NFL.com CIPA-Klage: Wenn das Opt-out das Tracking nicht stoppt — so wird das Opt-out wirklich wirksam

NFL Enterprises LLC, der Betreiber von NFL.com, ist der jüngste große Markenname, der in Kalifornien mit einer Abhör-Sammelklage konfrontiert wird. Die Klage, Kimmons v. NFL Enterprises LLC, Az. 26CV197596, wurde am 6. Juli 2026 beim Alameda County Superior Court im Namen einer geplanten landesweiten Klasse und einer kalifornischen Unterklasse eingereicht.

Die Klägerin ist ein Fan der San Francisco 49ers aus San Leandro und gibt an, NFL.com im Januar 2026 besucht zu haben, um Ergebnisse und Spielpläne abzurufen. Sie behauptet, dass Tracker von Google, The Trade Desk, Rubicon Project, OpenX, LogRocket und Shape Security in ihrem Browser luden, sobald die Seite lud — und dass die Website ihr Gerät fingerprintete, ihre Sitzung aufzeichnete und ihre Browsing-Daten an Werbenetzwerke weitergab, bevor sie überhaupt eine Datenschutzentscheidung treffen konnte.

Ein Opt-out, das nichts änderte

NFL.com hat ein Cookie-Einwilligungsbanner, und die Klage setzt sich direkt damit auseinander. Genau dieser Teil verdient Aufmerksamkeit.

Die in der Klage zitierten forensischen Tests zählten 182 Drittanbieter-Tracker, die vor jeder Einwilligungsinteraktion liefen: 24 Cookies, vier Canvas-Fingerprinting-Skripte und ein Session Recorder. Nachdem ein Besucher Cookies über das Banner ablehnt, zählten dieselben Tests 186 Tracker, nun mit 25 Cookies, neben denselben Fingerprinting-Skripten und demselben Session Recorder. Nach diesen Zahlen stand ein Besucher, der Tracking ablehnte, geringfügig schlechter da als einer, der gar nichts tat.

Die Klage sagt, das Banner vermittle Besuchern ein "falsches und irreführendes Gefühl von Sicherheit", und beide angeführten Gründe betreffen die technische Verdrahtung der Website, nicht den Bannertext. Die Tags feuerten beim Seitenaufruf, das Tracking lief also bereits, bevor irgendjemand das Banner beantworten konnte. Und das Banner regelte nur Cookies, sodass Werkzeuge, die nie Cookies benötigten, unabhängig von der Entscheidung des Besuchers weiterliefen.

Keines dieser Probleme ist exotisch. Feuern beim Seitenaufruf ist in den meisten Tag-Manager-Setups die Standardeinstellung, und nur wenige Cookie-Banner wurden je mit Session-Replay- oder Fingerprinting-Skripten verbunden. Die Kimmons-Klage hat diese Lücke schlicht auf einer berühmten Website gemessen und mit gesetzlichem Schadensersatz verknüpft.

Was die Tracker angeblich sammelten

Der Session Recorder, laut Klage von LogRocket geliefert, erfasste den vollständigen Document-Object-Model-Zustand jeder Seite sowie genügend Interaktionsdaten, um den Besuch visuell zu rekonstruieren: Mausbewegungen, Klicks samt Koordinaten, Hover-Ereignisse, Scrollen, Navigationspfade und Tastatureingaben in Suchleisten und anderen Eingabefeldern. Die Tastaturerfassung soll die Reihenfolge und das Timing einzelner Tasten eingeschlossen haben, unabhängig davon, ob der Besucher seine Eingabe je absendete.

Die Fingerprinting-Vorwürfe gehen technisch tiefer als die meisten bisherigen CIPA-Klagen. Vier separate Canvas-Fingerprinting-Skripte sollen auf der Website gelaufen sein, drei über Google Tag Manager geladen und eines über Shape Security. Jedes erfasste Font-Rendering-, Geometrie-Rendering- und Data-URL-Signale, die zusammen eine gerätespezifische Signatur aus GPU, Grafiktreibern, installierter Schriftbibliothek und Browser-Rendering-Engine ergeben. Drei der Skripte waren mit Google-Ads- und Campaign-Manager-Konten verknüpft, was die Klage als Beleg dafür wertet, dass die Fingerprints in die seitenübergreifende Werbe-Attribution einflossen. Ein Fingerprint überlebt gelöschte Cookies; genau dafür wird er eingesetzt.

Die Ansprüche und das Risiko

Die Klage stützt sich auf fünf Klagegründe. Nach CIPA Section 631(a), Kaliforniens Abhörvorschrift, sollen die Tracker die Inhalte der Kommunikation der Klägerin mit der Website während der Übertragung abgefangen haben; die Klage beruft sich auf Mikulsky v. Bloomingdale's, LLC (9th Cir. 2025) für die Position, dass Session Recording "Inhalte" erfasst, sowie auf Smith v. Rack Room Shoes und Ambriz v. Google für das Argument, die Anbieter hätten als dritte Abhörer und nicht als Erweiterungen der Website gehandelt. Nach Section 638.51(a), in Anlehnung an Greenley v. Kochava, soll jeder Tracker als Pen Register fungieren, indem er Routing-, Adressierungs- und Signalisierungsinformationen einschließlich IP-Adressen ohne Einwilligung oder gerichtliche Anordnung aufzeichnet. Die übrigen Klagegründe stützen sich auf den bundesstaatlichen Wiretap Act (ECPA), den California Computer Data Access and Fraud Act, die Datenschutzklausel der kalifornischen Verfassung und das Unfair Competition Law des Bundesstaats.

Die Schadensersatzrechnung erklärt, warum diese Klagen nicht abreißen. CIPA Section 637.2 setzt den gesetzlichen Schadensersatz auf 5.000 US-Dollar pro Verstoß fest, ohne dass ein tatsächlicher Schaden nachgewiesen werden muss, und der ECPA-Anspruch addiert den höheren Betrag von 100 US-Dollar pro Tag und Verstoß oder 10.000 US-Dollar. Auf den Traffic einer der meistbesuchten Sport-Websites des Landes angewandt, wird die theoretische Summe sehr schnell sehr groß. European Wax Center verglich sich auf 5 Millionen US-Dollar — bei einem weit kleineren Tag-Stack und weit weniger Traffic.

Der übliche Vorbehalt gilt: Dies sind Behauptungen, die NFL hat noch nicht geantwortet, und ob das Banner die beanstandeten Technologien abdeckte oder auf anderem Weg eine gültige Einwilligung vorlag, wird noch verhandelt. Die Theorien selbst sind jedoch dieselben, die in der aktuellen Welle der CIPA-Klagen wegen Pre-Consent-Tracking regelmäßig Abweisungsanträge überstehen.

Was das für Consent Management bedeutet

Alles, was die Klägerin brauchte, stammte aus einem Scan der Website. Ob Tracker vor der Einwilligung feuern und ob ein Opt-out den Session Recorder tatsächlich unterdrückt, sind keine Rechtsfragen. Es sind überprüfbare Fakten über die Tag-Konfiguration, und jeder Betreiber kann denselben Test durchführen wie die Klägerin.

Genau deshalb ist die Lösung architektonisch und nicht kosmetisch. Eine Consent-Management-Plattform muss vor jeder Drittanbieter-Technologie auf der Seite stehen, nicht nur vor denen, die Cookies setzen. UniConsents Tag Gating hält Pixel, Session Recorder und über Tag Manager geladene Fingerprinting-Skripte zurück, bis der Einwilligungsstatus des Besuchers feststeht — vor der Einwilligung wird nichts ausgeführt. Lehnt ein Besucher ab, erfasst die Unterdrückung auch Cookie-lose Werkzeuge, und die Entscheidung wird über Google Consent Mode und die IAB-Frameworks an nachgelagerte Anbieter weitergegeben, mit Unterstützung für Global Privacy Control für kalifornische Opt-outs.

Das letzte Stück ist der Nachweis. UniConsents Website-Scanning zeigt, was vor und nach jeder Einwilligungsentscheidung tatsächlich feuert, und der Einwilligungs-Audit-Trail bewahrt die Aufzeichnungen auf, die belegen, dass das Banner hält, was es verspricht. Diesen Test auf der eigenen Website durchzuführen, kostet wenig. Die Antwort aus einer in Alameda County eingereichten Klageschrift zu erfahren, kostet erheblich mehr.