Arbeitsbereich

Leitfaden · Gesetz eines US-Bundesstaats

CCPA und CPRA, erklärt für alle, die von Anzeigen leben

Kalifornien hat das detaillierteste Datenschutzgesetz der USA und das mit den meisten verhängten Bußen. In diesem Leitfaden verstehen Sie, wann es für Ihre Website gilt, warum personalisierte Anzeigen als Verkauf oder Weitergabe von Daten zählen und was auf der Seite erscheinen muss, damit Besucher Nein sagen können.

Meine Website für Kalifornien prüfenLeitfaden lesen
  • ✓Basiert auf dem Gesetzestext, den Regeln der Behörde und den öffentlichen Vergleichen
  • ✓Beispiele für Websites mit AdSense und Ad Manager
  • ✓Reines Lese-Audit, ohne die Website zu verändern
100.000Verbraucher oder Haushalte aus Kalifornien pro Jahr: eine der Schwellen, die das Unternehmen unter das Gesetz bringen
7.988 US-DollarHöchstbuße pro vorsätzlichem Verstoß oder Verstoß, der Minderjährige unter 16 Jahren betrifft, Wert 2025 angepasst
16Alter, unter dem Verkauf oder Weitergabe von Daten eine vorherige Genehmigung erfordert
2026Jahr, in dem die neuen Regeln zu Risikobewertungen, automatisierten Entscheidungen und Audits in Kraft traten

Was es ist

Das Gesetz, das den Besuchern das Recht gab, dem Verkauf ihrer Daten zu widersprechen

Der California Consumer Privacy Act, kurz CCPA, wurde 2018 verabschiedet und gilt seit dem 1. Januar 2020. Er gibt den Einwohnern Kaliforniens das Recht zu erfahren, welche Daten ein Unternehmen erhebt, die Löschung dieser Daten zu verlangen und ihren Verkauf zu verhindern.

Im November 2020 stimmten die Wähler dem California Privacy Rights Act zu, kurz CPRA, der einen großen Teil des CCPA neu geschrieben hat. Die Änderungen gelten seit dem 1. Januar 2023. Wenn heute vom CCPA die Rede ist, ist deshalb fast immer das durch den CPRA geänderte Gesetz gemeint.

Der CPRA schuf die California Privacy Protection Agency, eine Behörde nur für Datenschutz, die sich heute der Öffentlichkeit als CalPrivacy vorstellt. Sie schreibt die detaillierten Regeln, ermittelt gegen Unternehmen und verhängt Bußen. Der Generalstaatsanwalt von Kalifornien behält die Befugnis, gegen Verstöße gegen das Gesetz zu klagen.

Für alle mit einer Website mit Anzeigen ist der zentrale Punkt einfach: Wenn Cookies und Kennungen der Besucher genutzt werden, um Anzeigen auf Grundlage dessen zu zeigen, was sie auf anderen Websites getan haben, behandelt das Gesetz dies als Weitergabe von Daten. Und die Besucher haben das Recht abzulehnen.

Checkliste

Was Sie erfüllen müssen

Gelten für Unternehmen, die eine der Schwellen des Gesetzes überschreiten und Daten von Einwohnern Kaliforniens verkaufen oder weitergeben.

  1. Setzen Sie den Ablehnungslink auf die Startseite

    Wer Daten verkauft oder weitergibt, braucht einen klaren Link in der Kopf- oder Fußzeile der Startseite. Die Regeln erlauben auch einen einzigen Link namens Your Privacy Choices oder Your California Privacy Choices, mit dem offiziellen Symbol daneben.

    Beispiel

    Fußzeile: Do Not Sell or Share My Personal Information

  2. GPC als gültige Ablehnung akzeptieren

    Der Generalstaatsanwalt sagt, dass das GPC als gültiger Ablehnungswunsch beachtet werden muss. Die seit 2026 geltenden Regeln verlangen, dass die Website dem Besucher den Status seiner Wahl anzeigt.

    Beispiel

    Datenschutzbereich: Wir haben Ihr GPC-Signal erhalten. Wir verkaufen Ihre Daten nicht und geben sie nicht weiter.

  3. Die Ablehnung zügig umsetzen

    Die Ablehnung muss so bald wie möglich umgesetzt werden, spätestens nach 15 Werktagen. Anfragen auf Auskunft, Löschung oder Berichtigung haben eine Frist von 45 Tagen, mit weiteren 45 Tagen, wenn der Besucher informiert wird.

  4. Hinweis bei der Erhebung geben und die vollständige Erklärung pflegen

    Der Hinweis erscheint vor oder bei der Erhebung der Daten und enthält den Link zur Datenschutzerklärung. Die Erklärung beschreibt die Rechte des Besuchers und wie er sie nutzt.

    Beispiel

    Wir verwenden Cookies von Werbepartnern. Nach kalifornischem Recht kann das als Weitergabe von Daten gelten. Zum Ablehnen klicken Sie auf Do Not Sell or Share My Personal Information.

  5. Mindestens zwei Kanäle anbieten

    Wer Daten verkauft oder weitergibt, braucht zwei oder mehr Wege zur Ablehnung. Für Anfragen auf Auskunft oder Löschung darf ein reines Online-Unternehmen nur eine E-Mail-Adresse anbieten.

    Beispiel

    Datenschutzanfragen: datenschutz@ihre-website.de

  6. Die Optionen ausgewogen gestalten

    Die Regeln verlangen Symmetrie bei den Auswahlmöglichkeiten. Ein Hinweis, der nur Ja und Später fragen anbietet, ist nicht ausgewogen, weil es keine Möglichkeit zum Ablehnen gibt.

    Beispiel

    Zwei Buttons in gleicher Größe und gleicher Farbe: Akzeptieren und Ablehnen

  7. Für Personen unter 16 Jahren eine Erlaubnis einholen

    Um Daten von Personen zu verkaufen oder weiterzugeben, von denen Sie wissen, dass sie unter 16 sind, ist vorab eine Erlaubnis nötig. Unter 13 Jahren kommt die Erlaubnis von den Eltern oder Erziehungsberechtigten.

  8. Die Ablehnung an Google weitergeben

    Im Kalifornien-Abschnitt des GPP-Strings schaltet die Ablehnung von Verkauf oder Weitergabe das RDP ein. Alternativ können Sie das RDP im Tag für Personen einschalten, die auf den Link geklickt haben.

    // GPT: liga o processamento restrito de dados (RDP)
// para quem recusou a venda ou a publicidade direcionada
googletag.cmd.push(function () {
  googletag.pubads().setPrivacySettings({
    restrictDataProcessing: true
  });
});

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für Kalifornien keine zertifizierte CMP. Sie können die Meldung von Google für US-Bundesstaaten, eine CMP, die GPP erzeugt, oder das RDP im Tag verwenden. Hier sind die offiziellen Links.

Für wen es gilt

Es genügt, eine von drei Schwellen zu überschreiten

Das Gesetz gilt für gewinnorientierte Unternehmen, die in Kalifornien Geschäfte machen, Daten von Einwohnern des Bundesstaats erheben und mindestens eine der folgenden Schwellen erreichen. Ein Sitz dort ist keine Bedingung: Auch Unternehmen von außerhalb, die Kalifornier bedienen, können darunterfallen.

Umsatz über 26.625.000 US-Dollar

Jahresbruttoumsatz über diesem Wert, der bei 25 Millionen US-Dollar lag und im Januar 2025 inflationsbereinigt wurde. Der Umsatz zählt insgesamt, nicht nur der aus Kalifornien.

100.000 Verbraucher oder Haushalte

Daten von 100.000 oder mehr Verbrauchern oder Haushalten aus Kalifornien pro Jahr kaufen, verkaufen oder weitergeben. Ein Portal mit viel kalifornischem Traffic und personalisierten Anzeigen kann das unbemerkt erreichen.

Die Hälfte des Umsatzes aus Daten

50 % oder mehr des Jahresumsatzes mit dem Verkauf oder der Weitergabe personenbezogener Daten von Kaliforniern erzielen, unabhängig von der Größe des Unternehmens.

Wer nicht erfasst ist

Gemeinnützige Organisationen und öffentliche Stellen sind in der Regel nicht erfasst. Unternehmen unterhalb der drei Schwellen ebenfalls nicht, aber Werbepartner können die Opt-out-Signale trotzdem verlangen.

Definitionen

Die Wörter, die für eine Website mit Anzeigen alles ändern

Der CCPA verwendet eigene Begriffe. Wer die vier folgenden versteht, vermeidet die meisten Missverständnisse.

Personenbezogene Information

Jedes Datum, das mit einer Person oder einem Haushalt verknüpft ist oder verknüpft werden kann. Das Gesetz selbst nennt Online-Kennungen, IP-Adresse, Browserverlauf und Interaktionen mit Websites und Anzeigen.

Sensible personenbezogene Information

Daten wie Dokumente, Kontozugänge, genauer Standort, ethnische Herkunft, Religion, Gesundheit, Sexualleben und Biometrie. Die Besucher können verlangen, dass die Nutzung dieser Daten eingeschränkt wird.

Verkauf

Daten gegen Geld oder einen anderen Wert an Dritte weitergeben. Es muss keine direkte Zahlung geben: Einem Partner zu erlauben, Daten im Austausch für einen Dienst zu erheben, kann als Verkauf zählen.

Weitergabe

Daten an Dritte für kontextübergreifende verhaltensbasierte Werbung weitergeben, also für Anzeigen, die auf Grundlage dessen ausgewählt werden, was die Person auf anderen Websites und in anderen Apps getan hat. Gilt auch ohne Zahlung.

Rechte

Was Besucher aus Kalifornien verlangen können

Das Unternehmen hat 45 Tage, um Anfragen zu beantworten, mit einer Verlängerung um weitere 45 bei Bedarf. Opt-out-Anfragen müssen deutlich schneller und ohne Bürokratie erfüllt werden.

Wissen und Zugriff

Herausfinden, welche Daten erhoben wurden, woher sie stammen, wofür sie dienen und mit wem sie verkauft oder weitergegeben wurden.

Löschen und berichtigen

Die Löschung der erhobenen Daten und die Berichtigung falscher Daten verlangen, mit einigen im Gesetz vorgesehenen Ausnahmen.

Verkauf und Weitergabe ablehnen

Das Unternehmen anweisen, den Verkauf oder die Weitergabe ihrer Daten zu beenden, auch für personalisierte Anzeigen, über einen Link auf der Website oder über ein automatisches Browsersignal.

Sensible Daten einschränken und keine Vergeltung erleiden

Die Nutzung sensibler Daten auf das Nötige beschränken und nicht schlechter behandelt werden, etwa mit höherem Preis oder reduziertem Service, weil man diese Rechte genutzt hat.

Pflichten der Website

Opt-out-Link, GPC-Signal und Datenschutzhinweis

Wer Daten verkauft oder weitergibt, muss einen klaren Link mit dem Text Do Not Sell or Share My Personal Information anbieten, normalerweise in der Fußzeile aller Seiten. Die Regeln der Behörde erlauben, diesen Link und den für sensible Daten durch einen einzigen Link namens Your Privacy Choices zu ersetzen, zusammen mit dem offiziellen Symbol. Ein Klick muss zu einer einfachen Möglichkeit führen abzulehnen, ohne Registrierung und ohne Dokumente zu verlangen.

Das automatische Opt-out-Signal ist ebenfalls Pflicht. Das bekannteste Beispiel ist die Global Privacy Control, der GPC, eine Einstellung des Browsers oder einer Erweiterung, die allen Websites mitteilt, dass die Person nicht möchte, dass ihre Daten verkauft oder weitergegeben werden. Seit dem 1. Januar 2026 verlangen die Regeln, dass die Website anzeigt, ob sie dieses Signal verarbeitet hat, zum Beispiel mit einer Meldung, dass die Opt-out-Anfrage erfüllt wurde.

Außerdem sind ein Hinweis bei der Erhebung und eine vollständige Datenschutzerklärung nötig. Sie listet die Kategorien der erhobenen Daten, die Zwecke, die Kategorien der Unternehmen, die die Daten erhalten, ob es Verkauf oder Weitergabe gibt, wie lange die Daten aufbewahrt werden und wie jedes Recht ausgeübt wird. Die Regeln der Behörde verlangen auch das Datum der letzten Aktualisierung.

Die Regeln verbieten sogenannte Dark Patterns: Das Ablehnen darf nicht mehr Schritte erfordern als das Zustimmen, und das Schließen eines Pop-ups gilt nicht als Einwilligung. Um Daten von Personen zu verkaufen oder weiterzugeben, von denen das Unternehmen weiß, dass sie unter 16 sind, ist eine vorherige Genehmigung nötig. Zwischen 13 und 16 Jahren genehmigen die Jugendlichen selbst, darunter die Eltern.

Zeitleiste

Wie das kalifornische Gesetz bis hierher kam

Daten, bestätigt durch offizielle Quellen des Bundesstaats Kalifornien.

  1. 1. Januar 2020

    CCPA tritt in Kraft

    Das Recht, zu erfahren, zu löschen und dem Verkauf von Daten zu widersprechen, entsteht.

  2. 24. August 2022

    Erste Buße: Sephora

    Vergleich über 1,2 Millionen US-Dollar wegen Datenverkaufs über Tracker von Dritten und Ignorierens des GPC.

  3. 1. Januar 2023

    CPRA beginnt zu gelten

    Die Weitergabe für Anzeigen, die Berichtigung und die Einschränkung sensibler Daten kommen hinzu, und die verpflichtende Frist von 30 Tagen zur Behebung vor einer Strafe entfällt.

  4. 1. Januar 2025

    Angepasste Werte

    Die Umsatzschwelle steigt auf 26.625.000 US-Dollar und die Bußen auf 2.663 und 7.988 US-Dollar.

  5. 1. Januar 2026

    Neues Regelpaket

    Es gelten Risikobewertungen für Tätigkeiten mit erheblichem Risiko, die sichtbare Bestätigung des Opt-out-Signals und die neuen Regeln gegen Dark Patterns.

  6. 1. Januar 2027

    Automatisierte Entscheidungen und Browser

    Die Regeln zu automatisierten Entscheidungen bei wichtigen Entscheidungen beginnen. Das Gesetz AB 566 von 2025 verlangt künftig, dass Browser ein eingebautes Opt-out-Signal anbieten.

  7. 1. April 2028

    Erklärungen an die Behörde

    Frist, um die Erklärung und die Zusammenfassung der Risikobewertungen einzureichen. Die Zertifizierungen der Sicherheitsaudits beginnen zu diesem Datum für alle mit mehr als 100 Millionen US-Dollar Umsatz und folgen 2029 und 2030 für die übrigen.

Durchsetzung und Strafen

Wer kontrolliert und was ein Fehler kostet

Die Datenschutzbehörde und der Generalstaatsanwalt können handeln. Seit 2023 gibt es die verpflichtende Frist von 30 Tagen zur Behebung vor der Strafe nicht mehr. Die Behörde kann Gutgläubigkeit berücksichtigen, muss aber nicht vorher warnen.

Die Bußen wurden im Januar 2025 angepasst: bis zu 2.663 US-Dollar pro Verstoß und bis zu 7.988 US-Dollar pro vorsätzlichem Verstoß oder Verstoß, der Minderjährige unter 16 betrifft. Da jeder Besucher oder jede Anfrage als ein Verstoß zählen kann, wächst die Rechnung schnell. Bürgerinnen und Bürger können nur bei Datenlecks direkt klagen, mit einer Entschädigung zwischen 107 und 799 US-Dollar pro Person und Vorfall.

Sephora zahlte 2022 wegen Trackern und GPC 1,2 Millionen US-Dollar. Im März 2025 zahlte Honda 632.500 US-Dollar an die Behörde, weil es für das Opt-out zu viele Daten verlangte und ein Tool die Wahlmöglichkeiten nicht ausgewogen darstellte. Im Mai 2025 zahlte die Bekleidungsmarke Todd Snyder 345.178 US-Dollar, weil ein falsch konfiguriertes Portal 40 Tage lang keine Opt-out-Anfragen verarbeitete.

Im Juli 2025 schloss der Generalstaatsanwalt einen Vergleich über 1,55 Millionen US-Dollar mit der Gesundheitswebsite Healthline, die Ablehnungen zielgerichteter Werbung, auch über den GPC, nicht beachtete. Im September 2025 erhielt Tractor Supply eine Buße von 1,35 Millionen US-Dollar, die Mängel bei der Behandlung des GPC einschließt. Im Februar 2026 schloss Disney den bis dahin größten Vergleich über 2,75 Millionen US-Dollar, weil Opt-out und GPC nur auf einem Gerät oder Dienst galten.

AdSense und Ad Manager

Was sich auf einer Website mit Google-Anzeigen ändert

Google bietet die eingeschränkte Datenverarbeitung an, genannt RDP. Wenn das Signal vorhanden ist, zeigt Google keine Anzeigen auf Grundlage des früheren Verhaltens der Besucher und sendet nicht personalisierte Anfragen an die Käufer. In diesem Modus handelt Google als Dienstleister, eine Rolle, die das kalifornische Gesetz nicht als Verkauf behandelt.

Es gibt zwei Wege. Der erste ist eine CMP, die die GPP-String erzeugt, das Format des IAB Tech Lab für Datenschutzsignale. AdSense und Ad Manager lesen den Abschnitt US National und den Abschnitt von Kalifornien. Im Abschnitt von Kalifornien aktiviert die Ablehnung von Verkauf oder Weitergabe das RDP, und die Ablehnung für Minderjährige unter 16 löst die Behandlung für Kinder aus. Der zweite Weg ist, das RDP direkt im Tag zu aktivieren, zum Beispiel mit restrictDataProcessing in GPT, nur für alle, die auf den Opt-out-Link geklickt haben.

Die Meldung für US-Bundesstaaten im Menü „Datenschutz und Messaging“ von AdSense und Ad Manager deckt Kalifornien ab. Sie zeigt den Link Do Not Sell or Share My Personal Information, erfasst die Ablehnung und speichert die Entscheidung in GPP. Google weist jedoch darauf hin, dass die Verantwortung für die Einhaltung des Gesetzes bei der Website bleibt.

Auch Header Bidding, Video-Netzwerke und Pixel sozialer Netzwerke erhalten Daten. Das Opt-out muss alle erreichen, nicht nur Google.

In der Praxis

Was in Kalifornien erlaubt ist und was nicht

Alltagsbeispiele einer Website mit AdSense oder Ad Manager und kalifornischen Besuchern.

Erlaubt

  • Personalisierte Anzeigen zeigen, bis die Besucher ablehnen, solange der Opt-out-Link sichtbar ist
  • Einen einzigen Link Your Privacy Choices mit dem offiziellen Symbol in der Fußzeile verwenden
  • Den GPC lesen und die Besucher in der GPP-String automatisch als Opt-out markieren
  • Eine kurze Meldung anzeigen, die bestätigt, dass das Opt-out-Signal erfüllt wurde
  • Nicht personalisierte Anzeigen für alle zeigen, die abgelehnt haben
  • Die Meldung für US-Bundesstaaten von Google verwenden

Nicht erlaubt

  • Registrierung oder ein Dokument verlangen, um das Opt-out zu erfassen
  • Den Akzeptieren-Button farbig gestalten und den Ablehnen-Button grau verstecken
  • Das Schließen des Pop-ups als Zustimmung behandeln
  • Nur Google abschalten und Header Bidding und Pixel weiter Daten empfangen lassen
  • Den GPC ignorieren, weil die Besucher nicht auf den Link geklickt haben
  • Daten von Personen, von denen Sie wissen, dass sie unter 16 sind, ohne Genehmigung für personalisierte Anzeigen verwenden

Häufige Fehler

Mängel, die in Durchsetzungsfällen auftauchen

Fast alle öffentlichen Vergleiche betreffen ein Opt-out, das zu funktionieren scheint, aber nicht funktioniert.

Link, der zu einem Text führt

Der Link Do Not Sell or Share öffnet die Datenschutzerklärung statt eines Bildschirms, auf dem die Besucher tatsächlich ablehnen können.

GPC gelesen, aber ohne Wirkung

Die CMP erkennt den GPC, aber die Anzeigen-Tags laden vorher oder erhalten weiter das Signal „nicht abgelehnt“.

Opt-out nur für Google

Das RDP wird bei Google aktiviert, aber die Header-Bidding-Partner und Pixel von Dritten erheben weiter Daten.

Unausgewogenes Banner

Alles mit einem Klick akzeptieren und erst nach dem Öffnen der Einstellungen ablehnen. Die fehlende Ausgewogenheit der Wahlmöglichkeiten fiel im Fall Honda ins Gewicht.

Veraltete Erklärung

Erklärung ohne Aktualisierungsdatum, ohne die Datenkategorien oder ohne den Hinweis, dass für Anzeigen weitergegeben wird.

Meldung nur für Kalifornien, ohne String

Das Banner erscheint, aber es wird keine GPP-String erzeugt, sodass Google und die Partner die Entscheidung der Besucher nicht erhalten.

In ConsentMode

Was das Audit zum CCPA prüft

  • Öffnet die Website als Besucher aus Kalifornien und sucht auf allen analysierten Seiten den Link Do Not Sell or Share oder Your Privacy Choices.
  • Wiederholt den Besuch mit eingeschaltetem GPC und beobachtet, ob sich die GPP-String, das RDP und die Bestätigungsmeldung auf der Seite ändern.
  • Liest die GPP-String in den Anzeigenanfragen und zeigt, ob die Abschnitte US National oder Kalifornien die Ablehnung anzeigen.
  • Erkennt die CMP am Code der Seite und prüft, ob die Anzeigen-Tags auf ihre Antwort warten.
  • Liest die Datenschutzerklärung und nennt fehlende Punkte, etwa Datenkategorien, Weitergabe für Anzeigen und Aktualisierungsdatum.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen zum CCPA

Meine Website ist brasilianisch. Gilt der CCPA für mich?

Möglicherweise. Das Gesetz verlangt keinen Sitz in Kalifornien. Wenn das Unternehmen Einwohner des Bundesstaats bedient und eine der drei Schwellen überschreitet, etwa 100.000 Verbraucher oder Haushalte pro Jahr mit für Anzeigen weitergegebenen Daten, fällt es darunter. Unterhalb der Schwellen gilt das Gesetz nicht, aber Google und andere Partner lesen die Opt-out-Signale weiterhin.

Zählen AdSense-Anzeigen als Verkauf?

Personalisierte Anzeigen auf Grundlage des Surfens auf anderen Websites fallen unter den Begriff der Weitergabe. Bei aktivem RDP handelt Google als Dienstleister und zeigt diesen Besuchern nur nicht personalisierte Anzeigen.

Brauche ich ein Cookie-Banner für Kalifornien?

Der CCPA funktioniert über Opt-out und verlangt daher für Erwachsene keine vorherige Erlaubnis. Er verlangt den Hinweis bei der Erhebung, den Ablehnungs-Link und das Beachten des GPC. Für Minderjährige unter 16 ist ein Opt-in nötig.

Ist der GPC wirklich Pflicht?

Ja. Der Generalstaatsanwalt und die Behörde behandeln den GPC als gültige Opt-out-Anfrage, und mehrere Vergleiche, etwa die von Sephora, Tractor Supply und Disney, nennen Mängel beim GPC. Seit 2026 muss die Website auch anzeigen, ob sie das Signal verarbeitet hat.

Gilt die Risikobewertung für einen Blog?

Sie gilt für Unternehmen, die unter das Gesetz fallen und deren Tätigkeiten auf der Liste mit erheblichem Risiko in den Regeln der Behörde stehen. Wer personalisierte Anzeigen schaltet, sollte diese Liste mit einer Anwältin oder einem Anwalt prüfen. Ein Blog unterhalb der Schwellen des CCPA braucht sie nicht. Wer darüber liegt und auf die Liste passt, muss die Bewertung dokumentieren und die Erklärung bis zum 1. April 2028 einreichen.

Löst ConsentMode den CCPA für mich?

Nein. ConsentMode ist keine CMP und zeigt kein Banner. Es prüft die Website von außen und zeigt, was zu korrigieren ist. Die rechtliche Entscheidung liegt bei Ihrer Anwältin oder Ihrem Anwalt.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Prüfen Sie, ob Ihr Opt-out wirklich funktioniert

Das Audit öffnet die Website als Besucher aus Kalifornien, mit und ohne GPC, und zeigt, was zu korrigieren ist, ohne etwas zu verändern.

Audit starten