CCPA: Was ist das Opt-Out Preference Signal (OOPS)

Mit einem wichtigen Schritt zur Vereinfachung des Verbraucherschutzes hat Kalifornien ein Opt-Out Preference Signal (OOPS) im California Consumer Privacy Act (CCPA) (https://www.uniconsent.com/ccpa) eingeführt. AB-3048, initiiert von der California Privacy Protection Agency (CPPA), wurde im August 2024 vom kalifornischen Parlament verabschiedet und hätte es Verbrauchern ermöglicht, dem Verkauf und der Weitergabe ihrer personenbezogenen Daten über mehrere Websites hinweg in einem einzigen, nahtlosen Vorgang zu widersprechen. Gouverneur Newsom legte im September 2024 sein Veto ein; die Browser-Pflicht kehrte mit AB 566 zurück, dem California Opt Me Out Act, der am 8. Oktober 2025 unterzeichnet wurde.

California Consumer Privacy Act: Opt-Out Preference Signal

Was sind Opt-Out Preference Signals (OOPS)?

Opt-Out Preference Signals (OOPS) bieten Verbrauchern eine bequeme und automatisierte Möglichkeit, ihr Recht auszuüben, dem Verkauf und der Weitergabe ihrer personenbezogenen Daten bei allen Unternehmen, mit denen sie online interagieren, zu widersprechen. Anstatt bei jedem Unternehmen einzeln einen Opt-Out-Antrag zu stellen, ermöglicht OOPS es Nutzern, ihre Präferenzen in einer einzigen, nahtlosen Aktion mitzuteilen.

Am 26. Februar 2024 brachte die kalifornische Legislative AB-3048 ein, wonach alle wichtigen Browser und mobilen Betriebssysteme "Opt-Out Preference Signals" wie das Global Privacy Control (GPC) hätten unterstützen müssen. Diese Funktion ermöglicht es Nutzern, ihre Datenschutzpräferenzen, wie den Widerspruch gegen den Verkauf personenbezogener Daten, automatisch über die Browsereinstellungen auszudrücken. Gouverneur Newsom legte im September 2024 sein Veto gegen den Entwurf ein, vor allem wegen der Pflicht für mobile Betriebssysteme.

Das Nachfolgegesetz AB 566 erleichtert es Verbrauchern, ihre Rechte im Rahmen der CCPA auszuüben, die Unternehmen bereits verpflichtet, diese Opt-Out-Signale zu respektieren. Anbieter von Browsern wie Google Chrome, Apple Safari und Microsoft Edge werden verpflichtet, eine OOPS-Einstellung zu integrieren, sodass es für Kalifornier einfacher wird, ihre personenbezogenen Daten beim Surfen im Web zu schützen.

Der rechtliche Rahmen

Das am 8. Oktober 2025 unterzeichnete Gesetz AB 566 verpflichtet Unternehmen, die einen Webbrowser entwickeln oder betreiben, ab dem 1. Januar 2027 eine vom Verbraucher konfigurierbare Einstellung anzubieten, die ein Opt-Out-Präferenzsignal sendet, und ermächtigt die CPPA, Durchführungsvorschriften zu erlassen. Anders als AB 3048 erfasst es keine mobilen Betriebssysteme. Nach den bestehenden CCPA-Vorschriften müssen Unternehmen diese Signale bereits als gültige Anträge auf Widerspruch gegen den Verkauf oder die Weitergabe von Daten anerkennen.

Diese Änderung wird Kalifornien an die Spitze der Datenschutzinitiativen in den USA stellen und könnte ähnliche Maßnahmen landesweit beeinflussen.

Rulemaking der CalPrivacy zu Opt-Out-Signalen

Die California Privacy Protection Agency (CalPrivacy) bereitet zudem neue Regeln dazu vor, wie Unternehmen mit diesen Signalen umgehen müssen. Vom 6. März bis 6. April 2026 konnten vorläufige Stellungnahmen eingereicht werden; eingegangen sind 43 schriftliche Kommentare. In der Vorstandssitzung am 6. August 2026 empfahlen die Mitarbeiter ein Rulemaking zu vier Punkten:

1. GPC ausdrücklich als Opt-Out Preference Signal in den Vorschriften nennen.
2. Pseudonyme Profile: Beispiele dafür, wie ein Signal für Profile gilt, die an Cookies oder Geräte-IDs statt an eine bekannte Person geknüpft sind.
3. OOPS-Kennzahlen melden: Unternehmen berichten, wie viele Signale sie empfangen und umsetzen.
4. Timing: Beispiele für den Umgang mit Tracking-Technologien, die Daten verkaufen oder weitergeben, bevor ein GPC-Signal verarbeitet ist, etwa Cookies, die beim Laden der Seite ausgelöst werden.

Stand 26. Oktober 2026 hat CalPrivacy noch keinen Verordnungsentwurf veröffentlicht. Es handelt sich also um Empfehlungen, nicht um verbindliche Regeln. Die bestehende Pflicht gilt jedoch bereits: Nach den CCPA-Vorschriften muss ein Unternehmen ein gültiges Opt-Out Preference Signal als Widerspruch gegen Verkauf und Weitergabe behandeln.

Vor dem 1. Januar 2027

Ab dem 1. Januar 2027 müssen Browser die Einstellung anbieten, sodass deutlich mehr Besucher das Signal senden werden. Drei Prüfungen lohnen sich schon jetzt:

• Das Signal beim ersten Seitenaufruf erkennen. Lesen Sie den Sec-GPC-Header oder navigator.globalPrivacyControl aus, bevor Marketing- und Werbe-Tags geladen werden, und nicht erst, wenn der Besucher das Banner öffnet. Genau diese Timing-Frage will CalPrivacy klären.
• Den Widerspruch an Ihre Partner weitergeben, zum Beispiel über die US-Abschnitte des IAB GPP-Strings.
• Den Widerspruch auf bekannte Nutzer anwenden. Ist ein Besucher, der das Signal sendet, eingeloggt, wenden Sie den Opt-Out auf sein Konto an und nicht nur auf den Browser.

UniConsent erkennt Global Privacy Control beim ersten Seitenaufruf, deaktiviert die Kategorie Targeting in US-Consent-Bannern und setzt den Opt-Out im IAB GPP-String, den Ihre Werbepartner auslesen. Starten Sie eine kostenlose Testversion und prüfen Sie, wie Ihre Website mit dem Signal umgeht.

Was bedeutet das für Unternehmen?

Unternehmen müssen sich an die neuen Anforderungen anpassen und sicherstellen, dass ihre Systeme Opt-Out Preference Signals erkennen und respektieren können. Für Unternehmen geht es dabei nicht nur um Compliance – es geht darum, das Vertrauen der Verbraucher zu stärken und transparente Datenschutzpraktiken zu bieten.

Der Wandel hin zu OOPS entspricht den wachsenden Erwartungen an einen datenschutzorientierten Betrieb im digitalen Zeitalter. Unternehmen, die diesen Ansatz übernehmen, werden sich in einem wettbewerbsintensiven Markt abheben, indem sie die Einwilligung der Nutzer und den Datenschutz priorisieren.

Weitere Details dazu, wie UniConsent Global Privacy Control (GPC) unterstützt, erhalten Sie, wenn Sie uns noch heute unter hello@uniconsent.com kontaktieren.

---

Über UniConsent

UniConsent ist Teil der datenschutzorientierten User Experience Platform von Transfon, die täglich Millionen von Nutzern bedient. Wir bieten nahtlose Lösungen, die Verlagen und Unternehmen helfen, die Einwilligung der Nutzer zu verwalten und die Einhaltung von Datenschutzgesetzen wie der DSGVO und der CCPA sicherzustellen. Weitere Informationen erhalten Sie unter hello@uniconsent.com.

---