B2B-Besuchererkennung für Websites mit Bezug zu Oregon

Der OCPA definiert eine „Verbraucherin“ als Einwohnerin Oregons, die ausschließlich im individuellen oder Haushaltskontext handelt, und schließt eine Person, die geschäftlich oder im Rahmen eines Beschäftigungsverhältnisses handelt, ausdrücklich aus — etwa als Angestellte, Inhaber, Geschäftsführer, Vorstandsmitglied oder Auftragnehmer, der im Namen eines Unternehmens kommuniziert. Rein geschäftliche B2B-Daten, etwa eine dienstliche E-Mail-Adresse mit Bezug zu einer Funktion, liegen damit grundsätzlich außerhalb der Verbraucherrechte des OCPA. Dieser strukturelle Ansatz gilt für die meisten US-Datenschutzgesetze außerhalb Kaliforniens und unterscheidet sich deutlich von Kalifornien, wo die zeitlich befristeten B2B- und Beschäftigten-Ausnahmen von CCPA/CPRA am 1. Januar 2023 ausliefen und geschäftliche Kontaktdaten dort inzwischen erfasst sind. Ob ein bestimmtes Datenelement Ihrer Website unter die Oregon-B2B-Ausnahme fällt, sollte Ihre eigene Rechtsberatung anhand des aktuellen Gesetzestexts bewerten.

Der OCPA definiert personenbezogene Daten ungewöhnlich weit als Daten, die mit einer Verbraucherin oder mit einem Gerät verknüpft sind oder vernünftigerweise verknüpft werden können — weiter gefasst als Gesetze, die strikt an eine identifizierte natürliche Person anknüpfen. lead.box leitet aus netzwerkbezogenen Signalen — vor allem Firmen zugeordneten IP-Bereichen — einen Firmennamen, eine Branche und eine Größenklasse ab, ohne eine namentlich bekannte Person zu identifizieren, ohne Werbe-IDs zu setzen und ohne ein seitenübergreifendes Profil einer Person aufzubauen. Ob diese konkrete Aktivität innerhalb oder außerhalb der weiten OCPA-Definition personenbezogener Daten und innerhalb oder außerhalb der Verbraucherdefinition im Individualkontext liegt, hängt davon ab, was Ihre konkrete Einbindung speichert und wie sie konfiguriert ist — eine Rechtsfrage für Ihre eigene Beratung, keine Zertifizierung, die lead.box aussprechen kann.

Der OCPA gibt Oregon-Verbrauchern das Recht, auf Anfrage eine Liste der konkreten Dritten zu erhalten, an die ein Verantwortlicher ihre personenbezogenen Daten offengelegt hat — ein weitreichenderes Auskunftsrecht als bei den meisten vergleichbaren Landesgesetzen, die üblicherweise nur eine Beschreibung von Empfängerkategorien verlangen. Diese Pflicht gilt für Verantwortliche, die erfasste personenbezogene Daten von Verbrauchern verarbeiten, und ist ein Grund, warum Käufer in Oregon bei der Beschaffung häufig eine präzise, benannte Subprozessorenliste statt einer vagen Kategoriebeschreibung verlangen. lead.box veröffentlicht seine Subprozessorenliste und kann die eigene Beantwortung einer solchen Anfrage unterstützen; ob die Nutzung von lead.box auf einer bestimmten Website die Pflicht überhaupt auslöst, hängt davon ab, ob die zugrunde liegenden Daten erfasste personenbezogene Daten im Sinne des OCPA sind — auch das eine Frage für Ihre Rechtsberatung.

Der OCPA gilt für Verantwortliche, die in Oregon Geschäfte betreiben oder Einwohner Oregons gezielt ansprechen und die im Kalenderjahr personenbezogene Daten von 100.000 oder mehr Oregon-Verbrauchern kontrollieren oder verarbeiten — Daten, die ausschließlich zur Zahlungsabwicklung verarbeitet werden, zählen nicht mit — oder von 25.000 oder mehr Verbrauchern, sofern zugleich 25 % oder mehr des Jahresumsatzes aus dem Verkauf personenbezogener Daten stammen. Einen eigenständigen, rein umsatzbasierten Schwellenwert unabhängig von diesen Verbraucherzahlen gibt es nicht, sodass eine kleine Website mit überschaubarem Oregon-Traffic und ohne Umsatz aus Datenverkauf unter beiden Schwellen bleiben kann, unabhängig von der Unternehmensgröße insgesamt. Die korrekte Zählung — auch ob Besuchererkennungsdaten angesichts der B2B-Ausnahme überhaupt mitzählen — ist eine Tatsachenfrage, die Ihre Rechtsberatung klären sollte, bevor Sie sich auf eine Einordnung verlassen.

Ab dem 1. Januar 2026 verpflichtet der OCPA Verantwortliche, ein Universal-Opt-out-Signal — gesendet über Browser, Erweiterung oder Gerät einer Verbraucherin — als gültige Ausübung bestimmter Verbraucherrechte anzuerkennen, ähnlich wie Signale, die auch in anderen Bundesstaaten genutzt werden. Diese Pflicht richtet sich an verbraucherbezogene Datennutzungen im Sinne des Gesetzes, etwa zielgerichtete Werbung oder den Verkauf personenbezogener Daten von Individuen in ihrer persönlichen Rolle; das ist eine andere Frage als die Erkennung eines geschäftlichen Besuchers auf Firmenebene, die keine Einzelperson anvisiert und keine Werbe-IDs nutzt. Käufer in Oregon fragen schon jetzt vor 2026, wie Anbieter mit Universal-Opt-out-Signalen umgehen, und eine dokumentierte, aktuelle Antwort lohnt sich auch dann, wenn die eigene Rechtsprüfung zu dem Schluss kommt, dass die zugrunde liegende Aktivität außerhalb des OCPA-Verbraucherbereichs liegt.

Die Durchsetzungsbefugnis für den OCPA liegt ausschließlich beim Oregon Department of Justice über den Attorney General; das Gesetz gewährt einzelnen Oregon-Verbrauchern kein individuelles Klagerecht. Verantwortliche profitieren derzeit von einer 30-tägigen Nachbesserungsfrist, innerhalb derer der Attorney General einen vermuteten Verstoß mitteilen und Gelegenheit zur Korrektur geben muss, bevor weiter vorgegangen wird — diese Frist entfällt jedoch zum 1. Januar 2026, danach kann der Attorney General ohne diese verpflichtende Vorwarnung handeln. Diese näher rückende Frist ist ein guter Anlass, Dokumentation und Anbieterprüfung frühzeitig statt in letzter Minute zu ordnen; welche konkreten Schritte für Ihr Unternehmen nötig sind, hängt von Ihrer eigenen Datenverarbeitung ab und sollte mit Ihrer Rechtsberatung abgestimmt werden.

Oregons OCPA schließt eine Person, die geschäftlich oder im Beschäftigungskontext handelt, aus der Definition einer geschützten Verbraucherin aus, sodass rein geschäftliche B2B-Kontaktdaten eines Oregon-Unternehmens weitgehend außerhalb der individuellen Rechte-Mechanik des Gesetzes liegen. Kalifornien zieht diese Grenze ganz anders: Die zeitlich befristeten B2B- und Beschäftigten-Ausnahmen von CCPA/CPRA liefen am 1. Januar 2023 aus, sodass Kaliforniens Gesetz geschäftliche Kontaktdaten inzwischen in einem Umfang erfasst, den Oregon nicht kennt. Ein Unternehmen mit Sitz in Portland, das bundesweit verkauft, muss beide Rahmenwerke separat für die eigene Compliance im Blick behalten — enger gefasste B2B-Behandlung zu Hause, breitere Erfassung für kalifornische Besucher und Kunden —, statt anzunehmen, eine Landesregel gelte überall, wo die eigene Website aufgerufen wird. Genau solche Unterschiede von Bundesstaat zu Bundesstaat sind der Grund, warum eine gesetzesspezifische Rechtsprüfung mehr zählt als eine einzige pauschale Richtlinie.

Ja, denn die OCPA-Anwendbarkeit ist nur ein Teil einer üblichen Anbieterprüfung, und es lohnt sich, beide Fragen getrennt zu behandeln, statt anzunehmen, eine günstige OCPA-Einschätzung erledige die Prüfung insgesamt. lead.box identifiziert die besuchende Organisation, nicht eine namentlich bekannte Person, verarbeitet Daten als Auftragsverarbeiter auf Basis eines schriftlichen Vertrags, hält die Verarbeitung in ISO-zertifizierten EU-Rechenzentren und veröffentlicht seine Subprozessorenliste genau für eine solche Prüfung. Nichts davon stellt eine Rechtsberatung oder eine Compliance-Zertifizierung dar, und es ersetzt nicht die Bestätigung durch Ihre eigene Rechtsberatung, wie die OCPA-Verbraucherdefinition, der Anwendungsbereich für personenbezogene Daten und die kommende Universal-Opt-out-Pflicht auf Ihre konkrete Website und Datenflüsse zutreffen. Diese Seite ist Hintergrundinformation für diese Prüfung — kein Ersatz dafür.