Allison v. PHH Mortgage: Opt-Out bedeutet nicht unverwaltet — Warum CCPA-Tracking-Pixel weiterhin eine CMP benötigen

Es gibt eine hartnäckige Annahme, dass Consent-Management-Plattformen nur unter Opt-in-Regelungen wie der DSGVO notwendig seien. Wenn die CCPA nur ein Opt-out verlange, so die Überlegung, könne man Pixel ungehindert feuern lassen und lediglich irgendwo auf der Website einen Opt-Out-Link bereitstellen.

Das Urteil vom März 2026 in der Sache Allison v. PHH Mortgage zeigt genau, warum diese Annahme scheitert. Der Northern District of California entschied, dass das private Klagerecht der CCPA gemäß § 1798.150 auch unautorisierte Offenlegungen durch Tracking-Pixel umfasst – nicht nur klassische Datenschutzverletzungen. Opt-out-Modus bedeutet nicht unverwalteter Modus.

Allison v. PHH Mortgage: Opt-Out bedeutet nicht unverwaltet

Das Urteil: Pixel sind nicht mehr nur ein Datenschutzverletzungs-Problem

PHH Mortgage argumentierte, § 1798.150 decke nur externe Datenschutzverletzungen ab – Hacker, die Dateien stehlen, nicht die eigenen Pixel des Unternehmens, die Daten an Meta oder Google senden. Das Gericht wies diese Lesart zurück: "Nichts im Wortlaut der Vorschrift beschränkt ihre Anwendung auf Datenschutzverletzungen."

Der Kläger behauptete, die Website von PHH Mortgage habe Tracking-Technologien eingesetzt, die personenbezogene Daten ohne Genehmigung an Dritte weitergegeben hätten. Das Gericht stellte fest, dass ein Unternehmen, das Daten über seine eigene Tracking-Infrastruktur offenlegt, unter den Wortlaut des Gesetzes fällt, was die Tür zu gesetzlichem Schadensersatz von 100 bis 750 US-Dollar pro Verbraucher und Vorfall öffnet. Zwei frühere Fälle, Shah v. Capital One Financial Corp. und M.G. v. Therapymatch Inc., hatten bereits in diese Richtung gewiesen. Allison liefert bislang die gründlichste gesetzliche Analyse.

Die CCPA ist Opt-out — aber Opt-out hat operative Anforderungen

Die CCPA bleibt in erster Linie eine Opt-out-Regelung. Ein Pixel, das vor einem Klick auf das Consent-Banner feuert, ist nicht automatisch ein CCPA-Verstoß, nur weil der Nutzer nicht aktiv zugestimmt hat. Das wäre eine DSGVO-Analyse, keine CCPA-Analyse. Die CCPA-Grundanforderung verlangt einen Hinweis bei der Erhebung, einen funktionierenden Opt-out-Mechanismus, der Global-Privacy-Control-Signale respektiert, sowie Anbieterverträge, die Empfänger korrekt als Dienstleister oder Dritte einstufen.

Die Allison-Theorie erfordert keine Opt-in-Einwilligung. Sie verlangt, dass die Offenlegung autorisiert war – das heißt, ordnungsgemäß angekündigt, in ihrem Umfang klar begrenzt und tatsächlich kontrollierbar, wenn ein Nutzer sein Opt-out-Recht ausübt. Das sind operative Anforderungen, die nicht durch einen statischen Link erfüllt werden können, der irgendwo in einer Datenschutzerklärung vergraben ist.

Es gibt engere Szenarien, in denen die CCPA tatsächlich eine ausdrückliche Einwilligung verlangt – sensible personenbezogene Daten, Minderjährige unter 16 Jahren, finanzielle Anreize sowie das erneute Opt-in eines Verbrauchers, der zuvor widersprochen hat. Wenn Ihre Pixel SPI-Kategorien wie Gesundheitsdaten oder genaue Standortdaten erfassen, befinden Sie sich unabhängig vom allgemeinen Rahmen im Opt-in-Bereich. Aber selbst außerhalb dieser Ausnahmen verlangt die Opt-out-Grundlage selbst eine Echtzeit-Durchsetzungsinfrastruktur.

Wie Pixel-Offenlegungen "unautorisiert" werden

Nach der Allison-Theorie können Kläger eine Pixel-Offenlegung als unautorisiert darstellen, ohne eine DSGVO-artige Einwilligung heranzuziehen. Die vier Ansätze, die sich in der Rechtsprechung herauskristallisiert haben, weisen jeweils auf ein anderes operatives Versagen hin.

Der erste ist ein unvollständiger Hinweis bei der Erhebung. Wenn Ihre Datenschutzhinweise nicht ausdrücklich angeben, dass Nutzerdaten über Pixel an Meta, Google, TikTok oder andere Plattformen gesendet werden, ist die Offenlegung nicht autorisiert. Allgemeine Formulierungen über "Werbepartner" reichen nicht aus. Der Hinweis muss die tatsächlichen Datenflüsse beschreiben.

Der zweite sind ignorierte Opt-out-Signale. Wenn ein Nutzer ein GPC-Signal sendet oder auf "Nicht verkaufen" klickt und das Pixel weiterhin feuert, ist diese fortgesetzte Offenlegung unautorisiert und nun nach § 1798.150 mit gesetzlichem Schadensersatz einklagbar.

Der dritte – und derjenige, der die meiste dogmatische Arbeit leistet – ist, dass der Pixel-Empfänger nicht als Dienstleister gilt. Meta, Google Ads und TikTok behalten sich vertraglich in der Regel das Recht vor, Pixel-Daten für eigene Zwecke zu nutzen: Modelltraining, Anzeigenoptimierung, Profilanreicherung. Nach der CCPA macht sie das zu Dritten, und die Datenübertragung stellt einen "Verkauf" oder eine "Weitergabe" dar, die Opt-out-Pflichten unterliegt. Das Gericht in Taylor v. ConverseNow ging noch weiter und entschied, dass bereits die vertragliche Möglichkeit des Anbieters, Daten für eigene Zwecke zu nutzen, den Safe-Harbor-Status als Dienstleister zunichtemacht.

Der vierte ist der unsachgemäße Umgang mit sensiblen personenbezogenen Daten. Wenn Seiten-URLs Gesundheitszustände, Interessen an Finanzprodukten oder andere SPI-Kategorien preisgeben, übermitteln Pixel, die auf diesen Seiten feuern, SPI an Dritte, ohne das Recht des Verbrauchers auf Einschränkung einer solchen Nutzung zu respektieren.

Das Kumulationsproblem

Kläger kombinieren nun CCPA-§-1798.150-Ansprüche mit Ansprüchen nach dem California Invasion of Privacy Act (CIPA) in einzelnen Klagen. Dieselben Fakten stützen beide Theorien. CIPA behandelt das Abfangen selbst als Verstoß gegen das Abhörverbot. Die CCPA behandelt die unautorisierte Offenlegung als den Verstoß. Kumulierte Ansprüche erhöhen das Risiko und erschweren eine frühzeitige Klageabweisung, da ein Beklagter, der eine Rechtstheorie abwehrt, weiterhin mit der anderen konfrontiert ist.

Warum Ihre Pixel auch im Opt-out-Modus eine CMP benötigen

Jede der vier Allison-Theorien weist auf eine Anforderung hin, die ohne Tag-Management-Infrastruktur nicht erfüllt werden kann. Dabei handelt es sich nicht um rechtliche Vorsicht – es geht um grundlegende operative Fähigkeit.

Wenn ein Besucher widerspricht, muss jedes Pixel, das einen Verkauf oder eine Weitergabe darstellt, sofort für diese Sitzung aufhören zu feuern. Nicht beim nächsten Seitenaufruf, nicht nach einer Cache-Aktualisierung, sondern innerhalb derselben Interaktion. Ohne eine CMP, die Ihre Tag-Ebene steuert, gibt es keinen Mechanismus, dies durchzusetzen. Der Opt-out-Link existiert, aber nichts verbindet ihn mit den Pixeln, die tatsächlich im Browser laufen.

Nachzuweisen, dass eine Offenlegung im Moment ihres Auftretens autorisiert war, ist nun eine Tatsachenfrage mit echten Beweisanforderungen. Wenn ein Kläger behauptet, seine Daten seien nach dem Opt-out an Meta gesendet worden, hängt Ihre Verteidigung von dokumentierten Nachweisen über den Einwilligungsstatus und die Pixel-Unterdrückung zu diesem konkreten Zeitpunkt ab. Eine CMP erzeugt diese Aufzeichnungen automatisch und fortlaufend. Eine eigenständige Opt-out-Seite erzeugt gar nichts.

Sie können auch keinen korrekten Hinweis bei der Erhebung geben, wenn Sie nicht wissen, welche Drittanbieter-Tags auf Ihren Seiten aktiv sind, welche Daten sie übermitteln und an wen. Die meisten Websites sammeln im Laufe der Zeit Tracking-Tags an, während Marketingteams Anbieter hinzufügen. Ohne systematisches Scannen stimmt Ihr Datenschutzhinweis fast sicher nicht mit Ihren tatsächlichen Datenflüssen überein – und diese Diskrepanz ist selbst eine der Allison-Theorien.

Nicht alle Anbieter sind nach der CCPA gleich. Manche gelten als Dienstleister, andere als Dritte. Die Regeln unterscheiden sich für jede Kategorie. Eine CMP erlaubt es Ihnen, unterschiedliche Feuerregeln je nach tatsächlichem Vertragsstatus jedes Anbieters anzuwenden – Dienstleister-Tags laufen weiter, während Drittanbieter-Pixel für Nutzer unterdrückt werden, die widersprochen haben.

Wie UniConsent die Allison-Risiken adressiert

UniConsent wurde nach dem Prinzip entwickelt, dass Einwilligungssignale das Tag-Verhalten auf der Ausführungsebene steuern müssen, nicht nur Präferenzen in einer Datenbank speichern sollen. Mehrere spezifische Funktionen bilden direkt die operativen Anforderungen ab, die dieses Urteil schafft.

Das Tag-Gating-System stellt sicher, dass kein Drittanbieter-Pixel feuert, bevor der Einwilligungsstatus des Nutzers geklärt ist. Im Opt-out-Modus bedeutet das, dass Pixel standardmäßig für Nutzer feuern, die nicht widersprochen haben, aber in Echtzeit unterdrückt werden, sobald ein Nutzer sein Recht ausübt. Die Unterdrückung gilt innerhalb derselben Seitensitzung und schließt die zeitliche Lücke, die Kläger ausnutzen.

Die Global-Privacy-Control-Integration von UniConsent erkennt GPC-Signale auf Browserebene und synchronisiert sie mit dem IAB-CCPA-Framework sowie anbieterspezifischen Einwilligungssignalen. Wenn der Browser eines kalifornischen Nutzers ein GPC-Signal sendet, interpretiert UniConsent dies als Widerspruch gegen Verkauf und Weitergabe und wendet dieses Signal ohne zusätzliche Nutzerinteraktion auf alle verbundenen Anbieter an. Dieser Mechanismus verhindert, dass die Theorie "der Opt-out wurde ignoriert" Fuß fasst.

Der Cookie-Scanner erfasst jeden aktiven Tracker auf Ihrer Website, identifiziert die Anbieter, die Daten empfangen, und dokumentiert die Datenflüsse. Das liefert Ihnen die Rohinformationen, die Sie benötigen, um Hinweise bei der Erhebung zu formulieren, die tatsächlich dem Verhalten Ihrer Website entsprechen. Regelmäßiges Ausführen des Scanners erfasst neue Tags, die Marketingteams hinzufügen, und verhindert, dass sich die Lücke zwischen Hinweis und Realität erneut öffnet.

UniConsent führt zeitgestempelte Einwilligungsaufzeichnungen, die für regulatorische und gerichtliche Prüfungen strukturiert sind. Jede Aufzeichnung dokumentiert, was dem Nutzer gezeigt wurde, welche Wahl er getroffen hat und welches Tag-Verhalten daraus resultierte. Dieser Prüfpfad ist die beweisrechtliche Grundlage zur Verteidigung gegen Ansprüche wie den in Allison. Der Consent Data Validator prüft, ob diese Aufzeichnungen korrekt strukturiert und intern konsistent sind.

Das Anbieter-Klassifizierungssystem innerhalb von UniConsent ermöglicht es Ihnen, jedes Tag basierend auf der tatsächlichen Vertragsbeziehung als zu einem Dienstleister oder einem Dritten gehörend einzustufen. Drittanbieter-Tags unterliegen automatisch der Opt-out-Unterdrückung. Dienstleister-Tags feuern weiter. Diese Unterscheidung, angewendet auf der Tag-Management-Ebene statt in einem juristischen Dokument, macht die Dienstleister-Verteidigung operativ real statt lediglich vertraglich.

Was jetzt zu prüfen ist

Nach Allison brauchen vier Fragen belastbare Antworten. Identifiziert Ihr Hinweis bei der Erhebung ausdrücklich die Dritten, die über Pixel Daten empfangen? Unterdrücken GPC-Signale und Opt-out-Anträge tatsächlich Pixel im Browser – oder aktualisieren sie nur einen Datenbankeintrag? Beschränken Ihre Anbieterverträge den Empfänger tatsächlich darin, Daten für eigene Zwecke zu nutzen – und spiegelt Ihre Tag-Infrastruktur diese Klassifizierung wider? Unterliegen Pixel auf Seiten mit SPI-relevanten URLs zusätzlichen Kontrollen?

Wenn eine dieser Antworten "nein" lautet, hat ein Kläger nun einen CCPA-Klagegrund mit gesetzlichem Schadensersatz zusätzlich zu jeder CIPA-Abhörklage. Die Lösung besteht nicht darin, zu einem DSGVO-artigen Opt-in zu wechseln. Die Lösung besteht darin, Ihre Opt-out-Infrastruktur tatsächlich funktionsfähig zu machen – mit einer Consent-Management-Plattform, die die Signale durchsetzt, die Ihre Website zu respektieren verspricht.

Über UniConsent

UniConsent ist Teil der datenschutzorientierten User Experience Platform von Transfon, die täglich zig Millionen Nutzer bedient, um sowohl Nutzern als auch Verlagen im Zeitalter nach der DSGVO ein nahtloses Datenschutzerlebnis zu bieten. Kontaktieren Sie uns für weitere Informationen: hello@uniconsent.com