Europa hat die DSGVO. Die USA hatten jahrelang quasi nichts Vergleichbares auf nationaler Ebene. Das ändert sich — und die Folgen für international agierende Marken sind nicht zu unterschätzen.

Brian Sullivan, Strategy Director of Email Deliverability Services bei Oracle, gibt in seinem Artikel einen Überblick über den Datenschutz-Flickenteppich in den USA: Mehr als ein Dutzend Bundesstaaten haben inzwischen eigene Datenschutzgesetze verabschiedet — allen voran Kalifornien mit dem CCPA (California Consumer Privacy Act, seit 2020) und dem nachgeschärften CPRA.

Was diese Gesetze von Marketing-Teams verlangen

Sullivan fasst die zentralen Anforderungen zusammen: Kunden müssen darüber informiert werden, welche Daten gesammelt werden. Sie haben das Recht, ihre Daten einzusehen, zu exportieren, zu korrigieren und zu löschen. Und: Das Recht, der Weitergabe personenbezogener Daten an Dritte zu widersprechen, muss aktiv kommuniziert werden — in den USA klassisch als “Do Not Sell My Personal Information”-Link auf der Homepage.

Das CPRA (seit Januar 2023) hat den Schutz zusätzlich auf biometrische Daten, Gesundheitsdaten und Finanzdaten ausgeweitet.

Der entscheidende Unterschied zu Europa: Die US-Gesetze variieren massiv von Staat zu Staat — in Definitionen, Ausnahmen und Durchsetzungsmechanismen. Virginia, Colorado, Connecticut, Texas, Florida, Indiana — jeder Staat mit eigenen Regeln. Ein nationales Gesetz existiert Stand des Artikels noch nicht.

Consider these state laws to be a rough blueprint for what a national law will look like and what will be required of your brand in the not-too-distant future.

Was das für europäische und internationale Marketer bedeutet

Wenn Du internationale Kunden bedienst oder in Partnerschaften mit US-Unternehmen arbeitest, gehört das Thema auf Dein Radar. Wer auf dem DSGVO-Niveau aufgestellt ist, hat eine gute Grundlage — aber US-Gesetze haben teils andere Schwerpunkte. Der größte Unterschied: Die EU baut auf Opt-In-Logik (keine Datenverarbeitung ohne Zustimmung), die USA teils auf Opt-Out-Logik (Verarbeitung erlaubt, solange nicht widersprochen wird).

Sullivan empfiehlt Customer Data Platforms (CDPs) als technisches Fundament für Compliance: Zentralisierte Kundendaten, klare Zugriffskontrollen und Automatisierung vieler rechtlicher Anforderungen. Dass die CDP-Adoption in der EU deutlich weiter ist als in den USA, liegt genau daran — die DSGVO hat den Druck erzeugt, der zu Investitionen geführt hat.

Das ist im Übrigen etwas, das ich immer wieder betone: Datenschutz und gutes E-Mail-Marketing schließen sich nicht aus. Im Gegenteil — ein Permission-basierter Verteiler mit Double-Opt-In ist nicht nur rechtlich sauber, er performt auch besser. Wer hochwertig eingesammelte Kontakte hat, hat auch bessere Engagement-Raten. Das ist Baustein 10 in meinem 10-Bricks-Modell — und kein lästiger Compliance-Schritt, sondern ein Qualitätsmerkmal.

Wichtiger Hinweis: Der Artikel stammt aus Mai 2024 und diskutiert einen damals in den USA eingebrachten Gesetzentwurf (American Privacy Rights Act / APRA). Der Gesetzgebungsstand kann sich seitdem verändert haben. Für rechtssichere Beratung bitte immer einen spezialisierten Anwalt hinzuziehen — das gilt sowohl für US- als auch für DSGVO-Fragen.

Kurz: Für alle, die international tätig sind oder US-Kunden bedienen, liefert der Originalbeitrag einen kompakten Einstieg in die US-Rechtslage. Besonders für alle, die bisher nur mit DSGVO vertraut sind und sich fragen, wie ähnlich oder verschieden das US-System ist.