CCPA Cookie Banner: Anforderungen, GPC und Umsetzung

Wenn Sie für europäische Besucher bereits einen Banner nach unserem Leitfaden zum DSGVO-konformen Cookie-Banner eingerichtet haben, wirken die kalifornischen Regeln auf den ersten Blick vertraut und sind im Kern doch ganz anders. Dieser Artikel zeigt, was der California Consumer Privacy Act (in der Fassung des CPRA) für Cookies tatsächlich verlangt, was ein CCPA-konformer Cookie-Banner enthalten muss und wie Sie ihn testen.

Verlangt der CCPA einen Cookie-Banner?

Nicht ausdrücklich. Weder das Gesetz noch die Ausführungsverordnung verwenden den Begriff „Cookie-Banner“. Sie enthalten aber vier Pflichten, die Cookies betreffen, sobald diese personenbezogene Daten erheben. In Kalifornien zählen dazu Cookie-IDs, IP-Adressen und Gerätekennungen:

1. Hinweis bei der Erhebung („notice at collection“, Abschnitt 7012 der Verordnung): Besucher müssen spätestens bei der Erhebung erfahren, welche Datenkategorien Sie erheben und wozu.
2. Das Recht, Verkauf und Weitergabe zu widersprechen (Civil Code 1798.120): Wenn Ihre Tracker Daten verkaufen oder teilen, müssen Besucher über einen Link „Do Not Sell or Share My Personal Information“ oder den alternativen Link „Your Privacy Choices“ widersprechen können.
3. Opt-out-Präferenzsignale (Abschnitt 7025): Das vom Browser gesendete Signal Global Privacy Control gilt als wirksamer Widerspruch.
4. Symmetrie der Auswahl (Abschnitt 7004): Der Weg zum Nein darf nicht länger oder schwieriger sein als der Weg zum Ja.

Der Banner ist schlicht der praktischste Ort, um alle vier Pflichten zu erfüllen. Deshalb sprechen amerikanische Leitfäden vom „CCPA Cookie Banner“, obwohl das Gesetz selbst es nicht tut.

Wer betroffen ist

Der CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und eine von drei Schwellen erreichen: einen Jahresumsatz über 26.625.000 US-Dollar (von der kalifornischen Datenschutzbehörde CPPA ab Januar 2025 angepasster Betrag), den Kauf, Verkauf oder die Weitergabe von Daten von mindestens 100.000 kalifornischen Verbrauchern oder Haushalten, oder mindestens 50 % des Jahresumsatzes aus dem Verkauf oder der Weitergabe von Daten. Ein deutsches Unternehmen mit US-Publikum kann über das zweite oder dritte Kriterium in den Anwendungsbereich fallen. Text und Schwellenwerte fasst unsere Seite zu CCPA und CPRA zusammen.

Wann Cookies Daten „verkaufen“ oder „teilen“

Diese Frage entscheidet, ob Sie überhaupt ein Opt-out brauchen. Seit dem CPRA bedeutet „Sharing“ die Weitergabe von Daten an Dritte für kontextübergreifende verhaltensbasierte Werbung, unabhängig davon, ob Geld fließt. „Selling“ umfasst jede Weitergabe gegen eine „wertvolle Gegenleistung“, was weiter reicht als eine Zahlung.

In der Praxis:

• Werbepixel (Meta Pixel, TikTok Pixel, Google Ads Remarketing, LinkedIn Insight Tag) senden Surfdaten an Plattformen, die damit anderswo Werbung ausspielen. Das ist der klassische Fall von Sharing.
• Webanalyse durch einen Anbieter mit Dienstleistervertrag („service provider“), der die Nutzung der Daten begrenzt, ist in der Regel kein Verkauf. Dasselbe Tool kann es werden, wenn es Daten an ein Werbenetzwerk liefert.
• Technisch notwendige Cookies (Sitzung, Warenkorb, Sicherheit) werden weder verkauft noch geteilt und brauchen kein Opt-out.

Der kalifornische Generalstaatsanwalt hat das im August 2022 mit einem Vergleich über 1,2 Millionen US-Dollar mit Sephora verdeutlicht: Der Händler ließ Tracker Dritter auf seiner Website Daten erheben, im Gegenzug für Analyse- und Werbeleistungen, ohne den Verkauf offenzulegen und ohne Global Privacy Control zu beachten.

Bevor Sie etwas entscheiden, müssen Sie wissen, was auf Ihren Seiten tatsächlich ausgelöst wird. Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website setzt, und ordnen Sie dann jedes Cookie ein: notwendig, Analyse oder Werbung.

CCPA-Anforderungen: Was der Cookie-Banner enthalten muss

Sobald einige Cookies Daten verkaufen oder teilen, muss der CCPA Cookie Banner (oder die Kombination aus Banner und Footer-Links) folgende Punkte abdecken.

Ein Hinweis bei der Erhebung

Ein kurzer Satz im Banner erklärt, dass die Website Cookies für Analyse und Werbung nutzt, mit einem Link zum Erhebungshinweis oder zum Abschnitt der Datenschutzerklärung, der Kategorien, Zwecke, Speicherdauer und den Verkauf oder die Weitergabe auflistet. Unser Artikel zu Cookie-Hinweis und Cookie-Richtlinie erklärt, wie die Dokumente zusammenspielen.

Ein klarer Weg zum Widerspruch

Die Verordnung erlaubt zwei Formate. Entweder einen Link „Do Not Sell or Share My Personal Information“ (plus „Limit the Use of My Sensitive Personal Information“, wenn Sie sensible Daten verarbeiten) oder einen einzigen Link „Your Privacy Choices“ mit dem offiziellen Schalter-Symbol. Der Link muss im Footer oder an einer anderen gut sichtbaren Stelle jeder Seite stehen. Im Banner selbst erfüllt eine Schaltfläche zum Widerspruch, die sofort wirkt, denselben Zweck.

Gleichwertige Auswahlmöglichkeiten

Abschnitt 7004 nennt ausdrückliche Beispiele für fehlende Symmetrie: „Alle akzeptieren“ neben „Mehr erfahren“ oder „Ja“ neben „Später fragen“. Wenn Zustimmen einen Klick kostet, muss Widersprechen ebenfalls einen Klick kosten. Im März 2025 verhängte die CPPA gegen Honda 632.500 US-Dollar, unter anderem weil dessen Datenschutz-Tool die Auswahl nicht symmetrisch darstellte. Ein konkretes Gegenbeispiel: FlowConsent zeigt „Akzeptieren“ und „Ablehnen“ standardmäßig in gleicher Größe und Farbe, und die Gestaltungsoptionen können dieses Gleichgewicht nicht aufheben.

Keine Hürden beim Opt-out

Ein Widerspruch erfordert keine Identitätsprüfung. Wer eine E-Mail-Adresse, ein Konto oder einen Wohnsitznachweis verlangt, um das Teilen über Cookies zu stoppen, verstößt gegen die Regeln. Honda wurde auch dafür sanktioniert, zu viele Angaben verlangt zu haben, und im Mai 2025 willigte der Bekleidungshändler Todd Snyder ein, 345.178 US-Dollar wegen fehlerhafter Opt-out-Verfahren und überzogener Prüfanforderungen zu zahlen.

Beachtung des Signals Global Privacy Control

Diese Pflicht wird am häufigsten übersehen und bekommt daher einen eigenen Abschnitt.

Global Privacy Control: das Signal, das Ihr Banner lesen muss

Global Privacy Control (GPC) ist eine Browsereinstellung, die mit jeder Anfrage den Header Sec-GPC: 1 sendet und Skripten navigator.globalPrivacyControl bereitstellt. Firefox, Brave und DuckDuckGo unterstützen sie, Erweiterungen ergänzen sie in anderen Browsern. Nach Abschnitt 7025 muss ein Unternehmen dieses Signal als wirksamen Widerspruch gegen Verkauf und Weitergabe für diesen Browser behandeln, ohne eine Bestätigung zu verlangen. Die seit Januar 2026 geänderte Verordnung erlaubt es, anzuzeigen, dass das Signal berücksichtigt wurde.

Die Durchsetzung läuft. Tractor Supply erhielt 2025 von der CPPA ein Bußgeld von 1,35 Millionen US-Dollar, unter anderem wegen Missachtung von GPC, und im Juli 2025 gab der Generalstaatsanwalt einen Vergleich über 1,55 Millionen US-Dollar mit Healthline wegen nicht umgesetzter Widersprüche bekannt. Am 9. September 2025 kündigten Kalifornien, Colorado und Connecticut eine gemeinsame Überprüfung von Websites an, die das Signal ignorieren. Der Druck wächst: Der Opt Me Out Act (AB 566), unterzeichnet im Oktober 2025, verpflichtet Browser ab dem 1. Januar 2027, eine Opt-out-Einstellung anzubieten.

Technisch bedeutet die Beachtung von GPC, dass Ihr Banner-Skript das Signal prüft, bevor ein Werbe-Tag geladen wird, und diese Tags bei vorhandenem Signal blockiert lässt und den Widerspruch protokolliert.

CCPA Cookie Banner und DSGVO-Banner im Vergleich

Beide Modelle gehen von entgegengesetzten Grundsätzen aus, wie unser Vergleich von CCPA und DSGVO bei Cookies zeigt:

• DSGVO, ePrivacy-Richtlinie und TDDDG verlangen eine vorherige Einwilligung: Nicht notwendige Cookies bleiben blockiert, bis der Besucher zustimmt. Das ist Opt-in.
• Der CCPA erlaubt Cookies standardmäßig und verlangt eine einfache Möglichkeit, ihrem Verkauf oder ihrer Weitergabe zu widersprechen. Das ist Opt-out.

Unser Beitrag zu Opt-in und Opt-out erklärt den Unterschied mit Beispielen. Für eine Website mit europäischen und kalifornischen Besuchern gibt es zwei tragfähige Strategien. Die erste wendet Opt-in überall an: strenger als in Kalifornien nötig, aber nur eine Konfiguration und keine Geolokalisierungsfehler. Die zweite arbeitet mit Geotargeting, mit einem Opt-in-Banner für EU und Vereinigtes Königreich und einem Opt-out-Banner für Kalifornien. Sie maximiert die Datenerhebung in den USA, verdoppelt aber den Testaufwand. Weitere US-Bundesstaaten mit umfassenden Datenschutzgesetzen (Colorado, Connecticut, Texas, Oregon und andere) folgen ebenfalls dem Opt-out-Ansatz, mit Abweichungen im Detail.

Einen CCPA Cookie Banner einrichten, Schritt für Schritt

1. Tracker inventarisieren. Website scannen, jedes Cookie und Skript mit Anbieter und Zweck auflisten.
2. Einordnen. Notwendig, Analyse unter Dienstleistervertrag, Werbung oder seitenübergreifendes Profiling (Verkauf oder Weitergabe).
3. Modell wählen. Opt-in überall oder Opt-out per Geotargeting für Kalifornien.
4. Erhebungshinweis verfassen und im Banner verlinken.
5. Opt-out einbauen. Einen Link „Do Not Sell or Share“ oder „Your Privacy Choices“ im Footer und im Banner eine Ablehnen- oder Opt-out-Schaltfläche, die genauso sichtbar ist wie die Zustimmung.
6. GPC beachten. Werbe-Tags bei vorhandenem Signal blockieren und den Widerspruch protokollieren.
7. Testen. GPC in Firefox oder Brave aktivieren, die Website laden und im Netzwerk-Tab prüfen, dass keine Werbeanfrage hinausgeht. Dann ohne GPC auf den Opt-out-Link klicken und dasselbe Ergebnis prüfen. Nach jedem neuen Tag erneut testen.

Für Layout und Formulierungen zeigen unsere Cookie-Banner-Beispiele, wie ausgewogene Designs aussehen.

Häufige Fehler auf Websites mit kalifornischem Publikum

• Ein Opt-out-Link, der auf ein Kontaktformular oder eine allgemeine Datenschutzseite führt.
• Ein Banner nur mit „Akzeptieren“, die Ablehnung versteckt hinter „Einstellungen verwalten“.
• Ein gespeicherter Widerspruch, der Meta Pixel oder Google Ads Tags nicht stoppt.
• GPC wird ignoriert, weil die CMP nur für die DSGVO konfiguriert wurde.
• Eine E-Mail-Adresse wird verlangt, bevor ein Cookie-Widerspruch bearbeitet wird.
• Ein Cookie-Tool, das nach einem Website-Update unbemerkt nicht mehr funktioniert, genau die Art von Fehler, die Todd Snyder vorgeworfen wurde. Regelmäßige Scans decken das auf.

Wie FlowConsent den CCPA Cookie Banner umsetzt

FlowConsent wendet das Opt-in-Modell auf alle Besucher an, auch auf Kalifornier: Werbe- und Analyseskripte bleiben blockiert, bis der Besucher zustimmt, „Akzeptieren“ und „Ablehnen“ sind gleichwertig, und über eine schwebende Schaltfläche kann jeder seine Wahl jederzeit ändern. Damit sind Symmetrie und hürdenfreier Widerspruch abgedeckt, und die Daten eines Besuchers, der nie zustimmt, werden nie mit Werbenetzwerken geteilt. Jede Entscheidung wird als exportierbarer Einwilligungsnachweis gespeichert, und der automatische Cookie-Scan hilft, neue Tracker nach einem Update zu erkennen. Was die Dokumentation derzeit nicht beschreibt, ist ein eigener US-Opt-out-Modus mit Geolokalisierung oder eine automatische GPC-Erkennung: Der Link „Your Privacy Choices“ und die GPC-Verarbeitung liegen bei Ihnen. Wenn Sie das für eine primär US-orientierte Website eingebaut brauchen, ist unser Vergleich mit Osano ein fairer Ausgangspunkt. Gestaltung und Schaltfläche zum erneuten Öffnen beschreibt der Leitfaden zur Banner-Anpassung.