Kaliforniens Löschplattform für Datenhändler hat jetzt Zähne, und die meisten Händler sind nicht bereit

Kaliforniens Delete Request and Opt-Out Platform, bekannt als DROP, ging im Januar 2026 als einheitliches Portal live, über das ein Verbraucher die Löschung seiner personenbezogenen Daten bei allen im Bundesstaat registrierten Datenhändlern auf einmal beantragen kann. Auf dem Papier klang das nach einer Komfortfunktion. Seit dem 1. August 2026 ist daraus für die Datenhändlerbranche eher ein rechtliches Minenfeld geworden: Registrierte Händler müssen nun DROP-Löschanfragen bearbeiten, und wer das nicht tut, löst eine Strafe von 200 $ pro Anfrage und Tag aus, die sich für jede fehlerhaft bearbeitete oder ignorierte Anfrage aufsummiert.

Wie DROP tatsächlich funktioniert

Die Mechanik ist wichtig, weil sie erklärt, warum die Einhaltung schwieriger ist, als es klingt. Ein Verbraucher authentifiziert sich über ein Identitäts-Gateway oder Login.gov und stellt eine Löschanfrage. Datenhändler erhalten diese Anfrage nicht in Echtzeit – sie sind verpflichtet, ausstehende Anfragen mindestens alle 45 Tage über standardisierte Verbraucherkennungen abzurufen und die Bearbeitung dann innerhalb von 90 Tagen nach Abruf abzuschließen. Die California Privacy Protection Agency (CalPrivacy) stellt eine API und eine Sandbox-Umgebung bereit, damit Händler den DROP-Abruf in ihre bestehenden Datenpipelines integrieren können, zusammen mit Anforderungen an Sperrlisten, um zu verhindern, dass zuvor gelöschte Datensätze durch neue Datenerfassung wieder hinzugefügt werden.

Diese Anforderung des 45-tägigen Abfragens ist der Teil, der Händler auf dem falschen Fuß erwischt. Sie geht davon aus, dass Löschung ein routinemäßiger, automatisierbarer Pipeline-Vorgang ist. Für Händler, deren Backend nie auf Löschung auf Einzelebene ausgelegt war – viele Datenhändler-Geschäfte sind auf Massenerfassung und -weiterverkauf ausgelegt, nicht auf granulare Löschung pro Datensatz –, ist die Nachrüstung dieser Fähigkeit unter dem Druck einer gesetzlichen Frist ein echtes technisches Projekt, kein bloßes Häkchen auf einer Compliance-Liste.

Die Strafstruktur wurde bewusst schmerzhaft gestaltet

Registrierungsversäumnisse allein zogen seit 2024 eine Strafe von 200 $ pro Tag nach sich, zuzüglich der Ermittlungskosten von CalPrivacy. Die neue Strafe für die Löschbearbeitung kommt noch obendrauf, und da sie pro Anfrage und Tag gilt, skaliert das Risiko direkt mit der Anzahl kalifornischer Verbraucher, die DROP-Anfragen einreichen, und der Geschwindigkeit, mit der ein Händler diese bearbeitet. Für einen Datenhändler mit Datensätzen über Millionen von Kalifornierinnen und Kaliforniern ist eine langsame Einführung der Löschinfrastruktur keine kleine Compliance-Lücke – sie ist eine Haftung, die sich täglich und öffentlich summiert, da CalPrivacy-Durchsetzungsmaßnahmen öffentlich einsehbar sind.

Das ist längst nicht mehr nur ein Thema Kaliforniens

Kalifornien hat die ausgereifteste Umsetzung, ist aber nicht allein. Sowohl Texas als auch Oregon haben auf Bundesstaatenebene Registrierungspflichten für Datenhändler eingeführt, ebenso wie Vermont, das in diesem Bereich früher aktiv war. Global Privacy Control – ein browserseitiges Opt-out-Signal – muss inzwischen in Kalifornien rechtlich verbindlich beachtet werden und hat vergleichbares Gewicht in den umfassenden Datenschutzgesetzen von Colorado, Connecticut, Montana und Oregon selbst. Für jedes Unternehmen, das ein Datenhändlergeschäft betreibt – oder jedes Unternehmen, das gelegentlich Verbraucherdaten auf eine Weise verkauft oder teilt, die der Definition eines Händlers in einem Bundesstaat entspricht, was breiter gefasst ist, als die meisten Unternehmen annehmen –, ist dies kein Compliance-Problem eines einzelnen Bundesstaats mehr. Es ist ein Flickenteppich aus mehreren Bundesstaaten, der nur weitere Zuständigkeiten hinzufügen wird.

Um diese Lücke bildet sich eine Compliance-Branche

Immer wenn eine regulatorische Frist echte finanzielle Risiken und echte technische Komplexität schafft, folgt ein Markt, der diese Lücke schließt. Anbieter von Datenschutz-Compliance-Lösungen bauen DROP-Integrationstools speziell für den 45-Tage-Abfragezyklus und die Pflege der Sperrliste, und positionieren sich als Schicht zwischen der bestehenden Datenpipeline eines Händlers und der API von CalPrivacy. Das ist ein vorhersehbares Muster – SOC-2-Prüfer, DSGVO-Berater und CCPA-Compliance-Plattformen entstanden alle auf dieselbe Weise, nachdem ihre jeweiligen Fristen eine Haftung geschaffen hatten, die interne Teams personell nicht allein bewältigen konnten.

Was das bedeutet, wenn Datenschutz Ihr Unternehmen betrifft

Wenn Sie etwas betreiben, das der Definition eines Datenhändlers in Kalifornien, Texas, Oregon oder Vermont entsprechen könnte – und die Definitionen sind breiter gefasst als "wir verkaufen Verbraucherdaten als Kerngeschäft" und schließen oft jeden regelmäßigen Verkauf oder jede Lizenzierung personenbezogener Daten ein, die über Personen erfasst wurden, zu denen keine direkte Beziehung besteht –, prüfen Sie jetzt Ihren Registrierungsstatus, nicht erst nach einem Durchsetzungsschreiben. Wenn Sie bereits registriert sind, überprüfen Sie, ob Ihre DROP-Abrufpipeline tatsächlich in einem Zyklus von unter 45 Tagen abfragt und ob der Abschluss der Löschung protokolliert und überprüfbar ist; eine manuelle, e-mailbasierte Löschbearbeitung wird der Prüfung nicht standhalten, sobald die tägliche Strafuhr läuft. Und wenn Sie als Verbraucher die Löschung Ihrer eigenen Daten wünschen, ist DROP gerade wegen dieses Durchsetzungsdrucks wirklich nützlich – reichen Sie eine einzige Anfrage über die Plattform von CalPrivacy ein, statt einzelne Opt-outs bei Dutzenden Händlern hinterherzujagen, und rechnen Sie damit, dass sie jetzt tatsächlich bearbeitet wird, da das Ignorieren Händler echtes Geld kostet.