B2B-Besuchererkennung nach dem Datenschutzgesetz von Montana

Ja, das ist das prägende Merkmal dieses Gesetzes. Der MCDPA gilt für Unternehmen, die personenbezogene Daten von 50.000 oder mehr Verbrauchern aus Montana kontrollieren oder verarbeiten — ausgenommen Daten, die ausschließlich zur Zahlungsabwicklung dienen —, oder von 25.000 oder mehr Verbrauchern, sofern über 25 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten stammen. Die meisten vergleichbaren Landesgesetze setzen die Grenze bei 100.000 Verbrauchern oder höher an, sodass Montana deutlich kleinere Unternehmen erfasst, darunter viele ohne Büro oder Mitarbeitende im Bundesstaat. Ein Unternehmen, das für Kalifornien oder Texas außerhalb des Anwendungsbereichs liegt, sollte daraus nicht automatisch dasselbe für Montana schließen; die Berechnung muss für jeden Bundesstaat separat erfolgen. Dies ist eine sachliche Einordnungshilfe, keine Rechtsberatung; bei knappen Schwellenwerten sollte anwaltlicher Rat die tatsächlichen Datenmengen prüfen, bevor man von Nichtbetroffenheit ausgeht.

In der Regel nicht. Der MCDPA definiert einen erfassten Verbraucher als eine in Montana ansässige Person, die ausschließlich im individuellen oder Haushaltskontext handelt, und schließt Personen im geschäftlichen oder beschäftigungsbezogenen Kontext ausdrücklich aus. Eine dienstliche E-Mail-Adresse, eine Jobbezeichnung oder eine Geschäftstelefonnummer aus einer Vertriebs-, Lieferanten- oder Partnerschaftsbeziehung fällt damit typischerweise nicht unter die Betroffenenrechte des Gesetzes, obwohl dieselben Informationen üblicherweise als personenbezogene Daten gelten würden. Das unterscheidet sich von Kalifornien, wo die befristeten B2B- und Beschäftigten-Ausnahmen von CCPA/CPRA am 1. Januar 2023 ausliefen und geschäftliche Kontaktdaten dort seither erfasst sind. Da solche Ausnahmen von den konkreten Umständen der Datenerhebung und -nutzung abhängen, sollte ein Unternehmen, das sich für einen bestimmten Datensatz auf die B2B-Ausnahme beruft, dies mit eigener Rechtsberatung absichern, statt automatisch von einer Anwendbarkeit auf jeden geschäftlichen Kontaktdatensatz auszugehen.

lead.box löst die Organisation hinter einem Website-Besuch auf — Firmenname, Branche und ungefähre Größe — anhand netzwerkbezogener Signale, ohne eine namentlich benannte Person zu identifizieren, ohne Cookies und ohne ein Profil aufzubauen, das eine Person über verschiedene, nicht zusammenhängende Websites verfolgt. Die Rechte und Pflichten des MCDPA knüpfen an personenbezogene Daten an, die einer identifizierten oder identifizierbaren Person aus Montana im individuellen oder Haushaltskontext zuzuordnen sind — ein anderes Sachverhaltsmuster als die Auflösung, aus welcher Organisation ein Besuch stammt. Ob ein bestimmter Datenfluss auf Ihrer Website unabhängig von einem Erkennungstool personenbezogene, vom MCDPA erfasste Daten betrifft, ist eine Frage zu Ihren eigenen, umfassenderen Datenpraktiken. lead.box handelt als Auftragsverarbeiter im Rahmen einer Datenverarbeitungsvereinbarung für die von ihm verarbeiteten Daten und überlässt die Einordnung, ob der MCDPA für Ihr Unternehmen gilt, dem Verantwortlichen mit Unterstützung eigener Rechtsberatung.

Die Durchsetzungsbefugnis liegt ausschließlich beim Attorney General von Montana nach dem Montana Unfair Trade Practices Act; ein privates Klagerecht existiert nicht, sodass einzelne Verbraucher aus Montana ein Unternehmen nicht direkt wegen eines vermeintlichen MCDPA-Verstoßes verklagen können. Eine 60-tägige Cure-Frist gab Unternehmen zunächst die Möglichkeit, einen festgestellten Verstoß zu beheben, bevor der Attorney General formelle Maßnahmen ergriff — diese Frist lief jedoch am 1. April 2026 aus, sodass der Attorney General seither ohne diese vorherige Nachbesserungsmöglichkeit vorgehen kann. Für ein Unternehmen, das seine Risikoexposition bewertet, verschiebt sich der praktische Anreiz dadurch hin zu einer von Anfang an korrekten Einordnung, Offenlegung und Vertragsdokumentation, statt darauf zu vertrauen, einen Verstoß nachträglich beheben zu können. Nichts davon stellt Rechtsberatung dar; bei echter Unsicherheit über MCDPA-Pflichten sollte eigene Rechtsberatung hinzugezogen werden.

Seit dem 1. Januar 2025 verlangt der MCDPA, dass Controller universelle Opt-out-Mechanismen anerkennen — Browser-Erweiterungen, Geräteeinstellungen oder andere technische Signale, die den Wunsch eines Verbrauchers übermitteln, der Verarbeitung seiner personenbezogenen Daten für gezielte Werbung oder Verkauf zu widersprechen, ohne dass eine separate Anfrage bei jeder einzelnen Website nötig wäre. Das gilt für personenbezogene Daten im Anwendungsbereich des MCDPA, also für Daten, die einem individuellen oder Haushaltsverbraucher im Sinne des Gesetzes zuzuordnen sind. Für die Erkennung auf Firmenebene ändert das für sich genommen nichts, da diese Aktivität eine Organisation auflöst statt personenbezogene Daten eines einzelnen Verbrauchers für Werbe- oder Verkaufszwecke im Sinne des Opt-out-Mechanismus zu verarbeiten. Ob Ihr übriges Werbe- und Analyse-Toolset diese Signale beachten muss, ist eine separate operative Frage, die Ihr Team gemeinsam mit Rechtsberatung klären sollte, gerade weil neben einem Erkennungstool meist weitere Tools auf einer typischen Marketing-Website laufen.

Ja, potenziell, und das ist einer der kontraintuitiveren Aspekte des Montana-Gesetzes. Der MCDPA gilt danach, wie viele personenbezogene Daten von Verbrauchern aus Montana ein Unternehmen kontrolliert oder verarbeitet, nicht danach, wo das Unternehmen selbst seinen Sitz oder seine Gründung hat. Da die Anwendungsschwellen die niedrigsten aller Bundesstaaten sind — 50.000 Verbraucher oder 25.000 bei starker Abhängigkeit vom Verkauf personenbezogener Daten —, kann ein außerhalb Montanas ansässiges Unternehmen mit einer überschaubaren, aber realen Basis an Kunden, Abonnenten oder Website-Besuchern aus Montana diese Grenze deutlich früher überschreiten, als es die Schwelle eines größeren Bundesstaats auslösen würde. Das überrascht manche Unternehmen, die aufgrund der höheren Zahlen Kaliforniens oder Virginias bereits von genereller Nichtbetroffenheit ausgegangen waren. Nur eine gesonderte, Montana-spezifische Berechnung mit anwaltlicher Unterstützung zeigt zuverlässig, wo ein Unternehmen tatsächlich steht.

Technologieunternehmen in Bozeman und Missoula sowie Montanas Energie- und Landwirtschaftssektoren haben tendenziell längere Beschaffungszyklen, als es die Größe des Bundesstaats vermuten lässt, insbesondere wenn die Rechtsprüfung bei einer außerhalb Montanas ansässigen Konzern-Rechtsabteilung liegt statt lokal. Wegen der niedrigen MCDPA-Schwellen fragen Prüfer oft gezielt, ob ein Anbieter selbst als erfasster Controller oder Processor gelten könnte, nicht nur, ob er den MCDPA im Auftrag des Käufers einhält. Zu den Standardanfragen zählen eine unterschriebene Datenverarbeitungsvereinbarung, eine aktuelle Sub-Processor-Liste und eine klare Beschreibung, welche Daten erhoben werden, ob personenbezogene Daten einer identifizierbaren Person betroffen sind und wo diese verarbeitet werden. Erkennung auf Firmenebene beantwortet diese Fragen meist sauber, da sie nicht die Art individueller personenbezogener Daten betrifft, um die es in den Verbraucherbestimmungen des MCDPA geht — die Dokumentation sollte dennoch bereitgestellt, nicht vorausgesetzt werden.

Die MCDPA-Definition von „sale“ stellt auf den Austausch personenbezogener Daten gegen Geld oder eine andere geldwerte Gegenleistung ab, bezogen auf Daten einer identifizierten oder identifizierbaren Person aus Montana im individuellen oder Haushaltskontext. lead.box übermittelt keine besucherbezogenen personenbezogenen Daten an Werbenetzwerke, tauscht keine Daten im Sinne dieser Definition gegen eine Gegenleistung und löst eine besuchende Organisation auf, nicht eine benannte Person — ein anderes Sachverhaltsmuster als die Datenflüsse, für die die Verkaufsregeln geschrieben wurden. Ob andere, für Montana relevante Datenflüsse Ihres Unternehmens die MCDPA-Definition von Verkauf erfüllen, ist eine separate Frage zu Ihren umfassenderen Geschäftspraktiken, unabhängig von der Besuchererkennung. Diese Antwort ist eine allgemeine Information, keine Compliance-Feststellung; bei echten Zweifeln, ob personenbezogene Daten nach Montana-Recht verkauft werden, sollte die konkrete Konstellation von eigener Rechtsberatung geprüft werden.