Mehr als ein Dutzend US-Bundesstaaten haben inzwischen ihre eigenen Datenschutzgesetze verabschiedet – und kein Ende in Sicht. Für Marken mit Kunden in mehreren Bundesstaaten bedeutet das: ein wachsendes Flickenteppich-Problem aus unterschiedlichen Regelungen, Fristen und Compliance-Anforderungen. Genau dieser Druck hat dazu geführt, dass der US-Kongress endlich handelt – mit dem biparteiischen American Privacy Rights Act (APRA).
Brian Sullivan, Strategy Director of Email Deliverability Services bei Oracle, ordnet in seinem Artikel ein, wo die USA gerade stehen und was das für Marketer konkret bedeutet.
Kalifornien als Blaupause
Den Anfang machte Californias Consumer Privacy Act (CCPA) aus dem Jahr 2018, der 2020 in Kraft trat – und seitdem als Referenzpunkt für alle weiteren staatlichen Gesetze gilt. Kernrechte für Verbraucher: Auskunft über gespeicherte Daten, Widerspruchsrecht gegen den Datenverkauf, Löschrecht und portabler Datenzugang. 2023 folgte mit dem California Privacy Rights Act (CPRA) eine Erweiterung um biometrische Daten, Finanzinformationen und strengere Audit-Pflichten.
Andere Bundesstaaten wie Virginia, Colorado, Connecticut und Utah haben ähnliche Gesetze verabschiedet – mit Variationen beim Anwendungsbereich, bei Ausnahmen und bei der Durchsetzung.
With even more states set to pass their own privacy laws, the pressure is building for a national standard, whether it's APRA or another bill.
Was Marketer konkret tun müssen
Brian listet die wesentlichen Pflichten auf, die aus diesen Gesetzen entstehen: Verbraucher über die Datenerhebung informieren, kostenfreien Datenzugang bereitstellen, Löschanfragen ausführen, einen „Do Not Sell My Personal Information”-Link auf der Homepage einbinden und beim Opt-out keine schlechtere Service-Qualität bieten.
Das ist übrigens kein reines Rechts-Thema mehr – das berührt direkt dein E-Mail-Marketing. Wer Opt-out-Prozesse nicht sauber abbildet, riskiert nicht nur Bußgelder, sondern auch Reputationsschäden.
Ich weise in meiner Beratung immer wieder darauf hin: Die Unternehmen, die heute schon eine Customer Data Platform (CDP) nutzen, werden den Übergang zu einem nationalen Gesetz deutlich entspannter erleben als alle anderen. Der Grund ist einfach – CDPs zentralisieren Kundendaten, ermöglichen starke Zugriffskontrollen und automatisieren viele der gesetzlichen Anforderungen. In Europa hat genau das die DSGVO-Einführung für CDP-Nutzer erheblich erleichtert.
APRA: Ein Gesetz für alle?
Der Entwurf des American Privacy Rights Act würde staatliche Gesetze durch ein einheitliches Bundesgesetz ersetzen und viele Elemente der bestehenden Regelungen übernehmen. Brian rechnet damit, dass ein nationales Gesetz früher kommt, als viele denken – denn der politische Druck aus den Bundesstaaten lässt kaum eine Alternative offen.
Seine klare Empfehlung: Behandle die bestehenden staatlichen Gesetze als Blaupause für das, was national kommen wird, und richte dein Compliance-Setup jetzt darauf aus.
Wenn du tief in die Details von APRA, CCPA und den verschiedenen staatlichen Regelungen einsteigen willst, lies den vollständigen Artikel von Brian Sullivan auf dem Oracle Marketing Blog. Besonders relevant für alle, die mit US-Kundendaten arbeiten oder planen, den amerikanischen Markt zu erschließen.