Wie man das California Delete Act und das DROP System einhält

Der operative Start der California Data Broker Deletion Request and Opt-Out Platform (DROP) hat den Datenschutz von einer reaktiven rechtlichen Verpflichtung in eine obligatorische technische Pipeline verwandelt. Seit dem 1. August 2026 hat die California Privacy Protection Agency (CPPA) den zentralisierten Mechanismus aktiviert, der es Verbrauchern ermöglicht, ihre personenbezogenen Daten bei allen registrierten Data Brokern mit einer einzigen Anfrage zu löschen. Für Organisationen, die als Data Broker eingestuft sind, ist die Schonfrist für die manuelle Bearbeitung abgelaufen.

Die Nichteinhaltung ist nicht mehr nur eine Frage einfacher administrativer Reibungsverluste. Gemäß dem California Delete Act (SB 362) ist die CPPA befugt, Bußgelder in Höhe von $200 pro Verbraucheranfrage und Tag für jeden Tag zu erheben, an dem die Löschung unbearbeitet bleibt (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/). Für einen Broker, der Tausende von Anfragen verwaltet, können diese kumulierten Strafen rechnerisch innerhalb eines einzigen 45-Tage-Zyklus ein Risiko in Millionenhöhe erreichen. Dieser Leitfaden beschreibt die spezifischen Schritte, die erforderlich sind, um Ihre Dateninfrastruktur auf das DROP-System auszurichten.

1. Bestimmung Ihres Status unter SB 362

Der erste Schritt zur Compliance besteht darin, zu bestätigen, ob Ihr Unternehmen die gesetzliche Definition eines „Data Broker“ erfüllt. California definiert einen Data Broker als ein Unternehmen, das wissentlich personenbezogene Daten eines Verbrauchers, zu dem das Unternehmen keine direkte Beziehung hat, sammelt und an Dritte verkauft. Dies schließt Unternehmen aus, die in bestimmten Kontexten unter den Fair Credit Reporting Act (FCRA) oder den Gramm-Leach-Bliley Act (GLBA) fallen.

Wenn Ihre Organisation Datensätze für AI-Training oder die Lizenzierung auf dem Sekundärmarkt aggregiert, fallen Sie wahrscheinlich in diesen Bereich. Das Verständnis dessen, was Sie unter den Rahmenbedingungen von GDPR und CCPA legal verkaufen dürfen, ist entscheidend, bevor Sie sich bei der CPPA registrieren, da der Akt der Registrierung selbst die Anforderung auslöst, eine Schnittstelle zum DROP-System herzustellen.

2. Das 45-Tage-Synchronisationsmandat

Der Kern des Delete Act ist die Anforderung an Broker, die DROP-Plattform mindestens alle 45 Tage abzufragen. Dies ist kein Vorschlag; es handelt sich um eine offengelegte gesetzliche Frist (https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202320240SB362). Ihr technisches Team muss einen automatisierten Prozess implementieren, um:

• Verbindung zur API der CPPA herzustellen, um den neuesten Stapel von Löschanfragen abzurufen.
• Die bereitgestellten Identifikatoren (Namen, E-Mails, gehashte IDs) mit Ihren internen Produktions- und Backup-Datenbanken abzugleichen.
• Die Löschung aller mit diesen Verbrauchern verknüpften personenbezogenen Daten durchzuführen.
• Sicherzustellen, dass die Daten in zukünftigen Erfassungszyklen nicht erneut gesammelt oder dem Verbraucher erneut zugeordnet werden.

Entscheidend ist: Wenn ein Broker die Identität eines Verbrauchers anhand der von DROP bereitgestellten Daten nicht verifizieren kann, muss er die Anfrage gemäß den Durchsetzungsrichtlinien der CPPA dennoch als Opt-out für den Verkauf oder die Weitergabe der Informationen dieses Verbrauchers behandeln.

3. Umgang mit dem Paradoxon der „Nicht-Reidentifizierung“

Eine wesentliche Herausforderung bei der DROP-Compliance ist das Verbot der Reidentifizierung von Verbrauchern. Das Gesetz schreibt vor, dass Broker die in einer Löschanfrage bereitgestellten Informationen für keinen anderen Zweck als zur Erleichterung der Löschung verwenden dürfen. Dies erfordert einen „Clean Room“-Ansatz bei der Bearbeitung von Anfragen: Die vom Staat gesendeten Daten müssen verwendet werden, um eine Löschung auszulösen, und anschließend verworfen oder isoliert werden, anstatt sie einer „Sperrliste“ hinzuzufügen, die unbeabsichtigt ein neues Profil des Verbrauchers erstellt.

4. Obligatorische dreijährliche Audits

Über die 45-tägige Synchronisierung hinaus müssen sich Data Broker alle drei Jahre einer unabhängigen Prüfung unterziehen. Diese Prüfung muss die Einhaltung der Löschanforderungen bestätigen, und die Ergebnisse müssen der CPPA auf Anfrage vorgelegt werden. Die geschätzten Kosten für diese Audits können je nach Komplexität der Datenarchitektur zwischen $15,000 und über $50,000 liegen (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/). Die Dokumentation jedes Löschereignisses, einschließlich des Zeitstempels der DROP-Abfrage und der Bestätigung der Löschung, ist für einen erfolgreichen Audit-Trail unerlässlich.

5. Finanzielles und operatives Risikomanagement

Die steuerlichen Auswirkungen des Delete Act gehen über Bußgelder hinaus. Die CPPA hat kürzlich Gebührenerhöhungen für die Registrierung von Data Brokern diskutiert, um die Wartung des DROP-Systems zu finanzieren, wobei die vorgeschlagenen Jahresgebühren erhebliche offengelegte Beträge erreichen, um den Verwaltungsaufwand zu decken (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/).

Für Datenkäufer führt der Delete Act eine neue Ebene der Due Diligence ein. Beim Erwerb oder der Lizenzierung eines Datensatzes müssen Sie überprüfen, ob der Verkäufer über eine verifizierte DROP-konforme Pipeline verfügt. Wenn ein Datensatz „Zombie-Daten“ enthält – Informationen, die gemäß einer DROP-Anfrage hätten gelöscht werden müssen –, kann der Käufer einer sekundären Haftung unterliegen oder feststellen, dass seine AI-Modelle durch die Notwendigkeit eines erneuten Trainings ohne die unrechtmäßigen Daten beeinträchtigt werden.

Was das für Sie bedeutet

Für Dateneigentümer ist Compliance die Voraussetzung für Liquidität. Ein Datensatz, der nicht auf DROP-Compliance geprüft werden kann, ist auf dem Markt von 2026 ein toxischer Vermögenswert. Umgekehrt werden Organisationen, die eine robuste, automatisierte Lösch-Pipeline nachweisen können, höhere Bewertungen von institutionellen Käufern erfahren, die regulatorische Sicherheit priorisieren. Ob Sie Ihre internen Vermögenswerte monetarisieren oder unseren Datensatzkatalog nach hochwertigen, konformen Trainingsdaten durchsuchen möchten – das Verständnis der technischen Nuancen des Delete Act ist nicht mehr optional, sondern eine Kernanforderung der Datenökonomie.