Texas Data Privacy Act und der 20-Staaten-Flickenteppich: Ein Compliance-Leitfaden für 2026

Bis Sie diesen Satz fertig gelesen haben, hat irgendwo in den Vereinigten Staaten ein Verbraucher gerade auf „Meine personenbezogenen Informationen nicht verkaufen oder weitergeben“ geklickt. Wenn Ihr Unternehmen eine Website betreibt, Anzeigen schaltet oder E-Mail-Adressen von Kunden speichert, könnte dieser einzige Klick Sie bereits unter einem oder mehreren der zwanzig umfassenden staatlichen Datenschutzgesetze verpflichten, die jetzt im ganzen Land in Kraft sind – und die meisten Inhaber kleiner Unternehmen haben keine Ahnung davon.

Der Texas Data Privacy and Security Act (TDPSA) trat am 1. Juli 2024 in Kraft, womit Texas zum bevölkerungsreichsten Staat ohne ein umfassendes Datenschutzgesetz wurde, der schließlich eines verabschiedete. Aber der TDPSA ist nicht die einzige Geschichte. Ab 2026 haben zwanzig Bundesstaaten aktive umfassende Verbraucherschutzgesetze zum Datenschutz, zwölf Bundesstaaten verlangen die Anerkennung universeller Opt-out-Signale wie der Global Privacy Control (GPC), und drei brandneue Gesetze – Indiana, Kentucky und Rhode Island – traten am 1. Januar 2026 in Kraft. Die Nachbesserungsfristen (Cure Periods), die den Gesetzen der ersten Staaten eine Schonfrist einräumten, laufen im Laufe des Jahres 2026 aus, was bedeutet, dass die Durchsetzung bald schärfer wird.

Dieser Leitfaden zeigt auf, was Sie im Jahr 2026 tatsächlich tun müssen, um sich die Regulierungsbehörden vom Hals zu halten – ohne ein fünfzigtausend Dollar teures Datenschutzprogramm zu kaufen, das Sie gar nicht benötigen.

Warum Texas wichtiger ist, als Sie denken

Das texanische Datenschutzgesetz weist eine Besonderheit auf, die es von allen anderen staatlichen Gesetzen unterscheidet: Es spielt keine Rolle, wie viel Geld Sie verdienen oder wie viele Datensätze Sie besitzen. Es geht nur darum, ob Sie der Definition der U.S. Small Business Administration (SBA) für ein kleines Unternehmen entsprechen – in der Regel weniger als 500 Mitarbeiter, mit branchenspezifischen Umsatzobergrenzen.

Die meisten staatlichen Datenschutzgesetze (Kaliforniens CCPA, Virginias VCDPA, Colorados CPA, Connecticuts CTDPA) knüpfen die Anwendbarkeit an numerische Schwellenwerte: 100.000 Verbraucher oder 25.000 Verbraucher, wenn mehr als die Hälfte Ihres Umsatzes aus dem Verkauf personenbezogener Daten stammt, oder ein jährlicher Bruttoumsatz von über 25 Millionen US-Dollar. Der TDPSA wirft diese Schwellenwerte über Bord.

Dies führt zu einer seltsamen Umkehrung. Ein mittelgroßes SaaS-Unternehmen mit Sitz in Texas mit 600 Mitarbeitern und bescheidenem Umsatz kann dem TDPSA vollständig unterliegen, während ein umsatzstarkes kalifornisches Startup mit 30 Mitarbeitern unter dem SBA-Schwellenwert befreit sein könnte, aber dem CCPA-Umsatztest unterliegt. Wenn Sie in beiden Staaten geschäftlich tätig sind, können Sie sich nicht den freundlicheren aussuchen – Sie müssen das Gesetz einhalten, das für den Verbraucher gilt, der die Anfrage stellt.

Die TDPSA-Ausnahme für sensible Daten, die keine ist

Hier ist der tückische Teil: Selbst wenn Ihr Unternehmen nach den SBA-Größenstandards als Kleinunternehmen gilt und ansonsten vom TDPSA befreit ist, müssen Sie dennoch die Einwilligung des Verbrauchers einholen, bevor Sie sensible personenbezogene Daten verkaufen. „Befreit“ bedeutet also nicht „tun Sie, was Sie wollen“. Wenn Sie E-Mail-Adressen verkaufen, die mit Gesundheitsinteressen, religiösen Zugehörigkeiten, präzisen Geolokalisierungen oder biometrischen Identifikatoren verknüpft sind, benötigen Sie unabhängig von der Unternehmensgröße eine Opt-in-Einwilligung.

Die 20-Staaten-Compliance-Karte

Bis 2026 sind umfassende Datenschutzgesetze in folgenden Bundesstaaten in Kraft oder treten demnächst in Kraft: Kalifornien, Virginia, Colorado, Connecticut, Utah, Iowa, Indiana, Tennessee, Montana, Oregon, Texas, Delaware, New Hampshire, New Jersey, Kentucky, Minnesota, Maryland, Rhode Island, Nebraska und Maryland (Online Data Privacy Act).

Die meisten dieser Gesetze folgen einer Struktur nach dem „Virginia-Modell“: Rechte auf Auskunft, Berichtigung, Löschung, Übertragbarkeit und Widerspruch (Opt-out), plus Pflichten der Verantwortlichen (Controller) in Bezug auf Benachrichtigung, Datenminimierung und Verarbeitungsbeschränkungen. Kalifornien steht mit der breiteren Abdeckung von Mitarbeitern und B2B-Daten des CCPA/CPRA sowie einzigartigen Vorschriften zu Cybersicherheits-Audits und automatisierter Entscheidungsfindung auf einer eigenen Insel.

Das praktische Fazit: Orientieren Sie sich am strengsten gemeinsamen Nenner, nicht an jedem Bundesstaat isoliert. Ein Datenschutzprogramm, das auf die Anforderungen von Kalifornien, Colorado und Texas abgestimmt ist, wird die Verpflichtungen aus allen 17 anderen staatlichen Gesetzen miterfassen.

Verbraucherrechte, die Sie in 45 Tagen erfüllen müssen

In fast jedem staatlichen Gesetz haben Verbraucher die gleichen Kernrechte:

• Auskunft (Access) – sie können fragen, welche personenbezogenen Daten Sie über sie gespeichert haben.
• Berichtigung (Correction) – sie können verlangen, dass Sie ungenaue Daten korrigieren.
• Löschung (Deletion) – sie können verlangen, dass Sie ihre Daten löschen (mit Ausnahmen für gesetzliche Aufbewahrungspflichten, Betrugsprävention, interne Nutzung).
• Übertragbarkeit (Portability) – sie können eine maschinenlesbare Kopie verlangen.
• Widerspruch (Opt-out) gegen Verkauf, zielgerichtete Werbung und Profiling – drei verschiedene Opt-out-Rechte, die in den meisten Staaten gebündelt sind.

Die meisten Gesetze geben Ihnen 45 Tage Zeit für eine Antwort, mit einer Verlängerung um weitere 45 Tage, sofern dies vernünftigerweise notwendig ist. Kaliforniens CCPA gewährt 45 Tage mit einer 45-tägigen Verlängerung. Texas gewährt ebenfalls 45 Tage mit einer 45-tägigen Verlängerung. Sie benötigen einen Workflow für authentifizierte Anfragen, der diese entgegennimmt, verifiziert, erfüllt und protokolliert – und zwar so, dass er über ein einzelnes, überfordertes juristisches E-Mail-Postfach hinaus skalierbar ist.

Was „authentifiziert“ in der Praxis bedeutet

Sie können eine Anfrage nicht einfach ungeprüft akzeptieren. Wenn jemand eine E-Mail mit der Bitte „Löschen Sie alle meine Daten“ schickt, müssen Sie verifizieren, ob diese Person tatsächlich die betroffene Person ist. Gängige Verifizierungsansätze sind:

• Bestätigung der Anfrage über einen Account-Login.
• Abgleich der übermittelten Informationen mit den gespeicherten Unterlagen.
• Versand einer Bestätigungs-E-Mail mit einem Einmalcode.
• Anforderung einer notariell beglaubigten eidesstattlichen Erklärung für Hochrisiko-Anfragen (selten; reserviert für Fälle, in denen ein Datenverlust katastrophal wäre).

Das Versäumnis der Authentifizierung birgt zwei Risiken: Sie löschen Daten für einen Hochstapler (ein Löschangriff) oder Sie legen personenbezogene Daten gegenüber der falschen Person offen (eine Verletzung der Vertraulichkeit). Beides sind Verstöße.

Global Privacy Control: Ein einziges Browsersignal, das ein Dutzend Gesetze auslöst

Die wichtigste technische Compliance-Änderung für 2026 ist die Global Privacy Control (GPC). Es handelt sich um ein Signal auf Browserebene, das jeder besuchten Website automatisch mitteilt: „Ich widerspreche dem Verkauf oder der Weitergabe meiner personenbezogenen Daten.“

Bis zum 1. Januar 2026 verlangen zwölf US-Bundesstaaten, dass Unternehmen GPC als gültige Opt-out-Anfrage anerkennen: Kalifornien, Colorado, Connecticut, Montana, Nebraska, New Hampshire, New Jersey, Minnesota, Maryland, Delaware, Oregon und Texas. Einige dieser Staaten nannten GPC explizit; andere verlangen lediglich die Anerkennung eines beliebigen „universellen Opt-out-Mechanismus“, wobei GPC die dominierende Implementierung ist.

Was dies technisch bedeutet: Ihre Website muss den HTTP-Header Sec-GPC (oder das Äquivalent der Navigator-API) bei jeder Anfrage auslesen. Wenn sie das Signal erkennt, muss sie den Datenverkauf, kontextübergreifende verhaltensbasierte Werbung und die Weitergabe unterbinden – ohne den Benutzer aufzufordern. Kein Cookie-Banner. Kein zusätzlicher Klick. Einfach unterdrücken.

Kalifornien hat für 2026 eine Anzeigepflicht eingeführt: Unternehmen müssen sichtbar angeben, ob das Opt-out-Präferenzsignal des Verbrauchers verarbeitet wurde. Ein Indikator „Opt-out-Anfrage berücksichtigt“ auf der Seite ist der entstehende Standard. Wenn Sie dies auslassen, kann eine Aufsichtsbehörde (oder ein Serienkläger) argumentieren, dass Sie die Annahme des Opt-outs nicht ordnungsgemäß mitgeteilt haben.

Die Adtech-Pipeline-Falle

Hier scheitern die meisten Unternehmen. GPC auf Seitenebene zu berücksichtigen, ist einfach. Es jedoch über Ihren gesamten nachgelagerten Adtech-Stack hinweg zu berücksichtigen – Google Ads, Meta-Pixel, TikTok-Pixel, LinkedIn Insight Tag, jeder Anbieter für dynamisches Retargeting – ist schwierig. Jeder dieser Anbieter hat sein eigenes Opt-out-Flag, Signal oder Pixel-Parameter, den Sie setzen müssen, wenn GPC erkannt wird. Wenn Sie einen vergessen, teilen Sie weiterhin Daten mit diesem Anbieter und verstoßen damit gegen staatliches Recht.

Überprüfen Sie Ihren Tag-Manager. Dokumentieren Sie für jeden Anbieter, der auf Ihrer Website aktiv ist, wie er GPC respektiert. Vertrauen Sie nicht auf Marketing-Aussagen – testen Sie mit einem GPC-fähigen Browser und einem Netzwerk-Sniffer.

Sensible Daten: Ausdrückliche Einwilligung (Opt-In) erforderlich

In fast jedem staatlichen Gesetz erfordert die Verarbeitung sensibler personenbezogener Daten eine ausdrückliche Einwilligung (Opt-in). Zu den sensiblen Daten gehören in der Regel:

• Sozialversicherungsnummern, Führerscheinnummern, Reisepassnummern, Zugangsdaten für Finanzkonten.
• Biometrische Daten zur Identifizierung einer Person.
• Gesundheits- und medizinische Informationen, die nicht bereits durch HIPAA abgedeckt sind.
• Genauer Standort (oft definiert als innerhalb von 1.750 Fuß oder einem ähnlichen Radius).
• Rassische oder ethnische Herkunft.
• Religiöse Überzeugungen.
• Sexuelle Orientierung, Geschlechtsidentität.
• Staatsbürgerschaft oder Einwanderungsstatus.
• Personenbezogene Daten von Kindern (unter 13, manchmal unter 16 Jahren).

Die Einwilligung muss freiwillig, für den konkreten Fall, in informierter Weise und unmissverständlich erfolgen. Vorausgewählte Kästchen zählen nicht. Die Bündelung der Einwilligung innerhalb einer allgemeinen Akzeptanz der Nutzungsbedingungen zählt nicht. Versteckte Offenlegungen zählen nicht. Wenn Sie sensible Daten verarbeiten, benötigen Sie einen dedizierten Einwilligungs-Workflow mit klarer Sprache und einer Aufzeichnung darüber, wie, wann und wo die Einwilligung eingeholt wurde.

Auftragsverarbeitungsverträge: Anbieterverträge sind jetzt eine Compliance-Anforderung

Jedes staatliche Datenschutzgesetz verlangt, dass Unternehmen, die personenbezogene Daten an Drittanbieter (sogenannte „Processors“ oder „Service Provider“) weitergeben, einen schriftlichen Vertrag unterzeichnen – ein Data Processing Agreement (DPA) –, der den Umgang mit diesen Daten regelt.

Ein rechtskonformes DPA im Jahr 2026 muss:

1. Art, Zweck und Dauer der Verarbeitung festlegen.
2. Die Arten der Daten und die Kategorien der betroffenen Verbraucher identifizieren.
3. Den Auftragsverarbeiter an Vertraulichkeitspflichten binden.
4. Den Auftragsverarbeiter verpflichten, bei Anfragen zu Verbraucherrechten zu unterstützen.
5. Den Auftragsverarbeiter verpflichten, Daten bei Vertragsende zu löschen oder zurückzugeben.
6. Audits gestatten und die Weitergabe an Unterauftragsverarbeiter vorschreiben.
7. Grenzüberschreitende Übermittlungen einschränken und Sicherheitsverpflichtungen auferlegen.

Wenn Sie SaaS-Tools verwenden – Stripe, HubSpot, Mailchimp, Intercom, Slack, AWS, Google Workspace – benötigen Sie DPAs mit all diesen Anbietern in Ihren Unterlagen. Die meisten großen Anbieter bieten Click-through-DPAs an. Versäumnisse treten bei Nischen-Tools, Freelancern, Auftragnehmern und einmaligen Integrationen auf, die niemand als „Anbieter“ auf dem Schirm hatte.

Datenschutzbewertungen: Wann Sie Risiken dokumentieren müssen

Die meisten staatlichen Gesetze erfordern Datenschutzbewertungen (DPAs – verwirrenderweise das gleiche Akronym wie für Data Processing Agreement) für Verarbeitungsaktivitäten, die ein erhöhtes Risiko darstellen. Zu den auslösenden Aktivitäten gehören:

• Verarbeitung für zielgerichtete Werbung.
• Verkauf personenbezogener Daten.
• Profiling, das rechtliche oder ähnlich erhebliche Auswirkungen hat.
• Verarbeitung sensibler Daten.
• Jede Verarbeitung, die ein erhöhtes Schadensrisiko darstellt.

Texas, Virginia, Colorado, Connecticut und andere verlangen diese Bewertungen. Die Bewertung muss den Nutzen für den Verantwortlichen, den Verbraucher, die Öffentlichkeit und den Auftragsverarbeiter gegen die Risiken für den Verbraucher abwägen, wobei Minderungsmaßnahmen dokumentiert werden müssen. Bewahren Sie diese in Ihren Unterlagen auf. Aufsichtsbehörden können diese im Rahmen einer Untersuchung anfordern.

Die Klippe der Heilungsfristen: Warum 2026 anders ist

Frühe staatliche Datenschutzgesetze enthielten Bestimmungen zur „Heilungsfrist“ (Right to Cure) – eine 30- oder 60-tägige Kulanzzeit, nachdem eine Aufsichtsbehörde eine Verletzungsanzeige erlassen hatte. Während dieser Zeit konnte das Unternehmen das Problem beheben, bevor eine Strafe verhängt wurde. Dies war als eine Art Einführungsphase gedacht.

Im Jahr 2026 fällt diese Einführungsphase weg. Die Heilungsfristen laufen im Laufe des Jahres 2026 in Connecticut, Delaware, Kentucky, Minnesota und Montana aus. Das brandneue Gesetz von Rhode Island sah von vornherein keine Heilungsfrist vor. In Kalifornien ist die Heilungsfrist bereits vor Jahren abgelaufen.

Texas hat seine 30-tägige Heilungsfrist ohne Enddatum beibehalten, was ungewöhnlich großzügig ist. Doch die Strafen nach Ablauf dieses 30-Tage-Fensters belaufen sich auf bis zu 7.500 $ pro Verstoß. Bei Datenschutzansprüchen von Verbrauchern bedeutet „pro Verstoß“ oft pro betroffenem Verbraucher – multiplizieren Sie das mit Ihrer Kundendatenbank, und die Rechnung wird schnell sehr unangenehm.

Die Verknüpfung von Datenschutz-Compliance mit Ihrer Buchhaltung

Datenschutz-Compliance betrifft die Finanzen stärker, als die meisten Betreiber realisieren. Insbesondere in drei Bereichen:

Kostenzuordnung von Drittanbietern. Anbieter für Datenschutz-Compliance – Consent-Management-Plattformen, Tools zur Erfüllung von Betroffenenanfragen (DSAR), Identitätsprüfungsdienste, Honorare für Datenschutzberater – sind Betriebsausgaben, die Sie separat erfassen sollten. So können Sie Ihrem Vorstand über die Compliance-Kosten berichten und ROI-Entscheidungen darüber treffen, welche Gesetze Sie übererfüllen und wo Sie Risiken akzeptieren.

Rücklagen für Datenschutzverletzungen. Die meisten staatlichen Gesetze schreiben nicht explizit vor, Mittel für potenzielle Verletzungen bereitzustellen. Wenn Sie jedoch sensible Daten in großem Umfang verarbeiten, ist die Bildung einer Rückstellung für Eventualverbindlichkeiten eine gute kaufmännische Praxis. Selbst kleine Verstöße verursachen Benachrichtigungskosten, Angebote zur Kreditüberwachung und forensische Untersuchungsgebühren, die schnell sechsstellige Beträge erreichen können.

Versicherungsdokumentation. Cyber-Haftpflichtversicherer verlangen bei Vertragsverlängerungen zunehmend eine Dokumentation Ihres Datenschutzprogramms – schriftliche Richtlinien, ein Inventar der Auftragsverarbeitungsverträge (AVV/DPA), Tests der GPC-Implementierung, Protokolle der DSAR-Beantwortung. Saubere Aufzeichnungen können die Versicherungsprämien massiv beeinflussen.

Eine präzise Buchführung mit einem klaren Kontenrahmen, der Kosten für Datenschutz-Compliance, Ausgaben für Drittanbieter und Rücklagen für die Reaktion auf Vorfälle trennt, macht jährliche Budgetprüfungen, Vorstandsberichte und Versicherungsverlängerungen weitaus weniger mühsam.

Der praktische Compliance-Stack für 2026

Wenn Sie bei Null anfangen, ist hier das minimale tragfähige Datenschutzprogramm für ein kleines oder mittelständisches US-Unternehmen im Jahr 2026:

1. Identifizieren Sie, welche Gesetze gelten. Gleichen Sie Ihren Kundenstamm, Ihre Mitarbeiterzahl und Ihren Umsatz mit den Anwendungsschwellen der einzelnen Bundesstaaten ab.
2. Veröffentlichen Sie eine einzige, konsolidierte Datenschutzerklärung, die dem strengsten geltenden Gesetz entspricht. Berücksichtigen Sie Offenlegungen zu sensiblen Daten, Verkaufs-/Weitergabemodalitäten, Verarbeitungszwecke, Aufbewahrungsfristen, Verbraucherrechte und einen Kontaktkanal.
3. Erstellen Sie einen DSAR-Workflow. Wählen Sie ein Tool (oder einen strukturierten E-Mail- und Tabellenkalkulationsprozess, wenn Sie klein sind), das Anfragen innerhalb von 45 Tagen annimmt, authentifiziert, erfüllt und protokolliert.
4. Implementieren Sie die Berücksichtigung von GPC. Lesen Sie das Signal auf Seitenebene aus. Unterdrücken Sie Verkaufs- und gezielte Werbeanbieter, wenn das Signal gesetzt ist. Zeigen Sie einen Indikator für ein akzeptiertes Opt-out an, wenn Sie Traffic aus Kalifornien haben.
5. Unterzeichnen Sie AVVs (DPAs) mit jedem Dienstleister. Inventarisieren Sie alle Anbieter. Unterzeichnen Sie den Auftragsverarbeitungsvertrag. Speichern Sie ihn dort, wo Sie ihn wiederfinden.
6. Führen Sie Datenschutz-Folgenabschätzungen (DSFA/DPA) für Hochrisiko-Verarbeitungen durch. Dokumentieren Sie jede einzelne. Archivieren Sie diese.
7. Etablieren Sie einen Einwilligungsprozess für sensible Daten mit ausdrücklichem Opt-in und protokolliertem Nachweis.
8. Dokumentieren Sie Ihr Sicherheitsprogramm. Die meisten staatlichen Gesetze verlangen „angemessene“ Sicherheit. Angemessenheit bedeutet: schriftliche Richtlinien, Zugriffskontrollen, Verschlüsselung während der Übertragung und im Ruhezustand, Schwachstellenmanagement und Verfahren zur Reaktion auf Vorfälle.

Häufige Fehler kleiner Unternehmen

• Die Annahme, dass die SBA-Ausnahme für Kleinunternehmen Sie vollständig vom TDPSA befreit. Das tut sie nicht – die Verarbeitung sensibler Daten erfordert weiterhin eine Einwilligung.
• Cookie-Banner als vollständiges Datenschutzprogramm zu betrachten. Banner sind nur eine Taktik. Sie ersetzen keine DSAR-Prozesse, AVVs oder die Berücksichtigung von GPC-Signalen.
• Ignorieren der Weitergabe von Verpflichtungen (Flow-down). Ihre AVVs mit Anbietern müssen verlangen, dass diese Anbieter die Verpflichtungen an ihre Unterauftragsverarbeiter weitergeben. Die meisten Standard-AVVs decken dies ab, aber lesen Sie nach, bevor Sie unterschreiben.
• Opt-outs als Marketing-Entscheidungen zu behandeln. Die Beachtung eines Opt-outs ist eine gesetzliche Anforderung, keine Präferenz. Unterbinden Sie den Datenfluss, selbst wenn dies die Retargeting-Performance beeinträchtigt.
• Heilungsfristen verstreichen lassen, bevor man handelt. Wenn Sie eine Verletzungsanzeige erhalten, haben Sie ein begrenztes Zeitfenster. Handeln Sie sofort, dokumentieren Sie die Behebung und lassen Sie sich dies schriftlich von der Aufsichtsbehörde bestätigen.

Halten Sie Ihre Compliance-Aufzeichnungen vom ersten Tag an sauber

Während Sie ein Datenschutz-Compliance-Programm über das Flickwerk der verschiedenen Bundesstaaten hinweg aufbauen, werden sich Rechnungen von Anbietern, Beraterhonorare, Versicherungsprämien und Kosten für die Reaktion auf Vorfälle ansammeln, die nachverfolgt, kategorisiert und gemeldet werden müssen. Beancount.io bietet Plain-Text-Accounting, das Ihnen vollständige Transparenz und Versionskontrolle über Ihre Finanzdaten ermöglicht. Dies macht jährliche Vorstandsberichte, Versicherungsverlängerungen und Analysen der Compliance-Kosten dramatisch einfacher, als sich mit einem Black-Box-Hauptbuch herumzuschlagen. Starten Sie kostenlos und erfahren Sie, warum Entwickler, Finanzexperten und datenschutzbewusste Unternehmer auf Plain-Text-Accounting für ihre Geschäftsbücher vertrauen.