Compliance mit dem Tennessee Information Protection Act (TIPA)
Pandectes GDPR Compliance hilft Shopify-Shops, die Anforderungen des TIPA zu erfüllen: Die App verwaltet die Cookie-Einwilligung, Opt-outs von gezielter Werbung und Verkauf sowie Datenschutzanfragen von Verbrauchern.
Kostenlos starten
Die Nr. 1 unter den Cookie-Consent-Apps für Shopify, mit dem Vertrauen von 185k Shops
Was ist der TIPA?
Der Tennessee Information Protection Act (TIPA) ist das umfassende Verbraucherdatenschutzgesetz von Tennessee. Er wurde als House Bill 1181 verabschiedet, im Mai 2023 unterzeichnet und ist in Tennessee Code Annotated § 47-18-3201 und den folgenden Abschnitten kodifiziert. Wie die Datenschutzgesetze Virginias und anderer US-Bundesstaaten gibt er den Einwohnern Rechte an ihren personenbezogenen Informationen und legt Regeln für die Unternehmen fest, die sie erheben.
Nach dem TIPA haben Verbraucher in Tennessee das Recht:
- zu erfahren, ob ein Unternehmen ihre personenbezogenen Informationen verarbeitet, und Auskunft darüber zu erhalten
- Unrichtigkeiten in ihren personenbezogenen Informationen berichtigen zu lassen
- personenbezogene Informationen löschen zu lassen, die sie bereitgestellt haben oder die über sie beschafft wurden
- eine übertragbare Kopie der von ihnen bereitgestellten personenbezogenen Informationen zu erhalten
- dem Verkauf ihrer personenbezogenen Informationen, gezielter Werbung und Profiling mit rechtlichen oder ähnlich erheblichen Auswirkungen zu widersprechen (Opt-out)
Der TIPA behandelt außerdem bestimmte Informationen als sensible Daten, darunter die rassische oder ethnische Herkunft, religiöse Überzeugungen, Gesundheitsdiagnosen, die sexuelle Orientierung, die Staatsangehörigkeit oder der Aufenthaltsstatus, genetische oder biometrische Daten zur Identifizierung einer Person, genaue Standortdaten und personenbezogene Informationen, die von einem bekanntermaßen minderjährigen Kind erhoben wurden.
Für wen gilt der TIPA?
Der TIPA gilt für Unternehmen, die in Tennessee tätig sind oder Produkte oder Dienstleistungen gezielt an Einwohner Tennessees richten, einen Umsatz von mehr als 25 Millionen $ erzielen und entweder in einem Kalenderjahr die personenbezogenen Informationen von mindestens 175.000 Verbrauchern in Tennessee verarbeiten oder die personenbezogenen Informationen von mindestens 25.000 Verbrauchern verarbeiten und mehr als 50 % ihres Bruttoumsatzes mit dem Verkauf personenbezogener Informationen erzielen.
Ausgenommen sind gemeinnützige Organisationen, Hochschulen, Finanzinstitute, die dem Gramm-Leach-Bliley Act unterliegen, zugelassene Versicherungsunternehmen sowie unter HIPAA fallende Stellen (Covered Entities) und deren Geschäftspartner (Business Associates).
Was passiert, wenn ich den TIPA nicht einhalte?
Allein der Attorney General von Tennessee ist für die Durchsetzung des TIPA zuständig. Die wichtigsten Punkte:
- Nachbesserungsfrist: Bevor er Klage erhebt, muss der Attorney General das Unternehmen schriftlich benachrichtigen und ihm 60 Tage Zeit geben, den Verstoß zu beheben. Diese Nachbesserungsfrist gilt dauerhaft und läuft nicht aus.
- Zivilrechtliche Strafen: Ein Gericht kann bis zu 7.500 $ pro Verstoß verhängen.
- Dreifacher Schadensersatz: Bei vorsätzlichen oder wissentlichen Verstößen kann ein Gericht das Dreifache des Schadens zusprechen.
- Kosten: Der Attorney General kann angemessene Anwaltskosten und Ermittlungskosten erstattet verlangen.
- Kein privates Klagerecht: Verbraucher können ein Unternehmen nicht direkt auf Grundlage des TIPA verklagen.
Der TIPA gibt Unternehmen außerdem eine Einrede (affirmative defense), wenn sie ein schriftliches Datenschutzprogramm unterhalten, das in angemessener Weise dem NIST Privacy Framework oder vergleichbaren dokumentierten Standards entspricht, es aktuell halten und Verbrauchern die gesetzlich vorgeschriebenen Rechte gewähren.
Wann trat der TIPA in Kraft?
Der TIPA trat am 1. Juli 2025 in Kraft. Unternehmen, die seine Schwellenwerte erreichen, müssen ihn schon jetzt einhalten.
Den TIPA einhalten
Wenn Ihr Onlineshop die Schwellenwerte des TIPA erreicht, sieht die für Cookies und Tracking wichtigste Arbeit so aus:
- Bieten Sie ein Opt-out von gezielter Werbung und Verkauf an. Werbe-Pixel und Tags, die Besucher über andere Websites hinweg verfolgen, gelten in der Regel als gezielte Werbung. Der TIPA verlangt, dass Sie diese Verarbeitung klar und deutlich offenlegen und erklären, wie Verbraucher widersprechen können. Üblich sind dafür ein gut sichtbarer Opt-out-Link und ein Cookie-Banner mit klaren Wahlmöglichkeiten. Der TIPA verpflichtet Unternehmen nicht, universelle Opt-out-Signale wie Global Privacy Control zu beachten.
- Holen Sie für sensible Daten eine Opt-in-Einwilligung ein. Sie dürfen sensible Daten wie genaue Standortdaten nicht ohne die Einwilligung des Verbrauchers verarbeiten. Daten eines bekanntermaßen minderjährigen Kindes müssen nach dem Children’s Online Privacy Protection Act des Bundes behandelt werden.
- Veröffentlichen Sie eine klare Datenschutzerklärung. Sie muss die Kategorien der von Ihnen verarbeiteten personenbezogenen Informationen nennen, den Zweck der Verarbeitung, die Kategorien, die Sie verkaufen, und die Dritten, an die Sie verkaufen, sowie erklären, wie Verbraucher ihre Rechte ausüben und gegen Ihre Entscheidungen Widerspruch einlegen können.
- Bearbeiten Sie Anfragen von Verbrauchern fristgerecht. Stellen Sie mindestens einen sicheren und zuverlässigen Weg für Anfragen bereit, ohne dass dafür ein neues Konto nötig ist. Antworten Sie innerhalb von 45 Tagen, wenn vernünftigerweise nötig einmalig um weitere 45 Tage verlängerbar, und entscheiden Sie über Widersprüche innerhalb von 60 Tagen.
- Dokumentieren Sie Ihr Datenschutzprogramm. Wenn Sie es am NIST Privacy Framework ausrichten, kann Ihnen das die oben beschriebene Einrede verschaffen.
Um dies zu vereinfachen, sollten Sie eine Consent-Management-Plattform (CMP) wie Pandectes GDPR Compliance in Betracht ziehen. Sie ist für Shopify-Shops entwickelt und bietet ein Cookie-Banner mit Opt-out-Optionen für US-Bundesstaaten, einen Link „Do not sell or share my personal information“, automatisches Scannen und Kategorisieren von Cookies, eine Cookie-Erklärung, Einwilligungsprotokolle und die Bearbeitung von Anfragen betroffener Personen. Mit regionsspezifischen Banner-Einstellungen zeigen Sie Besuchern aus Tennessee anhand ihres Standorts die passende Darstellung.
Hintergründe zur Entstehung des Gesetzes lesen Sie in unserem Artikel Adoption of the Information Protection Act in Tennessee (Englisch).
Jedes Unternehmen ist anders. Prüfen Sie Ihre Pflichten nach dem TIPA daher bei Bedarf mit einem Rechtsbeistand.