Global Privacy Control: das Signal, das die meisten Websites ignorieren

Es gibt ein Signal, das Millionen von Browsern bei jedem einzelnen Seitenaufruf mitsenden und das die allermeisten Websites schlicht nicht beachten. Es heisst Global Privacy Control, kurz GPC. Wer es ignoriert, verstösst in Kalifornien gegen geltendes Recht — und der erste Fall, in dem das durchgesetzt wurde, kostete 1,2 Millionen Dollar.

Was das Signal aussagt

GPC ist eine technische Erklärung mit einem einzigen Inhalt: Diese Person widerspricht dem Verkauf und der Weitergabe ihrer personenbezogenen Daten.

Der Gedanke dahinter ist bestechend einfach. Statt auf jeder einzelnen Website erneut Häkchen zu setzen, stellt man die Präferenz einmal im Browser ein — und der sendet sie fortan an jede besuchte Seite. Für die Nutzerin bedeutet das: einmal entscheiden statt hundertmal klicken.

Wichtig ist, was GPC nicht tut: Es blockiert nichts. Das Signal ist eine Mitteilung, keine technische Sperre. Die Website erfährt den Widerspruch — umsetzen muss sie ihn selbst. Wer nichts tut, bekommt das Signal trotzdem und ignoriert es einfach.

Wer es sendet

Mehr Menschen, als die meisten vermuten:

• Firefox hat die Einstellung fest eingebaut, unter Datenschutz und Sicherheit
• Brave sendet es standardmässig
• Der DuckDuckGo-Browser ebenso
• Chrome, Safari und Edge senden es nicht von sich aus, lassen sich aber über Erweiterungen wie Privacy Badger nachrüsten

Wer es einmal aktiviert hat, sendet es an alle Websites — auch an Ihre. Das Signal kommt also längst an, unabhängig davon, ob jemand es auswertet.

Wo es rechtlich bindet

Hier lohnt sich die Genauigkeit, weil das Bild uneinheitlich ist.

In den USA ist GPC verbindlich. Kalifornien schreibt im CCPA in der Fassung des CPRA vor, dass Websites vom Nutzer aktivierte Widerspruchssignale befolgen müssen. Colorado, Connecticut und weitere Bundesstaaten haben vergleichbare Vorschriften erlassen. Die Umsetzung ist nicht optional und nicht verhandelbar: Wer das Signal empfängt, muss den Widerspruch behandeln, als hätte die Person aktiv auf einen Link geklickt.

In der Schweiz und der EU ist es das nicht. Weder das revidierte DSG noch die DSGVO nennen Global Privacy Control ausdrücklich. Interessant ist allerdings Artikel 21 Absatz 5 DSGVO: Dort ist ausdrücklich vorgesehen, dass betroffene Personen ihr Widerspruchsrecht «mittels automatisierter Verfahren ausüben können, bei denen technische Spezifikationen verwendet werden». Das beschreibt ziemlich genau, was GPC tut — nur wurde es bisher nicht als solches anerkannt.

Wer das Signal in Europa befolgt, tut also mehr, als er muss. Aus unserer Sicht ist das kein Nachteil.

Der Fall, der es ernst gemacht hat

Im August 2022 einigte sich der kalifornische Attorney General mit Sephora auf eine Zahlung von 1,2 Millionen US-Dollar — die erste öffentliche Durchsetzung des CCPA überhaupt. Vorgeworfen wurde dem Unternehmen unter anderem, Widersprüche über Global Privacy Control nicht umgesetzt zu haben.

Zwei Details aus dem Fall sind lehrreich:

Erstens war der Verstoss nicht, dass Sephora Daten verkauft hätte. Der Verstoss war, das Signal zu empfangen und nichts damit zu tun. Die Behörde argumentierte, ein empfangenes und ignoriertes Signal sei ein missachteter Widerspruch.

Zweitens enthielt die Einigung die Auflage, dem Attorney General regelmässig zu berichten, wie GPC-Signale behandelt werden. Es blieb also nicht bei der Zahlung — es folgte eine Nachweispflicht.

Seither hat Kalifornien weitere Verfahren geführt. Die Botschaft ist konsistent: Das Signal gilt.

Wie eine Website es erkennt

Technisch ist der Aufwand gering. GPC kommt auf zwei Wegen:

Im Browser über eine Eigenschaft, die dann true ist:

if (navigator.globalPrivacyControl === true) {
    // Diese Person hat widersprochen
}

Auf dem Server über einen HTTP-Header, der bei jeder Anfrage mitgeschickt wird:

Sec-GPC: 1

Beides ist in wenigen Zeilen ausgewertet. Die eigentliche Arbeit steckt nicht im Erkennen, sondern in der Folge: Der Widerspruch muss in die Consent-Logik einfliessen, die entsprechenden Skripte dürfen nicht laden, und das Ergebnis muss nach aussen kommuniziert werden — bei US-Traffic über die Global Privacy Platform, damit auch Werbepartner den Widerspruch erfahren.

Was ein Widerspruch abschalten muss

Ein häufiger Fehler ist, GPC wie eine Ablehnung nach DSGVO zu behandeln und alles abzuschalten. Das geht am Zweck vorbei.

Der Widerspruch nach kalifornischem Recht richtet sich gegen Verkauf, Weitergabe und zielgerichtete Werbung. Er richtet sich nicht gegen Reichweitenmessung für eigene Zwecke — die gilt dort nicht als Verkauf. Wer bei GPC alles abschaltet, verliert Daten, die er behalten dürfte. Wer nur das Nötigste abschaltet, erfüllt die Vorschrift genau.

Ein zweiter Fehler: das Signal als Voreinstellung behandeln, die sich überstimmen lässt. Wenn jemand GPC sendet, ist der Widerspruch erklärt. Ein Banner, das trotzdem nach Zustimmung fragt und diese als gültig wertet, hebelt ihn aus.

Wie Aiara damit umgeht

Sobald für eine Domain das US-Widerspruchsmodell aktiviert ist, wertet der Banner das Signal aus, bevor er irgendetwas anzeigt. Ist es gesetzt, gilt der Widerspruch sofort — ohne Rückfrage, ohne Klick.

Sichtbar wird das an drei Stellen. Marketing-Skripte laden nicht. Im Auswahlfenster steht ein Hinweis, dass das Browsersignal erkannt und bereits befolgt wurde. Und der zugehörige Schalter ist gesperrt, weil es nichts mehr zu entscheiden gibt — eine erneute Zustimmung würde den erklärten Widerspruch überschreiben.

Nach aussen wird die Entscheidung über die Global Privacy Platform mitgeteilt, sodass auch Werbepartner davon erfahren.

Lohnt sich das für Schweizer Websites?

Verpflichtend ist es hier nicht. Aber es gibt zwei gute Gründe, das Signal trotzdem zu beachten.

Der praktische: Sobald Sie Besuchende aus den USA haben und dort unter eines der Staatengesetze fallen, ist es Pflicht. Diese Schwelle erreichen zwar wenige Schweizer KMU — wer sie erreicht, merkt es aber oft erst, wenn eine Anfrage kommt.

Der grundsätzliche: Jemand hat sich die Mühe gemacht, in den Browsereinstellungen eine Präferenz zu setzen. Diese Person hat ihren Willen unmissverständlich erklärt. Sie zu ignorieren, weil kein Gesetz es hierzulande erzwingt, ist juristisch vertretbar — überzeugend ist es nicht.