Die Kurzfassung in einem Satz
Kalifornien gibt Menschen das Recht, Unternehmen den Verkauf oder die Weitergabe ihrer personenbezogenen Daten zu untersagen. Der Haken: Nach dem CPRA gilt übliches AdTech-Verhalten auch dann als Verkauf oder Weitergabe, wenn kein Geld fließt. Ein Werbepixel zu laden, das Kennungen an einen Dritten übermittelt, ist in der Regel eine Weitergabe. Deshalb reicht ein Bedienelement für Do Not Sell or Share allein nicht aus, wenn Ihre Tags beim Seitenaufruf weiterhin feuern.
Was als Verkauf oder Weitergabe gilt
Ein Verkauf ist die Offenlegung personenbezogener Daten gegenüber einem Dritten gegen Geld oder einen anderen Gegenwert. Eine Weitergabe ist die Offenlegung zum Zweck kontextübergreifender verhaltensbasierter Werbung – der technische Name für Retargeting und den größten Teil programmatischer Werbung. Cookie-IDs, Gerätekennungen und die von einem Pixel erhobenen Daten sind personenbezogene Daten. Ein Meta-Pixel, ein Google-Ads-Tag oder ein LinkedIn-Insight-Tag, das läuft, bevor die Person widerspricht, ist also genau das Muster, das Aufsichtsbehörden interessiert.
Was Ihre Website tatsächlich braucht
- Einen klar erkennbaren, auffälligen Link Do Not Sell or Share oder das kombinierte Bedienelement Your Privacy Choices, erreichbar von jeder Seite.
- Die Erkennung des Signals Global Privacy Control. Nach dem CPRA muss ein GPC-Signal aus dem Browser automatisch und ohne zusätzliche Klicks als gültiges Opt-out behandelt werden.
- Eine Möglichkeit, die Weitergabe tatsächlich zu stoppen: Werbe- und Weitergabe-Tags werden zurückgehalten, bis die Opt-out-Präferenz bekannt ist, statt eine Entscheidung erst zu protokollieren, nachdem die Tags längst gelaufen sind.
- Einen Weg zur Bearbeitung von Verbraucherrechtsanfragen auf Auskunft, Löschung und Berichtigung innerhalb der gesetzlichen Fristen.
- Beschränkungen der Nutzung sensibler personenbezogener Daten, sobald eine Person sie verlangt.
Opt-out, nicht Opt-in
Der CCPA ist ein Opt-out-Regime, anders als die GDPR, die auf Opt-in beruht. In Kalifornien brauchen Sie vor Analyse-Tools kein Einwilligungsbanner wie in der EU. Was Sie brauchen: das Opt-out einfach machen, GPC respektieren und sicherstellen, dass Verkauf und Weitergabe nach einem Widerspruch tatsächlich aufhören.
So prüfen Sie Ihre eigene Website
Öffnen Sie Ihre Startseite als neue Besucherin und beobachten Sie, was lädt. Wenn Werbe- oder Social-Media-Tags vor jedem Opt-out feuern und es weder einen Do-Not-Sell-or-Share-Link noch eine GPC-Verarbeitung gibt, ist das die Lücke, die Sie zuerst schließen sollten. Das geht in Sekunden mit dem kostenlosen CCPA- und CPRA-Scanner, der Werbe- und Weitergabe-Tags markiert, die beim Laden feuern, und auf einen Do-Not-Sell-Link prüft. Für ein breiteres Inventar aller Tracker auf der Seite nutzen Sie den Cookie-Scanner.
Wie ConsentX hilft
ConsentX liest das Signal Global Privacy Control nativ und wendet das Opt-out automatisch an, stellt ein Präferenz-Bedienelement für Do Not Sell or Share bereit und hält Verkaufs- und Weitergabe-Tags zurück, bis die Präferenz feststeht. Außerdem liefert es einen DSAR-Workflow mit dem 45-Tage-Timer des CCPA, damit keine Rechtsanfrage durchrutscht. Mehr dazu auf der CCPA-Compliance-Seite – oder starten Sie kostenlos.