Californias Delete Act tritt in Kraft und zwingt data brokers dazu, die Ein-Klick-Löschung zu respektieren

Mit dem 1. August 2026 erreicht Californias Delete Act (SB 362) seinen folgenreichsten Meilenstein: data brokers, die im Bundesstaat tätig sind, sind nun gesetzlich verpflichtet, Löschanfragen zu bearbeiten, die über DROP eingereicht werden – die Delete Request and Opt-out Platform der California Privacy Protection Agency (CPPA). Es ist das erste Mal in der Geschichte der Vereinigten Staaten, dass Verbraucher ihre persönlichen Daten bei Hunderten von data brokers mit einer einzigen Anfrage löschen lassen können, anstatt jedes Unternehmen einzeln kontaktieren zu müssen.

Der Mechanismus ist es, der das Gesetz so bedeutsam macht. Seit dem 1. Januar 2026 können Einwohner Californias über DROP eine einmalige Löschanfrage stellen. Ab heute kehrt sich die Verpflichtung um und trifft nun die Branche: Jeder data broker, der bei der CPPA registriert ist, muss mindestens alle 45 Tage auf die Plattform zugreifen, die Liste der Verbraucher abrufen, die eine Löschung beantragt haben, und deren personenbezogene Daten entfernen – und anschließend seine eigenen Dienstleister und Auftragnehmer anweisen, dasselbe zu tun. Eine Anfrage, die DROP erreicht, wird nun gleichzeitig an alle registrierten Broker weitergeleitet.

Das ist deshalb so bedeutsam, weil die data broker-Branche seit Jahrzehnten in nahezu vollständiger Verborgenheit agiert und dabei still und leise detaillierte Profile zusammenstellt – Standortverläufe, Kaufverhalten, Gesundheitsrückschlüsse, politische Neigungen – über Menschen, die diese Informationen nie wissentlich weitergegeben haben. Nach dem älteren California Consumer Privacy Act (CCPA) konnte ein Einwohner zwar eine Löschung verlangen, jedoch nur, indem er jeden Broker einzeln kontaktierte – eine kaum zu bewältigende Aufgabe angesichts der Hunderten von im Bundesstaat registrierten Broker. Der Anwendungsbereich des Delete Act ist zudem weiter gefasst als der des CCPA: Er verpflichtet die Broker, sämtliche personenbezogenen Daten eines Verbrauchers zu löschen, nicht nur diejenigen, die sie unmittelbar erfasst haben.

Die Compliance-Regeln haben Biss. Kann ein Broker eine Löschanfrage nicht verifizieren, muss er sie dennoch als opt-out vom Verkauf oder der Weitergabe der Daten dieser Person behandeln. Brokern ist es untersagt, neu hinzugekommene Informationen über Personen zu verkaufen oder weiterzugeben, die einen Antrag gestellt haben. Bei Nichteinhaltung drohen Strafen von 200 US-Dollar pro Löschanfrage für jeden Tag, an dem der Broker untätig bleibt, zuzüglich 200 US-Dollar pro Tag für die fehlende Registrierung bei der CPPA – Beträge, die sich bei Tausenden von Anfragen schnell zu erheblichen Summen aufschaukeln. Ab 2028 müssen sich Broker zudem alle drei Jahre einer obligatorischen unabhängigen Prüfung unterziehen.

Im breiteren Datenschutzkontext ist der Delete Act ein Testfall für eine zentralisierte, staatlich betriebene Löschinfrastruktur. Anstatt sich darauf zu verlassen, dass jedes Unternehmen seinen eigenen opt-out-Prozess aufbaut – das fragmentierte Modell, das die US-amerikanische Datenschutzpraxis bislang geprägt hat – hat California eine einzige staatlich betriebene Clearingstelle geschaffen und die Branche gezwungen, sich daran anzuschließen. Wenn DROP wie vorgesehen funktioniert, wird es zur Vorlage, die andere Bundesstaaten und Datenschutzbehörden genau unter die Lupe nehmen werden. Die offenen Fragen betreffen die Durchsetzungskapazitäten der CPPA sowie den Grad, zu dem Broker Daten tatsächlich vollständig löschen, die sie jahrelang zu Geld gemacht haben. Was hingegen keine Frage mehr ist: In California zumindest ist es endlich ein einziger Klick, sich aus der data broker-Wirtschaft zu löschen – und keine Vollzeitbeschäftigung mehr.