US-Datenschutzregeln für Werbetreibende 2026
Die USA haben weiterhin kein bundesweites Datenschutzgesetz, doch die Landkarte der Bundesstaaten ist 2026 erneut gewachsen. Die Gesetze in Indiana, Kentucky und Rhode Island traten am 1. Januar in Kraft, womit nun zwanzig Bundesstaaten umfassende Datenschutzgesetze haben. Kaliforniens aktualisierte CCPA-Verordnungen, ebenfalls seit dem 1. Januar 2026 wirksam, ergänzen Risikobewertungen, Cybersicherheitsaudits und Rechte im Zusammenhang mit Technologien für automatisierte Entscheidungen. Für Werbetreibende besteht die praktische Arbeit darin, Opt-outs für zielgerichtete Werbung in jedem Bundesstaat umzusetzen, in dem sie Kunden haben, und zu dokumentieren, wie Zielgruppendaten genutzt werden.
Zentrale Ergebnisse
- 1
Umfassende Datenschutzgesetze in Indiana, Kentucky und Rhode Island traten am 1. Januar 2026 in Kraft; damit sind es insgesamt zwanzig Bundesstaaten.
Sekundärquelle. Geltungsbereich: Vereinigte Staaten; Gesetzgebungstracker der Bundesstaaten, Stand . [1]
- 2
Das Gesetz von Rhode Island gilt für Stellen, die Daten von mindestens 35.000 Verbrauchern verarbeiten, oder von 10.000, wenn mehr als 20 % des Umsatzes aus dem Verkauf personenbezogener Daten stammen.
Sekundärquelle. Geltungsbereich: Rhode Island; Gesetzgebungstracker der Bundesstaaten, Stand . [1]
- 3
Kaliforniens aktualisierte CCPA-Verordnungen, im Juli 2025 verabschiedet und im September 2025 genehmigt, traten am 1. Januar 2026 in Kraft und betreffen Risikobewertungen, Cybersicherheitsaudits und ADMT.
Dokumentiert: offizielle Quelle. Geltungsbereich: Kalifornien; CPPA, Stand . [2]
- 4
Weitere Änderungen auf Ebene der Bundesstaaten treten am 1. Juli 2026 in Connecticut, Arkansas und Utah in Kraft.
Sekundärquelle. Geltungsbereich: Vereinigte Staaten; Gesetzgebungstracker der Bundesstaaten, Stand . [1]
Methode und Grenzen
- Fragestellung
- Welche Änderungen im US-Datenschutzrecht 2026 wirken sich darauf aus, wie Werbetreibende Zielgruppen ansprechen und messen?
- Zielgruppe
- Verantwortliche für Performance und CRM, die Medien in den USA einkaufen.
- Anstehende Entscheidung
- Wie Opt-out-Verarbeitung, Datenmapping und Messung für US-Kampagnen einzurichten sind.
- Quellen
- Ein Tracker für Datenschutzgesetze der Bundesstaaten, die Seite der California Privacy Protection Agency zum Regelsetzungsverfahren und der Verordnungstext sowie ein Briefing einer Anwaltskanzlei zu den drei neuen Gesetzen der Bundesstaaten.
- Zeitraum
- Amtliche und rechtliche Quellen in der Fassung, die am 18. Oktober 2026 veröffentlicht war und abgerufen wurde.
- Märkte
- Vereinigte Staaten, mit Details zu Kalifornien.
- Definitionen
- Zielgerichtete Werbung: Anzeigen, die anhand personenbezogener Daten ausgewählt werden, die über nicht verbundene Websites oder Apps hinweg gewonnen wurden, wie in den meisten Gesetzen der Bundesstaaten definiert.
- ADMT: Technologie für automatisierte Entscheidungen (automated decision-making technology), wie in den kalifornischen Verordnungen definiert.
- Grenzen
- Die Gesetze der Bundesstaaten unterscheiden sich bei Schwellenwerten und Definitionen; diese Zusammenfassung führt nicht jede Änderung auf.
- Dies ist keine Rechts- oder Steuerberatung. Klären Sie die Pflichten Ihres Unternehmens mit qualifizierten Fachleuten im jeweiligen Markt.
Die Landkarte der Bundesstaaten 2026
Sekundärquelle
Indiana, Kentucky und Rhode Island kamen am 1. Januar 2026 zur Liste der Bundesstaaten mit umfassenden Datenschutzgesetzen hinzu. Alle drei folgen dem Vorbild Virginias, das Verbrauchern das Recht gibt, zielgerichteter Werbung und dem Verkauf personenbezogener Daten zu widersprechen. Die Schwellenwerte in Rhode Island sind so niedrig, dass sie viele mittelgroße Unternehmen erfassen.
Änderungen in Connecticut, Arkansas und Utah folgen am 1. Juli 2026, mehrere davon verschärfen die Regeln für Daten Minderjähriger.
Kalifornien: Bewertungen, Audits und ADMT
Dokumentiert: offizielle Quelle
Der Vorstand der California Privacy Protection Agency verabschiedete am 24. Juli 2025 aktualisierte Verordnungen; sie wurden am 22. September 2025 genehmigt und traten am 1. Januar 2026 in Kraft. Sie verpflichten bestimmte Unternehmen zu Risikobewertungen und jährlichen Cybersicherheitsaudits und geben Verbrauchern Rechte auf Auskunft und Widerspruch bei bestimmten Nutzungen von Technologien für automatisierte Entscheidungen. Die Fristen für Audits sind gestaffelt; die ersten Berichte sind für die größten Unternehmen ab April 2028 fällig.
Was sich in Kampagnen ändern sollte
Einschätzung von FOCUSADS
- Berücksichtigen Sie Global Privacy Control und Opt-out-Signale auf jeder Website, nicht nur für Besucher aus Kalifornien.
- Erfassen Sie, welche Zielgruppen aus Ihrem eigenen Kundenstamm und welche von Dritten stammen.
- Spielen Sie CRM-Ergebnisse über zugelassene Conversion-APIs an die Plattformen zurück, damit die Optimierung weniger auf websiteübergreifendes Tracking angewiesen ist.
- Dokumentieren Sie, welche Zielgruppen- und Gebotsentscheidungen automatisiert sind, falls eine ADMT-Anfrage eingeht.
Wo wir Chancen sehen
Einschätzung von FOCUSADS
Je weniger websiteübergreifende Signale verfügbar sind, desto mehr verlagern sich Budgets zu Kanälen mit eigenen First-Party-Zielgruppen: Retail-Media-Netzwerke, Connected TV mit angemeldeten Zuschauern und Suche. Werbetreibende mit sauberen CRM-Daten können diese an realen Ergebnissen messen statt an den von Plattformen gemeldeten Conversions.
Bezug zu unserer Methode: Wie FOCUSADS Kanäle nach Markt prüft
Quellen
- All of the comprehensive privacy laws that take effect in 2026, MultiState, abgerufen
- CCPA updates, cybersecurity audits, risk assessments, ADMT and insurance regulations, California Privacy Protection Agency, abgerufen
- California Consumer Privacy Act Regulations, effective 1 January 2026, California Privacy Protection Agency, abgerufen
- New state privacy laws effective January 1, 2026: Indiana, Kentucky and Rhode Island, Koley Jessen, abgerufen