Welche Datenschutzgesetze der US-Bundesstaaten betreffen Ihr Cookie-Banner?

Alle Beiträge

In neunzehn US-Bundesstaaten gilt ein umfassendes Datenschutzgesetz, Florida hat ein engeres, und vier weitere sind unterzeichnet. Keines verlangt ein Opt-in nach EU-Vorbild für gewöhnliche Cookies. Alle erwarten einen funktionierenden Opt-out für Verkauf und zielgerichtete Werbung, und zwölf, darunter Kalifornien, Colorado, Texas und New Jersey, verlangen, dass Sie Global Privacy Control berücksichtigen.

Schwellen, Fristen und Gesetzeslinks aller Bundesstaaten finden Sie auf unserer Karte der US-Datenschutzgesetze, mit einem Rechner, der zeigt, welche Gesetze Ihr Unternehmen betreffen. Dieser Beitrag behandelt, was sie für Ihr Banner bedeuten.

In welchen US-Bundesstaaten gilt ein Datenschutzgesetz?

Stand 5. Oktober 2026 gilt in neunzehn Bundesstaaten ein umfassendes Verbraucherdatenschutzgesetz. Kalifornien machte 2020 den Anfang. Virginia, Colorado, Connecticut und Utah folgten 2023, Oregon, Texas und Montana 2024. Acht weitere kamen 2025 hinzu, Indiana, Kentucky und Rhode Island am 1. Januar 2026. Floridas Digital Bill of Rights, ebenfalls von 2024, wird meist gesondert gezählt, weil sie nur Unternehmen mit mehr als 1 Mrd. $ Umsatz betrifft.

Oklahoma und Louisiana folgen am 1. Januar 2027, Alabama am 1. Mai 2027 und Vermont am 1. Januar 2028.

Jedes Gesetz hat seine eigene Schwelle. Die meisten greifen ab 100.000 Einwohnern pro Jahr, oder schon bei weniger, wenn Sie Daten verkaufen. Manche liegen deutlich tiefer: Montana beginnt bei 25.000, Delaware, New Hampshire, Maryland und Rhode Island bei 35.000, und seit dem 1. Juli 2026 erfasst Connecticut alle, die sensible Daten verarbeiten oder überhaupt personenbezogene Daten verkaufen. Texas und Nebraska kennen gar keine Zahlenschwelle; sie nehmen kleine Unternehmen nach der Definition der SBA aus. Tennessee gilt erst ab 25 Mio. $ Umsatz.

Verlangen die US-Datenschutzgesetze ein Cookie-Banner?

Nicht im Sinne der EU. Kein Bundesstaat verlangt eine Einwilligung, bevor gewöhnliche Analyse- oder Werbe-Cookies laufen. Das Modell ist Opt-out: Einwohner können Ihnen sagen, dass Sie ihre Daten nicht mehr verkaufen, nicht mehr für zielgerichtete Werbung nutzen und, in den meisten Staaten, nicht mehr für bestimmtes Profiling verwenden sollen.

Verlangt wird ein Weg, diese Entscheidung zu treffen. In Kalifornien heißt das ein Link „Do Not Sell or Share My Personal Information“ oder der kürzere Link „Your Privacy Choices“ mit dem zugehörigen Symbol. Connecticut und Delaware verlangen einen gut sichtbaren Link zu einer Seite, auf der man widersprechen kann. Die meisten anderen Staaten verlangen, dass Ihre Datenschutzhinweise erklären, wie der Opt-out funktioniert. Ein Banner erfüllt all das auf einmal, und zwar auf der Seite, auf der das Tracking stattfindet.

Zwei Ausnahmen gehen in die andere Richtung. Sensible Daten wie Gesundheitsdaten, genaue Standorte oder Daten von Kindern brauchen in den meisten Staaten eine Opt-in-Einwilligung. Und Jugendliche sind stärker geschützt. Connecticut und Maryland verbieten inzwischen zielgerichtete Werbung und Verkauf bei bekannten Nutzern unter 18, Oregon tut dasselbe bei bekannten Nutzern unter 16.

Welche Staaten verlangen, dass Sie Global Privacy Control berücksichtigen?

Global Privacy Control ist ein Browsersignal, das sagt: „Meine Daten nicht verkaufen oder teilen“. Brave und DuckDuckGo senden es standardmäßig, Firefox bietet eine Einstellung dafür. Zwölf Staaten werten es, oder ein vergleichbares Signal, als gültigen Opt-out.

Texas, Nebraska und Maryland formulieren es als Vertreter, der über eine Browsereinstellung handelt. Kalifornien geht am weitesten: Seit dem 1. Januar 2026 verlangen seine Vorschriften, dass eine Website anzeigt, ob sie das Signal verarbeitet hat, zum Beispiel mit dem Hinweis, dass dem Opt-out entsprochen wurde. Ab 2027 verpflichtet Kaliforniens AB 566 außerdem die Browser, die Einstellung anzubieten, also werden mehr Besucher sie senden. Louisiana führt 2027 eine ähnliche Pflicht ein, Vermont 2028.

Mehr zum Signal selbst: Was Global Privacy Control ist.

Wofür haben Behörden Unternehmen bestraft?

Kalifornien hat vierzehn Strafen nach seinem Datenschutzgesetz bekannt gemacht. Diese hier liegen am nächsten am Cookie-Banner:

• Honda, 632.500 $ (März 2025). „Alle zulassen“ ging mit einem Klick, Ablehnen brauchte mehr. Die Behörde nannte das ein Dark Pattern.
• Todd Snyder, 345.178 $ (Mai 2025). Eine falsch konfigurierte Consent-Plattform ließ Opt-outs 40 Tage lang unbearbeitet. Die Behörde stellte klar, dass der Einsatz eines Anbieters die Verantwortung nicht verlagert.
• Healthline, 1,55 Mio. $ (Juli 2025). Laut Banner waren Tracking-Cookies aus, obwohl sie es nicht waren, und GPC wurde ignoriert.
• Tractor Supply, 1,35 Mio. $ (September 2025). Kein funktionierender Opt-out, und GPC-Signale wurden nicht verarbeitet.
• Sling TV, 530.000 $ (Oktober 2025). Cookies abzuschalten stoppte den Verkauf oder die Weitergabe von Daten nicht.
• Disney, 2,75 Mio. $ (Februar 2026). GPC und Opt-outs galten nur für einen Browser oder ein Gerät, nicht für das angemeldete Konto.
• Ford, 375.703 $ (März 2026). Besucher mussten eine E-Mail-Adresse bestätigen, bevor ein Opt-out bearbeitet wurde.

Im September 2025 haben die Behörden in Kalifornien, Colorado und Connecticut außerdem gemeinsam Websites überprüft, die GPC ignorieren. Der gemeinsame Nenner: Die Entscheidung muss ändern, was die Seite tatsächlich tut.

Was hat sich 2026 geändert?

• 1. Januar: Kaliforniens Regel, die Berücksichtigung von GPC anzuzeigen, die GPC-Pflichten in Delaware und Oregon sowie die Gesetze in Indiana, Kentucky und Rhode Island sind in Kraft getreten.
• 30. Juni: New Jersey hat den Verkauf sensibler Daten komplett verboten, ohne Ausnahme bei Einwilligung.
• 1. Juli: Connecticut hat seine Schwelle auf 35.000 Einwohner gesenkt und zielgerichtete Werbung sowie Verkauf bei bekannten Minderjährigen unter 18 verboten.
• 30. September: Kalifornien hat SB 690 unterzeichnet. Damit bleiben Klagen nach den Pen-Register-Vorschriften wegen Website-Tracking ab 2027 dem Attorney General vorbehalten. Abhörklagen wegen Pixeln sind davon nicht betroffen.

Wie richtet man ein Banner für alle Bundesstaaten ein?

Sie brauchen keine fünfzig Banner. Ein Setup, das die strengsten gemeinsamen Regeln erfüllt, deckt die Banner-Seite jedes Landesgesetzes ab. Einige Pflichten liegen woanders, etwa das Verbot in New Jersey, sensible Daten zu verkaufen.

1. Ablehnen so einfach machen wie Akzeptieren

   Platzieren Sie „Ablehnen“ auf der ersten Ebene neben „Akzeptieren“, gleich groß und mit gleich vielen Klicks. Nach den kalifornischen Regeln ist ein Banner mit nur „Accept All“ und „Preferences“ keine faire Wahl, und das Schließen des Banners gilt nicht als Zustimmung. Colorados Regeln verlangen dieselbe Symmetrie, und sie ist der Maßstab, der sich am leichtesten überall anwenden lässt.

2. Dafür sorgen, dass die Ablehnung die Tags wirklich stoppt

   Werbe-Tags müssen dem Werbesignal folgen. In Google Tag Manager prüft jedes Tag ad_storage, ad_user_data und ad_personalization. Testen Sie es: ablehnen, neu laden und bestätigen, dass kein Werbe-Tag auslöst.

3. Global Privacy Control automatisch berücksichtigen

   Lesen Sie das Signal auf jeder Seite und werten Sie es als Opt-out von Verkauf und zielgerichteter Werbung, ganz ohne Klick. Lassen Sie es aktiv, solange das Signal anliegt.

4. Dem Besucher zeigen, dass das Signal berücksichtigt wurde

   Kalifornien verlangt es inzwischen, und anderswo kostet es nichts. Eine kurze Zeile im Banner genügt.

5. Den Opt-out-Link ergänzen

   Beschriften Sie die Ablehnung entsprechend, oder setzen Sie einen Footer-Link mit „Do Not Sell or Share My Personal Information“ oder „Your Privacy Choices“. Er sollte zu den Einstellungen führen, nicht zu einem Formular, das eine E-Mail-Adresse abfragt.

6. Jede Entscheidung protokollieren

   Speichern Sie, wann die Entscheidung getroffen wurde, wie sie lautete und ob GPC vorlag. So können Sie später einer Behörde oder einer Anfrage Auskunft geben.

Wie geht Velo mit den US-Datenschutzgesetzen um?

Velo erledigt die Schritte drei bis sechs für Sie, in jedem Tarif einschließlich Free:

• GPC automatisch berücksichtigt. Sendet der Browser eines Besuchers das Signal, wird eine Ablehnung der Werbung protokolliert, ganz ohne Klick.
• Kaliforniens Hinweis eingebaut. Das Banner teilt dem Besucher mit, dass das Signal angewendet wurde und Werbung aus ist.
• Die gesetzliche Beschriftung. Regionale Voreinstellungen können den Ablehnen-Button in „Do not sell or share my personal information“ umbenennen.
• Ein Beleg für jede Entscheidung. Jede Entscheidung wird mit Region und GPC-Status gespeichert.
• Eine Einstellung für alle Bundesstaaten. Velo liest das Land des Besuchers, nicht den Bundesstaat, also braucht ein neues Landesgesetz kein neues Banner. Sie können auch für die gesamten USA Opt-in festlegen.

Um zu sehen, was eine Ablehnung auf Ihrer eigenen Website stoppen muss, starten Sie die kostenlose Analyse: Sie listet die Cookies und Tags auf, die Ihre Seiten laden. Richten Sie dann das kostenlose Cookie-Banner ein und prüfen Sie es mit einem Browser, der GPC sendet.