Wenn dein Unternehmen E-Mail-Adressen von Kunden sammelt, ein Treueprogramm betreibt oder auch nur einen einzigen Tracking-Pixel auf der Website platziert, hat sich am 1. Juli 2026 still und leise deine rechtliche Ausgangslage verändert – auch wenn du noch nie von den Datenschutzgesetzen Connecticuts, Arkansas' oder Utahs gehört hast. Was als eine Handvoll bundesstaatlicher Datenschutzgesetze begann, die auf Big Tech abzielten, ist innerhalb von zwei Jahren zu einem Flickenteppich aus mehr als 20 Bundesstaaten geworden, der zunehmend auch gewöhnliche kleine Unternehmen erfasst – nicht nur Datenhändler-Giganten.
Die Welle von Mitte 2026 unterscheidet sich in einem wichtigen Punkt von früheren Runden: Die Schwellenwerte dafür, wer als „erfasst" gilt, sinken immer weiter, und die Kategorien „sensibler" Daten werden ständig erweitert. Ein Unternehmen, das 2024 noch sicher unter dem Radar flog, kann sich heute mitten im Anwendungsbereich des Gesetzes wiederfinden. Hier ist, was sich tatsächlich geändert hat, für wen es gilt und was jetzt zu tun ist.
Was sich am 1. Juli 2026 geändert hat
Drei Bundesstaaten – Connecticut, Arkansas und Utah – haben am 1. Juli 2026 wichtige Datenschutzbestimmungen in Kraft gesetzt, die sich zu Kaliforniens bereits früher im Jahr eingeführten, verschärften Regeln für Datenhändler gesellen. Zusammen bilden sie das folgenreichste unterjährige Datenschutz-Update, seit Bundesstaaten begonnen haben, umfassende Datenschutzgesetze zu verabschieden. Keines dieser Gesetze gleicht dem anderen, und keines verwendet dieselben Schwellenwerte oder Definitionen – genau deshalb ist die Einhaltung der Vorschriften schwieriger statt einfacher geworden, je mehr Bundesstaaten nachziehen.
Connecticut: Der Schwellenwert ist deutlich gesunken
Connecticuts Data Privacy Act (CTDPA) wurde durch SB 1295 geändert, und die wichtigste Neuerung betrifft den Anwendungsschwellenwert. Bisher galt das Gesetz nur für Unternehmen, die personenbezogene Daten von mindestens 100.000 Einwohnern Connecticuts pro Jahr verarbeiteten. Seit dem 1. Juli sinkt diese Zahl auf 35.000 Einwohner – eine Reduzierung um fast zwei Drittel, die eine erhebliche Zahl regionaler und bundesstaatenübergreifend tätiger kleiner Unternehmen erstmals in den Anwendungsbereich zieht.
Es gibt einen zweiten, deutlich schärferen Auslöser: Verarbeitet dein Unternehmen „sensible Daten" oder verkauft es personenbezogene Daten in irgendeiner Form, fällst du unabhängig vom Datenvolumen unter das Gesetz. Das bedeutet, dass schon ein Fünf-Personen-Unternehmen, das sensible Informationen für nur ein paar hundert Kunden in Connecticut verarbeitet, dem Gesetz unterliegen kann.
Connecticut hat außerdem die Definition sensibler Daten erweitert: Sie umfasst jetzt behördlich ausgestellte Ausweisdokumente, Kontonummern, Sozialversicherungsnummern und – bemerkenswerterweise – neuronale Daten (Informationen, die von Gehirn-Computer-Schnittstellen erzeugt werden). Für sensible Daten ist vor der Erhebung nun eine ausdrückliche Einwilligung (Opt-in) erforderlich, und sie dürfen ohne explizite Zustimmung der Verbraucher nicht verkauft werden.
Der innovativste Teil der Novelle ist eine neue Transparenzpflicht rund um KI: Unternehmen müssen in ihren Datenschutzhinweisen offenlegen, ob sie personenbezogene Daten erheben, nutzen oder verkaufen, um damit große Sprachmodelle zu trainieren. Wenn du Kundendaten an einen Anbieter lizenziert, eine Chatbot-Plattform genutzt hast, die mit deinen Eingaben trainiert, oder einen Vertrag mit versteckter „Modellverbesserungs"-Klausel unterschrieben hast, musst du das jetzt öffentlich angeben. Dies ist die erste derartige Vorschrift auf Bundesstaatenebene, und es wird erwartet, dass weitere Staaten nachziehen.
Arkansas: Ein generelles Verbot zielgerichteter Werbung an Minderjährige
Arkansas' Children and Teens' Online Privacy Protection Act (ACTOPPA), ebenfalls seit dem 1. Juli in Kraft, geht härter vor als jedes vergleichbare bestehende Gesetz. Für Kinder bis 12 Jahre verlangt das Gesetz eine überprüfbare elterliche Einwilligung, bevor personenbezogene Daten erhoben werden dürfen. Für Jugendliche zwischen 13 und 16 Jahren kann entweder der Jugendliche selbst oder ein Elternteil die Einwilligung erteilen.
Was Unternehmen häufig überrascht, ist die Werberegel: Zielgerichtete Werbung an Minderjährige ist nach dem Gesetz komplett verboten – ohne Ausnahme durch Einwilligung, ohne Opt-in-Möglichkeit und ohne Umgehung über die Eltern. Wenn dein Unternehmen Retargeting, Lookalike-Audiences oder interessenbasierte Werbekampagnen einsetzt und deine Zielgruppe Nutzer unter 17 Jahren umfasst, brauchst du altersgerechte Schutzmechanismen in deinem Werbe-Stack – und nicht nur eine Checkbox in den Nutzungsbedingungen.
Die Datenerhebung bei Minderjährigen ist zudem auf das beschränkt, was „angemessen notwendig" ist, um den Dienst bereitzustellen – eine Formulierung zur Datenminimierung, die in der neueren Welle bundesstaatlicher Gesetze immer wieder auftaucht. Eine kleine Erleichterung: Nur der Generalstaatsanwalt von Arkansas kann ACTOPPA durchsetzen – es gibt kein privates Klagerecht, was das Prozessrisiko senkt (wenn auch nicht ausschließt).
Utah: Korrekturrechte und Portabilität für soziale Medien
Utahs Beitrag, HB 418, ergänzt den Digital Choice Act des Bundesstaates um zwei neue Verbraucherrechte. Erstens ein Recht auf Korrektur unrichtiger personenbezogener Daten – Verbraucher können ein Unternehmen jetzt bitten, falsche Informationen über sie zu berichtigen, statt sie nur löschen zu lassen oder dem Verkauf zu widersprechen. Zweitens, spezifischer für Plattformen, neue Anforderungen an Datenportabilität und Interoperabilität für Social-Media-Dienste, die es Nutzern ermöglichen sollen, ihre Daten zwischen konkurrierenden Plattformen zu verschieben.
Für die meisten kleinen Unternehmen ist das Korrekturrecht das, was wirklich zählt. Wenn du Kundendaten pflegst – ein CRM, eine E-Mail-Liste, eine Mitgliederdatenbank –, brauchst du einen Aufnahme- und Verifizierungsprozess für Korrekturanfragen, ähnlich dem, was viele Unternehmen bereits für Löschanfragen unter früheren Datenschutzgesetzen aufgebaut haben.
Kalifornien: Datenhändler müssen jetzt offenlegen, an wen sie verkaufen
Kaliforniens Regeln für Datenhändler, verschärft durch SB 361 und schrittweise bis 2026 eingeführt, verpflichten registrierte Datenhändler nicht nur dazu, offenzulegen, welche Datenkategorien sie erheben, sondern auch, ob sie diese Daten an ausländische Akteure, Regierungsstellen, Strafverfolgungsbehörden oder Entwickler generativer KI weitergegeben oder verkauft haben. „Ausländischer Akteur" erfasst dabei speziell Einrichtungen mit Verbindungen zu Staaten wie China, Russland, Iran und Nordkorea.
Das betrifft in erster Linie Unternehmen, die Kaliforniens gesetzliche Definition eines Datenhändlers erfüllen – also Firmen, die Verbraucherdaten an Dritte verkaufen, zu denen keine direkte Geschäftsbeziehung besteht. Arbeitet dein Unternehmen aber mit einem Datenhändler als Dienstleister zusammen oder verkauft angereicherte Kundendaten als Teil seines Geschäftsmodells weiter, lohnt es sich zu prüfen, ob diese Einstufung vor der nächsten jährlichen CPPA-Registrierungsfrist auf dich zutrifft.
Gelten diese Gesetze wirklich für dich?
Das ist die Frage, an der die meisten Inhaber kleiner Unternehmen scheitern, denn die ehrliche Antwort lautet: „Es kommt darauf an, wo deine Kunden leben, nicht wo dein Unternehmen sitzt." Bundesstaatliche Datenschutzgesetze gelten in der Regel abhängig vom Wohnsitz der Personen, deren Daten du verarbeitest – nicht vom Sitzbundesstaat oder der klassischen Größe deines Unternehmens.
Ein paar praktische Anhaltspunkte dafür, dass du irgendwo in den Anwendungsbereich fallen könntest:
- Du hast Kunden, E-Mail-Abonnenten oder Website-Besucher in Connecticut und verarbeitest eine der neu erweiterten Kategorien sensibler Daten (Finanzinformationen, Ausweisdaten, Gesundheitsdaten).
- Dein Marketing erreicht Nutzer unter 17 Jahren in Arkansas – auch über Drittanbieter-Werbeplattformen, die du nicht selbst gebaut hast.
- Du führst Kundendaten von Einwohnern Utahs und hast noch keinen Prozess für Korrekturanfragen aufgebaut.
- Du nutzt einen Datenhändler, ein Werbenetzwerk oder einen Listenvermietungs-Anbieter und hast nie gefragt, was dieser mit den Informationen macht.
Trifft nichts davon zu, fällst du derzeit womöglich tatsächlich nicht in den Anwendungsbereich – aber das „derzeit" hat es in sich, angesichts der Geschwindigkeit, mit der die Schwellenwerte zuletzt gefallen sind.
Eine praktische Compliance-Checkliste
Du brauchst keine eigene Compliance-Abteilung, um die Grundlagen richtig zu machen. Hier ist der Einstieg:
- Erfasse, was du sammelst. Du kannst Regeln zu Datenkategorien nicht einhalten, die du nicht kartiert hast. Liste jede Stelle auf, an der Kundendaten in dein Unternehmen gelangen – Website-Formulare, Kassensysteme, E-Mail-Anmeldungen, Werbe-Pixel.
- Prüfe deine Anbieterverträge auf KI-Trainingsklauseln. Wenn du ein CRM, einen Chatbot oder ein Analyse-Tool nutzt, achte auf Klauseln, die deine Daten zur „Verbesserung" oder zum „Training" von Modellen verwenden. Connecticut verlangt inzwischen, dass du dies öffentlich offenlegst.
- Aktualisiere deine Datenschutzerklärung. Ergänze sie gegebenenfalls um eine Offenlegung zum KI-Training und stelle sicher, dass sie tatsächlich widerspiegelt, was du tust – Aufsichtsbehörden vergleichen zunehmend den Text der Richtlinie mit der tatsächlichen Praxis.
- Baue einen schlanken Anfrageprozess auf. Eine einzige E-Mail-Adresse oder ein Formular, über das Kunden Korrekturen, Löschungen oder einen Widerspruch gegen den Verkauf ihrer Daten beantragen können, deckt die meisten Pflichten über alle Bundesstaaten hinweg ab.
- Segmentiere das Ad-Targeting für Minderjährige, falls relevant. Ist deine Zielgruppe eher jung, deaktiviere interessenbasierte und Retargeting-Anzeigen für dieses Segment, statt zu versuchen, eine Ausnahme für jeden einzelnen Bundesstaat zu bauen.
Halte deine Finanzunterlagen so sauber wie deine Datenschutzrichtlinie
Datenschutz-Compliance und finanzielle Buchführung beruhen auf derselben Grunddisziplin: genau wissen, was du sammelst, wo es liegt und wer es einsehen kann. Beancount.io bringt diese gleiche Transparenz in deine Bücher – mit klartextbasierter Buchhaltung, die versioniert, nachvollziehbar und frei von Anbieterbindung ist – keine Blackbox, kein Rätselraten, was sich wann geändert hat. Kostenlos loslegen und halte deine Finanzdaten genauso gut organisiert wie dein Compliance-Programm.