B2B-Besuchererkennung für Unternehmen in New Jersey

Der NJDPA regelt personenbezogene Daten, die einem New-Jersey-Verbraucher im individuellen oder häuslichen Kontext zugeordnet sind, mit Schwellen für Verantwortliche, die jährlich Daten von 100.000 oder mehr New-Jersey-Verbrauchern verarbeiten oder von 25.000 oder mehr, wenn dabei personenbezogene Daten verkauft oder für zielgerichtete Werbung genutzt werden — ohne prozentuale Umsatzschwelle, anders als in Virginia oder Connecticut. lead.box löst die besuchende Firma aus netzwerkbezogenen Signalen wie IP-Adressbereichen auf und liefert Firmenname, Branche und Größenklasse, statt eine namentlich bekannte Person, ein Cookie oder ein Werbeprofil zu identifizieren. Da dieses Ergebnis keiner identifizierten oder identifizierbaren Person zugeordnet ist, liegt es außerhalb der Kategorie, für die die Verbraucherrechte des NJDPA geschaffen wurden. Diese Einschätzung gegen Ihre eigenen Datenflüsse zu prüfen, bleibt Ihre Aufgabe als Verantwortlicher; lead.box liefert unterstützende Dokumentation, ersetzt aber keine Rechtsberatung.

Nein, und das ist einer der deutlichsten Unterschiede zwischen New Jersey und Kalifornien. Der NJDPA definiert „Verbraucher“ als New-Jersey-Einwohner, der ausschließlich individuell oder häuslich handelt, und schließt Personen im geschäftlichen oder arbeitsbezogenen Kontext ausdrücklich aus — eine geschäftliche E-Mail-Adresse aus einem Demo-Formular oder die Visitenkarte eines Einkäufers fällt daher meist nicht unter die Verbraucherrechte des Gesetzes. Kalifornien ist den entgegengesetzten Weg gegangen: Die befristeten B2B- und Beschäftigungsausnahmen unter CCPA/CPRA liefen am 1. Januar 2023 aus, sodass vergleichbare geschäftliche Kontaktdaten dort inzwischen vollständig erfasst sind. Ein bundesweit tätiges Vertriebsteam mit denselben Lead-Formularen in beiden Bundesstaaten sollte diesen Unterschied im Blick behalten, statt eine Datenschutzerklärung für alle Bundesstaaten gleichermaßen anzuwenden.

Der NJDPA baut auf personenbezogenen Daten auf, die einer identifizierten oder identifizierbaren natürlichen Person zugeordnet sind — Name, Geräteidentifikatoren, genaue Standortdaten und Ähnliches — sowie auf einem definierten „Verbraucher“, der in privater, nicht geschäftlicher Eigenschaft handelt. lead.box setzt eine Ebene höher an: Es ordnet netzwerkbezogene Signale eines Website-Besuchs der besuchenden Organisation zu und liefert Firmenname, Branche und Größenklasse, ohne eine namentlich bekannte Person aufzulösen, zu speichern oder zu exportieren. Das ist eine kategorisch andere Tätigkeit als die Identifikation einer Person — unabhängig davon, ob die besuchende Person privat oder geschäftlich handelt oder ob die B2B-Ausnahme des NJDPA auf sie individuell zutreffen würde. Diese Unterscheidung „welche Firma“ statt „welche Person“ ist der klarste Weg, das Tool gegenüber einer Rechtsprüfung nach New-Jersey-Recht zu erklären.

Die Definition sensibler Daten im NJDPA ist breiter als in mehreren vergleichbaren Bundesstaatengesetzen: Neben ethnischer Herkunft, religiösen Überzeugungen, Gesundheitsdaten, sexueller Orientierung, Staatsbürgerschafts- oder Aufenthaltsstatus und genauen Standortdaten nennt sie ausdrücklich Finanzinformationen — Kontonummer, Login-Zugangsdaten oder eine Kredit- bzw. Debitkartennummer mit erforderlichem Zugangscode — sowie den transgender oder nicht-binären Status, jeweils mit Einwilligungspflicht vor der Verarbeitung. lead.box erhebt keine Finanzkontodaten, Login-Zugangsdaten, Gesundheitsdaten oder andere vom NJDPA genannte sensible Kategorien; die Auflösung erfolgt anhand netzwerkbezogener Identifikatoren zur Bestimmung der besuchenden Organisation. Sensible Daten, die Ihre eigene Website an anderer Stelle erhebt — über Checkout-Prozesse, Kundenkonten oder Kontaktformulare —, unterliegen dieser verschärften Einwilligungspflicht unabhängig von jedem Tool zur Besuchererkennung und sollten separat geprüft werden.

In einem bestimmten Punkt ja. Virginias VCDPA und Connecticuts CTDPA koppeln ihre niedrigere Schwelle von 25.000 Verbrauchern jeweils an die Voraussetzung, dass der Verantwortliche mehr als 50 % des Bruttoumsatzes aus dem Verkauf personenbezogener Daten erzielt, was diese untere Stufe eng auf datenhändlerartige Geschäftsmodelle begrenzt. Der NJDPA verzichtet vollständig auf diese Umsatzbedingung: Jeder Verantwortliche, der Daten von 25.000 oder mehr New-Jersey-Verbrauchern verarbeitet und dabei verkauft oder für zielgerichtete Werbung nutzt, kann erfasst sein — unabhängig davon, wie klein der Anteil dieser Tätigkeit am Gesamtumsatz ist. Für ein Marketingteam, das mit New-Jersey-Besucherdaten Werbekampagnen fährt, kann der NJDPA damit bereits bei deutlich kleinerer Unternehmensgröße greifen als seine Nachbargesetze — ein Punkt, den man gezielt mit der Rechtsabteilung klären sollte.

Die Durchsetzung liegt ausschließlich beim New Jersey Attorney General über die Division of Consumer Affairs; der NJDPA sieht kein privates Klagerecht vor, sodass einzelne Verbraucher nicht direkt auf Grundlage des Gesetzes klagen können. In den ersten 18 Monaten nach Inkrafttreten am 15. Januar 2025 musste die Behörde vor einer Durchsetzungsmaßnahme eine 30-tägige Nachbesserungsfrist in Erwägung ziehen; diese verpflichtende Prüfung entfällt nach Ablauf der 18 Monate, danach liegt eine Nachbesserungsmöglichkeit im vollen Ermessen der Behörde. Die Division verfügt zudem über Verordnungskompetenz, sodass Unternehmen mit New-Jersey-Bezug mit ausführenden Regelungen rechnen sollten, die Definitionen, Einwilligungsmechanismen oder Dokumentationsanforderungen über den reinen Gesetzestext hinaus konkretisieren.

Ja — der NJDPA verpflichtet Verantwortliche, ein Opt-out-Präferenzsignal, etwa einen browser- oder geräteseitigen Universal-Opt-out-Mechanismus, für die Ausübung des Rechts auf Opt-out bei zielgerichteter Werbung, Verkauf personenbezogener Daten oder bestimmtem Profiling anzuerkennen; diese Pflicht griff sechs Monate nach Inkrafttreten des Gesetzes am 15. Januar 2025. Sie richtet sich an verbraucherbezogenes Tracking für Werbung oder Datenverkauf. lead.box verkauft keine personenbezogenen Daten, nutzt Besucherdaten nicht für zielgerichtete Werbung und erstellt kein dauerhaftes personenbezogenes Profil — es liegt damit außerhalb der Datenflüsse, die Universal-Opt-out-Signale unterbrechen sollen. Ihr übriges Analyse- und Werbe-Setup sollten Sie unabhängig davon separat auf die Einhaltung solcher Signale prüfen.

Unternehmen in New Jerseys Pharma-, Life-Sciences- und Logistikbranche betreiben in der Regel eine strengere Lieferanten-Due-Diligence als der Durchschnitt, weil die regulatorische Prüfung ihres Kerngeschäfts das ohnehin verlangt — dieselbe Sorgfalt sollte sinnvollerweise auch einem Tool zur Besuchererkennung gelten. Sinnvolle Fragen sind: Welche konkreten Datenpunkte werden aus einem Besuch erhoben, wird etwas verkauft oder für Werbung geteilt, liegt ein Auftragsverarbeitungsvertrag mit Unterauftragnehmerliste vor, und wo findet die Verarbeitung statt. lead.box löst besuchende Organisationen statt namentlich bekannter Personen auf, verkauft oder teilt keine personenbezogenen Daten, verarbeitet in ISO-zertifizierten EU-Rechenzentren und stellt auf Anfrage einen Standard-Auftragsverarbeitungsvertrag bereit. Wie das konkret zu Ihren NJDPA-Pflichten passt, insbesondere wenn Sie an anderer Stelle sensible Daten wie Finanz- oder Gesundheitsinformationen erheben, sollte weiterhin Ihre eigene Rechtsberatung klären.