Arbeitsbereich

Leitfaden · Branchenstandard

GPP erklärt: ein Signal für viele Datenschutzgesetze

Die GPP fasst die Datenschutzentscheidungen, die jedes Gesetz verlangt, in einem einzigen Code zusammen, von den US-Bundesstaaten bis Kanada und Europa. Hier verstehen Sie, wie sie funktioniert, was Google liest und wann Ihre Website sie braucht.

Die GPP meiner Website prüfenLeitfaden lesen
  • ✓Basiert auf der Spezifikation des IAB Tech Lab
  • ✓Enthält, was Ad Manager akzeptiert und ignoriert
  • ✓Lesen, ohne die Website zu verändern
2022Jahr, in dem Version 1.0 des GPP-Strings veröffentlicht wurde
20US-Landesabschnitte in der offiziellen GPP-Liste
6US-Abschnitte, die Ad Manager innerhalb der GPP liest
7Nummer des nationalen US-Abschnitts, der usnat

Was es ist

Eine einzige Box für Datenschutzsignale

Die GPP ist ein Protokoll des IAB Tech Lab, der technischen Organisation der Werbebranche. Sie entstand als Global Privacy Platform und erscheint heute auf der offiziellen Website als Global Privacy Protocol. Das Kürzel bleibt dasselbe.

Die Idee ist einfach. Jedes Datenschutzgesetz verlangt andere Informationen. Kalifornien spricht von Verkauf und Weitergabe von Daten. Andere Bundesstaaten sprechen von gezielter Werbung. Europa spricht von Einwilligung pro Zweck. Die GPP speichert all das in einem einzigen Code, dem GPP-String, in Abschnitte unterteilt.

Der Datenschutzbanner der Website, die CMP, baut diesen String je nach Region und Auswahl des Besuchers zusammen. Danach sendet der Anzeigencode den String an die Plattformen, die nur den Abschnitt lesen, der für diesen Besucher gilt.

Wie das TCF ist die GPP kein Gesetz. Sie ist ein technisches Werkzeug, um die Auswahl des Besuchers standardisiert zu den Werbepartnern zu bringen.

Checkliste

Was Sie erfüllen müssen

Das GPP ist kein Gesetz, daher stammen diese Punkte aus den US-Bundesstaatengesetzen und aus dem, was Google zum Lesen des Signals verlangt.

  1. Zeigen Sie den Ablehnen-Link für Besucher aus den USA

    In Kalifornien braucht ein Unternehmen, das personenbezogene Daten verkauft, einen klaren, sichtbaren Link namens Do Not Sell or Share My Personal Information. Die Mitteilung von Google zu Bundesstaatengesetzen erstellt diesen Link.

    Beispiel

    Footer für Besucher aus den USA mit dem Link Do Not Sell or Share My Personal Information.

  2. Das GPC als Ablehnung behandeln

    In Kalifornien muss das vom Browser gesendete Signal Global Privacy Control als gültige Aufforderung respektiert werden, den Verkauf oder die Weitergabe von Daten zu stoppen.

    Beispiel

    Wenn der Browser das GPC sendet, speichert die CMP die Ablehnung in der GPP-String, ohne einen Klick zu verlangen.

  3. Lassen Sie die Ablehnung die GPP-String ändern

    Google schaltet die eingeschränkte Datenverarbeitung ein, wenn die String eine Ablehnung von Verkauf, Weitergabe oder gezielter Werbung zeigt. Wenn der Klick die String nicht ändert, kommt die Ablehnung nicht bei Google an.

  4. Nutzen Sie die Abschnitte, die Google liest

    Google akzeptiert im GPP den nationalen US-Abschnitt und die Abschnitte von Kalifornien, Colorado, Connecticut, Florida und Virginia. Es akzeptiert weder den Abschnitt von Utah noch das kanadische TCF noch die Version 1.0 des GPP.

  5. Behalten Sie das eigene TCF für Europa bei

    Für Besucher aus dem EWR, dem Vereinigten Königreich und der Schweiz nutzt Google weiterhin das TCF von IAB Europe mit zertifizierter CMP. Die europäische TC-String innerhalb des GPP wird nicht akzeptiert.

  6. Senden Sie gpp und gpp_sid bei jeder Anfrage

    Google erhält die String im Parameter gpp und die Nummer der Abschnitte im Parameter gpp_sid. Prüfen Sie, ob auch die Header-Bidding-Partner beide erhalten.

    Beispiel

    In der Anzeigenanfrage eines Besuchers mit dem nationalen Abschnitt enthält der Parameter gpp_sid die Nummer 7.

  7. Markieren Sie ohne GPP die Ablehnung im Tag

    Google verlangt weder GPP noch CMP für die US-Bundesstaaten. Wer einen eigenen Ablehnen-Link hat, kann die eingeschränkte Datenverarbeitung direkt im Ad-Manager-Tag für Personen einschalten, die abgelehnt haben.

    googletag.pubads().setPrivacySettings({
  restrictDataProcessing: true
});

  8. Ersetzen Sie den US Privacy String durch das GPP

    IAB hat den US Privacy String im Januar 2024 eingestellt. Google liest dieses Signal noch, empfiehlt aber die Migration zum GPP.

In der Praxis

Richtig und falsch

Offizielle Tools

Zertifizierte CMPs und offizielle Links

Google verlangt für die US-Bundesstaaten weder eine zertifizierte CMP noch das GPP, nutzen Sie also diese offiziellen Seiten, um das Signal zu erzeugen und die Ablehnung anzuzeigen.

Definitionen

Die Begriffe, die Sie im Dashboard und in den Berichten sehen werden

Sechs Konzepte erklären fast alles, was bei der GPP auf einer Website passiert.

GPP-String

Der vollständige Code mit einem Header und einem oder mehreren Abschnitten. Er reist mit den Anzeigenanfragen.

Header

Der erste Teil des Strings. Er sagt, welche Abschnitte in ihm enthalten sind, damit jeder Partner den findet, den er braucht.

Abschnitt

Der Block einer Rechtsordnung, wie der nationale US-Abschnitt oder der eines Bundesstaats. Jeder hat eine Nummer und einen kurzen Namen.

gpp_sid

Die Liste der Nummern der Abschnitte, die für diese Anfrage gelten. Sie geht mit dem String, damit der Partner weiß, welchen er lesen soll.

API __gpp

Der Standardbefehl der CMP auf der Seite. Die Anzeigen-Skripte fragen darüber, ob der String bereit ist und was er enthält.

MSPA

Mehrstaatlicher Vertrag des IAB für Anzeigentransaktionen in den USA. Der nationale Abschnitt hat Felder, die anzeigen, ob die Transaktion davon abgedeckt ist.

Die Abschnitte

Was in einen GPP-String passt

Die offizielle Liste der Abschnitte steht im Repository des IAB Tech Lab und wächst, wenn neue Gesetze in Kraft treten.

TCF Europa (tcfeuv2)

Trägt den europäischen TC string in der GPP. Nützlich für Partner, die alles über die GPP lesen, aber Google akzeptiert diesen Weg für europäische Besucher nicht.

TCF Kanada (tcfcav1)

Kanadische Version des TCF, vom IAB Canada für die Einwilligungsregeln des Landes geschaffen.

US Privacy (uspv1)

Das alte Signal Kaliforniens, auch Vier-Buchstaben-String genannt. Steht noch in der Liste, wurde aber vom IAB eingestellt.

National USA (usnat)

Ein Abschnitt, der die Landesgesetze einheitlich abdeckt. Viele CMPs nutzen nur ihn für alle Bundesstaaten.

Landesabschnitte

Eigene Blöcke von Bundesstaaten wie Kalifornien, Virginia, Colorado, Connecticut, Texas, Oregon und anderen. Die offizielle Liste hat 20.

GPC-Unterabschnitt

Der nationale Abschnitt kann den Hinweis mitführen, dass der Browser die Global Privacy Control gesendet hat, das automatische Ablehnungssignal.

Für wen es gilt

Wann Ihre Website die GPP braucht und wo sie nicht hilft

Die GPP macht am meisten Unterschied bei Websites mit Besuchern aus den Vereinigten Staaten, die programmatische Anzeigen zeigen. Über sie erfahren die Plattformen, ob der Besucher verlangt hat, dass seine Daten nicht verkauft, geteilt oder für gezielte Werbung genutzt werden.

Wenn Ihr Publikum fast ganz brasilianisch ist, hat die GPP wenig Wirkung. Die LGPD nutzt diesen Standard nicht, und Google verlangt für Besucher aus Brasilien keine GPP. Trotzdem lohnt es sich, die CMP nach Region zu konfigurieren, damit das US-Publikum das richtige Signal erhält.

Für Europa ersetzt die GPP bei Google das TCF nicht. Ad Manager akzeptiert den in der GPP gesendeten europäischen TC string für Besucher aus dem EWR, dem Vereinigten Königreich und der Schweiz nicht. In diesen Regionen bleibt die zertifizierte CMP mit TCF für personalisierte Anzeigen Pflicht.

Die Gesetze hinter der GPP werden von den Behörden jedes Landes oder Bundesstaats durchgesetzt, etwa den Generalstaatsanwälten der US-Bundesstaaten. Die GPP selbst verhängt keine Strafe. Sie ist der technische Nachweis, dass die Auswahl des Besuchers weitergegeben wurde.

Rechte der Besucher

Was der nationale US-Abschnitt festhält

Der Abschnitt usnat speichert zwei Arten von Informationen. Die erste ist, ob die Website den Besucher informiert hat: Hinweis zur Weitergabe, Hinweis zum Verkauf, Hinweis zu gezielter Werbung und Hinweise zu sensiblen Daten.

Die zweite ist, was der Besucher entschieden hat. Es gibt Felder für die Ablehnung des Datenverkaufs, die Ablehnung der Weitergabe, die Ablehnung gezielter Werbung, die Nutzung sensibler Daten und die Einwilligung für Kinderdaten.

Diese Felder spiegeln die Rechte wider, die die Landesgesetze den Personen geben. Wenn ein Besucher auf Meine Informationen nicht verkaufen oder weitergeben klickt, ändert die CMP das entsprechende Feld, und alle Partner erhalten die Ablehnung bei der nächsten Anzeigenanfrage.

Der Abschnitt zeigt auch an, ob die Transaktion vom MSPA-Vertrag abgedeckt ist, und kann den vom Browser gesendeten Wert der Global Privacy Control enthalten.

So setzen Sie es um

Fünf Schritte, damit die GPP auf der Website funktioniert

  1. Eine CMP mit GPP-Unterstützung wählenDie meisten kommerziellen CMPs und die Datenschutzmeldung von Google bieten Optionen für die US-Bundesstaaten. Prüfen Sie, welche Abschnitte Ihre CMP erzeugt.
  2. Die Regionen festlegenZeigen Sie die Meldung und erzeugen Sie den US-Abschnitt für Besucher von dort. Für Europa behalten Sie das eigene TCF. Für den Rest der Welt folgen Sie dem lokalen Gesetz.
  3. Den Ablehnungslink setzenGesetze wie das von Kalifornien verlangen einen sichtbaren Link, mit dem der Besucher Verkauf oder Weitergabe ablehnen kann. Er muss den GPP-String sofort aktualisieren.
  4. Den String an die Partner weitergebenDer Google-Tag liest den String über die API der CMP. Bei Header Bidding und weiteren Netzwerken bestätigen Sie, dass der String und die gpp_sid bei jeder Anfrage mitgehen.
  5. Mit und ohne Ablehnung testenÖffnen Sie die Website als US-Besucher, lehnen Sie den Verkauf ab und sehen Sie, ob sich der String ändert und ob die Anzeigenanfragen nun die Ablehnung tragen.
Schnelltest in der Browserkonsole mit der Standard-API der GPP
// Pergunta à CMP se a GPP string está pronta
__gpp('ping', function (data, ok) {
  if (!ok) return;
  console.log('status:', data.signalStatus);         // 'ready' ou 'not ready'
  console.log('seções:', data.applicableSections);   // ex.: [7]
  console.log('string:', data.gppString);
});

AdSense und Ad Manager

Wie Google die GPP liest

Ad Manager erhält den String in zwei Parametern der Anzeigenanfrage: gpp, mit dem String, und gpp_sid, mit den Nummern der Abschnitte. Der Google-Tag übernimmt das, wenn die CMP die Standard-API bereitstellt.

Innerhalb der GPP akzeptiert Ad Manager den nationalen US-Abschnitt und die Abschnitte von Kalifornien, Colorado, Connecticut, Florida und Virginia. Es nutzt die GPP nicht für das europäische TCF, das kanadische TCF und den Abschnitt von Utah.

Wenn der String eine Ablehnung zeigt, aktiviert Google die eingeschränkte Datenverarbeitung. Im nationalen Abschnitt geschieht das bei Ablehnung von Verkauf, Weitergabe oder gezielter Werbung. Die Anzeige wird weiter gezeigt, aber ohne Personalisierung auf Grundlage der Daten dieses Besuchers.

Google verlangt nicht, dass der Publisher den MSPA unterzeichnet. Ad Manager nimmt am Programm der zertifizierten MSPA-Partner teil. Seit September 2025 akzeptiert Google die zweite Version des nationalen Abschnitts und akzeptiert weiter die erste.

Zeitleiste

Wie die GPP bis hierher gekommen ist

Der Standard wird aktualisiert, sobald neue Landesgesetze in Kraft treten.

  1. 28. September 2022

    Version 1.0 veröffentlicht

    Das IAB Tech Lab veröffentlicht die endgültige Spezifikation des GPP-Strings und die erste Version der API der CMPs.

  2. Dezember 2022

    Der nationale US-Abschnitt entsteht

    Der Abschnitt usnat wird eingeführt, um die Landesgesetze in einem einzigen Block zu bündeln.

  3. Juni 2023

    API der CMPs in Version 1.1

    Die API antwortet nun über Callback-Funktionen, und einige alte Befehle werden entfernt.

  4. Januar 2024

    US Privacy String eingestellt

    Das IAB stellt das alte Signal Kaliforniens ein. Google liest dieses Signal weiter, aber der empfohlene Weg ist nun die GPP.

  5. September 2025

    Google akzeptiert den nationalen Abschnitt v2

    Ad Manager liest nun die zweite Version des nationalen Abschnitts, ohne die erste nicht mehr zu akzeptieren.

  6. Ende 2025

    Neue Bundesstaaten

    Die Abschnitte von Maryland, Indiana, Kentucky und Rhode Island werden nach der öffentlichen Konsultation abgeschlossen.

  7. August 2026

    Aktualisierung auf den neuen MSPA

    Die Spezifikation wird auf die neueste Version des Mehrstaatenvertrags aktualisiert.

Häufige Fehler

Was die GPP auf Websites am häufigsten kaputt macht

Fast alle bleiben unbemerkt, weil der Banner ganz normal weiter erscheint.

Ablehnungslink, der nichts ändert

Der Besucher klickt auf Nicht verkaufen, aber der GPP-String bleibt gleich. Für die Partner hat die Ablehnung nie stattgefunden.

Europäisches TCF nur innerhalb der GPP

Die CMP sendet den TC string nur über die GPP. Google akzeptiert diesen Weg für den EWR, das Vereinigte Königreich und die Schweiz nicht, und die Anzeigen werden eingeschränkt.

Falsche oder leere gpp_sid

Der String kommt an, aber die Liste der Abschnitte passt nicht zum Inhalt. Der Partner weiß nicht, welchen Block er lesen soll.

Anzeigen vor dem String

Der Anzeigencode wird ausgelöst, bevor die CMP bereit ist. Die ersten Anfragen gehen ohne jedes Datenschutzsignal hinaus.

Header Bidding ohne GPP

Der Google-Tag erhält den String, die Header-Bidding-Partner aber nicht. Ein Teil der Auktion ignoriert die Ablehnung des Besuchers.

GPC ignoriert

Der Browser sendet die Global Privacy Control, aber die CMP registriert die Ablehnung nicht. In mehreren Bundesstaaten gilt das als gültige Ablehnung.

In der Praxis

Was mit der GPP erlaubt ist und was nicht

Praktische Beispiele für alle mit Traffic aus den Vereinigten Staaten und aus anderen Ländern.

Erlaubt

  • Nur den nationalen US-Abschnitt nutzen, wenn CMP und Partner ihn akzeptieren
  • Den String nur für US-Besucher erzeugen und das TCF für Europa beibehalten
  • Einen festen Link Nicht verkaufen oder weitergeben in der Fußzeile anzeigen
  • Das GPC des Browsers als Ablehnung im String erfassen
  • In der Konsole prüfen, ob sich der String nach der Ablehnung ändert

Nicht erlaubt

  • Die GPP anstelle der zertifizierten CMP mit TCF für Europa nutzen
  • Den Ablehnungslink nur ein E-Mail-Formular öffnen lassen
  • Abschnitte von Bundesstaaten senden, die nicht zum Besucher passen
  • Die Anzeigen laden, bevor die CMP antwortet
  • Nur den alten US Privacy String behalten, ohne den Wechsel zu planen

In ConsentMode

Was die Prüfung zur GPP kontrolliert

  • Öffnet die Website als Besucher aus den USA und aus anderen Regionen und prüft, ob die CMP den GPP-String erzeugt.
  • Erkennt die CMP und die im String enthaltenen Abschnitte, etwa den nationalen oder die der Bundesstaaten.
  • Prüft, ob String und gpp_sid die Anzeigenanfragen der Seite begleiten.
  • Prüft, ob es einen Ablehnungslink gibt und ob sich der String nach dem Klick ändert.
  • Weist darauf hin, wenn Europa nur von der GPP abhängt, ohne das TCF, das Google verlangt.
Audit startenAlles ansehen, was geprüft wird

Häufige Fragen

Sind GPP und TCF Konkurrenten?

Nein. Das TCF ist der europäische Standard für Einwilligung. Die GPP ist ein Umschlag, der das TCF und die Signale anderer Gesetze tragen kann. Bei Google nutzt Europa weiter direkt das TCF, und die GPP dient vor allem den USA.

Meine Website ist brasilianisch. Brauche ich die GPP?

Nur wenn Sie Besucher aus den Vereinigten Staaten haben und möchten, dass deren Ablehnung die Anzeigenpartner erreicht. Für das brasilianische Publikum verlangt Google die GPP nicht.

Ersetzt die GPP den US Privacy String?

Sie ist der vom IAB empfohlene Weg, der den alten String im Januar 2024 eingestellt hat. Google liest den alten String noch, daher können Sie den Wechsel in Ruhe planen.

Muss ich den MSPA unterzeichnen, um die GPP zu nutzen?

Google verlangt nicht, dass der Publisher unterzeichnet. Wenn andere Partner danach fragen, klären Sie es mit der Rechtsabteilung. Der MSPA ist ein Vertrag, keine technische Einstellung.

Nimmt die eingeschränkte Datenverarbeitung die Anzeigen weg?

Nein. Google zeigt weiter Anzeigen, nutzt aber die Daten dieses Besuchers nicht für die Personalisierung. Der Umsatz pro Besuch ist meist niedriger.

Wie sehe ich den GPP-String meiner Website?

Öffnen Sie die Browserkonsole und nutzen Sie den Befehl ping der API __gpp, wie im Beispiel dieses Leitfadens. Oder starten Sie eine ConsentMode-Prüfung, die den String und die Abschnitte zeigt.

Bibliothek

Offizielle Quellen

Dieser Leitfaden wurde anhand dieser offiziellen Seiten geschrieben. Lesen Sie direkt an der Quelle:

Finden Sie heraus, ob die Ablehnung Ihrer Besucher die Anzeigen erreicht

Die Prüfung liest den GPP-String wie ein US-Besucher und zeigt, was zu beheben ist, ohne etwas zu ändern.

Audit starten