Texas · TDPSAWordPress-Hosting mit TDPSA-plugin in der Plattform integriert.
Opt-out-Signale fuer Verkauf, Targeted Advertising und Profiling, Opt-in fuer sensible Daten, Anerkennung des Universal Opt-Out Mechanism (GPC) seit Januar 2025 und ein Beschwerde-Workflow — uebernommen vom compliance-MU-plugin von Yovale. Du installierst es nicht. Du aktualisierst es nicht. Du zahlst nichts dafuer. Anders als die meisten US-Bundesstaatsgesetze hat der TDPSA keine 100.000-Verbraucher-Schwelle — wenn du kein US-SBA-Kleinunternehmen bist und Einwohner aus Texas bedienst, bist du erfasst. Dieselbe Plattform deckt auch CCPA, VCDPA, CPA, CTDPA und jedes weitere US-Bundesstaaten-Datenschutzgesetz ab.
Nach dem TDPSA kannst du dem Verkauf personenbezogener Daten, Targeted Advertising und Profiling widersprechen. Du kannst die ueber dich gespeicherten Daten auch einsehen, korrigieren, loeschen oder exportieren. Das Global-Privacy-Control-Signal deines Browsers wird automatisch beachtet.
Sechs Pflichten, die du erfuellen musst.
Der Texas Data Privacy and Security Act trat am 1. Juli 2024 in Kraft, die UOOM-Pflicht folgte am 1. Januar 2025. Anders als VCDPA, CPA oder CTDPA hat der TDPSA keine 100.000-Verbraucher-Schwelle. Er gilt fuer jede Stelle, die in Texas Geschaefte betreibt oder Produkte/Dienstleistungen anbietet, die von Einwohnern aus Texas genutzt werden, die personenbezogene Daten verarbeitet oder verkauft und kein Kleinunternehmen im Sinne der US SBA ist. Damit ist er auf dem Papier das breiteste US-Bundesstaaten-Datenschutzgesetz — selbst ein WordPress-Blog mit nur einer Autorin und Lesern aus Texas kann darunter fallen. Die Durchsetzung liegt beim Texas Attorney General, mit zivilrechtlichen Strafen von bis zu $7,500 pro Verstoss.
- 01
Opt-out fuer Verkauf, Targeted Ads, Profiling
Verbraucher aus Texas koennen dem Verkauf personenbezogener Daten, dem Targeted Advertising und dem Profiling mit rechtlicher oder aehnlich erheblicher Wirkung widersprechen. Der Opt-out-Mechanismus muss klar, deutlich und frei von Dark Patterns sein — und seit 1. Januar 2025 ueber den Universal Opt-Out Mechanism erkannt werden.
- 02
OPT-IN fuer sensible Daten
Sensible Daten duerfen nicht ohne ausdrueckliche Einwilligung verarbeitet werden. Sensible Daten umfassen ethnische Herkunft, Religion, Diagnosen zur psychischen oder koerperlichen Gesundheit, sexuelle Orientierung, Staatsangehoerigkeit und Immigrationsstatus, genetische und biometrische Daten, praezise Geolokation sowie Daten eines bekannten Kindes unter 13 Jahren.
- 03
Universal Opt-Out Mechanism (UOOM)
Seit 1. Januar 2025 verlangt der TDPSA, dass Controller Browser-Signale wie Global Privacy Control als gueltigen Opt-out fuer Verkauf und Targeted Advertising erkennen. Das Signal muss auf Controller-Ebene beachtet werden — nicht nur als Banner-Option angezeigt.
- 04
Verbraucherrechte: Auskunft, Berichtigung, Loeschung, Portabilitaet, Beschwerde
Verbraucher aus Texas koennen Auskunft, Berichtigung, Loeschung und eine portable Kopie verlangen. Du antwortest binnen 45 Tagen, einmal um 45 Tage verlaengerbar. Bei Ablehnung kann der Verbraucher Beschwerde einlegen — du antwortest binnen 60 Tagen darauf.
- 05
Pflichten von Controller und Processor
Vertraege zwischen Controllern und Processoren muessen Verarbeitungsanweisungen, Vertraulichkeit, Loeschung oder Rueckgabe von Daten am Ende des Dienstes sowie Unterstuetzung bei Verbraucheranfragen festhalten. Yovale agiert auf Basis eines schriftlichen Vertrags als dein Processor.
- 06
Datenschutz-Folgenabschaetzungen
Fuehre eine dokumentierte Datenschutz-Folgenabschaetzung fuer jede Verarbeitung mit erhoehtem Schadensrisiko durch — Targeted Advertising, Verkauf personenbezogener Daten, Profiling mit erheblicher Wirkung und jede Verarbeitung sensibler Daten. Der Texas AG kann die Folgenabschaetzung im Rahmen einer Untersuchung anfordern.
In der Plattform eingebaut. Kein plugin, das du installierst.
Yovale liefert TDPSA-compliance als signiertes must-use-plugin — Teil des hostings selbst, nichts, was du aus dem WordPress-Repository installierst. Es ist versions-gepinnt, wird von R2 mit SHA-256-Verifizierung geholt und beim Provisioning in ein pro Site bind-gemountetes mu-plugins-Verzeichnis abgelegt. Der Universal Opt-Out Mechanism wird am edge beachtet, bevor analytics-, Werbe- oder Profiling-Code laeuft. Updates kommen ueber denselben Kanal wie deine hosting-Updates.
Geo-bewusster Consent mit UOOM/GPC-Anerkennung
Besucher aus Texas sehen TDPSA-Opt-out-Steuerungen fuer Verkauf, Targeted Advertising und Profiling. Sendet ihr Browser Global Privacy Control, wird der Opt-out automatisch am Cloudflare-edge worker angewendet — kein Klick noetig. Sensible Kategorien erfordern ausdrueckliches Opt-in.
Datenschutz-Portal
/.well-known/privacy auf jeder Yovale-Site. Verbraucher aus Texas koennen Auskunfts-, Berichtigungs-, Loesch- und Portabilitaets-Anfragen ohne Support-Ticket einreichen. Jede Anfrage erscheint im Compliance-Tab deines dashboards mit einem 45-Tage-SLA-Timer.
Beschwerde-Workflow mit audit log
Wird eine Anfrage abgelehnt, erhaelt der Verbraucher einen Ein-Klick-Beschwerde-Link. Die Beschwerde oeffnet einen separaten 60-Tage-SLA-Fall in deinem dashboard. Jeder Opt-out, jede Anfrage, jede Ablehnung und jede Beschwerde wird mit Zeitstempel und Region protokolliert — als JSON oder CSV exportierbar, falls der Texas AG einmal nachfragt.
Unterzeichneter Processor-Vertrag (DPA)
Vorab unterzeichneter Controller-Processor-Vertrag nach TDPSA § 541.104, als PDF im dashboard. Listet jeden Unterauftragsverarbeiter (Cloudflare, Anexia, R2), Zweckbindung, Vertraulichkeit, Loeschung am Ende des Dienstes und Unterstuetzung bei Verbraucheranfragen.
Warum Infrastruktur ein plugin schlaegt.
Typisches WordPress-TDPSA-plugin
- 200-500ms zusaetzlich pro Seitenaufruf (banner-JS, Geo-Lookup, DB-Schreibvorgaenge)
- Ignoriert Global Privacy Control oder setzt es inkonsistent um — TDPSA-Verstoss seit Januar 2025
- Speichert Opt-out-Signale in wp_options — langsam, untypisiert, bricht mit object caching
- Kostet $49-149/Jahr pro Site und deckt UOOM, Beschwerden oder audit logs selten ab
- Bricht beim Hoster-Wechsel; Opt-out-Historie und Beschwerde-Akten gehen verloren
Der eingebaute Ansatz von Yovale
- 0ms Latenz — Opt-out-Status und GPC-Signal am edge worker ausgewertet
- UOOM/GPC-Anerkennung in der Plattform — laeuft ab Tag eins auf jeder Yovale-Site
- Audit log in einer eigenen Datenbank, abfragbar, blockiert nie das Rendern
- In jedem Plan enthalten ($149 / $249 / $499 pro Jahr), keine Compliance-Gebuehren pro Site
- Wandert mit deiner Site fuer immer mit — Opt-out- und Beschwerde-Historie gehoert dir zum Export
14 regelwerke. je ein schalter. alles automatisch.
- Opt-out fuer Verkauf, Targeted Ads, Profiling
- Opt-in fuer sensible Daten
- UOOM/GPC-Anerkennung seit 1. Januar 2025
- Antwort auf Verbraucheranfragen binnen 45 Tagen
- Beschwerdeprozess binnen 60 Tagen
TDPSA + Yovale, beantwortet.
Gilt der TDPSA fuer meine Site? Es gibt keine 100k-Schwelle.
Richtig — und genau das macht den TDPSA zum auf dem Papier breitesten US-Bundesstaaten-Datenschutzgesetz. Er gilt fuer jede Stelle, die in Texas Geschaefte betreibt oder Produkte und Dienstleistungen anbietet, die von Einwohnern aus Texas genutzt werden, personenbezogene Daten verarbeitet oder verkauft und kein Kleinunternehmen im Sinne der US Small Business Administration ist. Es gibt keine 100.000-Verbraucher-Untergrenze wie bei VCDPA, CPA oder CTDPA. Schon ein WordPress-Blog mit einer einzigen Autorin und Lesern aus Texas kann darunter fallen. Yovale faehrt standardmaessig vollen TDPSA-Schutz — die Frage eruebrigt sich, jede Yovale-Site ist bereit.
Was gilt fuer die TDPSA-Ausnahme als US-SBA-Kleinunternehmen?
Die US Small Business Administration setzt Groessenstandards nach NAICS-Branchencode fest — typischerweise nach Beschaeftigtenzahl (oft 500 oder weniger fuer viele Branchen) oder durchschnittlichem Jahresumsatz (oft $7,5 Mio. bis $40 Mio. je nach Branche). Die TDPSA-Ausnahme ist eng: Selbst als SBA-Kleinunternehmen darfst du sensible personenbezogene Daten ohne bejahende Einwilligung nicht verkaufen. Wir bieten keine Rechtsberatung — gleiche deinen NAICS-Code mit den aktuellen SBA-Groessenstandards ab, wenn du dich auf die Ausnahme stuetzen willst.
Wie funktioniert die UOOM-compliance?
Seit 1. Januar 2025 verlangt der TDPSA, dass Controller Global Privacy Control (GPC) und aehnliche Browser-Signale als gueltigen Opt-out fuer Verkauf und Targeted Advertising erkennen. Yovale wertet den GPC-Header bei jeder Anfrage am Cloudflare-edge worker aus — bevor analytics, ad-pixel oder Drittanbieter-Tags ausgeloest werden. Besucher mit aktivem GPC werden als Opt-out behandelt, die Entscheidung wird im audit log protokolliert. Kein Banner-Klick, kein JavaScript-Hack noetig.
Wie lange ist die Cure-Frist und gilt sie noch?
Der TDPSA gewaehrt Controllern eine 30-taegige Cure-Frist nach einer Mitteilung des Texas Attorney General. Heilst du den Verstoss binnen 30 Tagen und bestaetigst dies schriftlich, darf der AG keine zivilrechtlichen Strafen verfolgen. Anders als in Kalifornien (wo die CCPA-Cure-Frist 2023 auslief) ist die TDPSA-Cure-Frist derzeit nicht zeitlich begrenzt. Wiederholungstaeter und Bad-Faith-Verhalten koennen den Cure-Vorteil verlieren — behandle das als einmaliges Sicherheitsnetz, nicht als Workflow.
Worin unterscheidet sich der TDPSA vom CCPA?
Beide bieten Opt-out fuer Verkauf und Targeted Advertising sowie Rechte auf Auskunft, Loeschung und Portabilitaet. Der TDPSA geht bei sensiblen Daten weiter — er verlangt OPT-IN, waehrend Kalifornien ein Opt-out-Signal verwendet. Der TDPSA schreibt zudem ein formales Beschwerdeverfahren vor und wird vom Texas Attorney General ohne privates Klagerecht durchgesetzt (der CCPA kennt ein privates Klagerecht bei bestimmten Datenpannen). Der TDPSA hat keine 100k-Schwelle; der CCPA hat Umsatz- und Transaktionsvolumen-Schwellen. Yovale handhabt beide Regelwerke aus einer Plattform.
Stellt ihr einen Processor-Vertrag fuer den TDPSA bereit?
Ja. Ein vorab unterzeichneter Controller-Processor-Vertrag nach TDPSA § 541.104 ist als PDF im dashboard verfuegbar. Wir sind als dein Processor eingetragen, du bist der Controller. Er listet jeden Unterauftragsverarbeiter (Cloudflare, Anexia, R2), Zweckbindung, Vertraulichkeit, Rueckgabe oder Loeschung am Ende des Dienstes sowie unsere Pflicht zur Unterstuetzung bei Verbraucheranfragen und Datenschutz-Folgenabschaetzungen.
Eine TDPSA-konforme WordPress-Site in 60 Sekunden live.
Jede Yovale-Site ist ab dem Deployment TDPSA-bereit. UOOM/GPC-Anerkennung ab Tag eins. Kein plugin zum Installieren. Keinem Processor-Vertrag hinterherrennen. Keinen Beschwerde-Workflow bauen. Starte den Growth-Test und sieh dir dein erstes Compliance-dashboard an.