B2B-Besuchererkennung unter Connecticuts CTDPA

In der Regel nein. Der CTDPA definiert einen „Consumer“ als Einwohner Connecticuts, der ausschließlich in individuellem oder häuslichem Kontext handelt, und schließt Personen, die in geschäftlichem oder beschäftigungsbezogenem Kontext handeln, wie Angestellte oder Beauftragte eines Unternehmens, ausdrücklich aus. Eine geschäftliche E-Mail-Adresse aus einem Vertriebsgespräch oder Name und Titel eines Einkaufskontakts fallen typischerweise gar nicht erst unter diese Definition — anders als in Kalifornien, wo die B2B- und Mitarbeiter-Ausnahmen von CCPA/CPRA am 1. Januar 2023 ausliefen und dieselbe Datenkategorie vollständig einbezogen wurde. Ob ein konkreter Datensatz darunterfällt, hängt weiterhin davon ab, wie er erhoben und genutzt wird; es handelt sich also nicht um eine pauschale Ausnahme für jeden Eintrag in Ihrem CRM. lead.box trifft diese Einschätzung nicht für Sie — qualifizierte, mit dem CTDPA vertraute Rechtsberatung sollte das für Ihre eigenen Datenpraktiken bestätigen.

Der Attorney General von Connecticut setzt den CTDPA ausschließlich durch; ein individuelles Klagerecht für Verbraucher besteht nicht. In den ersten eineinhalb Jahren hatten Verstöße Anspruch auf eine verpflichtende 60-Tage-Frist zur Nachbesserung, bevor eine Durchsetzungsmaßnahme erfolgen konnte — dieses Recht lief jedoch am 31. Dezember 2024 aus. Seither liegt es vollständig im Ermessen des Attorney General, ob überhaupt eine Nachbesserungsmöglichkeit gewährt wird, was ein erstes Schreiben heute deutlich folgenreicher macht als in der Anfangszeit des Gesetzes. Für Unternehmen, die Verbraucherdaten aus Connecticut in relevantem Umfang verarbeiten, ist das ein guter Grund, Hinweis- und Offenlegungspraktiken proaktiv zu schärfen, statt automatisch von einer Kulanzfrist auszugehen.

Der CTDPA gilt für Unternehmen, die personenbezogene Daten von 100.000 oder mehr Verbrauchern aus Connecticut pro Jahr kontrollieren oder verarbeiten — ausgenommen Daten ausschließlich zur Zahlungsabwicklung —, oder von 25.000 oder mehr Verbrauchern, wenn zugleich über 25 Prozent des Bruttoumsatzes aus dem Verkauf personenbezogener Daten stammen. Viele mittelständische B2B-Unternehmen erreichen über ihr verbraucherseitiges Geschäft keinen der beiden Werte, und die Besuchererkennung durch lead.box fügt firmografische Signale über Organisationen hinzu, statt einen Consumer-Datensatz im Sinne des Gesetzes wachsen zu lassen. Ob die Schwellen insgesamt erreicht werden, hängt jedoch vom gesamten Datenfußabdruck über alle Produkte und Kanäle ab, nicht nur von einem einzelnen Tool — diese Prüfung muss Ihr Rechts- oder Compliance-Team anhand des vollständigen Connecticut-Datenbestands durchführen.

lead.box löst netzwerkbasierte Signale — vor allem IP-Adressbereiche, die Organisationen zugeordnet sind — zu Firmenname, Branche und Größenklasse auf, ohne eine namentlich bekannte Person zu identifizieren, ohne Cookies oder Geräte-Fingerprints zu Tracking-Zwecken zu setzen und ohne ein Profil aufzubauen, das eine Person über unabhängige Websites hinweg verfolgt. Für einen Treffer ist weder ein Formular noch eine E-Mail-Adresse oder ein Login erforderlich, und der erzeugte Datensatz verknüpft einen Besuch mit einer Organisation, nicht mit einer Person. Diese Fokussierung auf Firmenebene ist eine eigenständige Überlegung neben der Consumer-Definition des CTDPA und ihrer B2B-Ausnahme — selbst dort, wo die Ausnahme klar greift, hält das Design von lead.box die Erkennung von vornherein einen Schritt von personenbezogenen Daten entfernt.

Seit dem 1. Januar 2025 verlangt der CTDPA, dass Verantwortliche universelle Opt-out-Signale anerkennen — Mechanismen auf Browser- oder Geräteebene, mit denen ein Verbraucher einmalig eine Präferenz gegen zielgerichtete Werbung und den Verkauf personenbezogener Daten über alle besuchten Websites hinweg setzt. Diese Anforderung richtet sich an verbraucherseitiges Tracking für kontextübergreifende Werbung und Datenverkäufe — Kategorien, für die Besuchererkennung auf Firmenebene nicht ausgelegt ist, da lead.box keine seitenübergreifenden Werbeprofile aufbaut und keine personenbezogenen Daten verkauft. Betreibt Ihre Website in Connecticut jedoch andere Tools, die tatsächlich in diesen Anwendungsbereich fallen, muss Ihr eigenes Compliance-Programm diese Signale für genau diese Tools erkennen und beachten — diese Verantwortung liegt beim Websitebetreiber als Verantwortlichem und sollte gegen Ihren gesamten Tool-Stack geprüft werden.

Der CTDPA verlangt von Verantwortlichen, Datenschutz-Folgenabschätzungen für Verarbeitungen durchzuführen und zu dokumentieren, die ein erhöhtes Schadensrisiko für Verbraucher bergen, etwa zielgerichtete Werbung, den Verkauf personenbezogener Daten, Profiling mit bestimmten rechtlichen oder erheblichen Auswirkungen sowie die Verarbeitung besonders sensibler Daten. Besuchererkennung auf Firmenebene, die eine Organisation statt einer Person auflöst und weder Werbeprofile noch sensible Datenkategorien betrifft, unterscheidet sich in der Regel von den Tätigkeiten, auf die diese Pflicht zielt. Ob Ihre weiteren Verarbeitungstätigkeiten — einschließlich anderer Tools auf Ihrer Website — eine Folgenabschätzung erfordern, muss Ihr Datenschutzprogramm anhand des vollständigen Datenbestands beurteilen; diese Einschätzung sollte dokumentiert werden, auch wenn das Ergebnis lautet, dass ein bestimmtes Tool nicht darunterfällt.

Versicherer, Rückversicherer sowie Hersteller und Pharmazulieferer im Hartford–New-Haven-Korridor unterliegen oft regulatorischen Rahmenwerken weit über den CTDPA hinaus — bundesstaatliche Versicherungsvorschriften, HIPAA-nahe Pflichten oder vertragliche Sicherheitsanforderungen, die von ihren eigenen Großkunden weitergegeben werden —, und ihre Vendor-Fragebögen spiegeln diese breitere Risikohaltung wider, nicht eine enge Lesart eines einzelnen Landesgesetzes. Ein Anbieter sollte Fragen zu Datenflüssen, Aufbewahrung, Sub-Processoren und Sicherheitskontrollen als Teil der eigenen Richtlinie des Käufers erwarten, unabhängig davon, ob der CTDPA die konkrete Tätigkeit technisch erfasst. Eine vorbereitete schriftliche Auftragsverarbeitungsvereinbarung, eine veröffentlichte Sub-Processor-Liste und eine klare Beschreibung der erhobenen Daten beschleunigen solche Prüfungen unabhängig vom zugrunde liegenden gesetzlichen Auslöser.

Kein Tool kann als garantiert konform mit einem bundesstaatlichen Datenschutzgesetz bezeichnet werden, da Compliance davon abhängt, wie ein konkretes Unternehmen Daten über seinen gesamten Betrieb hinweg erhebt, kombiniert und nutzt — nicht vom Produktdesign eines einzelnen Anbieters. lead.box ist so gebaut, dass Organisationen statt Personen aufgelöst werden, es setzt keine Werbekennungen und verarbeitet Daten in ISO-zertifizierten EU-Rechenzentren unter einer schriftlichen Auftragsverarbeitungsvereinbarung — alles relevante Fakten für Ihre eigene CTDPA-Bewertung. Die Anwendungsschwellen, der Umfang der B2B- und Beschäftigungskontext-Ausnahme, der Ermessensspielraum bei der Nachbesserungsfrist sowie die Pflichten zu universellen Opt-out-Signalen und Folgenabschätzungen müssen jedoch anhand Ihrer konkreten Fakten von qualifizierter, mit dem Recht Connecticuts vertrauter Rechtsberatung geprüft werden — diese Seite ist informativ und keine Rechtsauskunft.