TL;DR
Die DSGVO und der CCPA sind die beiden wichtigsten Regelwerke für den Umgang mit Cookies auf Websites, funktionieren aber grundlegend unterschiedlich. Die DSGVO (Europa) verlangt eine ausdrückliche Einwilligung, bevor ein nicht notwendiges Cookie gesetzt wird (Opt-in). Der CCPA/CPRA (Kalifornien) erlaubt das Setzen von Cookies standardmäßig, verlangt aber einen Opt-out-Mechanismus für den Verkauf oder die Weitergabe personenbezogener Daten. Eine Website, die Nutzer in beiden Regionen anspricht, muss beide Regelwerke gleichzeitig umsetzen. Dafür braucht es eine CMP, die Regeln nach Geolokalisierung unterscheiden kann.
Warum dieser Vergleich wichtig ist
Die DSGVO geht vom Grundsatz aus, dass ohne vorherige Zustimmung nichts erhoben werden darf. Der CCPA geht davon aus, dass die Erhebung erlaubt ist, der Nutzer aber widersprechen können muss. Diese Unterscheidung hat direkte Folgen für die Konfiguration Ihres Cookie-Banners, die Blockierung von Skripten und die Architektur Ihrer CMP.
DSGVO und CCPA: zwei Regelwerke, zwei Philosophien
Die DSGVO im Überblick
Die DSGVO gilt seit Mai 2018 in der Europäischen Union. Sie fasst den Begriff der personenbezogenen Daten weit: IP-Adressen, Cookie-Kennungen, Browsing-Daten. Jedes nicht notwendige Cookie erfordert eine vorherige Einwilligung, die freiwillig, informiert, spezifisch und unmissverständlich erteilt wird. Das ist das Opt-in-Modell.
Der CCPA/CPRA im Überblick
Der CCPA gilt seit Januar 2020 und wurde im Januar 2023 durch den CPRA verschärft. Er gilt für Unternehmen, die bestimmte Schwellenwerte überschreiten (25 Mio. US-Dollar Umsatz, 100.000 Einwohner oder 50 % des Umsatzes aus Datenverkäufen). Der CCPA folgt einem Opt-out-Modell: Cookies dürfen bereits beim Laden der Seite gesetzt werden, Nutzer müssen aber über einen „Do Not Sell or Share“-Link und das GPC-Signal widersprechen können.
Die konkreten Unterschiede bei Cookies
Wenn Ihre Website nach der DSGVO Google Analytics oder ein Werbe-Pixel lädt, bevor der Nutzer auf „Akzeptieren“ klickt, liegt ein Verstoß vor. Nach dem CCPA dürfen diese Skripte sofort geladen werden, der Nutzer muss den Verkauf oder die Weitergabe seiner Daten aber über ein leicht zugängliches Opt-out verhindern können.
Was das in der Praxis für Ihre Website bedeutet
Wenn Sie nur Europa ansprechen
Blockieren Sie alle nicht notwendigen Skripte vor der Einwilligung. Ihr Cookie-Banner muss eine granulare Auswahl mit einem „Ablehnen“-Button bieten, der genauso sichtbar ist wie der „Akzeptieren“-Button. Einwilligungsnachweise müssen gespeichert werden.
Wenn Sie nur Kalifornien ansprechen
Sie dürfen Tracking-Skripte bereits beim Laden der Seite laden. Zeigen Sie einen „Do Not Sell or Share“-Link an, der von allen Seiten aus erreichbar ist. Ihre Website muss das GPC-Signal berücksichtigen.
Wenn Sie beide Regionen ansprechen
Ihre CMP muss den Standort der Besucher erkennen und die jeweils geltenden Regeln anwenden. Prüfen Sie beim Auswählen einer CMP für beide Regelwerke, ob sie Geolokalisierung, GPC und Consent Mode v2 unterstützt.
Welche Cookies von welcher Regelung betroffen sind
Die beiden Regelwerke betreffen nicht genau dieselben Cookie-Arten. Unbedingt erforderliche Cookies sind in beiden Fällen ausgenommen. Analyse-Cookies erfordern nach der DSGVO ein Opt-in. Werbe-Cookies fallen unter beide Regelwerke.
Häufige Fehler (und wie Sie sie vermeiden)
Überall dieselben Regeln anwenden. Wenn Sie die DSGVO-Regeln auf alle Besucher anwenden, sinkt die Einwilligungsrate in Kalifornien. Wenn Sie die CCPA-Regeln auf alle Besucher anwenden, ist das nicht DSGVO-konform.
Das GPC-Signal ignorieren. Der CCPA/CPRA verlangt, dass Global Privacy Control berücksichtigt wird. 2025 wurde Tractor Supply mit einer Strafe von 1,35 Millionen US-Dollar belegt, unter anderem, weil GPC nicht berücksichtigt wurde.
„Do Not Sell“ mit „Alle ablehnen“ verwechseln. Der „Do Not Sell“-Link des CCPA betrifft speziell den Verkauf und die Weitergabe von Daten an Dritte, nicht alle Cookies.
Consent Mode v2 vergessen. Wenn Sie Google Analytics nutzen und den EWR ansprechen, ist Consent Mode v2 seit März 2024 Pflicht. Das ist unabhängig von den Anforderungen des CCPA.
Die Dokumentation vernachlässigen. Die DSGVO verlangt eine umfassende Dokumentation. Der CCPA verlangt eine aktuelle Datenschutzerklärung und einen Hinweis bei der Datenerhebung (Notice at Collection). Beide erfordern jährliche Aktualisierungen.
So konfigurieren Sie Ihre CMP für beide Regelwerke
Geolokalisierung, um den Standort der Besucher zu ermitteln. Ein an die Region angepasstes Banner. Bedingte Blockierung von Skripten. Speicherung der Einwilligungsnachweise. Nutzen Sie einen Cookie-Scanner zur Prüfung, ob Ihre CMP-Konfiguration korrekt funktioniert.
Checkliste zur Cookie-Compliance nach CCPA und DSGVO
- Ermitteln, wo sich Ihre Besucher befinden und welche Regelwerke gelten.
- Die CMP mit nach Geolokalisierung differenzierten Regeln konfigurieren.
- Nicht notwendige Skripte für europäische Besucher vor der Einwilligung blockieren.
- Für kalifornische Besucher einen „Do Not Sell or Share“-Link anzeigen.
- Die Berücksichtigung des GPC-Signals konfigurieren.
- Einwilligungsnachweise für Besucher aus der EU speichern.
- Die Datenschutzerklärung um die Angaben nach DSGVO und CCPA ergänzen.
- Consent Mode v2 für Besucher aus dem EWR konfigurieren.
- Die Website scannen, um zu prüfen, ob Blockierung und Opt-out korrekt funktionieren.
- Eine jährliche Überprüfung der CMP-Konfiguration einplanen.
Fazit und nächster Schritt
DSGVO und CCPA stellen unterschiedliche Anforderungen: Opt-in in Europa, Opt-out in Kalifornien. Eine Website mit Traffic aus beiden Regionen muss beide Regelwerke umsetzen. Beginnen Sie mit einem Scan Ihrer Website zur Erkennung aller aktiven Cookies und Tracker. 2026 wird die Durchsetzung von DSGVO und CCPA weiter verschärft, und Websites, die in den USA und der EU aktiv sind, brauchen eine klare Compliance-Strategie für beide Regelwerke.