Global Privacy Control (GPC): Was es ist und wie Sie es beachten

Global Privacy Control (GPC) ist eine Browsereinstellung, die Websites ein einfaches Signal sendet: Meine personenbezogenen Daten dürfen nicht verkauft oder weitergegeben werden. Browser übertragen es als HTTP-Header Sec-GPC: 1 und stellen es in JavaScript als navigator.globalPrivacyControl bereit. Kalifornien verpflichtet betroffene Unternehmen, es als gültigen Opt-out zu behandeln. GPC zu beachten heißt also, das Signal zu erkennen und die betreffenden Datenflüsse zu stoppen.

Was ist Global Privacy Control?

GPC ist eine technische Spezifikation, mit der Menschen eine Datenschutzpräferenz einmal in ihrem Browser festlegen können, statt auf jeder besuchten Website. Entwickelt wurde sie von einem Zusammenschluss aus Datenschutzforschern, Browserherstellern und Publishern, und die Spezifikation ist unter globalprivacycontrol.org veröffentlicht.

Ist die Einstellung aktiv, fügt der Browser seinen HTTP-Requests einen Header hinzu und setzt eine JavaScript-Eigenschaft, die Seiten auslesen können. Einige Browser wie Brave und Firefox bieten die Funktion nativ an, andere setzen auf Erweiterungen. Das Signal ist entweder vorhanden oder nicht und enthält keine weiteren Informationen über den Nutzer.

Anders als der ältere Do-Not-Track-Header, hinter dem keine gesetzliche Pflicht stand, ist GPC in mehreren US-Bundesstaaten gesetzlich verankert. Deshalb lohnt sich der Entwicklungsaufwand.

Ist die Beachtung von GPC gesetzlich vorgeschrieben?

In Kalifornien ja. Die CCPA-Verordnungen verpflichten Unternehmen, die personenbezogene Daten verkaufen oder weitergeben, Opt-out-Präferenzsignale wie GPC als gültige Opt-out-Anträge zu behandeln, und die kalifornischen Aufsichtsbehörden sind bereits gegen Unternehmen vorgegangen, die sie ignoriert haben.

Mehrere andere US-Bundesstaaten mit umfassenden Datenschutzgesetzen verpflichten Unternehmen, universelle Opt-out-Mechanismen für zielgerichtete Werbung und Datenverkäufe zu beachten, und einige Aufsichtsbehörden haben GPC offiziell als solchen Mechanismus anerkannt. Anforderungen und Stichtage unterscheiden sich von Bundesstaat zu Bundesstaat. Prüfen Sie daher jedes Gesetz, das für Sie gilt. Den kalifornischen Hintergrund finden Sie unter CCPA und CPRA: Was das US-Datenschutzrecht für Cookies bedeutet.

In der EU und im Vereinigten Königreich ist der rechtliche Status von GPC weniger geklärt. Ein fehlendes GPC-Signal ist nie eine Einwilligung, Sie brauchen für nicht notwendige Cookies also weiterhin eine Opt-in-Einwilligung. Die DSGVO sieht allerdings vor, dass Menschen mittels automatisierter Verfahren widersprechen können. GPC als ernst zu nehmende Präferenz zu behandeln ist daher eine vernünftige, datenschutzfreundliche Voreinstellung.

Wie erkenne ich das GPC-Signal?

Prüfen Sie navigator.globalPrivacyControl im Browser und den Header Sec-GPC auf dem Server. Nutzen Sie beides: Die clientseitige Prüfung steuert Tags, die in der Seite geladen werden, die serverseitige Prüfung deckt serverseitig gerenderte Entscheidungen und Server-Side Tagging ab.

Im Browser ist die Eigenschaft true, wenn der Nutzer GPC aktiviert hat. In Browsern ohne Unterstützung ist sie undefined, vergleichen Sie also strikt:

// Vor dem Laden von Marketing-Tags ausführen
const gpcEnabled = navigator.globalPrivacyControl === true;

if (gpcEnabled) {
  // Als Opt-out von Verkauf und Weitergabe für diesen Browser behandeln:
  // Werbe-, Retargeting- und Social-Pixel überspringen und den Opt-out speichern.
}

Auf dem Server sendet der Browser bei aktivem GPC mit jedem Request Sec-GPC: 1. In einer Node.js-App mit Express:

app.use((req, res, next) => {
  // Header-Namen unterscheiden nicht zwischen Groß- und Kleinschreibung; "1" ist der einzige definierte Wert
  req.gpcOptOut = req.get('Sec-GPC') === '1';
  // Wenn Antworten je nach GPC unterschiedlich ausfallen und gecacht werden, den Cache nach dem Header variieren
  res.vary('Sec-GPC');
  next();
});

Sie können außerdem eine Datei /.well-known/gpc.json veröffentlichen, um zu erklären, dass Ihre Website das Signal beachtet, wie in der GPC-Spezifikation beschrieben:

{
  "gpc": true,
  "lastUpdate": "2026-06-18"
}

Was gehört konkret dazu, GPC zu beachten?

GPC zu beachten heißt, das Verhalten Ihrer Website zu ändern, nicht nur ein Flag auszulesen. Behandeln Sie das Signal als vollständigen Opt-out von Verkauf und Weitergabe für diesen Browser.

1. Früh erkennen. Prüfen Sie das Signal, bevor ein Tag, das Daten verkauft oder weitergibt, auslösen kann.
2. Die Datenflüsse stoppen. Unterdrücken Sie Werbe-, Retargeting- und Social-Pixel von Drittanbietern und passen Sie nachgelagerte Steuerungen an, indem Sie etwa die werbebezogenen Signale im Google Consent Mode auf denied setzen.
3. Auf bekannte Nutzer ausweiten. Ist der Besucher eingeloggt oder Ihnen anderweitig bekannt, wenden Sie den Opt-out auch auf sein Konto an.
4. Keine Hürden aufbauen. Verlangen Sie keine zusätzlichen Schritte oder Angaben, um den Opt-out zu bestätigen. Steht eine frühere Opt-in-Entscheidung auf Ihrer Website im Widerspruch zum Signal, dürfen Sie den Konflikt erläutern und den Nutzer seine Wahl bestätigen lassen.
5. Das Ergebnis zeigen. Eine kurze Meldung wie „Opt-out-Anfrage berücksichtigt“ zeigt Nutzern, dass das Signal gewirkt hat.
6. Nachweise führen. Protokollieren Sie, dass ein GPC-Opt-out eingegangen ist und umgesetzt wurde, zusammen mit Ihren übrigen Einwilligungsnachweisen.

Wie Sie Tags technisch zurückhalten, lesen Sie unter Drittanbieter-Skripte bis zur Einwilligung blockieren. Dieselbe Blockierungsebene kann auch einen GPC-Opt-out durchsetzen.

Wie schneidet GPC im Vergleich zu anderen Datenschutzsignalen ab?

GPC ist enger gefasst als ein Cookie-Banner, hat aber mehr rechtliches Gewicht als ältere Browsersignale. Diese Tabelle zeigt, wo es einzuordnen ist.

Signal	Was es mitteilt	Rechtliches Gewicht
Global Privacy Control	Meine Daten nicht verkaufen oder weitergeben	Verbindlicher Opt-out nach kalifornischem Recht und einigen anderen Gesetzen von US-Bundesstaaten
Do Not Track	Mich nicht tracken	Keine gesetzliche Pflicht zur Beachtung; inzwischen veraltet
Auswahl im Cookie-Banner	Granulare Einwilligung je Zweck	Erforderlich für eine wirksame Opt-in-Einwilligung in der EU und im Vereinigten Königreich

Fazit

GPC macht aus einer Datenschutzpräferenz ein maschinenlesbares Signal, und in Kalifornien sowie einer wachsenden Zahl weiterer Bundesstaaten ist es ein Compliance-Verstoß, es zu ignorieren. Erkennen Sie es auf Client und Server, stoppen Sie die betroffenen Datenflüsse, protokollieren Sie, was Sie getan haben, und halten Sie Ihren EU-Einwilligungsprozess davon getrennt. Tools wie Cookiesh unterstützen GPC, sodass das Signal zusammen mit dem Rest Ihres Consent-Setups verarbeitet wird.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.