Am 1. Januar 2026 startete Kalifornien DROP – die Delete Request and Opt-Out Platform (Plattform für Löschanträge und Opt-out) – und am 1. August 2026 wird sie verpflichtend. Ab diesem Datum muss jeder registrierte Datenmakler in Kalifornien mindestens alle 45 Tage auf DROP zugreifen, zentralisierte Löschanträge abrufen, innerhalb von 90 Tagen entscheiden, ob eine Löschung erforderlich ist, und Bericht erstatten. Bis 2028 muss jeder Makler mindestens alle drei Jahre ein unabhängiges Delete-Act-Audit durchführen und den Bericht der California Privacy Protection Agency (CPPA) vorlegen.
Wenn Sie ein Datenmakler, ein Unternehmen, das persönliche Informationen verkauft, oder ein kleines Unternehmen sind, das Daten von Maklern kauft, ist die Frist für Sie relevant – nicht weil Sie die Löschung selbst durchführen, sondern weil die Datenlieferung, auf die Sie sich stützen, bald im großen Stil durch Verbraucheranträge gefiltert wird – alle 45 Tage, dauerhaft.
Was DROP ist – und warum es den Arbeitsablauf verändert
Vor dem Delete Act (SB 362, 2023) musste ein Kalifornier, der bei Datenmaklern gespeicherte persönliche Informationen löschen lassen wollte, jeden Makler einzeln finden und separat opt-out – ein mühsamer, manueller Prozess bei über 500 registrierten Maklern. DROP zentralisiert das: Ein Kalifornier verifiziert seinen Wohnsitz einmalig über die Plattform der CPPA, stellt einen einzigen Löschantrag, und dieser wird an alle aktuellen und zukünftigen registrierten Makler übermittelt. Der Verbraucher kann bestimmte Makler gezielt von dem Antrag ausnehmen und den Status überprüfen.
Für Makler bedeutet der operative Wandel eine Umstellung von reaktiven Einzelanfragen zu einer wiederkehrenden, plattformgesteuerten Warteschlange:
- Mindestens alle 45 Tage auf DROP zugreifen. Der Makler muss alle anwendbaren Löschanträge mindestens so oft abrufen – nicht wenn es zeitlich passt, sondern in einem 45-Tage-Rhythmus.
- Innerhalb von 90 Tagen entscheiden. Für jeden Antrag hat der Makler 90 Tage Zeit, um zu entscheiden, ob eine Löschung erforderlich ist, die Löschung durchzuführen (einschließlich der Anweisung an Dienstleister und Auftragnehmer, zu löschen) und die Entscheidung dem Verbraucher über DROP mitzuteilen.
- Fortlaufende Verpflichtung. Wenn der Verbraucher opt-out gewählt hat, muss der Makler alle Informationen, die er später über diese Person erhebt, mindestens alle 45 Tage löschen – nicht nur einmal, sondern dauerhaft.
Makler müssen bei der Registrierung außerdem offenlegen, ob sie präzise Geolokalisierungsdaten oder Informationen über Minderjährige erfassen – erweiterte Registrierungsangaben, die es vor SB 362 nicht gab – und sie müssen sich seit Januar 2024 jährlich bei der CPPA registrieren.
Wer ist ein Datenmakler
Der Delete Act gilt für Unternehmen, die wissentlich persönliche Informationen von Verbrauchern erfassen und verkaufen, zu denen sie keine direkte Beziehung haben. Wenn Ihr Umsatz von der Aggregation, Kombination und dem Handel mit persönlichen Informationen abhängt – Personen-Suchdienste, Marketingdaten, Risiko-, Leadlisten – sind Sie betroffen. Ein kleines Unternehmen, das gelegentlich eine Kundenliste verkauft, ist nicht das Ziel, aber ein Unternehmen, dessen Geschäftsmodell Datenvermittlung ist, auch in bescheidenem Umfang, schon.
Wenn Sie Daten von Maklern für Marketing, Risikobewertung oder Lead-Generierung kaufen, unterliegen Sie nicht direkt den Löschpflichten des Delete Act, aber Sie werden die Auswirkungen spüren: Der Maklerpool, aus dem Sie kaufen, wird alle 45 Tage durch Löschungen verringert. Eine im Juli gekaufte Leadliste kann nach der DROP-Bereinigung im August 10–15 % kleiner sein, einschließlich Aktualisierungsanforderungen.
Die operative Checkliste vor dem 1. August
Wenn Sie ein Makler sind:
- Sicherstellen, dass die CPPA-Registrierung aktuell ist und die DROP-Integration getestet wurde – automatisierter Abruf, keine manuellen Portalprüfungen
- Den 45-Tage-Abrufkalender mit einem verantwortlichen Ansprechpartner aufbauen, damit ein Urlaub den Rhythmus nicht unterbricht
- Den 90-Tage-Entscheidungs- und Löschungsablauf mit Benachrichtigung von Auftragnehmern/Dienstleistern implementieren – Ihre nachgelagerte Verpflichtung endet nicht mit der lokalen Löschung
- Jede Entscheidung mit der DROP-Ticket-ID, dem Löschdatum und den Bestätigungen der Dienstleister protokollieren – dieses Protokoll ist die Grundlage für das Audit 2028
- Das unabhängige Audit für 2028 jetzt planen; Prüfer nehmen bereits Buchungen entgegen, und das erste Audit muss mindestens alle drei Jahre eingereicht werden
Wenn Sie ein kleines Unternehmen sind, das kein Datenmakler ist, aber persönliche Informationen verarbeitet, erlegt Ihnen der Delete Act zwar keine direkten Löschpflichten auf, aber er zeigt die Richtung der CPPA: zentralisierte, verbraucherinitiierte Löschung in großem Umfang. Wenn Sie Ihren eigenen Datenschutz-Anfrageprozess – Benachrichtigung, Verifizierung, 45-Tage-Löschrhythmus – an den Maklerstandard angleichen, verringern Sie die Lücke, die Sie schließen müssen, wenn umfassendere CCPA-Verpflichtungen auf Sie zukommen.
Vereinfachen Sie Ihre Finanzverwaltung
Daten, die Sie nicht behalten, verkaufen oder wiederverwenden können, haben keinen Vermögenswert – und Lösch-Compliance kostet Geld, das in die Buchhaltung gehört. Beancount.io hält Compliance-Kosten, Datenverarbeitungsausgaben und eventuelle Maklergebühren in Klartext- und versionskontrollierter Buchhaltung fest – so ist Ihr nächster DROP-Zyklus budgetiert und nachvollziehbar, nicht nur ein Update der Datenschutzseite. Jetzt kostenlos starten und Ihre Datenverarbeitung so prüfbar machen wie Ihre Finanzen.