US-Datenschutz 2026: Bundesstaatliche Gesetze, FTC-Maßnahmen und das Risiko von Sammelklagen

Es gibt kein US-Bundesdatenschutzgesetz. Es gibt zwanzig bundesstaatliche Gesetze, eine Federal Trade Commission, die gebrochene Datenschutzversprechen als „unfaire oder irreführende" Handelspraktiken behandelt, branchenspezifische Gesetze für Gesundheit, Finanzen, Bildung und Kinderdaten – und, vielleicht am folgenreichsten, ein kalifornisches Abhörgesetz aus dem Jahr 1967, das Anwälte von Klägern in eine Waffe mit 5.000 US-Dollar Strafe pro Verstoß gegen modernes Website-Tracking verwandelt haben.

Betrachtet man die Schlagzeilen-Zahlen, wirkt die US-Datenschutzdurchsetzung wie eines der teuersten Regulierungssysteme der Welt: Metas 5-Milliarden-Dollar-Vergleich mit der FTC, Equifax' 700 Millionen US-Dollar, die Strafe von über einer Milliarde US-Dollar, die Texas nach seinem bundesstaatlichen Gesetz durchsetzte. Betrachtet man dagegen die alltäglichen Zahlen – hier ein Vergleich über 375.000 US-Dollar, dort ein Bußgeld einer bundesstaatlichen Behörde über 1,35 Millionen US-Dollar, eine weitere Welle von Abmahnschreiben im Rahmen von Sammelklagen, die bei Unternehmen eintreffen, die noch nie von einer Aufsichtsbehörde gehört haben – ergibt sich ein anderes Bild. Das eigentliche finanzielle Risiko entsteht von unten: aus dem kumulativen Gewicht von Sammelklagen, gemeinsam handelnden bundesstaatlichen Behörden und fünfzig Attorneys General, die ihre Durchsetzungsprioritäten zunehmend koordinieren.

Wir haben diesen Leitfaden erstellt, weil uns Kunden von UniConsent immer wieder dieselbe Frage stellten: Woher kommen die tatsächlichen Bußgelder, und was löst sie aus? Die Antwort erwies sich als spezifischer – und operativer – als die meisten Berichte vermuten lassen.

---

US-Datenschutzbußgelder: Die Zahlen, die 2026 zählen

• 5 Milliarden US-Dollar – die bisher höchste Einzelstrafe im US-Datenschutz (Meta, FTC, 2019)
• ~1,4 Milliarden US-Dollar – geschätzte Gesamtsumme der US-Datenschutzbußgelder und -Vergleiche im Jahr 2025
• 20 Bundesstaaten verfügen inzwischen über umfassende Verbraucherdatenschutzgesetze, gegenüber 5 im Jahr 2023
• 3 Durchsetzungsstränge agieren unabhängig voneinander: Bundesbehörden, bundesstaatliche Attorneys General / CPPA und private Sammelklagen
• Über 4.000 auf Abhörgesetzen basierende Sammelklagen wurden seit 2022 gegen Website-Betreiber eingereicht
• 11 Bundesstaaten verlangen von Websites, das Browsersignal Global Privacy Control (GPC) zu respektieren
• 2,75 Millionen US-Dollar – das bisher höchste Bußgeld nach dem California Consumer Privacy Act (Disney, Februar 2026)
• 1,35 Millionen US-Dollar – das bisher höchste Bußgeld der California Privacy Protection Agency (Tractor Supply, September 2025)
• 5.000 US-Dollar pro Verstoß – gesetzlich festgelegter Schadensersatz nach Kaliforniens CIPA-Abhörgesetz, ohne Nachweis eines Schadens erforderlich

---

Drei Durchsetzungsstränge, nicht einer

Die drei US-Datenschutz-Durchsetzungsstränge

Die meisten Menschen sprechen von der „US-Datenschutzdurchsetzung", als handele es sich um ein einziges System. Das ist nicht der Fall. Drei parallele Stränge operieren nach unterschiedlichen Gesetzen, richten sich gegen unterschiedliches Verhalten und führen zu höchst unterschiedlichen finanziellen Ergebnissen. Diese Unterscheidung zu verstehen, ist der Ausgangspunkt für das Risikomanagement.

Strang 1 – Bundesbehörden. Die FTC ist das, was den USA am nächsten an eine allgemeine Datenschutzbehörde kommt. Sie setzt kein Bundesdatenschutzgesetz durch (ein solches existiert nicht), sondern nutzt Section 5 des FTC Act, um gegen „unfaire oder irreführende" Praktiken vorzugehen – ein Rahmen, der seit über zwei Jahrzehnten gebrochene Datenschutzversprechen, mangelhafte Datensicherheit und Dark Patterns abdeckt. Das Department of Health and Human Services ist für HIPAA zuständig, das CFPB für den Datenschutz im Finanzwesen, die FCC für Telekommunikation, und die FTC selbst setzt zudem COPPA (Kinderdaten) und CAN-SPAM (E-Mail) durch. Bundesstrafen sind hoch, selten und folgen fast immer auf einen größeren Datenschutzverstoß oder systematische Täuschung.

Strang 2 – Bundesstaatliche Durchsetzung. Zwanzig Bundesstaaten verfügen inzwischen über umfassende Datenschutzgesetze. Kalifornien nimmt mit einer eigenen Aufsichtsbehörde (der CPPA) und ohne Nachbesserungsfrist eine Vorreiterrolle ein. Die übrigen neunzehn folgen weitgehend dem Virginia-Modell und ermächtigen den Attorney General des jeweiligen Bundesstaates, Ermittlungen durchzuführen und zivilrechtliche Bußgelder zu verhängen. Einzelne bundesstaatliche Bußgelder fallen tendenziell kleiner aus – von Hunderttausenden bis zu niedrigen Millionenbeträgen –, treten jedoch häufiger auf, und die länderübergreifende Koordination nimmt zu.

Strang 3 – Sammelklagen. Dies ist der Strang, den die meisten Unternehmen unterschätzen. Ältere Gesetze – Kaliforniens Invasion of Privacy Act (1967), der Illinois Biometric Information Privacy Act, der US-Bundesgesetz Video Privacy Protection Act (1988) – räumen private Klagerechte mit gesetzlich festgelegtem Schadensersatz ein, ohne dass ein tatsächlicher Schaden nachgewiesen werden muss. Kläger verklagen Unternehmen wegen Technologien, die diese Gesetze nie vorhergesehen haben: Tracking-Pixel, Session-Replay, Chatbots, Inhaltserkennung bei Smart-TVs. Einzelne Vergleiche reichen von 50.000 bis 85 Millionen US-Dollar, doch das Gesamtvolumen – Tausende Klagen und Zehntausende Abmahnschreiben seit 2022 – verursacht bei den meisten Unternehmen, mit denen wir sprechen, inzwischen höhere Compliance-Ausgaben als die bundesstaatliche Durchsetzung.

Das praktische Ergebnis: Ein Einzelhändler kann einen makellosen kalifornischen Datenschutzhinweis haben und trotzdem in derselben Woche ein CIPA-Abmahnschreiben erhalten. Ein SaaS-Unternehmen kann jede Erwartung der FTC an die Datensicherheit erfüllen und dennoch mit einer Klage eines bundesstaatlichen Attorney General wegen eines defekten Opt-out-Links konfrontiert werden. Compliance in den USA ist keine einzelne Prüfung – sie ist eine mehrschichtige Verteidigung über alle drei Stränge hinweg. Eine korrekt konfigurierte Consent-Management-Plattform ist eines der wenigen Infrastrukturelemente, das alle drei gleichzeitig adressiert.

---

Die 10 größten US-Datenschutzbußgelder und -Vergleiche

Die 10 größten US-Datenschutzbußgelder

Die größten Strafen konzentrieren sich auf drei Kategorien: massive FTC-Bußgelder im Rahmen von Consent Orders wegen systematischer Täuschung, länderübergreifende Vergleiche mit Attorneys General und Sammelklagen am oberen Ende der gesetzlichen Schadensersatzspanne.

#	Unternehmen	Betrag	Jahr	Forum	Was geschah
1	Meta (Facebook)	5,0 Mrd. USD	2019	FTC	Cambridge-Analytica-Skandal + Verstoß gegen die Consent Order von 2012
2	Meta (Facebook)	725 Mio. USD	2023	Sammelklage	Zivilrechtlicher Vergleich zu Cambridge Analytica
3	Equifax	700 Mio. USD	2019	FTC + CFPB + Attorneys General aller 50 Bundesstaaten	Datenschutzverstoß 2017 mit Offenlegung der Daten von 147 Millionen Verbrauchern
4	Epic Games (Fortnite)	520 Mio. USD	2022	FTC	COPPA-Verstöße + In-App-Käufe mittels Dark Patterns
5	T-Mobile	500 Mio. USD	2022	Sammelklage	Datenschutzverstoß 2021 mit Offenlegung der Daten von 76 Millionen Verbrauchern
6	Google	391,5 Mio. USD	2022	Attorneys General von 40 Bundesstaaten	Standortverfolgung trotz deaktivierter Standortdienste fortgesetzt
7	Meta (Facebook)	100 Mio. USD	2019	SEC	Irreführende Angaben gegenüber Investoren zum Cambridge-Analytica-Risiko
8	Zoom	85 Mio. USD	2021	Sammelklage	Falschangaben zu Datenschutz und Sicherheit während der Pandemie
9	Cognosphere (Genshin Impact)	20 Mio. USD	2025	FTC	COPPA + Erhebung von Daten von Spielern unter 16 Jahren
10	Disney	10 Mio. USD	2025	FTC	COPPA: YouTube-Videos nicht als „Made for Kids" gekennzeichnet

Nicht enthalten: der Vergleich über mehr als eine Milliarde US-Dollar, den der Attorney General von Texas 2025 gegen ein großes Technologieunternehmen nach dem Texas Data Privacy and Security Act abgeschlossen hat. Die öffentlich bekannten Bedingungen sind begrenzt, und Quellen beschreiben den Fall unterschiedlich.

Einige Punkte fallen bei dieser Liste besonders auf.

Bundesstrafen sind enorm, aber selten. Fünf der Top Ten sind FTC-Maßnahmen. Metas Strafe von 5 Milliarden US-Dollar wurde nicht allein durch den Cambridge-Analytica-Vorfall ausgelöst, sondern auch dadurch, dass das Unternehmen bereits einer Consent Order von 2012 unterlag – und gegen diese verstieß. Dieses Muster (ein Verstoß gegen eine frühere Anordnung, der die Strafe vervielfacht) wiederholt sich in der FTC-Durchsetzung.

Bundesstaatliche Attorneys General bilden die zweitgrößte Kategorie, wenn sie sich koordinieren. Googles Vergleich über 391,5 Millionen US-Dollar zur Standortverfolgung umfasste vierzig Attorneys General, die als Block agierten. Equifax' 700 Millionen US-Dollar bündelten die Ressourcen von FTC, CFPB und allen fünfzig Bundesstaaten. 2025 einigten sich Connecticut, Kalifornien und New York gemeinsam auf einen Vergleich über 5,1 Millionen US-Dollar im EdTech-Fall gegen Illuminate Education. Mit mehr davon ist zu rechnen.

Sammelklagen können mit Bußgeldern von Aufsichtsbehörden gleichziehen oder sie übertreffen. Facebooks Sammelklage über 725 Millionen US-Dollar zu Cambridge Analytica übersteigt jede bisher verzeichnete bundesstaatliche Durchsetzungsmaßnahme. T-Mobiles Vergleich über 500 Millionen US-Dollar wegen des Datenschutzverstoßes ist vergleichbar. Sammelklagen sind der einzige Durchsetzungsmechanismus, der mit der Zahl der betroffenen Verbraucher skaliert, ohne dass zuvor eine Aufsichtsbehörde tätig werden muss.

Kinderdaten stehen derzeit im Fokus der FTC. Fünf der größten Bundesmaßnahmen von 2024 bis 2026 berufen sich auf COPPA: Epic Games, Microsoft Xbox, Cognosphere, Apitor und Disney. Diese Priorität wird nicht verschwinden – Connecticut, Maryland, Oregon und Nebraska haben allesamt minderjährigenspezifische Bestimmungen erlassen, die 2025–2026 in Kraft treten.

---

Der Flickenteppich der 20 Bundesstaaten

Karte der US-Datenschutzgesetze der Bundesstaaten 2026

Stand Mai 2026 verfügen zwanzig Bundesstaaten über umfassende Verbraucherdatenschutzgesetze: Kalifornien, Colorado, Connecticut, Delaware, Florida, Indiana, Iowa, Kentucky, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon, Rhode Island, Tennessee, Texas, Utah und Virginia. Indiana, Kentucky und Rhode Island traten am 1. Januar 2026 bei. Connecticut und Oregon führten zum gleichen Datum Anforderungen zur Anerkennung von Global Privacy Control ein. (Washingtons My Health My Data Act deckt speziell Gesundheitsdaten von Verbrauchern ab und wird nicht immer zur Gesamtzahl der umfassenden Gesetze gezählt.)

Die zwanzig Gesetze haben mehr Gemeinsamkeiten als Unterschiede. Alle gewähren den Einwohnern eine Kombination aus Rechten auf Auskunft, Löschung, Berichtigung, Datenübertragbarkeit sowie Widerspruch gegen den Verkauf von Daten oder zielgerichtete Werbung. Alle verlangen Datenschutzhinweise, die offenlegen, was erhoben wird und warum. Die meisten definieren „sensible Daten" so, dass sie Gesundheits-, biometrische, Standort- und Kinderdaten umfassen, wobei zur Verarbeitung entweder eine Opt-in-Einwilligung oder ein dokumentiertes Opt-out erforderlich ist.

Die Unterschiede jedoch sind es, die Compliance teuer machen.

Kalifornien steht allein da. Es ist der einzige Bundesstaat mit einer eigenen Datenschutzbehörde (der CPPA), der einzige mit einem privaten Klagerecht (beschränkt auf bestimmte Datenschutzverstoß-Szenarien) und der einzige ohne Nachbesserungsfrist – ein Verstoß löst sofort eine Durchsetzungsmaßnahme aus, ohne ein Zeitfenster zur Behebung. Kalifornien erfasst zudem Mitarbeiter- und B2B-Kontaktdaten, die fast alle anderen Bundesstaaten ausnehmen.

Texas erfasst jeden. Die meisten bundesstaatlichen Gesetze greifen erst ab bestimmten Umsatz- oder Datenvolumenschwellen – typischerweise 100.000 Einwohner oder 25 Millionen US-Dollar an datenbezogenem Umsatz. Der Texas Data Privacy and Security Act kennt keine solche Schwelle. Er gilt für jedes Unternehmen, das „in Texas Geschäfte tätigt oder Produkte oder Dienstleistungen anbietet, die von Einwohnern von Texas genutzt werden", mit Ausnahmen nur für Kleinunternehmen, die nach Bundesrichtlinien der SBA qualifiziert sind. Der Attorney General von Texas war der aggressivste bundesstaatliche Durchsetzer außerhalb Kaliforniens.

Maryland ist bei der Datenminimierung am strengsten. Der Maryland Online Data Privacy Act, der ab April 2026 für neu erhobene Daten gilt, verbietet die Erhebung über das hinaus, was für das Produkt oder die Dienstleistung „angemessen erforderlich" ist, untersagt den Verkauf sensibler Daten grundsätzlich und verbietet Targeting von Personen unter 18 Jahren. Datenschutzanwälte bezeichnen es als das US-Gesetz, das dem Grundsatz der Zweckbindung der DSGVO am nächsten kommt.

Elf Bundesstaaten verlangen inzwischen die Anerkennung von GPC. Kalifornien, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, New Hampshire, New Jersey, Oregon und Texas verlangen allesamt, dass Websites das Browsersignal Global Privacy Control als bindendes Opt-out behandeln. Firefox und Brave senden GPC standardmäßig. Wenn Ihre Website diese Signale nicht erkennt und respektiert, besteht bereits eine Compliance-Lücke. UniConsent erkennt GPC-Signale automatisch und wendet Opt-out-Präferenzen ohne zusätzliche Konfiguration auf alle Einwilligungskategorien an – ein Detail, das 2025–2026 zum häufigsten Auslöser bundesstaatlicher Durchsetzungsmaßnahmen geworden ist.

Die Durchsetzung ist – vorerst – konzentriert. Öffentliche Durchsetzungsmaßnahmen von 2024 bis 2026 stammten vor allem von Kalifornien (AG und CPPA), Texas (AG) und Connecticut (AG). Colorado, Maryland, Minnesota, New Jersey und Oregon dürften bis 2026 ihre ersten öffentlichen Fälle vorlegen.

---

Bußgelder nach Durchsetzungsbehörde

Rangiert man US-Datenschutzbußgelder nach Durchsetzungsbehörde – so wie DSGVO-Bußgelder nach Land rangiert werden –, zeigt sich die Asymmetrie: Bundesstrafen sind pro Fall größer, bundesstaatliche Maßnahmen sind zahlreicher, und Sammelklagen übertreffen beide im kumulierten Volumen.

Federal Trade Commission. Seit 2018 rund 7 Milliarden US-Dollar an Datenschutz- und Sicherheitsstrafen, angetrieben durch die Vergleiche mit Meta (5 Milliarden US-Dollar) und Equifax (700 Millionen US-Dollar). Jüngste Maßnahmen richteten sich gegen COPPA-Verstöße (Epic Games, Cognosphere, Apitor, Disney), Mängel bei der Datensicherheit (GoDaddy, Drizly, Illuminate Education), die Weitergabe von Gesundheitsdaten an Werbeplattformen (BetterHelp mit 7,8 Millionen US-Dollar, Cerebral) sowie gebrochene Datenschutzversprechen (Match Group). Die FTC einigte sich zudem mit Amazon Ring auf 5,8 Millionen US-Dollar wegen des Zugriffs von Mitarbeitern auf Video-Feeds von Kunden.

Attorney General von Kalifornien. Die höchsten CCPA-Bußgelder stammen von dieser Behörde. Disneys Vergleich über 2,75 Millionen US-Dollar im Februar 2026 stellt den aktuellen Rekord dar und übertrifft Healthline Medias 1,55 Millionen US-Dollar von Juli 2025. Frühere Maßnahmen umfassen Sephora (1,2 Millionen US-Dollar, 2022) und DoorDash (375.000 US-Dollar, 2024). Der AG leitete im November 2025 zudem eine Maßnahme über 1,4 Millionen US-Dollar gegen Jam City ein, weil Daten von 13- bis 16-Jährigen ohne ausdrückliche Einwilligung weitergegeben wurden, und schloss sich Connecticut und New York beim EdTech-Vergleich über 5,1 Millionen US-Dollar mit Illuminate Education an.

California Privacy Protection Agency. Die CPPA begann 2024 mit der Veröffentlichung öffentlicher Durchsetzungsentscheidungen. Ihr höchstes Bußgeld ist der Vergleich über 1,35 Millionen US-Dollar mit Tractor Supply im September 2025 – ein Fall, der sich um die Nichtbeachtung von über ein Webformular eingereichten Opt-out-Anfragen, die Nichtbeachtung von GPC-Signalen und einen Verbraucherdatenschutzhinweis drehte, der keine Informationen zu CCPA-Rechten enthielt. Weitere Maßnahmen: American Honda (632.500 US-Dollar, 2025), Todd Snyder (345.000 US-Dollar, 2025), PlayOn Sports (1,1 Millionen US-Dollar, März 2026) und Ford Motor Company.

Attorney General von Texas. Der größte bisher verzeichnete Einzelvergleich nach bundesstaatlichem Recht: über 1 Milliarde US-Dollar, abgeschlossen 2025 gegen ein großes Technologieunternehmen. Der Attorney General von Texas verklagte zudem Allstate mit der Behauptung, ein in Drittanbieter-Apps eingebettetes Software Development Kit habe Fahr- und Standortdaten von über 45 Millionen Amerikanern ohne Offenlegung erhoben und verkauft. Ein separater Fall richtete sich gegen einen Smart-TV-Hersteller wegen automatischer Inhaltserkennung – die erste bundesstaatliche ACR-Durchsetzungsmaßnahme in den USA seit dem Vizio-Fall der FTC von 2017.

Attorney General von Connecticut. Erste CTDPA-Durchsetzungsmaßnahme 2025: ein Vergleich über 85.000 US-Dollar mit TicketNetwork wegen eines Datenschutzhinweises, den der AG als „weitgehend unlesbar" bezeichnete, dem erforderliche Angaben fehlten und der mit nicht funktionierenden Opt-out-Mechanismen verbunden war. Connecticut ist relevant, weil sich der AG öffentlich zur Koordination mit Kalifornien und anderen Bundesstaaten verpflichtet hat – ein Frühindikator dafür, wie die Gesetze nach dem Virginia-Modell durchgesetzt werden.

HHS (HIPAA). Ein separates Regime, das sich an „covered entities" und „business associates" richtet. Der größte HIPAA-Vergleich bleibt Anthems 16 Millionen US-Dollar im Jahr 2018 für den Datenschutzverstoß mit 78,8 Millionen Betroffenen. Funktional unterscheidet sich dies vom Verbraucherdatenschutz-Strang, ist aber für jedes Unternehmen relevant, das geschützte Gesundheitsinformationen verarbeitet.

---

CIPA: Ein Abhörgesetz von 1967 verändert die Website-Compliance

Der Anstieg der CIPA-Klagen

Die derzeit am schnellsten wachsende Quelle finanzieller Risiken im US-Datenschutz ist keine Aufsichtsbehörde. Es ist die Welle von Sammelklagen nach Kaliforniens Invasion of Privacy Act und parallelen bundesstaatlichen Abhörgesetzen.

CIPA wurde 1967 verfasst, um das Abhören von Telefonaten zu regeln. Es sieht einen gesetzlich festgelegten Schadensersatz von 5.000 US-Dollar pro Verstoß vor – verfügbar für jeden, der ein Abfangen einer Kommunikation behauptet, ohne dass ein tatsächlicher Schaden nachgewiesen werden muss. Nach dem Urteil des Ninth Circuit von 2022 in Javier v. Assurance IQ, wonach Session-Replay-Technologie ein „Abfangen" darstellen könne, reagierten Klägeranwälte schnell. Nach unserer Zählung wurden seit 2022 rund 4.000 auf Abhörgesetzen basierende Sammelklagen gegen Website-Betreiber eingereicht, begleitet von schätzungsweise 50.000 bis 100.000 Abmahnschreiben.

Die Ziele sind nicht exotisch. Es handelt sich um Standard-Website-Technologien:

• Tracking-Pixel von Meta, LinkedIn, TikTok und Microsoft, die auslösen, bevor eine Einwilligungsinteraktion stattfindet
• Session-Replay-Tools, die das Verhalten auf der Seite aufzeichnen und an Server Dritter übertragen
• Chatbot-Widgets, die Unterhaltungen speichern und Transkripte mit Anbietern teilen
• Google Analytics in Standardkonfigurationen, die Nutzeridentifikatoren übertragen
• „Pen-Register"-Theorien, die CIPAs Bestimmungen zu „Trap-and-Trace" auf jedes Tool anwenden, das Routing-Daten erhebt
• Telefonaufzeichnungs-Hinweise, die Kaliforniens Anforderung der Zwei-Parteien-Einwilligung nicht erfüllen

Abmahnschreiben sind so kalkuliert, dass ein Vergleich günstiger ist als ein Rechtsstreit – typischerweise 15.000 bis 40.000 US-Dollar pro Anspruch. Die größeren Sammelvergleiche sind erheblich: Die Los Angeles Times stimmte Anfang 2026 einem Vergleich über 3,85 Millionen US-Dollar wegen zwischen Januar 2023 und Dezember 2025 eingesetzter Tracking-Technologien zu.

Die Gerichte sind sich nicht einig. Der Supreme Judicial Court von Massachusetts entschied 2024, dass Google Analytics und Meta Pixel nicht gegen das bundesstaatliche Abhörgesetz verstoßen, da die Empfänger Dritter „beabsichtigte Kommunikationspartner" seien. Der Ninth Circuit entschied 2025 in Popa v. Microsoft, dass einigen CIPA-Ansprüchen zu Session-Replay die Klagebefugnis nach Article III fehle. Mehrere kalifornische erstinstanzliche Gerichte haben „Pen-Register"-Theorien in Bezug auf Internetverkehr zurückgewiesen. Doch die Zahl der Klagen steigt weiter – im Januar 2026 wurden doppelt so viele CIPA-Entscheidungen gefällt wie im Dezember 2025.

Kaliforniens vorgeschlagene Reform, SB 690, würde eine Ausnahme für „kommerzielle Geschäftszwecke" schaffen. Sie wurde 2025 einstimmig im Senat verabschiedet, geriet jedoch in der Versammlung ins Stocken und wird frühestens 2027 in Kraft treten. Achtundzwanzig Bundesstaaten haben ähnliche Abhörgesetze; das Bundes-Abhörgesetz (Wiretap Act, 18 U.S.C. § 2510) sieht zusätzlich 10.000 US-Dollar pro Verstoß vor und wird zunehmend neben CIPA-Ansprüchen geltend gemacht.

Die schlichte operative Erkenntnis: Bei der CIPA-Risikoexposition geht es nicht darum, ein „schlechter Akteur" zu sein. Es geht darum, ob Ihre Analyse-Tools, Werbepixel und Chat-Widgets auslösen, bevor der Nutzer die Möglichkeit hatte, seine Einwilligung zu erteilen, und ob Ihr Datenschutzhinweis genau beschreibt, was diese Tools tun. Eine Consent-Management-Plattform, die die Ausführung von Tags an Einwilligungssignale koppelt – und alle nicht essenziellen Skripte blockiert, bis der Besucher handelt –, ist die wichtigste technische Verteidigung. UniConsent setzt dies bereits auf der Ebene des Seitenaufrufs um und stellt sicher, dass kein Tracking-Pixel, kein Session-Replay-Tool und kein Chatbot auslöst, bevor der Nutzer eine Entscheidung getroffen hat. Bei den bisher über 4.000 eingereichten Klagen macht diese Konfiguration den Unterschied, ob man Beklagter ist oder nicht.

---

Die fünf Fehlermuster hinter fast jedem US-Datenschutzbußgeld

Wir haben jede bedeutende Durchsetzungsmaßnahme auf Bundes-, Landes- und Sammelklageebene von 2018 bis Anfang 2026 durchgesehen. Fünf Muster erklären nahezu alle davon.

1. Opt-out-Signale, die sich nicht verbreiten. Disney, Healthline, Tractor Supply, Sephora, DoorDash, TicketNetwork – jeder Fall betraf dasselbe grundlegende Problem: Ein Verbraucher reichte ein Opt-out ein (über ein Formular, einen „Nicht verkaufen"-Link oder ein GPC-Signal), und das Unternehmen wendete es nicht über alle mit dieser Person verknüpften Websites, Geräte und Konten hinweg an. Aufsichtsbehörden erwarten inzwischen eine universelle Umsetzung. Ein teilweises Opt-out wird wie gar kein Opt-out behandelt.

2. Tracking, das vor der Einwilligung auslöst. Tags, Pixel und Skripte, die beim Laden der Seite ausgeführt werden – bevor der Besucher mit einem Einwilligungsmechanismus interagiert hat. Dies ist der Sachverhalt hinter praktisch jeder CIPA-Klage und überschneidet sich mit CCPA und anderen bundesstaatlichen Gesetzen, die eine Benachrichtigung zum oder vor dem Zeitpunkt der Erhebung verlangen. Die Lösung ist technischer Natur: serverseitige Steuerung von Tags über eine Consent-Management-Plattform wie UniConsent, die nicht essenzielle Tags blockiert, bis die Einwilligung erfasst ist.

3. Datenschutzhinweise, die falsch oder unlesbar sind. Connecticuts erste CTDPA-Durchsetzungsmaßnahme drehte sich um einen Datenschutzhinweis, den der AG als „weitgehend unlesbar" bezeichnete. Kalifornische Maßnahmen haben wiederholt Richtlinien beanstandet, die bestimmte Kategorien der Datenweitergabe nicht benennen oder Opt-out-Rechte falsch darstellen. Die regulatorische Messlatte ist nun ein Datenschutzhinweis, der spezifisch, aktuell, lesbar und korrekt ist – mit benannten oder kategorisierten Dritten und ausdrücklichen Angaben zu Verbraucherrechten.

4. Gesundheitsdaten, die zu Werbeplattformen fließen. Die FTC-Maßnahmen gegen BetterHelp (7,8 Millionen US-Dollar), Cerebral und GoodRx, der Vergleich des kalifornischen AG mit Healthline (1,55 Millionen US-Dollar) sowie mehrere HIPAA-Vergleiche betrafen alle dasselbe Szenario: gesundheitsbezogene Daten, die über Tracking-Pixel oder SDK-Integrationen ohne wirksame Einwilligung und oft ohne Offenlegung zu Meta, Google oder anderen Werbeplattformen gelangten. Wenn Ihre Website gesundheitsnahe Informationen erhebt – einschließlich Artikeltiteln, die auf eine Diagnose hindeuten –, betrifft diese Kategorie auch Sie.

5. Kinderdaten ohne elterliche Einwilligung. Fünf der größten Bundesmaßnahmen von 2024 bis 2026 berufen sich auf COPPA. Disneys Vergleich über 10 Millionen US-Dollar betraf YouTube-Videos, die nicht als „Made for Kids" gekennzeichnet waren. Cognospheres Maßnahme über 20 Millionen US-Dollar warf dem Unternehmen vor, Genshin Impact an Kinder unter 13 Jahren vermarktet und dabei personenbezogene Daten erhoben zu haben. Apitors Bußgeld über 500.000 US-Dollar (wegen Zahlungsunfähigkeit ausgesetzt) betraf eine Roboter-Spielzeug-App, die Standortdaten von Kindern erhob. Wenn auf Ihr Produkt oder Ihre Inhalte von Kindern zugegriffen wird, ist die Einhaltung von COPPA nicht optional – es ist die erklärte Priorität der FTC für 2026.

Diese fünf Kategorien überschneiden sich ständig. Ein Tracking-Pixel, das vor der Einwilligung auslöst und in einem Chatbot offengelegte Gesundheitsdaten erfasst, erzeugt gleichzeitig CIPA-, CCPA- und FTC-Risiken. Die Nichtbeachtung eines elterlichen Opt-out-Antrags löst sowohl CCPA- als auch COPPA-Haftung aus. Die Grenze zwischen „regulatorischem Risiko" und „Prozessrisiko" ist inzwischen weitgehend theoretisch.

---

Was als Nächstes kommt

Fünf Trends prägen den Rest des Jahres 2026 und darüber hinaus bis 2027.

Kein Bundesgesetz ist in Sicht. Der American Privacy Rights Act, der Kids Online Safety Act und andere Vorschläge stecken weiterhin fest. Der Flickenteppich aus zwanzig bundesstaatlichen Gesetzen, der FTC und Sammelklagen bleibt auf absehbare Zeit das operative Umfeld.

Bundesstaatliche Attorneys General koordinieren sich wie eine Bundesbehörde. Der Vergleich Connecticut–Kalifornien–New York mit Illuminate Education, länderübergreifende Prüfungen zur GPC-Compliance und aufeinander abgestimmte Durchsetzungsprioritäten der Behörden deuten allesamt darauf hin, dass eine kollektive bundesstaatliche Durchsetzung auch ohne Bundesgesetzgebung funktioniert.

KI-Regulierung entsteht auf bundesstaatlicher Ebene. Kaliforniens CCPA-Vorschriften zu automatisierten Entscheidungstechnologien treten am 1. Januar 2027 in Kraft und sehen Opt-out-Rechte vor, wenn KI wesentliche Entscheidungen über Verbraucher trifft. Texas' Responsible AI Governance Act trat am 1. Januar 2026 in Kraft. Bundesstaatliche Gesetzgeber und Attorneys General füllen die Lücke, die kein Bundesgesetz zu KI adressiert.

Die Durchsetzung im Bereich Kinderdatenschutz nimmt zu. COPPA-Maßnahmen beschleunigten sich im Laufe von 2025 und zeigen keine Anzeichen einer Verlangsamung. Maryland verbietet nun den Verkauf personenbezogener Daten von Personen unter 18 Jahren. Connecticut, Oregon und Nebraska fügten 2025–2026 minderjährigenspezifische Bestimmungen hinzu.

Eine CIPA-Reform wird nicht vor 2027 kommen. SB 690 ist ein Zweijahresgesetzentwurf. Selbst wenn er 2026 erneut eingebracht und verabschiedet würde, träte er frühestens im Januar 2027 in Kraft. Klägeranwälte betrachten dieses Zeitfenster als Chance, und die Zahl der Klagen steigt weiter.

---

Was das für Ihren Compliance-Stack bedeutet

Die US-Datenschutzdurchsetzung funktioniert nicht wie die DSGVO. Es gibt keine einzige Aufsichtsbehörde, kein harmonisiertes Regelwerk und kein zentrales Bußgeldregister. Das Risiko entsteht aus drei unabhängigen Strängen, und ein Unternehmen kann bei einem sauber sein, während es bei den anderen beiden Haftung anhäuft.

Die größten Strafen sind bundesstaatlicher Natur – Metas 5 Milliarden US-Dollar, Equifax' 700 Millionen US-Dollar –, doch das typische Bußgeld 2025–2026 ist eine bundesstaatliche Maßnahme im Bereich von 300.000 bis 3 Millionen US-Dollar gegen ein mittelgroßes Unternehmen, dessen Opt-out-Mechanismus nicht funktionierte oder dessen Datenschutzhinweis nicht beschrieb, was tatsächlich auf seiner Website geschah.

Die am schnellsten wachsende Risikoquelle sind gar nicht die Aufsichtsbehörden. Es ist die Welle der CIPA-Sammelklagen: 4.000 Klagen und Zehntausende Abmahnschreiben seit 2022, gerichtet gegen Standardkonfigurationen von Tracking-Pixeln, Session-Replay, Chatbots und Analyse-Tools. Eine Reform kommt nicht vor 2027.

Das operative Muster hinter nahezu jeder US-Datenschutzstrafe ist dasselbe: Tracking-Technologien lösen vor der Einwilligung aus, Opt-out-Signale werden nicht beachtet, Datenschutzhinweise stellen falsch dar, was mit Nutzerdaten geschieht, und sensible Informationen – Gesundheitsdaten, Kinderdaten – fließen ohne wirksame Offenlegung an Werbeplattformen.

Die Compliance-Arbeit ist keine abstrakte Richtlinie. Es ist die Konfiguration Ihrer Consent-Management-Ebene, Ihres Tag-Governance-Workflows und der Systeme, die Opt-out-Signale über alle Websites hinweg verbreiten. UniConsent übernimmt den Kern davon: Tags blockieren, bis die Einwilligung erfasst ist, GPC-Signale in allen elf Bundesstaaten, die dies verlangen, erkennen und beachten, einen Einwilligungs-Audit-Trail führen, der einer behördlichen Prüfung standhält, und Ihre Website scannen, um mit unserem Cookie-Scanner zu überprüfen, ob das tatsächliche Tag-Verhalten Ihrer Einwilligungskonfiguration entspricht. Das ist der Unterschied zwischen einer Datenschutzrichtlinie und einer verteidigungsfähigen Datenschutzposition.

---

Häufig gestellte Fragen

Was ist das höchste jemals in den Vereinigten Staaten verhängte Datenschutzbußgeld? Meta wurde 2019 von der FTC mit 5 Milliarden US-Dollar für den Cambridge-Analytica-Skandal und den Verstoß gegen eine Consent Order von 2012 belegt. Es ist die höchste Datenschutzstrafe in der US-Geschichte.

Was ist das höchste CCPA-Bußgeld? Disneys Vergleich über 2,75 Millionen US-Dollar mit dem Attorney General von Kalifornien im Februar 2026, wegen der Nichtbeachtung von Opt-out-Anfragen über alle mit Verbraucherkonten verknüpften Geräte und Dienste hinweg.

Welcher US-Bundesstaat hat das strengste Datenschutzgesetz? Kalifornien, mit seiner eigenen Aufsichtsbehörde (CPPA), keiner Nachbesserungsfrist und einem begrenzten privaten Klagerecht. Marylands MODPA ist das strengste Gesetz nach dem Virginia-Modell, mit strengen Anforderungen zur Datenminimierung und einem grundsätzlichen Verbot, sensible Daten zu verkaufen oder Minderjährige unter 18 Jahren zu targetieren.

Wie viele US-Bundesstaaten haben 2026 umfassende Datenschutzgesetze? Zwanzig. Indiana, Kentucky und Rhode Island traten am 1. Januar 2026 bei.

Wer setzt US-Datenschutzgesetze durch? Die FTC übernimmt die Durchsetzung auf Bundesebene. Bundesstaatliche Attorneys General setzen die jeweiligen Datenschutzgesetze durch (Kalifornien verfügt zusätzlich über die CPPA). Das HHS setzt HIPAA durch. Private Kläger erheben Sammelklagen nach CIPA, BIPA, dem VPPA und dem Bundes-Abhörgesetz.

Was ist CIPA, und warum löst es so viele Klagen aus? Der California Invasion of Privacy Act ist ein Abhörgesetz aus dem Jahr 1967. Seit 2022 nutzen Kläger es, um Websites wegen des Einsatzes von Tracking-Pixeln, Session-Replay, Chatbots und Analyse-Tools zu verklagen, die Kommunikationen ohne Einwilligung „abfangen". Der gesetzliche Schadensersatz beträgt 5.000 US-Dollar pro Verstoß, ohne Nachweis eines Schadens. Es wurden rund 4.000 Klagen eingereicht.

Haben die USA ein Bundesdatenschutzgesetz? Nein. Bundesvorschläge – darunter der American Privacy Rights Act – haben den Kongress nicht passiert. Bundesrecht deckt bestimmte Bereiche ab: Gesundheit (HIPAA), Finanzen (GLBA), Kinder (COPPA), Bildung (FERPA) und elektronische Kommunikation (ECPA).

Was ist Global Privacy Control? Ein Browsersignal, das automatisch eine Opt-out-Präferenz übermittelt. Elf Bundesstaaten verlangen von Websites, es zu beachten. Firefox und Brave aktivieren GPC standardmäßig. UniConsent erkennt GPC und wendet das Opt-out automatisch auf alle Einwilligungskategorien an.

Wie hoch ist die Gesamtsumme der US-Datenschutzbußgelder pro Jahr? Rund 1,4 Milliarden US-Dollar im Jahr 2025 über Bundes-, bundesstaatliche und Sammelklagevergleiche hinweg. Die Zahl steigt im Verlauf von 2026 weiter an.

Können US-Verbraucher Unternehmen direkt wegen Datenschutzverstößen verklagen? In manchen Fällen. Der CCPA sieht ein begrenztes privates Klagerecht für bestimmte Datenschutzverstöße vor. CIPA, BIPA, der VPPA und das Bundes-Abhörgesetz sehen allesamt gesetzlich festgelegten Schadensersatz vor. Die meisten Gesetze nach dem Virginia-Modell enthalten kein privates Klagerecht.

Was löst die meisten US-Datenschutzbußgelder aus? Vier Muster: Opt-out-Signale, die nicht über alle Websites hinweg beachtet werden, Tracking-Technologien, die vor der Einwilligung auslösen, Datenschutzhinweise, die nicht den tatsächlichen Datenpraktiken entsprechen, sowie Gesundheits- oder Kinderdaten, die ohne Offenlegung an Werbeplattformen weitergegeben werden.

Wie hilft eine Consent-Management-Plattform bei der US-Datenschutz-Compliance? Eine CMP wie UniConsent blockiert nicht essenzielle Tags, bis die Einwilligung erfasst ist, erkennt und beachtet GPC-Signale, führt eine prüffähige Einwilligungsaufzeichnung und überprüft, ob das Tag-Verhalten auf der Seite Ihrer Einwilligungskonfiguration entspricht. Dies adressiert die Grundursache der häufigsten Durchsetzungsmaßnahmen und CIPA-Klagen.

---

Über UniConsent

UniConsent ist Teil der datenschutzorientierten User Experience Platform von Transfon, die täglich Dutzende Millionen Nutzer bedient, um sowohl Nutzern als auch Publishern im Zeitalter nach der DSGVO ein nahtloses Datenschutzerlebnis zu bieten. Kontaktieren Sie uns für weitere Informationen: hello@uniconsent.com