US CCPA: Disney zahlt 2,75 Mio. USD wegen gescheitertem Verbraucher-Opt-out über Global Privacy Control

Der kalifornische Generalstaatsanwalt gab am 11. Februar 2026 eine Vergleichszahlung von 2,75 Millionen US-Dollar mit Disney bekannt – die bisher höchste jemals verhängte CCPA-Geldbuße. Der Vergleich geht auf Disneys Versäumnis zurück, Verbraucher-Opt-out-Anfragen über seine Streaming-Plattformen hinweg zu berücksichtigen, einschließlich Anfragen über Global Privacy Control (GPC), das browserbasierte Signal, mit dem Nutzer den Verkauf und die Weitergabe ihrer Daten automatisch ablehnen können.

US CCPA: Disney zahlt 2,75 Mio. USD wegen gescheitertem Verbraucher-Opt-out über Global Privacy Control

Dies ist die siebte CCPA-Durchsetzungsmaßnahme des Büros des kalifornischen Generalstaatsanwalts, nach Fällen gegen Sephora (1,2 Millionen USD im Jahr 2022), DoorDash und andere. Für Publisher und Marketer, die Nutzerdaten über Werbung erheben, ist die Botschaft klar: Das Ignorieren von GPC-Signalen hat reale finanzielle Konsequenzen.

Wie Disney gegen die CCPA-Opt-out-Anforderungen verstieß

Die Untersuchung, Teil einer 2024 durchgeführten Prüfungswelle gegen Streaming-Dienste, deckte gravierende Lücken darin auf, wie Disney Datenschutz-Opt-out-Anfragen über drei Kanäle hinweg behandelte.

Wenn Verbraucher Disneys Opt-out-Schalter nutzten, wandte das Unternehmen dies nur auf den jeweiligen Streaming-Dienst und das jeweilige Gerät an. Der Verkauf und die Weitergabe von Daten liefen über andere verbundene Disney-Dienste und -Geräte hinweg ungehindert weiter.

Über Disneys Webformular eingereichte Anfragen liefen nicht besser. Das Unternehmen stoppte zwar die Datenweitergabe über seine eigene Werbeplattform, verkaufte aber weiterhin personenbezogene Daten an eingebettete Drittanbieter-Ad-Tech-Unternehmen. Hinzu kommt, dass viele von Disneys Connected-TV-Apps überhaupt keine In-App-Opt-out-Methode boten.

Die Ausfälle beim GPC-Signal waren ebenso problematisch. Wenn Verbraucher über ihren Browser ein Global-Privacy-Control-Signal sendeten, beschränkte Disney das Opt-out auf dieses eine Gerät, selbst wenn der Verbraucher über mehrere Dienste hinweg in seinem Konto angemeldet war.

Generalstaatsanwalt Bonta brachte es unmissverständlich auf den Punkt: „Das Opt-out-Recht eines Verbrauchers gilt überall und in jeder Form, in der ein Unternehmen Daten verkauft – Unternehmen können Menschen nicht zwingen, Gerät für Gerät oder Dienst für Dienst vorzugehen."

GPC-Compliance ist nun eine rechtliche Priorität für US-Marketer

Global Privacy Control ist ein 2020 geschaffenes browserbasiertes Signal, das die Präferenz eines Nutzers kommuniziert, seine Daten nicht verkaufen oder weitergeben zu lassen. Es ist in Firefox und Brave integriert und über Erweiterungen für Chrome und Safari verfügbar. Nach kalifornischem Recht müssen Unternehmen GPC-Signale als gültige Opt-out-Präferenzsignale im Sinne des CCPA behandeln.

Das tatsächliche Volumen des GPC-Verkehrs auf den meisten Websites bleibt heute gering. Das rechtliche Risiko ist jedoch unverhältnismäßig hoch. Kalifornien hat die GPC-Durchsetzung zur Priorität gemacht, und die Disney-Geldbuße beweist, dass selbst Signale mit geringer Verbreitung millionenschwere Konsequenzen nach sich ziehen, wenn sie ignoriert werden. Da AB-3048 nun vorschreibt, dass große Browser und mobile Betriebssysteme bis Januar 2026 nativ Opt-out-Präferenzsignale unterstützen müssen, wird die Verbreitung nur noch zunehmen.

Über Kalifornien hinaus erkennen auch Bundesstaaten wie Colorado, Connecticut und Montana universelle Opt-out-Mechanismen an. Marketer, die in mehreren US-Datenschutzjurisdiktionen tätig sind, müssen GPC-Compliance als grundlegende Anforderung und nicht als Randfall behandeln.

Was der Disney-Vergleich für Marketer und Publisher bedeutet

Der Disney-Fall macht den Compliance-Standard sehr konkret. Opt-out-Anfragen – ob über Schalter, Webformulare oder GPC-Signale – müssen über alle Dienste, alle Geräte und alle mit einem Nutzerkonto verbundenen Drittanbieter-Datenweitergabevereinbarungen hinweg angewendet werden. Stückwerk-Opt-out-Mechanismen halten einer Durchsetzung nicht stand.

Marketer sollten ihre aktuellen Opt-out-Prozesse anhand dieses Standards überprüfen. Wenn ein Verbraucher auf einem Gerät ein GPC-Signal sendet, sollte sich dieses Opt-out über das gesamte Konto hinweg fortpflanzen. Wenn ein Webformular-Opt-out die direkte Datenweitergabe stoppt, nicht aber die Weitergabe an Drittanbieter-Ad-Tech, ist der Prozess unvollständig.

Der praktikabelste Weg, diese Lücken zu schließen, ist eine Consent-Management-Plattform (CMP), die GPC-Signale automatisch erkennt und über den gesamten Ad-Tech-Stack hinweg anwendet. Manuelle Prozesse lassen genau die Art von Inkonsistenzen zu, die Disney 2,75 Millionen US-Dollar gekostet haben.

Auch regelmäßiges Testen ist wichtig. Unternehmen sollten überprüfen, dass der Verkauf und die Weitergabe von Daten bei erkanntem GPC-Signal vollständig blockiert werden, und Aufzeichnungen dieser Tests führen. Dokumentierte Compliance-Bemühungen bieten eine stärkere Verteidigung, sollten Aufsichtsbehörden vorstellig werden.

Integrierte GPC-Signalunterstützung von UniConsent

UniConsent bietet integrierte Unterstützung für Browser-GPC-Signale, die Publishern und Marketern helfen soll, die kalifornischen Datenschutzgesetze ohne zusätzlichen Entwicklungsaufwand einzuhalten. Wenn ein Besucher mit aktiviertem GPC eintrifft, erkennt UniConsent das Signal und synchronisiert es mit den IAB-CCPA- und CPRA-Consent-Frameworks, wobei die Sitzung automatisch als „Nicht verkaufen oder weitergeben" markiert wird.

GPC-Signale werden zudem mit IAB GPP und US-Privacy-Consent-Strings synchronisiert, sodass sich die Opt-out-Präferenz durch Ihr gesamtes Werbe-Ökosystem zieht. UniConsent verwaltet CCPA, CPRA, DSGVO und andere globale Vorschriften über eine einzige Plattform, und als von Google zertifiziertes CMP werden Einwilligungssignale von den Werbediensten von Google erkannt.

Der Disney-Vergleich markiert einen Wendepunkt für die GPC-Durchsetzung. Unternehmen, die jetzt GPC-Unterstützung über ein CMP integrieren, können die Compliance-Lücken vermeiden, die zu dieser Rekordstrafe geführt haben.

Quellen

• California Attorney General Announces $2.75 Million Settlement with Disney
• California Imposes Largest CCPA Fine to Date on Disney - Clark Hill
• GPC Compliance Is Becoming a Legal Priority for U.S. Marketers - MarTech

Über UniConsent

UniConsent ist Teil der datenschutzorientierten User Experience Platform von Transfon, die täglich zig Millionen Nutzer bedient, um sowohl Nutzern als auch Publishern im Zeitalter nach der DSGVO ein nahtloses Datenschutzerlebnis zu bieten. Kontaktieren Sie uns für weitere Informationen: hello@uniconsent.com