Global Privacy Control (GPC): Die Rückkehr des “Do Not Track” mit gesetzlichem Rückenwind
Management Summary
Was ist Global Privacy Control (GPC) eigentlich?
Hinter dem Begriff Global Privacy Control verbirgt sich eine technische Spezifikation, die es Internetnutzern ermöglicht, ihre Datenschutzpräferenzen universell festzulegen. Anstatt auf jeder einzelnen Webseite erneut durch einen Consent-Banner navigieren zu müssen, übernimmt der Browser diese Aufgabe.
Technisch gesehen funktioniert GPC über zwei Wege:
- HTTP-Header: Der Browser sendet bei jeder Anfrage das Feld Sec-GPC: 1 mit.
- JavaScript-API: Skripte auf der Webseite können den Status über navigator.globalPrivacyControl abfragen.
Beispiel: Ein Nutzer aktiviert GPC in seinem Firefox-Browser. Sobald er die Webseite besucht, signalisiert sein Browser automatisch, dass er Tracking zu Werbezwecken ablehnt. Als Webseitenbetreiber sollte dieses Signal technisch interpretiert und entsprechende Skripte und Services blockiert werden.
Warum jetzt? Der Unterschied zu „Do Not Track“ (DNT)
Viele Marketer erinnern sich noch an das „Do Not Track“-Signal. Es scheiterte kläglich, weil es keine gesetzliche Verpflichtung gab, es zu respektieren und die Webseitenbetreiber dementsprechend keine Daten verlieren wollten. Die meisten Unternehmen ignorierten “Do Not Track” schlichtweg.
Bei GPC ist das anders. Die Initiative hat starke Verbündete und was viel entscheidender ist, eine rechtliche Basis:
- USA (Kalifornien & Co.): Unter dem CCPA/CPRA ist die Anerkennung von universellen Opt-out-Signalen wie GPC für Unternehmen verpflichtend. Wer das Signal ignoriert, riskiert empfindliche Bußgelder.
- Europa (DSGVO): Auch wenn die DSGVO GPC nicht explizit beim Namen nennt, interpretieren Datenschutzbehörden das Signal zunehmend als wirksamen Widerspruch gegen die Datenverarbeitung (Art. 21 DSGVO) oder als Widerruf einer Einwilligung.
GPC und das Zusammenspiel mit Consent Management Plattformen
Ein häufiges Missverständnis ist, dass GPC das Cookie-Banner komplett ersetzt. In der aktuellen Übergangsphase ergänzen sich beide Systeme:
-
01
GPC als “Vorauswahl“
Erkennt die Webseite (oder die CMP) das GPC-Signal, sollte das Banner entweder gar nicht erst für Marketing-Cookies fragen oder diese Kategorien bereits standardmäßig auf “Ablehnen“ setzen.
-
02
Automatisierung durch CMPs
Führende Anbieter wie OneTrust, Usercentrics oder Cookiebot haben GPC-Unterstützung bereits integriert. Wird das Signal erkannt, passen diese Tools das Consent-Objekt automatisch an, ohne dass der Nutzer klicken muss.
Beispiel: Ein Nutzer mit aktivem GPC landet auf einer Webseite. Die CMP erkennt den Header Sec-GPC: 1, setzt den Consent für “Marketing“ und “Statistik“ automatisch auf “Denied“ und feuert nur die technisch notwendigen Tags ab.
Technische Implementierung: So machst du deine Seite GPC-ready
Um GPC-Signale korrekt zu verarbeiten, sind meist nur wenige Schritte im Tag Management oder in der CMP-Konfiguration nötig.
1. Erkennung via JavaScript
Im Google Tag Manager (GTM) kann eine Variable angelegt werden, die den GPC-Status prüft:
function() {
return navigator.globalPrivacyControl === true;
}
Diese Variable kann als Exception-Trigger (Ausnahme Trigger) genutzt werden, um entsprechende Tags zu blockieren, wenn GPC aktiv ist.
2. CMP-Konfiguration
Prüfe in den Einstellungen deiner Consent Management Plattform, ob die Option “Global Privacy Control“ aktiviert ist. Meist reicht ein Klick, um die automatische Priorisierung des Signals gegenüber dem Banner zu aktivieren.
3. Server-Side-Detection
Wenn Server-Side-Tracking im Einsatz ist, kann der Sec-GPC-Header direkt auf dem Server ausgelesen werden. Das ist die sauberste Methode, da hierbei keine clientseitige Logik umgangen werden kann.
Wie und o wird das GPC eingestellt?
Nicht jeder Browser geht mit dem Thema Datenschutz gleich progressiv um. Während einige “Privacy-First“-Browser GPC als Kernfeature feiern, müssen Nutzer der großen Marktführer oft noch manuell nachhelfen.
Folgende Browser unterstützen derzeit GPC (Stand 03/2026):
- Firefox
- Brave (standardmäßig aktiviert)
- DuckDuckGo (standardmäßig aktiviert)
- LibreWolf & Mullvad Browser (standardmäßig aktiviert)
Schritt-für-Schritt: So stellst du GPC ein
Falls du selbst testen möchtest, wie deine Webseite auf das Signal reagiert, oder deine eigene Privatsphäre stärken willst, findest du hier die Kurzanleitung für die gängigsten Setups:
in Firefox (Desktop)
- Öffne die Einstellungen (Settings).
- Navigiere zum Reiter Datenschutz & Sicherheit.
- Scrolle nach unten zum Bereich Datenschutzeinstellungen für Websites
- Aktiviere das Häkchen bei: „Websites anweisen, meine Daten nicht zu verkaufen oder weiterzugeben“.
Bild: Firefox Aktivierung
In DuckDuckGo (standardmäßig aktiviert)
In DuckDuckGo ist das Feature per Default aktiviert. Mit diesen Schritten kann man das Feature sehen bzw. deaktivieren:
- Öffne die Einstellungen
- Navigiere zum Reiter “Web Tracking Protection”
- Finde die Einstellung “Global Privacy Control aktivieren”
Bild: DuckDuckGo Einstellung (standardmäßig aktiviert)
Was müssen Unternehmen jetzt tun?
Datenschutz wird immer mehr von der manuellen Auswahl hin zur automatisierten Präferenz wandern. Derzeit gibt es noch keine spezifische gesetzliche Vorgabe für den verpflichtenden Umgang mit dem GPC-Signal. Möchte man jedoch trotzdem das GPC-Signal berücksichtigen und damit dem Nutzer seiner Webseite vollständige Datenschutzkonformität bieten, dann empfehlen wir folgende Schritte:
-
01
Status-Quo-Check
Prüfe, ob deine Webseite aktuell GPC-Signale erkennt oder ob diese einfach ignoriert werden.
-
02
CMP-Update
Kontaktiere deinen CMP-Anbieter und stelle sicher, dass die GPC-Funktionalität korrekt konfiguriert ist, um vor allem US-Recht (falls relevant) und Best-Practices der DSGVO zu erfüllen.
-
03
Tag Management Audit
Überprüfe deine Trigger im GTM. Stellen sicher, dass Marketing-Tags nicht feuern, wenn das GPC-Signal auf true steht.
-
04
Datenschutzerklärung aktualisieren
Erwähne explizit, dass deine Webseite GPC-Signale respektiert. Das schafft Vertrauen bei datenschutzbewussten Nutzern.
Fazit
Global Privacy Control ist kein kurzfristiger Trend, sondern die logische Antwort auf die “Consent Fatigue“ (Einwilligungsmüdigkeit) der Nutzer. Für Webseitenbetreiber bedeutet dies zwar initialen Aufwand in der Konfiguration, bietet aber langfristig eine stabilere und rechtssichere Basis für das Tracking. Wer GPC heute schon implementiert, zeigt nicht nur technisches Know-how, sondern positioniert sich proaktiv als vertrauenswürdiger Akteur im data-driven Marketing.
