Wenn Ihr Unternehmen Gesundheitsdaten, biometrische Scans oder staatliche Ausweisnummern auch nur von einer Handvoll Einwohnern Connecticuts erhebt, könnte ein am 1. Juli 2026 in Kraft getretenes Gesetz Sie gerade in eines der strengsten Datenschutzregime des Landes gezwungen haben – unabhängig davon, wie klein Sie sind.
Das Connecticut Data Privacy Act (CTDPA) ist seit 2023 in Kraft, aber die Änderungen, die diesen Juli in Kraft traten, haben die Regeln in dreierlei Hinsicht neu geschrieben, die für kleine und mittlere Unternehmen enorm wichtig sind: Die Größenschwelle für die Anwendbarkeit wurde gesenkt, die Definition von "sensiblen Daten" wurde um neuronale Daten erweitert, und jedes Unternehmen, das KI mit Kundendaten einsetzt, muss dies nun in verständlicher Sprache angeben. Unternehmen, die annahmen, das CTDPA sei ein "Problem für große Unternehmen", sollten diese Annahme diese Woche überdenken.
Warum dieses Gesetz jetzt für Unternehmen gilt, die zuvor ausgenommen waren
Das ursprüngliche CTDPA galt nur für Unternehmen, die die personenbezogenen Daten von 100.000 oder mehr Verbrauchern in Connecticut verarbeiteten, oder von 25.000 Verbrauchern, wenn das Unternehmen mehr als 25 % seiner Einnahmen aus dem Verkauf von Daten erzielte. Diese Schwelle befreite die meisten kleinen Unternehmen effektiv.
Die Änderung von 2026 hebt diesen sicheren Hafen auf. Seit dem 1. Juli 2026 gilt das CTDPA nun für jede in Connecticut tätige Organisation, die eine dieser drei Bedingungen erfüllt:
- Verarbeitung personenbezogener Daten von 35.000 oder mehr Verbrauchern in einem Kalenderjahr (gesenkt von 100.000), ausgenommen Daten, die ausschließlich zur Abwicklung einer Zahlungstransaktion verarbeitet werden
- Verarbeitung jeglicher sensibler Daten, unabhängig von der Anzahl der betroffenen Verbraucher – selbst eines einzigen
- Anbieten personenbezogener Daten zum Verkauf, in beliebigem Umfang
Der zweite Auslöser ist derjenige, der kleine Unternehmen überrascht. Es gibt keine Untergrenze. Ein ärztlicher Abrechnungsdienst mit fünf Mitarbeitern, ein Boutique-Fitnessstudio, das Gesundheitsfragebögen aufbewahrt, oder eine lokale Zeitarbeitsfirma, die Hintergrundchecks mit staatlichen Ausweisnummern durchführt, können CTDPA-Pflichten auslösen, selbst wenn sie insgesamt nur ein paar hundert Kunden in Connecticut betreuen.
Was jetzt als "sensible Daten" gilt – einschließlich neuronaler Daten
Die Änderung hat die Kategorie der sensiblen Daten, die unabhängig vom Umfang die Anwendbarkeit auslöst, erheblich erweitert. Sie umfasst nun:
- Rassische oder ethnische Herkunft, religiöse Überzeugungen und Gesundheitszustände oder -diagnosen
- Sexuelle Orientierung und Geschlechtsidentität
- Staatsbürgerschaft oder Einwanderungsstatus
- Neuronale Daten – Signale aus dem Gehirn oder Nervensystem einer Person, einschließlich Daten, die von Verbraucher-Neurotechnologie-Geräten wie EEG-Stirnbändern, Meditations-Wearables oder Gehirn-Computer-Schnittstellen gesammelt werden
- Biometrische Daten (Fingerabdrücke, Stimmabdrücke, Gesichtsgeometrie) und genetische Daten
- Präzise Geolokalisierung
- Staatlich ausgestellte Identifikationsnummern
- Finanzkontonummern und Anmeldedaten
- Personenbezogene Daten eines bekannten Minderjährigen im Alter von 13–17 Jahren
- Status als Opfer einer Straftat
Neuronale Daten sind die schlagzeilenträchtige Ergänzung, und Connecticut ist einer der ersten Bundesstaaten, die sie ausdrücklich als sensible personenbezogene Daten regulieren. Wenn Ihr Produkt mit Wellness-Technologie, Meditations-Apps, Fokus-Tracking-Wearables oder einer Gehirn-Computer-Schnittstelle zu tun hat, sind Sie eindeutig betroffen. Übersehen Sie aber nicht die alltäglicheren Kategorien – Gesundheitszustände, staatliche Ausweise und Finanzdaten tauchen in der üblichen Buchführung kleiner Unternehmen ständig auf (Mitarbeiter-I-9s, Kundenaufnahmeformulare, Versicherungsunterlagen), und genau deshalb ist der Auslöser "jegliche Menge" so wichtig.
Die neue Offenlegungspflicht für KI- und LLM-Training
Unabhängig von der Erweiterung sensibler Daten fügt die Änderung eine Offenlegungspflicht hinzu, die direkt auf den KI-Boom abzielt. Datenschutzerklärungen müssen nun in einer auffälligen und barrierefrei zugänglichen Weise angeben, ob das Unternehmen personenbezogene Daten von Verbrauchern verwendet, um:
- Große Sprachmodelle oder andere KI-Systeme zu trainieren
- Profile für automatisierte Entscheidungsfindung zu erstellen
- Gezielte Werbung zu unterstützen
Dies gilt auch dann, wenn Ihre "KI"-Nutzung darauf beschränkt ist, Transkripte des Kundendienstes in eine Feinabstimmungs-Pipeline einzuspeisen oder ein KI-Tool eines Drittanbieters zu verwenden, das mit den von Ihnen hochgeladenen Daten trainiert wird. Wenn Sie nicht wissen, ob Ihr CRM, Ihr Chatbot-Anbieter oder Ihre Analyseplattform Modelle mit den Daten Ihrer Kunden trainiert, ist jetzt der Zeitpunkt, dies herauszufinden – Ihre Datenschutzerklärung muss diese Frage beantworten, unabhängig davon, ob Sie sie intern gestellt haben.
Verbraucher haben mit der Änderung auch neue Rechte erhalten: das Recht, der Profilerstellung für Entscheidungen mit rechtlichen oder ähnlich bedeutenden Auswirkungen (Kredit, Beschäftigung, Wohnen, Versicherung, Gesundheitswesen) zu widersprechen, das Recht, eine Erklärung einer automatisierten Entscheidung zu verlangen, und das Recht, eine Liste der spezifischen Dritten zu erhalten, die ihre Daten erhalten haben – ein strengerer Standard als die bloße Nennung von Kategorien von Empfängern.
Weitere betriebliche Änderungen, die Sie kennen sollten
Folgenabschätzung zur Profilerstellung. Unternehmen, die Profiling für rechtlich bedeutsame Entscheidungen einsetzen, müssen für jede nach dem 1. August 2026 durchgeführte Verarbeitung eine dokumentierte Folgenabschätzung durchführen. Dies ist keine reine Checklisten-Übung – die Aufsichtsbehörden erwarten eine schriftliche Aufzeichnung der berücksichtigten Risiken und der ergriffenen Abhilfemaßnahmen.
Verschärfter Schutz Minderjähriger. Gezielte Werbung an und der Verkauf von Daten von Personen im Alter von 13–17 Jahren sind jetzt ausdrücklich verboten – eine Einwilligung heilt dies nicht. Die Änderung schränkt auch "engagement-maximierende" Designfunktionen (unendliches Scrollen, Autoplay, Serien und ähnliche Mechanismen) ein, die auf Minderjährige abzielen.
Die 60-tägige Nachbesserungsfrist ist entfallen. Nach dem ursprünglichen CTDPA hatten Unternehmen, die gegen die Vorschriften verstießen, eine garantierte Frist von 60 Tagen, um das Problem zu beheben, bevor der Generalstaatsanwalt Strafen verhängen konnte. Diese Garantie ist abgelaufen, und die Durchsetzungsbehörden müssen keine Verwarnung mehr aussprechen. Der Generalstaatsanwalt von Connecticut hat bereits mindestens eine öffentliche Strafe (eine Einigung in Höhe von 85.000 USD wegen einer unzureichenden Datenschutzerklärung) nach dem Gesetz vor der Änderung verhängt, und der erweiterte Anwendungsbereich des geänderten Gesetzes sowie der Wegfall der Nachbesserungsfrist bedeuten, dass mehr Unternehmen einem solchen Vorgehen ausgesetzt sind und weniger Spielraum haben, um Fehler stillschweigend zu korrigieren.
Strafen. Zivilrechtliche Strafen betragen bis zu 5.000 USD pro vorsätzlichem Verstoß und bis zu 2.500 USD pro nicht vorsätzlichem Verstoß, bewertet pro Verstoß – was sich schnell über einen Kundenstamm, eine Reihe von Lieferantenverträgen oder eine mehrseitige Datenschutzerklärung mit mehreren Mängeln summieren kann.
Eine praktische Compliance-Checkliste für kleine Unternehmen
Sie brauchen keine Compliance-Abteilung, um die Grundlagen richtig zu machen. Gehen Sie diese Schritte durch:
- Erfassen Sie, was Sie tatsächlich sammeln. Listen Sie jede Kategorie personenbezogener Daten auf, die Sie verarbeiten – Kundenunterlagen, Mitarbeiterakten, W-9-Formulare von Lieferanten, Aufnahmeformulare, Daten von Wearables oder Apps. Kennzeichnen Sie alles, was in die erweiterte Liste sensibler Daten fällt, insbesondere Gesundheitsdaten, staatliche Ausweise, Finanzdaten oder (falls für Ihr Produkt relevant) neuronale Daten.
- Zählen Sie Ihren Fußabdruck in Connecticut. Auch wenn Sie bei weitem nicht 35.000 Verbraucher erreichen, prüfen Sie, ob Sie sensible Daten verarbeiten oder personenbezogene Daten verkaufen – beide Auslöser gelten ohne Mindestvolumen.
- Überprüfen Sie Ihre KI- und Anbieterlandschaft. Fragen Sie jedes SaaS-Tool, jeden Chatbot und jeden Analyseanbieter, den Sie nutzen, ob die Kundendaten, die Sie an sie senden, deren Modelle trainieren. Holen Sie die Antwort schriftlich ein; Sie werden sie benötigen, um eine genaue Offenlegung zu verfassen.
- Aktualisieren Sie Ihre Datenschutzerklärung. Fügen Sie eine auffällige, barrierefrei zugängliche Erklärung zur KI-/LLM-Schulung, Profilerstellung und Nutzung gezielter Werbung hinzu – vergraben Sie sie nicht in einem dichten juristischen Kleingedruckten, das selbst einen Mängelanspruch auslösen könnte, wie Connecticuts vorherige Einigung über 85.000 USD.
- Etablieren Sie einen Opt-Out- und Erklärungsprozess. Sie benötigen einen echten, funktionierenden Mechanismus, mit dem Verbraucher der Profilerstellung für wichtige Entscheidungen widersprechen und eine Erklärung anfordern können – nicht nur einen Satz, der verspricht, dass es einen gibt.
- Dokumentieren Sie Ihre Folgenabschätzungen zur Profilerstellung, wenn Sie automatisierte Entscheidungsfindung für Kredit-, Beschäftigungs-, Versicherungs-, Gesundheits- oder wohnungsbezogene Ergebnisse einsetzen.
- Überprüfen Sie alle auf Minderjährige ausgerichteten Funktionen. Wenn Jugendliche Ihr Produkt nutzen, entfernen Sie gezielte Werbung und den Datenverkauf für diese Altersgruppe vollständig und überdenken Sie Engagement-Mechanismen, die auf sie abzielen.
Connecticut handelt nicht allein – Indiana, Kentucky und Rhode Island haben 2026 ebenfalls neue umfassende Datenschutzgesetze in Kraft gesetzt, und Offenlegungen zu neuronalen Daten und KI-Training tauchen auch in den Änderungen anderer Bundesstaaten auf. Wenn Sie bundesstaatenübergreifend tätig sind, betrachten Sie Connecticuts Liste als Vorschau darauf, wohin sich die Compliance-Erwartungen national entwickeln, und nicht als einmalige lokale Eigenheit.
Halten Sie Ihre Compliance-Spur so klar wie Ihre Bücher
Datenschutz-Compliance und Finanzbuchhaltung teilen dieselbe grundlegende Disziplin: Wissen Sie genau, welche Daten Sie sammeln, warum und wer darauf zugreift. Beancount.io bringt diese Klarheit in Ihre Finanzen mit Plain-Text-Buchhaltung – transparente, versionierte Aufzeichnungen ohne Black Boxes und ohne Vendor-Lock-in. Starten Sie kostenlos und halten Sie Ihre Finanzdaten so prüfbar, wie es Ihre Datenschutzpraktiken sein müssen.