Global Privacy Control: Was Websites tun müssen

Wann ist GPC ein rechtlich wirksamer Widerspruch?

GPC ist ein technisches Signal, kein Gesetz. Seine Wirkung hängt davon ab, welches Gesetz eines Bundesstaats gilt, ob Ihr Unternehmen in den Anwendungsbereich fällt und um welche Datenverarbeitung es geht.

In Kalifornien muss ein unter den CCPA fallendes Unternehmen, das personenbezogene Informationen verkauft oder weitergibt, ein qualifizierendes Opt-out-Präferenzsignal als gültigen Widerspruch gegen Verkauf und Weitergabe behandeln; der California Attorney General nennt GPC als ein solches Signal. In Colorado müssen erfasste Verantwortliche seit dem 1. Juli 2024 universelle Opt-out-Mechanismen für Verkauf und zielgerichtete Werbung beachten, und der Colorado Attorney General erkennt bislang nur GPC als solchen an.

Die Gesetze anderer Bundesstaaten unterscheiden sich: Manche verlangen, dass Sie diese Signale beachten, andere nicht. Prüfen Sie jeden Markt einzeln, statt das kalifornische Setup zu kopieren; der Leitfaden zum Colorado CPA behandelt die weiteren Regeln in Colorado.

Ab dem 1. Januar 2027 verpflichtet Kalifornien zudem Unternehmen, die einen Webbrowser entwickeln oder pflegen, eine Einstellung anzubieten, die ein Opt-out-Präferenzsignal sendet (Civil Code §1798.136). Dadurch könnten mehr Besucher mit aktiviertem Signal kommen.

Was das Signal bedeutet und was nicht

Browser senden GPC als Request-Header Sec-GPC: 1 und stellen es Skripten als navigator.globalPrivacyControl bereit. Wo das Gesetz ihm Wirkung verleiht, ist es in Kalifornien ein Widerspruch gegen Verkauf und Weitergabe und in Colorado ein Widerspruch gegen Verkauf und zielgerichtete Werbung.

Es ist keine Aufforderung, Daten zu löschen oder ein Konto zu schließen, und es bedeutet nicht unter jedem Rechtsrahmen automatisch „alle Cookies ablehnen“. Checkout, Sicherheit und andere notwendige Funktionen laufen weiter.

Ein fehlendes Signal ist keine Einwilligung. Wenn Ihre Website auch Regionen bedient, die eine vorherige Einwilligung verlangen, etwa die EU, halten Sie diese Entscheidungen getrennt von US-amerikanischen Opt-out-Signalen.

Beispiel: ein Besuch mit aktiviertem GPC

Fiktives Beispiel: Ein Onlineshop für Outdoor-Ausrüstung fällt unter den CCPA und gibt Browsing-Ereignisse über ein Pixel und einen serverseitigen Conversion-Feed an eine Werbeplattform weiter. Ein Kunde aus Kalifornien kommt mit aktiviertem GPC auf eine Kampagnen-Landingpage.

Signal empfangen: Die erste Seitenanfrage enthält das Signal, bevor ein Werbe-Tag ausgeführt wird.
Widerspruch erfasst: Die Website speichert für diesen Browser einen Widerspruch gegen Verkauf und Weitergabe, ohne Klick, Formular oder Anmeldung.
Browser-Abläufe reagieren: Das Werbepixel wird nicht geladen; Warenkorb und Checkout funktionieren normal.
Server-Abläufe reagieren: Der Conversion-Feed sendet keine Ereignisse dieses Browsers mehr an die Plattform.
Bekanntes Profil berücksichtigt: Wenn sich der Kunde anmeldet, gilt der Widerspruch auch für das Konto, und es wird bei Zielgruppen-Uploads ausgelassen, wie es die kalifornischen Regeln für einen bekannten Verbraucher verlangen.
Status angezeigt: Die Website zeigt an, dass der Widerspruch berücksichtigt wurde.

Wiederholen Sie den Besuch zum Testen ohne GPC und vergleichen Sie die Anfragen. Nur die vom Widerspruch erfassten Aktivitäten sollten sich unterscheiden.

Was gilt, wenn GPC mit einer früheren Entscheidung kollidiert?

Ein Besucher hat womöglich bereits eine gespeicherte Banner-Entscheidung, eine Kontoeinstellung oder eine Mitgliedschaft in einem Treueprogramm, wenn das Signal eintrifft. Kalifornien und Colorado lösen den Konflikt zugunsten des Signals, mit begrenzten Möglichkeiten, erneut zu fragen.

GPC und frühere Präferenzen nach den Regeln von Kalifornien und Colorado
Empfangenes Signal	Frühere Präferenz	Betroffene Aktivität	Erwartete Wirkung
GPC beim ersten Besuch	Frühere PräferenzKeine	Betroffene AktivitätVerkauf, Weitergabe oder zielgerichtete Werbung	Erwartete WirkungWiderspruch sofort anwenden, ohne dass ein Klick nötig ist.
GPC nach einem „Akzeptieren“ im Banner	Frühere PräferenzGespeicherte Einstellung, die Verkauf oder Weitergabe erlaubt	Betroffene AktivitätWerbe-Tags, die Daten verkaufen oder weitergeben	Erwartete WirkungWiderspruch anwenden. In Kalifornien dürfen Sie auf den Konflikt hinweisen und eine Einwilligung anbieten.
GPC von einem angemeldeten Kunden	Frühere PräferenzKontoeinstellung, die Verkauf oder Weitergabe erlaubt	Betroffene AktivitätVerkauf oder Weitergabe in Verbindung mit dem Konto, online und offline	Erwartete WirkungWiderspruch auf Browser und Konto anwenden.
GPC von einem Mitglied eines Treueprogramms	Frühere PräferenzProgramm, das eine Einwilligung in Verkauf oder Weitergabe voraussetzt	Betroffene AktivitätVerkauf oder Weitergabe für das Programm	Erwartete WirkungKalifornien: Sie dürfen fragen, ob das Mitglied austreten möchte. Widerspruch anwenden, es sei denn, Sie haben gefragt und keine Bestätigung erhalten.
Kein Signal bei einem späteren Besuch	Frühere PräferenzFrüherer GPC-Widerspruch eines bekannten Kunden	Betroffene AktivitätVerkauf, Weitergabe oder zielgerichtete Werbung	Erwartete WirkungWiderspruch beibehalten.
GPC weiterhin aktiv nach erneuter Einwilligung	Frühere PräferenzSpätere Einwilligung über Ihre Datenschutzeinstellungen	Betroffene AktivitätDie Nutzung, in die eingewilligt wurde	Erwartete WirkungEine gültige Einwilligung kann Vorrang haben (in Kalifornien, solange der Besucher bekannt ist). Status weiterhin anzeigen.

In Kalifornien ist der Hinweis auf den Konflikt optional. Jede Bitte um Einwilligung muss klare, symmetrische Wahlmöglichkeiten bieten, und ein Unternehmen, das sich auf reibungslose Verarbeitung (Frictionless Processing) stützt, um auf den Link „Do Not Sell or Share“ zu verzichten, darf solche Aufforderungen nicht anzeigen. Ansonsten warten Sie mindestens 12 Monate, bevor Sie einen Besucher nach seinem Widerspruch erneut um Einwilligung bitten (CCPA-Verordnungen §7025 und §7026).

Die Regeln in Colorado sind ähnlich: Gehen Sie für Browser, Gerät und bekannten Verbraucher von einem Widerspruch aus, bis eine Einwilligung vorliegt, und fragen Sie nicht über Pop-ups, seitenfüllende Banner oder andere Interstitials. Ein Link zu einer Seite mit Datenschutzeinstellungen, etwa neben dem Widerspruchsstatus, ist ein akzeptierter Weg (CPA Rules 5.08, 5.09 und 7.05).

Den Widerspruch in jedem Datenfluss umsetzen

Listen Sie die Tools auf, die an Verkauf, Weitergabe oder zielgerichteter Werbung beteiligt sind: Pixel, serverseitige Ereignisse, Uploads von Kundenlisten und Partnerintegrationen. Bewerten Sie jedes nach Nutzung und Empfänger, nicht nach dem Namen seines Cookies. In Kalifornien fällt ein Dienstleister (Service Provider) mit einem konformen Vertrag nicht unter den Widerspruch, ein Anbieter, der kontextübergreifende verhaltensbasierte Werbung erbringt, ist dagegen ein Dritter.

Lesen Sie das Signal auf jeder Einstiegsseite aus, auch auf Kampagnen-Landingpages und im Checkout, bevor betroffene Tags ausgeführt werden. Wird eine Übermittlung erst nach dem Laden des Banners gestoppt, sind bereits Daten gesendet worden.

Prüfen Sie dann, was außerhalb des Browsers weiterläuft: Conversion-APIs, Zielgruppenexporte und Partnereinstellungen. Kalifornien verlangt, Verkauf und Weitergabe so schnell wie praktisch möglich zu stoppen und Dritte zu benachrichtigen, die die Daten in der Zwischenzeit erhalten haben.

Passiro verarbeitet Global Privacy Control in jedem Tarif und behandelt ein unterstütztes Signal in der Einwilligungskonfiguration, die es auf Ihrer Website verwaltet, automatisch als Widerspruch. Serverseitige Integrationen, Zielgruppen-Uploads und Kontodaten liegen außerhalb jedes Browser-Tools, testen Sie sie daher separat.

Rechnen Sie dort, wo der Widerspruch gilt, mit kleineren Remarketing-Zielgruppen, und planen Sie Ihr Reporting entsprechend, statt denselben Datenfluss unter anderem Namen neu aufzubauen.

Ergebnis anzeigen und erklären

Die aktuellen kalifornischen Verordnungen verlangen, dass Sie anzeigen, ob Sie das Signal als Widerspruch verarbeitet haben, zum Beispiel mit „Opt-Out Request Honored“ oder einem Schalter in den Einstellungen, der den Widerspruch zeigt. Colorado erlaubt eine ähnliche Anzeige, verlangt sie aber nicht.

Ihre Datenschutzerklärung sollte die Widerspruchsrechte beschreiben und erklären, wie Sie mit Signalen umgehen. Colorado verlangt, dass sie erläutert, wie universelle Opt-out-Anfragen verarbeitet werden; in Kalifornien muss ein Unternehmen, das sich auf reibungslose Verarbeitung stützt, dies angeben und erklären, wie man ein Signal aktiviert.

Bezeichnen Sie die Wahl als „Verkauf oder Weitergabe“ statt als unerklärten Schalter „Personalisierung“, und sorgen Sie dafür, dass Auskunfts- und Löschanträge leicht zu finden bleiben: Das sind separate Prozesse.

GPC-Checkliste

Anwendungsbereich: Halten Sie fest, welche Gesetze von Bundesstaaten gelten und welche Aktivitäten als Verkauf, Weitergabe oder zielgerichtete Werbung zählen.
Erster Besuch: Vergleichen Sie die Anfragen auf einer Kampagnen-Landingpage mit und ohne GPC.
Frühere Entscheidungen: Senden Sie GPC von einem Browser, der zuvor akzeptiert hat, und prüfen Sie, ob der Widerspruch Vorrang hat.
Angemeldete Nutzer: Prüfen Sie, ob für das Konto ein Widerspruch vermerkt ist und es bei Zielgruppen-Uploads ausgelassen wird.
Serverseitig: Prüfen Sie Conversion-APIs und Partnerintegrationen, nicht nur Browser-Tags.
Status und Datenschutzerklärung: Prüfen Sie, ob der Hinweis auf den berücksichtigten Widerspruch erscheint und die Datenschutzerklärung dazu passt.

FAQ

Ist GPC dasselbe wie „Do Not Track“?

Nein. Es sind unterschiedliche Signale mit unterschiedlicher rechtlicher Behandlung. Wenn Sie eines erkennen, heißt das nicht, dass Ihre Website das andere korrekt behandelt.

Muss jede kalifornische Website GPC beachten?

Nein. Die Pflicht gilt für unter den CCPA fallende Unternehmen, die personenbezogene Informationen verkaufen oder weitergeben. Ein erfasstes Unternehmen, das beides nicht tut, muss das Signal nicht anwenden, seine Datenschutzerklärung sollte aber angeben, dass es nicht verkauft oder weitergibt.

Dürfen wir vorher eine Anmeldung oder zusätzliche Angaben verlangen?

Nein. Kalifornien und Colorado erlauben nicht, den Widerspruch von einem Konto oder zusätzlichen Informationen abhängig zu machen. Sie dürfen ein optionales Feld anbieten, etwa für eine E-Mail-Adresse, um den Widerspruch auf Offline-Daten oder auf andere Geräte auszuweiten, und diese Angabe nur dafür nutzen.

Ersetzt die Beachtung von GPC unseren Opt-out-Link?

Nicht für sich allein. In Kalifornien müssen Sie Signale verarbeiten, auch wenn Sie die Opt-out-Links bereitstellen, und Sie dürfen auf den Link „Do Not Sell or Share“ nur bei reibungsloser Verarbeitung verzichten, die den Widerspruch vollständig umsetzt. Colorado verlangt ebenfalls eine klare Opt-out-Methode. Der CCPA-Leitfaden behandelt die Optionen für den Link.

Dürfen wir GPC nur für Besucher aus bestimmten Bundesstaaten anwenden?

Viele Websites entscheiden anhand des Standorts, wo das Signal gilt, und die Regeln in Colorado erlauben eine Prüfung des Wohnsitzes, verlangen sie aber nicht. Die Standorterkennung ist nur ungefähr, legen Sie also fest, wie Sie mit unbekannten Standorten umgehen. Aus praktischer Sicht lässt sich die Anwendung von GPC auf alle US-Besucher einfacher testen und erklären.

Global Privacy Control: Was Ihre Website mit dem Signal tun muss

Auf einen Blick