Wenn Ihr Unternehmen Kunden-E-Mails für einen Newsletter sammelt, gezielte Werbung auf Instagram schaltet oder Bestellhistorien in einem CRM speichert, gehen Sie vielleicht davon aus, dass staatliche Datenschutzgesetze ein Problem der Küstenstaaten sind – Kalifornien, vielleicht Colorado, aber sicher nicht der Mittlere Westen oder Neuengland. Diese Annahme ist gerade erheblich teurer geworden. Seit dem 1. Januar 2026 haben Indiana, Kentucky und Rhode Island umfassende Verbraucherdatenschutzgesetze in Kraft, womit die Gesamtzahl der Bundesstaaten mit einem solchen Gesetz auf zwanzig gestiegen ist. Wenn Ihr Unternehmen Kunden, Mitarbeiter oder Website-Besucher in einem dieser drei Bundesstaaten hat, gelten die Regeln, die früher wie "Großunternehmen, großer Bundesstaat"-Compliance wirkten, jetzt auch für Sie.
Hier erfahren Sie, was sich tatsächlich geändert hat, wer einhalten muss und was ein Kleinunternehmer in diesem Quartal tun sollte.
Warum drei Bundesstaaten auf einmal?
Indiana, Kentucky und Rhode Island haben keinen Überraschungsangriff auf die Papierflut kleiner Unternehmen koordiniert – sie sind die neueste Welle in einem Muster, das sich seit der Verabschiedung des ersten "zweiten Generation"-Datenschutzgesetzes durch Virginia im Jahr 2021 aufbaut. Jedes neue Landesgesetz lehnt sich stark an ein früheres an (meist an das von Virginia), mit kleinen Anpassungen bei Schwellenwerten, Durchsetzung und Verbraucherrechten. Das ist eine gute Nachricht für Unternehmen, die in mehreren Bundesstaaten tätig sind: Wenn Sie eines dieser Gesetze verstehen, sind die anderen beiden zu 80 % vertraut.
Die schlechte Nachricht sind die restlichen 20 %. Kleine Unterschiede bei Anwendungsschwellen, Abhilfefristen und Opt-Out-Anforderungen bedeuten, dass Sie nicht einfach eine Virginia-konforme Datenschutzerklärung kopieren und in allen drei Bundesstaaten für erledigt erklären können. Jeder hat seine eigenen Besonderheiten.
Indiana Consumer Data Protection Act (ICDPA)
Das Gesetz von Indiana ist das unternehmensfreundlichste der drei, und es lohnt sich zu verstehen, warum.
Wen es abdeckt: Gewinnorientierte Unternehmen, die in Indiana Geschäfte tätigen oder Waren/Dienstleistungen an Einwohner Indianas richten und die während eines Kalenderjahres entweder:
- Personenbezogene Daten von mindestens 100.000 Einwohnern Indianas kontrollieren oder verarbeiten, oder
- Personenbezogene Daten von mindestens 25.000 Einwohnern Indianas kontrollieren oder verarbeiten und mehr als 50 % ihrer Bruttoeinnahmen aus dem Verkauf personenbezogener Daten erzielen
Diese zweite Schwelle ist diejenige, die leise kleinere Betriebe erfasst – ein Datenmakler oder ein Ad-Tech-Unternehmen mit einer bescheidenen Kundenzahl, aber einem datenverkaufslastigen Umsatzmodell, kann diese Grenze überschreiten, lange bevor es sechsstellige "Kunden" erreicht.
Was es unternehmensfreundlich macht:
- Eine dauerhafte 30-tägige Abhilfefrist – kein Ablaufdatum, anders als in einigen Bundesstaaten, wo die Schonfrist zur Behebung eines Verstoßes vor Durchsetzung nach einigen Jahren endet
- Keine Verpflichtung zur Anerkennung universeller Opt-Out-Mechanismen wie das Global Privacy Control-Signal (mehr dazu, warum dies wichtig ist, weiter unten)
- Ausschließliche Durchsetzung durch den Indiana Attorney General – kein privates Klagerecht, einzelne Verbraucher können Sie also nicht direkt wegen eines Verstoßes verklagen
- Standardausnahmen für HIPAA-gedeckte Einrichtungen, gemeinnützige Organisationen, Hochschulen und bestimmte Finanzinstitute
Wenn Ihr Unternehmen bereits das Datenschutzgesetz von Virginia oder Colorado einhält, besteht die Compliance in Indiana weitgehend darin, Ihre Datenschutzerklärung unter Bezugnahme auf das neue Gesetz zu aktualisieren und zu bestätigen, dass Ihre bestehenden Opt-Out- und Datensubjekt-Anfrageprozesse auch Einwohner Indianas abdecken.
Kentucky Consumer Data Protection Act (KCDPA)
Kentuckys Gesetz nahm einen ungewöhnlichen Weg: Die Legislative verabschiedete Änderungen (HB 473), bevor das ursprüngliche Gesetz überhaupt in Kraft trat, sodass Unternehmen von Anfang an mit einer vorab geflickten Version konform gehen.
Was HB 473 geändert hat:
- Gesundheitsdaten, die von HIPAA-gedeckten Einrichtungen verwaltet werden und bereits als geschützte Gesundheitsinformationen gelten, sind von den KCDPA-Anforderungen ausgenommen – dies schließt eine Lücke, bei der gesundheitsnahe Unternehmen möglicherweise mit überlappenden HIPAA- und KCDPA-Verpflichtungen für dieselben Daten konfrontiert gewesen wären
- Die Anforderung zur Durchführung einer Datenschutz-Folgenabschätzung (DPIA) für Profiling-Aktivitäten wurde auf Fälle mit rechtswidriger unterschiedlicher Auswirkung eingeschränkt – d. h. das Profiling hat das Potenzial für unverhältnismäßige Schäden für Mitglieder einer geschützten Gruppe, nicht für jede Profiling-Aktivität an sich
Durchsetzung und Strafen: Der Attorney General von Kentucky muss eine Mitteilung ausstellen und eine 30-tägige Abhilfefrist gewähren, bevor er eine Durchsetzung einleitet. Wie in Indiana hat diese Abhilfefrist derzeit kein Ablaufdatum, was eine deutlich risikoärmere Position darstellt als in Bundesstaaten, in denen die Abhilfefrist nach einer bestimmten Anzahl von Jahren wegfällt. Wird ein Verstoß nicht behoben, können zivilrechtliche Strafen von bis zu 7.500 US-Dollar pro Verstoß verhängt werden – und "pro Verstoß" bedeutet im Datenschutzrecht normalerweise pro betroffenem Verbraucherdatensatz, nicht pro Vorfall, sodass dies mit der Größe eines Datensatzes schnell eskalieren kann.
Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA)
Rhode Island ist der Ausreißer der drei, mit der niedrigsten Anwendungsschwelle und dem verbraucherfreundlichsten Durchsetzungsrahmen.
Wen es abdeckt: Unternehmen, die personenbezogene Daten von mindestens 35.000 Verbrauchern kontrollieren oder verarbeiten, oder von 10.000 Verbrauchern, wenn mehr als 20 % des Umsatzes aus dem Verkauf personenbezogener Daten stammen. Diese Kombination aus 10.000 Verbrauchern/20 % Umsatz ist eine wirklich niedrige Hürde – ein kleiner E-Commerce-Betrieb mit einer Nebenumsatzquelle aus dem Verkauf von Kundenlisten an Marketingpartner könnte diese Schwelle mit einer Mailingliste erreichen, die kleiner ist als viele lokale Facebook-Gruppen.
Wichtige Anforderungen:
- Ausdrückliche Opt-in-Einwilligung erforderlich vor der Verarbeitung sensibler personenbezogener Daten (Gesundheit, Biometrie, genauer Standort und ähnliche Kategorien), mit einem Mechanismus für Verbraucher, diese Einwilligung zu erteilen und zu widerrufen
- Verbraucher können sich von gezielter Werbung, dem Verkauf personenbezogener Daten und Profiling abmelden – aber Rhode Island verlangt nicht die Anerkennung universeller Opt-Out-Signale wie das Global Privacy Control, daher müssen Opt-Outs websiteweise und nicht über ein einziges browserseitiges Signal abgewickelt werden
- Verstöße werden als irreführende Geschäftspraktiken behandelt, mit Strafen von bis zu 10.000 US-Dollar pro Verstoß
Diese Einstufung als "irreführende Geschäftspraktiken" ist erwähnenswert: Sie verknüpft Datenschutzverstöße mit dem bestehenden Verbraucherschutzgesetz von Rhode Island, das eigene Durchsetzungsmuster und Präzedenzfälle mit sich bringen kann, die über das hinausgehen, was ein speziell geschaffenes Datenschutzgesetz allein schaffen würde.
Der gemeinsame Nenner: Risikobewertungen
In allen drei Bundesstaaten taucht eine Verpflichtung durchgängig auf und bringt kleine Unternehmen mehr ins Stolpern als jedes einzelne Verbraucherrecht: die Anforderung, eine Datenschutz-Folgenabschätzung (manchmal auch DPIA genannt) durchzuführen, bevor "risikoreiche" Verarbeitungsaktivitäten durchgeführt werden. Dazu gehören typischerweise:
- Gezielte Werbung
- Verkauf oder Weitergabe personenbezogener Daten an Dritte
- Verarbeitung sensibler Datenkategorien
- Profiling, das zu rechtlichen oder ähnlich bedeutenden Auswirkungen für einen Verbraucher führen könnte
Wenn Ihr Unternehmen Retargeting-Anzeigen schaltet, Kundenlisten verkauft oder lizenziert oder automatisierte Tools zur Bewertung oder Segmentierung von Kunden einsetzt, benötigen Sie wahrscheinlich eine dokumentierte Bewertung in den Akten – nicht etwas, das Sie reaktiv erstellen, wenn die Generalstaatsanwaltschaft anklopft.
Eine praktische Compliance-Checkliste
Sie benötigen keinen externen Rechtsbeistand, um die Grundlagen zu schaffen. Beginnen Sie hier:
- Zählen Sie Ihre Gefährdung. Schätzen Sie für jeden Bundesstaat, wie viele Einwohner personenbezogene Daten Sie jährlich kontrollieren oder verarbeiten und ob ein nennenswerter Teil des Umsatzes aus dem Verkauf von Daten stammt. Dies bestimmt, welche Gesetze tatsächlich für Sie gelten.
- Aktualisieren Sie Ihre Datenschutzerklärung. Fügen Sie Verweise auf die spezifischen Rechte der Einwohner von Indiana, Kentucky und Rhode Island hinzu (Auskunft, Berichtigung, Löschung, Opt-out bei Verkauf/gezielter Werbung/Profiling), falls Sie abgedeckt sind.
- Entwickeln (oder bestätigen) Sie einen Prozess für Anträge auf Verbraucherrechte. Sie benötigen eine Möglichkeit für Verbraucher, Anträge auf Auskunft, Löschung und Berichtigung innerhalb der gesetzlichen Antwortfrist einzureichen – und für Sie, diese zu erfüllen.
- Dokumentieren Sie Ihre risikoreiche Verarbeitung. Wenn Sie gezielte Werbung schalten, Daten verkaufen oder Kunden profilieren, schreiben Sie auf, was Sie tun, warum und welche Schutzmaßnahmen vorhanden sind. Dies ist Ihre Datenschutz-Folgenabschätzung.
- Trennen Sie die Handhabung sensibler Daten. Gesundheits-, biometrische und genaue Standortdaten benötigen in Rhode Island eine ausdrückliche Opt-in-Einwilligung und generell erhöhte Vorsicht – bündeln Sie diese Einwilligung nicht in einer allgemeinen Checkbox zu den Allgemeinen Geschäftsbedingungen.
- Überwachen Sie Ihre Lieferantenverträge. Wenn ein Zahlungsabwickler, eine E-Mail-Plattform oder ein Werbenetzwerk in Ihrem Auftrag personenbezogene Daten verarbeitet, sollten Ihre Verträge mit ihnen deren Pflichten als Daten-"Verarbeiter" gemäß diesen Gesetzen widerspiegeln.
Warum dies mit Ihren Büchern zusammenhängt
Compliance-Arbeit wie diese bringt oft ein weniger offensichtliches Problem ans Licht: Die meisten kleinen Unternehmen haben keine saubere Antwort auf die Frage "Welche Anbieter haben Zugriff auf Kundendaten, und was zahlen wir ihnen?". Das ist ebenso eine Frage der Buchhaltung wie eine rechtliche. Wenn Ihr Kontenplan Ad-Tech-Ausgaben, Datenverarbeitungsgebühren und CRM-Abonnements nicht sauber von allgemeinen Softwarekosten trennt, werden Sie Schwierigkeiten haben, überhaupt zu identifizieren, welche Lieferantenbeziehungen einen Datenverarbeitungszusatz benötigen – geschweige denn, einer Aufsichtsbehörde zu beweisen, dass Sie wissen, wohin Kundendaten fließen.
Die Buchhaltung im Klartextformat macht diese Art von Prüfung weitaus einfacher, als durch ein undurchsichtiges SaaS-Dashboard zu graben. Da jede Transaktion in Beancount ein menschenlesbarer, versionierter Eintrag ist, können Sie Ihr Hauptbuch in Sekundenschnelle nach jeder Zahlung an eine Werbeplattform, einen Datenmakler oder einen Analyseanbieter durchsuchen – und verwandeln so die Frage "Welche unserer Anbieter berühren Kundendaten?" von einer mehrtägigen Schnitzeljagd in eine Fünf-Minuten-Abfrage.
Bewahren Sie Compliance und Bücher am selben Ort
Da immer mehr Bundesstaaten Datenschutzgesetze verabschieden, die immer kleinere Unternehmen erreichen, wird das genaue Wissen darüber, welche Anbieter Kundendaten verarbeiten – und was Sie ihnen zahlen – keine Option mehr sein. Beancount.io bietet Ihnen Buchhaltung im Klartextformat mit vollständiger Transparenz und Versionsverlauf, sodass die Rückverfolgung Ihrer Datenlieferantenbeziehungen durch Ihre Finanzunterlagen so einfach ist wie die Suche in einer Textdatei. Starten Sie kostenlos und halten Sie Ihre Compliance-Geschichte so sauber wie Ihre Bücher.