GPC (Global Privacy Control) ist ein technisches Signal, das die Datenschutzpräferenz eines Nutzers automatisch auf Browserebene übermittelt. Mit einer einzigen Einstellung teilt es jeder besuchten Website mit: 'Meine Daten sollen nicht verkauft oder geteilt werden.' In der kalifornischen CCPA/CPRA-Praxis gilt die Beachtung des Signals als verpflichtend; im EU-Recht und im türkischen KVKK ist es nicht bindend.
GPC ist eine offene Spezifikation, die als HTTP-Header und JavaScript-Eigenschaft funktioniert: Der Nutzer aktiviert die Präferenz einmal im Browser oder in einer Erweiterung, und der Browser sendet das Signal automatisch an jede besuchte Website. Die Idee ist nicht neu; der Vorläufer Do Not Track (DNT) wurde mangels Durchsetzungsmechanismus weitgehend ignoriert und scheiterte faktisch. GPC entstand aus dieser Lehre: das Signal an eine rechtliche Pflicht zu koppeln. Diese Kopplung gibt es in Kalifornien, wo die CCPA/CPRA-Praxis GPC als gültigen Opt-out vom Verkauf und Teilen von Daten behandelt und Behörden gegen Unternehmen vorgegangen sind, die das Signal ignorieren.
Im EU-Recht besteht nach DSGVO und ePrivacy-Rahmen keine Pflicht, GPC zu beachten; auch das türkische KVKK knüpft keine Rechtsfolge an das Signal. Die praktische Bedeutung hängt daher von der Zielgruppe ab: Eine Website, die in den Anwendungsbereich von CCPA/CPRA fällt, sollte das Signal erkennen und Datenverkauf und -weitergabe für diese Person stoppen. Für Websites mit Fokus auf die Türkei und die EU läuft das Einwilligungsmanagement weiterhin über das Banner; GPC zu berücksichtigen ist keine Pflicht, aber ein Zeichen von Respekt gegenüber der Nutzerpräferenz. Consent-Management-Plattformen können das Signal auslesen und in die gespeicherten Präferenzen übernehmen.
Häufig gestellte Fragen
Was ist der Unterschied zwischen GPC und Do Not Track (DNT)?
Technisch sind beide vom Browser gesendete Präferenzsignale; der Unterschied liegt in der rechtlichen Kraft. Für DNT entstand nie eine Vorschrift, die Websites zur Beachtung verpflichtete, daher wurde es ignoriert und scheiterte. GPC wurde dagegen in Kalifornien über die CCPA/CPRA-Durchsetzung verbindlich: Ein Unternehmen, das das Signal empfängt, gilt als verpflichtet, Verkauf und Weitergabe der Daten dieses Besuchers zu stoppen.
Müssen Websites in der Türkei das GPC-Signal beachten?
Nein. Das türkische KVKK und die zugehörigen Regelungen knüpfen keine Rechtspflicht an das GPC-Signal; in der Türkei wird die Einwilligung über eine aktive Handlung im Cookie-Banner eingeholt. Hat Ihre Website jedoch Besucher aus Kalifornien und fällt unter CCPA/CPRA, müssen Sie das Signal berücksichtigen. Außerhalb dieses Anwendungsbereichs ist die Beachtung von GPC eine freiwillige gute Praxis.
Dieser Inhalt dient nur zur Information und stellt keine Rechtsberatung dar.