Datenschutzgesetze der US-Bundesstaaten für kleine Unternehmen.

Stand Oktober 2026 gelten in 19 US-Bundesstaaten umfassende Datenschutzgesetze. Dabei handelt es sich um Kalifornien, Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana, Iowa, Delaware, Nebraska, New Hampshire, New Jersey, Tennessee, Minnesota, Maryland, Indiana, Kentucky und Rhode Island.

In Oklahoma und Louisiana treten die Gesetze am 1. Januar 2027 in Kraft, in Alabama am 1. Mai 2027 und in Vermont am 1. Januar 2028.

Die Datenschutzgesetze der US-Bundesstaaten gelten für ein Kleinunternehmen, sobald es einen bestimmten Schwellenwert des jeweiligen Bundesstaates überschreitet, der in den meisten Bundesstaaten anhand der Anzahl der Verbraucher festgelegt wird. In vielen Bundesstaaten liegt dieser Schwellenwert bei 100.000 Verbrauchern pro Jahr, in einigen bei 35.000 oder 25.000. In den meisten Fällen gelten die Vorschriften bereits ab einer geringeren Anzahl, wenn das Unternehmen personenbezogene Daten verkauft. Texas und Nebraska befreien Kleinunternehmen gemäß der SBA-Definition von der Regulierung, verlangen jedoch vor dem Verkauf sensibler Daten weiterhin eine Einwilligung.

Vergleichen Sie die Tabelle auf dieser Seite mit der Anzahl Ihrer Besucher und Kunden in den einzelnen Bundesstaaten.

In keinem US-Bundesstaat schreibt das Gesetz vor, dass für erwachsene Besucher vor dem Laden von Cookies ein Einwilligungsbanner angezeigt werden muss. Die Gesetze der Bundesstaaten sehen beim Verkauf von Daten und bei gezielter Werbung ein Opt-out-Modell vor.

Die Gesetze verlangen eine klare Möglichkeit zum Opt-out, eine Opt-in-Einwilligung für sensible Daten und in 10 Bundesstaaten die Berücksichtigung der „Global Privacy Control“. Mehrere Bundesstaaten fügen strengere Vorschriften für Minderjährige hinzu, wie beispielsweise die Einwilligung in gezielte Werbung für Jugendliche. „Privacy Consent“ zeigt den Link „Your Privacy Choices“ an, berücksichtigt die „Global Privacy Control“ und fragt jeden Besucher zunächst, ob ein Anbieter sensible Daten verarbeiten darf.

In 10 Bundesstaaten sind Unternehmen verpflichtet, universelle Opt-out-Signale wie Global Privacy Control zu beachten. Kalifornien hat diese Regelung als erstes umgesetzt, Colorado ab dem 1. Juli 2024 und Connecticut, Texas, Montana sowie New Hampshire ab dem 1. Januar 2025.

New Jersey folgte am 15. Juli 2025, Minnesota am 31. Juli 2025 sowie Oregon und Delaware am 1. Januar 2026. Vermont schließt sich am 1. Januar 2028 an.

Der Datenschutzrichtlinien-Generator erstellt einen Abschnitt zu CCPA und CPRA für Kalifornien, und in keinem Abschnitt werden die anderen staatlichen Gesetze namentlich genannt. Die Richtlinie listet die von Ihnen erhobenen Daten, die Zwecke, die Weitergabe sowie die Rechte der Verbraucher auf, wie es jedes staatliche Gesetz vorschreibt.

Prüfen Sie das Beschwerdeverfahren und die Opt-out-Möglichkeiten anhand der Gesetze der Bundesstaaten, in denen Sie Kunden haben.