Wenn Sie eine Website mit einem Kontaktformular, eine E-Mail-Liste oder ein CRM betreiben, das Telefonnummern von Kunden speichert, erheben Sie personenbezogene Daten. Seit dem 1. Januar 2026 reicht diese einfache Tatsache aus, um in mindestens einem US-Bundesstaat unter ein umfassendes Datenschutzgesetz zu fallen – möglicherweise sogar in mehreren gleichzeitig, wenn Sie Kunden über die Landesgrenzen hinweg beliefern.
Inzwischen haben zwanzig Bundesstaaten umfassende Verbraucherdatenschutzgesetze verabschiedet, und drei davon – Indiana, Kentucky und Rhode Island – haben am 1. Januar 2026 den Schalter umgelegt. Texas, dessen Data Privacy and Security Act (TDPSA) seit Mitte 2024 in Kraft ist, hat am selben Tag eine KI-spezifische Ergänzung hinzugefügt. Jahrelang konnten Inhaber kleiner Unternehmen vernünftigerweise annehmen, dass diese Gesetze ein "Problem für große Unternehmen" seien – schließlich gilt der kalifornische CCPA nur für Unternehmen mit einem Umsatz von 25 Millionen Dollar oder mehr. Diese Annahme gilt nicht mehr überall. Zwei der drei neuen Gesetze von 2026 haben keine Umsatzschwelle, und Texas hatte von Anfang an keine.
Dies ist keine Compliance-Checkliste, die Sie vollständig an einen Anwalt delegieren und dann vergessen können. Ob diese Gesetze auf Ihr Unternehmen zutreffen, hängt oft von Zahlen ab, die Sie ohnehin in Ihren Büchern verfolgen sollten: wie viele Kundendatensätze Sie speichern und – entscheidend – welcher Anteil Ihres Umsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten stammt. Wenn Ihre Buchhaltung diese zweite Frage nicht sauber beantworten kann, haben Sie ein größeres Problem als das Datenschutzrecht.
Die drei neuen Gesetze von 2026 in einfacher Sprache
Indiana Consumer Data Protection Act (INCDPA) gilt für gewinnorientierte Unternehmen, die entweder:
- die personenbezogenen Daten von 100.000 oder mehr Einwohnern Indianas in einem Kalenderjahr kontrollieren oder verarbeiten, oder
- mehr als 50 % ihres Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielen und Daten von 25.000 oder mehr Einwohnern Indianas verarbeiten.
Kentucky Consumer Data Protection Act (KCDPA) spiegelt die Schwellenwerte Indianas fast genau wider – dieselbe 100.000-Verbraucher-Schwelle, derselbe alternative Test von 50-% Umsatz aus Datenverkäufen bei 25.000 Verbrauchern. Beide Gesetze sind enge Verwandte des Gesetzes von Virginia aus dem Jahr 2023. Wenn Sie also bereits Compliance für Virginia oder Colorado aufgebaut haben, ist der Großteil der Vorarbeit übertragbar.
Rhode Island Data Transparency and Privacy Protection Act (RIDTPPA) setzt die Messlatte deutlich niedriger:
- Kontrolliert oder verarbeitet Daten von 35.000 oder mehr Einwohnern Rhode Islands, oder
- Kontrolliert oder verarbeitet Daten von 10.000 oder mehr Einwohnern und erzielt 20 % oder mehr des Bruttoumsatzes aus dem Verkauf personenbezogener Daten.
Rhode Island verzichtet zudem auf die 30-tägige Nachbesserungsfrist (Cure Period), die Indiana und Kentucky Verstößen gewähren – ein erster Verstoß kann dort direkt zu einer Durchsetzungsmaßnahme der Staatsanwaltschaft (Attorney General) führen, mit Strafen von bis zu 10.000 Dollar pro Verstoß (verglichen mit 7.500 Dollar in Indiana und Kentucky).
Texas Data Privacy and Security Act (TDPSA) ist der Ausreißer, den es gesondert zu erwähnen gilt: Er hat weder eine Verbraucherzahl- noch eine Umsatzschwelle. Stattdessen verwendet er eine Ausnahme für kleine Unternehmen, die an die Größenstandards der US Small Business Administration gekoppelt ist (die je nach Branche variieren – ein Softwareunternehmen qualifiziert sich bei einer anderen Mitarbeiterzahl als ein Hersteller). Der Haken: Diese Ausnahme entfällt in dem Moment, in dem ein "kleines" Unternehmen sensible personenbezogene Daten verkauft – Gesundheitsinformationen, genaue Geolokalisierung, biometrische Identifikatoren und ähnliche Kategorien. Viele kleine E-Commerce- und Marketing-Tech-Unternehmen lösen diese Falle aus, ohne es zu merken, denn "Verkauf von Daten" ist in diesen Gesetzen weit genug definiert, um einige Ad-Tech- und Analyse-Integrationen zu erfassen, nicht nur den eigentlichen Datenhandel.
Warum die Umsatzschwelle der Teil ist, den die meisten Inhaber falsch verstehen
Die häufigste Art und Weise, wie kleine Unternehmen ihre Betroffenheit falsch einschätzen, ist nicht die Verbraucherzahl – es ist der Umsatzprozentsatz. "50 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten" klingt, als ob es nur für Datenmakler gilt. Aber die rechtliche Definition eines "Verkaufs" in den meisten dieser Gesetze umfasst die Weitergabe personenbezogener Daten gegen Geld oder eine andere wertvolle Gegenleistung – was Werbenetzwerk-Umsatzbeteiligungen, Co-Marketing-Vereinbarungen und sogar einige Affiliate-Strukturen erfassen kann, bei denen Kundendaten zusammen mit der Transaktion fließen.
Hier ist das praktische Problem: Wenn Ihr Kontenplan "Werbeeinnahmen", "Affiliate-Einnahmen" und "Produkteinnahmen" in einer undifferenzierten Einkommenszeile zusammenfasst, können Sie die Frage, die diese Gesetze an Sie stellen, nicht beantworten. Sie benötigen Ihre Bücher, um die Einnahmequellen sauber genug zu trennen, um mit einer Zahl sagen zu können, ob eine Kategorie, die an Datenweitergabe-Vereinbarungen gebunden ist, 20 % (Rhode Island) oder 50 % (Indiana, Kentucky) des Gesamtumsatzes überschreitet. Zu warten, bis die Staatsanwaltschaft fragt, ist der falsche Zeitpunkt, um festzustellen, dass Ihre Buchhaltung diese Aufschlüsselung nicht liefern kann.
Dies ist ein Fall, in dem "hilfreich zu wissen" und "hilfreich zu beweisen" dieselbe Übung sind. Ein reiner Text, versioniertes Hauptbuch, bei dem jedes Ertragskonto nach Quelle getaggt ist – Income:Advertising, Income:AffiliateShare, Income:ProductSales – ermöglicht es Ihnen, diesen Prozentsatz in Minuten zu berechnen, anstatt ihn aus einem Jahr Kontoauszügen und Rechnungen zu rekonstruieren.
Eine praktische Compliance-Checkliste
Sie benötigen keinen angestellten Justiziar, um die Grundlagen richtig zu machen. Arbeiten Sie diese Punkte der Reihe nach durch:
- Zählen Sie Ihre Datensätze, nicht Ihre Kunden. Ziehen Sie eine grobe Anzahl der einzelnen Personen, deren personenbezogene Daten Sie in einem Kalenderjahr speichern oder verarbeiten – Website-Besucher mit Tracking-Cookies, E-Mail-Abonnenten, CRM-Kontakte und Transaktionsdatensätze zählen in den meisten Bundesstaaten zu den Definitionen, nicht nur zahlende Kunden.
- Prüfen Sie, wo diese Personen leben. Diese Gesetze werden durch den Wohnsitz des Verbrauchers im jeweiligen Bundesstaat ausgelöst, nicht durch den Sitz Ihres Unternehmens. Ein in Delaware eingetragenes, Remote-First-Unternehmen, das national verkauft, kann dem Gesetz von Indiana unterliegen, selbst wenn es keinen einzigen Mitarbeiter in Indiana hat.
- Trennen Sie alle Einnahmen aus Datenweitergabe auf. Wenn ein Teil Ihres Einkommens die Weitergabe von Kundendaten an ein Werbenetzwerk, eine Datenkooperative oder einen Partner beinhaltet – auch indirekt – isolieren Sie diese Einnahmen in einem eigenen Konto und berechnen Sie sie als Prozentsatz des Bruttoumsatzes.
- Veröffentlichen Sie eine echte Datenschutzerklärung. Alle vier Bundesstaaten verlangen eine klare, zugängliche Erklärung, die beschreibt, welche Daten Sie sammeln, warum und wie Verbraucher ihre Rechte ausüben können (Auskunft, Berichtigung, Löschung und Widerspruch gegen gezielte Werbung oder Datenverkäufe). Eine generische Vorlage, die von einer anderen Website kopiert wurde und das falsche Datum oder den falschen Firmennamen enthält, ist schlimmer als nichts – Aufsichtsbehörden haben speziell veraltete Datenschutzerklärungen als leicht erkennbaren Erstverstoß gekennzeichnet.
- Bauen Sie den Opt-Out-Mechanismus, bevor Sie ihn brauchen. Verbraucher in allen drei neuen Bundesstaaten haben das Recht, gezielter Werbung, Datenverkäufen und bestimmten Profiling-Maßnahmen zu widersprechen. Wenn Ihre Website keinen funktionierenden Link "Meine persönlichen Daten nicht verkaufen oder teilen" oder ein entsprechendes Präferenzcenter hat, ist das die schnellste Lösung auf dieser Liste und die, die am wahrscheinlichsten zuerst beanstandet wird.
- Nutzen Sie die Nachbesserungsfrist, falls Sie eine haben. Indiana und Kentucky gewähren 30 Tage Zeit, um einen Verstoß nach Benachrichtigung durch die Staatsanwaltschaft zu beheben, bevor Strafen verhängt werden. Rhode Island tut dies nicht – was es wesentlich wertvoller macht, die Schritte 1–5 vor dem 1. Januar korrekt durchzuführen als in den anderen beiden Staaten.
- Führen Sie die Berechnung jährlich erneut durch. Die Schwellenwerte werden fortlaufend bewertet, in der Regel nach Kalenderjahr. Ein Unternehmen, das 2025 ausgenommen war, weil es unter 100.000 Datensätzen blieb, kann in den Geltungsbereich fallen, sobald Wachstum (oder eine Datenweitergabe-Vereinbarung) es über die Grenze bringt – dies ist eine wiederkehrende Buchhaltungsprüfung, keine einmalige Kontrolle.
Wo kleine Unternehmen überrascht werden
Zwei blinde Flecken tauchen in den frühen Leitlinien zu den Gesetzen von 2026 wiederholt auf:
- "Wir sind zu klein" ist keine universelle Verteidigung. Texas hat überhaupt keine Untergrenze, und seine Ausnahme für kleine Unternehmen verschwindet in dem Moment, in dem sensible Daten verkauft werden – eine häufige Falle für Unternehmen, die Analysen oder Werbe-Pixel von Drittanbietern nutzen, ohne zu prüfen, welche Daten diese Tools tatsächlich übertragen.
- Die Durchsetzung erfolgt durch die Staatsanwaltschaft des Bundesstaates, nicht durch Privatklagen (meistens). Keines der drei neuen Gesetze von 2026 beinhaltet ein breites privates Klagerecht, was wirklich eine gute Nachricht ist – es bedeutet, dass ein einzelner Verbraucher Ihr Unternehmen in der Regel nicht direkt wegen einer Datenschutzverletzung verklagen kann. Aber es bedeutet auch, dass das Durchsetzungsermessen bei der Staatsanwaltschaft liegt, die allen Grund hat, ein frühes, sichtbares Exempel an einem Unternehmen zu statuieren, das ein klar datiertes neues Gesetz ignoriert hat.
Die vier Gesetze im Vergleich
| Indiana | Kentucky | Rhode Island | Texas | |
|---|---|---|---|---|
| Inkrafttreten | 1. Jan. 2026 | 1. Jan. 2026 | 1. Jan. 2026 | In Kraft seit 2024; KI-Änderung 1. Jan. 2026 |
| Anwendbar ab | 100.000+ Einwohner, oder 25.000+ mit 50 %+ Umsatz aus Datenverkäufen | 100.000+ Einwohner, oder 25.000+ mit 50 %+ Umsatz aus Datenverkäufen | 35.000+ Einwohner, oder 10.000+ mit 20 %+ Umsatz aus Datenverkäufen | Keine Untergrenze – SBA-große KMU ausgenommen, es sei denn, sie verkaufen sensible Daten |
| Nachbesserungsfrist | 30 Tage | 30 Tage | Keine | 30 Tage |
| Höchststrafe | 7.500 $/Verstoß | 7.500 $/Verstoß | 10.000 $/Verstoß | Bis zu 7.500 $/Verstoß |
| Privatklagen | Nein – nur AG | Nein – nur AG | Nein – nur AG | Nein – nur AG |
Das bemerkenswerte Muster: Rhode Islands Kombination aus einer niedrigen Verbraucherschwelle, einem niedrigen prozentualen Umsatzauslöser und keiner Nachbesserungsfrist macht es für ein schnell wachsendes kleines Unternehmen, das die Grenze unbemerkt überschreitet, am wenigsten nachsichtig von den vieren. Texas hat das gegenteilige Risikoprofil – die meisten kleinen Unternehmen sind zunächst ausgenommen, aber eine einzige neue Ad-Tech-Integration, die sensible Daten weitergibt, kann diese Ausnahme über Nacht aufheben.
Häufig gestellte Fragen
Gilt dies für mein Unternehmen, auch wenn ich mich physisch in keinem dieser Bundesstaaten befinde? Ja. Alle vier Gesetze werden dadurch ausgelöst, wo Ihre Kunden oder Website-Besucher leben, nicht wo Ihr Unternehmen registriert ist oder seinen Sitz hat. Ein Unternehmen ohne Mitarbeiter oder Büros in Indiana kann dennoch dem INCDPA unterliegen, wenn es Daten von 100.000 oder mehr Einwohnern Indianas verarbeitet.
Ich verwende Google Analytics und einen Facebook-Werbe-Pixel – zählt das als "Verkauf" von Daten? Möglicherweise. Die meisten dieser Gesetze definieren einen "Verkauf" weit genug, um die Weitergabe von Daten gegen etwas von Wert zu umfassen, nicht nur eine direkte Geldtransaktion. Ad-Tech-Integrationen, die Kundendaten zu Werbezwecken an Dritte weitergeben, sind genau die Art von Vereinbarung, die von Aufsichtsbehörden als in den Anwendungsbereich fallend eingestuft wurde – es lohnt sich, ehrlich zu prüfen, was Ihre Tracking-Pixel tatsächlich übertragen, anstatt anzunehmen, dass "wir verkaufen keine Liste" die Frage klärt.
Was passiert, wenn ich nichts tue? In Indiana und Kentucky muss die Staatsanwaltschaft Sie in der Regel benachrichtigen und Ihnen 30 Tage Zeit geben, einen Verstoß zu beheben, bevor Strafen verhängt werden – ein Unternehmen in gutem Glauben, das Probleme nach einer Mitteilung umgehend behebt, hat also ein echtes Sicherheitsnetz. Rhode Island bietet keine solche Gnadenfrist, daher ist das Abwarten dort eine wesentlich riskantere Wette als in den beiden anderen Bundesstaaten von 2026.
Brauche ich einen Anwalt, um die Vorschriften einzuhalten? Für ein einfaches kleines Unternehmen – ein Dienstleistungsunternehmen, einen Online-Shop, ein SaaS-Produkt mit einer normalen Kundenliste – deckt die obige Checkliste (Datenschutzerklärung, Opt-Out-Link, Dateninventar, Nachverfolgung der Einnahmequellen) den Großteil des praktischen Risikos ab, ohne dass eine individuelle rechtliche Ausarbeitung erforderlich ist. Wenn Ihr Unternehmen Daten mit Werbenetzwerken, Datenmaklern oder Partnern auf eine Weise teilt, die sich nur schwer in einem Satz beschreiben lässt, ist diese Komplexität genau der Zeitpunkt, an dem externe Rechtsberatung ihr Honorar verdient.
Führen Sie Ihre Aufzeichnungen sauber genug, um die schwierigen Fragen zu beantworten
Datenschutz-Compliance und Finanzbuchhaltung erweisen sich als stärker verbunden, als die meisten Inhaber erwarten: Beide laufen darauf hinaus, ob Ihre Daten – Kundendaten auf der einen Seite, Umsatzdaten auf der anderen – gut genug organisiert sind, um unter Prüfung eine klare Antwort zu liefern. Wenn Ihre Bücher derzeit nicht sagen können, welcher Prozentsatz des Umsatzes aus einer bestimmten Quelle stammt, lohnt es sich, das zu beheben, unabhängig davon, welches staatliche Datenschutzgesetz für Sie gilt.
Beancount.io bietet eine reine-Text-Buchhaltung, die Ihnen volle Transparenz und Kontrolle über Ihre Finanzdaten gibt – jede Einnahmequelle getaggt, versioniert und abfragbar, ohne Black-Box-Software zwischen Ihnen und den Zahlen, die Aufsichtsbehörden (oder Ihre eigene Sorgfaltspflicht) möglicherweise anfordern. Starten Sie kostenlos und sehen Sie, warum Entwickler und finanziell denkende Geschäftsinhaber auf reine-Text-Buchhaltung umsteigen.