Was ist Global Privacy Control?
Global Privacy Control, kurz GPC, ist ein automatisches Signal. Dein Browser schickt es bei jedem Seitenaufruf mit und sagt damit: Diese Person möchte nicht, dass ihre Daten verkauft oder an Dritte weitergegeben werden.
Technisch ist das schlicht. Der Browser setzt die Kopfzeile Sec-GPC: 1, und Skripte können den Wert über navigator.globalPrivacyControl lesen. Eine Website kann unter /.well-known/gpc.json zusätzlich erklären, dass sie das Signal kennt.
Ein fertiger Standard ist GPC noch nicht. Beim W3C, dem Gremium für Webstandards, liegt es als Working Draft vor, zuletzt vom 24. September 2026.
Wo ist GPC Pflicht?
In Kalifornien ganz klar. Der California Consumer Privacy Act (CCPA) verlangt: Ein aktiviertes GPC-Signal müssen erfasste Unternehmen als gültige Verbraucheranfrage behandeln. Mehrere weitere US-Bundesstaaten gehen in dieselbe Richtung.
Durchgesetzt wird das auch. Die kalifornische Generalstaatsanwaltschaft warf Sephora 2022 vor, GPC-Abmeldungen nicht bearbeitet zu haben. Disney einigte sich im Februar 2026 auf 2,75 Mio. Dollar: Das Signal hatte nur auf dem jeweiligen Gerät gewirkt, auch bei eingeloggten Nutzern.
Ab Januar 2027 kommt ein weiterer Schritt: Der California Opt Me Out Act verpflichtet Browser, solche Signale anzubieten.
Was gilt in Deutschland?
Das ist nicht geklärt. Eine Stellungnahme der Datenschutzkonferenz oder ein deutsches Urteil speziell zu GPC haben wir nicht gefunden. Es gibt aber drei Anknüpfungspunkte:
- Art. 21 Abs. 5 DSGVO: Bei Online-Diensten kann das Widerspruchsrecht automatisiert mit technischen Spezifikationen ausgeübt werden.
- § 26 TDDDG und Einwilligungsverwaltungsverordnung: Sie regeln anerkannte Dienste zur Einwilligungsverwaltung. GPC wird dort nicht genannt, die Einbindung solcher Dienste ist freiwillig.
- LG Berlin, Urteil vom 24.08.2023, Az. 16 O 420/19: LinkedIns Hinweis, man reagiere nicht auf Do Not Track, wurde als irreführend beanstandet. Das betrifft den Vorläufer, nicht GPC. Der Verbraucherzentrale Bundesverband meldete es damals als nicht rechtskräftig.
Auch in Brüssel ist die Frage offen. Die EU-Kommission schlug im November 2025 einen neuen Art. 88b DSGVO für maschinenlesbare Signale vor. Laut Fachberichten strich der Rat ihn im Juni 2026 aus seiner Fassung, das Verfahren läuft weiter.
Was heißt das für deine Website?
Stell dir einen kleinen Shop aus Kiel vor. Eine Besucherin kommt mit Firefox und aktiviertem GPC. Der Consent-Banner erscheint trotzdem wie immer, denn das Signal ersetzt ihn nicht. Der Shop kann die Ablehnung aber schon vorbelegen und damit zeigen, dass er den Wunsch ernst nimmt.
Eine Pflicht dazu können wir in Deutschland nicht belegen. Anders sieht es aus, wenn du gezielt Kunden in Kalifornien bedienst. Dann gelten die dortigen Regeln, sobald dein Unternehmen unter das jeweilige Gesetz fällt.
Browser
GPC
Brave
unterstützt
DuckDuckGo
standardmäßig an
Firefox
wählbar
Chrome
Prototyp geplant
Die ersten drei nennt die GPC-Projektseite, dazu Erweiterungen wie Privacy Badger. Für Chrome gibt es seit Januar 2026 eine Prototyp-Absicht, aber keinen Zeitplan.
Wie viele Menschen GPC nutzen, wissen wir nicht. Belastbare Zahlen, auch für Deutschland, gibt es nicht. Die 50 Millionen Nutzer der Projektseite sind eine Eigenangabe ohne Datum.
Worin unterscheidet sich GPC von Do Not Track?
- Do Not Track: der Vorläufer. Laut GPC-Projekt drückte das Signal nach kalifornischer Einschätzung nicht klar den Widerspruch gegen den Datenverkauf aus. GPC schließt diese Lücke.
- Consent Mode: Googles Schnittstelle, die den Einwilligungsstatus an Google-Tags übergibt. Das ist Website-Technik, kein Signal von Nutzern.
- Consent-Management-Plattform: verwaltet Einwilligungen auf deiner Seite. Sie kann GPC auswerten, muss aber entsprechend eingerichtet sein.
Häufige Fehler
Fehler 1 · GPC für einen Banner-Ersatz halten
GPC kann nur ablehnen, nicht zustimmen. Die Einwilligung für den Zugriff aufs Endgerät brauchst du weiterhin.
Fehler 2 · Das Signal für allumfassend halten
Es betrifft Verkauf und Weitergabe an Dritte. Ein Löschantrag ist es nicht, und deine eigene Nutzung im selben Zusammenhang bleibt laut W3C außen vor.
Fehler 3 · gpc.json als Beweis sehen
Die Datei sagt nur, dass eine Website das Signal kennt, nicht, ob sie es befolgt. Eine Studie der USENIX Security 2025 fand: Von 3.566 Websites meldeten im April 2024 nur 1.620 Besucher mit GPC tatsächlich ab, das sind 45 %.
Häufige Fragen
Muss ich als deutsches KMU GPC beachten?
Eine ausdrückliche Pflicht in Deutschland können wir nicht belegen, Behörden und Gerichte haben dazu noch nichts Klares gesagt. Art. 21 Abs. 5 DSGVO erlaubt aber automatisierte Widersprüche. Sobald du Kunden in Kalifornien bedienst, prüf die dortigen Regeln.
Ersetzt GPC den Cookie-Banner?
Nein. GPC kann nur ablehnen, nicht einwilligen. Deshalb brauchst du den Banner weiter, wenn du Einwilligungen einholst.
Welche Browser senden GPC?
Laut Projektseite Brave und der DuckDuckGo-Browser sowie Firefox, dort per Einstellung. Dazu kommen Erweiterungen wie Privacy Badger. Für Chrome gibt es Prototyp-Pläne ohne Zeitplan.
Was ist der Unterschied zu Do Not Track?
Do Not Track war der Vorläufer und galt in Kalifornien nicht als klarer Widerspruch gegen den Datenverkauf. GPC ist genau dafür gebaut und wirkt dort wie ein Klick auf „Do Not Sell“.
