Warum Maryland im Flickenteppich der US-Bundesstaaten heraussticht

Die meisten US-Datenschutzgesetze der Bundesstaaten seit 2021 folgen einer bekannten Vorlage: ein Katalog von Verbraucherrechten, ein Opt-out für zielgerichtete Werbung und Verkäufe, eine Opt-in-Einwilligung für sensible Daten und die Durchsetzung durch die Generalstaatsanwaltschaft des Bundesstaates. Der Maryland Online Data Privacy Act (MODPA), im Mai 2024 unterzeichnet, übernimmt diese Vorlage, verschärft aber mehrere ihrer zentralen Teile. Für werbefinanzierte Publisher sind die Unterschiede nicht akademisch — sie betreffen, was Sie erheben dürfen, was Sie nie verkaufen dürfen und wie Sie jüngere Besucher behandeln.

Das Gesetz ist am 1. Oktober 2025 in Kraft getreten und gilt für Verarbeitungstätigkeiten personenbezogener Daten ab dem 1. April 2026. Wenn Sie Besucher aus Maryland haben, gehört es nun zu Ihrem normalen Betriebsumfeld und ist kein Zukunftsthema auf der Roadmap mehr.

Für wen das Gesetz gilt

MODPA erfasst Unternehmen, die in Maryland tätig sind oder ihre Produkte und Dienstleistungen an Einwohner Marylands richten und die im vorangegangenen Kalenderjahr entweder:

• die personenbezogenen Daten von mindestens 35.000 Verbrauchern in Maryland kontrolliert oder verarbeitet haben (ausgenommen Daten, die ausschließlich zur Abwicklung einer Zahlung verarbeitet wurden), oder
• die personenbezogenen Daten von mindestens 10.000 Verbrauchern kontrolliert oder verarbeitet und mehr als 20 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt haben.

Diese Schwellenwerte sind niedriger als in vielen anderen Bundesstaaten. Maryland hat etwa sechs Millionen Einwohner, sodass eine mittelgroße Content-Website mit landesweiter Reichweite die Grenze von 35.000 Verbrauchern durch gewöhnlichen Traffic überschreiten kann, besonders wenn Cookie-IDs und Gerätekennungen als personenbezogene Daten zählen.

Die für Publisher wichtigsten Bestimmungen

Datenminimierung, gebunden an den angeforderten Dienst

Viele Landesgesetze erlauben einem Unternehmen, alles zu erheben, was es in seiner Datenschutzerklärung offenlegt. MODPA beschränkt die Erhebung personenbezogener Daten dagegen auf das, was vernünftigerweise notwendig und verhältnismäßig ist, um ein vom Verbraucher angefordertes Produkt oder einen Dienst bereitzustellen oder aufrechtzuerhalten. Für sensible Daten liegt die Hürde höher: Erhebung und Verarbeitung müssen für diesen Zweck unbedingt erforderlich sein. In der Praxis zwingt das Publisher dazu, jeden Tag und jeden Datenpunkt daran zu messen, weswegen der Leser tatsächlich gekommen ist, und nicht daran, was die Erklärung zufällig sagt.

Kein Verkauf sensibler Daten

Anderswo erfordert der Verkauf sensibler Daten üblicherweise eine Opt-in-Einwilligung. Maryland geht weiter und verbietet den Verkauf sensibler Daten schlicht. Zu den sensiblen Daten zählen Kategorien wie Gesundheitsinformationen, präzise Geolokalisierung, rassische oder ethnische Herkunft, religiöse Überzeugungen, sexuelle Orientierung, biometrische und genetische Daten sowie Daten eines Verbrauchers, der bekanntermaßen ein Kind ist. Publisher aus den Bereichen Gesundheit, Wellness und Lokalnachrichten sollten abbilden, welche Zielgruppensegmente sich aus ihren Inhalten ableiten ließen, und sicherstellen, dass keines davon so an Partner fließt, dass es einem Verkauf gleichkommt.

Strengere Regeln für Minderjährige

MODPA verbietet den Verkauf personenbezogener Daten oder deren Verarbeitung für zielgerichtete Werbung, wenn das Unternehmen wusste oder hätte wissen müssen, dass der Verbraucher unter 18 ist. Der Maßstab „hätte wissen müssen“ ist weiter als die Tests auf tatsächliche Kenntnis in vielen anderen Bundesstaaten. Websites mit Inhalten für Jugendliche — Gaming, Hausaufgabenhilfe, Musik, Sport — brauchen einen vertretbaren Umgang mit Alterssignalen und damit, welche Werbeerlebnisse diese Bereiche erhalten.

Opt-outs und universelle Signale

Verbraucher können zielgerichteter Werbung, dem Verkauf personenbezogener Daten und bestimmtem Profiling widersprechen. Unternehmen müssen außerdem universelle Opt-out-Mechanismen wie das Browsersignal Global Privacy Control beachten. Wenn Ihre Website GPC noch nicht ausliest und in ein Opt-out für die betreffende Verarbeitung übersetzt, ist Maryland ein weiterer Grund, diese Lücke zu schließen.

Durchsetzung

MODPA wird von der Consumer Protection Division der Generalstaatsanwaltschaft Marylands durchgesetzt. Das Gesetz selbst sieht kein privates Klagerecht vor. Für einen anfänglichen Zeitraum kann die Division Unternehmen die Gelegenheit geben, einen Verstoß zu beheben, bevor sie tätig wird, doch das ist ihr Ermessen und zeitlich begrenzt, also keine Strategie, auf die man sich verlassen sollte.

Ein praktischer Aktionsplan

1. Prüfen Sie die Schwellenwerte. Schätzen Sie die Reichweite in Maryland anhand der Analytics-Daten und beziehen Sie Kennungen auf Geräteebene ein, nicht nur angemeldete Nutzer.
2. Führen Sie eine Minimierungsprüfung durch. Listen Sie jeden Tag, jedes SDK und jedes Datenfeld auf und halten Sie fest, welchen vom Leser angeforderten Dienst es jeweils unterstützt. Entfernen Sie, was Sie nicht begründen können.
3. Prüfen Sie sensible Kategorien. Identifizieren Sie Content-Bereiche, die sensible Rückschlüsse erzeugen könnten, und bestätigen Sie, dass diese Segmente nie verkauft oder zum Verkauf weitergegeben werden.
4. Überprüfen Sie Alterssignale. Entscheiden Sie, wie Bereiche mit vielen jugendlichen Lesern behandelt werden und ob zielgerichtete Werbung dort abgeschaltet werden sollte.
5. Binden Sie GPC und den Opt-out-Link an. Stellen Sie sicher, dass ein GPC-Signal oder ein Klick auf Ihren Opt-out-Link in den an Werbepartner gesendeten Signalen abgebildet wird, zum Beispiel über den IAB-GPP-String.
6. Aktualisieren Sie Ihre Datenschutzerklärung. Beschreiben Sie Datenkategorien, Zwecke, Dritte und die Ausübung der Rechte in einer Sprache, der ein Leser folgen kann.

Wie FlexyConsent hilft

FlexyConsent unterstützt die IAB Global Privacy Platform (GPP) v1.1 mit der US-National-Sektion und 16 US-Landesgesetzen, sodass Opt-out-Entscheidungen in dem Standardformat an Ihre Werbepartner weitergegeben werden können, das diese erwarten. Dasselbe Banner kann in 57 Sprachen US-, EU- und anderen Besuchern unterschiedliche Erlebnisse zeigen, und jeder Tarif enthält den vollen Funktionsumfang, auch der kostenlose.

Wichtigste Erkenntnisse

• MODPA ist am 1. Oktober 2025 in Kraft getreten und gilt für Verarbeitungstätigkeiten ab dem 1. April 2026.
• Die Schwellenwerte sind niedrig: 35.000 Verbraucher in Maryland oder 10.000 plus mehr als 20 % des Umsatzes aus Datenverkäufen.
• Die Erhebung ist auf das für den angeforderten Dienst vernünftigerweise Notwendige beschränkt, bei sensiblen Daten auf das unbedingt Erforderliche.
• Sensible Daten dürfen gar nicht verkauft werden, und unter 18-Jährige dürfen nicht angesprochen werden, wenn Sie ihr Alter kannten oder hätten kennen müssen.
• Beachten Sie universelle Opt-out-Signale wie GPC und geben Sie Opt-outs über GPP weiter.