Kurz gesagt: Der CCPA in der Fassung des CPRA verlangt keine vorherige Einwilligung für Cookies, aber Sie müssen Kaliforniern ermöglichen, dem Verkauf oder Teilen ihrer personenbezogenen Daten zu widersprechen, über einen klaren Link und über Browsersignale wie Global Privacy Control. Er gilt für gewinnorientierte Unternehmen mit Geschäft in Kalifornien, die eine Umsatz- oder Datenschwelle überschreiten, unabhängig von ihrem Sitz, also auch für deutsche Onlineshops mit US-Kunden. Die Behörden verhängen aktiv Bußgelder gegen Opt-out-Werkzeuge, die defekt oder unausgewogen sind oder GPC ignorieren.
CCPA / CPRA: Worum geht es?
Der California Consumer Privacy Act von 2018 ist das wichtigste Datenschutzgesetz Kaliforniens. Er gilt seit dem 1. Januar 2020. Im November 2020 nahmen die kalifornischen Wähler die Proposition 24 an, den California Privacy Rights Act (CPRA), der den CCPA änderte. Laut dem Attorney General traten diese Änderungen am 1. Januar 2023 in Kraft. Heute gibt es ein Gesetz: den CCPA in der Fassung des CPRA.
Das Gesetz steht im California Civil Code (§ 1798.100 ff.) und wird durch ausführliche Regulations in Title 11, Division 6 des California Code of Regulations ergänzt. Diese erlässt die California Privacy Protection Agency, die heute als CalPrivacy auftritt. Das jüngste Änderungspaket wurde am 22. September 2025 genehmigt und gilt seit dem 1. Januar 2026.
Das Gesetz schützt „Consumers“, also Einwohner Kaliforniens. Es gibt ihnen das Recht zu erfahren, welche Daten erhoben werden, sie löschen und berichtigen zu lassen, dem Verkauf oder Teilen zu widersprechen und die Nutzung sensibler Daten zu begrenzen. Für eine Website zählt vor allem das Recht auf Opt-out gegen Verkauf und Teilen, denn genau das lösen Werbe-Cookies und Pixel oft aus.
Das Schlüsselwort ist „share“. Teilen bedeutet die Weitergabe personenbezogener Daten an einen Dritten für kontextübergreifende verhaltensbasierte Werbung, mit oder ohne Bezahlung. Gemeint ist Werbung, die auf der Aktivität einer Person über andere Unternehmen, Websites oder Apps hinweg beruht. Ein Retargeting-Pixel ist das Lehrbuchbeispiel.
Wer ist betroffen?
Der CCPA gilt für ein gewinnorientiertes Unternehmen, das personenbezogene Daten von Verbrauchern erhebt, über Zwecke und Mittel entscheidet, in Kalifornien geschäftlich tätig ist und mindestens eine dieser Schwellen erreicht:
- Jahresumsatz über 26.625.000 $ im vorangegangenen Kalenderjahr. Im Gesetz stehen 25.000.000 $, CalPrivacy passt den Betrag aber in jedem ungeraden Jahr an die Inflation an, der angepasste Wert gilt seit dem 1. Januar 2025.
- Kauf, Verkauf oder Teilen der Daten von 100.000 oder mehr kalifornischen Verbrauchern oder Haushalten pro Jahr.
- 50 % oder mehr des Jahresumsatzes aus Verkauf oder Teilen personenbezogener Daten.
Ein Sitz in Kalifornien ist nicht erforderlich. Ein Onlineshop in Texas, ein SaaS-Anbieter in New York oder ein Unternehmen in Deutschland kann erfasst sein, wenn es in Kalifornien Geschäfte macht und eine Schwelle überschreitet. Die dritte Schwelle wird leicht übersehen: Eine kleine Website, die den Großteil ihres Umsatzes mit datenbasierter Werbung erzielt, kann schon bei bescheidenem Umsatz darunterfallen.
Auch die Unternehmen um Sie herum sind betroffen. Dritte, die auf Ihrer Website Daten erheben, etwa manche Werbenetzwerke, müssen einen eigenen Hinweis geben, und Dienstleister müssen Verträge mit bestimmten Datenschutzklauseln unterzeichnen.
Was der CCPA für Cookies und Einwilligung vorschreibt
Opt-out statt Opt-in
Anders als DSGVO und § 25 TDDDG verlangt der CCPA keine Einwilligung, bevor Cookies gesetzt werden. Cookies dürfen standardmäßig laden. Verbraucher müssen aber jederzeit dem Verkauf oder Teilen widersprechen können, und Sie müssen diese Wahl respektieren.
Es gibt eine wichtige Ausnahme. Wissen Sie, dass ein Verbraucher unter 16 ist, dürfen Sie seine Daten nur verkaufen oder teilen, wenn er aktiv zugestimmt hat (Opt-in). Bei Kindern unter 13 muss die Zustimmung von Eltern oder Vormund kommen. Wer das Alter bewusst ignoriert, gilt als informiert.
Hinweis bei der Erhebung
Sie müssen Verbraucher bei oder vor der Erhebung informieren, welche Kategorien von Daten Sie erheben, wozu, ob Sie sie verkaufen oder teilen und wie lange Sie jede Kategorie speichern. Auf einer Website ist das meist ein gut sichtbarer Link auf der Startseite und auf jeder Seite, auf der Daten erhoben werden.
Der Opt-out-Link
Wer Daten verkauft oder teilt, muss im Header oder Footer der Startseite einen gut sichtbaren Link „Do Not Sell or Share My Personal Information“ anbringen. Er muss den Verbraucher sofort austragen oder auf eine Seite führen, auf der er diese Wahl treffen kann. Alternativ ist der Alternative Opt-out Link mit dem Titel „Your Privacy Choices“ oder „Your California Privacy Choices“ und dem offiziellen Symbol möglich, der auch das Recht auf Begrenzung sensibler Daten abdeckt.
Opt-out-Signale und Global Privacy Control
Die Regulations verpflichten jedes Unternehmen, das Daten verkauft oder teilt, ein qualifiziertes Opt-out-Präferenzsignal wie Global Privacy Control (GPC) als gültigen Widerspruch für diesen Browser oder dieses Gerät zu behandeln. Zusätzliche Angaben dürfen Sie nicht verlangen. Seit den Änderungen vom Januar 2026 müssen Sie anzeigen, ob Sie das Signal umgesetzt haben, etwa mit „Opt-Out Preference Signal Honored“.
Der Druck steigt weiter: Ein neuer § 1798.136 Civil Code verpflichtet ab dem 1. Januar 2027 Anbieter von Webbrowsern, eine Einstellung zum Senden eines Opt-out-Signals einzubauen.
Warum ein Cookie-Banner nicht genügt
Das ist die Falle für Websites, die einfach ihren europäischen Banner übernehmen. Laut den Regulations ist ein Cookie-Banner oder eine Cookie-Steuerung für sich genommen kein zulässiger Weg zum Opt-out, weil Cookies die Erhebung betreffen, nicht den Verkauf oder das Teilen. Wer online Daten erhebt, muss Opt-outs über ein Präferenzsignal und mindestens einen weiteren Weg annehmen, etwa ein Formular hinter dem Do-Not-Sell-or-Share-Link.
Fristen, Nachweis und erneutes Fragen
Nach einem Opt-out müssen Sie Verkauf und Teilen so bald wie möglich einstellen, spätestens nach 15 Werktagen, und die Empfänger informieren. Konto oder Identitätsprüfung dürfen Sie nicht verlangen. Vor einer erneuten Bitte um Zustimmung müssen mindestens 12 Monate vergehen. Dokumentieren Sie eingegangene Anträge und deren Bearbeitung.
Der CCPA-konforme Cookie-Banner
Wenn Sie kalifornischen Besuchern einen Banner zeigen, gilt das Prinzip der Symmetrie der Wahl: Der Weg zur datenschutzfreundlicheren Option darf nicht länger, schwerer oder langsamer sein als der Weg zur weniger schützenden.
Eine konforme Umsetzung umfasst in der Regel:
- einen kurzen Hinweis, was erhoben und ob es verkauft oder geteilt wird, mit Link zum vollständigen Hinweis;
- einen dauerhaft erreichbaren Link „Do Not Sell or Share My Personal Information“ oder „Your Privacy Choices“ im Footer;
- die automatische Erkennung von Global Privacy Control mit sichtbarer Bestätigung;
- wenn Sie eine Einwilligung einholen (etwa für Minderjährige), Buttons wie „Accept All“ und „Decline All“ mit gleichem Gewicht.
Die Regulations nennen Beispiele für fehlende Symmetrie:
- ein Banner nur mit „Accept All“ und „More Information“ oder „Preferences“;
- ein „Ja“-Button, der größer oder auffälliger ist als der „Nein“-Button;
- eine Wahl zwischen „Ja“ und „Später fragen“ ohne Ablehnoption;
- doppelte Verneinungen oder unbeschriftete Ein/Aus-Schalter.
Das Gesetz definiert ein Dark Pattern als Oberfläche, die die Autonomie oder Entscheidung des Nutzers wesentlich untergräbt. Die Enforcement Advisory von CalPrivacy vom September 2024 betont, dass die Wirkung zählt, nicht die Absicht. Praktische Tipps finden Sie in unserem Leitfaden zum Cookie-Banner und zu Cookie Dark Patterns: Die europäischen Regeln sind strenger, das Prinzip gleichwertiger Optionen gilt aber auch hier.
Sanktionen und Kontrollen
Zwei Behörden setzen den CCPA durch: CalPrivacy mit Verwaltungsverfahren und der Attorney General mit Klagen vor Gericht. Verbraucher können nur nach bestimmten Datenpannen selbst klagen.
Das Gesetz sieht bis zu 2.500 $ je Verstoß und 7.500 $ je vorsätzlichem Verstoß oder Verstoß mit Verbrauchern unter 16 vor. Mit der Inflationsanpassung seit dem 1. Januar 2025 sind es 2.663 $ und 7.988 $. Die Beträge gelten je Verstoß, ein Fehler mit vielen Betroffenen summiert sich also schnell. Drei veröffentlichte Fälle:
- Sephora (Attorney General, August 2022): 1,2 Mio. $. Sephora ließ Dritt-Tracker auf Website und App Kunden verfolgen, gab nicht an, dass dies ein Verkauf war, und setzte Opt-outs über Global Privacy Control nicht um. (Pressemitteilung)
- Honda (CalPrivacy, März 2025): 632.500 $. Unter anderem bot das Datenschutz-Tool keine symmetrischen Wahlmöglichkeiten, verlangte zu viele Angaben und teilte Daten mit Adtech-Firmen ohne die vorgeschriebenen Vertragsklauseln. (Mitteilung)
- Tractor Supply (CalPrivacy, September 2025): 1.350.000 $. Der Händler bot keinen wirksamen Weg zum Widerspruch gegen Verkauf und Teilen, auch nicht über Signale wie GPC, und seine Hinweise waren unzureichend. (Mitteilung)
Im Mai 2025 verhängte CalPrivacy zudem 345.178 $ gegen den Händler Todd Snyder, unter anderem weil sein Portal Opt-outs 40 Tage lang nicht verarbeitete.
Checkliste zur Umsetzung
- Prüfen Sie die Schwellen: Umsatz über 26.625.000 $, 100.000 kalifornische Verbraucher oder Haushalte, oder 50 % des Umsatzes aus Datenverkauf.
- Erfassen Sie Ihre Tracker per Cookie-Scan und identifizieren Sie Tags, die Daten für kontextübergreifende Werbung verkaufen oder teilen.
- Prüfen Sie die Verträge mit Analyse- und Adtech-Anbietern.
- Veröffentlichen Sie einen Hinweis bei der Erhebung und aktualisieren Sie Ihre Datenschutzerklärung.
- Fügen Sie den Link „Do Not Sell or Share My Personal Information“ oder „Your Privacy Choices“ mit Symbol hinzu.
- Erkennen und beachten Sie Global Privacy Control automatisch und zeigen Sie die Umsetzung an.
- Gestalten Sie die Wahl symmetrisch, ohne optische Bevorzugung.
- Setzen Sie Opt-outs innerhalb von 15 Werktagen um, ohne Konto oder Ausweis, und geben Sie sie an Dritte weiter.
- Holen Sie bei unter 16-Jährigen eine Einwilligung ein, bevor Sie Daten verkaufen oder teilen.
- Dokumentieren Sie Anträge und testen Sie Ihren Mechanismus regelmäßig.
Wie FlowConsent Ihnen hilft, den CCPA einzuhalten
FlowConsent liefert die technische Seite der Umsetzung ohne langes Projekt. Starten Sie mit dem kostenlosen Scanner, um zu sehen, welche Cookies und Tracker Ihre Website lädt, darunter die Werbe-Tags, die am ehesten als Verkauf oder Teilen gelten. Der automatische Scan hält diese Liste aktuell.
Der Banner ist in etwa zehn Minuten eingerichtet, blockiert Skripte, solange die Wahl des Besuchers sie nicht erlaubt, und integriert Google Consent Mode v2. Jede Entscheidung wird protokolliert, und Sie exportieren den Nachweis über den Nachweisbericht, wenn eine Behörde oder ein Partner danach fragt. FlowConsent ist kostenlos bis 25.000 Sitzungen pro Monat und in Europa gehostet. Erstellen Sie Ihr kostenloses Konto.
Weiterführende Artikel
Wenn Ihre Website auch europäische Besucher hat, stellt sich die Frage, wie Sie Opt-out in Kalifornien mit Opt-in in Europa vereinbaren: Unser Vergleich CCPA vs. DSGVO bei Cookies beantwortet sie ausführlich. Die übrigen Artikel erklären das Audit Ihrer Tracker, einen ausgewogenen Banner und Google Consent Mode v2.