalt den tatsächlichen Schaden der Verbraucher und eine Strafe von bis zu 7.500 US-Dollar pro Verstoß verlangen.

In der Praxis gibt die 30-Tage-Frist eine zweite Chance, aber nur denen, die die Mitteilung lesen und schnell nachbessern. Wer Hinweis und Widerspruchsmöglichkeit von Anfang an hat, vermeidet das Problem.

AdSense und Ad Manager

So behandelt Google Besucher aus Utah

Das IAB Tech Lab hat einen eigenen Utah-Abschnitt im GPP-String geschaffen, aber Google akzeptiert ihn nicht. Die AdSense-Supportseite führt den Utah-Abschnitt unter den nicht unterstützten Strings auf.

Für Utah liest Google den Abschnitt US National. Wenn dieser eine Ablehnung von Verkauf, Weitergabe oder gezielter Werbung anzeigt, aktiviert Google die eingeschränkte Datenverarbeitung (RDP) und zeigt nur nicht personalisierte Anzeigen.

Die Datenschutzmeldung für US-Bundesstaaten in AdSense und Ad Manager umfasst Utah und speichert die Auswahl im Abschnitt US National. Wenn Sie eine andere CMP verwenden, prüfen Sie, ob sie den Abschnitt US National an Besucher aus Utah sendet und nicht nur den bundesstaatlichen Abschnitt.

Eine weitere Möglichkeit ist, RDP direkt im Anzeigen-Tag zu aktivieren, zum Beispiel mit restrictDataProcessing in GPT, für alle, die abgelehnt haben. Denken Sie daran, die Ablehnung auch an Header-Bidding-Partner, Video und Pixel weiterzugeben.

In der Praxis

Was in Utah erlaubt ist und was nicht

Beispiele für eine Website mit Anzeigen, die über den Schwellenwerten des Gesetzes liegt.

Erlaubt

  • Personalisierte Anzeigen zeigen, ohne vorher um Erlaubnis zu fragen, mit sichtbarem Ablehnungslink
  • Die Ablehnung von Besuchern aus Utah im Abschnitt US National der GPP speichern
  • GPC freiwillig respektieren, auch ohne Verpflichtung
  • Sensible Daten nach klarem Hinweis und mit Ablehnungsoption verarbeiten
  • Kontextbezogene Anzeigen für alle zeigen, die abgelehnt haben

Nicht erlaubt

  • Nur den Utah-Abschnitt senden und davon ausgehen, dass Google ihn liest
  • Die Ablehnung mitten in der Datenschutzerklärung verstecken
  • Gesundheitsdaten oder genaue Standortdaten ohne Hinweis und ohne Ablehnungsmöglichkeit verarbeiten
  • Eine Mitteilung des Generalstaatsanwalts ignorieren und die 30-Tage-Frist verstreichen lassen
  • Die Berichtigung falscher Daten nach Juli 2026 verweigern

Häufige Fehler

Wo Websites bei Utah oft Fehler machen

Das Gesetz ist einfach, aber der technische Teil scheitert oft.

Falscher GPP-Abschnitt

Die CMP sendet nur den Utah-Abschnitt, den Google nicht akzeptiert, und die Anzeigenanfrage läuft ohne RDP weiter.

Richtlinie ohne Anzeigen

Die Richtlinie spricht von Cookies, sagt aber nicht, dass es gezielte Werbung gibt und wie man ablehnt.

Annehmen, dass Utah keine Rolle spielt

Das Unternehmen überschreitet 25 Millionen US-Dollar Umsatz und 100.000 Besucher aus Utah und bietet keinerlei Ablehnung an.

Veraltete Rechte

Die Richtlinie erwähnt nicht das Berichtigungsrecht, das seit dem 1. Juli 2026 gilt.

In ConsentMode

Was die Prüfung zum UCPA kontrolliert

  • Öffnet die Website als Besucher aus Utah und sucht an gut sichtbarer Stelle den Ablehnungslink für gezielte Werbung.
  • Liest den GPP-String in den Anzeigenanfragen und zeigt, ob er den Abschnitt US National enthält, den Google für Utah liest.
  • Erkennt die CMP und prüft, ob die Ablehnung den String ändert, bevor die Anzeigen- und Header-Bidding-Anfragen gesendet werden.
  • Hält fest, ob die Website GPC respektiert. Das ist in Utah nicht vorgeschrieben, in anderen Bundesstaaten aber schon.
  • Liest die Datenschutzerklärung und weist darauf hin, wenn Zwecke, Dritte, Rechte oder die Art der Ablehnung fehlen.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zum Gesetz von Utah

Meine Website setzt weniger als 25 Millionen US-Dollar um. Gilt das UCPA?

Nein. Das Gesetz gilt nur für Unternehmen mit einem Jahresumsatz von mindestens 25 Millionen US-Dollar, die zusätzlich eine der Verbraucherschwellen überschreiten. Trotzdem können Werbepartner die Ablehnungssignale anfordern.

Muss ich GPC in Utah respektieren?

Das UCPA schreibt es nicht vor. Viele Websites respektieren es trotzdem, weil Bundesstaaten wie Kalifornien, Colorado, Connecticut und Oregon es verlangen.

Brauche ich eine Einwilligung für sensible Daten?

Utah verlangt vor der Verarbeitung einen klaren Hinweis und eine Ablehnungsmöglichkeit, aber keine vorherige Einwilligung. Für Kinder gilt das Bundesgesetz COPPA.

Welchen GPP-Abschnitt soll ich für Utah senden?

Für Google ist es US National. AdSense gibt an, dass der Utah-Abschnitt nicht akzeptiert wird.

Konfiguriert ConsentMode meine CMP?

Nein. ConsentMode ist keine CMP und ändert die Website nicht. Es zeigt, welcher Abschnitt gesendet wird und was anzupassen ist.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Finden Sie heraus, ob Google Ihre Ablehnung liest

Die Prüfung öffnet die Website als Besucher aus Utah und zeigt den an die Anzeigen gesendeten String, ohne etwas zu verändern.

Audit starten