Global Privacy Control (GPC): Was es ist und wie Sie es umsetzen
Global Privacy Control ist ein Browsersignal, das einer Website mitteilt: „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“. Eine wachsende Zahl von Datenschutzgesetzen der US-Bundesstaaten schreibt universelle Opt-out-Signale wie GPC vor oder erkennt sie an. In vielen dieser Bundesstaaten genügt ein manueller Opt-out-Link allein nicht.
Diese Seite erklärt, was das Signal ist, wo seine Umsetzung gesetzlich vorgeschrieben ist, welche Browser es senden, wie Sie Ihren eigenen Browser prüfen und was CookieHub tut, wenn ein Besucher mit aktiviertem GPC auf Ihre Website kommt.
Was Global Privacy Control ist
GPC ist ein einfaches Ja-oder-Nein-Signal. Wenn ein Besucher es aktiviert, fügt sein Browser unterstützten Anfragen einen Sec-GPC: 1-Header hinzu und setzt navigator.globalPrivacyControl in JavaScript auf true.
Die Präferenz selbst ist binär und bedeutet: „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“.
Weitere Informationen übermittelt das Signal nicht. Es sagt nichts darüber aus, welches Gesetz für den Besucher gilt, gegen welche Anbieter er Einwände hat oder ob er in Analytics einwilligt.
GPC ist kein Einwilligungsstring wie die Formate IAB TCF oder GPP. Es ist eine Präferenz, mit der die Website gemäß dem jeweils geltenden Recht umgehen muss.
GPC wurde von einer Gruppe aus Browserherstellern, Publishern und Datenschutzorganisationen aufbauend auf Do Not Track entwickelt.
Der wesentliche Unterschied liegt im rechtlichen Gewicht. Do Not Track hat nie eine vergleichbare rechtliche Anerkennung erlangt und wurde von Websites weitgehend ignoriert.
GPC wurde dagegen so konzipiert, dass es unter anderem den Opt-out-Mechanismen des California Consumer Privacy Act in der durch den CPRA geänderten Fassung entspricht. Inzwischen wird es von mehreren US-Datenschutzgesetzen anerkannt.
Wo GPC gesetzlich vorgeschrieben ist
Die rechtliche Wirkung von GPC in den Vereinigten Staaten hängt vom Recht des jeweiligen Bundesstaats ab.
Zwölf Bundesstaaten haben derzeit Bestimmungen zu GPC oder universellen Opt-out-Signalen in ihren Datenschutzgesetzen:
Delaware
Maryland
Minnesota
Montana
Nebraska
New Hampshire
New Jersey
Oregon
Texas
Die jeweiligen Pflichten sind nicht identisch.
Colorado erkennt GPC formell als gültigen universellen Opt-out-Mechanismus an. New Jersey verpflichtet erfasste Verantwortliche ebenfalls dazu, universelle Opt-out-Mechanismen zu beachten.
In Maryland ist es anders geregelt. Ein Verantwortlicher kann bestimmte Opt-out-Pflichten entweder über einen gut sichtbaren Opt-out-Link oder über ein Opt-out-Präferenzsignal erfüllen.
Weitere Bundesstaaten folgen.
Das Gesetz von Louisiana, das ab dem 1. Januar 2027 gilt, enthält browser- und gerätebasierte Opt-out-Bestimmungen mit eigenen Voraussetzungen.
Vermonts Act 145 führt ab 2028 ebenfalls eine Anforderung für Opt-out-Präferenzsignale ein.
Kalifornien setzt GPC bereits seit mehreren Jahren durch.
Im Jahr 2022 schloss Sephora mit dem Attorney General von Kalifornien einen Vergleich über 1,2 Millionen USD. In dem Fall ging es unter anderem darum, dass GPC-Signale nicht verarbeitet worden waren.
Wo das Gesetz es verlangt, bedeutet die Umsetzung von GPC, das Signal selbst als Opt-out-Anfrage des Besuchers zu behandeln.
Ein „Do Not Sell or Share“-Link, den der Besucher erst finden und anklicken muss, erfüllt diese Anforderung allein in der Regel nicht.
Was ist mit der DSGVO?
GPC ersetzt nicht die nach der DSGVO oder den ePrivacy-Vorschriften erforderliche Einwilligung.
Europäische Aufsichtsbehörden haben GPC bislang nicht formell als universellen Ersatz für die Cookie-Einwilligung anerkannt.
Websites in der EU und im Vereinigten Königreich benötigen daher weiterhin einen geeigneten Opt-in-Mechanismus, bevor sie nicht erforderliche Tracking-Technologien einsetzen.
GPC kann dennoch in bestimmten Situationen als Ausdruck eines Widerspruchs oder als Widerruf einer Einwilligung relevant sein.
Welche Browser GPC senden
Die Unterstützung unterscheidet sich erheblich zwischen den Browsern:
Brave:
GPC ist auf dem Desktop und unter Android standardmäßig aktiviert. Unter iOS stellt Brave das JavaScript-Signal bereit, sendet derzeit jedoch nicht den HTTP-Header.
DuckDuckGo:
Die Browser und die Browsererweiterung von DuckDuckGo aktivieren GPC standardmäßig.
Firefox:
GPC ist integriert und unter „Datenschutz & Sicherheit“ verfügbar. Im privaten Modus ist es automatisch aktiviert.
Chrome und Edge:
Die aktuellen stabilen Versionen bieten keine native GPC-Unterstützung. Kompatible Erweiterungen können sie nachrüsten, daher enthält der Großteil des Chrome- und Edge-Traffics das Signal nicht.
Safari:
Die aktuelle stabile Version bietet keine native GPC-Unterstützung.
So prüfen Sie, ob GPC in Ihrem Browser aktiviert ist
Sie können in wenigen Sekunden prüfen, ob Ihr Browser GPC bereitstellt oder sendet:
Öffnen Sie die Entwicklerkonsole:
Öffnen Sie auf einer beliebigen Seite die Entwicklertools Ihres Browsers, wechseln Sie zum Tab „Konsole“ und geben Sie navigator.globalPrivacyControl ein. Wird true ausgegeben, stellt Ihr Browser GPC bereit. Wird false oder undefined ausgegeben, stellt er es nicht bereit.
Oder besuchen Sie globalprivacycontrol.org:
Die Website des GPC-Projekts erkennt das Signal und zeigt an, ob Ihr Browser es sendet.
Aktivieren Sie GPC bei Bedarf:
Suchen Sie in Firefox unter „Datenschutz & Sicherheit“ nach der entsprechenden Option. In Brave und DuckDuckGo ist GPC bereits aktiviert. In Chrome oder Edge können Sie eine kompatible Erweiterung installieren. Safari bietet derzeit keine native Unterstützung.
Testen Sie Ihre eigene Website:
Aktivieren Sie GPC, löschen Sie die Cookies der Website und rufen Sie sie als Besucher aus Kalifornien auf. Sie sollten keine zweite Opt-out-Anfrage stellen müssen, und Ihr Werbe- und Marketing-Setup sollte das Opt-out berücksichtigen. Je nach Konfiguration kann das bedeuten, dass bestimmte Tags nicht ausgelöst werden oder unterstützte Anbieter in den jeweils geltenden Opt-out-Modus beziehungsweise in die eingeschränkte Datenverarbeitung wechseln.
Was die Umsetzung von GPC für Ihre Website bedeutet
Die Einzelheiten unterscheiden sich von Bundesstaat zu Bundesstaat. Die Vorschriften Kaliforniens gehören zu den konkretesten.
Wenn ein Besucher mit aktiviertem GPC auf Ihre Website kommt, sollte Ihre Website:
GPC als Opt-out von Verkauf und Weitergabe behandeln:
Für diesen Besucher muss eine Verarbeitung, die nach dem geltenden Recht als Verkauf, Weitergabe oder gezielte Werbung gilt, eingestellt oder im jeweiligen Opt-out- beziehungsweise eingeschränkten Modus durchgeführt werden. Je nach Ihrer Konfiguration kann das bedeuten, Werbe-Cookies und Pixel vollständig zu blockieren oder den Opt-out-Status an nachgelagerte Anbieter weiterzugeben, damit diese ihre Verarbeitung einschränken.
Keine zweite Opt-out-Anfrage verlangen:
Das Browsersignal selbst muss als Anfrage des Besuchers verarbeitet werden. Sie sollten nicht verlangen, dass der Besucher zusätzlich auf einen „Do Not Sell or Share“-Button klickt oder weitere Informationen angibt.
Bestätigen, dass das Signal berücksichtigt wurde:
Die Vorschriften Kaliforniens verpflichten erfasste Unternehmen dazu anzuzeigen, ob ein Opt-out-Präferenzsignal als gültige Anfrage zum Opt-out von Verkauf oder Weitergabe verarbeitet wurde.
Das Opt-out an nachgelagerte Anbieter weitergeben:
Ihre Werbe-, Analytics- und sonstigen relevanten Anbieter müssen das entsprechende Signal erhalten. Der IAB-GPP-String enthält hierfür ein GPC-Flag zusammen mit Informationen zum Opt-out von Verkauf und Weitergabe. Einige Anbieter reagieren außerdem direkt auf das Signal. Google wendet beispielsweise eine eingeschränkte Datenverarbeitung an, wenn es GPC von Besuchern in mehreren maßgeblichen US-Bundesstaaten erhält.
Kein Konto und keine zusätzlichen Schritte verlangen:
Die Umsetzung von GPC darf nicht davon abhängig gemacht werden, dass sich ein Besucher anmeldet, seine Identität bestätigt oder ein Formular ausfüllt. Das Signal gilt für die Browsersitzung, mit der der Besucher auf die Website kommt.
Frühere Präferenzen berücksichtigen:
Hat ein Besucher auf Ihrer Website zuvor Verkauf oder Weitergabe erlaubt und kommt später mit aktiviertem GPC zurück, dürfen Sie ihn nach den Vorschriften Kaliforniens auf diesen Konflikt hinweisen und ihm die Möglichkeit geben, gezielt einzuwilligen. Die Entscheidung muss beim Besucher bleiben und darf nicht durch vorab angekreuzte Kästchen oder Dark Patterns beeinflusst werden.
Compliance-Checker
Nutzen Sie unseren kostenlosen Compliance-Scanner, um alle aktiven Dienste auf Ihrer Website zu erkennen. Erhalten Sie einen detaillierten Bericht mit Informationen zu Art, Zweck und Dauer der Dienste, um Ihre Bemühungen zur Einhaltung des Datenschutzes zu unterstützen.
Wie CookieHub mit GPC umgeht
Die GPC-Unterstützung ist in das CookieHub-Widget integriert und immer aktiv. Sie müssen nichts zusätzlich einschalten.
Automatische Erkennung
Das Widget liest das GPC-Signal beim Laden der Seite aus, unabhängig von der Region. Es sind keine zusätzliche Konfiguration, kein weiteres Skript und kein eigener Schalter für einzelne Regionen erforderlich.
Behandlung als „Do Not Sell or Share“
Für Besucher, die GPC senden, wird derselbe Opt-out-Status für Verkauf und Weitergabe angewendet wie bei einem Klick auf „Do Not Sell or Share My Personal Information“. Der Opt-out-Status wird dem Google Tag Manager zur Verfügung gestellt, sodass Ihre Tags darauf reagieren können. In Regionen, in denen IAB GPP oder US Privacy verwendet wird, werden der Opt-out-Status und das GPC-Flag in die entsprechenden Strings geschrieben, die Ihre Anbieter auslesen.
Kein Standard-Opt-out-Banner in Kalifornien
CookieHub verarbeitet das Signal automatisch, ohne Besucher aus Kalifornien zu einer weiteren Opt-out-Anfrage aufzufordern. Statt des Standard-Banners zeigen die Datenschutzeinstellungen an, dass das Signal berücksichtigt wurde.
Andere US-Bundesstaaten behalten ihr konfiguriertes Banner
Besucher aus anderen Bundesstaaten sehen weiterhin das von Ihnen konfigurierte Banner. Das GPC-Opt-out ist dabei bereits angewendet.
Cookie-Kategorien optional deaktivieren
Wenn GPC zusätzlich bestimmte Cookie-Kategorien blockieren soll, können Sie das Präferenzzentrum so konfigurieren, dass bei einem Opt-out beispielsweise die Kategorien Marketing oder Analyse deaktiviert werden.
GPC umsetzen, ohne selbst etwas zu entwickeln
Fügen Sie das CookieHub-Skript hinzu, und das Signal wird automatisch verarbeitet:
Das Opt-out wird angewendet, Anbieter werden über den GPP-String und Google Tag Manager informiert, und Besucher aus Kalifornien sehen die von den Vorschriften verlangte Bestätigung.
Eine Konfiguration für alle unterstützten Bundesstaaten.
Kostenlos für kleine Websites.
Häufig gestellte Fragen zu Global Privacy Control
GPC steht für Global Privacy Control.
Es handelt sich um eine Browsereinstellung, die Websites ein Signal mit der Bedeutung „Meine personenbezogenen Daten nicht verkaufen oder weitergeben“ sendet.
Unternehmen, die unter Datenschutzgesetze von US-Bundesstaaten mit Bestimmungen zu Opt-out-Präferenzsignalen fallen, müssen dieses Signal in der Regel gemäß dem geltenden Recht verarbeiten, ohne dass der Besucher einen zusätzlichen Opt-out-Link suchen oder ein Formular ausfüllen muss.
Beides sind Signale, die vom Browser gesendet werden, ihr rechtliches Gewicht ist jedoch sehr unterschiedlich.
Do Not Track hat nie eine vergleichbare rechtliche Anerkennung erlangt und wurde von Websites weitgehend ignoriert.
GPC wurde so konzipiert, dass es unter anderem den Opt-out-Bestimmungen des CCPA/CPRA entspricht. Inzwischen wird es nach den Datenschutzgesetzen einer wachsenden Zahl von US-Bundesstaaten anerkannt oder vorgeschrieben.
Für viele Unternehmen, die unter diese Gesetze fallen, ja.
Zwölf Bundesstaaten haben derzeit Bestimmungen zu GPC oder universellen Opt-out-Signalen:
Kalifornien, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon und Texas.
Louisiana folgt 2027 und Vermont 2028.
Die Einzelheiten unterscheiden sich.
Die meisten dieser Gesetze schreiben die Verarbeitung universeller Opt-out-Signale vor oder erkennen sie an. Maryland erlaubt zusätzlich, bestimmte Pflichten über einen gut sichtbaren Opt-out-Link zu erfüllen.
Jedes Gesetz legt eigene Kriterien dafür fest, welche Unternehmen erfasst sind.
Nicht als Ersatz für eine Einwilligung.
Europäische Aufsichtsbehörden haben GPC bislang nicht formell als Ersatz für die Cookie-Einwilligung anerkannt.
In der EU und im Vereinigten Königreich benötigen Sie daher weiterhin einen geeigneten Opt-in-Mechanismus, bevor Sie nicht erforderliche Tracking-Technologien einsetzen.
Die W3C-Spezifikation weist allerdings darauf hin, dass GPC im Rahmen der DSGVO als Ausdruck eines Widerspruchs oder als Widerruf einer Einwilligung relevant sein kann.
Europäische Aufsichtsbehörden haben bislang keine allgemeine Rechtswirkung von GPC in diesem Zusammenhang festgelegt.
Das hängt davon ab, wie die Analysedaten verwendet werden.
Analytics, die einen Verkauf, eine Weitergabe, kontextübergreifende verhaltensbasierte Werbung oder die Nutzung der Daten durch einen Anbieter für eigene Werbezwecke beinhalten, können von GPC betroffen sein.
First-Party-Messungen, die keine dieser Aktivitäten umfassen, können je nach geltendem Recht des Bundesstaats und Ihrer Anbieter-Konfiguration außerhalb des GPC-Opt-outs liegen.
Wenn Sie eine klarere Regel anwenden möchten, können Sie CookieHub außerdem so konfigurieren, dass die Kategorie Analyse für Besucher mit aktiviertem GPC deaktiviert wird.
Das ist nicht erforderlich.
Die GPC-Erkennung ist immer aktiv.
Ein Besucher, der das Signal sendet, wird so behandelt, als hätte er auf den „Do Not Sell or Share“-Link geklickt.
Der Opt-out-Status wird dem Google Tag Manager zur Verfügung gestellt. In Regionen, in denen IAB GPP oder US Privacy verwendet wird, wird der jeweilige Opt-out-Status außerdem an unterstützte Anbieter weitergegeben.
Wenn GPC zusätzlich bestimmte Cookie-Kategorien deaktivieren soll, öffnen Sie im Dashboard die Einstellungen des Präferenzzentrums für die jeweilige Region und wählen Sie die Kategorien aus, die beim Opt-out deaktiviert werden sollen.
Aktivieren Sie GPC in Ihrem Browser, löschen Sie die Cookies für Ihre Website und rufen Sie sie als Besucher aus Kalifornien auf, bei Bedarf über ein VPN.
Sie sollten keine weitere Opt-out-Anfrage stellen müssen.
Die Datenschutzeinstellungen sollten bestätigen, dass das Signal berücksichtigt wurde. Ihr Werbe-Setup sollte das Opt-out ebenfalls umsetzen, indem entweder verhindert wird, dass bestimmte Tags ausgelöst werden, oder unterstützte Anbieter in den jeweils geltenden Opt-out-Modus beziehungsweise in die eingeschränkte Datenverarbeitung wechseln.
Wenn Sie IAB GPP verwenden, können Sie den String über die gpp-API prüfen.
Das GPC-Flag und die jeweils geltenden Opt-outs für Verkauf und Weitergabe sollten gesetzt sein.
Die Vorschriften Kaliforniens verpflichten erfasste Unternehmen dazu anzuzeigen, ob sie ein Opt-out-Präferenzsignal als gültige Anfrage zum Opt-out von Verkauf oder Weitergabe verarbeitet haben.
„Opt-out preference signal honored“ bedeutet, dass der Datenschutzmechanismus der Website die vom Browser übermittelte Präferenz erkannt und verarbeitet hat.
CookieHub zeigt diese Information Besuchern aus Kalifornien automatisch in den Datenschutzeinstellungen an.
