Wie viel hat der CCPA die Unternehmen gekostet? Eine Aufschlüsselung der Datenschutzbußgelder in Höhe von 23,2 Millionen Dollar

Im Folgenden schlüsseln wir die bisher gegen Unternehmen wegen Verstößen gegen den California Consumer Privacy Act (CCPA) verhängten Datenschutzbußgelder in Höhe von 23,2 Millionen Dollar auf und erläutern, mit welchen Handlungen sie gegen dieses umfassende Datenschutzgesetz verstoßen haben.

Erfahren Sie außerdem, wie Termly Ihrem Unternehmen dabei helfen Termly , die Anforderungen des CCPA und anderer Datenschutzgesetze weltweit problemlos zu erfüllen.

Inhaltsübersicht

1. Wie hoch belaufen sich die Gesamtkosten aller bisher verhängten CCPA-Geldbußen?
2. Was sind die 10 höchsten CCPA-Geldbußen, die bisher verhängt wurden?
3. Ein häufiges Problem: Unternehmen halten die Opt-out-Vorschriften des CCPA nicht ein
4. Wie Termly Unternehmen dabei Termly , die Anforderungen des CCPA zu erfüllen
5. Die bislang höchste CCPA-Geldbuße: Häufig gestellte Fragen
6. Quellenangaben

Wie hoch belaufen sich die Gesamtkosten aller bisher verhängten CCPA-Geldbußen?

Bis Mai 2026 beliefen sich die Bußgelder nach dem CCPA auf insgesamt mindestens 23.205.881 US-Dollar.

Der kalifornische Generalstaatsanwalt führt im „Privacy Enforcement Tracker “ eine Liste aller Durchsetzungsmaßnahmen, die auf seiner Website öffentlich zugänglich ist.

Es wird erwartet, dass diese Zahl weiter steigen wird, insbesondere jetzt, da das CCPA in vollem Umfang in Kraft ist und die Unternehmen mehrere Jahre Zeit hatten, sich vollständig an das strenge Datenschutzgesetz anzupassen und es einzuhalten.

Was sind die 10 höchsten CCPA-Geldbußen, die bisher verhängt wurden?

Die Datenschutzgesetze in den USA sind relativ neu, haben jedoch weitreichende Folgen.

Laut Gartnerbeliefen sich die Bußgelder aufgrund von US-Datenschutzgesetzen im Jahr 2025 auf schätzungsweise insgesamt 3,425 Milliarden US-Dollar.

Hier sind die höchsten Bußgelder und Verstöße aufgeführt, die gegen verschiedene Unternehmen wegen Verstößen gegen den California Consumer Privacy Act (CCPA) verhängt wurden, der als eines der strengsten Datenschutzgesetze des Landes gilt.

1. General Motors – Geldstrafe in Höhe von 12.750.000 Dollar

Im Mai 2026 gab die California Privacy Protection Agency (CalPrivacy oder CPPA) einen Vergleich mit General Motors bekannt, der zur höchsten Geldstrafe in der Geschichte des CCPA führte. Diese belief sich auf satte 12,75 Millionen US-Dollar, da das Unternehmen angeblich gegen den CCPA verstoßen hatte, indem es die personenbezogenen Daten von Millionen von Kaliforniern unrechtmäßig verkauft hatte.

Es ist zudem der erste Fall von Datenminimierung in der Geschichte des Rechts.

Dieser Fall, der noch der gerichtlichen Genehmigung bedarf, würde das Unternehmen zusätzlich zur Geldstrafe dazu verpflichten, die Nutzung von Fahrdaten von Verbrauchern einzuschränken und den Verkauf dieser Informationen an Datenbroker zu untersagen.

Der kalifornische Generalstaatsanwalt Rob Bonta äußerte sich zu dem Vergleich wie folgt:

„General Motors hat die Daten kalifornischer Autofahrer ohne deren Wissen oder Zustimmung verkauft, obwohl das Unternehmen den Autofahrern wiederholt versichert hatte, dies nicht zu tun.“

Er fügte hinzu:„Die heutige Einigung verpflichtet General Motors, diese rechtswidrigen Praktiken einzustellen, und unterstreicht die Bedeutung der Datenminimierung im kalifornischen Datenschutzrecht – Unternehmen dürfen Daten nicht einfach aufbewahren und später für andere Zwecke verwenden.“

Diese Vereinbarung regelt, wie Datenschutzgesetze auf moderne Autos anzuwenden sind, die sich zu mobilen Datenerfassungsgeräten entwickelt haben.

HAFTUNGSAUSSCHLUSS: Dieser Vergleich muss noch gerichtlich genehmigt werden.

2. The Walt Disney Company – Geldstrafe in Höhe von 2.750.000 Dollar

Im Februar 2026 wurde gegen Disney wegen Verstoßes gegen die im CCPA festgelegten Opt-out-Vorschriften eine Geldstrafe in Höhe von 2.750.000 Dollar verhängt.

Insbesondere hat das Unternehmen es versäumt, die Abmeldewünsche der Nutzer dienst- und geräteübergreifend zu berücksichtigen, darunter bei Disney+, Hulu und ESPN+.

Generalstaatsanwalt Rob Bonta wurde damals von der Generalstaatsanwaltschaft mit folgenden Worten zitiert:

„Verbraucher sollten nicht bis ans Ende der Welt und darüber hinaus gehen müssen, um ihre Datenschutzrechte geltend zu machen.“

Der Grund dafür ist, dass die kalifornische Datenschutzbehörde festgestellt hatte, dass Disneys Opt-out-Möglichkeiten zu jener Zeit mehrere Lücken aufwiesen, die es dem Unternehmen ermöglichten, Verbraucherdaten weiterhin zu verkaufen und weiterzugeben.

Wenn Nutzer den Opt-out-Schalter betätigten, galt die Einstellung nur für den jeweiligen Streaming-Dienst, den sie gerade nutzten, und oft nur für das tatsächlich verwendete Gerät.

Dies führte dazu, dass ihre Daten weiterhin von anderen Disney-eigenen Streaming-Diensten auf verschiedenen Geräten, die mit ihren Konten verbunden waren, verkauft oder weitergegeben wurden.

Außerdem stellten sie ein Online-Formular zur Abmeldung bereit, doch dieses verhinderte lediglich die Weitergabe von Daten über Disneys eigene Werbeplattform und Angebote.

Das Unternehmen verkaufte die Daten weiterhin und gab sie an externe Ad-Tech-Unternehmen weiter.

Außerdem beschränkten sie die über die Einstellungen für die globale Datenschutzsteuerung eingehenden Opt-out-Anfragen auf bestimmte Geräte, unabhängig davon, ob der Nutzer in seinem Konto angemeldet war.

Infolgedessen musste Disney die millionenschwere Geldstrafe zahlen und wurde dazu verpflichtet, Opt-out-Möglichkeiten einzuführen, die den Verkauf und die Weitergabe von Verbraucherdaten tatsächlich und vollständig unterbinden.

3. Healthline Media – Geldstrafe in Höhe von 1.550.000 Dollar

Im Juli 2025 wurde Healthline Media LLC wegen Verstößen gegen die Opt-out-Richtlinien des CCPA mit einer Geldstrafe belegt, darunter Opt-out-Anfragen im Zusammenhang mit gezielter Werbung und der Weitergabe von Daten an Dritte.

Der endgültige Vergleich umfasste eine Geldstrafe in Höhe von 1.550.000 Dollar sowie gerichtliche Anordnungen, die es dem Unternehmen untersagten, Artikeltitel weiterzugeben, aus denen hervorgeht, welche Diagnose bei einem Verbraucher gestellt worden sein könnte, und die es ihm verbieten, diese Art der Datenerhebung fortzusetzen.

Generalstaatsanwalt Bonta wurde zu diesem Thema wie folgt zitiert:

„Unsere Einigung mit Healthline unterstreicht, dass die Einwohner Kaliforniens gemäß dem CCPA über wichtige Datenschutzrechte verfügen, um sich gegen Online-Überwachung zu wehren – auch durch Betreiber von Websites.“

Laut der Website der OAG gehört Healthline.com zu den 40 meistbesuchten Websites weltweit und erzielt Einnahmen durch Werbung.

Sie aktivierten jedoch Cookies und Pixel, die Daten über ihre Leser erfassten und an Dritte weitergaben, wobei einige dieser Daten dazu verwendet werden konnten, einzelne Personen eindeutig zu identifizieren.

Es wurde festgestellt, dass Dutzende von Trackern bereits in den ersten Millisekunden nach dem Laden der Webseiten aktiv waren und Daten weitergaben.

Neben der hohen Geldstrafe wurde das Unternehmen unter anderem dazu verpflichtet, sicherzustellen, dass die Abmeldemöglichkeiten tatsächlich funktionieren, und die Veröffentlichung von Informationen einzustellen, die einen Nutzer mit einem bestimmten Artikeltitel in Verbindung bringen und damit andeuten könnten, dass bei ihm eine Krankheit diagnostiziert wurde.

4. Jam City – Geldstrafe in Höhe von 1.400.000 Dollar

Die Plattform für mobile Spiele, Jam City, wurde im November 2025 wegen Verstoßes gegen den CCPA mit einer Geldstrafe von 1.400.000 Dollar belegt, da sie die Opt-out-Bestimmungen missachtet und Daten von bekanntermaßen minderjährigen Nutzern unsachgemäß behandelt hatte.

Das Unternehmen ist dafür bekannt, Spiele zu entwickeln, die auf verschiedenen, bei Kindern beliebten Franchises basieren, darunter Harry Potter, Frozen und andere.

Dieser Fall unterscheidet sich jedoch von einigen anderen, da er zeigt, dass selbst mobile Apps den strengen Anforderungen des CCPA unterliegen.

Generalstaatsanwalt Bonta wurde mit folgenden Worten zitiert:

„Viele Kalifornier entspannen sich nach einem langen Tag gerne mit Spielen auf ihrem Handy. Selbst bei Apps verpflichtet das kalifornische Recht Unternehmen dazu, den Verbrauchern die Möglichkeit zu geben, dem Verkauf und der Weitergabe ihrer personenbezogenen Daten zu widersprechen.“

Zusätzlich zu den Geldbußen wurde das Unternehmen dazu verpflichtet, im Spiel Optionen zur Ablehnung des Verkaufs oder der Weitergabe von Daten anzubieten, und darf die Daten von Verbrauchern im Alter zwischen 13 und 16 Jahren nicht ohne deren ausdrückliche Einwilligung verkaufen.

5. Tractor Supply Company – Geldstrafe in Höhe von 1.350.000 Dollar

Im September 2025 wurde die Tractor Supply Company von der CPPA mit einer Geldstrafe in Höhe von 1.350.000 Dollar belegt, weil sie Widerspruchsanträge nicht berücksichtigt und keine Datenschutzerklärung geführt hatte, in der Verbraucher und Bewerber über ihre Rechte informiert wurden.

Zudem wurde festgestellt, dass sie personenbezogene Daten an andere Unternehmen weitergaben, ohne Verträge abzuschließen, die Datenschutzbestimmungen enthielten.

Neben der hohen Geldstrafe wurde der größte Einzelhändler für Landhauswaren des Landes zudem dazu verpflichtet, umfassende Abhilfemaßnahmen zur Korrektur seiner Datenverarbeitungspraktiken zu ergreifen, darunter die Verpflichtung, dass ein leitender Angestellter oder Vorstandsmitglied innerhalb von vier Jahren die Einhaltung der Vorschriften bescheinigen muss.

Damals war dies die höchste Geldstrafe in der Geschichte der CPPA.

Es war zudem die erste Entscheidung, in der die Bedeutung von Datenschutzerklärungen und die Datenschutzrechte von Bewerbern thematisiert wurden.

6. Sephora – Geldstrafe in Höhe von 1.200.000 Dollar

Im August 2022 wurde gegen den Kosmetikhändler Sephora eine Geldstrafe in Höhe von 1.200.000 US-Dollar verhängt, weil das Unternehmen den Verkauf personenbezogener Daten nicht offengelegt und das Widerspruchsrecht gemäß dem CCPA nicht gewährt hatte.

Insbesondere hat das Unternehmen es versäumt, den Opt-out-Anfragen von Verbrauchern nachzukommen, die Technologien wie Global Privacy Control nutzen.

Das Unternehmen wurde zudem aufgefordert, seine Online-Offenlegungen und Datenschutzrichtlinien zu präzisieren und unter anderem eine Bestätigung darüber aufzunehmen, dass es Daten verkauft, den Verbrauchern Widerspruchsmöglichkeiten einzuräumen sowie zu bestätigen, dass seine Dienstleisterverträge den Anforderungen des CCPA entsprechen – neben weiteren Abhilfemaßnahmen.

Damals äußerte sich Generalstaatsanwalt Bonta wie folgt:

„Ich hoffe, dass der heutige Vergleich ein deutliches Signal an alle Unternehmen sendet, die sich nach wie vor nicht an das kalifornische Verbraucherschutzgesetz halten. Meine Behörde hat ein Auge darauf, und wir werden Sie zur Rechenschaft ziehen.“

Fast vier Jahre später – und nachdem inzwischen gegen weitere Unternehmen Geldstrafen in Millionenhöhe verhängt wurden – ist klar, dass er jedes Wort ernst gemeint hat.

Quelle: https://oag.ca.gov/news/press-releases/attorney-general-bonta-announces-settlement-sephora-part-ongoing-enforcement

7. PlayOn Sports – Geldstrafe in Höhe von 1.100.000 Dollar

Im März 2026 wurde das auf Jugendsport spezialisierte Medienunternehmen PlayOn Sports wegen Verstoßes gegen den CCPA mit einer Geldstrafe belegt, da es sogenannte „Dark Patterns“ eingesetzt und Schülerdaten missbraucht hatte.

Das Unternehmen, das von Schulen in ganz Amerika für den Verkauf von Eintrittskarten für Schulsportveranstaltungen, Theateraufführungen und andere außerschulische Aktivitäten wie Abschlussbälle und Homecoming-Feiern genutzt wird, setzte Tracking-Technologien ein, um Ticketinhabern und anderen Nutzern seiner Dienste unrechtmäßig gezielte Werbung zuzusenden.

Michael Macko, Leiter der Durchsetzungsabteilung bei CalPrivacy, wurde zu diesem Thema von privacy.ca.gov wie folgt zitiert:

„Schüler, die zum Abschlussball oder zu einem Highschool-Footballspiel gehen wollen, sollten ihre Privatsphäre nicht an der Tür abgeben müssen.“

Neben der Geldstrafe wurde das Unternehmen außerdem dazu verpflichtet, Risikobewertungen durchzuführen, angemessene, leicht lesbare und verständliche Informationen bereitzustellen sowie Verfahren zur Abmeldung von Eigenhandel einzuführen.

8. Ford Motor Company – Geldstrafe in Höhe von 375.703 Dollar

Im März 2026 wurde gegen die Ford Motor Company eine Geldstrafe in Höhe von 375.703 US-Dollar verhängt, weil sie gegen das Widerspruchsrecht verstoßen und nicht konforme Mechanismen im Rahmen des CCPA eingeführt hatte.

Konkret verlangte Ford von seinen Kunden, dass sie einen E-Mail-Verifizierungsschritt durchlaufen, bevor sie der Weitergabe oder dem Verkauf ihrer personenbezogenen Daten widersprechen konnten.

Das Unternehmen wurde zudem dazu verpflichtet, seine Datenverarbeitungsverfahren anzupassen, unter anderem indem es den Verbrauchern eine einfache Möglichkeit zur Einreichung von Widerspruchsanträgen bietet und eine Überprüfung seiner Tracking-Technologien durchführt.

Tom Kemp, der Geschäftsführer von CalPrivacy, wurde damals auf der Website privacy.ca.gov wie folgt zitiert:

„Dieser Fall zeigt, dass die Durchsetzungsabteilung alle erforderlichen Maßnahmen ergreifen wird, wenn Praktiken den gesetzlichen Anforderungen nicht genügen.“

9. DoorDash – Geldstrafe in Höhe von 375.000 Dollar

Im Februar 2024 wurde gegen DoorDash eine Geldstrafe in Höhe von 375.000 Dollar verhängt, weil das Unternehmen personenbezogene Daten unzulässig weitergegeben hatte, ohne die Verbraucher klar darüber zu informieren, und weil es keine angemessenen Möglichkeiten zum Widerruf der Einwilligung angeboten hatte.

Der Verkauf der Daten erfolgte konkret an eine nicht näher bezeichnete Marketingkooperative, die personenbezogene Daten der Kunden ihrer Mitglieder nutzt, um sich gegenseitig Produkte anzubieten.

Damals wurde Generalstaatsanwalt Bonta mit folgenden Worten zitiert:

„Die Beteiligung von DoorDash an einer Marketingkooperation stellt im Sinne des CCPA einen Verkauf dar und verstößt gegen die Rechte seiner Kunden gemäß unserem wegweisenden Datenschutzgesetz des Bundesstaates.“

Neben der Geldstrafe wurde DoorDash außerdem dazu verpflichtet, die Bestimmungen des CCPA und des CalOPPA vollständig einzuhalten, alle Verträge mit Marketing- und Analyseanbietern zu überprüfen und dem Generalstaatsanwalt jährliche Berichte vorzulegen.

10. Todd Snyder – Geldstrafe in Höhe von 345.178 Dollar

Im Mai 2025 wurde gegen den Bekleidungshändler Todd Snyder wegen Verstößen gegen den CCPA im Zusammenhang mit Cookies und Tracking eine Geldstrafe in Höhe von 345.178 US-Dollar verhängt.

Die Durchsetzungsabteilung der CPPA stellte fest, dass das Unternehmen sein Datenschutzportal nicht ordnungsgemäß konfiguriert hatte, was dazu führte, dass die Widerspruchsanträge der Verbraucher gegen den Verkauf oder die Weitergabe ihrer Daten nicht berücksichtigt wurden.

Das Unternehmen geriet zudem in Schwierigkeiten, weil es von den Verbrauchern mehr Informationen verlangte, als für die Bearbeitung von Datenschutzanfragen erforderlich waren, darunter die Überprüfung ihrer Identität, bevor sie der Weitergabe oder dem Verkauf ihrer Daten widersprechen konnten.

Macko, der damalige Leiter der Durchsetzungsabteilung bei CalPrivacy, richtete eine deutliche Warnung an alle Unternehmen, die unter dieses Gesetz fallen:

„Unternehmen sollten ihre Datenschutzlösungen genau unter die Lupe nehmen, um sicherzustellen, dass sie den gesetzlichen Vorschriften entsprechen und wie vorgesehen funktionieren, denn letztendlich tragen die Unternehmen, die sie einsetzen, die Verantwortung.“

Er fügte hinzu: „Die Nutzung einer consent management platform befreit Sie consent management platform von der Einhaltung der Vorschriften.“

Dies unterstreicht, wie wichtig es für Unternehmen tatsächlich ist, sicherzustellen, dass jede eingesetzte Einwilligungslösung sicher und rechtlich fundiert ist und genau so funktioniert, dass sie den Datenschutzgesetzen entspricht.

Ein häufiges Problem: Unternehmen halten die Opt-out-Vorschriften des CCPA nicht ein

Die neun in diesem Artikel behandelten Verstöße gegen das CCPA haben eines gemeinsam:

Diese Unternehmen halten sich nach wie vor nicht an die im CCPA festgelegten Opt-out-Vorschriften, die den Verbraucherschutz gewährleisten und es den Verbrauchern ermöglichen sollen, ihre Datenschutzrechte wahrzunehmen.

Der CCPA räumt den Einwohnern Kaliforniens eindeutig das Recht ein , der Datenverarbeitung in folgenden Fällen zu widersprechen :

Es ist offensichtlich, dass die kalifornische Generalstaatsanwaltschaft und die CPPA nicht vorhaben, bei der Durchführung von Ermittlungen und der Ahndung von Datenschutzverstößen nachzulassen.

Stellen Sie sicher, dass Sie gezielte Werbung betreiben und Daten so weitergeben und verkaufen, dass dies mit allen für Ihr Unternehmen geltenden Datenschutzgesetzen im Einklang steht, oder seien Sie bereit, die Konsequenzen zu tragen.

Wie Termly Unternehmen dabei Termly , die Anforderungen des CCPA zu erfüllen

Ihre Website kann Bußgelder im Rahmen des CCPA vermeiden, indem Sie sicherstellen, dass Sie alle im Gesetz festgelegten Richtlinien zu Einwilligung und Transparenz einhalten.

Tools wie Consent Management PlatformTermly und Datenschutzerklärung Generator machen es besonders einfach, vor allem dank Funktionen wie automatischer Skriptblockierung, domänenübergreifender Einwilligung und regionalen Einwilligungsregeln.

Mit Unterstützung unseres Rechtsteams und unserer Datenschutzexperten wurden unsere Tools so entwickelt, dass sie den kalifornischen Datenschutzgesetzen sowie allen weiteren derzeit geltenden Gesetzen auf US-Bundesstaatenebene und internationalen Vorschriften wie der DSGVO, dem POPIA und weiteren entsprechen.

Machen Sie Schluss mit dem Rätselraten und der Angst vor Bußgeldern – probieren Sie Termly aus!

Die bislang höchste CCPA-Geldbuße: Häufig gestellte Fragen

Im Folgenden finden Sie Antworten auf häufig gestellte Fragen zu CCPA-Geldbußen.

Welche Strafen drohen bei Verstößen gegen den CCPA?

 

Die Bußgelder für Verstöße gegen den CCPA können bis zu 7.500 US-Dollar pro Verstoß betragen. Verbraucher haben zudem das Recht, nach diesem Gesetz private Klagen einzureichen.

 

Kann ich wegen eines Verstoßes gegen den CCPA in Schwierigkeiten geraten?

 

Wenn Sie dem CCPA unterliegen und Gegenstand einer Untersuchung durch den Generalstaatsanwalt oder CalPrivacy sind und dabei festgestellt wird, dass Sie gegen das Gesetz verstoßen haben, können Sie in Schwierigkeiten geraten, insbesondere wenn Sie die Situation nicht rechtzeitig beheben.

 

Quellenangaben

Zu den in diesem Artikel zitierten Quellen gehören:

HAFTUNGSAUSSCHLUSS: Der Inhalt dieses Artikels basiert auf öffentlich zugänglichen Informationen vom 12. Mai 2026, gibt jedoch möglicherweise nicht die tatsächliche Gesamtsumme aller laufenden Bußgelder und Vergleichszahlungen im Rahmen des CCPA/CPRA wieder.

Geschrieben von Natasha Piirainen

Natasha Piirainen ist Autorin zum Thema Datenschutz. Sie hat einen Bachelor-Abschluss in Englisch und Philosophie vom Wheaton College und verfügt über mehr als 10 Jahre Berufserfahrung in der forschungsorientierten Entwicklung von Inhalten.

Alle Beiträge von Natasha Piirainen lesen

Rezensiert von Amanda Lee

Amanda ist Dokumentationsspezialistin und Certified Privacy Professional (US). Sie wandelt die Produktdokumentation in ein leicht verständliches Produkt für die Kunden von Termly um. Sie kennt sich auch gut mit den US-amerikanischen Datenschutzgesetzen und -vorschriften aus und hilft dabei, die Kundenrichtlinien in einer Zeit, in der die US-Bundesstaaten immer mehr Datenschutzgesetze erlassen, auf dem neuesten Stand zu halten.

Alle Beiträge lesen, die von Amanda Lee überprüft wurden