SaaS-Unternehmen bauen ein einziges Compliance-Programm für 20 verschiedene staatliche Datenschutzgesetze

Zwanzig US-Bundesstaaten verfügen 2026 über umfassende Verbraucherdatenschutzgesetze, und kein Bundesgesetz hebt irgendeines davon auf. Indiana, Kentucky und Rhode Island aktivierten ihre Regelungen im Januar; Arkansas kam am 1. Juli hinzu. Oklahoma und Alabama folgen 2027. Jedes Gesetz hat seine eigenen Anwendungsschwellen, seine eigene Liste von Verbraucherrechten, seinen eigenen Durchsetzungsmechanismus und, in zunehmend mehr Fällen, seine eigenen, offen unvereinbaren Compliance-Pflichten. Für ein national operierendes SaaS-Unternehmen lautet die eigentliche Frage 2026 nicht, ob es dem Datenschutzrecht eines Bundesstaates entsprechen soll. Sie lautet, ob man ein einziges Compliance-Programm aufbaut, das alle zwanzig Staaten mit gezielten Zusatzebenen abdeckt, oder jeden Staat als eigenes Projekt behandelt — und die zweite Option wird still und leise unpraktikabel.

Schon die Schwellenwerte passen nicht zusammen

Drei Staaten — Delaware, Montana und Nevada — wenden ihre Datenschutzgesetze auf jedes Unternehmen an, das Daten ihrer Bewohner verarbeitet, ohne Mindestumsatz oder Mindestdatenvolumen. Virginia und Connecticut legen die Schwelle bei 100.000 Verbrauchern fest. Rhode Island legt sie bei 35.000 fest. Texas befreit Unternehmen, die nach den Standards der US Small Business Administration als klein gelten — eine Ausnahme, die keiner der anderen neunzehn Staaten nutzt. Ein Unternehmen, das groß genug ist, um die Virginia-Schwelle gefahrlos zu ignorieren, kann trotzdem voll unter die Delaware-Schwelle fallen, einfach weil Delawares Gesetz so geschrieben wurde, dass es für fast jeden gilt.

Opt-out-Mechanismen unterscheiden sich ebenso stark. Mindestens zehn Staaten — darunter Kalifornien, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, New Jersey, New Hampshire und Oregon — verlangen inzwischen gesetzlich, dass Unternehmen das Global Privacy Control-Signal (GPC) respektieren, ein universelles Opt-out auf Browserebene. Baut man eine Zustimmungsebene, die nur einen Klick auf das Cookie-Banner prüft und den GPC-Header ignoriert, ist man in rund der Hälfte der Staaten mit umfassendem Gesetz nicht konform — selbst wenn das Banner selbst makellos ist.

Wo Gesetze tatsächlich kollidieren, nicht nur voneinander abweichen

Das schwierigere Problem ist nicht die Menge der Regeln — es ist, dass einige davon sich absichtlich widersprechen. Colorados Datenschutzgesetz verlangt eine dokumentierte Risikobewertung für Hochrisiko-Verarbeitungstätigkeiten, einschließlich allem, was automatisierte Entscheidungsfindung betrifft, mit spezifischen Inhaltsanforderungen, die in Colorados eigenen Vorschriften festgeschrieben sind. Kaliforniens neuere Regeln zu Automated Decision-Making Technology (ADMT) erlegen ein separates, anders strukturiertes Bewertungs- und Offenlegungsregime auf. Die beiden Staaten wurden nicht so geschrieben, dass sie sich mit einem einzigen Dokument gegenseitig erfüllen lassen. Ein Unternehmen, das eine einzige „Datenschutz-Folgenabschätzung"-Vorlage erstellt und annimmt, sie genüge den Anforderungen beider Staaten, liegt mit hoher Wahrscheinlichkeit bei mindestens einem davon falsch.

Der Verkauf präziser Geolokalisierungsdaten ist ein noch schärferes Beispiel, weil er mit festen Inkrafttretungsdaten kommt. Virginias SB 338 verbot den Verkauf präziser Geolokalisierungsdaten ab dem 1. Juli 2026. Connecticuts Senate Bill 4, am 27. Mai 2026 von Gouverneur Ned Lamont unterschrieben, verhängt ein ähnliches Verbot, das am 1. Oktober 2026 in Kraft tritt, und schafft gleichzeitig eine Registrierungspflicht für Datenhändler. Marylands Version ist bereits seit Oktober 2025 in Kraft. Das sind keine Opt-out-Regime, die ein Unternehmen mit einem Banner erfüllen kann — es sind regelrechte Verbote einer bestimmten Datenverkaufskategorie, die auf drei unterschiedlichen Kalendern, in drei unterschiedlichen rechtlichen Formen, für drei unterschiedliche Staaten eintreffen. Ein Unternehmen, dessen Produkt oder Ad-Tech-Stack präzise Standortdaten berührt, muss staatsweise wissen, nicht nur, ob der Verkauf eingeschränkt ist, sondern genau, seit wann diese Einschränkung für es gilt.

Die beiden Wege, die Unternehmen tatsächlich wählen

In der Praxis konvergieren SaaS-Unternehmen, die in allen fünfzig Staaten tätig sind, auf eine von zwei Strategien, und der Mittelweg verschwindet zunehmend. Die erste ist ein einheitliches Datenschutzprogramm: ein zentraler Satz von Datenpraktiken, Datenverarbeitungsvereinbarungen und Zustimmungsabläufen, aufgebaut auf dem strengsten gemeinsamen Nenner aller zwanzig Staaten, mit schmalen, gut dokumentierten Zusatzebenen für die Handvoll Anforderungen — etwa Colorados und Kaliforniens getrennte ADMT-Bewertungen oder die unterschiedlichen Inkrafttretungsdaten des Geolokalisierungs-Verkaufsverbots in den drei Staaten —, die sich wirklich nicht durch eine einzige Basis erfüllen lassen. Das erfordert zunächst mehr technischen und juristischen Aufwand, skaliert aber besser, je mehr Staaten Gesetze verabschieden, weil die Basis das meiste Neue absorbiert und nur echte Konflikte eine staatsspezifische Ausnahme benötigen.

Die zweite Strategie, häufiger bei kleineren Unternehmen ohne internen Datenschutzjuristen, ist reaktiv und enger gefasst: volle Compliance nur dort, wo die Anwendungsschwelle eindeutig greift — Delaware, Montana, Nevada und eine Handvoll größerer Staaten —, und der Rest wird als Beobachtungsliste behandelt, zu der man zurückkehrt, falls die Durchsetzungsaktivität eines bestimmten Staates zunimmt. Das funktioniert, bis es nicht mehr funktioniert; ein Unternehmen, das sich bei einem Schwellenwert verschätzt hat oder ein neues Inkrafttretungsdatum im Kalender übersehen hat, erfährt das auf die harte Art, weil Generalstaatsanwälte der Bundesstaaten bewiesen haben, dass sie in Fällen vorgehen, die eine Bundesbehörde nie priorisiert hätte.

Was man konkret dagegen tun kann

Wer 2026 die Compliance eines mehrstaatlichen SaaS-Produkts verwaltet, hat eine Pflichtliste, die mittlerweile präzise genug ist, um sie in dieser Reihenfolge festzuhalten: bestätigen, welche der zwanzig Anwendungsschwellen das eigene Unternehmen tatsächlich überschreitet, statt anzunehmen, die Größe allein befreie davon; GPC-Signalerkennung auf Browserebene implementieren, nicht nur ein Cookie-Banner, da rund die Hälfte der Staaten dies inzwischen gesetzlich vorschreibt; separate Risikobewertungsdokumentation für Colorado und Kalifornien führen statt einer gemeinsamen Vorlage; und die spezifischen Inkrafttretungsdaten für jede Praxis mit präzisen Geolokalisierungsdaten gegenüber Virginia, Connecticut und Maryland einzeln im Kalender vermerken, denn „wir sind CCPA-konform" sagt nichts darüber aus, ob man die anderen neunzehn Gesetze einhält, geschweige denn die drei, die Standortdaten als Sonderfall behandeln. Der Flickenteppich wird nicht verschwinden — Oklahoma und Alabama kommen 2027 hinzu —, und jedes Jahr der Untätigkeit macht das irgendwann nötige Vereinheitlichungsprojekt größer, nicht kleiner.