Global Privacy Control (GPC): Leitfaden 2026

Global Privacy Control (GPC) ist eine Browsereinstellung, die jeder besuchten Website mitteilt, Ihre personenbezogenen Daten weder zu verkaufen noch weiterzugeben. Sie schalten sie einmal ein, und sie spricht überall für Sie. Keine Pop-ups, keine Widerspruchsformulare Website für Website, kein Cookie-Banner-Marathon. Und anders als die Datenschutzsignale davor hat dieses Zähne: In immer mehr US-Bundesstaaten sind Unternehmen gesetzlich verpflichtet, ihm zu folgen.

Hier ist alles Wissenswerte zu GPC im Jahr 2026: was es ist, wie es funktioniert, welche Browser es senden, wie Sie es in dreißig Sekunden aktivieren und wo das Gesetz Websites zur Beachtung zwingt.

GPC in 60 Sekunden

Was es ist: eine Browsereinstellung, die allen Websites automatisch mitteilt “meine Daten nicht verkaufen oder weitergeben”.
Ist es verbindlich? Ja in 12 US-Bundesstaaten (Kalifornien, Colorado, Connecticut und weitere). In der EU noch nicht, dort bleiben Einwilligungsbanner Pflicht.
So aktivieren Sie es: in Brave und DuckDuckGo standardmäßig an, in Firefox ein einzelnes Häkchen, in Chrome und Edge eine Erweiterung.
Neu 2026: Kalifornien verlangt von Unternehmen, die Daten verkaufen oder weitergeben, dem Besucher zu zeigen, dass sein Signal beachtet wurde, statt es still zu verarbeiten.

Was ist Global Privacy Control?

Global Privacy Control (GPC) ist ein Datenschutzsignal auf Browserebene, das jeder besuchten Website automatisch mitteilt, Ihre personenbezogenen Daten weder zu verkaufen noch weiterzugeben. Der Browser hängt es jeder Anfrage als HTTP-Header an (Sec-GPC: 1), und in 12 US-Bundesstaaten sind Unternehmen gesetzlich zur Beachtung verpflichtet. Eine einzige Einstellung deckt das gesamte Web ab, statt Website für Website zu widersprechen.

Die Idee wurde im April 2020 in der Privacy Community Group des W3C vorgestellt und am 7. Oktober 2020 öffentlich vorgestellt, getragen von einem ungewöhnlich breiten Bündnis: Electronic Frontier Foundation, DuckDuckGo, Brave, Mozilla, Consumer Reports, Disconnect, Abine sowie große Verlage wie die New York Times, die Washington Post und die Financial Times. Federführend waren Ashkan Soltani, der später erster Exekutivdirektor der kalifornischen Datenschutzbehörde wurde, und Sebastian Zimmeck von der Wesleyan University.

Wo steht der Standard heute? Mitte 2026 ist GPC ein Working Draft der Privacy Working Group des W3C auf dem Weg zur Recommendation. Im Klartext: ein offizieller, aktiv weiterentwickelter Webstandard in Arbeit, aber noch keine fertige W3C-Recommendation. Dieser technische Status zählt weniger als der rechtliche, aus dem GPC seine eigentliche Kraft zieht (dazu weiter unten).

Wie GPC technisch funktioniert

Am Mechanismus ist nichts geheimnisvoll. Wenn Sie GPC aktivieren, tut Ihr Browser zwei Dinge:

Er fügt seinen Anfragen den HTTP-Header Sec-GPC: 1 hinzu. Ist GPC aus, fehlt der Header schlicht.
Er stellt die schreibgeschützte Eigenschaft navigator.globalPrivacyControl bereit, die das JavaScript der Seite als true auslesen kann.

Eine Website (oder ihr Einwilligungswerkzeug) erkennt das Signal entweder serverseitig über den Header oder clientseitig in zwei Zeilen:

if (navigator.globalPrivacyControl) {
  // Diesen Besucher als Widerspruch gegen Verkauf und Weitergabe behandeln
}

Eine Website kann zusätzlich öffentlich erklären, dass sie GPC beachtet, indem sie unter /.well-known/gpc.json eine kleine Datei veröffentlicht.

Ein Punkt ist entscheidend und wird oft missverstanden: GPC ist ein Signal, kein Blocker. Ihr Browser verkündet Ihre Präferenz, handeln muss die empfangende Website. GPC selbst hindert keinen einzigen Tracker am Laden. Es wirkt nur, wenn die Website oder ihr Einwilligungswerkzeug es beachtet oder gesetzlich dazu verpflichtet ist.

GPC gegen Do Not Track: warum dieses Signal hält

Falls Ihnen das bekannt vorkommt: zu Recht. Vor zehn Jahren versuchte das Web fast dasselbe und scheiterte. Dieses Scheitern erklärt am besten, was GPC anders macht.

	Do Not Track (DNT)	Global Privacy Control (GPC)
Entstehung	2009 (Vorschlag für einen HTTP-Header)	April 2020 (Privacy Group des W3C)
Erste Browser	Firefox, Januar 2011	Brave, DuckDuckGo und andere, Oktober 2020
Standardisierung	W3C-Gruppe Tracking Protection, Januar 2019 ohne Standard geschlossen	W3C Working Draft auf dem Weg zur Recommendation
Rechtskraft	Nie vorhanden	In 12 US-Bundesstaaten verbindlich
Wie es endete	2019 aus Safari entfernt, Anfang 2025 aus Firefox gestrichen	Mit Bußgeldern durchgesetzt, bald per kalifornischem Gesetz für Browser Pflicht

Do Not Track war eine höfliche Bitte. Ein US-Gesetz (CalOPPA) verlangte lediglich, dass Websites offenlegen, wie sie darauf reagieren, womit “wir ignorieren es” eine vollkommen legale Antwort war. Also ignorierten es die Websites. Die Browser gaben schließlich auf: Apple entfernte DNT 2019 aus Safari und nannte es einen abgelaufenen Standard, der zum Fingerprinting-Vektor geworden war; Firefox strich das DNT-Häkchen Anfang 2025 und verwies die Nutzer auf GPC.

GPC hat daraus gelernt. Es wurde gezielt so gebaut, dass es an ein bestehendes Recht anknüpft: das Recht, dem Verkauf oder der Weitergabe der eigenen personenbezogenen Daten zu widersprechen, wie es US-Bundesstaatengesetze vorsehen. Die Erklärung des GPC-Projekts selbst ist unmissverständlich: Do-Not-Track-Anfragen brachten den Willen der Nutzer, dem Verkauf ihrer Daten zu widersprechen, nicht klar zum Ausdruck, und GPC wurde entwickelt, um genau das zu beheben.

In einem Satz: Do Not Track bat höflich, GPC stellt einen rechtsverbindlichen Antrag, dort wo das Gesetz es vorsieht.

Welche Browser unterstützen GPC?

Die Unterstützung ist uneinheitlich und ändert sich in diesem Themenfeld am schnellsten. Stand Mitte 2026 (lohnt eine erneute Prüfung, denn hier bewegt sich viel):

Browser	GPC-Unterstützung	Standardmäßig an?	Wo zu finden
Brave	nativ	ja (Desktop und Android)	Shields-Einstellungen
DuckDuckGo (Browser, Apps, Erweiterung)	nativ	ja	automatisch aktiviert
Firefox	nativ (Desktop ab v120)	nur private Fenster, im normalen Surfen optional	Einstellungen, Datenschutz & Sicherheit
Mullvad Browser	nativ (ab 14.0)	ja	automatisch aktiviert
Chrome	keine	Erweiterung erforderlich	Privacy Badger oder OptMeowt installieren
Edge	keine	Erweiterung erforderlich	Privacy Badger oder OptMeowt installieren
Safari	keine	keine native Unterstützung und keine verbreitete Erweiterung	derzeit nicht verfügbar

Die zwei großen Lücken sind Chrome und Safari. Chrome bietet keine native Unterstützung, doch Erweiterungen wie Privacy Badger (von der EFF) oder OptMeowt schließen die Lücke.

Gibt es GPC für Safari oder das iPhone?

Nativ nicht. Safari hat keine eingebaute GPC-Einstellung und keine verbreitete Erweiterung, die eine hinzufügt. Auf dem iPhone ist die praktikable Route die DuckDuckGo-Browser-App, die GPC standardmäßig sendet.

Das muss nicht so bleiben. Im Oktober 2025 erließ Kalifornien den “Opt Me Out Act” (AB 566): Browser, die in Kalifornien angeboten werden, müssen bis zum 1. Januar 2027 eine eingebaute Einstellung für ein Opt-out-Signal enthalten. Die Browser, die GPC bisher ausgelassen haben, müssen es also bald nachrüsten. Weder Google noch Apple hat eine Umsetzung angekündigt, doch die Frist steht.

GPC aktivieren, Schritt für Schritt

So aktivieren Sie GPC: In Firefox setzen Sie unter Datenschutz & Sicherheit das Häkchen bei “Websites anweisen, meine Daten nicht zu verkaufen oder weiterzugeben”; in Brave, DuckDuckGo und Mullvad ist es bereits standardmäßig aktiv; in Chrome oder Edge installieren Sie eine GPC-Erweiterung wie Privacy Badger. Im Einzelnen:

Firefox: Öffnen Sie die Einstellungen, gehen Sie zu Datenschutz & Sicherheit, scrollen Sie zum Abschnitt mit den Datenschutzeinstellungen für Websites und setzen Sie das Häkchen bei “Websites anweisen, meine Daten nicht zu verkaufen oder weiterzugeben”. Wichtig: In privaten Fenstern sendet Firefox GPC automatisch, für das normale Surfen müssen Sie dieses Häkchen setzen.
Brave: nichts zu tun, GPC ist standardmäßig aktiv.
DuckDuckGo (Browser oder mobile App): nichts zu tun, standardmäßig aktiv.
Mullvad Browser: seit Version 14.0 standardmäßig aktiv.
Chrome oder Edge: Installieren Sie eine GPC-fähige Erweiterung wie Privacy Badger oder OptMeowt, dann wird das Signal automatisch gesendet.
Safari: Derzeit gibt es keine gute Option. Nutzen Sie für datenschutzsensibles Surfen einen anderen Browser oder warten Sie die Frist 2027 ab.

Sie möchten prüfen, ob es funktioniert? Rufen Sie globalprivacycontrol.org in Ihrem Browser auf. Die Seite erkennt Ihr Signal und zeigt Ihnen, ob es gesendet wird.

Wo GPC rechtlich verbindlich ist

Hier hört GPC auf, eine gute Idee zu sein, und wird zur Compliance-Pflicht. Und das Bild unterscheidet sich diesseits und jenseits des Atlantiks erheblich.

USA: 12 Bundesstaaten, Tendenz steigend

Kalifornien ist der Ankerpunkt. Sein Attorney General (Generalstaatsanwalt) vertritt seit Juli 2021 die Auffassung, dass GPC als wirksamer Widerspruch zu behandeln ist. Die Verordnung ist eindeutig: Ein Unternehmen, das personenbezogene Daten verkauft oder weitergibt, muss ein Opt-out-Präferenzsignal, das den Anforderungen der Verordnung entspricht, als wirksamen Widerspruch verarbeiten (11 CCR § 7025(b)). Und es muss reibungslos beachtet werden, ohne vorherige Anmeldung oder Identitätsprüfung.

Ein Hinweis zum Wortlaut: “verkaufen oder weitergeben” (sell or share) sind Rechtsbegriffe des kalifornischen Rechts, wobei “weitergeben” gezielt die websiteübergreifende verhaltensbasierte Werbung meint, nicht das Weitergeben im Alltagssinn.

Was passiert, wenn Sie GPC ignorieren?

Das ist keine Theorie. Die Missachtung von Opt-out-Signalen zieht sich inzwischen durch die höchsten Datenschutzstrafen der USA, und 2026 hat das Tempo deutlich angezogen:

Wann	Wer	Behörde	Betrag	Das Versäumnis
Aug. 2022	Sephora	Attorney General Kalifornien	1,2 Mio. $	Verarbeitete GPC-Opt-out-Signale überhaupt nicht (erstes öffentliches CCPA-Verfahren)
Juli 2025	Healthline	Attorney General Kalifornien	1,55 Mio. $	Gab Besucherdaten weiterhin für zielgerichtete Werbung weiter, obwohl per GPC widersprochen wurde
Sep. 2025	Tractor Supply	CPPA	1,35 Mio. $	Unwirksame Opt-out-Mechanismen, einschließlich browserbasierter GPC-Signale (höchste Geldbuße in der Geschichte der CPPA)
Sep. 2025	Koordinierte Prüfaktion	CPPA sowie die Attorneys General von Kalifornien, Colorado und Connecticut	Schreiben, keine Bußgelder	Koordinierte Untersuchung von Unternehmen, die Opt-out-Präferenzsignale ignorieren
Feb. 2026	Disney und ABC	Attorney General Kalifornien	2,75 Mio. $	Behandelte Opt-out-Präferenzsignale nicht als wirksame Widersprüche und zersplitterte den Widerspruch über Geräte und Apps (höchster CCPA-Vergleich bislang)
März 2026	PlayOn Sports	CPPA	1,1 Mio. $	Erkannte Opt-out-Präferenzsignale nicht, und das Einwilligungsbanner machte die Nutzung der Ticketplattform von der Annahme der Tracker abhängig
März 2026	Ford	CPPA	375.703 $	Verlangte vor der Bearbeitung eines Widerspruchs eine E-Mail-Verifizierung und musste seine Tracking-Technologien prüfen und den Umgang mit Opt-out-Präferenzsignalen korrigieren

Das Muster ist stets dasselbe: Die Behörde schaltet GPC im Browser ein, besucht die Website und beobachtet, was die Tracker tun. Die Erkennung ist nicht hypothetisch, sie ist der Test.

Kalifornien ist längst nicht mehr allein. Zum 1. Januar 2026 verlangen zwölf Bundesstaaten die Beachtung universeller Opt-out-Signale wie GPC: Kalifornien, Colorado, Connecticut, Delaware, Maryland, Minnesota, Montana, Nebraska, New Hampshire, New Jersey, Oregon und Texas. Colorado ging weiter und ließ GPC förmlich als erstes (und bislang einziges) anerkanntes universelles Opt-out-Signal zu. Nicht jedes Bundesstaatengesetz enthält diese Pflicht (mehrere an Virginia angelehnte Gesetze tun es nicht), weshalb es sich lohnt zu wissen, welche Bundesstaaten Ihr Publikum betreffen.

Europa: nicht verbindlich, noch nicht

In der EU hat GPC heute keine förmliche Rechtskraft. Keine europäische Aufsichtsbehörde erkennt es als verbindlich an, und der Grund ist struktureller Natur: Die DSGVO beruht auf vorheriger Einwilligung (vor dem Laden nicht notwendiger Tracker braucht es eine Erlaubnis), während GPC ein Widerspruchssignal ist. Beides passt nicht zusammen. Daraus folgt die wichtigste Erkenntnis für europäische Websites: GPC ersetzt Ihr Einwilligungsbanner nicht. Die FAQ des GPC-Projekts selbst hält fest, dass das Signal für sich genommen keine rechtsverbindlichen Pflichten begründet.

Heute nicht, und der Zeitplan ist gerade unübersichtlicher geworden. Die DSGVO verlangt eine vorherige Einwilligung, bevor nicht notwendige Tracker laden, eine europäische Website braucht also weiterhin ein Banner, auch für Besucher, die GPC senden. Der Vorschlag des Digital Omnibus (November 2025) würde das ändern, indem er Signale auf Browserebene verbindlich macht, doch die Mitgliedstaaten fanden keine Einigung: Ein Kompromisstext des Rates schlug im Juni 2026 vor, die Bestimmung ersatzlos zu streichen, und wurde dann mangels qualifizierter Mehrheit zurückgezogen. Der Rat hat weiterhin keine abgestimmte Position. Planen Sie damit, Ihr Banner zu behalten.

Eine Debatte und ein Vorschlag existieren gleichwohl. Die DSGVO sieht den Widerspruch mittels automatisierter Verfahren bereits in Artikel 21(5) vor. Und im November 2025 legte die Europäische Kommission den “Digital Omnibus” vor, der die Regeln zur Cookie-Einwilligung in die DSGVO überführen und über einen neuen Artikel 88b Verantwortliche verpflichten würde, maschinenlesbare Signale auf Browserebene zu beachten, mit GPC als naheliegendstem Kandidaten (der Vorschlag selbst ist signalneutral, der genaue technische Standard wäre später festzulegen). Der EDSA und der EDSB begrüßten den Gedanken in ihrer gemeinsamen Stellungnahme vom Februar 2026.

Dann stockte es. Im Juni 2026 brachte die Ratspräsidentschaft einen Kompromisstext in Umlauf, der Artikel 88b ersatzlos strich, nach intensiver Lobbyarbeit der Werbewirtschaft und mit Deutschland, Frankreich und Polen unter den Mitgliedstaaten, die die Streichung befürworteten. Auch dieser Text überlebte nicht: Er wurde Ende Juni mangels qualifizierter Mehrheit aus dem Zustimmungsverfahren der Botschafter zurückgezogen, und die Akte ging an die neue irische Ratspräsidentschaft, ohne dass der Rat eine abgestimmte Position hatte. Auch das Europäische Parlament hat sich nicht positioniert, sein Ausschussvotum ist der nächste Termin, den es zu beobachten gilt. Der ehrliche Stand lautet also weder “Browsersignale kommen nach Europa” noch “sie sind tot”, sondern: Die Mitgliedstaaten konnten sich nicht einmal auf ein Verhandlungsmandat einigen.

Wenn Sie den tieferen Vergleich beider Regelungswerke suchen, behandeln wir ihn in CCPA vs. DSGVO: die wichtigsten Unterschiede für Website-Betreiber.

Hat Europa eine eigene Version von GPC?

Keine verbindliche, aber die Bausteine gibt es. ADPC (Advanced Data Protection Control), eine Spezifikation von noyb und der Wirtschaftsuniversität Wien, erweitert den GPC-Gedanken um granulare Einwilligung, Ablehnung und Widerspruch im Sinne der DSGVO. Sie bleibt freiwillig, und kein Browser liefert sie standardmäßig aus. Am weitesten ist Deutschland: Die Einwilligungsverwaltungsverordnung (EinwV) ist seit April 2025 in Kraft und erlaubt es dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, Dienste zur Einwilligungsverwaltung nach § 26 TDDDG förmlich anzuerkennen. Der erste anerkannte Dienst wurde im Oktober 2025 zugelassen, seit Dezember 2025 gibt es dazu eine kostenlose Chrome-Erweiterung. Für Websites bleibt die Teilnahme allerdings freiwillig, was deutsche Aufsichtsbehörden selbst als Konstruktionsfehler kritisieren. Auch die Rechtsprechung bewegt sich: Das Landgericht Berlin entschied 2023, dass ein Do-Not-Track-Signal des Browsers einen wirksamen automatisierten Widerspruch nach Artikel 21(5) DSGVO ausdrücken kann (LG Berlin, 16 O 420/19, nicht rechtskräftig). Übersteht Artikel 88b Rat und Parlament, wird Europa endlich sein offizielles Signal wählen. Andernfalls sind diese verstreuten nationalen Ansätze alles, was Europa hat.

Was Ihre Website in Sachen GPC tun muss

Wenn Sie eine Website betreiben, hier die konkrete Liste.

Signal erkennen: Lesen Sie serverseitig den Header Sec-GPC oder im Browser navigator.globalPrivacyControl.
Beachten, wo gefordert: In den genannten 12 Bundesstaaten behandeln Sie es als wirksamen Widerspruch gegen Verkauf und Weitergabe personenbezogener Daten (und gegen zielgerichtete Werbung), sofort und ohne Anmeldung des Besuchers.
Vorrang vor früherer Einwilligung: Hat der Besucher dem Tracking auf Ihrer Website zuvor zugestimmt, geht das Signal vor. Die kalifornischen Regeln sind eindeutig: Das Opt-out-Präferenzsignal hat Vorrang vor einer zuvor auf der Website erteilten Erlaubnis (§ 7025(c)(3)).
Auf die Person anwenden, nicht nur auf den Browser: Wissen Sie, wer der Besucher ist (er ist angemeldet oder anderweitig identifizierbar), muss der Widerspruch auch für sein Konto und sein Profil gelten, nicht nur für diese Browsersitzung.
Zeigen, dass Sie es beachtet haben: Das ist neu. Seit dem 1. Januar 2026 verlangt Kalifornien von Unternehmen, die personenbezogene Daten verkaufen oder weitergeben, anzuzeigen, dass sie das Opt-out-Präferenzsignal des Verbrauchers verarbeitet haben. Die Behörde schlägt sogar eine Formulierung im Sinne von “Opt-out-Präferenzsignal beachtet” vor. Das Signal still zu verarbeiten genügt nicht mehr.
Unterstützung erklären (optional): Veröffentlichen Sie eine Datei /.well-known/gpc.json, in der Sie erklären, dass Sie GPC beachten.
In der EU: Sie sind heute nicht verpflichtet, auf GPC zu reagieren, doch es als Ablehnung zu behandeln ist die datenschutzfreundlichste und DSGVO-konforme Auslegung. Behandeln Sie GPC niemals als Einwilligung in irgendetwas.

Punkt fünf (nachweisen, dass Sie das Signal beachtet haben) ist keine Formalie. Als Kalifornien sich im Februar 2026 mit Disney verglich, gehörte dazu die Auflage, Verbrauchern eine Möglichkeit zu geben, die Verarbeitung ihres Widerspruchs zu bestätigen. Zusammen mit der koordinierten Prüfaktion der drei Bundesstaaten ist “wir erkennen es, zeigen aber nichts” damit eine reale Compliance-Lücke.

Und wenn Sie Google-Tags einsetzen, müssen Ihre Einwilligungssignale auch dort korrekt ankommen. Genau dafür ist Google Consent Mode v2 da.

Das ist der Teil, der mir am meisten am Herzen liegt, denn deshalb haben wir unser kostenloses Cookie-Banner so gebaut.

Unser Banner beachtet GPC nativ. Kommt ein Besucher mit aktivem Signal, wendet es dessen Ablehnung an, bevor ein einziger Tracker lädt, und zeigt ihm dabei gar kein Banner. Wer seinem Browser bereits gesagt hat “meine Daten nicht verkaufen oder weitergeben”, sollte nicht von einem Einwilligungsdialog mit derselben Frage empfangen werden. Die Tracker bleiben blockiert, und eine schwebende Schaltfläche erlaubt es dem Besucher, seine Auswahl jederzeit wieder zu öffnen.

Und um der neuen kalifornischen Pflicht zu genügen, zeigt das Banner GPC-Besuchern nun einen kurzen, schließbaren Hinweis, der die Beachtung ihres Signals bestätigt, übersetzt in alle 30 von uns unterstützten Sprachen. Das ist die Anforderung “zeigen Sie, dass Sie das Signal verarbeitet haben”, für Sie erledigt. Wer sie nicht anzeigen möchte, schaltet sie mit einem einzigen Attribut ab (data-gpc-notice="off").

Es ist kostenlos, ohne Registrierung, und wird mit einer einzigen Zeile JavaScript eingebunden. Technische Details dazu, was es blockiert und wie, finden Sie in unserem Leitfaden zum kostenlosen DSGVO-konformen Cookie-Banner oder bei den 37 Trackern, die ein Cookie-Banner blockieren muss, bevor eingewilligt wurde.

Häufige Fragen

Ist GPC in der EU gesetzlich vorgeschrieben? Nein. Die DSGVO beruht auf vorheriger Einwilligung, deshalb bleibt in der EU ein rechtskonformes Cookie-Banner Pflicht, und GPC ersetzt es nicht. Der Vorschlag des Digital Omnibus könnte das künftig ändern, ist aber heute kein geltendes Recht.

Blockiert GPC Cookies oder Tracker? Nein. GPC ist ein Signal, kein Blocker. Ob tatsächlich etwas blockiert wird, hängt davon ab, ob die Website oder ihr Einwilligungswerkzeug das Signal beachtet. Für sich genommen stoppt GPC nichts.

Macht GPC Cookie-Banner überflüssig? Im Allgemeinen nicht. In den USA automatisiert es den Widerspruch für Besucher, die das Signal senden, in der EU gilt jedoch das Prinzip der vorherigen Einwilligung, sodass ein Banner weiterhin nötig ist. GPC und Einwilligungsbanner ergänzen sich, sie ersetzen einander nicht.

Schaltet GPC Google Analytics oder Google Ads ab? Nicht von allein. GPC kündigt lediglich die Entscheidung des Besuchers an. Ihr Einwilligungswerkzeug muss das Signal lesen und die Ablehnung an den Google Consent Mode weitergeben, der dann einschränkt, wie Google Analytics und Google Ads die Daten dieses Besuchers verarbeiten. Übersetzt Ihre Einrichtung das Signal nie, laufen die Google-Tags weiter, als wäre nichts geschehen, und genau das wurde bei Healthline und Tractor Supply geahndet.

Was ist ein universelles Opt-out-Signal (UOOM)? So bezeichnen mehrere US-Bundesstaatengesetze Signale wie GPC: ein Mechanismus auf Browserebene, der einen Widerspruch an alle Websites zugleich übermittelt. Colorado hat GPC förmlich als erstes anerkanntes universelles Opt-out-Signal zugelassen, und die meisten der zwölf betroffenen Bundesstaaten übernehmen dasselbe Konzept in ihren Gesetzen.

Woran erkenne ich, dass eine Website mein GPC-Signal beachtet hat? Seit Januar 2026 müssen kalifornische Unternehmen, die personenbezogene Daten verkaufen oder weitergeben, anzeigen, dass sie das Signal verarbeitet haben. Achten Sie auf einen Hinweis, der die Beachtung Ihres Signals bestätigt. Manche Websites veröffentlichen zusätzlich eine Datei /.well-known/gpc.json.

Ist GPC standardmäßig aktiviert? In Brave, DuckDuckGo und Mullvad ja. In Firefox ist es in privaten Fenstern aktiv und im normalen Surfen optional. Chrome, Edge und Safari bieten keine native Unterstützung: Dort ist eine Erweiterung nötig, und für Safari gibt es derzeit gar keine Lösung.

Machen Sie den Test

Zwei schnelle Prüfungen, eine je Rolle.

Als Internetnutzer: Aktivieren Sie GPC mit den Schritten oben und öffnen Sie dann globalprivacycontrol.org. Die Seite erkennt Ihr Signal und zeigt Ihnen, ob es gesendet wird. Dreißig Sekunden, und es gilt für jede Website, die Sie künftig besuchen.

Als Website-Betreiber: Erreicht Ihr Publikum die zwölf genannten Bundesstaaten, wird der Umgang mit GPC inzwischen geprüft und mit Bußgeldern belegt. Verschaffen Sie sich Klarheit. Prüfen Sie Ihre Website kostenlos, um zu sehen, wie Ihre Cookies und Rechtstexte von außen aussehen, und binden Sie dann das kostenlose Cookie-Banner ein, das GPC beachtet (kalifornischer Hinweis inklusive), mit einer Zeile JavaScript.