Disney zahlt Rekordstrafe für Datenschutz-Panne in Kalifornien

Disney muss 2,75 Millionen Euro zahlen, weil seine Opt-Out-Verfahren für Nutzerdaten nicht funktionierten. Es ist die höchste Geldbuße nach dem kalifornischen CCPA-Gesetz.

Disney muss 2,75 Millionen Euro Strafe zahlen, weil es Nutzer nicht wirksam vor dem Verkauf ihrer Daten schützte. Es ist die höchste Geldbuße, die jemals nach dem kalifornischen Datenschutzgesetz CCPA verhängt wurde – ein deutliches Signal an die gesamte Tech-Branche.

Der kalifornische Generalstaatsanwalt Rob Bonta gab die Einigung heute bekannt. Sie ist das Ergebnis einer Untersuchung, die erhebliche Mängel in den Opt-Out-Verfahren des Medienriesen aufdeckte. Nutzer, die der Weitergabe ihrer persönlichen Daten widersprachen, wurden laut Behörden nicht konsequent geschützt. Ihre Einstellungen galten oft nur für ein einzelnes Gerät oder einen Dienst wie Disney+, nicht aber für das gesamte Nutzerprofil.

Ein Wirrwarr aus Datenschutz-Optionen

Die Ermittler fanden ein fragmentiertes und für Verbraucher verwirrendes System vor. Die Kritikpunkte im Detail:

• Kein übergreifender Schutz: Ein Widerspruch auf dem Smartphone blockierte die Datenweitergabe nicht automatisch auf dem Fernseher oder Laptop.
• Lückenhafte Webformulare: Ein zentrales Online-Formular stoppte die Datenweitergabe nur teilweise. Bestimmte Werbetechnologie-Partner von Disney erhielten weiterhin Informationen.
• Fehlende Funktionen in Apps: Einige TV-Apps boten gar keine Möglichkeit zum Widerspruch in der Anwendung selbst. Nutzer wurden auf das unvollständige Webformular verwiesen.
• Ignorierte Standardsignale: Das automatische Datenschutz-Signal Global Privacy Control (GPC) wurde nicht konsequent auf alle mit einem Konto verbundenen Geräte angewendet.

„Diese zersplitterten Systeme machten es Verbrauchern unmöglich, ihr Recht auf Privatsphäre wirksam auszuüben“, so das kalifornische Justizministerium. Dies verstoße klar gegen den Geist des CCPA.

Strenges Compliance-Programm als Auflage

Neben der Rekordstrafe muss Disney ein umfassendes Programm zur Einhaltung der Vorschriften umsetzen. Das Unternehmen ist verpflichtet, funktionierende und benutzerfreundliche Opt-Out-Mechanismen zu schaffen, die den Verkauf von Daten tatsächlich vollständig stoppen.

Die Aufsicht ist streng: Innerhalb von 60 Tagen muss Disney der kalifornischen Regierung detailliert darlegen, welche Maßnahmen es ergriffen hat. Anschließend sind alle zwei Monate weitere Fortschrittsberichte fällig, bis alle Dienste vollständig konform sind. Diese intensive Überwachung soll sicherstellen, dass die Änderungen nicht nur auf dem Papier stehen.

Anzeige

Für Unternehmen, die ihre Datenschutzpflichten jetzt schnell und übersichtlich dokumentieren müssen: Eine sofort einsetzbare Excel‑Vorlage für das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) hilft, alle Datenflüsse, Drittanbieter und Opt‑Out‑Einstellungen geräteübergreifend zu erfassen – ideal zur Vorbereitung auf Prüfungen und für Ihr Compliance‑Programm. Kostenloser Download mit Schritt‑für‑Schritt‑Anleitung. Jetzt Verarbeitungsverzeichnis kostenlos herunterladen

Signalwirkung für globale Tech-Unternehmen

Die Strafe gegen Disney hat eine klare Botschaft an die Industrie, insbesondere an Konzerne mit komplexen digitalen Ökosystemen. Die Aufsichtsbehörden erwarten, dass „universelle Opt-Out-Mechanismen“ genauso gut funktionieren wie die geräteübergreifende Verfolgung von Nutzern für Werbezwecke.

Für internationale Unternehmen wie Disney, aber auch für deutsche DAX-Konzerne mit Geschäften in den USA, wird die Einhaltung des kalifornischen CCPA immer mehr zum De-facto-Standard. Die Zusammenarbeit kalifornischer Behörden mit anderen Bundesstaaten wie Colorado zeigt einen Trend zu koordinierter, länderübergreifender Durchsetzung.

Die einfache Bereitstellung eines Datenschutz-Knopfs reicht nicht mehr aus. Er muss effektiv, verständlich und lückenlos sein – sonst drohen hohe Strafen und erheblicher Reputationsschaden. Der Fall Disney markiert hier einen neuen, schärferen Maßstab.

@ boerse-global.de