Warum die USA anders aussehen als die EU

In der EU legt eine einzige Verordnung die Grundlage fest. In den Vereinigten Staaten gibt es kein umfassendes Bundesdatenschutzgesetz für allgemeines Website-Tracking, daher haben immer mehr einzelne Bundesstaaten eigene Gesetze erlassen. Kalifornien war das erste, viele andere sind gefolgt, mit Gesetzen, die ähnlich aussehen, aber nicht identisch sind.

Für einen Publisher mit landesweitem Publikum lautet die praktische Frage nicht „Welches eine Gesetz gilt?“, sondern „Welche gemeinsamen Verhaltensweisen funktionieren über alle hinweg?“

Opt-out versus Opt-in: Der zentrale Unterschied

Das meiste EU-geprägte Denken geht vom Opt-in aus: kein Tracking, bis der Nutzer zustimmt. Die meisten US-Landesgesetze gehen vom Opt-out aus: Sie dürfen gewöhnliche personenbezogene Daten verarbeiten, müssen aber mitteilen, was Sie tun, und Menschen erlauben, bestimmte Aktivitäten zu stoppen.

• Zielgerichtete Werbung — Nutzer haben in der Regel ein Widerspruchsrecht.
• Verkauf oder Weitergabe personenbezogener Daten — Nutzer haben in der Regel ein Widerspruchsrecht.
• Profiling — viele Gesetze sehen ein Widerspruchsrecht gegen Profiling vor, das für wesentliche Entscheidungen verwendet wird.
• Sensible Daten — die meisten dieser Gesetze verlangen vor der Verarbeitung eine Opt-in-Einwilligung, hier kehrt sich also das Modell um.

Prüfen Sie stets den genauen Wortlaut für die Bundesstaaten, in denen Sie echten Traffic haben, denn die Definitionen von „sensiblen Daten“ und „Verkauf“ unterscheiden sich.

Was die Gesetze gemeinsam haben

Trotz der Unterschiede tauchen immer wieder dieselben Bausteine auf:

1. Eine klare, zugängliche Datenschutzerklärung, die Datenkategorien, Zwecke und Empfänger beschreibt.
2. Eine sichtbare Möglichkeit zum Opt-out von zielgerichteter Werbung sowie Verkauf oder Weitergabe, etwa ein Link im Footer.
3. Die Beachtung von Opt-out-Präferenzsignalen in Bundesstaaten, die dies verlangen, zum Beispiel Global Privacy Control.
4. Ein Verfahren zur Bearbeitung von Verbraucheranfragen wie Auskunft, Löschung und Berichtigung.
5. Verträge mit Dienstleistern, die Daten in Ihrem Auftrag verarbeiten.

Opt-out-Signale werden verpflichtend

Mehrere Bundesstaaten verlangen, dass Unternehmen ein browserbasiertes universelles Opt-out-Signal als gültigen Opt-out-Antrag behandeln. In der Praxis heißt das: Sendet der Browser eines Besuchers das Signal Global Privacy Control, sollte Ihre Website das Opt-out automatisch anwenden, ohne dass der Besucher noch etwas anklicken muss.

Die technische Folge ist einfach: Ihre Consent-Logik muss das Signal lesen, bevor Werbe- und Analyse-Tags geladen werden, und Ihre Tag-Konfiguration braucht einen Zustand, der „Opt-out“ abbildet.

Schwellenwerte und Anwendbarkeit

Viele Landesgesetze gelten erst ab bestimmten Schwellenwerten, etwa der Zahl der Einwohner, deren Daten Sie verarbeiten, oder dem Umsatzanteil aus dem Verkauf von Daten. Die Schwellenwerte sind unterschiedlich und ändern sich im Lauf der Zeit; gehen Sie also nicht davon aus, dass ein kleiner Publisher automatisch ausgenommen ist. Lassen Sie sich von einer Juristin oder einem Juristen bestätigen, welche Gesetze für Ihr Unternehmen gelten.

Die Entscheidung entlang der Werbekette weitergeben

Für Werbe-Publisher ist das Einholen der Entscheidung eines Nutzers nur die halbe Aufgabe. Die Entscheidung muss Ihre Werbepartner erreichen. Die Global Privacy Platform (GPP) des IAB wurde dafür entwickelt: Sie überträgt einen nationalen US-Abschnitt und bundesstaatsspezifische Abschnitte in einem einzigen Signal, damit Ad-Tech-Anbieter den Status des Nutzers lesen können. Wenn Ihr Stack noch auf ältere Einzelstaat-Signale setzt, planen Sie den Umstieg auf einen einheitlichen Ansatz, da immer mehr Bundesstaaten hinzukommen.

Ein praktisches Betriebsmodell

1. Listen Sie die Bundesstaaten auf, aus denen Sie nennenswerten Traffic erhalten.
2. Wählen Sie das strengste gemeinsame Verhalten und wenden Sie es breit an, wenn Sie Einfachheit bevorzugen, oder lokalisieren Sie nach Bundesstaat, wenn Sie Umsatz erhalten müssen.
3. Platzieren Sie auf jeder Seite einen dauerhaften Einstiegspunkt für das Opt-out.
4. Testen Sie, dass das Opt-out und das Browsersignal die betroffenen Tags tatsächlich stoppen.
5. Dokumentieren Sie die Entscheidungen der Nutzer.
6. Überprüfen Sie die Liste der anwendbaren Gesetze regelmäßig, da ständig neue hinzukommen.

Wo FlexyConsent passt

FlexyConsent unterstützt IAB GPP v1.1 mit dem US-National-Abschnitt und 16 US-Landesgesetzen, sodass die Opt-out-Entscheidung des Nutzers in einem Standardsignal an Ihre Werbepartner weitergegeben werden kann. Das Banner ist in 57 Sprachen verfügbar, was bei spanischsprachigem und anderem mehrsprachigem US-Publikum hilft. Es ist ein Werkzeug zum Erfassen und Übermitteln von Entscheidungen; was Ihr Unternehmen nach dem jeweiligen Gesetz tun muss, ist eine Frage Ihrer eigenen Rechtsberatung.

Wichtigste Erkenntnisse

• US-Landesgesetze sind überwiegend Opt-out, mit Opt-in für sensible Daten.
• Der gemeinsame Kern: Hinweis, sichtbares Opt-out, Beachtung von Opt-out-Signalen und Bearbeitung von Verbraucheranfragen.
• Lesen Sie Opt-out-Signale, bevor Tags ausgelöst werden, nicht danach.
• Nutzen Sie ein einheitliches Signal wie GPP, um die Entscheidung an Werbepartner weiterzugeben.
• Klären Sie Anwendbarkeit und Schwellenwerte mit einer Juristin oder einem Juristen und prüfen Sie sie regelmäßig.