← ALLE REGELWERKE
Minnesota Consumer Data Privacy Act: die Cookie-Regeln und das GPC-Signal.
Minnesota erlaubt Werbe-Cookies ohne Opt-in-Einwilligung, aber Verbraucher müssen zielgerichteter Werbung, dem Verkauf ihrer Daten und manchem Profiling widersprechen können. Seit das Gesetz am 31. Juli 2025 in Kraft trat, muss ein Opt-out-Präferenzsignal wie Global Privacy Control (GPC) als Widerspruch gegen zielgerichtete Werbung und Verkauf berücksichtigt werden.
MCDPA auf einen BlickOpt-out, Opt-in für manche Daten
- Gilt für
- Verantwortliche, die jährlich Daten von mindestens 100.000 Einwohnern Minnesotas verarbeiten (reine Zahlungsdaten nicht mitgezählt), oder von mindestens 25.000, wenn sie über 25 % ihres Umsatzes mit deren Verkauf erzielen
- In Kraft
- 31. Juli 2025, für postsekundäre Bildungseinrichtungen ab Juli 2029
- Aufsicht
- Generalstaatsanwaltschaft von Minnesota
- Sanktionen
- Bis zu 7.500 $ pro Verstoß, dazu Unterlassungsverfügungen; die 30-tägige Nachbesserungsfrist endete am 31. Januar 2026
WAS NACH MCDPA GILT
Was Minnesota von einer Website mit Werbe-Cookies verlangt.
DIE REGELOpt-out-Präferenzsignale berücksichtigenVerantwortliche müssen Verbrauchern ermöglichen, zielgerichteter Werbung und Verkauf über ein Opt-out-Präferenzsignal zu widersprechen, und wer Signale anerkennt, die nach den Gesetzen anderer Bundesstaaten zugelassen sind, erfüllt diese Pflicht.
MIT KATLAKatla berücksichtigt Global Privacy Control: Ein Besucher, dessen Browser das Signal sendet, wird als Opt-out erfasst, sofern er nicht bereits eine Wahl getroffen hat.
DIE REGELEin klares Opt-out, außerhalb des DatenschutzhinweisesEin Verantwortlicher, der Daten verkauft oder für zielgerichtete Werbung nutzt, muss außerhalb des Datenschutzhinweises eine klare und gut sichtbare Möglichkeit zum Widerspruch bieten, etwa einen Link mit der Beschriftung „Your Opt-Out Rights“ oder „Your Privacy Rights“.
MIT KATLAIm Modus „US State Laws (CCPA)“ lautet die Hauptschaltfläche des Banners „Do Not Sell or Share My Personal Information“, und die Kategorie Marketing ist als Verkauf oder Weitergabe personenbezogener Daten beschriftet. Die Formulierung folgt dem kalifornischen Recht; eine eigene Beschriftung für Minnesota gibt es nicht.
DIE REGELEinwilligung für sensible Daten und für JugendlicheDie Verarbeitung sensibler Daten braucht eine Einwilligung, ebenso zielgerichtete Werbung oder der Verkauf von Daten eines Verbrauchers, von dem der Verantwortliche weiß, dass er zwischen 13 und 16 Jahre alt ist.
MIT KATLAKatla hat keinen altersabhängigen Ablauf, und seine Kategorien beschreiben, wofür Cookies da sind, nicht welche Datenarten sie enthalten. Eine Website, die sensible Daten verarbeitet oder Jugendliche bedient, kann Katla im DSGVO-Modus betreiben, sodass vor einem Opt-in nichts Nicht-Notwendiges gesetzt wird.
DIE REGELDas Recht, Profiling zu hinterfragenVerbraucher können das Ergebnis eines Profilings hinterfragen, das einer wesentlichen Entscheidung zugrunde liegt, und erfahren, wie es zustande kam; beruhte es auf unrichtigen Daten, können sie eine erneute Prüfung anhand berichtigter Daten verlangen. Sie können außerdem erfragen, welche konkreten Dritten ihre Daten erhalten haben.
MIT KATLAProfiling-Entscheidungen und Anfragen von Verbrauchern liegen außerhalb dessen, was ein Consent-Tool leistet.
DIE REGELDokumentierte Richtlinien und ein DateninventarVerantwortliche müssen ihre Datenschutzrichtlinien und -verfahren dokumentieren, ein Inventar der von ihnen verwalteten Daten führen und die Verarbeitung für zielgerichtete Werbung, Verkauf und sensible Daten bewerten.
MIT KATLADer Scan von Katla listet jedes gefundene Cookie mit seiner Domain und Kategorie auf. Das Inventar, die Dokumentation und die Bewertungen liegen außerhalb dessen, was ein Consent-Tool leistet.
MCDPA: Fragen und Antworten
Eine Zusammenfassung für Website-Betreiber, keine Rechtsberatung. Geprüft am anhand der unten genannten Quellen.
- Ist Global Privacy Control in Minnesota Pflicht?
- Verantwortliche müssen Opt-out-Präferenzsignale für zielgerichtete Werbung und Verkauf berücksichtigen, und das Gesetz wertet die Anerkennung von Signalen, die nach den Gesetzen anderer Bundesstaaten zugelassen sind, etwa Global Privacy Control, als Erfüllung dieser Pflicht.
- Was ist am Gesetz in Minnesota ungewöhnlich?
- Verbraucher können eine Profiling-Entscheidung hinterfragen und erneut prüfen lassen, wenn sie auf unrichtigen Daten beruhte, und erfragen, welche konkreten Dritten ihre Daten erhalten haben. Verantwortliche müssen ein Dateninventar und dokumentierte Datenschutzrichtlinien führen und den Datenschutzhinweis in jeder Sprache veröffentlichen, in der sie das Produkt oder den Dienst anbieten.
- Gibt es noch eine Nachbesserungsfrist?
- Nein. Bis zum 31. Januar 2026 musste die Generalstaatsanwaltschaft vor einer Klage ein Warnschreiben schicken und 30 Tage zur Behebung geben; diese Regelung ist ausgelaufen.
- Gilt das Gesetz für kleine Unternehmen?
- Kleine Unternehmen im Sinne der US Small Business Administration sind ausgenommen, dürfen aber sensible Daten nicht ohne vorherige Einwilligung des Verbrauchers verkaufen.
- Wie behandelt Katla Besucher aus Minnesota?
- Der Auto-Modus liest die Zeitzone des Besuchers, und US-Zeitzonen erhalten das CCPA-Banner mit seinem Opt-out und der GPC-Verarbeitung. Sie können die Website auch für alle Besucher auf den Modus „US State Laws (CCPA)“ stellen.
Sehen Sie, was Ihre Website setzt, bevor jemand fragt.
Der kostenlose Tarif scannt Ihre Website, klassifiziert jedes Cookie und erstellt die Richtlinie, ohne Karte. Der Cookie-Checker braucht überhaupt kein Konto.