Kalifornien verschärft erneut seine Datenschutzbestimmungen – und stellt damit womöglich die Weichen für ein einheitliches Datenschutzverständnis in den gesamten Vereinigten Staaten. Mit dem neuen Gesetz reagiert der Bundesstaat auf zunehmende Verbraucherbedenken und technologische Entwicklungen.
Kaliforniens neuer Ansatz: Der California Privacy Rights Expansion Act of 2025
Am 12. Oktober 2025 hat Kaliforniens Gouverneur Gavin Newsom ein neues Datenschutzgesetz unterzeichnet: den California Privacy Rights Expansion Act (CPREA). Das Gesetz erweitert den bestehenden California Consumer Privacy Act (CCPA) und den seit 2023 geltenden California Privacy Rights Act (CPRA) deutlich. Mit strengeren Auflagen für Unternehmen und erweiterten Rechten für Verbraucher gilt Kalifornien damit einmal mehr als Datenschutz-Pionier in den USA.
Der CPREA beinhaltet unter anderem eine signifikante Einschränkung des Trackings via Drittanbieter-Cookies, eine umfassendere Offenlegungspflicht bei der Datenerhebung, sowie das explizite Recht auf Datenlöschung auch bei an Dritte weitergegebenen Informationen. Darüber hinaus wird die Aufsicht gestärkt: Die California Privacy Protection Agency (CPPA) erhält erweiterte Befugnisse zur Durchsetzung der neuen Regelungen.
Wen betrifft das Gesetz – und wie?
Der CPREA richtet sich vor allem an Unternehmen mit einem Umsatz von mehr als 25 Millionen US-Dollar jährlich oder solchen, die personenbezogene Daten von mehr als 50.000 Bürgern Kaliforniens verarbeiten. Auch Firmen außerhalb Kaliforniens können betroffen sein, wenn sie Dienstleistungen im Bundesstaat anbieten oder Nutzerverhalten profilieren.
Bemerkenswert ist das neue Opt-in-Prinzip: Nutzer müssen künftig aktiv zustimmen, bevor nicht unbedingt erforderliche Cookies gesetzt oder personenbezogene Daten gespeichert und analysiert werden. Ähnlich wie in der Europäischen Union mit der DSGVO, ist damit auch in Kalifornien ein Paradigmenwechsel weg vom Opt-out vollzogen worden.
Der Einfluss auf Technologienutzung und Marketing
Besonders stark spürbar sind die Neuerungen für digitales Marketing, AdTech und Publisher. Die bisher übliche Praxis, Nutzerverhalten über verschiedene Seiten hinweg zu tracken und für gezielte Werbeanzeigen zu nutzen, wird erheblich erschwert. Unternehmen müssen ihre Webseiten, Consent-Management-Plattformen und Tracking-Tools zügig anpassen.
Nach Angaben der Datenschutz-Beratungsfirma TrustArc haben im Jahr 2024 bereits 78 % der US-Unternehmen Maßnahmen ergriffen, um sich an neue oder bevorstehende staatliche Datenschutzgesetze wie den CPRA anzupassen (Quelle: TrustArc Privacy Benchmark Survey 2024).
Doch nicht nur Tech- und datenverarbeitende Branchen müssen umdenken. Auch HR-, Finanz- und Gesundheitsunternehmen, die häufig mit besonders sensiblen Daten arbeiten, müssen ihre internen Prozesse überprüfen.
Reaktionen aus Wirtschaft und Zivilgesellschaft
Die Reaktionen auf das neue Gesetz sind geteilt. Bürgerrechtsorganisationen wie die Electronic Frontier Foundation (EFF) loben den CPREA als „entscheidenden Schritt hin zu informationeller Selbstbestimmung,“ während Branchenverbände wie die California Chamber of Commerce vor wachsendem bürokratischem Aufwand und Innovationshemmnissen warnen.
Branchenvertreter bemängeln vor allem die Unsicherheit in der Umsetzung. Was gilt als berechtigtes Interesse? Wie granular müssen Nutzerzustimmungen sein? Und wie hoch könnten künftig Bußgelder ausfallen?
Hierin liegt ein Kräftemessen zwischen Verbraucherrechten und unternehmerischer Freiheit. Doch auch große Konzerne wie Apple oder Mozilla haben die Neuerungen begrüßt, teils sogar mit vorbereitet: Beide Firmen forcieren schon länger Strategien zur Minimierung personenbezogener Datennutzung, Apple insbesondere seit Einführung seiner App Tracking Transparency (ATT) Frameworks ab iOS 14.5.
Bundesweite Signalwirkung möglich
Mit dem CPREA sendet Kalifornien erneut ein starkes Signal – nicht nur an Unternehmen, sondern auch an die US-Gesetzgebung auf Bundesebene. Bisher fehlt in den USA ein landesweites Datenschutzgesetz mit der Durchsetzungskraft vergleichbarer internationaler Regelungen wie der DSGVO. Zwar wurde der American Data Privacy and Protection Act (ADPPA) 2022 eingebracht, scheiterte jedoch bisher an politischen Differenzen zwischen Demokraten und Republikanern im Kongress.
Experten wie Prof. Danielle Citron von der University of Virginia School of Law betonen, dass Kaliforniens Vorreiterrolle auch andere Bundesstaaten unter Druck setzt: „Kalifornien setzt nicht nur Standards, es verändert Erwartungshaltungen – bei Nutzern, Entwicklern und politischen Entscheidungsträgern gleichermaßen.“
Statistische Entwicklungen sprechen für mehr Regulation
Ein Blick auf aktuelle Zahlen unterstreicht die Notwendigkeit strengerer Datenschutzstandards:
- Laut Pew Research Center sorgen sich 79 % der US-Bürger, wie Unternehmen ihre Daten verwenden (Quelle: 2023 Pew Privacy Report).
- Im Jahr 2024 wurden allein in Kalifornien über 1.150 Datenschutzverletzungen gemeldet – ein Anstieg um 34 % gegenüber dem Vorjahr (Quelle: California Department of Justice).
Diese Dynamik erhöht den Druck auf die Politik: Ohne föderale Regelung droht eine Fragmentierung durch ein Mosaik einzelstaatlicher Gesetze – ein Zustand, der Innovation hemmen und Compliance-Kosten erhöhen kann.
Praktische Handlungsempfehlungen für Unternehmen
Unternehmen, die mit Nutzern in Kalifornien interagieren, sollten folgende Schritte zeitnah in Angriff nehmen:
- Consent Management aktualisieren: Implementierung transparenter Opt-in-Lösungen für alle nicht notwendigen Cookies und Tracker.
- Datenerhebung minimieren: Reduktion auf wirklich notwendige personenbezogene Daten zur Verringerung juristischer Risiken.
- Datenschutz-Folgenabschätzungen durchführen: Bewertung besonders risikobehafteter Prozesse wie biometrischer oder geolokalisierter Datenverarbeitung.
Zudem empfiehlt es sich, Ansprechpartner in der Unternehmensführung für Datenschutzfragen zu benennen und Schulungen für relevante Mitarbeitende durchzuführen.
Wie es weitergeht – von Kalifornien zur US-weiten Regelung?
Ein föderales Datenschutzgesetz bleibt weiter ein Desiderat. Während Kalifornien, Colorado, Connecticut, Utah und Virginia bereits eigene Regelungen verabschiedet haben, bleibt ein Flickenteppich an Zuständigkeiten bestehen. Der Druck auf Washington wächst, insbesondere im Hinblick auf wachsende internationale Anforderungen und Handelsbeziehungen. Die EU setzt weiterhin hohe Standards – mit extraterritorialer Wirkung auch für US-Unternehmen.
Joe Jones, Policy Director des Center for Democracy and Technology, formuliert es so: „Ohne ein umfassendes nationales Datenschutzgesetz riskiert die US-Wirtschaft, künftig im globalen digitalen Wettbewerb ins Hintertreffen zu geraten.“
Fazit: Kalifornien als digitaler Taktgeber mit Vorbildwirkung?
Kalifornien könnte tatsächlich wieder zum Vorbild werden – doch der Weg zu einem einheitlichen Datenschutzverständnis in den USA bleibt steinig. Das neue Gesetz illustriert aber, dass staatlicher Druck entscheidend ist, um Unternehmen zu datensparsamen, transparenten und nutzerzentrierten Strategien zu bewegen.
Welche Auswirkungen könnte der CPREA für Ihr Unternehmen haben? Haben Sie bereits Maßnahmen getroffen? Teilen Sie Ihre Erfahrungen und diskutieren Sie mit unserer Community! Gemeinsam können wir den digitalen Raum sicherer und verantwortungsbewusster gestalten.
