Cookie-Einwilligung in der EU und den USA

In der EU beginnen viele Tracking-Nutzungen mit einer vorherigen Einwilligung (Opt-in). Nach dem kalifornischen CCPA muss ein erfasstes Unternehmen einen Widerspruch (Opt-out) gegen den Verkauf oder die Weitergabe personenbezogener Daten ermöglichen und Opt-out-Signale wie Global Privacy Control (GPC) beachten. Das sind unterschiedliche Mechanismen, und keine der beiden Zusammenfassungen deckt jede Ausnahme oder Branche ab.

Dieser Artikel vergleicht die beiden Abläufe und zeigt, wie Sie sie auf einer Website umsetzen. Andere US-Bundesstaaten behandelt er nicht; wenn Sie Besucher dort bedienen, nutzen Sie die weiter unten verlinkten Leitfäden zu den einzelnen Bundesstaaten.

Die beiden Abläufe im Vergleich

Beginnen Sie mit drei Fragen

• Wo befinden sich die Menschen, die Sie bedienen, ansprechen oder beobachten?
• Welche Informationen erheben Ihre Website und Ihre Partner, und zu welchen Zwecken?
• Welche Gesetze und Plattformrichtlinien gelten für Ihr Unternehmen und diese Tätigkeiten?

Ein US-Unternehmen zu sein, hebt europäische Pflichten nicht schon für sich genommen auf, und ein einzelner Besuch aus Kalifornien begründet nicht schon für sich genommen alle CCPA-Pflichten. Die Anwendbarkeit hängt von mehr ab als von einer IP-Adresse. Prüfen Sie den Ausgangspunkt mit Ihrer Beratung anhand der Bestimmungen der DSGVO zum räumlichen Anwendungsbereich und der CCPA-Hinweise des kalifornischen Attorney General.

Der CCPA gilt für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und mindestens einen Schwellenwert erreichen: ein jährlicher Bruttoumsatz von mehr als 26.625.000 $ im vorangegangenen Kalenderjahr, der Kauf, Verkauf oder die Weitergabe personenbezogener Daten von 100.000 oder mehr Verbrauchern oder Haushalten pro Jahr oder 50 % oder mehr des Jahresumsatzes aus dem Verkauf oder der Weitergabe personenbezogener Daten. Der Umsatzwert ist der seit dem 1. Januar 2025 geltende inflationsbereinigte Betrag der California Privacy Protection Agency.

Ausnahmen und die rechtliche Bedeutung von „Verkauf“ und „Weitergabe“ (sale und sharing) müssen trotzdem genauer betrachtet werden. Gewöhnliche Analytics, Werbung und Vereinbarungen mit Dienstleistern werden nicht alle gleich behandelt.

Der europäische Ablauf: eine Wahl vor dem relevanten Tracking

Nehmen Sie zur Veranschaulichung ein Möbelgeschäft, das optionale Analytics und Remarketing nutzt. Ein Besucher aus Europa kommt ohne gespeicherte Einwilligung auf die Website. Die Website zeigt die relevanten Auswahlmöglichkeiten und steuert die Tools entsprechend der gewählten Einstellung.

Der Besucher erlaubt Analytics, lehnt aber Werbung ab. Die Implementierung muss diese Unterscheidung bewahren. Ein einziges Label „akzeptiert“, das jeden Anbieter startet, reicht nicht aus.

Europäische Cookie-Regeln stammen aus der ePrivacy-Richtlinie in ihrer Umsetzung in den einzelnen Ländern, daher unterscheiden sich die Ausnahmen. Übertragen Sie keine länderspezifische Ausnahme für Analytics auf jeden Markt. Die Leitlinien des EDSA zur Einwilligung legen den Einwilligungsstandard der DSGVO dar, einschließlich der Vorgabe, dass der Widerruf einer Einwilligung so einfach sein muss wie ihre Erteilung; lokale Vorschriften verdienen trotzdem Aufmerksamkeit.

Der kalifornische Ablauf: Das Opt-out muss funktionieren

Stellen Sie sich nun ein erfasstes Unternehmen vor, dessen Werbepraktiken einen Verkauf oder eine Weitergabe im Sinne des CCPA beinhalten. Ein Besucher nutzt den Opt-out-Mechanismus der Website. Die betreffende nachgelagerte Verarbeitung muss darauf reagieren; ein angezeigter Link „Do Not Sell or Share“ allein ist noch nicht das Ergebnis.

Die Ausführungsverordnungen zum CCPA verlangen einen Link „Do Not Sell or Share My Personal Information“ im Header oder Footer oder eine zulässige Alternative wie einen Link „Your Privacy Choices“. Für den Verkauf oder die Weitergabe von Daten von Verbrauchern, von denen das Unternehmen weiß, dass sie unter 16 sind, ist stattdessen eine Opt-in-Autorisierung erforderlich.

Testen Sie die an dieser Aktivität beteiligten Ziele im Browser, im Tag-Manager und auf Serverseite. Halten Sie gewöhnliche Servicefunktionen von der Werbenutzung getrennt, damit Ihr Team erklären kann, was die Entscheidung ändert.

Der Besucher, der bereits eine Präferenz signalisiert hat

Global Privacy Control, kurz GPC, ermöglicht es einem Browser, eine Opt-out-Präferenz an jede Website zu senden, die der Besucher nutzt. Der kalifornische Attorney General erklärt, dass erfasste Unternehmen sie als gültige Aufforderung beachten müssen, Verkauf oder Weitergabe zu beenden. Siehe die offizielle Erklärung zu GPC.

Die Ausführungsverordnungen zum CCPA präzisieren das: Der Widerspruch gilt für diesen Browser oder dieses Gerät und für jedes damit verknüpfte Profil, auch für pseudonyme Profile. Das Unternehmen muss außerdem auf seiner Website anzeigen, ob es das Signal als gültigen Widerspruch verarbeitet hat.

Nutzen Sie für Ihren technischen Test einen Browser mit aktiviertem GPC und vergleichen Sie das Verhalten mit einer Sitzung ohne das Signal. Das Signal kommt als Request-Header Sec-GPC: 1 und als Eigenschaft navigator.globalPrivacyControl an, hängt also nicht von einem Button auf Ihrer Seite ab. Unser GPC-Leitfaden behandelt Konflikte mit früheren Entscheidungen.

Was Geotargeting entscheiden kann und was nicht

Geotargeting wählt ein Banner oder eine Konfiguration anhand eines geschätzten Standorts aus. Es ist keine automatische rechtliche Bewertung: Es kann nicht entscheiden, ob ein Gesetz für Ihr Unternehmen gilt, nicht jede sensible Nutzung erkennen und nicht garantieren, dass der Standort korrekt ist, zum Beispiel wenn ein Besucher ein VPN nutzt.

Legen Sie fest, was passiert, wenn der Standort unbekannt ist, und testen Sie diesen Fallback ebenso wie die Regionen, die Sie voraussichtlich bedienen. Behandeln Sie einen unbekannten Standort nicht stillschweigend als Erlaubnis für uneingeschränktes Tracking.

In Passiro hat Smart geo-targeting eine eigene Einstellung „Unknown location“. Mit „Same banner everywhere“ zeigt Passiro die Einwilligungsabfrage, wenn das Land nicht bestimmt werden kann, aber Besucher außerhalb der ausgewählten Länder werden nicht gefragt und Skripte laden normal; prüfen Sie diese Auswahl daher sorgfältig.

Halten Sie Sprache und Standort getrennt. Ein spanischsprachiger Besucher in Los Angeles und ein anderer in Madrid möchten vielleicht dieselbe Bannersprache, brauchen aber unterschiedliche Auswahlmöglichkeiten. Die Bannersprache richtet sich nach Ihrer Übersetzungseinstellung oder der Browsersprache; sie entscheidet nicht, welche Regeln gelten.

Wenn Sie auch andere US-Bundesstaaten bedienen

Dieser Artikel behandelt nur Kalifornien. Die Datenschutzgesetze anderer Bundesstaaten haben eigene Schwellenwerte, Definitionen und Regeln für sensible Daten und Opt-out-Signale; prüfen Sie diese also, bevor Sie das kalifornische Setup übernehmen. Beginnen Sie mit unseren Leitfäden zum CDPA in Virginia, zum CPA in Colorado und zum UCPA in Utah sowie mit dem GPC-Leitfaden und dem vollständigen CCPA-Leitfaden.

Im Smart geo-targeting von Passiro enthält die Region der US-Bundesstaaten mit Opt-out-Regelung eine Option, einzelne Bundesstaaten auszuwählen. Legen Sie fest, welche Bundesstaaten Ihr Unternehmen abdecken muss, bevor Sie sich auf diese Einstellung verlassen.

Ein praktisches Briefing für Ihren Entwickler

Schreiben Sie eine kurze Regel pro Besucherpfad: erwartetes Banner, anfänglicher Einwilligungsstatus, unterstützte Optionen, betroffene Anbieter und erwartetes Verhalten nach einer Änderung. Ergänzen Sie, wo relevant, einen separaten Test für GPC und einen für den Fallback bei unbekanntem Standort.

Geben Sie für Google-Tags Basic oder Advanced Consent Mode an, statt vage „EU-Tracking“ zu verlangen. Folgen Sie dem Consent-Mode-Leitfaden für Marketer und dem Test für „Alle ablehnen“, um die Implementierung zu prüfen.

Passiro bietet Geotargeting und die Berücksichtigung von Global Privacy Control in jedem Tarif, auch in Free. IAB GPP gibt es ab Pro. Die Tarifübersicht zeigt den Unterschied; GPC und GPP sind nicht austauschbar.