Zusammenfassung

  • Die W3C Privacy Working Group veröffentlichte am 24. September 2026 einen weiteren Arbeitsentwurf zu Global Privacy Control. Schon am 17. September erschien eine Fassung; ein endgültiger W3C-Standard oder eine Billigung durch die Mitglieder ist der neue Text nicht.
  • Sec-GPC: 1 und navigator.globalPrivacyControl beziehen sich auf den beim Laden gespeicherten Wunsch. Eine Website kann daneben freiwillig /.well-known/gpc.json als allgemeine Unterstützungserklärung anbieten.
  • Diese Datei bescheinigt ausdrücklich nicht, dass eine Anfrage des zugreifenden Browsers beachtet wurde. Für tatsächliches Verhalten braucht es andere, zeitlich zuordenbare Belege.

Die entscheidende Verwechslung beginnt oft mit einem sauberen grünen Statusbild: Im Browser ist der Datenschutzschalter aktiviert, auf der Website steht eine maschinenlesbare Unterstützungsdatei. Daraus entsteht rasch die Behauptung, die Daten dieser Person seien geschützt worden. Der GPC-Entwurf gibt für genau diesen Schluss keine Grundlage. Er beschreibt verschiedene Beobachtungspunkte, nicht eine geschlossene Transaktion mit Quittung.

Das lässt sich bereits am Zeitpunkt des Signals erkennen. Die Präferenz wird bei jeder Navigation auf oberster Ebene zwischengespeichert. Schaltet jemand GPC erst nach dem Laden einer Seite ein, bleibt deren bisheriger Wert bis zur nächsten Navigation maßgeblich. Der User Agent soll auf uneinheitliche Tabs hinweisen und ein Neuladen anbieten. Ein Screenshot des jetzigen Schalters sagt deshalb noch nicht, welches Signal eine ältere Seite empfangen haben kann.

Bei wahrem gespeicherten Wert sendet der Browser Sec-GPC: 1; bei falschem Wert bleibt dieser Header aus. Die JavaScript-Eigenschaft navigator.globalPrivacyControl spiegelt den gespeicherten Wert. Beides dient einem bestimmten Wunsch: personenbezogene Informationen nicht an Dritte zu verkaufen oder weiterzugeben und sie nicht für kontextübergreifende Werbeaussteuerung zu verwenden. Das Signal umfasst weder ein generelles Löschbegehren noch jede mögliche Form von Werbung oder Datennutzung im selben Kontext.

Die optionale Ressource /.well-known/gpc.json hat eine andere Funktion. gpc: true zeigt die Absicht des Servers an, solche Anfragen mindestens im rechtlich gebotenen Umfang zu beachten; lastUpdate datiert diese Aussage. Der W3C-Text sagt ausdrücklich, dass die Ressource keine Auskunft über die Behandlung der Anfrage des gerade zugreifenden User Agents geben soll. Ohne Datei bleibt die Unterstützung zunächst unbekannt. Mit Datei ist der Umgang mit einer konkreten Anfrage aber ebenso wenig bewiesen.

Für eine Prüfung müsste man die angenommene Anfrage, die angewandte Entscheidungsregel und die anschließenden relevanten Datenflüsse verbinden. Wer erhielt Daten, zu welchem Zweck, nach welcher Änderung einer Integration? Daniel Kade schlägt eine datensparsame, datierte Nachweiskette als betriebliche Antwort vor. Das ist redaktionelle Analyse, keine vom W3C vorgeschriebene Datenstruktur. Der Entwurf misst auch keine allgemeine Umsetzungsquote und bewertet keine benannte Website.

Rechtliche Wirkungen hängen unter anderem vom geltenden Recht, vom Aufenthaltsort der Person und von gesonderten Abreden ab. Ein Arbeitspapier kann sich zudem ändern; seine Veröffentlichung bedeutet keine Billigung durch W3C oder dessen Mitglieder. Gerade weil GPC die Artikulation eines Wunsches erleichtert, sollte der Empfänger nicht mit einem allgemeinen Versprechen von der Prüfung seines Handelns befreit werden.

Quellen