Do Not Sell Link nach CCPA: Pflichten und Umsetzung

Für europäische Websites wirkt das ungewohnt: Die DSGVO verlangt eine vorherige Einwilligung, wie unser Leitfaden zu den Voraussetzungen der DSGVO-Einwilligung erklärt. In Kalifornien dürfen Tracker standardmäßig laden, und der Do-Not-Sell-Link ist das Werkzeug, mit dem Besucher Nein sagen. Dieser Artikel richtet sich an Unternehmen, auch aus Deutschland, Österreich und der Schweiz, die ein US-Publikum haben: was der Link sagen muss, wo er hingehört, was nach dem Klick passieren muss und wie Sie ihn testen.

Was bedeutet „Do Not Sell My Personal Information“?

Die erste Fassung des CCPA, seit Januar 2020 in Kraft, gab Einwohnern Kaliforniens das Recht, einem Unternehmen den Verkauf ihrer Daten zu untersagen, und verlangte einen Link „Do Not Sell My Personal Information“ auf der Startseite. Der California Privacy Rights Act (CPRA) hat dieses Recht ab Januar 2023 auf das „Teilen“ erweitert, und der vorgeschriebene Titel wurde zu „Do Not Sell or Share My Personal Information“. Viele Websites zeigen noch die alte Formulierung, die Sie aktualisieren sollten.

Zwei Begriffe tragen den ganzen Mechanismus:

• Verkaufen (sell): personenbezogene Daten gegen Geld oder eine andere „wertvolle Gegenleistung“ an Dritte weitergeben. Ein kostenloses Analyse- oder Werbetool, das im Gegenzug die Daten Ihrer Besucher weiterverwendet, kann ein Verkauf sein.
• Teilen (share): Daten an Dritte für seitenübergreifende verhaltensbasierte Werbung weitergeben, bezahlt oder nicht. Retargeting-Pixel und Tags von Werbenetzwerken sind der typische Fall.

Für Besucher ist der Klick ein „Stopp“. Für das Unternehmen ist er eine Pflicht mit Fristen, und die Aufsicht prüft, ob der Link tatsächlich funktioniert. Den Unterschied der beiden Modelle erklärt unser Artikel zu Opt-in und Opt-out, und unser Leitfaden zu den Arten der Einwilligung zeigt, warum fehlender Widerspruch in Europa nie als Einwilligung gelten würde.

Brauchen Sie einen Do Not Sell Link?

Ja, wenn zwei Bedingungen erfüllt sind. Erstens fällt Ihr Unternehmen unter den CCPA: ein gewinnorientiertes Unternehmen, das in Kalifornien Geschäfte macht und einen Jahresumsatz über 26.625.000 Dollar hat (Schwelle 2025), oder die Daten von mindestens 100.000 kalifornischen Verbrauchern oder Haushalten kauft, verkauft oder teilt, oder mindestens die Hälfte seines Umsatzes mit dem Verkauf oder Teilen von Daten erzielt. Ein europäisches Unternehmen kann also betroffen sein. Schwellen und Gesetzestext fasst unsere Seite zu CCPA und CPRA zusammen.

Zweitens verkaufen oder teilen Sie tatsächlich Daten. In Kalifornien gelten Cookie-IDs, IP-Adressen und Gerätekennungen als personenbezogene Daten: Ein Meta Pixel, ein TikTok Pixel oder Google Ads Remarketing reichen meist aus.

Wenn Sie weder verkaufen noch teilen, befreit Sie Abschnitt 7013(g) der Ausführungsverordnung vom Link, sofern Ihre Datenschutzerklärung genau das sagt. Diese Aussage muss stimmen: Im Vergleich von 2022 mit Sephora warf der kalifornische Generalstaatsanwalt dem Händler vor, Drittanbieter-Tracker auf seiner Website Daten sammeln zu lassen, ohne die Besucher über den Verkauf zu informieren.

Wo gehört der Do Not Sell Link hin?

Abschnitt 7013(c) verlangt den Link im Header oder Footer der Startseite. Abschnitt 7003(c) ergänzt, dass er wie die benachbarten Links aussehen muss: mindestens ungefähr gleiche Größe und Farbe, keine graue Fußnote in kleiner Schrift. Konkret:

• Setzen Sie ihn in den globalen Footer, damit er auf jeder Seite erscheint.
• Verwenden Sie den exakten englischen Titel: „Do Not Sell or Share My Personal Information“.
• Wenn Sie sensible Daten über das gesetzlich Erlaubte hinaus nutzen, ergänzen Sie „Limit the Use of My Sensitive Personal Information“ oder nutzen den kombinierten Link (siehe unten).
• Für eine mobile App verlangt Abschnitt 7003(d), dass die Datenschutzerklärung über die Store-Seite der App erreichbar ist; der Link darf zusätzlich in der App stehen.

„Do Not Sell or Share“ oder „Your Privacy Choices“?

Abschnitt 7015 bietet eine Alternative: einen einzigen Link mit dem Titel „Your Privacy Choices“ oder „Your California Privacy Choices“ und dem offiziellen Opt-out-Symbol (ein blau-weißer Schalter) direkt neben dem Titel, ungefähr so groß wie die anderen Symbole im Header oder Footer. Dieser Link ersetzt sowohl „Do Not Sell or Share“ als auch „Limit the Use of My Sensitive Personal Information“.

Der Preis dafür: Die Zielseite muss beide Rechte erklären und beide online ausübbar machen. Wenn Sie nur den Widerspruch gegen Verkauf und Teilen brauchen, ist der klassische Link einfacher. Wenn Sie auch andere US-Bundesstaaten abdecken, ist „Your Privacy Choices“ ein neutraler Titel, der auch außerhalb Kaliforniens passt.

Was nach dem Klick passieren muss

Abschnitt 7013(a) gibt dem Link einen Zweck: den Widerspruch sofort wirksam zu machen. Zwei Umsetzungen sind konform.

1. Sofortige Wirkung. Der Klick öffnet einen Schalter oder eine Bestätigung, die den Widerspruch sofort erfasst. Der Hinweis auf das Widerspruchsrecht steht dann in der Datenschutzerklärung.
2. Eine eigene Seite. Der Link führt zu einer Seite, die das Recht auf Widerspruch gegen Verkauf und Teilen beschreibt und das interaktive Formular nach Abschnitt 7026(a)(1) enthält. Das Formular muss kurz sein: kein Konto, kein Login, keine Ausweisdokumente.

In beiden Fällen muss der Widerspruch die Tags erreichen, die tatsächlich Daten senden. Ein Formular, das eine Präferenz in einer Datenbank speichert, während das Meta Pixel weiter feuert, ist kein Widerspruch. Erfassen Sie zuerst, was auf Ihren Seiten wirklich läuft. Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website setzt, und ordnen Sie jeden Tracker als notwendig, Analyse oder Werbung ein.

Die zweite Hälfte der Arbeit liegt auf dem Server: Daten, die über Server-Events oder CRM-Uploads an Werbeplattformen gehen, müssen ebenfalls stoppen. Ein konkretes Beispiel dafür: FlowConsent sendet einen signierten Webhook consent.withdrawn an Ihren Server, wenn ein Besucher ablehnt oder widerruft, und Ihr Backend kann damit das serverseitige Teilen für diesen Besucher stoppen.

Warum ein Cookie-Banner nicht ausreicht

Hier liegt der häufigste Fehler. Abschnitt 7026(a)(4) sagt es klar: Ein Cookie-Banner oder Cookie-Einstellungen sind für sich genommen kein zulässiger Weg, dem Verkauf oder Teilen zu widersprechen, weil Cookies die Erhebung von Daten betreffen, nicht deren Verkauf oder Weitergabe. Ein Button „Alle ablehnen“ hilft, ersetzt aber den Link nicht.

Abschnitt 7026(a) verlangt außerdem mindestens zwei festgelegte Wege für Widersprüche, von denen einer der Art entsprechen muss, wie Sie hauptsächlich mit Verbrauchern interagieren. Für eine Website ist das übliche Paar das Formular hinter dem Link plus das Signal Global Privacy Control. Unser Leitfaden zum CCPA Cookie Banner erklärt, wie Banner, Link und GPC auf einer Seite zusammenspielen.

Regeln für die Bearbeitung eines Do-Not-Sell-Antrags

Abschnitt 7026 regelt den Ablauf, und Durchsetzungsverfahren haben jeden dieser Punkte ins Visier genommen:

• Kein Konto, keine Verifizierung. Sie dürfen weder ein Konto (7026(c)) noch einen verifizierten Antrag (7026(d)) verlangen. Erfragen dürfen Sie nur, was Sie zum Auffinden der Person brauchen, etwa eine E-Mail-Adresse, wenn der Widerspruch für ein Kundenkonto gelten soll.
• Höchstens 15 Werktage. Stoppen Sie Verkauf und Teilen so schnell wie möglich, spätestens 15 Werktage nach Eingang des Antrags (7026(f)).
• Dritte informieren. Benachrichtigen Sie die Dritten, an die Sie zwischen Antrag und Umsetzung Daten verkauft oder weitergegeben haben, und weisen Sie sie an, den Widerspruch zu beachten (7026(f)).
• Eine Option für alles. Granulare Auswahl ist erlaubt, aber eine einzige Option „allem widersprechen“ muss ebenfalls angeboten werden (7026(h)).
• Gleicher Aufwand. Der Weg zum Nein muss so einfach sein wie der Weg zum Ja (Abschnitt 7004). Im März 2025 verhängte die kalifornische Datenschutzbehörde CPPA gegen Honda 632.500 Dollar, unter anderem wegen asymmetrischer Wahlmöglichkeiten und überzogener Datenabfragen im Opt-out-Prozess.
• Kein Nachhaken. Das Gesetz verlangt mindestens 12 Monate Wartezeit, bevor Sie eine Person nach ihrem Widerspruch erneut um Zustimmung zum Verkauf oder Teilen bitten.
• Minderjährige. Für Verbraucher unter 16 Jahren kehrt sich das Modell um: kein Verkauf und kein Teilen ohne vorherige Einwilligung (Civil Code 1798.120(c)).

Sie dürfen Besuchern anzeigen, dass der Widerspruch wirkt, etwa mit einem Status „opted out“ oder einem ausgeschalteten Schalter (7026(g)).

Global Privacy Control und die reibungslose Variante

Global Privacy Control (GPC) ist eine Browsereinstellung, die jeder Website mitteilt: „Meine Daten nicht verkaufen oder teilen.“ Abschnitt 7025 macht daraus einen gültigen Widerspruch, und Abschnitt 7025(e) stellt klar, dass der Link nicht von der Pflicht befreit, das Signal zu beachten: Sie brauchen beides, außer Sie wählen den reibungslosen Weg.

Nach Abschnitt 7025(g) dürfen Sie auf die Links „Do Not Sell“ und „Your Privacy Choices“ verzichten, wenn Sie GPC reibungslos verarbeiten (keine Gebühr, keine Verschlechterung des Angebots, kein Pop-up und keine Einblendung als Reaktion auf das Signal), dies in der Datenschutzerklärung beschreiben und der Widerspruch allein über das Signal vollständig umgesetzt wird. Eine Website, die Daten nur online für verhaltensbasierte Werbung teilt, kann das erfüllen. In der Praxis behalten die meisten Unternehmen den Link, weil auch Besucher ohne GPC widersprechen können müssen. Unser Vergleich der Cookie-Regeln von CCPA und DSGVO zeigt, wie das zu einer europäischen Konfiguration passt.

Checkliste: den Link Schritt für Schritt umsetzen

1. Erfassen Sie jeden Tracker und jeden serverseitigen Datenfluss und bestimmen Sie, welche Verkäufe oder Weitergaben sind.
2. Wählen Sie den Titel: „Do Not Sell or Share My Personal Information“ oder „Your Privacy Choices“ mit Symbol, wenn Sie auch sensible Daten verarbeiten.
3. Fügen Sie den Link in den globalen Footer ein, in gleicher Größe und Farbe wie die Nachbarlinks.
4. Bauen Sie das Ziel: einen sofort wirkenden Schalter oder eine Seite mit Hinweis und kurzem Formular.
5. Verbinden Sie den Widerspruch mit Ihren Tags, damit Werbeskripte in diesem Browser blockiert bleiben, und mit Ihrem Backend für serverseitige Flüsse.
6. Beachten Sie GPC auf jeder Seite und protokollieren Sie jeden Widerspruch mit Datum.
7. Richten Sie einen Prozess ein, um Dritte zu informieren und Anträge innerhalb von 15 Werktagen abzuschließen.
8. Testen Sie mit und ohne GPC im privaten Fenster und prüfen Sie im Netzwerk-Tab, dass nach dem Widerspruch keine Werbeanfrage mehr rausgeht.

Wie FlowConsent Do-Not-Sell-Anträge umsetzt

FlowConsent wendet das Opt-in-Modell auf alle Besucher an, auch auf Kalifornier: Werbe- und Analyseskripte bleiben bis zur Zustimmung blockiert, sodass bei Besuchern, die nie zustimmen, über Ihre Tags nichts verkauft oder geteilt wird. Akzeptieren und Ablehnen sind gleichwertig, ein schwebender Button erlaubt jederzeit eine neue Entscheidung, und jede Entscheidung wird als exportierbarer Einwilligungsnachweis gespeichert. Für serverseitige Flüsse senden die Consent-Webhooks ein signiertes Ereignis consent.withdrawn an Ihr Backend, wenn ein Besucher ablehnt oder widerruft. Nicht beschrieben sind in der Dokumentation eine fertige Seite „Do Not Sell or Share“ oder eine automatische GPC-Erkennung: Footer-Link, Zielseite und GPC-Verarbeitung bleiben Ihre Aufgabe. Für eine Website mit Schwerpunkt USA, die diese Funktionen eingebaut braucht, ist unser Osano-Vergleich ein fairer Ausgangspunkt.