FTC Section 5: KI-Datenschutzdurchsetzung in den USA
Aktualisiert für 2026.
Die Federal Trade Commission (FTC) setzt US-Bundesdatenschutzrecht über Section 5 des FTC Act durch. Dieser Abschnitt verbietet „unlautere oder irreführende Praktiken." Ein einheitliches Bundesdatenschutzgesetz wie die DSGVO existiert in den USA nicht. Dennoch stellte die Behörde 2024 einen neuen Durchsetzungsrekord auf.
2024: Ein Rekordjahr für die Durchsetzung
Die Kommission eröffnete 2024 19 KI-bezogene Verfahren. Das übertrifft die vorangegangenen drei Jahre zusammen. Hinzu kommen 25 aktive US-Staatsdatenschutzgesetze. Zusammen schaffen sie für US-Unternehmen eine Belastung, die der EU-DSGVO in der Komplexität ähnelt.
Wichtige Fälle aus 2024:
Amazon Alexa (25 Mio. USD, 2023/laufend): Amazon zahlte 25 Mio. USD wegen COPPA-Verstößen. Das Unternehmen hatte Sprachdateien von Kindern über die angegebene Frist hinaus gespeichert. Die Behörde stellte fest, dass Amazon diese Dateien ohne ordnungsgemäße Zustimmung zum KI-Training nutzte. Amazon wurde angewiesen, die gespeicherten Dateien zu löschen.
Meta-Verbot für Jugendwerbung: Bundesbehörden untersagten Meta die Nutzung von Daten unter 18-Jähriger für Werbung. Dies baute auf einer bestehenden Einwilligungsanordnung auf.
KI-Datenbroker-Verfahren: Die Behörde ging gegen mehrere Broker vor. Diese verkauften KI-erstellte Persönlichkeitsprofile ohne ordnungsgemäße Offenlegung oder Zustimmung. Die Fälle bestätigten: KI-Profilerstellung aus persönlichen Aufzeichnungen gilt als „sensible" Verarbeitung. Diese Einstufung löst erhöhte Offenlegungspflichten aus.
Gesundheitsdatenfälle: Die Kommission hat Befugnisse über Gesundheitsdaten außerhalb des HIPAA-Geltungsbereichs. Verbraucher-Apps, Wearables und bestimmte Telemedizin-Anbieter fallen darunter. Mehrere 2024er Fälle trafen Unternehmen, die diese Daten ohne Genehmigung weitergaben.
25 Staatsgesetze: Der US-Flickenteppich
Kein einziges Bundesgesetz schützt alle US-Einwohner. Stattdessen decken 25 Staatsgesetze zusammen den Großteil der Bevölkerung ab.
California CPRA (ab 2023): Das umfassendste US-Staatsgesetz. Es schützt 40 Millionen Einwohner Kaliforniens. Es gilt für Unternehmen mit über 25 Mio. USD Umsatz oder mit Daten von 100.000+ kalifornischen Verbrauchern. Es schuf die California Privacy Protection Agency (CPPA) als eigenständige Aufsichtsbehörde.
Virginia VCDPA, Colorado CPA, Connecticut CTDPA: Drei weitere Gesetze mit ähnlichen Rechten. Zusammen schützen sie mehrere Millionen Einwohner.
Texas TDPSA, Florida FDBR: Zwei große Bundesstaaten mit aktiven Datenschutzgesetzen.
Washington My Health MY Data Act: Das strengste US-Gesundheitsdatengesetz außerhalb Kaliforniens. Es erweitert den Schutz über HIPAA hinaus auf Verbraucher-Gesundheits-Apps.
Für national tätige Unternehmen teilen alle 25 Gesetze eine gemeinsame Infrastrukturanforderung. Verbraucherrechte, Datenschutzhinweise, Auftragsverarbeitungsverträge und Datenminimierung sind alle erforderlich. Die genauen Regeln variieren je nach Staat.
Den Leitfaden zur rechtlichen Compliance finden Sie hier — für eine Übersicht, wie diese Pflichten sich stapeln.
Was die 2024er Verfahren technisch bedeuten
Die 2024er Verfahren geben klare technische Hinweise.
Transparenz bei Trainingsdaten: Unternehmen müssen dokumentieren, welche Daten jedes KI-Modell trainiert haben. Sie müssen nachweisen, dass die Einwilligung diese Nutzung umfasste. Sie müssen auch die geltenden Aufbewahrungsfristen bestätigen.
Zweckbindung: KI-erstellte Profile dürfen nicht über das bei der Erhebung Mitgeteilte hinaus genutzt werden. Verhaltensanalysen für Personalentscheidungen — wenn nur Werbung angegeben war — verstoßen gegen Section 5.
Anbieterpflichten: Die Behörde betrachtet SaaS-Anbieter als Compliance-Verantwortung des eingesetzten Unternehmens. Wenn ein Tool Nutzerdaten verarbeitet, muss das in den Datenschutzhinweisen stehen. Das Anbieterverhalten muss den angegebenen Zwecken entsprechen.
Zero-Knowledge-Systeme: Im Mittelpunkt der KI-Anbieterfälle steht die nicht offengelegte Nutzung von Daten. Ein Zero-Knowledge-System hält nur verschlüsselte Dateien vor. Der Anbieter hat keinen Schlüssel zur Entschlüsselung. Er kann Daten nicht auf nicht offengelegte Weise nutzen. Diese technische Tatsache deckt sich genau mit dem, was Bundesbehörden verfolgen.
Erfahren Sie, wie anonym.legal Zero-Knowledge-Systeme einsetzt, unter /security-compliance.
Vorgeschlagene Regel zur kommerziellen Überwachung
Der Regelvorschlag der Kommission zur kommerziellen Verfolgung ist Stand 2025 ausstehend. Falls er verabschiedet wird, schafft er klare Bundesregeln.
- Datenminimierung für KI-Nutzung.
- Widerspruchsrecht gegen automatisierte Profilerstellung.
- Verbote der Sekundärnutzung gesammelter Daten.
- Sicherheitsregeln für gespeicherte Personendaten.
Diese Regel würde DSGVO-ähnliche Minimierungspflichten für alle US-Verbraucher schaffenden Unternehmen einführen. Das würde den Compliance-Standard in den USA deutlich anheben.
Lesen Sie mehr zur Datenminimierung unter /docs/faq.
Quellen
- FTC: Federal Trade Commission. ftc.gov.
- FTC: KI-Durchsetzungsmaßnahmen 2024. ftc.gov/news-events/news/press-releases/.
- CPPA: California Privacy Protection Agency. cppa.ca.gov.
- FTC: Vorgeschlagene Regeln zur kommerziellen Überwachung. ftc.gov/legal-library/browse/rules/commercial-surveillance-rulemaking.