Der US-Datenschutz entwickelt sich weiter: Als 23. US-Bundesstaat hat Vermont am 16. Juni 2026 ein umfassendes Datenschutzgesetz verabschiedet. Das Vermont Data Privacy and Online Surveillance Act (VDPOSA) wird zum 1. Januar 2028 in Kraft treten.
Flickenteppich des US-Datenschutzes
Der Datenschutz in den Vereinigten Staaten bleibt uneinheitlich. Zwar weist das Datenschutzgesetz aus Vermont viele Parallelen zu bereits bestehenden Datenschutzgesetzen anderer US-Bundesstaaten auf. Von einem einheitlichen Datenschutzrecht in den USA kann aber weiterhin nicht gesprochen werden. Die Bundesstaaten entwickeln eigene Regelungsmodelle, die vor allem Verbraucher schützen sollen.
Eine besondere Vorreiterrolle nimmt weiterhin Kalifornien mit dem California Consumer Privacy Act ein. Kalifornien prägt in den USA nicht nur den Datenschutz, sondern zunehmend auch die KI-Regulierung. Mehr dazu lesen Sie in unserem Beitrag vom 27. Juli 2026. Neben Kalifornien zählt nun auch Vermont zu den Bundesstaaten, die strengere Datenschutzvorgaben verfolgen.
Keypoints des Vermont Data Privacy and Online Surveillance Act
Der VDPOSA orientiert sich grundsätzlich am Datenschutzmodell des Bundesstaates Connecticut. An mehreren Stellen geht das Gesetz jedoch darüber hinaus. Besonders relevant sind der weite Anwendungsbereich, der Schutz sensibler Daten, umfangreiche Verbraucherrechte und klare Vorgaben zur Datenminimierung.
Anwendungsbereich
Das Gesetz gilt für Unternehmen, die personenbezogene Daten von mindestens 35.000 in Vermont ansässigen Verbrauchern innerhalb eines Kalenderjahres verarbeiten. Bereits die Verarbeitung „sensibler“ Daten oder der weit verstandene Verkauf personenbezogener Daten von 3.000 Verbraucherinnen und Verbrauchern kann dabei ausreichen. Darunter könnten beispielsweise Gesundheits- oder Fitness-Apps fallen, die Daten zur körperlichen oder mentalen Gesundheit verarbeiten. Auch datengetriebene Marketingmaßnahmen könnten erfasst sein, wenn zum Beispiel Kundendaten oder Angaben über das Nutzungsverhalten gegen Geld oder einen anderen wirtschaftlichen Vorteil an Werbepartner oder kommerzielle Datenanbieter weitergegeben werden. Damit kann der Anwendungsbereich auch kleinere, aber datenintensive Geschäftsmodelle erfassen.
Sensitive Data
Auffällig ist die breite Definition der „sensitive data“. Übersetzt ins Deutsche wären es „sensible Daten“, was jedoch nicht der technischen Begrifflichkeit der DSGVO entspricht. Erfasst werden dabei aber ebenfalls Daten, die unter die besondere Kategorie des Art. 9 DSGVO fallen. Im VDPOSA werden daneben auch neuronale Daten als sensible Daten erfasst. Vermont gehört damit zu den wenigen US-Bundesstaaten, die Daten aus Neurotechnologien ausdrücklich gesetzlich berücksichtigen. Daneben enthält das Gesetz besondere Vorgaben für sogenannte Consumer Health Data.
Betroffenenrechte
Verbraucher erhalten verschiedene Rechte. Dazu gehören Auskunft, Berichtigung, Löschung, Datenübertragbarkeit sowie Widerspruchsrechte gegen den Verkauf personenbezogener Daten, personalisierte Werbung und bestimmte Profiling-Maßnahmen. Unternehmen müssen außerdem Datenschutzhinweise bereitstellen und Datenschutzfolgeabschätzungen für risikobehaftete Verarbeitungsvorgänge durchführen.
Zudem besteht noch das Recht, eine Liste der Dritten zu verlangen, an die personenbezogene Daten verkauft wurden. Der Begriff des Verkaufs ist weit gefasst und umfasst grundsätzlich jede entgeltliche Übermittlung personenbezogener Daten an Dritte. Kommerzielle Datenanbieter, sogenannte Databroker, werden in dem Zusammenhang nicht innerhalb des VDPOSA, sondern gesondert in einem eigenen Gesetz, Act 138, geregelt. Unternehmen müssen außerdem Universal Opt-Out Mechanisms anerkennen, über die Verbraucher browserbasiert dem Datenverkauf oder personalisierter Werbung widersprechen können.
Datenminimierung
Auch der Grundsatz der Datenminimierung ist im Gesetz verankert. Unternehmen dürfen personenbezogene Daten nur erheben, soweit dies für die mitgeteilten Zwecke vernünftigerweise erforderlich und verhältnismäßig ist. Für wesentliche neue Zwecke, die nicht erforderlich oder nicht mit den ursprünglichen Zwecken vereinbar sind, muss eine Einwilligung der Verbraucher eingeholt werden.
Strenger Verbraucherdatenschutz
Das neue Datenschutzgesetz in Vermont zählt zu den strengeren Datenschutzgesetzen außerhalb Kaliforniens. Es richtet sich, wie viele US-Datenschutzgesetze auf Ebene der Bundesstaaten, vor allem auf den Schutz von Verbrauchern. Anders als die DSGVO spricht das Gesetz daher nicht allgemein von betroffenen natürlichen Personen, sondern knüpft an den Verbraucherbegriff an.
Darin liegt ein zentraler Unterschied zur DSGVO. Auch bei Datenschutzfolgeabschätzungen steht nicht allgemein das Risiko für Rechte und Freiheiten betroffener Personen im Mittelpunkt, sondern das Risiko für Verbraucher.
Für Unternehmen außerhalb Vermonts kann das Gesetz dennoch relevant werden. Entscheidend ist nicht allein der Unternehmenssitz. Verarbeitet ein Unternehmen personenbezogene Daten von in Vermont ansässigen Verbrauchern im Umfang des gesetzlichen Anwendungsbereichs, kann der VDPOSA auch für dieses Unternehmen gelten. Unternehmen mit Bezug zum US-Markt sollten daher genau prüfen, welche bundesstaatlichen Datenschutzgesetze für sie gelten und welche Pflichten sich daraus ergeben.
Fazit
Mit dem Vermont Data Privacy and Online Surveillance Act entwickelt sich der Datenschutz in den Vereinigten Staaten weiter in Richtung strengerer Verbraucherschutzregeln. Das Gesetz zeigt zugleich, dass der US-Datenschutz weiterhin ein Flickenteppich bleibt, weil die Bundesstaaten eigene Modelle mit unterschiedlichen Anforderungen schaffen.
In unserem Beitrag vom 14. Juli 2026 erhalten Sie außerdem weitere Informationen dazu, wie sich die Schwächung der politischen Unabhängigkeit der Federal Trade Commission auf den EU-US-Datentransfer auswirken könnte.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
