Ein weiterer Bundesstaat, einige neue Wendungen

Der Minnesota Consumer Data Privacy Act (MCDPA) ist am 31. Juli 2025 in Kraft getreten. Auf den ersten Blick folgt er dem Modell, das die meisten US-Bundesstaatengesetze zum Datenschutz teilen: Rechte auf Auskunft, Berichtigung und Löschung von Daten sowie ein Recht auf Opt-out von zielgerichteter Werbung, vom Verkauf personenbezogener Daten und von bestimmtem Profiling. Minnesota hat jedoch mehrere Anforderungen ergänzt, die über die der Nachbarstaaten hinausgehen, und einige davon betreffen, wie Publisher ihre Datenpraktiken dokumentieren und erklären.

Dieser Artikel behandelt, was werbefinanzierte Publisher wissen sollten. Er ist ein Überblick, keine Rechtsberatung.

Wer erfasst ist

Der MCDPA gilt für Organisationen, die in Minnesota geschäftlich tätig sind oder Produkte oder Dienste anbieten, die sich an Einwohner Minnesotas richten, und die in einem Kalenderjahr entweder:

• die personenbezogenen Daten von 100.000 oder mehr Verbrauchern aus Minnesota kontrollieren oder verarbeiten, ausgenommen Daten, die allein zur Abwicklung einer Zahlungstransaktion verarbeitet werden; oder
• mehr als 25 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielen und die personenbezogenen Daten von 25.000 oder mehr Verbrauchern aus Minnesota kontrollieren oder verarbeiten.

Kleinunternehmen im Sinne der US Small Business Administration sind im Allgemeinen ausgenommen, dürfen aber keine sensiblen Daten ohne Einwilligung des Verbrauchers verkaufen. Für einen Publisher können „Verbraucher“ auch Besucher von Websites und Apps sein, die über Cookies oder Geräte-IDs identifiziert werden; eine Website mit bescheidenem Traffic aus Minnesota kann den Schwellenwert daher dennoch erreichen.

Die Rechte, die Publisher unterstützen müssen

Einwohner Minnesotas erhalten die bekannten Rechte:

• Bestätigung, ob ihre Daten verarbeitet werden, und Zugang dazu.
• Berichtigung unrichtiger Daten und Löschung von Daten.
• Erhalt einer übertragbaren Kopie.
• Opt-out von zielgerichteter Werbung, vom Verkauf personenbezogener Daten und von Profiling zur Vorbereitung von Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung.

Für werbefinanzierte Publisher berühren die Opt-outs von zielgerichteter Werbung und Verkauf den Ad-Stack jeden Tag.

Was an Minnesota besonders ist

Das Recht, Profiling zu hinterfragen

Wurde ein Verbraucher so profiliert, dass dies zu einer Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung führte, kann er das Ergebnis hinterfragen, die Gründe erfahren und, wenn die Entscheidung auf unrichtigen Daten beruhte, die Berichtigung der Daten und eine Neubewertung der Entscheidung verlangen. Die meisten Publisher treffen über Besucher keine Entscheidungen dieser Art, doch es lohnt sich zu bestätigen, dass keines Ihrer Werkzeuge das tut.

Eine Liste bestimmter Dritter

Verbraucher können eine Liste der bestimmten Dritten verlangen, denen der Verantwortliche ihre personenbezogenen Daten offengelegt hat, oder, wenn der Verantwortliche diese Information nicht je Verbraucher führt, eine Liste der bestimmten Dritten, denen er personenbezogene Daten allgemein offengelegt hat. Für Publisher, die mit vielen Adtech-Partnern arbeiten, macht das ein genaues Anbieterverzeichnis praktisch unverzichtbar.

Ein Dateninventar

Verantwortliche müssen ein Inventar der personenbezogenen Daten führen, die sie verarbeiten. In Verbindung mit der Pflicht zur Drittparteien-Liste drängt das Publisher zu dokumentiertem Wissen darüber, welche Tags was erheben und wohin es geht.

Universelle Opt-out-Mechanismen

Verantwortliche müssen den Opt-out eines Verbrauchers beachten, der über einen anerkannten universellen Opt-out-Mechanismus gesendet wird, etwa ein Datenschutzsignal des Browsers. Websites sollten solche Signale für Nutzer aus Minnesota als Opt-out von zielgerichteter Werbung und Verkauf behandeln.

Datenschutz-Folgenabschätzungen

Die Verarbeitung für zielgerichtete Werbung, den Verkauf personenbezogener Daten, Profiling mit erheblichen Risiken und die Verarbeitung sensibler Daten erfordert eine dokumentierte Bewertung des Datenschutzes und der Datensicherheit.

Durchsetzung

Das Gesetz wird vom Generalstaatsanwalt von Minnesota durchgesetzt; ein privates Klagerecht gibt es nicht. Eine 30-tägige Abhilfefrist bei Verstößen galt nur bis zum 31. Januar 2026; seither muss der Generalstaatsanwalt vor einem Vorgehen nicht mehr die Gelegenheit zur Behebung eines Problems einräumen. Zivilrechtliche Strafen können bis zu 7.500 US-Dollar pro Verstoß betragen.

Was Publisher prüfen sollten

1. Schwellenwert. Schätzen Sie, über wie viele Verbraucher aus Minnesota Sie jährlich Daten verarbeiten, einschließlich identifizierter Geräte.
2. Opt-out-Link und -Ablauf. Stellen Sie sicher, dass US-Besucher zielgerichteter Werbung und dem Verkauf widersprechen können und dass die Entscheidung Ihre Werbepartner erreicht.
3. Signale. Beachten Sie Opt-out-Signale des Browsers wie Global Privacy Control und geben Sie die daraus folgende Entscheidung über die IAB Global Privacy Platform (GPP) oder das Signal weiter, das Ihre Partner lesen.
4. Anbieterverzeichnis. Führen Sie eine aktuelle Liste aller Dritten, die personenbezogene Daten erhalten, damit Sie eine Anfrage nach einer Drittparteien-Liste beantworten können.
5. Dateninventar. Dokumentieren Sie, was jedes Tag und jedes SDK erhebt und warum.
6. Bewertungen. Verfassen und bewahren Sie eine Datenschutzbewertung auf, die zielgerichtete Werbung abdeckt.
7. Datenschutzhinweis. Aktualisieren Sie ihn, damit er die Rechte in Minnesota und ihre Ausübung beschreibt.

Minnesota in ein Mehr-Staaten-Setup einfügen

Statt für jeden Bundesstaat ein eigenes Erlebnis zu bauen, betreiben die meisten Publisher einen US-weiten Opt-out-Ablauf, der die strengsten gemeinsamen Anforderungen abdeckt, und ergänzen bei Bedarf bundesstaatliche Details. Minnesotas Ergänzungen — die Drittparteien-Liste, das Dateninventar und das Profiling-Recht — sind überwiegend Dokumentations- und Anfragebearbeitungspflichten und keine Banneränderungen; die Arbeit landet also bei der Person, die Ihr Anbieterverzeichnis und Ihre Datenschutzanfragen verantwortet.

Wichtigste Erkenntnisse

• Der MCDPA gilt seit dem 31. Juli 2025 für Organisationen, die die Schwellenwerte von 100.000 bzw. 25.000 plus 25 % Umsatzanteil erfüllen.
• Opt-outs umfassen zielgerichtete Werbung, Verkauf und erhebliches Profiling, und universelle Opt-out-Signale müssen beachtet werden.
• Verbraucher können eine Liste der bestimmten Dritten verlangen, die ihre Daten erhalten haben.
• Ein Dateninventar und Datenschutzbewertungen sind vorgeschrieben.
• Die Abhilfefrist endete am 31. Januar 2026; die Durchsetzung obliegt dem Generalstaatsanwalt.