CCPA und CPRA: Was das US-Datenschutzrecht für Cookies bedeutet

Der CCPA in der durch den CPRA geänderten Fassung verlangt vor dem Setzen von Cookies keine Einwilligung. Stattdessen behandelt er viele Werbe-Cookies und Pixel als „Verkauf“ („sale“) oder „Weitergabe“ („sharing“) personenbezogener Informationen und gibt Einwohnern Kaliforniens das Recht, dem zu widersprechen. Betroffene Unternehmen müssen offenlegen, was sie erheben, einen klaren Opt-out-Link anbieten und Browsersignale wie Global Privacy Control beachten.

Was sind CCPA und CPRA?

Der California Consumer Privacy Act (CCPA) ist das zentrale Verbraucherdatenschutzgesetz Kaliforniens. Der California Privacy Rights Act (CPRA) hat ihn geändert und erweitert, sodass mit „CCPA“ heute meist das zusammengeführte, geänderte Gesetz gemeint ist.

Der CPRA hat neue Rechte eingeführt, den Begriff „sharing“ für kontextübergreifende verhaltensbasierte Werbung geschaffen und eine eigene Aufsichtsbehörde eingerichtet, die California Privacy Protection Agency (CPPA). Die Behörde erarbeitet detaillierte Vorschriften und teilt sich die Durchsetzung mit dem California Attorney General.

Das Gesetz gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind, personenbezogene Informationen von Einwohnern Kaliforniens verarbeiten und mindestens einen Schwellenwert erreichen. Diese Schwellenwerte sind ein Jahresbruttoumsatz über einem festgelegten, an die Inflation angepassten Betrag, der Kauf, Verkauf oder die Weitergabe personenbezogener Informationen von 100.000 oder mehr Verbrauchern oder Haushalten oder die Erzielung von mindestens der Hälfte des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Informationen. Ein Büro in Kalifornien ist dafür nicht erforderlich.

Gelten Cookies nach dem CCPA als personenbezogene Informationen?

Häufig ja. Der CCPA definiert personenbezogene Informationen weit, und seine Definition eindeutiger Kennungen nennt ausdrücklich Cookies, Beacons und Pixel-Tags.

Cookie-IDs, Werbe-IDs, IP-Adressen und Browserverläufe, die mit einem Verbraucher, einem Haushalt oder einem Gerät verknüpft sind, fallen typischerweise alle darunter. Entscheidend ist, was anschließend mit diesen Daten geschieht. Ein First-Party-Sitzungscookie, das jemanden angemeldet hält, wirft kaum CCPA-Fragen auf, ein Third-Party-Werbepixel, das Surfaktivitäten an ein Werbenetzwerk sendet, dagegen schon.

Wann ist ein Cookie ein „Verkauf“ oder eine „Weitergabe“?

Ein Cookie wird zum Verkauf oder zur Weitergabe, wenn es einem Dritten ermöglicht, personenbezogene Informationen für eigene Zwecke oder für kontextübergreifende verhaltensbasierte Werbung zu erhalten. Dabei muss kein Geld fließen.

• Verkauf bedeutet die Offenlegung personenbezogener Informationen gegenüber einem Dritten gegen Geld oder eine andere werthaltige Gegenleistung. Auch kostenlose Tools, die Sie faktisch mit Besucherdaten bezahlen, können darunter fallen.
• Weitergabe bedeutet die Offenlegung personenbezogener Informationen gegenüber einem Dritten für kontextübergreifende verhaltensbasierte Werbung, also Werbung, die anhand der Aktivitäten einer Person auf Websites und in Apps anderer Unternehmen ausgerichtet wird, unabhängig davon, ob dabei etwas von Wert ausgetauscht wird.
• Dienstleister und Auftragnehmer, die Daten ausschließlich in Ihrem Auftrag auf Grundlage eines Vertrags mit den gesetzlich vorgeschriebenen Klauseln verarbeiten, gelten in der Regel nicht als Dritte. Offenlegungen an sie sind daher kein Verkauf.

In der Praxis sind Retargeting-Pixel, Cookies von Werbenetzwerken und Social-Media-Tracking-Pixel die üblichen Verdächtigen. Führen Sie ein Cookie-Audit durch, um festzustellen, welche Anbieter auf Grundlage welcher Verträge Daten erhalten, bevor Sie die einzelnen Anbieter einordnen.

Wie unterscheidet sich der CCPA bei Cookies von der DSGVO?

Der Kernunterschied liegt in der Voreinstellung. Die EU-Regeln verlangen eine Opt-in-Einwilligung, bevor nicht notwendige Cookies geladen werden, während Kalifornien das Laden erlaubt, aber eine einfache Opt-out-Möglichkeit verlangt.

	DSGVO und ePrivacy (EU)	CCPA und CPRA (Kalifornien)
Modell	Opt-in vor nicht notwendigen Cookies	Opt-out gegen Verkauf und Weitergabe
Consent-Banner	Faktisch erforderlich	Nicht erforderlich
Zentrale Nutzerkontrolle	Optionen zum Akzeptieren und Ablehnen	Link „Do Not Sell or Share My Personal Information“
Browsersignale	Rechtswirkung weniger geklärt	Opt-out-Präferenzsignale wie GPC müssen beachtet werden
Kinder	Sonderregeln für die Einwilligung von Kindern	Opt-in vor Verkauf oder Weitergabe von Daten unter 16-Jähriger
Durchsetzung	Nationale Datenschutzbehörden	CPPA und California Attorney General

Wenn Sie beide Zielgruppen bedienen, können Sie per Geo-Targeting in der EU ein Opt-in-Banner und in Kalifornien eine Opt-out-Lösung anzeigen. Zur EU-Seite lesen Sie DSGVO-Anforderungen an die Cookie-Einwilligung erklärt.

Was braucht Ihre Website?

Betroffene Unternehmen brauchen klare Informationen, einen Opt-out-Mechanismus und die Backend-Prozesse, die den Widerspruch tatsächlich wirksam machen. Nutzen Sie diese Checkliste als Ausgangspunkt.

1. Hinweis bei der Erhebung. Teilen Sie zum Zeitpunkt der Erhebung oder davor mit, welche Kategorien personenbezogener Informationen Sie erheben, warum, ob Sie sie verkaufen oder weitergeben und wie lange Sie sie speichern.
2. Datenschutzerklärung. Beschreiben Sie die Verbraucherrechte und wie man sie ausübt, und aktualisieren Sie die Erklärung mindestens alle 12 Monate.
3. Opt-out-Link. Stellen Sie einen klaren Link „Do Not Sell or Share My Personal Information“ bereit oder den einen alternativen Opt-out-Link, den die Vorschriften zulassen, meist im Footer der Website.
4. GPC beachten. Behandeln Sie ein Global-Privacy-Control-Signal als gültigen Widerspruch für diesen Browser und, sofern Sie wissen, um wen es sich handelt, auch für das Konto des Verbrauchers.
5. Den Datenfluss stoppen. Widerspricht jemand, lösen Sie die Tags, die seine Daten verkaufen oder weitergeben, nicht mehr aus. Ein Link, der lediglich eine Präferenz speichert, reicht nicht aus.
6. Sensible Daten begrenzen. Wenn Sie sensible personenbezogene Informationen über die gesetzlich zulässigen Zwecke hinaus verwenden, bieten Sie einen Link „Limit the Use of My Sensitive Personal Information“ an.
7. Nachweise führen. Protokollieren Sie Opt-out-Anfragen und deren Bearbeitung, wie Sie es auch bei Einwilligungsnachweisen tun würden, damit Sie zeigen können, dass Ihr Prozess funktioniert.

Was gilt in anderen US-Bundesstaaten?

Kalifornien steht nicht mehr allein da. Immer mehr US-Bundesstaaten haben umfassende Datenschutzgesetze mit ähnlichen Rechten verabschiedet, gezielter Werbung und dem Verkauf personenbezogener Daten zu widersprechen, und mehrere verlangen, dass Unternehmen universelle Opt-out-Signale beachten.

Die Details unterscheiden sich, etwa bei den Schwellenwerten für die Anwendbarkeit, den Begriffsbestimmungen und der Frage, ob bestimmte Daten, etwa sensible Daten, eine Opt-in-Einwilligung erfordern. Prüfen Sie jedes Gesetz, das für Ihre Zielgruppe gilt. Einen einzigen robusten Opt-out-Ablauf aufzubauen, der GPC überall beachtet, ist oft einfacher, als Ausnahmen für jeden Bundesstaat zu pflegen.

Fazit

Bei Cookies geht es im CCPA und CPRA um Transparenz und ein funktionierendes Opt-out, nicht um eine vorherige Einwilligung. Ermitteln Sie, welche Tracker Daten verkaufen oder weitergeben, geben Sie Einwohnern Kaliforniens eine klare Möglichkeit, Nein zu sagen, beachten Sie GPC automatisch und sorgen Sie dafür, dass ein Widerspruch den Datenfluss tatsächlich stoppt. Tools wie Cookiesh können geo-targetierte CCPA-Banner ausspielen und GPC-Signale für Sie berücksichtigen.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.