B2B-Datenschutz in den USA: Connecticut und Kalifornien

Für B2B-Vertriebs- und Marketingteams, die Geschäftskonten in den Vereinigten Staaten ansprechen, prallt die Datengewinnung zunehmend auf voneinander abweichende Datenschutzgesetze der einzelnen US-Bundesstaaten. Die juristische Unterscheidung zwischen geschäftlichen Kontakten und privaten Verbrauchern ist über bundesstaatliche Grenzen hinweg keineswegs mehr einheitlich geregelt. Während Connecticut eine ausdrückliche Ausnahme für die geschäftliche Kommunikation vorsieht, hat Kalifornien die Löschungsansprüche von Verbrauchern ausgeweitet, sodass sie nun auch Daten erfassen, die von Datenhändlern, Anreicherungsanbietern und Drittpartnern stammen.

Wer Outbound-Listen rechtssicher verwalten will, muss verstehen, wie sich die bundesstaatlichen Vorgaben bei der Definition personenbezogener Daten unterscheiden, wie sich die Löschpflichten auf angereicherte Interessentendaten auswirken und welche operativen Kontrollmechanismen Reibungsverluste bei der Compliance verhindern.

Die grundlegende Abweichung: Berufliche Rollen versus universeller Verbraucherstatus

Der gravierendste operative Unterschied zwischen dem Connecticut Data Privacy Act (CTPA) und dem California Consumer Privacy Act (CCPA) liegt darin, wie beide Gesetze Personen einstufen, die in einem professionellen Umfeld kontaktiert werden.

Connecticut hat bereits bei der Einführung seines Datenschutzrahmens durch den Public Act 22-15 im Jahr 2022 eine klare Grenze um geschäftliche Aktivitäten gezogen. Gemäß dem Gesetz von Connecticut schließt der Begriff des Verbrauchers Personen ausdrücklich aus, die in einem geschäftlichen oder arbeitsrechtlichen Kontext handeln, oder die als Angestellte, Inhaber, leitende Angestellte, Vorstandsmitglieder oder Auftragnehmer eines Unternehmens agieren, sofern ihre Kommunikation oder Transaktionen ausschließlich im Rahmen dieser beruflichen Rolle stattfinden. Durch den Connecticut Public Act 25-113, der das Gesetz novellierte und dessen maßgebliche Abschnitte am 1. Juli 2026 in Kraft traten, wurde der Anwendungsbereich erweitert, indem die generelle Eingriffsschwelle von zuvor einhunderttausend Verbrauchern auf 35.000 Verbraucher gesenkt wurde. Der grundlegende Ausschluss für Personen, die strikt in ihrer beruflichen Funktion agieren, blieb dabei jedoch unverändert bestehen.

Kalifornien verfolgt einen gänzlich anderen Ansatz. Der CCPA schützt Einwohner Kaliforniens pauschal als Verbraucher, ohne eine dauerhafte pauschale Ausnahmeregelung für die B2B-Kommunikation vorzusehen. Verarbeitet ein Unternehmen Informationen über eine kalifornische Fachkraft, behält diese Person ihre gesetzlichen Verbraucherrechte nach kalifornischem Recht, sobald die gesetzlichen Umsatz- oder Datensatzschwellen erreicht sind.

Für Teams im Bereich Revenue Operations bedeutet dieser strukturelle Unterschied, dass eine Ansprache eines Vertriebsleiters mit Sitz in Hartford nicht die regulären Verbraucherrechte des CTPA auslöst, solange der Austausch strikt auf dessen geschäftliche Funktion beschränkt bleibt. Die Kontaktaufnahme mit einer vergleichbaren Führungskraft in San Francisco erfordert hingegen die Einhaltung kalifornischer Schutzvorschriften, einschließlich verbindlicher Opt-out-Verfahren und der Erfüllung von Löschanfragen durch Verbraucher.

Kalifornien SB 923: Ausweitung der Löschungsrechte auf Drittdaten

Am 27. September 2026 unterzeichnete der kalifornische Gouverneur Gavin Newsom das Gesetz Senate Bill 923 (SB 923), bekannt als Expanding Privacy Rights Act. Das Gesetz ändert die Abschnitte 1798.105 und 1798.130 des California Civil Code mit Wirkung zum 1. Januar 2027.

Bislang verpflichtete Abschnitt 1798.105 des CCPA regulierte Unternehmen primär dazu, Löschanfragen für personenbezogene Daten nachzukommen, die direkt von den betroffenen Personen erhoben wurden. Outbound-Teams erwarben daher häufig Adresslisten von Drittanbietern, verifizierten geschäftliche E-Mail-Adressen über Datenaggregatoren oder reicherten CRM-Datensätze mit Mobilfunknummern an, während sie diese extern bezogenen Datenfelder als außerhalb der Reichweite von Verbraucherlöschanfragen ansahen.

Laut einer Analyse von Nixon Peabody hebt SB 923 diese Unterscheidung auf, indem die Löschpflicht auf Informationen ausgeweitet wird, die über eine Person oder von ihr erfasst wurden. Nach diesem Standard muss jedes betroffene Unternehmen, das eine verifizierbare Löschanfrage erhält, nicht nur direkte Formulareingaben oder Kontodaten bereinigen, sondern auch Informationen löschen, die von Datenbrokern erworben, im Zuge der Lead-Anreicherung hinzugefügt oder über Datenabgleiche abgeleitet wurden.

Eine regulatorische Analyse von TrustArc hebt hervor, dass dieser Wandel eine lückenlose Erfassung der Datenflüsse nachgelagerter Systeme verlangt. Macht ein Kontakt von seinem Löschungsrecht Gebrauch, reicht es für ein Unternehmen künftig nicht mehr aus, den Kontakt lediglich aus einer aktiven Kampagne zu entfernen, während angereicherte Drittdaten im Archiv verbleiben. Auch vorgelagerte Datenspeicher und ergänzte Attribute müssen systemübergreifend bereinigt werden.

Betriebliche Schutzmaßnahmen: Bereinigungslisten und Webformular-Vorgaben

Um der Praxis einer fortlaufenden Neukundenakquise gerecht zu werden, führt SB 923 eine spezifische gesetzliche Schutzvorkehrung ein. Wie aus der offiziellen Mitteilung von CalPrivacy hervorgeht, dürfen Unternehmen einen Nachweis über die Löschanfrage sowie die minimal erforderlichen Daten aufbewahren, um eine Bereinigungsliste (Suppression List) zu führen.

Ohne diese Regelung könnte eine Organisation einen angereicherten Kontakt löschen, einige Monate später einen frischen Datensatz erwerben und denselben Kontakt versehentlich wieder in eine Vertriebskampagne importieren. Durch das Führen eines minimalen Eintrags auf einer Sperrliste wird sichergestellt, dass gelöschte Kontakte auch beim Einspielen neuer externer Datenbestände gesperrt bleiben.

Gleichzeitig modifiziert SB 923 die Kanäle, über die Unternehmen Verbraucheranfragen entgegennehmen müssen. Ab dem 1. Januar 2027 können regulierte Unternehmen, die ausschließlich online agieren und eine direkte Beziehung zu Verbrauchern unterhalten, nicht mehr allein auf eine E-Mail-Adresse vertrauen. Sie müssen sowohl eine E-Mail-Adresse als auch ein Online-Verfahren bereitstellen, wie etwa ein interaktives Webformular oder ein Kundenportal, um Anfragen auf Auskunft, Berichtigung und Löschung personenbezogener Daten abzuwickeln.

Vergleich der gesetzlichen Rahmenbedingungen für die B2B-Kaltakquise

Die praktischen Unterschiede zwischen diesen beiden Regulierungsmodellen bestimmen, wie Vertriebsteams Zielgruppen aufbauen und ihre Pipeline in den US-Märkten organisieren.

Die Gegenüberstellung verdeutlicht, warum pauschale Prozesse in der Kaltakquise Risiken bergen. In Connecticut können Teams geschäftliche Kontaktdaten verlässlich nutzen, vorausgesetzt, der Inhalt bleibt strikt auf den geschäftlichen Kontext bezogen. In Kalifornien hingegen bringt jeder Datensatz aus Drittquellen potenzielle Pflichten zur Löschung und zur Vorhaltung formaler Antragskanäle mit sich.

Strukturierung gesetzeskonformer B2B-Intelligence

Um diesen Diskrepanzen zwischen einzelnen Bundesstaaten zu begegnen, sollten Vertriebsteams den massenhaften Zukauf ungeprüfter Kontaktlisten hinter sich lassen und auf eine gezielte Unternehmensrecherche setzen. Werden Kampagnen auf der Basis veralteter Sammeldatenbanken betrieben, entstehen hoher Aufwand bei der Datenpflege, komplexe Sperrverpflichtungen und erhöhte Absprungraten, die der Zustellbarkeit der eigenen Versanddomänen schaden.

Teams, die Outbound-Kampagnen in den USA planen, sollten drei operative Ebenen etablieren:

1. Rechtsraumbezogene Segmentierung: Trennen Sie Datensätze aus Bundesstaaten mit strengem Verbraucherbegriff sauber von Regionen mit expliziten Ausnahmeregelungen für den geschäftlichen Bereich. Werden Löschungsstandards auf kalifornischem Niveau einheitlich für alle US-Leads angewandt, schafft das Rechtssicherheit ohne fragmentierte Arbeitsabläufe.
2. Zuverlässiges Management von Sperrlisten: Setzen Sie auf irreversible Prüfsummen oder minimale Ausschlusslisten, um sicherzustellen, dass Kontakte, die eine Löschung gemäß SB 923 verlangt haben, bei späteren Datenaktualisierungen nicht versehentlich erneut importiert werden.
3. Kontextbezogene Recherche statt Massen-Scraping: Der Erfolg in der Kaltakquise hängt maßgeblich von der Relevanz der Nachricht und geschäftlichen Signalen ab, nicht von reiner Kontaktmasse. Führende Teams stützen sich auf fundierte Unternehmenseinblicke und konkrete Anlässe für die Kontaktaufnahme, statt ungeprüfte Datensätze anzuhäufen.

Vertiefende Einblicke in technische Versandstandards und konforme Kontaktstrategien bieten die Leitfäden Google Bulk Sender Rules: Personal Gmail vs Workspace zum Schutz der Domain-Reputation sowie What the LinkedIn ProAPIs Ruling Means for B2B Sales? zur Klärung der Plattformbedingungen beim Extrahieren von Daten. Weitere strukturierte Anleitungen für den Vertriebsausbau finden Sie in der Rubrik the Knowledge guides for sales.

Eine zeitgemäße B2B-Ansprache verlangt Präzision im direkten Kontakt. Lösungen wie Ember Lead Intelligence unterstützen Vertriebsteams dabei, die richtigen Ansprechpartner, den optimalen Zeitpunkt und den passenden geschäftlichen Aufhänger zu ermitteln, und rufen verifizierte geschäftliche Kontaktdaten punktuell auf Abruf ab, ohne automatisierte Massen-E-Mails zu versenden. Durch die Verbindung aus inhaltlicher Relevanz und einer sauberen Verwaltung von Bereinigungslisten bauen Unternehmen planbare Vertriebspipelines auf und wahren gleichzeitig die sich wandelnden Vorgaben des Datenschutzes.