Consentl

CCPA, CPRA und Datenschutzgesetze der US-Bundesstaaten für Websites

Was CCPA (geändert durch CPRA) und andere US-Datenschutzgesetze von Websites mit Cookies verlangen: Hinweis, Opt-out von Verkauf und Weitergabe, GPC.

Opt-out statt Opt-in

Die Datenschutzgesetze der US-Bundesstaaten arbeiten meist mit Opt-out: Eine Website darf Cookies für Statistik und Werbung nutzen, muss Besucher aber informieren und ihnen erlauben, dem Verkauf ihrer personenbezogenen Informationen, ihrer Weitergabe für kontextübergreifende verhaltensbasierte Werbung und in den meisten Staaten zielgerichteter Werbung zu widersprechen. Werbe-Cookies und Pixel von Drittanbietern gelten nach diesen Gesetzen oft als „Verkauf“ oder „Weitergabe“.

Der California Consumer Privacy Act

Der CCPA, geändert durch den CPRA (in Kraft seit 2023), gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und eine von drei Schwellen erreichen: Bruttojahresumsatz über 25 Millionen US-Dollar (inflationsbereinigt), Kauf, Verkauf oder Weitergabe personenbezogener Informationen von mindestens 100.000 Verbrauchern oder Haushalten oder mindestens die Hälfte des Umsatzes aus Verkauf oder Weitergabe personenbezogener Informationen. Er verlangt:

  • einen Hinweis bei der Erhebung, der erklärt, was erhoben wird und warum;
  • einen Link „Do Not Sell or Share My Personal Information“ oder einen alternativen Opt-out-Link;
  • die Beachtung von Global Privacy Control (GPC) im Browser als gültigen Opt-out;
  • Antworten auf Auskunfts-, Lösch- und Berichtigungsanfragen innerhalb von 45 Tagen.

Die California Privacy Protection Agency und der Attorney General setzen ihn durch, mit Bußgeldern je Verstoß, die inflationsbereinigt werden und bei vorsätzlichen Verstößen und solchen mit Minderjährigen höher sind.

Andere Bundesstaaten

Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana und immer mehr weitere Staaten haben umfassende Datenschutzgesetze mit ähnlichen Opt-out-Rechten. Mehrere davon, darunter Colorado, Connecticut, Texas und Oregon, verlangen die Beachtung universeller Opt-out-Signale wie GPC. Schwellen, Regeln für sensible Daten und Fristen unterscheiden sich je Staat.

Wie Consentl hilft

  • Eine fertige US-Regel: Opt-out, mit Hinweis und einem Link zu den Einstellungen, in denen Besucher Verkauf oder Weitergabe ihrer Daten abschalten können.
  • Global Privacy Control wird automatisch beachtet: Ein GPC-Signal zählt als Opt-out, und der Eintrag hält das fest.
  • Tags nach einem Opt-out zurückgehalten und Google Consent Mode aktualisiert.
  • Ein Anfrageformular mit der 45-Tage-Frist des CCPA im Dashboard und „Do Not Sell or Share“-Anfragen ohne Identitätsprüfung, wie es die Vorschriften verlangen.

FAQ

Gilt der CCPA für eine kleine Website?

Nur wenn das Unternehmen eine der Schwellen erreicht. Andere Staaten haben eigene Schwellen, oft nach Anzahl der Einwohner, deren Daten Sie verarbeiten.

Der CCPA verlangt keinen Opt-in-Banner, aber Sie müssen informieren und einen einfachen Opt-out anbieten. Ein Banner mit Link zu den Einstellungen ist ein üblicher Weg, beides zu erfüllen.

Kostenlos starten Preise

Diese Seite bietet allgemeine Informationen, keine Rechtsberatung. Gesetze und Leitlinien ändern sich; prüfen Sie die aktuellen Regeln für Ihre Situation.

Funktionen