Ein europäisches SaaS-Unternehmen mit Kunden in Kalifornien muss heute zwei Rechtsordnungen gleichzeitig bedienen. Die eine verlangt eine aktive Einwilligung, bevor auch nur ein Cookie gesetzt wird. Die andere setzt auf Widerspruch, verlangt aber inzwischen eigene Prüfpflichten für Algorithmen. Wer beide Systeme kennt, spart sich teure Nacharbeit. Wer sie verwechselt, zahlt am Ende drauf, wie die Bußgelder aus 2025 und 2026 zeigen.

Für Unternehmen in Österreich ist das keine theoretische Frage mehr. Wien exportiert Software, Wien betreibt Onlineshops mit weltweitem Traffic, und Wien schult Marketingteams, die Google Analytics, Meta-Pixel oder US-CRM-Systeme einsetzen. Sobald ein Nutzer aus Los Angeles auf der eigenen Website landet und Daten hinterlässt, kann plötzlich kalifornisches Recht neben der DSGVO gelten. Die gute Nachricht: Beide Systeme lassen sich mit einem einzigen, gut geplanten Programm abdecken, wenn man ihre Logik von Anfang an sauber trennt.

Dieser Vergleich stellt die Datenschutz-Grundverordnung (DSGVO) der EU dem California Consumer Privacy Act samt seiner Erweiterung, dem California Privacy Rights Act (CCPA/CPRA), gegenüber. Mit aktuellen Bußgeldzahlen, einer Spezifikationstabelle mit 14 Kriterien, neun echten Fällen aus Frankreich und Kalifornien sowie einem Migrationsleitfaden für Unternehmen, die in beiden Räumen tätig sind. Alle Zahlen stammen aus Berichten von CNIL, EDPB, dem kalifornischen Generalstaatsanwalt und der California Privacy Protection Agency aus den Jahren 2025 und 2026.

DSGVO und CCPA 2026: Zwei Systeme, ein Ziel

Beide Gesetze wollen dasselbe: Menschen mehr Kontrolle über ihre Daten geben. Der Weg dorthin unterscheidet sich fundamental. Die DSGVO gilt seit dem 25. Mai 2018 in allen 27 EU-Mitgliedstaaten und im EWR, also auch in Österreich, wo sie über das Datenschutzgesetz (DSG) ergänzt wird. Sie behandelt Datenschutz als Grundrecht und verlangt von Unternehmen eine Rechtsgrundlage für jede Verarbeitung.

Der CCPA trat 2020 in Kraft, wurde durch die 2020 per Volksabstimmung beschlossene CPRA seit Januar 2023 verschärft und wird seither laufend nachjustiert. 2025 kamen mit AB 1008 und SB 1223 zwei weitere Novellen dazu, die KI-Systeme und neuronale Daten explizit erfassen. Kalifornien behandelt Datenschutz eher als Verbraucherschutzrecht mit Fokus auf den Verkauf von Daten. Genau dieser Unterschied in der Grundphilosophie erklärt fast jede Detailregel, die im Folgenden auftaucht.

Historisch betrachtet war der CCPA auch eine Reaktion auf die DSGVO. Kalifornische Gesetzgeber beobachteten 2018 genau, wie Brüssel Konzerne wie Google und Facebook in die Schranken wies, und bauten ein eigenes, an US-Verhältnisse angepasstes Modell. Statt eines EU-weiten Grundrechts entstand ein Verbraucherschutzgesetz, das sich stärker an bestehenden US-Traditionen wie dem Federal Trade Commission Act orientiert. Diese Herkunft erklärt, warum der CCPA eng an Umsatzschwellen gekoppelt bleibt, während die DSGVO praktisch jeden Verantwortlichen erfasst.

Für österreichische Unternehmen ist der Vergleich keine akademische Übung. Wer Software an US-Kunden verkauft, Marketingdaten über kalifornische Nutzer sammelt oder eine Landing Page mit US-Traffic betreibt, kann in beide Zuständigkeiten fallen. Die Datenschutzbehörde in Wien interessiert das CCPA-Bußgeld zwar nicht direkt, das eigene Risiko in den USA schon. Gerade Scale-ups, die nach der Series-A-Finanzierung in die USA expandieren, übersehen häufig, dass ihre bestehende DSGVO-Dokumentation zwar eine gute Grundlage bildet, aber nicht automatisch alle CCPA-Pflichten wie den sichtbaren Opt-out-Link abdeckt.

Was regelt die DSGVO? Geltungsbereich und Grundprinzipien

Die DSGVO gilt für jeden Verantwortlichen und Auftragsverarbeiter, der personenbezogene Daten von Personen in der EU verarbeitet. Der Sitz des Unternehmens spielt dabei keine Rolle. Entscheidend ist das sogenannte Marktortprinzip: Wer Waren oder Dienstleistungen an EU-Bürger anbietet oder deren Verhalten beobachtet, muss die DSGVO einhalten, egal ob der Server in Seattle oder Singapur steht.

Zentrale Prinzipien sind Zweckbindung, Datenminimierung, Speicherbegrenzung und Rechenschaftspflicht. Verarbeitungen brauchen eine von sechs Rechtsgrundlagen aus Artikel 6, meist Einwilligung, Vertrag oder berechtigtes Interesse. Betroffene erhalten Auskunfts-, Berichtigungs-, Lösch- und Widerspruchsrechte sowie das Recht auf Datenübertragbarkeit. Unternehmen ab einer bestimmten Größe oder mit sensiblen Datenverarbeitungen müssen einen Datenschutzbeauftragten (DPO) benennen und Datenschutz-Folgenabschätzungen durchführen, bevor riskante Verarbeitungen starten.

Praktisch heißt das für ein österreichisches Unternehmen: Jeder Newsletter-Versand, jedes Tracking-Cookie und jede Weitergabe an einen Cloud-Anbieter außerhalb der EU braucht eine dokumentierte Rechtsgrundlage und, bei Drittstaaten-Transfers, zusätzliche Garantien wie Standardvertragsklauseln. Verstöße gegen diese Grundprinzipien fallen unter die höhere Bußgeldstufe von bis zu 4 Prozent des Weltumsatzes, während rein formale Fehler wie eine fehlende Verarbeitungsübersicht in der niedrigeren Stufe landen. Genau diese Zweiteilung erklärt, warum die Google- und Shein-Bußgelder aus dem September 2025 so hoch ausfielen: Beide Fälle betrafen die Kernfrage der Einwilligung, nicht nur Formalien.

Was regelt der CCPA/CPRA? Geltungsbereich und Grundprinzipien

Der CCPA gilt nur für “Businesses”, die mindestens eine von drei Schwellen reißen: Jahresumsatz über 25 Millionen US-Dollar, Kauf oder Verkauf der Daten von mindestens 100.000 kalifornischen Haushalten oder Geräten pro Jahr, oder mindestens 50 Prozent des Umsatzes aus dem Verkauf personenbezogener Daten. Kleine Betriebe unterhalb dieser Grenzen fallen komplett heraus, ein Unterschied zur DSGVO, die keine Umsatzschwelle kennt.

Kalifornische Verbraucher erhalten das Recht auf Auskunft, Löschung, Berichtigung und vor allem das Recht, dem Verkauf oder der Weitergabe ihrer Daten zu widersprechen (“Do Not Sell or Share My Personal Information”). Seit der CPRA-Reform kommt eine neue Kategorie hinzu: sensible personenbezogene Daten, zu denen seit der SB-1223-Novelle vom Januar 2025 auch neuronale Daten zählen, also Messwerte aus dem zentralen oder peripheren Nervensystem. Die Aufsicht liegt beim kalifornischen Generalstaatsanwalt und seit 2023 zusätzlich bei der neu geschaffenen California Privacy Protection Agency (CPPA, auch CalPrivacy genannt), die im Juli 2025 ein umfangreiches Regelpaket zu Cybersicherheits-Audits, Risikoanalysen und automatisierten Entscheidungssystemen (ADMT) final beschlossen hat.

Ein Beispiel macht die Umsatzschwelle greifbar: Ein österreichischer Onlineshop mit 5 Millionen Euro Jahresumsatz und ein paar hundert kalifornischen Kunden fällt nicht unter den CCPA, selbst wenn er aktiv in die USA verkauft. Ein Datenbroker mit nur 2 Millionen Euro Umsatz, der aber Datensätze von 150.000 kalifornischen Haushalten verkauft, fällt dagegen sehr wohl darunter, weil die Datenschwelle unabhängig vom Umsatz greift. Diese Doppellogik aus Umsatz und Datenvolumen unterscheidet den CCPA fundamental von der schwellenlosen DSGVO.

Der direkte Vergleich: DSGVO vs CCPA in Zahlen

Die folgende Tabelle fasst die 14 wichtigsten Unterschiede zusammen, von der Rechtsgrundlage bis zur Bußgeldhöhe.

KriteriumDSGVO (EU/EWR)CCPA/CPRA (Kalifornien)
Geltung seit25. Mai 20181. Jan. 2020, CPRA-Erweiterung seit 1. Jan. 2023
RechtsnaturGrundrecht, EU-VerordnungVerbraucherschutzgesetz, Bundesstaat
GeltungsbereichJeder Verantwortliche mit EU-Bezug, keine UmsatzschwelleNur “Businesses” ab 25 Mio. $ Umsatz oder Datenschwellen
EinwilligungsmodellOpt-in für die meisten VerarbeitungenOpt-out beim Verkauf/Teilen von Daten
Bußgeld-HöchstrahmenBis 20 Mio. € oder 4 % des weltweiten JahresumsatzesBis 7.988 $ pro vorsätzlichem Verstoß (2025er Werte)
AufsichtsbehördeNationale DPAs (in AT: Datenschutzbehörde) plus EDPBAttorney General plus California Privacy Protection Agency
DPO-PflichtJa, bei umfangreicher Überwachung oder sensiblen DatenNein, dafür Pflicht zu Risikoanalysen und Audits
AuskunftsrechtJa, umfassend, meist kostenlosJa, zweimal pro Jahr kostenlos
Löschrecht“Recht auf Vergessenwerden”, Art. 17Löschrecht mit mehreren Ausnahmen
Widerspruch gegen DatenverkaufÜber Widerspruchsrecht und Einwilligungspflicht abgedecktExplizites “Do Not Sell or Share”-Recht
Meldepflicht bei Datenpanne72 Stunden an die BehördeOhne feste Frist, “unverzüglich”
Privates KlagerechtKein pauschales Recht, national unterschiedlich geregeltBegrenzt auf bestimmte Datenpannen, 107–799 $ pro Fall
Sonderregeln für sensible DatenArt. 9, u. a. Gesundheit, Herkunft, GewerkschaftEigene Kategorie seit CPRA, seit 2025 inkl. neuronaler Daten
Regeln für automatisierte EntscheidungenArt. 22, Widerspruchsrecht gegen reine AutomatikADMT-Regeln der CPPA, Audits ab 2027 verpflichtend

Der Unterschied springt sofort ins Auge: Die DSGVO deckt praktisch jedes Unternehmen mit EU-Bezug ab und straft mit Prozentsätzen vom Weltumsatz. Der CCPA trifft nur größere Firmen und rechnet in Dollar pro Verstoß, was bei Millionen betroffener Datensätze trotzdem in die Millionenhöhe gehen kann, wie die Fälle weiter unten zeigen.

Bei der Meldefrist für Datenpannen zeigt sich ein weiterer praktischer Unterschied. Die DSGVO gibt Unternehmen exakt 72 Stunden ab Kenntnisnahme, um eine Behörde zu informieren, eine Frist, die IT-Teams in Österreich meist über feste Incident-Response-Pläne abbilden. Der CCPA verlangt nur “unverzügliches” Handeln ohne feste Stundenzahl, was in der Praxis mehr Interpretationsspielraum lässt, aber auch mehr Unsicherheit erzeugt, wann genau eine Meldung als verspätet gilt.

EU-US-Datentransfer: Was DSGVO und CCPA verbindet

Ein Punkt wird in vielen Vergleichen übersehen: Auch wer ausschließlich DSGVO-konform arbeitet, kommt am CCPA nicht vorbei, sobald Daten in die USA übertragen werden, etwa an einen Cloud-Anbieter mit Servern in Kalifornien. Die DSGVO verlangt für solche Drittstaaten-Transfers eine geeignete Garantie, meist Standardvertragsklauseln der EU-Kommission oder eine Angemessenheitsentscheidung. Das EU-US Data Privacy Framework, seit 2023 in Kraft, bleibt 2026 der zentrale Mechanismus für zertifizierte US-Unternehmen, auch wenn es politisch immer wieder unter Beschuss steht und juristisch angefochten wird.

Für ein Unternehmen, das beide Gesetze gleichzeitig erfüllen muss, bedeutet das doppelte Sorgfalt: Die DSGVO regelt, ob und wie Daten die EU verlassen dürfen, der CCPA regelt, was mit diesen Daten in Kalifornien passieren darf, sobald sie dort angekommen sind. Ein Anbieter, der nur die Transferregeln der DSGVO prüft, aber die kalifornischen Opt-out-Pflichten ignoriert, hat nur die halbe Strecke geschafft. Die EDPB-Prüfaktion 2026 zu Transparenzpflichten dürfte genau an dieser Schnittstelle ansetzen, weil viele Datenschutzerklärungen internationale Übermittlungen bislang nur vage beschreiben.

Opt-in vs Opt-out: Das Einwilligungsmodell im Detail

Die DSGVO verlangt für die meisten Verarbeitungen eine freiwillige, informierte und eindeutige Einwilligung, bevor Daten fließen dürfen. Ein vorausgefülltes Häkchen reicht nicht, das hat der Europäische Gerichtshof mehrfach bestätigt. Nutzer müssen aktiv zustimmen, sonst bleibt die Verarbeitung unrechtmäßig. Genau daran scheiterten Google und Shein im September 2025, wie im Abschnitt zur DSGVO-Durchsetzung sichtbar wird.

Der CCPA dreht das Prinzip um. Unternehmen dürfen Daten grundsätzlich verkaufen oder teilen, solange sie einen leicht zugänglichen Opt-out-Mechanismus anbieten. Nur bei Minderjährigen zwischen 13 und 16 Jahren kehrt sich das Modell wieder in Richtung Opt-in um, unter 13 Jahren ist ohnehin die Zustimmung der Eltern nötig. Genau diese Lücke bei Minderjährigen kostete Sling TV und Jam City 2025 hohe Vergleichssummen. Ab 2027 verschärft sich das Opt-out-Modell technisch: Der California Opt Me Out Act verpflichtet Browser-Hersteller, automatische Opt-out-Signale anzubieten, sodass Nutzer nicht mehr jede Website einzeln besuchen müssen.

Für die Praxis heißt das: Wer eine Website ausschließlich nach CCPA-Logik baut, riskiert in der EU ein Bußgeld, weil dort jede nicht notwendige Verarbeitung ohne vorherige Einwilligung unrechtmäßig ist. Wer umgekehrt nur nach DSGVO-Logik arbeitet und ein sauberes Opt-in-Banner zeigt, erfüllt zwar automatisch die Grundidee des CCPA, übersieht aber leicht den expliziten “Do Not Sell or Share”-Link, den Kalifornien als eigenständiges, zusätzliches Recht verlangt und der unabhängig vom generellen Consent-Status sichtbar bleiben muss.

Bußgelder im Vergleich: Strafrahmen und Höchstsummen

Auf dem Papier wirkt die DSGVO deutlich schärfer. Sie kennt zwei Bußgeldstufen: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes für formale Verstöße, bis zu 20 Millionen Euro oder 4 Prozent für schwere Verstöße gegen Grundprinzipien wie die Rechtsgrundlage der Verarbeitung. Bei einem Weltkonzern kann die Prozentregel schnell mehr als 20 Millionen Euro ergeben.

Der CCPA rechnet nicht in Prozent, sondern pro Verstoß und pro betroffener Person. Die California Privacy Protection Agency hat die Sätze für 2025 auf 2.663 US-Dollar je Verstoß und 7.988 US-Dollar bei vorsätzlichen Verstößen oder Verstößen gegen Minderjährige unter 16 Jahren angehoben. Bei Millionen betroffener Nutzer, wie im Fall Disney, addiert sich das trotzdem zu siebenstelligen Summen. Zusätzlich gibt es ein begrenztes privates Klagerecht bei Datenpannen: 107 bis 799 US-Dollar pro betroffener Person und Vorfall, oder der tatsächliche Schaden, je nachdem was höher ausfällt.

Ein Rechenbeispiel zeigt den Unterschied deutlicher als jede Prozentangabe. Ein Unternehmen mit 200 Millionen Euro Weltumsatz riskiert bei einem schweren DSGVO-Verstoß bis zu 8 Millionen Euro Bußgeld, selbst wenn nur wenige tausend Personen betroffen sind, weil die Prozentregel unabhängig von der Fallzahl greift. Ein CCPA-Verstoß mit denselben wenigen tausend betroffenen Personen bliebe dagegen im niedrigen sechsstelligen Bereich. Erst wenn Millionen Nutzer betroffen sind, wie bei Disney oder Google, nähern sich die absoluten Summen einander an, auch wenn die Rechenlogik dahinter komplett verschieden bleibt.

KennzahlDSGVOCCPA/CPRA
Bußgeld Stufe 1 (formal)Bis 10 Mio. € oder 2 % Weltumsatz2.663 $ pro Verstoß (2025)
Bußgeld Stufe 2 (schwer/vorsätzlich)Bis 20 Mio. € oder 4 % Weltumsatz7.988 $ pro Verstoß bei Vorsatz oder Minderjährigen
Privates Klagerecht bei DatenpanneLänderabhängig, kein EU-weiter Fixbetrag107–799 $ pro Person und Vorfall
Gesamtsumme 2025 (Bezugsraum)Rund 1,2 Mrd. € EU-weite BußgelderÜber 4,2 Mio. $ allein in den ersten Wochen 2026

DSGVO-Durchsetzung 2025/2026: Rekordstrafen in Europa

Nach Zahlen der französischen Aufsichtsbehörde CNIL verhängte die Behörde 2025 insgesamt 83 Sanktionen mit einer Gesamtsumme von 486.839.500 Euro, das höchste Jahr seit Inkrafttreten der DSGVO 2018. Fast die gesamte Summe, 98 Prozent, verteilt sich auf nur zwei Entscheidungen vom 1. September 2025: 325 Millionen Euro gegen Google wegen Werbeanzeigen in Gmail-Postfächern ohne gültige Einwilligung und 150 Millionen Euro gegen Infinite Styles Services, eine irische Tochter des Shein-Konzerns, wegen unzulässiger Cookies auf shein.com.

Die Zahlen bestätigen sich auch bei anderen Auswertern. Laut dem GDPR Enforcement Heat Map von SecurePrivacy erreichten die DSGVO-Bußgelder 2025 EU-weit etwa 1,2 Milliarden Euro, kumuliert seit Mai 2018 liegt die Summe bei rund 7,1 Milliarden Euro. Der Europäische Datenschutzausschuss (EDPB) hat im März 2026 seine koordinierte Prüfaktion für 2026 gestartet, diesmal mit Fokus auf Transparenzpflichten nach Artikel 12 bis 14 DSGVO. 25 Aufsichtsbehörden im EWR nehmen daran teil, ein Bericht wird für die zweite Jahreshälfte 2026 erwartet. 2025 stand noch das Recht auf Löschung nach Artikel 17 im Zentrum der EU-weiten Prüfaktion.

Diese koordinierten Prüfaktionen unterscheiden sich von klassischen Bußgeldverfahren. Statt einzelne Unternehmen zu bestrafen, prüfen mehrere Behörden gemeinsam, wie eine bestimmte Pflicht branchenweit umgesetzt wird, und veröffentlichen anschließend einen gemeinsamen Bericht. Für Unternehmen bedeutet das: Sobald ein Thema wie Transparenz oder Löschung im Fokus einer CEF-Aktion steht, steigt die Wahrscheinlichkeit einer gezielten Anfrage der eigenen nationalen Behörde erheblich, auch ohne vorherige Beschwerde eines Nutzers.

Für Unternehmen mit Sitz in Österreich läuft die praktische Durchsetzung meist über die österreichische Datenschutzbehörde, die als nationale Aufsicht an denselben EDPB-Koordinationen teilnimmt wie die CNIL in Frankreich. Auch wenn die größten Einzelstrafen bislang aus Frankreich, Irland und Luxemburg stammen, weil dort viele internationale Tech-Konzerne ihren EU-Sitz haben, gilt für ein österreichisches Unternehmen dieselbe Rechtsgrundlage und derselbe Bußgeldrahmen bis 20 Millionen Euro oder 4 Prozent des Weltumsatzes.

CCPA-Durchsetzung 2025/2026: Kaliforniens teuerste Fälle

Kalifornien holt bei der Durchsetzung spürbar auf, auch wenn die Einzelsummen kleiner bleiben als in Europa. Generalstaatsanwalt Rob Bonta erzielte am 1. Juli 2025 mit Healthline Media einen Vergleich über 1,55 Millionen US-Dollar, weil die Gesundheitsseite Nutzer nicht wirksam über den Verkauf ihrer Daten informierte. Am 30. Oktober 2025 folgte ein Vergleich mit Sling TV und Dish Media Sales über 530.000 US-Dollar, unter anderem wegen unzureichendem Schutz von Kinderdaten. Am 21. November 2025 zahlte der Mobile-Gaming-Anbieter Jam City 1,4 Millionen US-Dollar, weil Nutzer keine einfache Möglichkeit zum Opt-out hatten und Minderjährige zwischen 13 und 16 Jahren ohne Einwilligung erfasst wurden.

Im Februar 2026 stellte das Büro von Bonta den bisherigen Rekord auf: 2,75 Millionen US-Dollar von Disney und ABC wegen Opt-out-Verstößen im Streaming-Ökosystem. Parallel wurde die California Privacy Protection Agency aktiver. Am 8. Januar 2026 verpflichtete sie American Honda Motor Co. zu 632.500 US-Dollar Strafe, im März 2026 kamen zwei weitere Fälle gegen PlayOn Sports und Ford mit zusammen fast 1,5 Millionen US-Dollar dazu. Im August 2026 verhängte die Behörde ihre erste Strafe gegen einen Datenbroker unter dem neuen Delete Act: 116.490 US-Dollar gegen den in Iowa ansässigen Anbieter LocateSmarter.

Bemerkenswert ist das Tempo dieser Entwicklung. Nach Angaben von Coblentz Patch Duffy überstiegen allein die kombinierten Strafen aus Disney, PlayOn Sports und Ford in den ersten Monaten 2026 die Marke von 4,2 Millionen US-Dollar, mehr als in den ersten drei Jahren des CCPA zusammen. Das im Juli 2025 finalisierte CPPA-Regelpaket dürfte diesen Trend verstärken, weil ab 1. Januar 2026 auch Cybersicherheits-Audits als eigenständiger Prüfgegenstand hinzukommen und die Behörde damit über reine Opt-out-Verstöße hinaus aktiv wird.

Fünf Praxisbeispiele aus der Durchsetzung 2025/2026

Zahlen wirken abstrakt, bis man sieht, welches konkrete Verhalten sie ausgelöst hat. Die folgende Tabelle listet neun reale Fälle aus beiden Systemen mit Datum, Behörde und Strafhöhe.

UnternehmenGesetzBehördeDatumStrafe
GoogleDSGVOCNIL (Frankreich)1. Sept. 2025325.000.000 €
Shein (Infinite Styles Services)DSGVOCNIL (Frankreich)1. Sept. 2025150.000.000 €
Disney/ABCCCPACalifornia Attorney GeneralFeb. 20262.750.000 $
Healthline MediaCCPACalifornia Attorney General1. Juli 20251.550.000 $
Jam CityCCPACalifornia Attorney General21. Nov. 20251.400.000 $
PlayOn Sports + FordCCPACalPrivacy (CPPA)März 2026rund 1.500.000 $ kombiniert
American Honda Motor Co.CCPACalPrivacy (CPPA)8. Jan. 2026632.500 $
Sling TV / Dish Media SalesCCPACalifornia Attorney General30. Okt. 2025530.000 $
LocateSmarter LLCCCPA / Delete ActCalPrivacy (CPPA)11. Aug. 2026116.490 $

Auffällig ist das Muster. Bei der DSGVO reichen zwei Fälle, um fast eine halbe Milliarde Euro zu erreichen, weil die Bußgelder am Weltumsatz hängen. Beim CCPA braucht es viele kleinere Fälle, dafür trifft die Durchsetzung eine breitere Masse an Branchen, von Gaming über Streaming bis Automobil und Datenbroker. Für Unternehmen mit US-Geschäft heißt das: Selbst ohne Google-Größe landet man auf dem Radar von CalPrivacy, sobald Opt-out-Mechanismen fehlen oder Kinderdaten falsch behandelt werden.

Fünf der neun Fälle lohnen einen genaueren Blick, weil sie unterschiedliche Fehlertypen zeigen. Bei Google ging es um Werbung, die direkt in Gmail-Postfächern eingeblendet wurde, ohne dass Nutzer dem zugestimmt hatten, kombiniert mit Cookies, die schon bei der Kontoerstellung ohne gültige Einwilligung gesetzt wurden. Bei Shein drehte sich der Fall komplett um Tracking-Cookies auf der eigenen Shopping-Website, ein Klassiker der Cookie-Durchsetzung, der zeigt, dass auch Jahre nach der ePrivacy-Debatte viele Consent-Banner technisch nicht sauber funktionieren.

Bei Disney und ABC lag der Fehler nicht im Consent-Banner, sondern im fehlenden oder schwer auffindbaren Opt-out-Link für den Verkauf von Streaming-Nutzungsdaten, ein Muster, das sich fast identisch bei Jam City und Sling TV wiederholt. Beide Mobile- und Streaming-Anbieter hatten zusätzlich Minderjährige zwischen 13 und 16 Jahren erfasst, ohne die seit der CPRA-Reform vorgeschriebene Einwilligung einzuholen. American Honda schließlich zeigt, dass auch etablierte Industriekonzerne außerhalb der klassischen Tech-Branche ins Visier von CalPrivacy geraten, sobald verbundene Fahrzeuge Standort- und Nutzungsdaten sammeln.

Der Fall LocateSmarter rundet das Bild ab, weil er eine neue Vollzugsebene zeigt. Statt eines Endkundenprodukts betraf die Strafe einen Datenbroker im Hintergrund, der Standortdaten an Dritte weitergab, ohne sich fristgerecht zu registrieren, und zusätzlich einen Teil der Sozialversicherungsnummer verlangte, um überhaupt einen Opt-out zu bearbeiten, ein Verfahren, das die CPPA als unzulässige Hürde einstufte. Für Unternehmen, die selbst keine Endkundenprodukte betreiben, sondern nur Daten an andere verkaufen, ist das ein klares Signal: Auch B2B-Datenflüsse ohne direkten Verbraucherkontakt stehen inzwischen im Fokus der kalifornischen Aufsicht.

DPO-Pflicht, Risikoanalysen und private Klagerechte

Die DSGVO verlangt einen Datenschutzbeauftragten, sobald ein Unternehmen umfangreich Personen überwacht oder in großem Stil sensible Daten verarbeitet. Öffentliche Stellen brauchen ihn ohnehin fast immer. Der DPO berichtet direkt an die Geschäftsführung, muss unabhängig arbeiten und darf nicht wegen seiner Aufgaben abgemahnt werden. Zusätzlich verlangt Artikel 35 eine Datenschutz-Folgenabschätzung, bevor risikoreiche neue Verarbeitungen starten, etwa beim Einsatz von Gesichtserkennung oder groß angelegtem Profiling. Diese Folgenabschätzung dokumentiert Risiken, geplante Abhilfemaßnahmen und die Verhältnismäßigkeit der Verarbeitung, bevor überhaupt eine einzige Zeile Code geschrieben wird. Fehlt sie bei einer eindeutig risikoreichen Verarbeitung, zählt das bei einer Prüfung als eigenständiger Verstoß, unabhängig davon, ob am Ende tatsächlich Schaden entstanden ist.

Der CCPA kennt keine DPO-Pflicht. Stattdessen verlangt das im Juli 2025 finalisierte Regelpaket der CPPA ab 2026 verpflichtende Cybersicherheits-Audits für bestimmte Unternehmenskategorien sowie Risikoanalysen für automatisierte Entscheidungssysteme (ADMT), mit gestaffelten Fristen zwischen 2027 und 2030. Beim privaten Klagerecht bleibt der CCPA enger gefasst als oft angenommen: Verbraucher können nur bei bestimmten Datenpannen selbst klagen, für die meisten anderen Rechte, etwa Auskunft oder Löschung, liegt die Durchsetzung allein bei Generalstaatsanwalt und CalPrivacy. Die DSGVO kennt kein EU-weit einheitliches privates Klagerecht, einzelne Mitgliedstaaten regeln Schadenersatzklagen nach eigenem Zivilrecht, in Österreich über das Allgemeine Bürgerliche Gesetzbuch in Verbindung mit dem DSG.

Die neuen ADMT-Regeln der CPPA verdienen einen eigenen Blick, weil sie den CCPA inhaltlich näher an die DSGVO heranrücken. Automatisierte Entscheidungssysteme, die erhebliche Auswirkungen auf Verbraucher haben, etwa bei Kreditvergabe, Beschäftigung oder Wohnungssuche, müssen künftig vorab geprüft werden, ähnlich wie es Artikel 22 DSGVO bereits seit 2018 vorschreibt. Der große Unterschied liegt im Zeitplan: Während die DSGVO diese Pflicht von Anfang an kannte, führt Kalifornien sie gestaffelt zwischen 2027 und 2030 ein, was Unternehmen einen längeren Vorlauf zur Anpassung ihrer Systeme verschafft.

Migrationsleitfaden: In acht Schritten zur globalen Datenschutzstrategie

Unternehmen, die bereits DSGVO-konform sind und jetzt kalifornische Kunden bedienen wollen, oder umgekehrt CCPA-konform sind und in die EU expandieren, müssen kein komplett neues Programm bauen. Die meiste Vorarbeit, etwa ein Verzeichnis der Verarbeitungstätigkeiten oder ein bestehendes Consent-Management-Tool, lässt sich weiterverwenden. Die folgenden acht Schritte zeigen den praktikablen Weg, in etwa der Reihenfolge, in der sie in der Praxis auch anfallen.

  1. Datenbestand kartieren: Welche Datenkategorien werden erfasst, woher kommen sie, wo landen sie. Ohne dieses Inventar lässt sich keine der beiden Rechtsordnungen sauber erfüllen.
  2. Geltungsbereich prüfen: Für die DSGVO zählt der EU-Bezug der Betroffenen, für den CCPA die drei Umsatz- und Datenschwellen. Beide getrennt dokumentieren, nicht vermischen.
  3. Einwilligungslogik trennen: EU-Nutzer bekommen ein Opt-in-Banner, kalifornische Nutzer einen sichtbaren “Do Not Sell or Share”-Link. Ein einziges Cookie-Banner für beide Märkte führt fast immer zu Fehlern in die eine oder andere Richtung, meist durch automatische Standorterkennung über IP-Adresse gelöst.
  4. Betroffenenrechte vereinheitlichen: Ein zentrales Request-Portal für Auskunft und Löschung einrichten, das die strengeren DSGVO-Fristen als Standard nutzt und die CCPA-Anforderungen automatisch mit abdeckt. Ein einziges Ticketsystem für beide Rechtsräume reduziert den Pflegeaufwand erheblich gegenüber getrennten Prozessen.
  5. Governance anpassen: Prüfen, ob ein DPO nötig ist (DSGVO) und parallel die neuen CPPA-Pflichten zu Risikoanalysen und Cybersicherheits-Audits vor den Fristen 2027 bis 2030 einplanen.
  6. Meldeprozesse für Datenpannen festlegen: Die 72-Stunden-Frist der DSGVO als internes Ziel setzen, das automatisch auch die weniger strikte CCPA-Meldepflicht erfüllt.
  7. Dienstleisterverträge aktualisieren: Auftragsverarbeitungsverträge nach Art. 28 DSGVO und Service-Provider-Klauseln nach CCPA in den bestehenden Verträgen ergänzen, nicht neu verhandeln, wo es nicht nötig ist.
  8. Regelmäßig neu bewerten: Beide Rechtsräume entwickeln sich weiter, 2026 etwa mit dem EDPB-Transparenzfokus und neuen ADMT-Regeln in Kalifornien. Ein jährliches Compliance-Review verhindert, dass man von Novellen überrascht wird.

Wichtig dabei: Wer die DSGVO als Baseline nimmt und CCPA-Anforderungen ergänzt, erfüllt in der Praxis meist beide Systeme, weil die EU-Regeln in fast jedem Punkt strenger sind. Der umgekehrte Weg, von CCPA auf DSGVO aufzustocken, verlangt dagegen deutlich mehr Umbau, vor allem beim Einwilligungsmodell, weil aus einem passiven Opt-out-Standard ein aktives Opt-in-Verfahren werden muss, das sich nicht einfach nachträglich aufsetzen lässt, sondern in der Regel eine technische Überarbeitung des gesamten Consent-Flows erfordert.

Für wen eignet sich was: Use-Case-Empfehlungen

  • Reines EU/AT-Geschäft ohne US-Kunden: Die DSGVO als einzige Grundlage reicht aus, ein Blick auf CCPA lohnt sich erst bei geplanter US-Expansion.
  • US-Firma mit ausschließlich kalifornischen Kunden: CCPA/CPRA-Konformität genügt, DSGVO wird erst relevant, sobald EU-Nutzer angesprochen werden.
  • Multinationales SaaS-Unternehmen mit EU- und US-Kunden: DSGVO als strengste gemeinsame Basis implementieren, CCPA-spezifische Opt-out-Mechanismen als Zusatzmodul ergänzen.
  • Kleines Startup mit begrenztem Budget: Zuerst prüfen, ob die CCPA-Umsatzschwellen überhaupt greifen, das spart in der Frühphase oft erheblichen Aufwand gegenüber der schwellenlosen DSGVO.
  • Gesundheits- oder Fintech-Unternehmen mit sensiblen Daten: Beide Systeme verschärfen die Regeln bei sensiblen Kategorien, hier lohnt sich ein eigener DPO unabhängig von der gesetzlichen Pflicht.
  • Ad-Tech- und Datenbroker-Geschäftsmodelle: Höchste Priorität für beide Regime, da CNIL, CPPA und der neue Delete Act genau diese Branche 2025/2026 besonders scharf geprüft haben.

Diese sechs Profile lassen sich in der Praxis kombinieren. Ein Fintech-Startup mit EU-Sitz und ersten kalifornischen Kunden fällt gleichzeitig unter die Kategorien “sensible Daten” und “kleines Startup mit begrenztem Budget”, was bedeutet, dass die Priorität klar bei der DSGVO-Basis liegt, während CCPA-Pflichten erst greifen, sobald die Umsatz- oder Datenschwellen tatsächlich erreicht werden. Ein regelmäßiger Check dieser Schwellen, etwa vierteljährlich im Rahmen des Reportings, verhindert, dass ein Unternehmen unbemerkt in die CCPA-Pflicht hineinwächst.

Auch die Größe des Datenschutzteams spielt eine Rolle bei der Priorisierung. Ein Konzern mit eigener Rechtsabteilung kann beide Systeme parallel betreuen und wird das angesichts der hohen DSGVO-Bußgelder in Europa in der Regel auch tun. Ein Team aus zwei oder drei Personen sollte dagegen zuerst die DSGVO als verpflichtende Basis absichern und CCPA-Feinheiten wie die zweimal jährliche kostenlose Auskunft erst dann umsetzen, wenn tatsächlich kalifornische Kunden in relevanter Zahl hinzukommen, statt vorab Ressourcen für ein theoretisches Risiko zu binden.

Vor- und Nachteile im Überblick

Beide Systeme haben sich in der Praxis bewährt, keines davon ist grundsätzlich überlegen. Die folgenden Punkte helfen bei der Einordnung, welches Modell in welcher Situation mehr Aufwand oder mehr Schutz bedeutet.

DSGVO: Vorteile und Nachteile

  • Vorteil: Ein einziges Regelwerk für 27 Länder plus EWR schafft Rechtssicherheit über Grenzen hinweg.
  • Vorteil: Hohe Bußgeldobergrenzen wirken abschreckend, das zeigen die CNIL-Fälle 2025 deutlich.
  • Nachteil: Opt-in-Pflicht und DPO-Vorgaben erhöhen den administrativen Aufwand spürbar, besonders für kleine Unternehmen ohne Umsatzschwelle.
  • Nachteil: Uneinheitliche Auslegung zwischen nationalen Aufsichtsbehörden trotz EDPB-Koordination.

CCPA/CPRA: Vorteile und Nachteile

  • Vorteil: Umsatzschwellen entlasten kleine Unternehmen komplett von der Regulierung.
  • Vorteil: Opt-out-Modell erlaubt einfachere Standardprozesse ohne Einwilligungsbanner bei jeder Verarbeitung.
  • Nachteil: Nur auf Kalifornien begrenzt, während parallel mindestens 19 weitere US-Bundesstaaten eigene, teils abweichende Gesetze eingeführt haben, was für national tätige US-Firmen einen Flickenteppich erzeugt.
  • Nachteil: Bußgelder pro Verstoß wirken auf dem Papier niedrig, was Abschreckungswirkung reduziert, bis ein Fall wie Disney mit Millionen betroffener Datensätze eintritt.

In der Praxis gleichen sich beide Systeme über die Zeit eher an, als dass sie auseinanderdriften. Die CCPA-Novellen von 2025 mit Risikoanalysen und Cybersicherheits-Audits erinnern stark an DSGVO-Konzepte wie die Datenschutz-Folgenabschätzung. Gleichzeitig hat die EU-Kommission am 19. November 2025 ihre “Digital Omnibus Regulation”-Vorschläge vorgelegt, die DSGVO-Pflichten für kleine und mittlere Unternehmen sowie neu definierte Small Mid-Caps mit unter 750 Beschäftigten entschlacken sollen, unter anderem bei den Aufzeichnungspflichten aus Artikel 30. Das Schutzniveau selbst bleibt laut Kommission unverändert, nur der administrative Aufwand für kleinere Betriebe sinkt. Wer heute investiert, baut also nicht für zwei starr getrennte Welten, sondern für ein Modell, das sich mittelfristig zumindest beim Verwaltungsaufwand weiter annähern dürfte.

Das Urteil: DSGVO vs CCPA mit Zahlen

Wer nach dem strengeren System fragt, landet eindeutig bei der DSGVO. Sie deckt mehr Unternehmen ab, verlangt aktive Einwilligung statt Widerspruch und erlaubt Bußgelder, die prozentual am Weltumsatz hängen statt an einer Dollar-Fixsumme pro Verstoß. Die 486,8 Millionen Euro CNIL-Bußgelder aus einem einzigen Jahr übertreffen die gesamte bisherige CCPA-Durchsetzungsgeschichte um ein Vielfaches.

Trotzdem wäre es falsch, den CCPA als zahnlos abzutun. Die Zahl der Durchsetzungsfälle wächst schneller als in Europa, mit sechs dokumentierten Vergleichen und Entscheidungen allein zwischen Juli 2025 und August 2026. Die California Privacy Protection Agency erweitert ihre Zuständigkeit laufend, zuletzt auf Datenbroker über den Delete Act. Für ein Unternehmen mit Geschäft auf beiden Seiten des Atlantiks bedeutet das: Die DSGVO als Compliance-Untergrenze zu behandeln, minimiert das Risiko am effektivsten, weil sie die meisten CCPA-Pflichten automatisch mit abdeckt. Wer nur auf CCPA optimiert, baut dagegen eine Lücke gegenüber Europa auf, die im Ernstfall siebenstellig teuer werden kann.

Kurz zusammengefasst: Größe und Reichweite sprechen für die DSGVO als strengeres System, Geschwindigkeit und Diversität der Fälle sprechen für einen CCPA, der 2026 gerade erst in seine aktive Durchsetzungsphase eintritt. Beide Kurven zeigen nach oben. Für ein österreichisches Unternehmen mit US-Ambitionen bleibt die pragmatischste Strategie, die DSGVO-Dokumentation als Fundament zu nehmen und CCPA-spezifische Bausteine wie den Opt-out-Link, die Zwei-Jahres-Auskunftsgrenze und die neuen ADMT-Risikoanalysen gezielt zu ergänzen, statt zwei getrennte Compliance-Programme parallel zu pflegen.

Häufig gestellte Fragen

Gilt die DSGVO auch für österreichische Kleinunternehmen ohne Kunden im Ausland?

Ja. Die DSGVO kennt keine Umsatz- oder Größenschwelle. Sobald personenbezogene Daten verarbeitet werden, etwa Kundendaten in einem CRM, gilt sie unabhängig von der Unternehmensgröße.

Muss ein österreichisches Unternehmen den CCPA einhalten?

Nur dann, wenn eine der drei CCPA-Schwellen erreicht wird, etwa bei Datenverarbeitung von mehr als 100.000 kalifornischen Haushalten oder Geräten pro Jahr. Ein rein europäisches Geschäft ohne kalifornische Nutzer fällt nicht darunter.

Was ist der Unterschied zwischen CCPA und CPRA?

Der CCPA ist das ursprüngliche Gesetz von 2020. Die CPRA, per Volksabstimmung im November 2020 beschlossen und seit 1. Januar 2023 wirksam, erweitert den CCPA um zusätzliche Rechte, die Kategorie sensibler Daten und die neue Aufsichtsbehörde CPPA. In der Praxis wird meist einfach “CCPA” gesagt, auch wenn die CPRA-Regeln gemeint sind.

Welches Gesetz hat höhere Bußgelder, DSGVO oder CCPA?

Die DSGVO, mit bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Der CCPA rechnet pro Verstoß mit 2.663 bis 7.988 US-Dollar, kann aber bei Millionen betroffener Nutzer trotzdem hohe Gesamtsummen erreichen, wie der 2,75-Millionen-Dollar-Fall Disney zeigt.

Brauche ich einen Datenschutzbeauftragten für CCPA-Compliance?

Nein, der CCPA kennt keine DPO-Pflicht. Ab 2026/2027 verlangt die CPPA aber Cybersicherheits-Audits und Risikoanalysen für bestimmte Unternehmen, was faktisch eine ähnliche interne Zuständigkeit erfordert.

Gibt es weitere US-Bundesstaaten mit eigenen Datenschutzgesetzen?

Ja. Mitte 2025 hatten bereits 19 US-Bundesstaaten umfassende Datenschutzgesetze verabschiedet, mit teils abweichenden Regeln. Colorado etwa hat sein Gesetz im Mai 2025 mit dem Senate Bill 276 verschärft. Für Unternehmen mit landesweitem US-Geschäft reicht CCPA-Konformität allein oft nicht mehr aus.

Was passiert bei einem Verstoß gegen beide Gesetze gleichzeitig?

Beide Aufsichtsbehörden ermitteln unabhängig voneinander. Ein Unternehmen kann theoretisch sowohl von einer europäischen DPA als auch vom kalifornischen Attorney General oder der CPPA belangt werden, wenn Nutzer aus beiden Regionen betroffen sind. Es gibt kein gegenseitiges Anrechnungsverfahren zwischen den Systemen, eine Zahlung in Kalifornien reduziert also kein europäisches Bußgeld und umgekehrt.

Wie lange dauert es typischerweise, ein Unternehmen auf beide Gesetze umzustellen?

Das hängt stark vom Ausgangspunkt ab. Ein Unternehmen mit sauberer DSGVO-Basis, vollständigem Verarbeitungsverzeichnis und funktionierendem Consent-Tool schafft die CCPA-Ergänzungen häufig innerhalb weniger Wochen, weil vor allem der Opt-out-Mechanismus und die Anpassung der Datenschutzerklärung fehlen. Ein Unternehmen ganz ohne bestehendes Datenschutzprogramm sollte für ein solides Fundament eher mehrere Monate einplanen, inklusive Datenkartierung, Rechtsgrundlagenprüfung und technischer Umsetzung der Betroffenenrechte.

Deckt die DSGVO automatisch auch CCPA-Anforderungen ab?

Größtenteils ja, weil die DSGVO in fast jedem Punkt strenger ist. Eine Ausnahme bleibt der explizite “Do Not Sell or Share”-Mechanismus, der als eigenständige Funktion ergänzt werden muss, selbst wenn ein Unternehmen DSGVO-konform arbeitet.

Was bedeutet die EU Digital Omnibus Regulation für bestehende DSGVO-Pflichten?

Der am 19. November 2025 vorgelegte Vorschlag der EU-Kommission reduziert vor allem Aufzeichnungspflichten für kleine und mittlere Unternehmen sowie neu definierte Small Mid-Caps mit weniger als 750 Beschäftigten. Die Kernprinzipien der DSGVO, etwa die Rechtsgrundlagen nach Artikel 6 oder die Bußgeldobergrenzen, bleiben davon nach aktuellem Stand unberührt. Das Gesetzgebungsverfahren läuft 2026 noch, Änderungen sind also möglich.

Technisch möglich, praktisch riskant. Ein Banner, das EU-Nutzern eine echte Opt-in-Wahl lässt und gleichzeitig kalifornischen Nutzern einen klar sichtbaren “Do Not Sell or Share”-Link bietet, muss die Nutzer anhand ihrer Region unterscheiden können. Die meisten Consent-Management-Plattformen unterstützen das inzwischen über automatische Standorterkennung, eine manuelle Prüfung der Konfiguration bleibt trotzdem empfehlenswert.