FedEx: 2,975 Mio. $ CCPA-Bußgeld wegen Werbe-Trackern und ignorierter GPC-Signale

Die California Privacy Protection Agency (CalPrivacy) hat gegen die Federal Express Corporation ein Bußgeld von 2,975 Millionen Dollar nach dem CCPA verhängt. Das Board hat die Entscheidung am 6. November 2026 angenommen, die Behörde hat sie am 10. November bekannt gegeben. Laut der Anordnung setzte FedEx auf seiner Website Werbe-Tracker ein und erklärte Besuchern zugleich, ihre Daten weder zu verkaufen noch zu teilen. Außerdem beachtete die Website Opt-out-Signale wie Global Privacy Control (GPC) nicht.

FedEx: 2,975 Mio. $ CCPA-Bußgeld wegen Werbe-Trackern und ignorierter GPC-Signale

Das Bußgeld ist mehr als doppelt so hoch wie die 1,35 Millionen Dollar, die Tractor Supply 2025 zahlte, und das bisher höchste Verwaltungsbußgeld, das das Board der Behörde verhängt hat. FedEx hat der Anordnung zugestimmt, ohne die Feststellungen einzuräumen oder zu bestreiten, und erkennt keine Haftung an.

Was in der Anordnung steht

Die Anordnung betrifft den Zeitraum vom 1. Juli 2023 bis zum 27. Oktober 2025. Sie enthält vier Feststellungen zu fedex.com.

Werbe-Tracker gelten als "Sharing"

FedEx hatte Tracking-Technologien von Meta, LinkedIn, Google, Adobe und weiteren Ad-Tech-Unternehmen eingebunden. Diese Cookies und Pixel machten eindeutige Geräte- und Nutzerkennungen für diese Unternehmen verfügbar, unter anderem für zielgerichtete Werbung. Versanddaten waren nicht betroffen.

Nach dem CCPA ist es "Sharing", personenbezogene Daten einem Dritten für kontextübergreifende verhaltensbasierte Werbung verfügbar zu machen, unabhängig davon, ob Geld fließt. Die Behörde wies auch das Argument zurück, bei einer B2B-Website sei das anders: Menschen nutzen dieselben Geräte beruflich und privat, sodass Kennungen aus einem beruflichen Besuch in denselben Werbeprofilen landen.

Die Datenschutzerklärung sagte das Gegenteil

In der Datenschutzerklärung von FedEx hieß es sinngemäß: "Wir 'verkaufen' oder 'teilen' Ihre personenbezogenen Daten nicht." Da die Tracker Daten teilten, wertete die Behörde diese Aussage als falsch. Die Website hatte außerdem keinen Link "Do Not Sell or Share My Personal Information" oder "Your Privacy Choices", sondern nur einen Link "Cookie Consent" in der Fußzeile, und die Erklärung beschrieb nicht, wie Opt-out-Präferenzsignale verarbeitet werden.

GPC-Signale wurden nicht beachtet

Laut der Anordnung hat FedEx es versäumt, seine digitalen Angebote so zu konfigurieren, dass sie die Opt-out-Präferenzsignale der Verbraucher korrekt erkennen und beachten. Besucher mit aktiviertem GPC hatten bereits widersprochen, und ihre Daten gingen weiter an Ad-Tech-Unternehmen. Die Behörde weist darauf hin, dass Kalifornien Unternehmen seit 2020 verpflichtet, diese Signale zu beachten.

Die Cookie-Einstellungen stoppten das Teilen nicht

Im Opt-out-Formular von FedEx stand, dass es Cookies nicht abdeckt. Es verwies stattdessen auf den Link "Cookie Consent". Dieser öffnete ein Fenster mit Schaltern für "Functional", "Analytical" und "Tracking" Cookies. Laut der Anordnung machte FedEx auch dann noch personenbezogene Daten einiger Besucher für einige Ad-Tech-Unternehmen verfügbar, wenn ein Besucher die Schalter für Analyse und Tracking ausgeschaltet hatte.

Das Fenster erwähnte Verkauf oder Teilen zudem gar nicht. Ein Cookie-Tool gilt nur dann als CCPA-Opt-out-Methode, wenn es erklärt, wie sich die Cookie-Einstellungen auf den Verkauf und das Teilen personenbezogener Daten auswirken.

Was FedEx jetzt tun muss

Neben dem Bußgeld legt die Anordnung Pflichten fest, die drei Jahre lang gelten:

• Websites und Apps mindestens vierteljährlich scannen und ein aktuelles Verzeichnis der Tracker führen, die personenbezogene Daten verkaufen oder teilen
• CCPA-konforme Verträge mit allen Dritten unterhalten, an die Daten verkauft oder mit denen sie geteilt werden, und neue Dritte vor der Einbindung prüfen
• Websites und Apps so konfigurieren, dass Opt-outs vollständig umgesetzt werden, ob sie über GPC oder auf anderem Weg eingehen
• Diese Konfiguration mindestens vierteljährlich in Staging und Produktion testen, und immer dann, wenn ein neuer Tracker hinzukommt
• Einen Link "Do Not Sell or Share My Personal Information" oder "Your Privacy Choices" bereitstellen, ohne unnötige Schritte
• In jedem Cookie-Tool, das für Opt-outs genutzt wird, angeben, wie es sich auf Verkauf und Teilen auswirkt
• Die Kennzahlen zu CCPA-Anfragen jährlich auf der Website veröffentlichen

Was das für Ihre Website bedeutet

Wer Werbe-Pixel einsetzt, "teilt" wahrscheinlich

Ein Meta Pixel, ein LinkedIn Insight Tag oder ein Google-Ads-Tag, das Werbe-Targeting unterstützt, genügt. Sind solche Tags auf Ihrer Website, ist eine Datenschutzerklärung mit dem Satz "wir verkaufen oder teilen keine Daten" ein Risiko. Prüfen Sie zuerst die Tags und schreiben Sie dann die Erklärung passend dazu.

GPC muss ändern, was die Seite lädt

Das Signal zu erkennen reicht nicht. Kommt ein Besucher mit aktiviertem GPC, dürfen Werbe-Tags, die Daten teilen, für diesen Besucher nicht laufen. In der Mitteilung der Behörde sagte die kommissarische Leiterin der Durchsetzungsabteilung, die Zeit für die Umsetzung angemessener Hinweise und Funktionen für Opt-out-Präferenzsignale sei längst abgelaufen. Ab 2027 verpflichtet der kalifornische Opt Me Out Act zudem Browser, ein eingebautes Opt-out-Signal anzubieten. Mehr Ihrer Besucher werden dann eines senden.

Ein Cookie-Banner ist nicht automatisch ein CCPA-Opt-out

FedEx hatte ein Tool für Cookie-Einstellungen, und das reichte nicht. Das Tool muss sagen, dass es Verkauf und Teilen steuert, es muss die Tracker stoppen, wenn ein Besucher widerspricht, und die Website braucht trotzdem den Opt-out-Link. Die Coca-Cola-Sammelklage wirft dasselbe Problem aus Klägersicht auf: eine Einstellung, die am Verhalten der Tags nichts ändert.

Jedes Quartal testen, und nach jedem neuen Tag

Die Anordnung verlangt vierteljährliche Scans und Tests sowie einen Test bei jedem neuen Tracker. Das ist ein sinnvoller Maßstab für jede Website. Um Ihre zu prüfen, aktivieren Sie GPC in Firefox oder Brave, laden Sie Ihre Seiten und sehen Sie in den Netzwerk-Tab. Anfragen an Werbeanbieter bei aktiviertem GPC sind genau das, was die Behörde auf fedex.com fand.

Auch B2B-Websites sind erfasst

FedEx wird überwiegend für geschäftlichen Versand genutzt, und das half nicht. Erfüllt Ihr Unternehmen die CCPA-Schwellenwerte und hat Ihre Website Werbe-Tracker, gelten die Regeln auch dann, wenn Ihre Kunden andere Unternehmen sind.

Wie UniConsent hilft

UniConsent erkennt GPC im Browser des Besuchers und setzt für diesen Besucher automatisch das Opt-out, ohne dass er den Hinweis öffnen muss. Werbe-Tags wie das Meta Pixel, das LinkedIn Insight Tag und Google-Tags werden für Besucher mit Opt-out zurückgehalten, und das Opt-out wird über IAB GPP an Ihre Werbepartner weitergegeben. Sie richten das im Dashboard mit dem Tags Loader ein, ohne Ihren Website-Code zu ändern.

UniConsent fügt außerdem den Link "Do Not Sell or Share My Personal Information" für die Datenschutzgesetze der US-Bundesstaaten in Ihre Fußzeile ein, scannt Ihre Website täglich nach neuen Cookies und protokolliert jede Entscheidung.

FAQ

Hat FedEx einen Rechtsverstoß eingeräumt? Nein. FedEx hat der Anordnung zugestimmt, räumt die Feststellungen aber weder ein noch bestreitet es sie, und erkennt keine Haftung an.

Wir verkaufen keine Daten gegen Geld. Gilt das trotzdem? Ja. Nach dem CCPA ist es "Sharing", personenbezogene Daten einem Ad-Tech-Unternehmen für kontextübergreifende verhaltensbasierte Werbung verfügbar zu machen, auch wenn nichts bezahlt wird.

Wie prüfe ich, ob meine Website GPC beachtet? Öffnen Sie Ihre Website in einem Browser mit aktiviertem GPC und prüfen Sie navigator.globalPrivacyControl in der Konsole. Achten Sie dann im Netzwerk-Tab auf Anfragen an Werbeanbieter. Werden sie weiterhin gesendet, wird das Signal nicht beachtet.

Ist GPC nur in Kalifornien Pflicht? Nein. Auch andere Bundesstaaten, darunter Colorado, Connecticut und Texas, verlangen von Websites, das Signal zu beachten. Mehr dazu in unserem Leitfaden zum US-Datenschutz.

Jetzt registrieren und in wenigen Minuten GPC und US-Opt-outs auf Ihrer Website einrichten.

Quellen

• Federal Express to Change Practices and Pay Close to $3 Million Fine Over CCPA Privacy Violations - CalPrivacy
• In the Matter of Federal Express Corporation: Decision and Stipulated Final Order (PDF)
• California Privacy Agency Fines FedEx Nearly $3M - MediaPost