CIPA-Klagen 2026: Wie Tracking vor Einwilligung Website-Betreiber angreifbar macht

Der California Invasion of Privacy Act (CIPA) ist zum bevorzugten Gesetz für Kläger geworden, die Web-Tracking-Praktiken angreifen. Seit Anfang 2026 hat sich die CIPA-Klagewelle deutlich beschleunigt, und die Ansprüche haben sich von grundsätzlichen Fragen, ob Online-Tracking überhaupt als Abfangen gilt, zu etwas Engerem und schwerer Abzuweisendem verschoben: Wann genau begann das Tracking im Verhältnis zur Einwilligung des Nutzers, und hat die Website die Entscheidungen respektiert, die die Einwilligungsoberfläche zu respektieren versprach?

Einzelhandel, Ad-Tech, Hotellerie, Automobilbranche und Verbrauchersoftware-Unternehmen sind allesamt betroffen. Wenn Ihre Website Daten von kalifornischen Besuchern mithilfe von Drittanbieter-Tags erhebt, ist dieser Klagetrend unmittelbar relevant dafür, wie Ihre Infrastruktur heute konfiguriert ist.

CIPA-Klagen 2026: Wie Tracking vor Einwilligung Website-Betreiber angreifbar macht

Was CIPA tatsächlich abdeckt

CIPA Section 631 ist Kaliforniens Gesetz gegen das Abhören. Es verbietet das unautorisierte Abfangen elektronischer Kommunikation. Section 638.51 betrifft sogenannte Pen Register, also Geräte oder Prozesse, die Routing- und Adressierungsinformationen wie IP-Adressen und Geräte-IDs ohne gerichtliche Anordnung erfassen. Beide Vorschriften wurden vor Jahrzehnten für die Telefonüberwachung geschrieben, doch Gerichte haben sie zunehmend auf Tracking-Pixel, Website-Cookies, Session-Replay-Tools und Keystroke-Logger ausgeweitet.

Das finanzielle Risiko ist erheblich. Der gesetzliche Schadensersatz beträgt bis zu 5.000 US-Dollar pro Verstoß. Multipliziert man das über eine zertifizierte Sammelklage von Website-Besuchern, wird die Gesamtforderung groß genug, um kostspielige Prozesse zu rechtfertigen. CIPA-Fälle beginnen typischerweise mit Abmahnschreiben. Von dort aus geht es weiter zu Vergleichsverhandlungen, Schiedsverfahren oder vollständigen Gerichtsverfahren. Eine frühzeitige Abweisung ist möglich, aber uneinheitlich, und Kläger haben gelernt, dass allein das Erreichen der Beweisaufnahme eigenen Vergleichsdruck erzeugt, unabhängig davon, wie sich die Rechtstheorie letztlich auflöst.

Die drei Klägertheorien, die die Klagen von 2026 dominieren

Pixel-Feuern vor der Einwilligung

Die technisch präziseste Theorie: Ein Besucher landet auf einer Seite, und bevor eine Einwilligungsoberfläche erscheint oder der Nutzer irgendetwas angeklickt hat, feuern Drittanbieter-Tags von Meta, Google, TikTok oder anderen Anbietern und übermitteln Daten an externe Server. Das Argument lautet, dass die Reihenfolge über die Rechtmäßigkeit entscheidet. Ein Abfangen, das vor Erhalt der Einwilligung erfolgt, kann nicht durch eine Momente später erteilte Einwilligung rückwirkend geheilt werden.

Diese Theorie ist teilweise deshalb erfolgreich, weil sie tatsächlich überprüfbar ist, und teilweise, weil das angegriffene Verhalten weit verbreitet ist. Das Feuern von Pixeln beim Laden der Seite ist in vielen Tag-Management-Konfigurationen die Standardeinstellung, kein Ausnahmefall.

Das defekte Cookie-Banner

Die zweite Theorie betrifft Nutzer, die mit einer Einwilligungsoberfläche interagieren, das Tracking ablehnen oder bestimmte Cookie-Kategorien deaktivieren, eine Bestätigung erhalten, dass ihre Präferenzen gespeichert wurden – und dennoch feststellen, dass das Tracking unverändert weiterläuft.

Eine Bundesgerichtsentscheidung aus dem Jahr 2026 beschrieb eine solche Website als eine, die "die Erwartung geweckt hat, dass Nutzerdaten nicht erhoben würden, sie aber trotzdem erhoben hat". Gerichte fassen dies nicht als Fehlkonfiguration auf, sondern als eine Frage der Irreführung, was neben dem zentralen CIPA-Abhörvorwurf auch Ansprüche wegen unlauteren Wettbewerbs und Verbraucherschutz mit hineinzieht. Aus Verteidigungssicht sind diese Fälle schwierig, weil die zentrale Tatsachenfrage binär ist: Die Tags haben entweder gestoppt, als der Nutzer ablehnte, oder nicht.

Keine Offenlegung oder Einwilligungsmechanismus

Das dritte Muster ist das direkteste. Tracking läuft ohne jede vorherige Offenlegung und ohne den Nutzern überhaupt eine Einwilligungswahl zu präsentieren. Section 638.51 ist hier typischerweise der Hauptanspruch, wobei Kläger argumentieren, dass Tracking-Pixel als Pen Register fungieren, indem sie IP-Adressen und Geräte-IDs erfassen. Gerichte sind sich uneinig darüber, ob die Pen-Register-Analogie auf Web-Tracking anwendbar ist, doch eine erhebliche Anzahl lässt diese Ansprüche über die Phase des Klageabweisungsantrags hinaus zu.

Kumulierte Ansprüche und warum eine frühe Abweisung schwieriger ist

Kläger reichen 2026 selten nur einen einzigen CIPA-Anspruch ein. Das Standardvorgehen kombiniert Section-631-Abhörvorwürfe mit Section-638.51-Pen-Register-Ansprüchen, fügt Vorwürfe nach dem bundesstaatlichen Electronic Communications Privacy Act hinzu und schichtet Theorien des Common-Law-Datenschutzes darüber. Die Kumulation von Ansprüchen über bundes- und einzelstaatliche Rahmenwerke hinweg erhöht die Vergleichshebelwirkung und zwingt Beklagte, sich gleichzeitig an mehreren rechtlichen Fronten zu verteidigen, was einen sauberen frühen Ausstieg erschwert.

Bundesgerichte in Kalifornien haben diese Fälle in der Regel zur Beweisaufnahme zugelassen, selbst wenn die Rechtstheorien umstritten sind. Ein bemerkenswerter Gegenpunkt ist Travis Rounds v. Development Dimensions International im Central District of California, wo das Gericht eine Sammelklage abwies, die CIPA-Haftung auf standardmäßiges Browser-Tracking ausweiten wollte. Dieses Urteil deutet darauf hin, dass manche Gerichte bereits in der Antragsphase eine echte Prüfung vornehmen werden. Eine einzelne günstige Abweisung ist jedoch keine verlässliche Verteidigungsstrategie.

Warum Verteidigungen nun auf technischen Beweisen beruhen

Beklagte haben echte Argumente. Die Klagebefugnis bleibt umstritten. Der Umfang von "Inhalten" nach Section 631 ist strittig. Ob Pixel die gesetzliche Definition eines Pen Registers erfüllen, ist nicht einheitlich geklärt. Die Dienstleister-Ausnahme und die Verteidigung des gewöhnlichen Geschäftsbetriebs tauchen weiterhin in Antragsschriften auf.

Die Komplikation besteht darin, dass diese Argumente nun anhand konkreter Aufzeichnungen darüber geprüft werden, wie sich eine Website im Moment der Nutzerinteraktion tatsächlich verhält. Eine Pen-Register-Verteidigung erfordert den detaillierten Nachweis, welche Daten das Pixel erfasst und wann. Ein Dienstleister-Argument erfordert den Nachweis der tatsächlichen Natur der Anbieterbeziehung in technischer und vertraglicher Hinsicht. Keiner dieser Nachweise stammt aus einer Datenschutzerklärung. Sie stammen aus Tag-Feuerprotokollen, Anbieterkonfigurationen und Datenflussdokumentation.

Was sich 2026 geändert hat

Die frühere Welle von CIPA-Web-Tracking-Fällen diskutierte grundsätzliche Fragen: Kann ein Pixel eine Kommunikation abfangen; kann ein Cookie als Pen Register gelten. Diese Auseinandersetzungen liegen größtenteils hinter uns. Der Fallbestand von 2026 setzt die Antwort "ja" voraus und konzentriert sich auf die operative Ebene: Begann das Tracking, bevor eine Einwilligung möglich war, und entsprach das tatsächliche Verhalten der Website dem, was die Einwilligungsoberfläche den Nutzern mitteilte?

Die Compliance-Frage hat sich dadurch verschoben. Eine Consent-Management-Plattform zu besitzen, ist nicht mehr das Ende der Analyse. Die relevanten Fragen sind, ob Ihre CMP die Feuerreihenfolge so steuert, dass kein Tag läuft, bevor eine Nutzerentscheidung erfasst wurde, ob Global-Privacy-Control-Signale bei allen verbundenen Anbietern in Echtzeit respektiert werden, und ob das tatsächliche Verhalten der Drittanbieter-Tracker mit den Angaben in Ihrem Banner übereinstimmt.

Keine dieser Antworten steht in einem Anbietervertrag oder einer Datenschutzerklärung. Sie erfordern Einblick in die tatsächliche Feuerreihenfolge des Tag-Managements und reale Tests, wie Anbieter auf Opt-out-Signale reagieren.

Wer betroffen ist

Das CIPA-Risiko beschränkt sich nicht auf Unternehmen mit komplexen programmatischen Werbe-Stacks. Eine mittelständische E-Commerce-Website mit einem Standardsatz an Analyse- und Werbe-Tags trägt dasselbe Risiko des Feuerns vor der Einwilligung, wenn diese Tags nicht ordnungsgemäß durch eine funktionierende Consent-Management-Lösung gesteuert werden. Der Google Tag Manager feuert mit Standardeinstellungen häufig Werbepixel beim Laden der Seite, bevor überhaupt ein Einwilligungssignal vorliegt.

Ein Cookie-Banner, das eine Ablehnung nicht an jeden verbundenen Anbieter weitergibt, ist rechtlich betrachtet ein defektes Banner – unabhängig davon, wie es für den Besucher aussieht.

Die CCPA verpflichtet Websites bereits, Opt-out-Anträge zu respektieren. CIPA fügt darüber hinaus einen eigenen Schadensersatzrahmen hinzu, durchgesetzt von einer Klägeranwaltschaft, die ihren Prozess zur Identifizierung verwundbarer Websites und zur Klageeinreichung im großen Stil verfeinert hat.

Drei Prüfungen, die sich jetzt lohnen

Prüfen Sie die Feuerreihenfolge der Tags. Identifizieren Sie jedes Tag auf der Website und die Bedingungen, unter denen es feuert. Jedes Tag, das ausgeführt werden kann, bevor ein Einwilligungssignal aus der aktuellen Nutzersitzung erfasst wurde, stellt ein Risiko durch Tracking vor Einwilligung dar. Diese Prüfung muss im Tag-Manager selbst erfolgen, nicht in der Datenschutzerklärung oder der Anbieterdokumentation.

Testen Sie die Weitergabe von Opt-out-Signalen. Wenn ein Nutzer nicht essenzielle Cookies ablehnt oder ein Browser ein Global-Privacy-Control-Signal sendet, überprüfen Sie, ob jedes relevante Tag tatsächlich stoppt. Anbieterverträge beschreiben das beabsichtigte Verhalten; Tests zeigen das tatsächliche Verhalten. Ein Cookie-Scanner, der über eine simulierte Opt-out-Sitzung ausgeführt wird, zeigt, ob beides übereinstimmt.

Bestätigen Sie, dass das Banner dem Verhalten der Website entspricht. Die Einwilligungsoberfläche macht eine Aussage. Diese Aussage muss für jeden Anbieter, mit dem die Website verbunden ist, technisch zutreffend sein. CMP-Audits sollten überprüfen, dass Einwilligungssignale korrekt durch die Tag-Management-Ebene propagiert werden und dass keine Tags entgegen den ausdrücklich geäußerten Präferenzen des Nutzers feuern.

Wie UniConsent hilft

UniConsent koppelt die Tag-Ausführung an Einwilligungssignale, sodass kein Drittanbieter-Tracking feuert, bevor der Nutzer gehandelt hat. Opt-out-Signale, einschließlich Global Privacy Control, werden in Echtzeit bei allen verbundenen Anbietern angewendet. Einwilligungsaufzeichnungen sind zeitgestempelt und strukturiert, um das Systemverhalten bei jeder Nutzerinteraktion zu dokumentieren.

Für Unternehmen, die ein klareres Bild ihres aktuellen Risikos benötigen, erfasst der Cookie-Scanner von UniConsent aktive Tracker und deren Auslösebedingungen. Der Consent Data Validator prüft, ob gespeicherte Einwilligungsaufzeichnungen für eine regulatorische Prüfung korrekt strukturiert sind.

Die zentrale CIPA-Frage im Jahr 2026 lautet nicht, ob ein Unternehmen eine Datenschutzerklärung oder ein Banner hat. Sie lautet, ob das technische Verhalten der Website dem entspricht, was dieses Banner verspricht – auf die genaue Millisekunde, in der es darauf ankommt.

Über UniConsent

UniConsent ist Teil der datenschutzorientierten User Experience Platform von Transfon, die täglich zig Millionen Nutzer bedient, um sowohl Nutzern als auch Verlagen im Zeitalter nach der DSGVO ein nahtloses Datenschutzerlebnis zu bieten. Kontaktieren Sie uns für weitere Informationen: hello@uniconsent.com