Kaum ein anderer US-Bundesstaat geht derzeit so sichtbar gegen Unternehmen vor, wie die kalifornische Datenschutzbehörde, wenn es um Datenverarbeitung ohne ausreichende Transparenz oder Einwilligung geht. Am 8. Mai 2026 gaben die California Privacy Protection Agency und der kalifornische Generalstaatsanwalt einen Vergleich mit einem großen Automobilhersteller bekannt: Dieser soll Fahr- und Standortdaten rechtswidrig verkauft und damit gegen den California Consumer Privacy Act (CCPA) sowie kalifornisches Wettbewerbsrecht verstoßen haben.
Was ist passiert?
Ausgangspunkt des Verfahrens war der Vorwurf, dass der US-Automobilhersteller, General Motors (GM), personenbezogene Daten unzulässig an zwei Databroker verkauft haben soll. Nach Angaben der kalifornischen Behörden erfolgte dies ohne ausreichende Transparenz und ohne wirksame Einwilligung der Verbraucher.
In einem weiterführenden Beitrag erklären wir, was Databroker genau sind und welche Bedeutung sie auch in Deutschland haben.
Zur Beilegung des Verfahrens vereinbarte GM einen Vergleich über 12,75 Millionen US-Dollar unter anderem mit dem kalifornischen Attorney General und der California Privacy Protection Agency (CalPrivacy). Der Vergleich betrifft mögliche Verstöße gegen Vorgaben zur Datenminimierung und Zweckbindung sowie gegen kalifornisches Wettbewerbsrecht.
Neben der Zahlung des Vergleichs kommen weitere datenschutzrechtliche Pflichten auf das Unternehmen zu. GM muss den Verkauf von Fahrdaten an Auskunfteien und Databroker für fünf Jahre einstellen. Außerdem müssen gespeicherte Fahrdaten innerhalb von 180 Tagen gelöscht werden, soweit keine ausdrückliche Einwilligung der Verbraucher vorliegt oder eng begrenzte interne Zwecke greifen.
Darüber hinaus muss der Automobilhersteller die Empfänger der Daten auffordern, die erhaltenen Fahrdaten ebenfalls zu löschen. Das Unternehmen ist zudem verpflichtet, ein verlässliches Datenschutzprogramm für die über Fahrzeugsysteme erhobenen Daten zu implementieren. Datenschutzbewertungen müssen künftig gegenüber dem Department of Justice, den beteiligten Bezirksstaatsanwälten und der CalPrivacy offengelegt werden.
Grundsatz der Datenminimierung
Ein zentraler Punkt des Verfahrens ist der Grundsatz der Datenminimierung. Der CCPA enthält Vorgaben dazu, in welchem Umfang Unternehmen personenbezogene Daten erheben, nutzen, speichern und weitergeben dürfen. Nach dem California Civil Code muss die Verarbeitung personenbezogener Daten angemessen, erforderlich und verhältnismäßig zu dem Zweck sein, für den die Daten erhoben oder verarbeitet wurden.
Damit weist der CCPA deutliche Parallelen zur DSGVO auf. Auch Art. 5 Abs. 1 lit. c DSGVO verpflichtet Verantwortliche dazu, personenbezogene Daten auf das für die Zwecke der Verarbeitung notwendige Maß zu beschränken.
Der Vergleich zeigt, dass der Grundsatz der Datenminimierung praktisch durchgesetzt wird. Unternehmen in Kalifornien müssen begründen können, warum sie Verbraucher-, Standort- oder Nutzungsdaten erheben, speichern und weitergeben. Andernfalls drohen behördliche Verfahren, Vergleiche, Bußgelder und konkrete Compliance-Auflagen. Datenverarbeitung muss daher von Anfang an zweckgebunden, verhältnismäßig und dokumentiert erfolgen.
Was ist das CCPA?
Der Datenschutz in den Vereinigten Staaten ist bislang nicht einheitlich auf Bundesebene geregelt, sondern besteht aus einem Patchwork branchenspezifischer und bundesstaatlicher Gesetze. In Kalifornien bildet der CCPA das zentrale Datenschutzgesetz auf Ebene des Bundesstaates. Er ist am 1. Januar 2020 in Kraft getreten und wurde Anfang 2023 durch den California Privacy Rights Act (CPRA) erweitert.
Inhaltlich ist der CCPA stark verbraucherorientiert und enthält Rechte betroffener Personen, die in ihrer Grundstruktur an bekannte Betroffenenrechte aus der DSGVO erinnern; zugleich verpflichtet er erfasste Unternehmen unter anderem zu Transparenz über Datenverarbeitungen und zur Einhaltung des Grundsatzes der Datenminimierung.
Recht auf Löschung: Kalifornien nimmt Databroker in die Pflicht
Um Verbraucherrechte gegenüber Databrokern leichter durchsetzbar zu machen, hat die CalPrivacy Anfang des Jahres das DROP-System veröffentlicht. Über die „Delete Request and Opt-out Platform“ können kalifornische Verbraucher mit einer einzigen Registrierung Löschanfragen an rund 600 aktive kommerzielle Datenanbieter richten.
Seit Veröffentlichung haben sich bereits mehr als 300.000 Verbraucher angemeldet. Für Databroker beginnt ab dem 1. August die Pflicht, diese Anfragen zu bearbeiten und entsprechende Löschungen vorzunehmen. Wird eine Übereinstimmung gefunden, müssen die Daten grundsätzlich innerhalb eines fortlaufenden Zeitraums von 45 Tagen gelöscht werden.
Die bei DROP angegebenen Verbraucherdaten werden „gehasht“. Dabei werden die Angaben in eine Zeichenfolge aus Zahlen, Buchstaben und Symbolen umgewandelt. Databroker müssen ihre eigenen Daten ebenfalls standardisieren und hashen, um sie mit den Löschanfragen abzugleichen. Wird eine Übereinstimmung festgestellt, müssen die personenbezogenen Daten gelöscht werden. Außerdem müssen Databroker sicherstellen, dass diese Daten auch bei einer späteren erneuten Erfassung gelöscht bleiben.
Kalifornien als Taktgeber im US-Datenschutz
Kalifornien nimmt im US-Datenschutzrecht zunehmend eine Vorreiterrolle ein. Während es auf Bundesebene weiterhin an einem einheitlichen Datenschutzgesetz fehlt, gehen wichtige Impulse für Datenschutz, Transparenz und unternehmerische Verantwortung häufig von Kalifornien aus. Das führt dazu, dass der Schutz personenbezogener Daten in den USA je nach Bundesstaat stark unterschiedlich ausfällt.
Gerade deshalb kann kalifornisches Enforcement über den Einzelfall hinaus Wirkung entfalten. Wenn Behörden wie die CalPrivacy Verstöße sichtbar verfolgen und wirtschaftlich spürbare Konsequenzen schaffen, setzt das auch für Unternehmen außerhalb Kaliforniens ein Signal. Langfristig könnte dieser Druck dazu beitragen, ein breiteres gemeinsames Verständnis von Datenschutz in den USA zu entwickeln.
Auch bei der KI-Regulierung setzt Kalifornien eigene Sicherheitsstandards und positioniert sich damit gegen die Deregulierung auf Bundesebene. Mehr dazu in unserem Beitrag vom 17. April 2026.
Weitere Hintergründe zum US-Datenschutz und zu den Auswirkungen auf den EU-USA-Datentransfer finden Sie außerdem in unseren Beiträgen vom 6. November 2025 und 26. Februar 2026.
Fazit
Unternehmen, die personenbezogene Daten in Kalifornien verarbeiten oder kalifornische Verbraucher adressieren, sollten das dortige Datenschutzrecht ernst nehmen. Der Fall zeigt deutlich: Auch in den USA steigen die Anforderungen an Transparenz, Datenminimierung und Einwilligung. Wer Daten in großem Umfang erhebt, nutzt oder weitergibt, muss diese Verarbeitung rechtlich sauber begründen und praktisch kontrollieren können. Unsere Datenschutzberatung unterstützt Sie dabei, die relevanten datenschutzrechtlichen Vorgaben zu verstehen und rechtssicher in Unternehmensprozesse umzusetzen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
