Kalifornien startet zentrales Löschportal für persönliche Daten

Sacramento – Mit einem zentralen Löschportal übernimmt Kalifornien weltweit eine Vorreiterrolle im digitalen Datenschutz. Ab sofort können Einwohner des US-Bundesstaates ihre persönlichen Daten bei Hunderten von Datenhändlern mit einem einzigen Klick löschen lassen.

Das Delete Request and Opt-Out Platform (DROP)-System ging heute, am 1. Januar 2026, live. Es ist das Herzstück des sogenannten „Delete Act“, den Gouverneur Gavin Newsom bereits im Oktober 2023 unterzeichnete. Die kalifornische Datenschutzbehörde CPPA vergleicht die Plattform mit einer „Rufnummern-Sperrliste“ für persönliche Informationen.

Ein Klick gegen den Datenhandel

Über die Website der Behörde können Kalifornier ein sicheres Konto einrichten und einen universellen Löschantrag stellen. Dieser wird automatisch an alle beim Staat registrierten Datenbroker weitergeleitet. Bisher mussten Verbraucher jeden der schätzungsweise über 500 Datenhändler einzeln ausfindig machen und kontaktieren, um ihr Recht auf Löschung durchzusetzen.

Unternehmen, die große Mengen personenbezogener Daten verarbeiten, müssen den Datenschutz jetzt praktisch nachweisen – andernfalls drohen hohe Sanktionen. Eine Datenschutz-Folgenabschätzung (DSFA) zeigt, welche Risiken bestehen und wie Sie Löschprozesse rechtskonform gestalten. Mit Muster-Vorlagen und Schritt-für-Schritt-Anleitungen lässt sich die DSFA schnell erstellen und dokumentieren, um Bußgelder (bis zu 2% des Jahresumsatzes) zu vermeiden. Der Leitfaden enthält fertige Vorlagen in Word und Excel sowie praktische Checklisten. Kostenloses DSFA-E-Book herunterladen

„Die Ära der zentralisierten Löschung ist da“, erklärte die CPPA. Die Plattform verschiebe die Machtverhältnisse grundlegend. Datenbroker sammeln oft sensible Informationen – von Standortdaten über Gesundheitsinformationen bis zur Finanzhistorie – meist ohne direktes Wissen der Betroffenen.

Die Nutzung ist für Verbraucher kostenlos. Zur Verhinderung von Missbrauch müssen sie grundlegende Identitätsdaten angeben, die laut Behörde gehasht und ausschließlich für den Abgleich verwendet werden.

Schonfrist für die Datenindustrie

Für die Datenbroker beginnt der Ernstbetrieb erst in sieben Monaten. Ab dem 1. August 2026 sind sie gesetzlich verpflichtet, das DROP-System mindestens alle 45 Tage abzurufen, die darin enthaltenen Löschanträge zu bearbeiten und die entsprechenden Daten innerhalb von 45 Tagen zu löschen.

Die finanziellen Risiken bei Nichtbeachtung sind erheblich: Pro nicht bearbeitetem Löschantrag können 200 US-Dollar pro Tag fällig werden. Dieselbe Strafe droht Unternehmen, die sich nicht bei der CPPA registrieren.

Rechtsexperten sehen in der Schonfrist eine notwendige Übergangsphase für die Technikanpassung. Während große Datenaggregatoren vorbereitet seien, könnten kleinere Firmen mit den Anforderungen der „One-Stop“-Lösung kämpfen.

Vorbildfunktion für die USA und Europa?

Das DROP-Portal schließt eine Lücke im kalifornischen Verbraucherdatenschutzgesetz (CCPA). Dieses gewährte zwar Löschrechte, machte deren Ausübung aber praktisch unmöglich. Der „Delete Act“ kehrt die Beweislast um: Nicht der Verbraucher muss die Händler finden, sondern die Händler müssen die Löschanträge abrufen.

Unter der Leitung von Tom Kemp, einem langjährigen Datenschutzaktivisten, hat die CPPA zwei Jahre an den technischen Standards gearbeitet. Behördenvertreter bezeichnen das System als „Game-Changer“, der anderen Jurisdiktionen als Modell dienen könnte.

Die Branche steht vor erheblichen Umwälzungen. Datenbroker, die mit dem Verkauf detaillierter Verbraucherprofile Geld verdienen, müssen mit schrumpfenden Datensätzen rechnen. Handelsverbände hatten zuvor technische und wirtschaftliche Bedenken geäußert.

Kalifornien setzt mit dieser Regulierung häufig Maßstäbe für das gesamte US-Datenschutzrecht. Analysten gehen davon aus, dass ein erfolgreicher Betrieb von DROP den Druck auf die Bundesgesetzgeber erhöhen wird, ein ähnliches nationales Register zu erwägen. Auch für die EU-Datenschutzdebatte könnte das kalifornische Modell relevant werden.

PS: Für alle Unternehmen, die Löschanfragen oder Profilverkäufe dokumentieren müssen, ist ein vollständiges Verarbeitungsverzeichnis unverzichtbar. Diese kostenlose Excel-Vorlage nach Art. 30 DSGVO hilft Ihnen, Verarbeitungstätigkeiten, Rechtsgrundlagen und Löschfristen übersichtlich zu erfassen – ideal, um Prozesse gegenüber Aufsichtsbehörden zu belegen. So sind Sie besser auf Anfragen vorbereitet und können Fristen systematisch nachverfolgen. Verarbeitungsverzeichnis-Excel gratis herunterladen