Wenn Ihre Website im letzten Jahr 35.000 Besucher aus Connecticut hatte, sind Sie möglicherweise am 1. Juli 2026 aufgewacht und galten plötzlich als reguliertes Unternehmen unter einem der strengsten staatlichen Datenschutzgesetze des Landes – ohne dass Sie auch nur eine einzige Sache an Ihrer Arbeitsweise geändert haben.
Das ist die praktische Auswirkung der Überarbeitung des Data Privacy Act von Connecticut im Jahr 2026. Der Staat senkte seine Anwendungsschwelle um fast zwei Drittel, fügte zwei Trigger ohne jegliche numerische Schwelle hinzu, erweiterte die Definition sensibler Daten, beseitigte die garantierte Gnadenfrist für Erstverstöße und legte eine zweite Welle von Anforderungen auf, die am 1. Oktober in Kraft tritt. Wenn Sie online verkaufen, gezielte Werbung schalten, Kundendaten mit Analyse- oder Ad-Tech-Anbietern teilen oder etwas sammeln, das als sensible Daten gilt, führt Sie dieser Leitfaden genau durch die Änderungen und die konkreten Schritte zur Compliance.
Was sich am 1. Juli 2026 tatsächlich geändert hat
Connecticuts ursprüngliches Datenschutzgesetz, das seit 2023 in Kraft ist, galt hauptsächlich für größere Organisationen: solche, die die personenbezogenen Daten von mindestens 100.000 Einwohnern Connecticuts verarbeiteten, oder mindestens 25.000 Einwohnern, wenn mehr als ein Viertel des Bruttoumsatzes aus dem Verkauf personenbezogener Daten stammte. Die meisten kleinen und mittleren Unternehmen konnten vernünftigerweise davon ausgehen, dass das Gesetz sie nicht betraf.
Die Änderungen, die durch den SB 1295 erlassen wurden, ersetzen diesen Rahmen durch drei alternative Trigger. Wenn Sie im vorangegangenen Kalenderjahr nur einen davon erfüllen, fallen Sie in den Anwendungsbereich:
- Sie kontrollierten oder verarbeiteten die personenbezogenen Daten von mindestens 35.000 Verbrauchern aus Connecticut. Daten, die ausschließlich zur Abwicklung einer Zahlungstransaktion verarbeitet werden, zählen nicht zu dieser Zahl, aber fast alles andere schon – Website-Analysen, E-Mail-Listen, Bestellhistorien, Support-Tickets, Treueprogramme.
- Sie kontrollierten oder verarbeiteten sensible Daten eines beliebigen Verbrauchers aus Connecticut. Es gibt keine Mindestmenge. Ein einziger Datensatz kann ausreichen.
- Sie boten die personenbezogenen Daten eines beliebigen Verbrauchers aus Connecticut zum Verkauf an. Auch hier gibt es kein Minimum. Und „Verkauf" bedeutet hier den Austausch personenbezogener Daten gegen Geld oder andere wertvolle Gegenleistungen – was den Austausch von Daten mit Werbenetzwerken, Datenmaklern oder Analyseanbietern auf eine Weise umfassen kann, die viele Unternehmen nicht als Verkauf betrachten.
Der alte Trigger von 25 Prozent des Umsatzes ist vollständig weggefallen. Die Richtung ist unmissverständlich: Wo das ursprüngliche Gesetz fragte „Sind Sie groß genug, um reguliert zu werden?", fragt das geänderte Gesetz „Haben Sie die falsche Art von Daten angefasst oder Daten überhaupt geteilt?"
Warum 35.000 leichter zu erreichen ist, als es klingt
Fünfunddreißigtausend Einwohner Connecticuts sind ungefähr 1 Prozent der Staatsbevölkerung. Ein regionaler E-Commerce-Shop, ein SaaS-Produkt mit ein paar tausend zahlenden Konten, eine Content-Site mit mäßigem Traffic oder ein Dienstleistungsunternehmen mit einer großen E-Mail-Liste können diese Grenze überschreiten, ohne gezielt auf Connecticut ausgerichtet zu sein – das Gesetz gilt für jedes Unternehmen, das im Staat tätig ist oder Produkte oder Dienstleistungen an seine Einwohner richtet. Wenn Ihre Website für Käufer in Connecticut zugänglich ist und Ihre Analysen fünfstellige jährliche Unique Visitors aus dem Staat zeigen, gehen Sie davon aus, dass Sie sorgfältig zählen müssen, anstatt anzunehmen, dass Sie außerhalb des Anwendungsbereichs liegen.
Die Falle der sensiblen Daten: Keine Schwelle, breitere Definition
Die folgenreichste Änderung für kleine Unternehmen ist nicht die niedrigere Kopfzahl – es ist die Kombination aus einem Trigger für sensible Daten ohne Mindestschwelle mit einer deutlich erweiterten Definition dessen, was als sensibel gilt.
Nach dem geänderten Gesetz umfasst die Kategorie der sensiblen Daten nun Daten, die eine geistige oder körperliche Behinderung oder Behandlung offenlegen, nichtbinären oder Transgender-Status, Informationen, die aus biometrischen und genetischen Daten abgeleitet werden, neuronale Daten, Finanzkontoinformationen und staatlich ausgestellte Identifikationsnummern, zusätzlich zu den zuvor abgedeckten Kategorien wie präziser Geolokalisierung, rassischer oder ethnischer Herkunft, religiösen Überzeugungen, Sexualleben oder sexueller Orientierung, Staatsbürgerschaftsstatus und Kindesdaten.
Die Verarbeitung solcher Daten – selbst für einen einzigen Einwohner Connecticuts – zieht Sie in den Anwendungsbereich des Gesetzes. Und sobald Sie in den Anwendungsbereich fallen, gelten zwei weitere Pflichten speziell für sensible Daten:
- Beschränken Sie die Verarbeitung auf das, was für die von Ihnen offengelegten Zwecke angemessen erforderlich ist, und
- Holen Sie die Einwilligung des Verbrauchers ein, bevor Sie diese verarbeiten – einschließlich ausdrücklich vor dem Verkauf.
Für gewöhnliche kleine Unternehmen tauchen sensible Daten an überraschenden Orten auf: ein Wellness-Aufnahmebogen, der einen medizinischen Zustand vermerkt, ein Bewerbungsformular, das eine Führerscheinnummer erfasst, ein Treueprogramm, das Zahlungsdaten zusammen mit der Kaufhistorie speichert, ein Fitness- oder Barrierefreiheitsfeature, das biometrieähnliche Messwerte erzeugt. Keines davon erfordert böswillige Absicht, um ein Risiko zu schaffen. Kartieren Sie, wo solche Daten in Ihre Systeme gelangen, bevor Sie annehmen, dass Sie keine haben.
Neue Verbraucherrechte, die Sie bereit sein müssen zu erfüllen
Die Änderungen geben den Einwohnern Connecticuts mehrere neue Rechte, die sich direkt in operative Arbeit für Ihr Unternehmen übersetzen:
- Eine Liste der spezifischen Dritten, an die ihre personenbezogenen Daten verkauft wurden. Eine allgemeine Offenlegung wie „wir teilen Daten mit Partnern" reicht nicht mehr aus – Sie müssen Käufer für Käufer wissen, wohin die Daten gegangen sind.
- Erläuterungen zu Profiling-Entscheidungen mit rechtlichen oder ähnlich bedeutenden Auswirkungen, einschließlich der Gründe für die Entscheidung und der verwendeten Daten. Speziell bei wohnungsbezogenen Entscheidungen können Verbraucher unrichtige Daten korrigieren und eine Neubewertung der Entscheidung verlangen.
- Erweiterte Auskunftsrechte, die ausdrücklich Schlussfolgerungen und Profiling-Informationen umfassen. Beachten Sie die Absicherung in die andere Richtung: Bei höherriskanten Kategorien wie Sozialversicherungsnummern, bestimmten Finanzdaten und biometrischen Elementen müssen Sie bestätigen, dass Sie die Daten haben, anstatt die tatsächlichen Werte als Antwort auf eine Anfrage herauszugeben.
- Stärkere Opt-out-Mechanismen für gezielte Werbung, Datenverkäufe und folgenreiche Profiling-Entscheidungen, einschließlich über bevollmächtigte Vertreter.
Separate Anforderung: Ihre Datenschutzerklärung muss nun offenlegen, ob Sie personenbezogene Daten zum Trainieren großer Sprachmodelle sammeln, verwenden oder verkaufen – eine Anforderung, die Connecticut mit Vermont teilt und die für jedes Unternehmen relevant ist, das Kundeninhalte oder Support-Gespräche als Trainingsmaterial für Modelle nutzt.
Es gibt auch neue Schutzmaßnahmen für Minderjährige: Controller dürfen die personenbezogenen Daten von Verbrauchern im Alter von 13 bis 17 Jahren weder verkaufen noch für gezielte Werbung verarbeiten.
Durchsetzung hat jetzt echte Zähne
Nach dem ursprünglichen Gesetz genossen Unternehmen eine garantierte 60-tägige Abhilfefrist – ein Recht, einen Verstoß zu beheben, bevor Sanktionen verhängt werden konnten. Dieses Sicherheitsnetz ist weg. Der Attorney General behält Ermessensspielraum, eine Abhilfe anzubieten, aber nichts ist garantiert.
Die Strafen fallen unter den Rahmen des Gesetzes gegen unlautere Handelspraktiken des Staates: bis zu 5.000 US-Dollar pro vorsätzlichem Verstoß und bis zu 2.500 US-Dollar pro nicht vorsätzlichem Verstoß. Multipliziert über eine E-Mail-Liste oder Kundendatenbank steigen diese Pro-Verstoß-Beträge schnell. Das Büro des Attorney General hat bereits Geschäftsleitfäden zum erweiterten Anwendungsbereich veröffentlicht und einen jährlichen Durchsetzungsbericht eingereicht, der aktive Durchsetzung beschreibt – die Wartezeit, diese Sache ernst zu nehmen, endete mit dem Inkrafttreten.
Eine weitere Änderung des Anwendungsbereichs mit leiser Wirkung: Die alte unternehmensbezogene Ausnahme für Finanzinstitute nach dem Gramm-Leach-Bliley Act wurde durch eine engere datenbezogene Ausnahme ersetzt. Wenn Sie ein kleines Kreditinstitut, Makler, Versicherer oder ein fintech-nahes Unternehmen sind, das von einer pauschalen Ausnahme ausging, prüfen Sie erneut, welche spezifischen Daten und Aktivitäten tatsächlich ausgenommen sind, anstatt sich auf Ihre Branchenbezeichnung zu verlassen.
Welle Zwei kommt am 1. Oktober: Geolokalisierung, Datenmakler und mehr
Ein Begleitpaket, SB 4 in der durch HB 5222 geänderten Fassung, tritt am 1. Oktober 2026 in Kraft und fügt Beschränkungen hinzu, auf die Sie sich jetzt vorbereiten sollten:
- Verkäufe präziser Geolokalisierungsdaten sind ausdrücklich verboten. Nicht einwilligungsbasiert – verboten.
- Die Einwilligung für neue Zwecke wird strenger. Bisher benötigten Sie eine Einwilligung vor der Verarbeitung für einen wesentlich anderen neuen Zweck; die Wesentlichkeitsklausel wird entfernt, sodass jeder neue Zweck, der nicht angemessen erforderlich oder mit dem ursprünglich offengelegten Zweck vereinbar ist, eine neue Einwilligung erfordert.
- Die Registrierung von Datenmaklern beginnt am 1. Januar 2027 und wird bis 2031 schrittweise eingeführt. Unternehmen, die wissentlich personenbezogene Daten von Verbrauchern verkaufen oder lizenzieren, zu denen sie keine direkte Beziehung haben, müssen sich beim Staat registrieren und einen einzigen Löschungsmechanismus bereitstellen, der alle registrierten Makler abdeckt.
- Überwachungspreisgestaltung – die Verwendung personenbezogener Daten zur Festlegung individualisierter Preise – unterliegt neuen Beschränkungen, zusammen mit neuen Offenlegungs- und Einwilligungsanforderungen für Gesichtserkennung in Geschäftsräumen und neuen Regeln für Direct-to-Consumer-Gentestunternehmen.
Wenn Ihre Preisgestaltung, Personalisierung oder Standortdatenpraktiken einen dieser Bereiche berühren, sind das Juli-Compliance-Projekt und das Oktober-Projekt wirklich ein einziges Programm mit zwei Fristen.
Ihre Compliance-Checkliste in 6 Schritten
Sie benötigen kein Anwaltskanzlei-Budget, um sinnvolle Fortschritte zu erzielen. Arbeiten Sie diese Punkte der Reihe nach ab:
1. Stellen Sie fest, ob Sie in den Anwendungsbereich fallen
Ziehen Sie die Gesamtjahreszahlen für 2025 und die bisherigen Zahlen für 2026 heran: Unique Visitors und Kunden aus Connecticut, alle Bestände an sensiblen Daten und jede Datenweitergabe, die als Verkauf gelten könnte – einschließlich Ad-Tech-Pixeln, Uploads von Zielgruppenlisten und Analysevereinbarungen. Da zwei der drei Trigger keine Mengenuntergrenze haben, gehen Sie standardmäßig von einer Abdeckung aus, bis Ihr Inventar das Gegenteil beweist.
2. Kartieren Sie Ihre Datenflüsse
Erstellen Sie ein einfaches Inventar: welche personenbezogenen und sensiblen Daten Sie sammeln, wo sie eingehen (Formulare, Checkouts, Pixel, Importe), wofür Sie sie verwenden, wo sie gespeichert werden und jeder Dritte, der sie erhält. Achten Sie besonders auf Tracking-Pixel, Listenaustausche und „kostenlose" Analysetools, die mit Datenzugriff bezahlt werden. Diese Karte ist die Grundlage für alles Weitere – Hinweise, Einwilligungen, Rechteerfüllung und Lieferantenverträge.
3. Aktualisieren Sie Hinweise und Einwilligungsprozesse
Aktualisieren Sie Ihre Datenschutzerklärung, um die neu geforderten Offenlegungen abzudecken – Profiling, gezielte Werbung, Nutzung für LLM-Training, Datenverkäufe mit Details auf Käuferebene – und stellen Sie sicher, dass die Hinweise deutlich sichtbar und zugänglich sind. Schützen Sie die Erhebung sensibler Daten und jeden Verkauf sensibler Daten hinter einer klaren Opt-in-Einwilligung und bestätigen Sie, dass Ihre Prozesse diese Einwilligung erfassen und mit Zeitstempel versehen.
4. Bauen Sie Workflows zur Rechteerfüllung auf
Richten Sie einen wiederholbaren Prozess für Anfragen zu Auskunft, Berichtigung, Löschung, Opt-out, Käuferlisten und Profiling-Erläuterungen ein: einen Annahmekanal, eine Identitätsprüfung, die der Sensibilität der Daten angemessen ist, eine 45-tägige Antwortfrist mit Verlängerungsmöglichkeit und einen Beschwerdeweg. Testen Sie ihn mit einem Probelauf, bevor eine echte Anfrage eintrifft.
5. Überprüfen Sie Lieferanten und Profiling-Systeme
Verhandeln Sie Lieferantenverträge neu, um die geänderten Pflichten abzubilden – Verarbeitungsanweisungen, Verkaufsbeschränkungen, Transparenz bei Unterauftragsverarbeitern und Zusammenarbeit bei Verbraucheranfragen. Bereiten Sie für jedes Profiling, das folgenreiche Entscheidungen antreibt, die neu geforderte Folgenabschätzung vor, die Zweck, Risikoanalyse, Datenkategorien, Leistungskennzahlen, Transparenzmaßnahmen und Überwachung nach der Bereitstellung abdeckt. Die Pflicht zur Abschätzung gilt für Aktivitäten, die am oder nach dem 1. August 2026 erstellt oder generiert wurden, und der Attorney General kann Einsicht verlangen.
6. Sichern Sie die Daten Minderjähriger und Geolokalisierung ab
Unterdrücken Sie gezielte Werbung und Datenverkäufe für 13- bis 17-Jährige, entfernen Sie Designfunktionen, die auf Engagement-Maximierung bei Minderjährigen abzielen, und stoppen Sie jeden Verkauf oder jede Weitergabe präziser Geolokalisierungsdaten vor dem Verbot am 1. Oktober.
Wo Buchhaltung auf Datenschutz-Compliance trifft
Datenschutz-Compliance ist ebenso ein Buchhaltungsproblem wie ein rechtliches. Ihre Datenkarte, Einwilligungs-Zeitstempel, Käuferlisten, Lieferantenverträge und Folgenabschätzungen sind Aufzeichnungen – und Aufzeichnungen benötigen dieselbe Disziplin wie Ihre Finanzen: vollständig, mit Zeitstempel, abstimmbar und auf Abruf abrufbar.
Dort entstehen auch die Kosten. Abonnements für Einwilligungstools, Überarbeitungen von Hinweisen, Neuverhandlungen mit Lieferanten und Personalzeit für die Rechteerfüllung sind echte Compliance-Ausgaben. Erfassen Sie sie in einer eigenen Compliance-Kostenkategorie, anstatt sie in allgemeinen Software- oder Rechtsausgaben aufgehen zu lassen. Wenn die Erneuerungssaison kommt – oder wenn der Attorney General jemals fragt, was Sie getan haben und wann – ist ein sauberes Hauptbuch, das zeigt, was Sie ausgegeben haben, welche Lieferanten Sie für die Datenverarbeitung bezahlen und wann jede Kontrolle aktiviert wurde, weit mehr wert als ein Ordner mit Screenshots. Die Trennung der Compliance-Kosten hält sie auch zur Steuerzeit sichtbar, anstatt sie in den Gemeinkosten zu vergraben.
Vereinfachen Sie Ihre Finanzverwaltung
Während Sie die Datenschutz-Compliance neben all den anderen Dingen angehen, die um Ihre Aufmerksamkeit konkurrieren, hält die Führung klarer Finanzaufzeichnungen die gesamte Bemühung prüfbar. Beancount.io bietet Buchhaltung im Klartextformat, die Ihnen vollständige Transparenz und Kontrolle über Ihre Finanzdaten gibt – keine Blackboxen, keine Lieferantenbindung. Starten Sie kostenlos und sehen Sie, warum Entwickler und Finanzprofis auf Buchhaltung im Klartextformat umsteigen.
