Leitfaden · Browsersignal

Global Privacy Control: Wenn der Browser für Sie Nein sagt

Der GPC ist ein automatischer Hinweis, den der Browser bei jeder Website sendet und der besagt, dass die Person nicht möchte, dass ihre Daten verkauft oder weitergegeben werden. In mehreren US-Bundesstaaten hat das Ignorieren dieses Hinweises bereits zu Bußen geführt. Hier sehen Sie, wie Sie reagieren und wie Sie testen.

Prüfen, ob meine Website den GPC beachtet Leitfaden lesen

✓Basiert auf der GPC-Spezifikation und offiziellen Quellen der Bundesstaaten
✓Ein Test, den jede Person im Browser durchführen kann
✓Lesen, ohne die Website zu verändern

3Browser mit eigenem GPC: Brave, DuckDuckGo und Firefox

1,2 Mio. US-DollarVergleich von Sephora in Kalifornien wegen Ignorierens des GPC, 2022

2024Jahr, in dem Colorado begann, den GPC zu verlangen, ab dem 1. Juli

3Bundesstaaten bei der gemeinsamen Überprüfung im September 2025: Kalifornien, Colorado und Connecticut

Was es ist

Ein Datenschutzhinweis, der bei jedem Besuch mitreist

Die Global Privacy Control, kurz GPC, ist eine Browsereinstellung. Wenn die Person diese Option einschaltet, teilt der Browser allen besuchten Websites mit, dass sie nicht möchte, dass ihre personenbezogenen Daten verkauft oder weitergegeben werden.

Der große Unterschied zu einem Cookie-Banner: Niemand muss auf Ihrer Website etwas anklicken. Die Ablehnung kommt fertig an, noch bevor die Seite lädt. Die Website muss den Hinweis nur lesen und befolgen.

Der GPC ist in Brave und DuckDuckGo bereits eingebaut, wo er standardmäßig eingeschaltet ist, und in Firefox, wo die Person ihn in den Einstellungen aktiviert. Erweiterungen wie Privacy Badger, Disconnect und OptMeowt senden das Signal auch in anderen Browsern.

Der Vorschlag entstand 2020 in einer Gruppe des W3C, der Organisation, die Webstandards entwickelt. Im November 2024 wurde er offizieller Arbeitspunkt der Privacy Working Group des W3C, in der er standardisiert wird.

Checkliste

Was Sie erfüllen müssen

Diese Pflichten gelten dort, wo das Gesetz das GPC verlangt, etwa in Kalifornien, Colorado und Connecticut, für Unternehmen innerhalb der Schwellen des jeweiligen Gesetzes.

Das Signal als gültige Ablehnung behandeln
In Kalifornien ist das GPC ein gültiger Ablehnungswunsch. In Colorado gilt es seit dem 1. Juli 2024 als Ablehnung von Verkauf und zielgerichteter Werbung. In Connecticut gilt die Pflicht seit dem 1. Januar 2025.
2
Das Signal vor den Tags lesen
Der Browser meldet es über den Header Sec-GPC mit dem Wert 1 und über die Eigenschaft navigator.globalPrivacyControl. Der offizielle GPC-Leitfaden verlangt, dass das Skript so früh wie möglich auf der Seite steht.
```
// Lê o GPC antes das tags e liga o RDP na GPT
if (navigator.globalPrivacyControl === true) {
  googletag.cmd.push(function () {
    googletag.pubads().setPrivacySettings({
      restrictDataProcessing: true
    });
  });
}
```
Kein Login und keine zusätzlichen Daten verlangen
Die Regeln von Colorado verbieten es, einen Login zum Akzeptieren des Signals zu verlangen und mehr Daten abzufragen als unbedingt nötig.
Das GPC in der Datenschutzerklärung erklären
In Colorado muss die Erklärung sagen, wie Ablehnungen über ein universelles Signal wie das GPC verarbeitet werden.
Beispiel
Wir respektieren die Global Privacy Control. Wenn Ihr Browser dieses Signal sendet, behandeln wir den Besuch als Ablehnung von Verkauf und zielgerichteter Werbung.
Die Ablehnung an alle Partner weitergeben
Google schaltet das RDP ein, wenn der GPP-String eine Ablehnung zeigt oder wenn der Tag das RDP anfordert. Dieselbe Ablehnung muss auch Header Bidding und die Pixel erreichen.
Den Status der Auswahl anzeigen
In Kalifornien verlangen die seit 2026 geltenden Regeln, dass die Website dem Besucher den Status seiner Wahl anzeigt. In Colorado ist es erlaubt zu zeigen, dass das Signal beachtet wurde.
Beispiel
Datenschutzbereich: GPC-Signal empfangen. Ihre Ablehnung wurde umgesetzt.

In der Praxis

Richtig und falsch

FalschDie Website setzt die Ablehnung nur um, wenn der Besucher noch einmal auf ein Banner klickt.
RichtigDer Browser sendet das GPC und die Website setzt die Ablehnung sofort um, ohne einen Klick zu verlangen.
FalschPixel und Anzeigen werden ausgelöst, bevor jemand das Signal liest.
RichtigDie Anzeigen-Tags warten, bis die CMP das GPC gelesen hat, bevor sie laden.
FalschDie Erklärung erwähnt weder das GPC noch die automatischen Signale des Browsers.
RichtigDie Erklärung sagt, dass die Website das GPC respektiert, und erklärt, was mit dem Besuch geschieht.

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Für das GPC gibt es keine Liste zertifizierter CMPs, und Google verlangt in den USA keine zertifizierte CMP. Prüfen Sie, ob Ihre CMP das GPC liest und die Ablehnung im GPP-String speichert.

Definitionen

Die Fachbegriffe ohne Kompliziertheit

Diese Wörter erscheinen in den Gesetzen, in den CMPs und in den Entwicklertools des Browsers.

Header Sec-GPC

Der Hinweis, den der Browser bei jeder Anfrage an den Server sendet. Wenn die Person den GPC eingeschaltet hat, hat er genau den Wert 1.

navigator.globalPrivacyControl

Dieselbe Information, verfügbar für die Skripte der Seite. Sie ist wahr, wenn der GPC eingeschaltet ist, und falsch, wenn nicht.

Datei gpc.json

Eine optionale Datei unter der Well-known-Adresse der Website, in der der Inhaber erklärt, dass er den GPC beachtet, und das Datum der letzten Aktualisierung angibt.

Verkauf und Weitergabe

In Kalifornien bedeutet Weitergabe, Daten für verhaltensbasierte Werbung über verschiedene Websites hinweg zu nutzen. Programmatische Anzeigen fallen in der Regel hierunter.

Zielgerichtete Werbung

Begriff, den Gesetze wie die von Colorado und Connecticut für Anzeigen verwenden, die danach ausgewählt werden, was die Person auf anderen Websites tut.

Universelles Ablehnungssignal

Allgemeiner Name, den die Gesetze für automatische Hinweise wie den GPC verwenden. Jeder Bundesstaat bestimmt, welche Signale er akzeptiert.

Für wen es gilt

Wo das Beachten des GPC schon Pflicht ist

Die Gesetze gelten für Unternehmen, die die Kriterien des jeweiligen Bundesstaats erfüllen, etwa das Datenvolumen von Einwohnern. Klären Sie mit der Rechtsabteilung, ob Ihre Website unter diese Kriterien fällt.

Kalifornien

Die Generalstaatsanwaltschaft sagt, dass der GPC von den erfassten Unternehmen als gültiger Antrag akzeptiert werden muss, den Verkauf oder die Weitergabe von Daten zu beenden.

Colorado

Seit dem 1. Juli 2024 müssen die erfassten Unternehmen den GPC beachten. Heute ist er das einzige universelle Signal, das der Bundesstaat akzeptiert.

Connecticut

Seit dem 1. Januar 2025 gelten Browsersignale als Ablehnung des Datenverkaufs und der zielgerichteten Werbung.

Oregon

Seit dem 1. Januar 2026 können Einwohner ein universelles Ablehnungssignal nutzen, das vom Browser oder von einer Erweiterung gesendet wird.

Andere Bundesstaaten

Auch andere Gesetze von US-Bundesstaaten behandeln universelle Ablehnungssignale, mit eigenen Fristen. Die Liste ändert sich häufig.

Außerhalb der USA

In Brasilien und Europa ersetzt der GPC weder das Banner noch die Einwilligung. Dennoch zeigt das Beachten des Signals Sorgfalt gegenüber den Besuchern.

Rechte der Besucher

Was sich für Besucher ändert, die den GPC einschalten

Für das Gesetz ist der GPC dasselbe, als würde die Person auf den Link „Meine Daten nicht verkaufen oder weitergeben“ klicken. Der Unterschied: Sie muss diesen Link nicht auf jeder Website finden.

Nach Erhalt der Ablehnung darf die Website die Daten dieser Person weder verkaufen noch weitergeben, es sei denn, sie erlaubt es erneut. In Kalifornien lautet der offizielle Hinweis, Ablehnungsanträge so schnell wie möglich zu erfüllen, spätestens innerhalb von 15 Werktagen.

In Connecticut gilt das Signal auch dann, wenn es mit einer früheren Entscheidung der Person oder einem Treueprogramm kollidiert. Die Website darf auf den Konflikt hinweisen und um Bestätigung bitten, das Signal aber nicht einfach ignorieren.

Der GPC verlangt nicht, dass die Website aufhört zu funktionieren oder Anzeigen ausblendet. Die Anzeigen erscheinen weiter. Sie dürfen nur die Daten dieser Person nicht für Verkauf, Weitergabe oder zielgerichtete Werbung verwenden.

Pflichten der Website

Wie die Website auf den GPC reagieren sollte

Das Signal früh erkennenDie CMP oder ein Skript am Seitenanfang liest das Signal, bevor ein Anzeigen- oder Marketing-Tag lädt.
Die Ablehnung sofort anwendenMarkieren Sie die Besucher als abgelehnt für Verkauf, Weitergabe und zielgerichtete Werbung, ohne einen Klick oder ein Formular zu verlangen.
Die Ablehnung an die Partner weitergebenAktualisieren Sie die GPP-String mit der Ablehnung und dem GPC-Feld des nationalen Abschnitts, damit Google und die übrigen Partner denselben Hinweis erhalten.
Zeigen, dass das Signal beachtet wurdeEin Satz wie „Wir haben Ihr Datenschutzsignal erhalten“ im Präferenzfenster hilft den Besuchern und dient der Website als Nachweis.
In einem Browser mit GPC testenSchalten Sie den GPC in Firefox ein oder nutzen Sie Brave, öffnen Sie die Website und prüfen Sie in der Konsole und in den Netzwerkanfragen, ob die Ablehnung angewendet wurde.

Auslesen des Signals im Browser und optionale Erklärungsdatei

// Lê o GPC antes das tags de anúncio
if (navigator.globalPrivacyControl === true) {
  // trate como recusa de venda, compartilhamento
  // e publicidade direcionada
  // a CMP deve refletir isso na GPP string
}

// Opcional: /.well-known/gpc.json
{ "gpc": true, "lastUpdate": "2026-11-02" }

AdSense und Ad Manager

Wie die GPC-Ablehnung zu den Google-Anzeigen gelangt

Der GPC spricht mit Ihrer Website, nicht direkt mit jedem Werbepartner. Deshalb ist der sicherste Weg, dass die CMP das Signal in eine in der GPP-String erfasste Ablehnung umwandelt.

Ad Manager liest den nationalen US-Abschnitt und die Abschnitte von Kalifornien, Colorado, Connecticut, Florida und Virginia. Wenn die String die Ablehnung von Verkauf, Weitergabe oder zielgerichteter Werbung zeigt, schaltet Google die eingeschränkte Datenverarbeitung ein.

Damit wird die Anzeige weiterhin ausgespielt, aber ohne Personalisierung auf Grundlage der Daten dieser Besucher. Der Umsatz pro Besuch sinkt meist ein wenig, aber die Website läuft nicht mehr Gefahr, eine gültige Ablehnung zu ignorieren.

Achtung bei Header Bidding und zusätzlichen Netzwerken. Wenn nur das Google-Tag die Ablehnung erhält, nutzen andere Käufer der Auktion die Daten weiter, als hätten die Besucher nie abgelehnt.

Zeitleiste

Vom Experiment zur Durchsetzung

In wenigen Jahren wurde der GPC von einem technischen Vorschlag zum Ziel gemeinsamer Durchsetzung mehrerer Bundesstaaten.

2020
Vorschlag beim W3C
Der GPC beginnt in einer Community-Gruppe des W3C zum Datenschutz.
24. August 2022
Fall Sephora
Die Staatsanwaltschaft von Kalifornien gibt einen Vergleich über 1,2 Millionen US-Dollar bekannt. Einer der Vorwürfe lautet, über den GPC gesendete Ablehnungen nicht verarbeitet zu haben.
1. Juli 2024
Colorado verlangt den GPC
Unternehmen, die unter das Gesetz von Colorado fallen, beachten den GPC nun als Ablehnung von Verkauf und zielgerichteter Werbung.
November 2024
Offizieller Arbeitspunkt beim W3C
Der GPC wird nun von der Privacy Working Group des W3C standardisiert.
1. Januar 2025
Connecticut verlangt Browsersignale
Signale wie der GPC gelten nun als Ablehnung von Verkauf und zielgerichteter Werbung.
9. September 2025
Gemeinsame Überprüfung
Kalifornien, Colorado und Connecticut senden Schreiben an Unternehmen, die den GPC offenbar nicht beachten.
1. Januar 2026
Oregon führt das universelle Signal ein
Einwohner von Oregon können nun ein universelles Ablehnungssignal über den Browser nutzen.

Durchsetzung

Wer kontrolliert und was bereits geschehen ist

Kontrolliert wird von den Generalstaatsanwaltschaften der einzelnen Bundesstaaten und in Kalifornien auch von der staatlichen Datenschutzbehörde. Sie können ermitteln, Korrekturen verlangen und die in jedem Gesetz vorgesehenen Strafen verhängen.

Der erste große Fall war 2022 der von Sephora. Die Staatsanwaltschaft von Kalifornien warf dem Unternehmen vor, über den GPC gesendete Ablehnungen nicht zu verarbeiten und das Problem nicht innerhalb der damals im Gesetz vorgesehenen Frist behoben zu haben. Der Vergleich belief sich auf 1,2 Millionen US-Dollar.

Im September 2025 führten Kalifornien, Colorado und Connecticut eine gemeinsame Überprüfung durch und sandten Schreiben an Unternehmen, die den GPC offenbar nicht beachteten, mit der Aufforderung zur sofortigen Korrektur.

Der Test der Behörden ist einfach: den GPC im Browser einschalten und sehen, ob die Website weiter Daten an Werbepartner sendet. Jede Person kann diesen Test wiederholen.

Häufige Fehler

Was dazu führt, dass eine Website den GPC unbemerkt ignoriert

In den meisten Fällen glaubt der Inhaber der Website, alles sei in Ordnung, weil das Banner erscheint.

CMP ohne GPC-Auswertung

Die Option gibt es in der CMP, aber sie ist ausgeschaltet. Das Signal kommt an, und niemand liest es.

Tags vor der CMP

Pixel und Anzeigen laden, bevor die CMP das Signal liest. Die ersten Daten sind schon abgeflossen, wenn die Ablehnung angewendet wird.

Ablehnung nur im Cookie der CMP

Die CMP speichert die Ablehnung, aktualisiert aber die GPP-String nicht. Die Partner erfahren nie davon.

Klick zur Bestätigung verlangen

Die Website zeigt einen Hinweis, der die Person bittet, die Ablehnung zu bestätigen, bevor sie angewendet wird. Das Signal ist bereits die Ablehnung.

Header Bidding außen vor

Die Ablehnung erreicht Google, aber nicht die anderen Käufer der Auktion.

Nur für Kalifornien

Das Signal wird für einen Bundesstaat beachtet und in den anderen ignoriert, in denen es ebenfalls verlangt wird.

In der Praxis

Was beim GPC erlaubt ist und was nicht

Alltagsbeispiele für Websites mit Besuchern aus den USA.

Erlaubt

Weiter Anzeigen zeigen, ohne Personalisierung mit den Daten der Person
Im Präferenzfenster zeigen, dass das Signal empfangen wurde
Auf einen Konflikt mit einer früheren Entscheidung hinweisen und um Bestätigung bitten
Die Datei gpc.json veröffentlichen und erklären, dass die Website das Signal beachtet
Dieselbe Ablehnung für alle Partner der Auktion anwenden

Nicht erlaubt

Das Signal ignorieren, weil die Besucher nicht auf das Banner geklickt haben
Login, E-Mail oder ein Formular verlangen, um die Ablehnung zu akzeptieren
Marketing-Pixel laden, bevor das Signal gelesen wurde
Den Inhalt für alle sperren, die den GPC nutzen
Die Ablehnung beim nächsten Besuch ohne neue Erlaubnis rückgängig machen

In ConsentMode

Was das Audit zum GPC prüft

Öffnet die Website zweimal, mit und ohne GPC-Signal, als Besucher aus den USA.
Vergleicht die Tags und Anzeigenanfragen, die bei jedem Besuch ausgelöst werden.
Liest die GPP-String und prüft, ob die Ablehnung und das GPC-Feld erscheinen, wenn das Signal eingeschaltet ist.
Prüft, ob die Datei gpc.json existiert und ob das Präferenzfenster das Signal anzeigt.
Liefert Screenshots jedes Besuchs und die Anpassung, die in der CMP oder in den Tags vorzunehmen ist.

Audit starten Alles ansehen, was geprüft wird

Häufige Fragen

Ersetzt der GPC das Cookie-Banner?

Nein. Das Banner bleibt dort nötig, wo das Gesetz Hinweis oder Einwilligung verlangt. Der GPC ist eine automatische Ablehnung, die die Website beachten muss, mit oder ohne Banner.

Meine Website ist brasilianisch. Muss ich mir Gedanken machen?

Wenn Sie Besucher aus den USA haben und Ihr Unternehmen unter die Kriterien der Gesetze der Bundesstaaten fällt, ja. Für das Publikum in Brasilien erwähnt die LGPD den GPC nicht, aber das Beachten des Signals stört die Anzeigen nicht.

Entfernt das Beachten des GPC die Anzeigen von der Seite?

Nein. Die Anzeigen bleiben. Sie dürfen nur die Daten dieser Besucher nicht für Verkauf, Weitergabe oder zielgerichtete Werbung verwenden.

Wie schalte ich den GPC zum Testen ein?

Aktivieren Sie in Firefox die Option in den Datenschutzeinstellungen. In Brave und DuckDuckGo ist das Signal bereits eingeschaltet. Geben Sie dann navigator.globalPrivacyControl in die Konsole ein: Das Ergebnis sollte true sein.

Ist die Datei gpc.json Pflicht?

Nein. Sie ist eine optionale Erklärung, die in der Spezifikation vorgesehen ist. Für das Gesetz zählt, dass die Website die Ablehnung tatsächlich anwendet.

Liest Google den GPC von selbst?

Verlassen Sie sich nicht darauf. Der sichere Weg ist, dass die CMP das Signal in eine Ablehnung in der GPP-String umwandelt, die Ad Manager liest und nutzt, um die Datenverarbeitung einzuschränken.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Sehen Sie, was Ihre Website tut, wenn der Browser Nein sagt

Das Audit besucht die Website mit und ohne GPC und zeigt den Unterschied, ohne etwas zu verändern.

Audit starten