Wenn Ihr Unternehmen jemals eine E-Mail-Liste vermietet, aggregierte Kundenanalysen an einen Marketingpartner verkauft oder ein Treueprogramm betrieben hat, das Kaufdaten mit einer Einzelhandelskette teilt, könnten Sie nach dem Recht des Bundesstaates Vermont bereits ein „Data Broker" sein – und seit diesem Sommer ist dieses Label deutlich teurer geworden.
Am 16. Juni 2026 unterzeichnete Gouverneur Phil Scott H.211 (jetzt Act 138), eine umfassende Überarbeitung von Vermonts Data-Broker-Registrierungsgesetz – dem ersten seiner Art im Land, als es ursprünglich 2018 verabschiedet wurde. Die Änderungen treten erst am 1. Januar 2027 in Kraft, aber die Compliance-Vorbereitungszeit ist kürzer, als es scheint, sobald man versteht, wie viel breiter die neuen Definitionen sind. Viele kleine Unternehmen, die sich selbst nie als „Data Broker" betrachtet haben, werden bald eines Besseren belehrt.
Was Vermonts Data-Broker-Gesetz eigentlich ist
Vermont war der erste Bundesstaat, der von Unternehmen, die mit Verbraucherdaten handeln, verlangte, sich bei der Regierung zu registrieren – lange bevor Kalifornien, Texas, Oregon und eine Handvoll anderer Bundesstaaten mit eigenen Versionen nachzogen. Die Kernidee war schon immer einfach: Wenn Sie wissentlich personenbezogene Daten von Personen sammeln und dann verkaufen oder lizenzieren, zu denen Sie keine direkte Beziehung haben, möchte der Staat wissen, wer Sie sind, was Sie verkaufen und wie viele Daten den Besitzer wechseln.
Seit 2018 bedeutete dies eine jährliche Registrierung beim Vermont Secretary of State, eine Gebühr von 100 $ und einige grundlegende Offenlegungspflichten. Fast acht Jahre lang war diese Registrierung für die wenigen Unternehmen, die groß genug waren, um eindeutig unter das Label „Data Broker" zu fallen – denken Sie an Hintergrundprüfungsfirmen, Aggregatoren von Marketingdaten und Personensuchseiten – meist nur ein nachträglicher Compliance-Gedanke.
H.211 ändert diese Rechnung für eine viel größere Gruppe von Unternehmen.
Was sich tatsächlich geändert hat
Die Definition der „direkten Beziehung" wurde enger gefasst – und das ist der Teil, der die Leute überrascht. Nach altem Recht reichte es in der Regel aus, Informationen direkt von einem Verbraucher zu sammeln, um eine „direkte Beziehung" herzustellen und außerhalb der Data-Broker-Definition zu bleiben. Das geänderte Gesetz verlangt, dass der Verbraucher absichtlich mit Ihrem Unternehmen interagiert. Diese Unterscheidung zieht gezielt Unternehmen hinein, die im Hintergrund einer Transaktion agieren – Zahlungsabwickler, Anbieter von Treueprogrammen und White-Label-Plattformanbieter werden im Kommentar zum Gesetz namentlich genannt. Wenn die Beziehung des Verbrauchers eigentlich zu dem Einzelhändler, Restaurant oder der App besteht, von der er denkt, dass er sie nutzt – und Ihr Unternehmen die Infrastruktur ist, die im Hintergrund leise ihre Daten erfasst –, dann qualifizieren Sie sich möglicherweise nicht mehr für die Ausnahme wegen der direkten Beziehung, nur weil Sie die Daten technisch gesehen selbst gesammelt haben.
„Vermittelte personenbezogene Daten" (Brokered Personal Information) wurden ebenfalls deutlich breiter gefasst. Das alte Gesetz listete bestimmte Datenkategorien auf, die zählten. Das neue Gesetz ersetzt diese Liste durch einen allgemeinen Standard: alle Informationen, die mit einer identifizierten oder identifizierbaren natürlichen Person oder einem Haushaltsgerät verknüpft sind oder vernünftigerweise verknüpft werden können – einschließlich abgeleiteter Daten und eindeutiger Identifikatoren. Dies ist eine bewusste Angleichung an die Art von breiten Definitionen, die in umfassenden staatlichen Datenschutzgesetzen verwendet werden, und erfasst Dinge wie Geräte-IDs, Verhaltensprofile und abgeleitete Merkmale, die die ursprüngliche aufgezählte Liste nicht klar erreichte.
Neue Sorgfaltspflichten treten in Kraft, bevor Sie Daten verkaufen oder lizenzieren können. Datenmakler müssen nun identifizieren, wer die vermittelten personenbezogenen Daten erhält, verstehen, was der Empfänger damit vorhat, und eine Zertifizierung erhalten, dass er sie für nichts anderes verwenden wird. Wenn ein Makler begründeten Anlass zu der Annahme hat, dass die Daten missbraucht oder unrechtmäßig verwendet werden, ist er verpflichtet, die Transaktion abzulehnen. Dies ist eine echte betriebliche Verpflichtung, nicht nur ein Papierkram: Es erfordert einen dokumentierten Aufnahme- und Prüfprozess für jeden Datenpartner, nicht nur eine einmalige Registrierung.
Eine hilfreiche Ausnahme: die Ausnahme für verbundene Unternehmen. Die Datenweitergabe an verbundene Unternehmen ist jetzt explizit von der Definition eines „Verkaufs" ausgenommen, was Vermont in Einklang mit der Behandlung von konzerninternem Datenaustausch in Texas bringt. Wenn Ihre Datenbewegung auf Unternehmen unter gemeinsamer Eigentümerschaft beschränkt ist, hält Sie diese Änderung wahrscheinlich für diese spezifische Aktivität außerhalb des Geltungsbereichs – obwohl es sich lohnt, zu bestätigen, dass Ihre Unternehmensstruktur tatsächlich qualifiziert, bevor Sie sich darauf verlassen.
Die finanzielle Seite wurde ernst
Die Gebühren- und Strafstruktur ist der Punkt, an dem H.211 von einem Compliance-Ärgernis zu einem echten Budgetposten wird:
| Anforderung | Alt | Neu |
|---|---|---|
| Jährliche Registrierungsgebühr | 100 $ | 900 $ |
| Kaution (Surety Bond) | Nicht angegeben | 20.000 $ |
| Nichtregistrierung | — | 200 $/Tag |
| Unvollständige Registrierung (nach 30 Tagen) | — | 1.000 $/Tag |
| Materiell falsche Angaben | — | 25.000 /Tag nach Ablauf der Korrekturfrist |
Eine jährliche Gebühr von 900 sind nicht die Art von Zahlen, die ein kleines Unternehmen unbemerkt wegsteckt. Und die tägliche Strafstruktur bedeutet, dass ein nicht korrigierter Registrierungsfehler nicht einfach still dasitzt – er summiert sich, genauso wie eine unbezahlte Steuerschuld Zinsen anhäuft, solange er nicht behoben wird.
Der Vermont Secretary of State ist außerdem verpflichtet, die Machbarkeit einer zentralen Plattform für Löschungsanträge von Verbrauchern zu prüfen, mit einem Bericht, der im Dezember 2028 fällig ist – ein Signal, dass dies sehr wahrscheinlich die erste von mehreren Verschärfungsrunden ist, nicht die letzte.
Wer sich tatsächlich Sorgen machen sollte
Große Personensuch- und Marketingdatenfirmen wissen bereits, dass sie Datenmakler sind. Die Unternehmen, die genauer hinschauen sollten, sind diejenigen, die nie dachten, dass das Label auf sie zutrifft:
- E-Commerce- und Abonnementunternehmen, die den Kaufverlauf oder die Interaktionsdaten ihrer Kunden gegen Geld oder gegenseitige Datenweitergabe mit einem Werbenetzwerk, einer Influencer-Plattform oder einem Co-Marketing-Partner teilen.
- SaaS-Plattformen und App-Entwickler, die aggregierte oder „anonymisierte" Nutzungsdaten monetarisieren – denken Sie daran, der neue Standard umfasst alles, was „vernünftigerweise mit einer Person oder einem Haushaltsgerät verknüpfbar" ist, was eine viel niedrigere Hürde darstellt, als die meisten Entwicklungsteams annehmen, wenn sie Daten als „anonymisiert" bezeichnen.
- Betreiber von Treueprogrammen und Zahlungsdienstleister, die zwischen einem Verbraucher und dem Einzelhändler, mit dem der Verbraucher zu interagieren glaubt, stehen – genau das Szenario, auf das die verschärfte Definition der „direkten Beziehung" abzielt.
- Affiliate-Vermarkter und Lead-Generierungs-Unternehmen, deren gesamtes Geschäftsmodell darin besteht, die Informationen eines Verbrauchers zu erfassen und den Zugang dazu an andere Unternehmen zu verkaufen oder zu lizenzieren.
- Empfehlungs- und Prämienprogramme, die Mitgliedsdaten als Teil einer cross-promotionalen Vereinbarung mit Einzelhandels- oder Gastgewerbepartnern teilen.
Keines dieser Unternehmen würde sich im allgemeinen Sprachgebrauch als „Data Broker" bezeichnen. Nach dem geänderten Gesetz von Vermont könnten mehrere von ihnen rechtlich gesehen dennoch einer sein – und Unkenntnis der Einstufung macht die Strafe von 200 $ pro Tag nicht verschwinden.
Was vor dem 1. Januar 2027 zu tun ist
- Kartieren Sie jede Stelle, an der Kundendaten Ihr Unternehmen verlassen. Nicht nur offensichtliche Datenverkäufe – auch Integrationen von Drittanbietern, Co-Marketing-Vereinbarungen, Werbenetzwerk-Pixel und „Datenpartnerschaften", bei denen kein Geld fließt, aber gegenseitiger Zugriff auf Verbraucherinformationen besteht.
- Testen Sie jeden Datenfluss gegen den neuen „Direct Relationship"-Standard. Fragen Sie ehrlich: Hat der Verbraucher absichtlich mit Ihrem Unternehmen interagiert, oder sind Sie die Infrastruktur hinter dem Geschäft eines anderen?
- Prüfen Sie, ob die Ausnahme für verbundene Unternehmen tatsächlich Ihre Struktur abdeckt. Sie gilt nur für Daten, die innerhalb einer echten Unternehmensverbindung geteilt werden – nicht für Partner auf Armlänge, mit denen Sie regelmäßig zusammenarbeiten.
- Bauen Sie einen Sorgfaltsprozess für Datenempfänger auf, einschließlich einer Möglichkeit zu dokumentieren, wofür der Empfänger Ihnen mitgeteilt hat, dass die Daten verwendet werden sollen – bevor die Januar-2027-Frist dies zu einer gesetzlichen Anforderung und nicht nur zu einer bewährten Praxis macht.
- Planen Sie jetzt die neuen Gebühren ein. Eine jährliche Registrierungsgebühr von 900 sind reale Kosten, die in das Betriebsbudget des nächsten Jahres gehören, nicht eine Überraschung, die Sie entdecken, wenn eine Compliance-Frist bereits über Ihnen schwebt.
Warum dies in Ihre Bücher gehört, nicht nur in Ihre Rechtsakten
Compliance-Kosten wie diese haben die Tendenz, zwischen Abteilungen verloren zu gehen – die Rechtsabteilung ist für die Registrierung zuständig, aber die Finanzabteilung übernimmt schließlich die Gebühr, die Kautionsprämie und etwaige Strafen, ohne einen klaren Posten, der dies verfolgt. Wenn Sie die Registrierungsgebühr von Vermont, die Kosten für die Kaution und die potenzielle tägliche Strafbelastung als eigene verfolgte Konten behandeln – anstatt sie in einem allgemeinen „Rechts- und Beratungskosten"-Topf zu vergraben – wird es viel einfacher, die tatsächlichen Kosten eines Compliance-Fehlers zu erkennen und Jahr für Jahr genau dafür zu budgetieren. Wenn Ihr Unternehmen sich tatsächlich als Datenmakler registrieren muss, sind diese 900 $-Gebühr und die Kautionsprämie wiederkehrende Kosten, die es wert sind, mit der gleichen Disziplin verfolgt zu werden, die Sie für ein Software-Abonnement oder eine Versicherungsprämie anwenden würden – nicht als einmalige Einreichung behandelt, die Sie bis zum nächsten Januar vergessen.
Halten Sie Ihre Compliance-Kosten sichtbar
Da neue Landesgesetze wie Vermonts H.211 gewöhnliche Datenpartnerschaften in regulierte Aktivitäten verwandeln, machen klare Finanzaufzeichnungen es viel einfacher, Compliance-Kosten, Strafrisiken und Lieferantenverpflichtungen zu verfolgen, ohne aus den Augen zu verlieren, was sie tatsächlich kosten. Beancount.io bietet eine klartextbasierte Buchhaltung, die transparent, versionskontrolliert und leicht zu prüfen ist – keine Black Boxes, keine Anbieterabhängigkeit. Starten Sie kostenlos und sehen Sie, warum Entwickler und finanziell versierte Geschäftsinhaber auf klartextbasierte Buchhaltung umsteigen.