Im Jahr 2022 entschied das Berufungsgericht des Neunten Bezirks in der Rechtssache „Javier v. Assurance IQ“, dass eine von einer Website verwendete Software zur Aufzeichnung von Nutzeraktivitäten, bevor diesen die Datenschutzerklärung zur Verfügung gestellt wurde, gegen die Einwilligungsvorschriften des kalifornischen Gesetzes zum Schutz der Privatsphäre (California Invasion of Privacy Act, CIPA) verstößt.
Gemäß dieser Entscheidung gilt die Wiedergabe von Sitzungsprotokollen als eine Form der Abhörung, und das Nachverfolgen vor Erteilung der Einwilligung wurde als unrechtmäßiges Abhören eingestuft.
Es folgten weitere Klagen, darunter der Fall „D’Antonio gegen CNN“, in dem ein Kläger behauptete, CNN nutze Tracking-Tools von Drittanbietern und gebe die Daten an Partner aus dem Bereich der Werbetechnologie weiter, um Werbeportfolios aufzubauen.
Viele Websites sind inzwischen mit Vorwürfen konfrontiert worden, dass ihr Website-Tracking gegen das CIPA verstoße. Auch wenn es verständlich ist, dass dies Anlass zur Sorge geben kann, möchten wir Ihnen hier einige klare Fakten und aktuelle rechtliche Entwicklungen aufzeigen, um Verwirrung zu vermeiden.
- Welche Klagen werden gemäß dem CIPA gegen Websites wegen Tracking eingereicht?
- Welche Tracking-Technologien führen zu den meisten Beschwerden?
- Wichtige Gerichtsurteile aus dem Jahr 2025
- Inwiefern unterscheidet sich das CIPA von den kalifornischen Datenschutzgesetzen?
- Muss ich gemäß dem CIPA die Einwilligung der Nutzer einholen, um diese zu verfolgen?
- Kann ich zuerst Daten erfassen und dann ein cookie consent anzeigen?
- Wann der Einsatz von Tracking-Tools wahrscheinlich nicht als „Abhören“ gilt
- Die Bedeutung des Einsatzes einer Consent Management Platform CMP)
- Was tun, wenn Sie ein Mahnschreiben erhalten?
Welche Klagen werden gemäß dem CIPA gegen Websites wegen Tracking eingereicht?
Websites mit Besuchern aus Kalifornien, die Tracking-Technologien in Browsern einsetzen, bevor der Nutzer die Möglichkeit hat, eine Datenschutzerklärung oder einen Hinweis zu Cookies zu erhalten oder mit einem Einwilligungsbanner zu interagieren, laufen Gefahr, wegen Verstoßes gegen das CIPA verklagt zu werden.
Auf dieses Abhörgesetz aus den 1960er Jahren wurde verwiesen, um aufzuzeigen, inwiefern die Verfolgung des Online-Verhaltens von Personen ohne deren Wissen oder Zustimmung als eine Form der „heimlichen Überwachung“ im Sinne des CIPA angesehen werden könnte, was einen Verstoß gegen das Gesetz darstellt.
Welche Tracking-Technologien führen zu den meisten Beschwerden?
Die Kläger suchen nach bestimmten Technologien, die Besucherdaten oder eingegebene Informationen vor der Einwilligung an Dritte übermitteln.
| Ortungstechnologie | Warum es gezielt eingesetzt wird |
| Meta-Pixel/das Facebook-Pixel | Das am häufigsten genannte Tool. Es übermittelt Seitenaufrufe, Ereignisse und Identifikatoren an Meta. |
| Google Ads-Conversion- und Remarketing-Tags | Konversions- und Zielgruppendaten für Werbezwecke an Google senden. |
| Google Analytics | Sehr verbreitet und wird oft genannt, da es Seitenpfade, Ereignisse und Identifikatoren erfasst. |
| TikTok-Pixel | Sendet Ereignisse und Identifikatoren zu Werbe- und Auswertungszwecken an TikTok. |
| LinkedIn Insight Tag | Übermittelt professionelle Zielgruppen- und Konversionsdaten an LinkedIn. |
| Tools zur Wiedergabe und Aufzeichnung von Sitzungen | Stellt die gesamte Sitzung eines Besuchers rekonstruiert und kann Formulareingaben sowie Bildschirminhalte erfassen. |
| Heatmap- und Verhaltensanalyse-Tools | Klicks, Bildlauf, Bewegungen und manchmal auch Tastenanschläge aufzeichnen. |
| Live-Chat-Lösungen und Chatbots von Drittanbietern | Das Risiko steigt, wenn Gesprächsinhalte oder Identifikatoren über einen externen Anbieter geleitet werden. |
| Suchfelder und Formulare auf der Website | Die Eingaben eines Besuchers an einen Dritten weiterleiten. In einer aktuellen Welle von Beschwerden geht es darum, dass ein in ein Suchfeld eingegebener Name oder eine Suchanfrage vor Einholung der Einwilligung an einen Analyse- oder Werbedienst gesendet wird. |
Diese Liste ändert sich, sobald neue Instrumente auf den Markt kommen und sich die Rechtsprechung weiterentwickelt; betrachten Sie sie daher bitte als Ausgangspunkt.
Die entscheidende Frage ist immer dieselbe: Erhält ein Dritter Daten, bevor der Besucher eine Auswahl getroffen hat?
Wichtige Gerichtsurteile aus dem Jahr 2025
Im Jahr 2025 gab es mehrere wichtige Gerichtsurteile, die sich auf die Einwilligung zum Tracking auf Websites im Rahmen des CIPA auswirkten, darunter die folgenden:
- Lakes gegen Ubisoft (N.D. Cal. 2025): Es wurde betont , dass eine Einwilligung über Banner/Nutzungsbedingungen Ansprüche nach dem Wiretap Act, dem kalifornischen Gesetz zum Schutz der Privatsphäre (CIPA) und dem Video Privacy Protection Act (VPPA) ausschließt.
- Saedi gegen Clearblue (C.D. Cal. 2025): Betrifft Ansprüche nach dem Wiretap Act, die aufgrund der „Parteienausnahme“ ausgeschlossen sind; der Health Insurance Portability and Accountability Act (HIPAA) findet auf nicht unter den Geltungsbereich fallende Einrichtungen keine Anwendung. Die Klage wurde mit der Möglichkeit zur Klageänderung abgewiesen, wobei das Gericht „ernsthafte Zweifel“ daran äußerte, dass die Mängel behoben werden könnten.
- Torres gegen Prudential (2025): Für eine Haftung des Anbieters ist der Nachweis erforderlich , dass die Daten „während der Übertragung“ gelesen wurden. In diesem Fall ging es um eine Software zur Sitzungswiedergabe (ActiveProspect) und nicht um Tracking-Pixel. Das Gericht entschied, dass Daten aus der Sitzungswiedergabe erst nach der Speicherung und Rekonstruktion lesbar werden, sodass die Voraussetzung „während der Übertragung“ nicht erfüllt war.
In der nachstehenden Tabelle sind außerdem mehrere aktuelle Urteile des kalifornischen Superior Court aus den Jahren 2024–2025 aufgeführt, die sich auf Klagen gegen das CIPA und das Tracking auf Websites beziehen.
| Gerichtsverfahren | Entscheidung |
| Sanchez gegen Cars.com | Die Klagen bezüglich Pen-Registern wurden abgewiesen, mit der Begründung, dass das CIPA nicht für Pen-Register gelte. |
| Casillas gegen Transitions Optical | Es wurde festgestellt, dass die Erfassung von IP-Adressen eine normale Funktion der Website darstellt und keine illegale Überwachung ist. |
| Rodriguez gegen Plivo | Es wurde entschieden, dass die routinemäßige Datenerhebung keine Abhörung darstellt |
| Popa gegen Microsoft | Das Gericht stellte fest, dass die durch Tracking-Pixel übermittelten Daten – in der Regel URLs, IP-Adressen oder Gerätekennungen – keine ausreichend privaten Informationen darstellen, um einen Schaden nachzuweisen. Anmerkung: Dieser Fall wurde gemäß dem „Wiretapping and Electronic Surveillance Control Act“ (WESCA) des Bundesstaates Pennsylvania und nicht gemäß dem CIPA verhandelt und aufgrund verfassungsrechtlicher Bedenken hinsichtlich der Klagebefugnis entschieden, nicht aufgrund der Begründetheit einer Klage wegen Abhörens. Der Rahmen für die Klagebefugnis wurde seitdem auf CIPA-Fälle angewendet (z. B. Khamooshi v. Politico LLC, N.D. Cal. 2025) |
| Gutierrez gegen Converse (9. Bundesberufungsgericht, Juli 2025) | Das Gericht bestätigte das Urteil im summarischen Verfahren gegen eine Klage gemäß § 631(a), wobei in einer beipflichtenden Stellungnahme in Frage gestellt wurde, ob die Bestimmung zur Abhörung überhaupt auf die Kommunikation über das Internet anwendbar ist. |
Richter erkennen zunehmend, dass die Anwendung eines Abhörgesetzes aus den 1960er Jahren auf moderne Website-Funktionen grundlegende Internetaktivitäten illegal machen würde.
Wie ein Gericht feststellte, würde die Einstufung der routinemäßigen Erfassung von IP-Adressen als Abhörmaßnahme „die Gefahr bergen, routinemäßige Website-Funktionen unter Strafe zu stellen und den normalen Internetbetrieb zu beeinträchtigen.“ (IP- und Medienrecht)
In mehreren jüngsten Urteilen wurden Klagen aus Gründen der Klagebefugnis oder der Begründetheit abgewiesen, da der Kläger keinen tatsächlichen Verstoß gegen das Recht auf Privatsphäre nachweisen konnte.
Die Ergebnisse sind jedoch nach wie vor gemischt, und Theorien wie das „Pen Register“ oder „Trap-and-Trace“ gemäß den §§ 638.50 bis 638.51 sind weiterhin Gegenstand intensiver Rechtsstreitigkeiten, wobei die Gerichte geteilter Meinung sind.
So hat das Gericht beispielsweise in der Rechtssache Mikulsky gegen Bloomingdale’s (9. Cir. 2025) eine CIPA-Klage wieder aufgenommen und entschieden, dass die Klägerin hinreichend dargelegt habe, dass der „Inhalt“ ihrer Kommunikation in Echtzeit von einem externen Anbieter von Sitzungsaufzeichnungsdiensten erfasst worden sei.
Dies zeigt, dass CIPA-Klagen unter bestimmten Sachverhaltskonstellationen weiterhin zulässig sind.
Inwiefern unterscheidet sich das CIPA von den kalifornischen Datenschutzgesetzen?
Das CIPA ist ein kalifornisches Gesetz zur Abhörung, das sich von den Datenschutzgesetzen des Bundesstaates unterscheidet:
- Datenschutzgesetze: Diese basieren auf einem Opt-out-Modell und legen den Schwerpunkt auf Transparenz und die Kontrolle der Nutzer über die Erhebung und Verarbeitung ihrer personenbezogenen Daten.
- Gesetze zur Telefonüberwachung: Diese schreiben die Zustimmung aller Beteiligten vor und beziehen sich auf das heimliche Abhören von Kommunikation.
Jede Rechtsart zeichnet sich durch unterschiedliche Standards, Rechtsbehelfe und Durchsetzungsmaßnahmen aus.
Muss ich gemäß dem CIPA die Einwilligung der Nutzer einholen, um diese zu verfolgen?
Sie sollten die ausdrückliche Einwilligung des Nutzers einholen, bevor jegliches Tracking beginnt.
Das CIPA verbietet ausdrücklich, den Inhalt der Kommunikation einer anderen Person ohne die Zustimmung aller beteiligten Parteien zu lesen oder in Kenntnis zu nehmen.
Wenn sie aktiviert sind, können Funktionen zur automatischen Skriptblockierung wie TermlyWebsites dabei helfen, solche technischen Anforderungen zu erfüllen.
Überprüfen Sie Ihre Website regelmäßig, um sicherzustellen, dass Ihre Tags korrekt kategorisiert sind und dass Tools von Drittanbietern tatsächlich auf die Einwilligungssignale reagieren und diese berücksichtigen.
Um sicherzustellen, dass Ihre Tags die Einwilligungsvorschriften tatsächlich einhalten, testen Sie die Live-Website in einer neuen Browsersitzung als Besucher aus Kalifornien.
- Öffnen Sie die Registerkarte „Netzwerk“, bevor die Seite geladen wird, und stellen Sie sicher, dass nur unbedingt notwendige Tracking-Elemente geladen werden, bevor der Nutzer eine Auswahl trifft.
- Klicken Sie anschließend auf „Ablehnen“ und vergewissern Sie sich, dass die nicht wesentlichen Tracker weiterhin blockiert bleiben. Klicken Sie dann in einer neuen Sitzung auf „Akzeptieren“ und vergewissern Sie sich, dass sie erst dann ausgelöst werden.
- Stellen Sie sicher, dass im Kopfbereich der Seite nichts fest codiert ist, da ein dort fest codiertes Pixel bereits ausgelöst werden kann, bevor die Einwilligungsplattform oder der Tag-Manager es blockieren kann.
- Falls Ihre Plattform es einer bestimmten, nicht wesentlichen Technologie erlaubt, den Blocker zu umgehen, denken Sie daran, dass alle aufgeführten Elemente vor der Einwilligung ausgeführt werden und genau das Risiko wiederherstellen, das der Blocker beseitigt.
- Blockieren Sie die oben aufgeführten Tools mit hohem Risiko so lange, bis eine Einwilligung vorliegt, und reservieren Sie eine eventuelle Zulassungsliste – sofern überhaupt verwendet – für First-Party-Tools mit geringerem Risiko.
Kann ich zuerst Daten erfassen und dann ein cookie consent anzeigen?
Es stellt ein Compliance-Risiko dar, zunächst Daten zu erfassen und erst danach ein cookie consent anzuzeigen. Tracking-Skripte sollten erst dann geladen werden, wenn der Nutzer ihnen zugestimmt hat. Funktionen, mit denen sich diese standardmäßig blockieren lassen, können Websites dabei helfen, diese Richtlinie einzuhalten.
Wann der Einsatz von Tracking-Tools wahrscheinlich nicht als „Abhören“ gilt
Im Folgenden werden einige mögliche Fälle aufgeführt, in denen der Einsatz von Tracking-Tools wahrscheinlich nicht als „Abhören“ gilt.
Keine „geheime Überwachung“ dank Transparenz und Einwilligungsmechanismen
Es ist unwahrscheinlich, dass Tracking-Tools als „Abhören“ im Sinne der jüngsten Rechtsprechung in Fällen wie Javier gegen Assurance IQ , als „Abhören“ im Sinne der jüngsten Rechtsprechung eingestuft werden, sofern Transparenz gewahrt wird und auf der Website ein ordnungsgemäßer Einwilligungsmechanismus vorhanden ist.
Mit anderen Worten: Es findet keine „geheime Überwachung“ statt.
Dazu könnten beispielsweise folgende Punkte gehören:
- Einbindung eines Einwilligungsbanners, das geladen wird, bevor nicht unbedingt erforderliche Tracking-Funktionen ausgelöst werden, um den Nutzern die Möglichkeit zu geben, den Hinweis zu Cookies zu sehen und zu lesen und eine fundierte Entscheidung zu treffen.
- Es wird eine Datenschutzerklärung bereitgestellt, in der genau dargelegt wird, welche Tracking-Technologien von der Website verwendet werden, welche Daten dabei erfasst werden und an welche Dritten diese weitergegeben werden.
- Es steht ein vorschriftsmäßiger Link mit der Aufschrift „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“ zur Verfügung, wie es der California Consumer Privacy Act (CCPA) für Besucher aus Kalifornien bereits vorschreibt.
- Erkennung von Global Privacy Control (GPC)-Signalen, wodurch die gewissenhafte Berücksichtigung der Datenschutzpräferenzen der Nutzer unterstrichen wird.
- Angemessen kategorisierte Tags, sodass die Einwilligungssignale tatsächlich darüber entscheiden, ob das Tracking ausgelöst wird oder nicht.
- Ein Einstellungscenter, das der Besucher jederzeit erneut öffnen kann, sowie eine dauerhaft angezeigte Schaltfläche, sodass die Einwilligung auch lange nach dem ersten Besuch noch überprüft, geändert oder widerrufen werden kann und nicht nur einmalig erteilt wird. In Termly handelt es sich dabei um das Einstellungscenter, das über den Link „Einwilligungseinstellungen“ geöffnet wird, sowie um das Symbol für das Einstellungscenter – eine kleine, stets sichtbare Schaltfläche, die Sie in den Einstellungen Ihres Einwilligungsbanners aktivieren können.
- Überprüfen Sie im Google Tag Manager unabhängig, ob Ihre Tags tatsächlich auf die Einwilligung warten. Nutzen Sie den Vorschau-Modus des Google Tag Managers, der auf dem Tag Assistant basiert, um die Website als Erstbesucher ohne vorherige Einwilligung zu laden, und vergewissern Sie sich, dass Werbe- und Analyse-Tags unter „Tags nicht ausgelöst“ verbleiben, bis eine Entscheidung getroffen wurde, und erst nach Erteilung der Einwilligung in den Bereich „Tags ausgelöst“ verschoben werden. Leiten Sie jedes nicht essenzielle Tag über einen zustimmungsbasierten Trigger oder die Zustimmungseinstellungen von Google und führen Sie die Vorschau nach jeder Änderung erneut durch, damit Sie auf wiederholbare Weise nachweisen können, dass nichts vorzeitig ausgelöst wird.
Angesichts dieser sieben Elemente lässt sich nur schwer behaupten, dass es sich um eine heimliche Erfassung handelte, insbesondere wenn die Offenlegung sehr deutlich ist und keine Pixel ausgelöst werden, bevor der Nutzer eine Auswahl getroffen hat.
Die „Party-Ausnahme“ beim Anbieter Nuance
Nach kalifornischem Recht können die an einer Kommunikation beteiligten Parteien gemäß dem Urteil in der Rechtssache Ribas gegen Clark aus dem Jahr 1985 ihre eigenen Kommunikationen technisch gesehen nicht „abhören“.
Man könnte daher annehmen, dass Website-Betreiber an allen Interaktionen auf ihrer Website beteiligt sind und sich nicht selbst abhören können.
Dies führt jedoch zu einer Haftung für Drittanbieter, die auf die Daten der Website zugreifen und diese für eigene Zwecke nutzen.
Keine „Kommunikation während der Übertragung“
Beim Website-Tracking erfolgt die Datenerhebung in der Regel durch den vorgesehenen Empfänger der Daten, beispielsweise die Website selbst. Dies unterscheidet sich in vielerlei Hinsicht grundlegend vom Abfangen von Kommunikation zwischen anderen Parteien.
In der Regel unterscheiden Gerichte zwischen technischen Metadaten wie IP-Adressen, Gerätetyp und Browserinformationen einerseits und geschützten Kommunikationsinhalten andererseits.
Die Grenze könnte jedoch verschwimmen, wenn bei dieser Nachverfolgung URLs oder Formulareingaben erfasst werden, die sensible personenbezogene Daten einer Person offenlegen, wie beispielsweise beim Surfen eingegebene Gesundheitsdaten, bestimmte Finanzdaten oder Anmeldedaten.
Die Bedeutung des Einsatzes einer Consent Management Platform CMP)
Kalifornische Gesetze wie das CIPA, das „California Comprehensive Data Access and Fraud Act“ (CDAFA) und das Gesetz gegen unlauteren Wettbewerb (UCL) sind aufgrund der jüngsten Welle von Klagen wegen Web-Tracking in Kalifornien, insbesondere im Zusammenhang mit Pixeln, Session-Replay-Tools und ähnlichen Technologien, immer häufiger in den Fokus gerückt.
Einsatz einer consent management platform kann dazu beitragen, das Risiko für eine Website zu verringern, indem den Nutzern klare Hinweise und die Möglichkeit zur Einwilligung (Opt-in) sowie zum GPC geboten werden und sichergestellt wird, dass nicht unbedingt erforderliche Tags erst nach der Einwilligung ausgelöst werden
Außerdem tragen sie dazu bei, dass diese nicht unbedingt erforderlichen Tags und Cookies blockiert werden, wenn sich jemand abmeldet – je nachdem, wie Sie die Einstellungen vorgenommen haben.
Allerdings reicht ein CMP allein nicht aus, um eine Website konform zu machen.
Was zählt, ist:
- Ob Einwilligungssignale tatsächlich die Tracking-Technologien steuern,
- Welche Daten sie erheben und weitergeben, und
- Ob die Angaben zum Datenschutz (wie Datenschutzrichtlinien und Cookie-Hinweise) mit der tatsächlichen Praxis übereinstimmen.
Das Einwilligungsbanner Termlyhilft Nutzern dabei, Skripte und Cookies zu blockieren, bis eine Einwilligung erteilt wurde, und erkennt Besucher aus Kalifornien automatisch, um ihnen die entsprechenden Optionen anzuzeigen.
Außerdem unterstützen wir Sie dabei, Ihre Datenschutzerklärung zu erstellen und stets auf dem neuesten Stand zu halten, einschließlich der in Kalifornien vorgeschriebenen Angaben.
Termly können das CMP für Kalifornien im „Opt-In“-Modus konfigurieren, der tatsächlich strengere Anforderungen stellt, als es das kalifornische Recht vorschreibt, und Folgendes umfasst:
- „Opt-In: Vor dem Tracking um Einwilligung bitten“: Dies ist die Option, die den Datenschutz am besten gewährleistet; sie wird jedoch außer Kraft gesetzt, wenn der automatische Blocker auf der Website deaktiviert wird.
- Option „Meine Daten nicht verkaufen oder weitergeben“ aktiviert: Erforderlich zur Einhaltung des CCPA.
- „Respect GPC“-Signal aktiviert: Zeigt die Einhaltung der Datenschutzbestimmungen in gutem Glauben an .
- Die Schaltflächen „Ablehnen“ und „Einstellungen“ sind aktiviert: Dies gibt den Benutzern die volle Kontrolle.
Ein Hinweis zur Vorsicht, bevor Sie Kalifornien auf das Opt-in-Verfahren umstellen.
Die „Opt-in-vor-der-Erfassung“-Methode ist die wirksamste Antwort auf die Theorie der Einwilligung aller Beteiligten, geht jedoch über die üblichen Anforderungen des California Consumer Privacy Act hinaus und führt in der Praxis zu einer drastischen Verringerung der von Ihnen erfassten Tracking-Daten, da die meisten Besucher niemals auf „Akzeptieren“ klicken.
Wenn Ihre Werbe- und Analysetechnologien von einer Einwilligung abhängig sind und nur wenige Personen ihre Einwilligung erteilen, werden diese Technologien nur selten ausgelöst. Einfach ausgedrückt: Das Opt-in-Verfahren macht den Großteil Ihres Trackings in Kalifornien zunichte.
Die Folgen sind konkret:
- Deutlich geringere Mengen an Analysedaten,
- Kleinere oder leere Werbe- und Retargeting-Zielgruppen,
- Eine weniger aussagekräftige Conversion-Nachverfolgung und Attribution,
- Weniger zuverlässige Messung der Kampagnenleistung,
- Geringere Rendite der Werbeausgaben,
- Geringere Personalisierung.
Der California Consumer Privacy Act selbst schreibt für die meisten Formen der Nachverfolgung von Erwachsenen lediglich ein Opt-out vor, während ein Opt-in auf begrenzte Fälle beschränkt ist, wie beispielsweise den Verkauf oder die Weitergabe personenbezogener Daten von Verbrauchern, von denen bekannt ist, dass sie unter 16 Jahre alt sind.
Es handelt sich also um eine geschäftliche Entscheidung, bei der messbare Marketingergebnisse zugunsten einer möglichst starken Position in Rechtsstreitigkeiten zurückgestellt werden.
Entscheiden Sie, wo auf diesem Spektrum Sie sich positionieren möchten, und halten Sie diese Entscheidung schriftlich fest.
Was tun, wenn Sie ein Mahnschreiben erhalten?
Sollten Sie ein Mahnschreiben erhalten, ignorieren Sie es nicht und zahlen Sie nicht reflexartig.
Wenn Sie das Schreiben ignorieren, kann daraus eine Klage werden, und wenn Sie zahlen, ohne den Anspruch zu prüfen, finanzieren Sie damit ein System, das Ihnen das nächste Schreiben zusendet. Befolgen Sie diese Schritte der Reihe nach.
1. Beweismittel sichern und das Gespräch lenken
Tragen Sie die Frist in den Kalender ein und leiten Sie das Schreiben an einen internen Verantwortlichen weiter – nicht an Mitarbeiter, die möglicherweise informell antworten oder Tatsachen zugeben könnten.
Bewahren Sie das Schreiben und dessen Kopfzeilen, aktuelle Screenshots der Website, Ihre Einstellungen auf der Einwilligungsplattform, einen Export aus dem Tag-Manager, die Liste der installierten Plugins und Apps, die Ergebnisse der Cookie- und Tracker-Prüfung, Netzwerktests, Einwilligungsprotokolle sowie die zum Datum des Schreibens geltenden Fassungen der Datenschutz- und Cookie-Richtlinien unverzüglich auf.
Entfernen Sie die Ortungsgeräte nicht heimlich, bevor Sie die Beweise gesichert haben, denn es ist zwar gut, den Tatort zu sichern, aber es ist nicht gut, wenn es so aussieht, als wären Beweise vernichtet worden.
2. Überprüfen Sie zunächst Ihren Versicherungsschutz
Prüfen Sie alle Policen in den Bereichen Cyber-Haftpflicht, Medienhaftpflicht, Technologie-Fehl- und Unterlassungshaftpflicht sowie allgemeine Haftpflicht auf den Versicherungsschutz bei unrechtmäßiger Datenerhebung, Datenschutzverletzungen, Medien- oder Internetaktivitäten und benachrichtigen Sie den Versicherer unverzüglich, falls dies in der Police vorgeschrieben ist.
Viele Versicherungsverträge schließen mittlerweile Ansprüche wegen Verfolgung, Abhören oder unrechtmäßiger Datenerhebung aus; lesen Sie daher den Wortlaut sorgfältig durch. Sollten Sie jedoch versichert sein, übernimmt der Versicherer möglicherweise die Kosten für die Abwehrmaßnahmen.
3. Führen Sie eine Selbstprüfung durch, bevor Sie Zahlungen leisten
Viele Briefe sind nach einem festen Muster verfasst, und die Behauptung ist möglicherweise weniger stichhaltig, als es auf den ersten Blick scheint. Beantworten Sie diese Fragen anhand von Belegen:
- Gab es den genannten Tracker tatsächlich auf der Website?
- Wurde es ausgelöst, bevor der Besucher seine Einwilligung erteilt hatte, erst nach der Einwilligung oder wurde es für Besucher aus Kalifornien blockiert?
- Was wurde übertragen: Seitenpfade, Identifikatoren, Formulareingaben, Suchbegriffe, Chat-Inhalte, Wiedergabedaten oder Daten zu Werbeereignissen?
- Was geht aus Ihren Einwilligungsprotokollen für das angegebene Datum hervor?
- Stimmt das, was Ihr Banner und Ihre Datenschutzerklärung versprechen, mit dem überein, was die Tracker tatsächlich getan haben?
Sollte der genannte Tracker nicht vorhanden sein, erst nach einer Einwilligung aktiviert werden oder für Kalifornien blockiert sein, ist dies ein nützliches Argument, das man den Anwälten an die Hand geben kann.
Speichern Sie jedes Ergebnis als Screenshot mit Datumsangabe oder als Exportdatei.
4. Holen Sie sich eine Rechtsauskunft in passender Länge
Schließen Sie keinen Vertrag über die vollständige Vertretung in einem Rechtsstreit ab, solange die Angelegenheit nicht bereits zu einer eingereichten Klage, einem Schlichtungsantrag oder einer verbindlichen gerichtlichen Frist eskaliert ist.
Es gibt kostengünstigere Wege, einen Rechtsbeistand zu finden – hier ein Beispiel:
Kostenlose und kostengünstige Optionen:
- Die von der Anwaltskammer von Kalifornien zertifizierten Anwaltsvermittlungsdienste vermitteln Ihnen einen geprüften, versicherten Anwalt für eine Erstberatung zu einem ermäßigten Honorar oder kostenlos. Suchen Sie unter calbar.ca.gov nach Landkreis und Rechtsgebiet.
- Der Dienst „SmartLaw“der Anwaltskammer des Bezirks Los Angeles erhebt keine Vermittlungsgebühr und umfasst eine kostenlose Beratung von bis zu zwanzig Minuten unter smartlaw.org oder unter der Telefonnummer 1-866-762-7852.
- Die Anwaltskammer von San Francisco (SF-Marin-Service) erhebt unter sfbar.org eine Gebühr von 35 Dollar für eine Vermittlung, die eine erste 30-minütige Beratung umfasst.
- Die Anwaltskammer des Santa Clara County erhebt eine Verwaltungsgebühr in Höhe von 45 Dollar und bietet unter sccba.com eine kostenlose Erstberatung von 30 Minuten an.
Mehrere auf Datenschutzrecht spezialisierte Anwaltskanzleien bieten eine kostenlose Erstberatung zur Beantwortung eines solchen Schreibens an und nehmen direkt Kontakt mit dem Anspruchsteller auf.
Optionen mit Festpreis und begrenztem Leistungsumfang:
- Bitten Sie einen Anwalt um eine auf einen begrenzten Umfang beschränkte oder „unbundled“ Dienstleistung gegen eine Pauschalgebühr: ein einzelnes, genau definiertes Leistungsziel, wie beispielsweise die Prüfung des Schreibens und Ihrer Einwilligungsprotokolle sowie die Ausarbeitung einer Antwort, anstatt eines offenen Mandats. Sollte es zu einer Klage kommen, wird in der Regel auf eine Abrechnung nach Stundensatz umgestellt.
- Auf geprüften Rechtsmarktplätzen können Sie Ihren Fall einstellen und Pauschalangebote einholen, beispielsweise bei UpCounsel und Priori Legal, die beide über Fachbereiche für Datenschutz verfügen, sowie bei ContractsCounsel für Dokumentenarbeiten mit festgelegtem Umfang.
Lassen Sie die billigen Tools für Mahnschreiben mit Pauschalgebühr links liegen, die bei einer Suche ganz oben erscheinen, denn diese erstellen Schreiben, die an jemanden versendet werden sollen – und dienen nicht dazu, ein Unternehmen zu verteidigen, das ein solches Schreiben erhalten hat.
Um die Fachkompetenz eines Anwalts zu überprüfen, sollten Sie beachten, dass die International Association of Privacy Professionals kein Verzeichnis zur Vermittlung von Anwälten ist.
Nutzen Sie dies als Kriterium für die Qualifikationsprüfung und achten Sie auf die von der American Bar Association anerkannte Bezeichnung „Privacy Law Specialist“ oder zumindest auf die Qualifikationen „Certified Information Privacy Professional for the United States“ und „Certified Information Privacy Manager“.
5. Die Grundursache parallel beheben
Selbst wenn Sie sich einigen, kann dieselbe Stelle den nächsten Anspruchsteller anziehen – beheben Sie das Problem daher jetzt:
- Nicht unbedingt erforderliche Tracker vor der Einwilligung blockieren,
- Festsetzene Pixel entfernen,
- Aktivieren Sie die automatische Blockierung,
- Honor Global Privacy Control,
- Passen Sie Ihre Hinweise an das tatsächliche Verhalten an und
- Führen Sie ab sofort Einwilligungsprotokolle.
Termly kann Ihnen dabei helfen, eine Selbstprüfung durchzuführen und diese Maßnahmen umzusetzen.
Wenden Sie sich natürlich bei Bedarf an einen qualifizierten Rechtsbeistand, um sich beraten zu lassen oder die Sachlage zu klären, insbesondere angesichts der sich ständig weiterentwickelnden Rechtslage bei CIPA-Rechtsstreitigkeiten.
HAFTUNGSAUSSCHLUSS: Dieser Inhalt dient ausschließlich zu Informationszwecken und stellt keine Rechtsberatung dar. Er spiegelt den Stand der Rechtslage zum 1.7.2026 wider. Die Rechtsprechung zu CIPA-Rechtsstreitigkeiten entwickelt sich rasch weiter, und neue Urteile können die obige Analyse ändern. Für eine spezifische Rechtsberatung bezüglich Ihrer Situation, einschließlich der Frage, ob Sie auf ein Aufforderungsschreiben oder eine Klage reagieren sollten, wenden Sie sich bitte an einen qualifizierten Rechtsbeistand, der Erfahrung mit Rechtsstreitigkeiten im Bereich Datenschutz und Abhörrecht in Kalifornien hat. Termly consent management platform und erbringt keine Rechtsdienstleistungen.
Geschrieben von Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic ist Rechtsberaterin und Director of Global Privacy Termly. Sie hat einen Abschluss in Rechtswissenschaften der Universität Belgrad. Sie ist spezialisiert auf die Umsetzung, Überwachung und Prüfung der Einhaltung von Datenschutzbestimmungen (HIPAA, PIPEDA, ePrivacy-Richtlinie, DSGVO, CCPA, POPIA, LGPD) durch Unternehmen.
Alle Beiträge von Masha Komnenic CIPP/E, CIPM, CIPT, FIP lesen
