CCPA vs. DSGVO: Die wichtigsten Unterschiede

CCPA vs. DSGVO: Die kurze Antwort

Der wichtigste Unterschied zwischen DSGVO und CCPA ist das Einwilligungsmodell. Die EU-Datenschutz-Grundverordnung (DSGVO, englisch GDPR) folgt dem Opt-in-Prinzip: Sie brauchen eine Rechtsgrundlage, oft eine Einwilligung, bevor Sie personenbezogene Daten verarbeiten, und eine vorherige Einwilligung, bevor Sie nicht notwendige Cookies setzen. Der California Consumer Privacy Act (CCPA) in der durch den CPRA geänderten Fassung folgt dem Opt-out-Prinzip: Ein Unternehmen darf personenbezogene Informationen nach einem Hinweis erheben, muss Verbrauchern aber ermöglichen, dem Verkauf oder der Weitergabe dieser Informationen zu widersprechen.

Der zweite große Unterschied ist der Anwendungsbereich. Die DSGVO gilt für fast jede Organisation, die personenbezogene Daten von Menschen in der EU verarbeitet, unabhängig von ihrer Größe. Der CCPA gilt nur für gewinnorientierte Unternehmen, die in Kalifornien geschäftlich tätig sind und eine Umsatz- oder Datenmengenschwelle erreichen.

DSGVO vs. CCPA: Vergleichstabelle

Die wichtigsten Unterschiede erklärt

1. Wer sich daran halten muss

Die DSGVO kennt keine Größenschwelle. Ein Onlineshop mit zwei Mitarbeitern in Berlin und eine US-App mit Nutzern in Frankreich fallen beide darunter. Der CCPA zielt auf größere oder datenintensive Unternehmen. Der Umsatzwert wird alle zwei Jahre an die Inflation angepasst; die California Privacy Protection Agency hat ihn zum 1. Januar 2025 von 25.000.000 $ auf 26.625.000 $ angehoben. Seit 2023 erfasst der CCPA auch Beschäftigten- und B2B-Daten, es geht also nicht nur um Website-Besucher.

2. Opt-in vs. Opt-out

Nach der DSGVO brauchen Sie eine Rechtsgrundlage, bevor die Verarbeitung beginnt. Für Cookies und ähnliche Tracker, die nicht unbedingt erforderlich sind, verlangt das EU-Recht zuerst eine Einwilligung. Das Cookie-Banner muss Tags also blockieren, bis der Besucher zustimmt, und Ablehnen muss so einfach sein wie Zustimmen.

Nach dem CCPA informieren Sie die Menschen bei oder vor der Erhebung und respektieren dann ihre Entscheidungen. Wenn Sie personenbezogene Informationen verkaufen oder für kontextübergreifende verhaltensbasierte Werbung weitergeben, müssen Sie einen Link "Do Not Sell or Share My Personal Information" (oder alternativ "Your Privacy Choices") anbieten und den Verkauf oder die Weitergabe nach einem Opt-out einstellen.

3. Global Privacy Control

Die CCPA-Verordnungen verpflichten Unternehmen, ein Global Privacy Control (GPC)-Signal als gültigen Widerspruch gegen Verkauf und Weitergabe zu behandeln. Der kalifornische Attorney General nennt eine vom Nutzer aktivierte globale Datenschutzeinstellung als eine der Opt-out-Methoden, die Unternehmen beachten müssen. Die DSGVO kennt keine vergleichbare Pflicht für ein Signal, Besucher können ihre Einwilligung aber jederzeit widerrufen.

4. Rechte und Fristen

Beide Gesetze geben Menschen das Recht auf Auskunft und Löschung, die Details unterscheiden sich aber. DSGVO-Anfragen sind innerhalb eines Monats zu beantworten. CCPA-Anfragen auf Auskunft, Löschung und Berichtigung innerhalb von 45 Kalendertagen, Opt-out-Anfragen innerhalb von 15 Werktagen. Ein Datenschutzportal hilft Ihnen, Betroffenenanfragen unter beiden Fristen zu erfassen und nachzuverfolgen.

5. Strafen und Durchsetzung

DSGVO-Bußgelder können 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes erreichen. CCPA-Bußgelder werden pro Verstoß berechnet und summieren sich daher schnell, wenn viele Verbraucher betroffen sind: 2.663 $ pro Verstoß und 7.988 $ pro vorsätzlichem Verstoß oder Verstoß gegen Minderjährige unter 16. Nach bestimmten Datenpannen können Verbraucher außerdem Sammelklagen erheben, mit gesetzlichem Schadensersatz von 107 $ bis 799 $ pro Verbraucher und Vorfall.

Ist der CCPA strenger als die DSGVO?

Insgesamt nicht. Die DSGVO ist strenger, weil sie fast jede Organisation erfasst, für jede Verarbeitung eine Rechtsgrundlage verlangt, eine Opt-in-Einwilligung für Cookies vorschreibt und Übermittlungen außerhalb der EU einschränkt. Der CCPA ist in einigen Punkten strenger: Er verlangt einen sichtbaren Opt-out-Link, macht die Beachtung von GPC zur Pflicht und gibt Verbrauchern bei Datenpannen gesetzlichen Schadensersatz, ohne dass sie einen tatsächlichen Schaden nachweisen müssen.

Wie der CPRA den CCPA verändert hat

Der California Privacy Rights Act (CPRA), im November 2020 per Volksabstimmung angenommen, hat den CCPA ab dem 1. Januar 2023 geändert und näher an die DSGVO gebracht. Alle Details finden Sie in unserem CPRA-Leitfaden. Die wichtigsten Änderungen:

• Gründung der California Privacy Protection Agency, einer eigenen Datenschutzbehörde.
• Neben dem "Verkauf" wurde die "Weitergabe" für kontextübergreifende verhaltensbasierte Werbung aufgenommen.
• Neue Rechte auf Berichtigung und auf Einschränkung der Nutzung sensibler personenbezogener Informationen.
• Regeln zur Datenminimierung und Zweckbindung.
• Vorgaben für Risikobewertungen und Cybersicherheitsaudits, inzwischen geregelt in CPPA-Verordnungen, gültig seit 1. Januar 2026.
• Anhebung der Schwelle von 50.000 auf 100.000 Verbraucher oder Haushalte.

Kalifornien ist nicht allein. Viele andere US-Bundesstaaten haben inzwischen Datenschutzgesetze mit ähnlichem Opt-out-Modell; siehe unsere Übersicht der Datenschutzgesetze der US-Bundesstaaten und die Liste der globalen Datenschutzgesetze.

So erfüllen Sie DSGVO und CCPA gleichzeitig

Nutzen Sie diese Checkliste, wenn Sie Besucher oder Kunden in Europa und in Kalifornien haben:

1. Daten erfassen: Dokumentieren Sie, welche personenbezogenen Daten Sie erheben, warum, wohin sie gehen und welche Anbieter sie erhalten.
2. Website scannen: Führen Sie einen Cookie-Scan durch, um alle Cookies und Tracker zu finden und in Kategorien einzuordnen.
3. Das richtige Banner je Region zeigen: ein Opt-in-Banner für Besucher in EU, EWR und Vereinigtem Königreich und einen CCPA-Opt-out-Hinweis für Besucher aus Kalifornien.
4. Tags in Europa vor der Einwilligung blockieren: Analyse- und Werbe-Tags erst nach der DSGVO-Einwilligung laden.
5. Opt-out-Link für Kalifornien einfügen: einen Link "Do Not Sell or Share My Personal Information" oder "Your Privacy Choices" in den Footer setzen.
6. GPC beachten: Global Privacy Control als gültiges Opt-out für Besucher aus Kalifornien behandeln.
7. Signale an Werbepartner weitergeben: IAB TCF-Strings in Europa und IAB GPP-Strings in den USA senden, dazu Google Consent Mode v2.
8. Datenschutzerklärung aktualisieren: DSGVO-Rechtsgrundlagen und Rechte sowie die CCPA-Kategorien personenbezogener Informationen, Zwecke und Rechte abdecken. Unser Datenschutzerklärung-Generator hilft dabei.
9. Anfragen bearbeiten: ein Prozess mit einer Monatsfrist für die DSGVO und einer 45-Tage-Frist für den CCPA.
10. Nachweise aufbewahren: Einwilligungs- und Opt-out-Protokolle speichern und Verträge mit Anbietern prüfen, etwa Auftragsverarbeitungsverträge.

Wie UniConsent das richtige Banner je Region ausspielt

UniConsent ist eine von Google zertifizierte, beim IAB TCF registrierte Consent-Management-Plattform. Mit einem einzigen Tag auf Ihrer Website erkennt sie die Region des Besuchers und wendet die passenden Regeln an:

• Europa und Vereinigtes Königreich: ein DSGVO-Opt-in-Cookie-Banner mit Schaltflächen zum Akzeptieren und Ablehnen, vorherige Blockierung von Tags, IAB-TCF-Signale und Google Consent Mode v2.
• Kalifornien und andere US-Bundesstaaten: ein CCPA-Opt-out-Hinweis mit Do-Not-Sell-or-Share-Link, Your-Privacy-Choices-Link, automatischer GPC-Erkennung und IAB-GPP-Signalen für Ihre Werbepartner.
• Überall: Cookie-Scans, Einwilligungs- und Opt-out-Protokolle, ein Datenschutzportal für Anfragen und Unterstützung mehrerer Sprachen.

Erstellen Sie ein kostenloses UniConsent-Konto und richten Sie DSGVO- und CCPA-Compliance für eine Website in wenigen Minuten ein.

Häufig gestellte Fragen

Was ist der wichtigste Unterschied zwischen DSGVO und CCPA?

Die DSGVO folgt dem Opt-in-Prinzip: Sie brauchen eine Rechtsgrundlage, oft eine Einwilligung, bevor Sie personenbezogene Daten verarbeiten, und eine vorherige Einwilligung für nicht notwendige Cookies. Der CCPA folgt dem Opt-out-Prinzip: Unternehmen dürfen personenbezogene Informationen nach einem Hinweis erheben, müssen Verbrauchern aber den Widerspruch gegen Verkauf oder Weitergabe ermöglichen. Zudem gilt die DSGVO für fast alle Organisationen, der CCPA nur für gewinnorientierte Unternehmen, die seine Schwellen erreichen.

Ist der CCPA strenger als die DSGVO?

Insgesamt ist die DSGVO strenger: Sie erfasst fast jede Organisation, verlangt eine Rechtsgrundlage für die Verarbeitung, schreibt eine Opt-in-Einwilligung für Cookies vor und erlaubt Bußgelder von bis zu 20 Mio. EUR oder 4 % des weltweiten Umsatzes. Der CCPA ist in einigen Punkten strenger, etwa beim verpflichtenden Opt-out-Link, der verpflichtenden Unterstützung von Global Privacy Control und dem gesetzlichen Schadensersatz bei Datenpannen.

Verlangt der CCPA eine Cookie-Einwilligung wie die DSGVO?

Nein. Der CCPA verlangt für Erwachsene kein Opt-in-Cookie-Banner. Er verlangt einen Hinweis bei der Erhebung und eine Möglichkeit, dem Verkauf oder der Weitergabe personenbezogener Informationen zu widersprechen. Das betrifft auch Werbe-Cookies für kontextübergreifende verhaltensbasierte Werbung. Ein Opt-in ist nur für Verbraucher erforderlich, von denen das Unternehmen weiß, dass sie unter 16 sind.

Bin ich CCPA-konform, wenn ich die DSGVO einhalte?

Nicht automatisch. Die DSGVO-Compliance deckt viele Grundlagen ab, der CCPA verlangt aber zusätzlich einen Do-Not-Sell-or-Share- oder Your-Privacy-Choices-Link, die Unterstützung von Global Privacy Control, CCPA-spezifische Angaben in der Datenschutzerklärung, einen Anfrageprozess mit 45-Tage-Frist und das Recht, die Nutzung sensibler personenbezogener Informationen einzuschränken.

Wer setzt DSGVO und CCPA durch?

Die DSGVO wird von der nationalen Datenschutzbehörde jedes EU-Landes durchgesetzt, mit einer federführenden Behörde für grenzüberschreitend tätige Organisationen. Den CCPA setzen die California Privacy Protection Agency (CPPA) und der kalifornische Attorney General durch.

Welche Strafen drohen nach CCPA und DSGVO?

DSGVO-Bußgelder können 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Seit dem 1. Januar 2025 betragen CCPA-Bußgelder bis zu 2.663 $ pro Verstoß und 7.988 $ pro vorsätzlichem Verstoß oder Verstoß gegen Minderjährige unter 16, und Verbraucher können nach bestimmten Datenpannen 107 $ bis 799 $ pro Vorfall verlangen.