Global Privacy Control (GPC)

Was ist Global Privacy Control (GPC)?

Global Privacy Control (GPC) ist eine Browsereinstellung, die jeder besuchten Website mitteilt, dass Ihre personenbezogenen Daten nicht verkauft oder weitergegeben werden sollen. Ist sie aktiviert, fügt der Browser jeder Anfrage den HTTP-Header Sec-GPC: 1 hinzu und setzt navigator.globalPrivacyControl für Skripte auf der Seite auf true. Das ist das GPC-Signal.

In Kalifornien, Colorado, Connecticut und einer wachsenden Zahl weiterer US-Bundesstaaten gilt das GPC-Signal rechtlich als gültiger Widerspruch gegen den Verkauf oder die Weitergabe personenbezogener Daten und gegen zielgerichtete Werbung. Websites, die unter diese Gesetze fallen, müssen es automatisch beachten, ohne dass der Besucher etwas anklicken muss.

GPC ist das bekannteste Opt-out-Präferenzsignal, der Oberbegriff, den die kalifornischen Vorschriften für diese Art von Opt-out auf Browserebene verwenden.

Wer hat Global Privacy Control entwickelt?

GPC wurde im April 2020 in der Privacy Community Group des World Wide Web Consortium (W3C) von einer Gruppe aus Browserherstellern, Verlagen, Datenschutzforschern und Verbraucherschützern vorgestellt. Im November 2024 wurde es offizielles Arbeitsthema der W3C Privacy Working Group, in der die Spezifikation standardisiert wird.

Wie funktioniert das GPC-Signal?

Die Spezifikation definiert zwei Wege, wie eine Website das Signal lesen kann, sowie eine optionale Datei, mit der die Website erklärt, dass sie GPC beachtet:

• HTTP-Header: Der Browser sendet Sec-GPC: 1 mit den Anfragen. Der Header wird nur gesendet, wenn GPC aktiviert ist, und Server sollten jeden anderen Wert als 1 als nicht gesetzt behandeln.
• JavaScript-Eigenschaft: navigator.globalPrivacyControl gibt true zurück, wenn der Header gesendet würde, sonst false.
• Erklärung der Website: Eine Website kann /.well-known/gpc.json veröffentlichen, um anzugeben, dass sie GPC beachten will.

GET /checkout HTTP/1.1
Host: www.example.com
Sec-GPC: 1

// GPC-Signal im Browser lesen
if (navigator.globalPrivacyControl === true) {
  // Besucher als Opt-out von Verkauf, Weitergabe und zielgerichteter Werbung behandeln
}

// /.well-known/gpc.json
// { "gpc": true, "lastUpdate": "2026-10-01" }

GPC ist ein Signal, kein Blocker. Es stoppt keine Tags von selbst: Die Website oder ihre Consent-Management-Plattform muss es erkennen und umsetzen.

Welche Browser und Erweiterungen senden GPC?

Kaliforniens Opt Me Out Act (AB 566), unterzeichnet im Oktober 2025, verpflichtet Browser ab dem 1. Januar 2027, eine integrierte Einstellung für ein Opt-out-Präferenzsignal anzubieten. Der GPC-Traffic dürfte daher wachsen.

So aktivieren Sie Global Privacy Control

• Brave und DuckDuckGo: Nichts zu tun, GPC ist standardmäßig aktiv.
• Firefox: Öffnen Sie die Einstellungen, gehen Sie zu Datenschutz & Sicherheit und aktivieren Sie die Option, die Websites anweist, Ihre Daten nicht zu verkaufen oder weiterzugeben. In privaten Fenstern ist sie bereits aktiv.
• Andere Browser: Installieren Sie eine Erweiterung, die GPC sendet, zum Beispiel Privacy Badger.

Zur Kontrolle öffnen Sie auf einer beliebigen Seite die Browserkonsole und geben navigator.globalPrivacyControl ein. Bei aktivem Signal lautet das Ergebnis true.

Welche Gesetze verlangen, dass Websites GPC beachten?

Nach den CCPA-Vorschriften muss ein Unternehmen, das personenbezogene Daten verkauft oder weitergibt, das GPC-Signal als gültigen Widerspruch gegen Verkauf und Weitergabe für diesen Browser oder dieses Gerät und für jedes damit verknüpfte Profil behandeln, einschließlich des Kontos des Verbrauchers, wenn das Unternehmen ihn kennt. Seit Inkrafttreten der aktualisierten Vorschriften am 1. Januar 2026 muss das Unternehmen auf seiner Website außerdem anzeigen, ob es das Signal verarbeitet hat, zum Beispiel mit einer Meldung wie "Opt-Out Request Honored". Alle Bundesstaaten finden Sie in unserem Leitfaden zu den Datenschutzgesetzen der US-Bundesstaaten.

Durchsetzung von GPC: Sephora und Disney

• Sephora, August 2022: Im ersten CCPA-Vergleich verhängte der kalifornische Attorney General gegen Sephora 1,2 Millionen US-Dollar. Einer der Vorwürfe lautete, dass Sephora Opt-out-Anfragen über nutzeraktivierte Global Privacy Controls nicht beachtet hatte. Am selben Tag erhielten weitere Unternehmen, die GPC ignorierten, Mitteilungen des Attorney General.
• Disney, Februar 2026: Disney erklärte sich bereit, 2,75 Millionen US-Dollar zu zahlen, der bisher größte CCPA-Vergleich. Sendeten Verbraucher ein GPC-Signal, wendete Disney den Widerspruch nur auf dieses Gerät an, selbst wenn sie in ihrem Disney-Konto angemeldet waren, und verkaufte oder teilte ihre Daten über andere Geräte und Dienste weiter. Zu unserer Analyse: Disney-CCPA-Strafe wegen Global Privacy Control.

GPC vs. Do Not Track

Do Not Track (DNT) war ein früherer Browser-Header, der Websites bat, den Nutzer nicht zu verfolgen. Kein Gesetz verpflichtete Websites, ihn zu beachten, daher ignorierten ihn die meisten, und Browser wie Safari und Firefox haben die Einstellung inzwischen entfernt.

GPC ist enger gefasst und rechtlich verbindlich. Es verlangt nur eines, keinen Verkauf und keine Weitergabe personenbezogener Daten, und die Gesetze der US-Bundesstaaten machen daraus einen verbindlichen Widerspruch. Eine Website, die GPC in Kalifornien oder Colorado ignoriert, erfüllt das Gesetz nicht.

GPC und die DSGVO

Die DSGVO nennt GPC nicht, und keine EU-Aufsichtsbehörde hat es zum Pflichtsignal gemacht. Die GPC-Spezifikation weist darauf hin, dass es in der EU eine allgemeine Aufforderung ausdrücken kann, den Verkauf oder die Weitergabe personenbezogener Daten einzuschränken, gestützt auf das Recht auf Widerruf der Einwilligung (Artikel 7) und das Widerspruchsrecht (Artikel 21).

In der Praxis ist die DSGVO ein Opt-in-Gesetz: Sie benötigen weiterhin eine Einwilligung, bevor nicht notwendige Cookies gesetzt werden, ob der Besucher GPC sendet oder nicht. Ein GPC-Signal bei EU-Besuchern als Ablehnung von Werbe-Cookies zu behandeln, ist eine vorsichtige Wahl, ersetzt aber nicht das DSGVO-Einwilligungsbanner.

Wie sollten Websites das GPC-Signal beachten?

1. Signal erkennen beim ersten Seitenaufruf, über den Header Sec-GPC auf dem Server oder navigator.globalPrivacyControl im Browser.
2. Den Besucher abmelden vom Verkauf und der Weitergabe personenbezogener Daten und von zielgerichteter Werbung, ohne Pop-up oder zusätzlichen Schritt.
3. Auf das Konto anwenden: Ist der Besucher angemeldet, gilt der Widerspruch für sein Profil über alle Geräte und Dienste, wie der Fall Disney zeigt.
4. Status anzeigen: Zeigen Sie an, dass das Opt-out-Präferenzsignal beachtet wurde, wie es die CCPA-Vorschriften seit 2026 verlangen.
5. An Partner weitergeben: Setzen Sie den Widerspruch und das GPC-Feld in den US-Abschnitten von IAB GPP und im US-Privacy-String, damit Werbepartner den Verkauf oder die Weitergabe der Daten beenden.
6. Testen und dokumentieren: Prüfen Sie regelmäßig, dass Werbe- und Analyse-Tags das Signal respektieren.

Wie UniConsent Global Privacy Control beachtet

Mit UniConsent respektieren Sie Opt-outs und Global Privacy Control automatisch, während Ihre Analysen weiterlaufen.

UniConsent beachtet Global Privacy Control automatisch für Besucher, die unter Ihre CCPA- oder US-State-Privacy-Einstellungen fallen. Ein GPC-Signal gilt als Widerspruch gegen den Verkauf und die Weitergabe personenbezogener Daten sowie gegen zielgerichtete Werbung, ohne dass der Besucher das Banner öffnet. Andere Zwecke sind nicht betroffen.

Der Widerspruch wird an Ihre Partner in den US-Abschnitten von IAB GPP, einschließlich des GPC-Felds, und im US-Privacy-String übermittelt und steht als Variable GPC im Data Layer für Google Tag Manager zur Verfügung. Bei Banners mit Einwilligungskategorien in den USA deaktiviert GPC die Kategorie Targeting. In mobilen Apps wird die Geräteeinstellung zur Begrenzung des Ad-Trackings genauso behandelt wie GPC.

Nutzen Sie eine Consent-Management-Plattform wie UniConsent, um GPC zu beachten, Opt-out-Optionen anzuzeigen und das Signal mit einem einzigen Tag an Ihre Partner weiterzugeben.

Vertrauenswürdig bei über 5000 globalen Verlagen und Vermarktern

• 
• 
• 
• 
• 
•