Online Privacy Act 2026: Neudefinition der US-Daten-Compliance

Am 19. März 2026 brachte die Abgeordnete Zoe Lofgren (D-CA-18) H.R. 8014, den Online Privacy Act von 2026, im US-Repräsentantenhaus ein. Mit 151 Seiten in sechs Kapiteln ist der Gesetzentwurf der umfassendste bundesweite Datenschutzvorschlag, der in diesem Jahrzehnt das Repräsentantenhaus erreicht hat – und seine Einführung, mitten in einem Jahr mit immer mehr staatlichen Datenschutzgesetzen und KI-Regulierungen, hat die Diskussion darüber neu ausgerichtet, wie die US-Unternehmensdaten-Governance bis 2028 aussehen muss.

Wichtige Erkenntnisse

1. H.R. 8014 schafft den umfassendsten bundesweiten US-Datenschutzstandard aller Zeiten. Die Abgeordnete Zoe Lofgren brachte am 19. März 2026 den 151-seitigen Online Privacy Act von 2026 ein. Der Gesetzentwurf schafft individuelle Rechte, unternehmerische Datenpflichten, Anforderungen an die Datensicherheit, Meldepflichten bei Datenschutzverstößen und eine eigene Digital Privacy Agency mit Regelungs- und Durchsetzungsbefugnissen.
2. Der Gesetzentwurf verlagert Compliance von „Notice-and-Choice“ zu Datenminimierung. Betroffene Unternehmen dürften nicht mehr personenbezogene Daten erheben, als für die Bereitstellung eines angeforderten Produkts oder einer Dienstleistung erforderlich ist, und dürften diese Informationen nicht ohne spezifische Begründung für andere Zwecke verwenden. Das stellt einen strukturellen Bruch mit zwei Jahrzehnten US-Datenschutzpraxis dar.
3. Ein „Recht auf Vergänglichkeit“ verändert die Ökonomie der Datenspeicherung. Der Gesetzentwurf gibt Einzelpersonen das Recht, zu bestimmen, wie lange Unternehmen ihre personenbezogenen Daten speichern dürfen. Zusammen mit der Pflicht zur Datenminimierung zwingt dies Unternehmen, Governance für Aufbewahrungsfristen in die Datenarchitektur zu integrieren, statt sie nur über Richtliniendokumente zu steuern.
4. Die Durchsetzung geht weit über den Status quo der FTC hinaus. Die Digital Privacy Agency würde bestimmte FTC-Datenschutzaufgaben übernehmen, Regelungsbefugnisse erhalten, zivilrechtliche Strafen durchsetzen und parallel zu den Generalstaatsanwälten der Bundesstaaten sowie der kalifornischen Datenschutzbehörde agieren. Ein individuelles Klagerecht vervollständigt die Durchsetzungsarchitektur.
5. Die Verabschiedung ist ungewiss – aber Unternehmen sollten nicht abwarten. Der Gesetzentwurf befindet sich derzeit im House Energy and Commerce Committee mit nur einer Unterstützerin; frühere Versionen kamen nicht voran. Doch Gesetze wie Marylands Online Data Privacy Act und die kommenden Colorado AI Act-Pflichten nähern sich bereits ähnlichen Anforderungen an. Unternehmen, die jetzt Governance-Infrastruktur aufbauen, werden unabhängig vom Ausgang von H.R. 8014 geringere Nachrüstkosten haben.

Die Verabschiedung bleibt ungewiss. Der Gesetzentwurf hat nur eine Unterstützerin und liegt im House Energy and Commerce Committee, mit weiteren Überweisungen an die Ausschüsse für Justiz sowie Wissenschaft, Raumfahrt und Technologie. Frühere Versionen des Online Privacy Act wurden 2019, 2021 und 2023 eingebracht, aber nicht verabschiedet. Neu im Jahr 2026 ist das regulatorische Umfeld: Marylands Online Data Privacy Act ist in Kraft, Connecticut hat sein Datenschutzgesetz verschärft, der Colorado AI Act tritt 2026 in Kraft und die kalifornische Datenschutzbehörde beginnt im Januar 2027 mit der Durchsetzung der Vorschriften zu automatisierten Entscheidungstechnologien. Der bundesweite Standard mag nicht verabschiedet werden, aber das regulatorische Mindestniveau steigt von Bundesstaat zu Bundesstaat – und H.R. 8014 zeigt, wohin diese Entwicklung geht.

Was der Online Privacy Act tatsächlich bewirken würde

Der Gesetzentwurf schafft einen bundesweiten, auf Rechten basierenden Datenschutzrahmen, dessen Regelungen sich deutlich stärker an der DSGVO als an den sektoralen US-Datenschutzgesetzen orientieren, die er ergänzen würde. Titel I verankert individuelle Rechte wie Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, menschliche Überprüfung folgenreicher automatisierter Entscheidungen und ein „Recht auf Vergänglichkeit“, das Nutzern erlaubt, die Aufbewahrungsdauer ihrer Daten selbst zu bestimmen. Titel II legt Pflichten für betroffene Unternehmen fest: Datenminimierung, Beschränkung des Zugriffs für Mitarbeitende und Dienstleister, Verbot der Offenlegung von Kommunikationsinhalten, Verbot von „Dark Patterns“ bei Einwilligungsprozessen sowie aktive Informations- und Einwilligungspflichten.

Titel III schafft die Digital Privacy Agency, eine neue unabhängige Bundesbehörde mit Regelungsbefugnissen, Ermittlungsrechten und eigenem Budget. Die Behörde würde bestimmte FTC-Datenschutzaufgaben übernehmen, die Durchsetzung steuern, Beschwerden bearbeiten und Vorschriften erlassen. Titel IV regelt die Durchsetzung: behördliche Ermittlungen, zivilrechtliche Strafen, Durchsetzung durch Generalstaatsanwälte der Bundesstaaten, individuelles Klagerecht, Whistleblower-Schutz und strafrechtliche Verfolgung in bestimmten Fällen. Titel V bewahrt stärkere staatliche Regelungen, statt sie zu verdrängen, und Titel VI beauftragt NIST und NSF mit der Entwicklung von Leitlinien zum Datenschutz-Risikomanagement.

Diese Struktur ist bewusst gewählt. Statt sektorale Gesetze wie HIPAA, GLBA und COPPA durch einen engen Bundesstandard zu ergänzen, schafft H.R. 8014 einen umfassenden Standard und belässt sektorale sowie staatliche Gesetze als zusätzliche Ebenen. Diese Architektur ähnelt stärker der Beziehung der DSGVO zum nationalen Recht als bisherigen US-Bundesdatenschutzvorschlägen.

Die Datenminimierungspflicht würde Unternehmensdatenpraktiken grundlegend verändern

Die Vorgaben zur Datenminimierung, konzentriert in Section 201, stellen die bedeutendste operative Veränderung für die Compliance von Unternehmen dar. Betroffene Unternehmen dürften nicht mehr personenbezogene Daten erheben, als für die Bereitstellung eines vom Nutzer angeforderten Produkts oder einer Dienstleistung erforderlich ist, und dürften diese Daten nicht für andere Zwecke verarbeiten, sofern keine spezifischen Bedingungen erfüllt sind. Das ist ein grundlegender Bruch mit dem US-Notice-and-Choice-Paradigma, das praktisch jede in einer Datenschutzerklärung offengelegte Datenerhebung erlaubte.

Unter einem Minimierungsregime verschiebt sich die Compliance-Frage von „Haben wir diese Verarbeitung offengelegt?“ zu „Ist diese Verarbeitung für das vom Nutzer angeforderte Produkt oder die Dienstleistung notwendig?“ Für die meisten Unternehmensdatenpraktiken ist das eine deutlich schwierigere Frage. Verhaltensanalysen von Kunden, Marketing-Personalisierung, Telemetrie zur Produktentwicklung, KI-Trainingsdatensätze und Datenweitergaben an Drittparteien erfordern jeweils eine nachvollziehbare Notwendigkeitsbegründung. Viele werden dieser Überprüfung nicht standhalten.

Der Thales Data Threat Report 2026 ergab, dass nur 34 % der Unternehmen vollständig wissen, wo sich ihre Daten befinden – und diese Kenntnis ist Voraussetzung, um zu bewerten, ob Erhebung und Verarbeitung tatsächlich notwendig sind. Eine durch zivilrechtliche Strafen und individuelles Klagerecht durchgesetzte Minimierungspflicht erzeugt unmittelbaren Druck, Dateninventare zu erstellen, die Erhebungszwecke und operative Notwendigkeit für jedes einzelne Datenset abbilden.

Die begleitende Beschränkung des Zugriffs für Mitarbeitende und Dienstleister verstärkt diese operative Veränderung. Section 202 würde betroffene Unternehmen verpflichten, den internen Zugriff auf personenbezogene Daten und Kommunikationsinhalte auf das für die jeweilige Funktion notwendige Maß zu begrenzen. Das widerspricht dem üblichen Unternehmensmuster, Analyse-, Entwicklungs- und Produktteams breiten Datenzugriff zu gewähren und Missbrauch eher über Richtlinien als über technische Kontrollen zu verhindern.

Das „Recht auf Vergänglichkeit“ verändert Datenarchitektur, nicht nur Richtlinien

Die Schaffung eines „Rechts auf Vergänglichkeit“ – das Recht, als Einzelperson zu bestimmen, wie lange Unternehmen personenbezogene Daten speichern dürfen – ist eine architektonische Anforderung, die als individuelles Recht ausgestaltet ist. Die Governance für Aufbewahrungsfristen wurde bislang meist über Richtliniendokumente, geplante Löschläufe und Archivierungsstufen gesteuert. Ein individuell durchsetzbares Recht, kombiniert mit der Pflicht zur Datenminimierung und der Notwendigkeit einer nachvollziehbaren Begründung für die weitere Speicherung, macht die Aufbewahrung zu einer operativen Frage für jedes Datenset und jede betroffene Person.

Praktisch bedeutet das: Die Datenarchitektur von Unternehmen muss nutzergesteuerte Aufbewahrungsfristen unterstützen. Datenpipelines, die personenbezogene Daten aggregieren, transformieren, denormalisieren oder replizieren, müssen Löschsignale weitergeben und die Löschung auf jeder Stufe bestätigen. Analysesysteme, die auf historischen Verhaltensdaten basieren, müssen selektive Löschanfragen verarbeiten können, ohne aggregierte Statistiken zu verfälschen. KI-Trainingsdatensätze benötigen Herkunftsnachweise, damit angeforderte Löschungen in nachfolgenden Modell-Updates berücksichtigt werden können.

Das ähnelt dem Recht auf Löschung gemäß DSGVO Artikel 17, aber H.R. 8014 geht weiter: Während das DSGVO-Löschrecht nur in bestimmten Fällen gilt, ist das Recht auf Vergänglichkeit ein allgemeines Nutzerrecht. Unternehmen, die nutzergesteuerte Aufbewahrungsfristen technisch nicht umsetzen können, riskieren Klagen im großen Stil – das ist der Durchsetzungsmechanismus, der am ehesten spürbaren Compliance-Druck erzeugt, falls die Digital Privacy Agency nicht voll ausgestattet ist.

Automatisierte Entscheidungsfindung und KI-Governance als Ausblick auf die US-KI-Regulierung

Die Anforderungen an die menschliche Überprüfung „folgenreicher automatisierter Entscheidungen“ positionieren den Gesetzentwurf neben der neuen Welle staatlicher KI-Gesetze, darunter der Colorado AI Act, der Texas Responsible AI Governance Act (ab Januar 2026) und der California AI Transparency Act. Die bundesweite Perspektive ist entscheidend, weil sie KI-Governance-Pflichten über die Hochrisikokategorien hinaus ausweitet, die Colorado und die EU-KI-Verordnung adressieren – und das Recht auf menschliche Überprüfung für jede automatisierte Entscheidung mit wesentlichen Auswirkungen auf Einzelpersonen vorsieht.

In Kombination mit der Pflicht zur Datenminimierung hat dies direkte Auswirkungen auf KI-Training und -Einsatz. Trainingsdaten müssen die Minimierungsanforderungen erfüllen. Beim Einsatz von Modellen müssen für folgenschwere Entscheidungen Wege zur menschlichen Überprüfung bereitstehen. Aufbewahrungsrechte gelten für Trainingsdaten und gegebenenfalls für Modellausgaben mit personenbezogenen Daten. Das zugrunde liegende Modell: KI-Governance ist keine separate Regulierungsdisziplin, sondern eine Daten-Governance-Pflicht für KI-Anwendungsfälle.

Diese Sichtweise entspricht der EDPB-Stellungnahme vom Dezember 2024, wonach auf personenbezogenen Daten trainierte KI-Modelle nicht automatisch als anonym gelten, sowie einem deutschen Gerichtsurteil vom November 2025 (erwähnt in der Future of Privacy Forum 2026-Einschätzung), das Modelle als „Kopien“ im Sinne des geistigen Eigentums einstufte. Die internationale Konvergenz lautet: KI-Systeme sind Datensysteme, ihre Trainingsdaten sind personenbezogene Daten, und ihre Governance-Pflichten sind Daten-Governance-Pflichten.

Die Digital Privacy Agency und erweiterte Durchsetzungsarchitektur

Titel III des Gesetzentwurfs schafft eine Digital Privacy Agency mit Befugnissen, die die derzeitigen Durchsetzungsmöglichkeiten der FTC im Datenschutz deutlich übersteigen. Die DPA hätte eigenes Budget, Regelungsbefugnisse, ein Office of Civil Rights, Whistleblower-Mechanismen, Beschwerdemanagement und Koordination mit staatlichen Aufsichtsbehörden. Zu den Durchsetzungsbefugnissen zählen behördliche Ermittlungen, zivilrechtliche Strafen, strafrechtliche Verfolgung und Klagebefugnis vor Bundesgerichten.

Das individuelle Klagerecht in Titel IV ist der Durchsetzungsmechanismus, der unabhängig von den Ressourcen der DPA am ehesten zu spürbarem Compliance-Verhalten führt. Individuelle Klagerechte im Datenschutz führen erfahrungsgemäß zu einer proaktiveren Reaktion von Unternehmen als behördliche Durchsetzung, da Klägeranwälte Ansprüche bündeln und in großem Stil verfolgen. Das Klagerecht der CCPA in Kalifornien bei Datenschutzverstößen hat erheblichen Klagedruck erzeugt; ein weiter gefasstes Klagerecht nach H.R. 8014, das auch Verstöße gegen individuelle Rechte und Kernpflichten umfasst, würde diesen Druck auf den gesamten Datenschutzlebenszyklus ausweiten.

Die Durchsetzung durch Generalstaatsanwälte der Bundesstaaten und die ausdrückliche Befugnis für staatliche Datenschutzbehörden wie die California Privacy Protection Agency bedeuten, dass der Gesetzentwurf nicht auf die Kapazitäten der Bundesbehörde angewiesen ist. Das Ergebnis: Die US-Datenschutzdurchsetzung würde von der etwa 40-köpfigen FTC-Datenschutzabteilung auf eine eigene Bundesbehörde, individuelles Klagerecht, Durchsetzung durch Generalstaatsanwälte und staatliche Datenschutzbehörden parallel anwachsen. Das ist die Durchsetzungsarchitektur, die die DSGVO in Europa etabliert hat, wo die Bußgelder laut DLA Piper GDPR Fines and Data Breach Survey in den Jahren 2024 und 2025 jeweils über 1,2 Milliarden Euro lagen.

Warum das regulatorische Mindestniveau unabhängig von H.R. 8014 steigt

Die Erfolgsaussichten des Gesetzentwurfs sind im aktuellen Kongress gering. Der 119. Kongress hat keine umfassende Datenschutzgesetzgebung vorangebracht, der Gesetzentwurf hat nur eine Unterstützerin, und der American Privacy Rights Act von 2024 scheiterte nach parteiübergreifenden Verhandlungen. Doch das Handeln der Bundesstaaten macht die Bundesfrage zunehmend akademisch. Die OneTrust-Analyse 2026 dokumentiert die aktuelle Landschaft der staatlichen Datenschutzgesetze: Datenschutzgesetze in New Jersey, Tennessee und Minnesota in Kraft; Änderungen in Connecticut ab 2025 mit niedrigeren Schwellenwerten und erweitertem Schutz sensibler Daten; Marylands Online Data Privacy Act ab 1. Oktober 2025; und das erste bedeutende CCPA-Bußgeld in Kalifornien im Jahr 2025.

Staatliche KI-Gesetze kommen hinzu – Colorado AI Act 2026, Texas Responsible AI Governance Act ab Januar 2026, California AI Transparency Act 2026 – sowie verschärfte Kinderschutzgesetze mit aktualisierten COPPA-Regeln und altersgerechten Designgesetzen in New York und Vermont.

Das Ergebnis: Unternehmen, die US-Verbraucher im großen Stil bedienen, unterliegen bereits weitgehend den Pflichten, die H.R. 8014 bundesweit kodifizieren würde: Datenminimierung nach Maryland, Connecticut und Colorado; Governance automatisierter Entscheidungen nach Colorado, Texas und Kalifornien; Auskunfts- und Löschrechte in über 20 staatlichen Datenschutzgesetzen; und erweiterter Schutz sensibler Daten in den meisten umfassenden staatlichen Rahmenwerken. Unternehmen, die Compliance-Infrastruktur für dieses föderale Patchwork aufbauen, bereiten sich praktisch auf H.R. 8014 – oder jede künftige Bundesregelung – vor.

Daten-Governance auf Datenebene als architektonische Antwort

Die spezifischen Pflichten in H.R. 8014 – Minimierung, Zweckbindung, Aufbewahrungsgovernance, Erfüllung von Zugriffsrechten, Überwachung automatisierter Entscheidungen, Zugriffskontrollen für Mitarbeitende, Meldepflichten bei Datenschutzverstößen und Audit-Nachweise – haben eine gemeinsame architektonische Eigenschaft: Sie sind nur durchsetzbar, wenn die Daten selbst Governance-Eigenschaften tragen, die Kopieren, Transformation, Analyse und KI-Training überdauern. Compliance auf Policy-Ebene, die auf gut dokumentierten Absichten basiert, reicht nicht aus. Compliance auf Anwendungsebene, die davon abhängt, dass jede Anwendung Governance-Regeln respektiert, erzeugt Lücken an Integrationspunkten. Compliance auf Datenebene, bei der Governance-Eigenschaften an den Daten selbst hängen – unabhängig von Anwendung oder Workflow – ist die skalierbare Architektur.

Kiteworks fungiert als Kontrollinstanz auf Datenebene für E-Mail, Filesharing, Managed File Transfer, sichere Formulare, APIs und KI-Integrationen. Mehrere Funktionen entsprechen direkt den Anforderungen von H.R. 8014. Die Kiteworks Data Policy Engine erzwingt attributbasierte Zugriffskontrollen bei jeder Dateninteraktion – einschließlich der Zugriffsbeschränkungen für Mitarbeitende und Dienstleister gemäß Section 202. Datenhoheit und Geofencing unterstützen die Einhaltung von Jurisdiktionsanforderungen, die mit H.R. 8014 überlappen. Umfassende Audit-Logs mit Echtzeit-SIEM-Feeds liefern manipulationssichere Nachweise für jeden Zugriff, jede Verarbeitung und jede Offenlegung – die Beweisgrundlage sowohl für DPA-Ermittlungen als auch für die Verteidigung gegen individuelle Klagen. Die Kiteworks Compliant AI-Funktion erweitert Governance auf KI-Agenten-Zugriffe und stellt sicher, dass KI-gesteuerte Datennutzung denselben attributbasierten Richtlinien, Einwilligungsnachweisen und Audit-Logs unterliegt wie der Zugriff durch Menschen.

Das architektonische Argument ist nicht, dass Governance auf Datenebene die Kenntnis spezifischer Gesetze ersetzt. Vielmehr schafft sie so einheitliche Kontrollen, dass Anpassungen an neue Gesetze leichter möglich sind. Ein Unternehmen, dessen Governance auf Datenebene lebt – getaggte Daten, attributbasierter Zugriff , manipulationssichere Logs, konsolidierte Audit-Nachweise – passt sich neuen Gesetzen an, ohne alles neu zu bauen. Ein Unternehmen, dessen Governance in Anwendungscode und Richtliniendokumenten steckt, muss bei jeder Gesetzesänderung Compliance neu schreiben.

Was Ihr Compliance-Programm vor der Kongresssitzung 2027 tun sollte

Erstens sollten Sie das föderale Datenschutz-Patchwork als operativen Standard behandeln. Der Kiteworks Data Security and Compliance Risk: 2026 Forecast Report zeigt, dass Unternehmen, die fünf oder mehr verschiedene Tools für den sicheren Datenaustausch nutzen, systematisch höhere Compliance-Risiken haben. Eine Konsolidierung unter einheitlicher Governance vereinfacht die Compliance gegenüber Maryland, Connecticut, Colorado, Kalifornien und jedem künftigen Bundesstandard.

Zweitens bauen Sie Dateninventare auf, die die Minimierung belegen können. Falls H.R. 8014 oder ein Nachfolgegesetz eine durch individuelles Klagerecht durchsetzbare Datenminimierung vorschreibt, lautet die Beweisfrage: „Können Sie nachweisen, dass jede Datenerhebung für ein vom Nutzer angefordertes Produkt oder eine Dienstleistung notwendig ist?“ Unternehmen, die diesen Nachweis nicht auf Abruf erbringen können, stehen bei einer Verschärfung des Standards vor teuren Nachrüstungen.

Drittens implementieren Sie Aufbewahrungsgovernance auf Datenebene und bereiten Sie Infrastruktur für Zugriffsanfragen im großen Stil vor. Ein Recht auf Vergänglichkeit erfordert Löschweitergabe entlang der Datenpipelines, Löschbestätigung in allen Systemen und Nachweise für Audits. Automatisierte und massenhaft eingereichte Zugriffsanfragen nehmen unter bestehenden Gesetzen zu, und das EuGH-Urteil von 2026 zu missbräuchlichen Anfragen macht deutlich, dass pauschale Ablehnung keine tragfähige Antwort ist.

Viertens erweitern Sie die Daten-Governance auf KI-Systeme. Ob die Pflicht aus dem Colorado AI Act 2026, den CPPA-ADMT-Vorschriften 2027 oder H.R. 8014 in einem künftigen Jahr resultiert: KI-Governance wird zur Daten-Governance-Pflicht. Modelltraining muss die Minimierung erfüllen. Automatisierte Entscheidungen mit Auswirkungen auf Einzelpersonen müssen Wege zur menschlichen Überprüfung bieten. Trainingsdaten und Modellausgaben müssen Aufbewahrungs- und Löschrechte respektieren.

Fünftens machen Sie die Bereitstellung von Audit-Nachweisen zur Kernkompetenz, nicht zur hektischen Reaktion im Ernstfall. Egal, welche Durchsetzungsinstanz sich durchsetzt – DPA, FTC, Generalstaatsanwälte, CPPA, Privatkläger – der Unterschied zwischen Verwarnung und Strafe ist oft die Qualität der Nachweise, die ein Unternehmen liefern kann. Manipulationssichere Audit-Logs, strukturierte Compliance-Berichte und einheitliche Richtliniendurchsetzung über alle Datenkanäle sind die Kontrollen, die diese Nachweise liefern.

Der Online Privacy Act von 2026 kann verabschiedet, blockiert oder 2027/2028 durch ein anderes Rahmenwerk ersetzt werden. Die regulatorische Richtung bleibt in allen Szenarien stabil. Unternehmen, die den Gesetzentwurf als Ausblick betrachten – auf das, was das föderale Patchwork bereits annähert und was der künftige Bundesstandard kodifizieren wird – sind deutlich besser aufgestellt als jene, die auf eine gesetzliche Entscheidung warten.