Der Sec-GPC-Header ist jetzt überall: Serverseitige Erkennung für Analytics

Global Privacy Control (GPC) wird häufig als rechtliches Signal diskutiert, für Entwicklerinnen und Entwickler ist es aber zuallererst ein HTTP-Header. Jede Anfrage aus einem Browser oder einer Erweiterung mit aktiviertem GPC trägt Sec-GPC: 1, und dieselbe Präferenz wird dem Client-JavaScript als navigator.globalPrivacyControl bereitgestellt. Wenn Sie Analytics am Edge betreiben, ist der Header der saubere Integrationspunkt — Sie können darauf reagieren, bevor irgendeine Messlogik läuft, ohne ein einziges Byte Tracking-Code auszuliefern.

Wie das Signal tatsächlich aussieht

Die GPC-Spezifikation definiert ein Request-Header-Feld, Sec-GPC, dessen einziger bedeutungstragender Wert 1 ist und anzeigt, dass die Person dem Verkauf oder der Weitergabe ihrer personenbezogenen Daten nicht zustimmt. Fehlt der Header, wurde keine Präferenz ausgedrückt — das ist ausdrücklich nicht dasselbe wie ein positives 0. Die Spezifikation definiert außerdem eine Well-Known-Ressource unter /.well-known/gpc.json, die eine Website veröffentlicht, um zu erklären, dass sie das Signal respektiert.

Weil Sec-GPC das Präfix Sec- verwendet, ist es ein verbotener Header-Name: Er kann nicht per fetch() oder XMLHttpRequest gesetzt oder überschrieben werden, was ihn aus Seitenskripten schwerer zu fälschen macht als einen eigenen Header. Er wird bei Navigationen wie bei Subresource-Anfragen gesendet, ein Edge-Worker sieht ihn also bereits beim allerersten Treffer.

Ihn am Cloudflare-Edge lesen

In einem Cloudflare Worker ist die Prüfung eine einzige Zeile, und sie läuft, bevor Sie entscheiden, ob überhaupt etwas erfasst wird:

export default {
  async fetch(request) {
    const gpc = request.headers.get('Sec-GPC') === '1';
    // gpc === true -> Person hat Verkauf/Weitergabe abgelehnt
    // entsprechend nur datenschutzfreundliche, aggregierte Signale erfassen
    return handle(request, { gpc });
  }
};

Für Monoid passt das unmittelbar dazu, wie das Produkt ohnehin arbeitet. Monoid speichert keine Cookies, kein localStorage und leitet keinen Fingerprint ab, es gibt also von Anfang an kein websiteübergreifendes Profil, das zu unterdrücken wäre. GPC ist ein rechtlicher Widerspruch gegen den Verkauf und die Weitergabe personenbezogener Daten — ein Verhalten, auf das sich ein datenschutzfreundliches, cookiefreies Design nie einlässt. Sec-GPC zu erkennen ist damit eine Maßnahme der Defense in Depth und ein prüfbarer Nachweis, dass die Präferenz beachtet wurde, und kein Schalter, der ändert, welche Daten den Browser verlassen.

Warum das rechtlich zählt, kurz gefasst

Die Durchsetzbarkeit von GPC ist nicht theoretisch. Der Vergleich des kalifornischen Attorney General mit Sephora von 2022 machte deutlich, dass die CCPA von Unternehmen verlangt, GPC als wirksamen Widerspruch gegen den Verkauf zu behandeln, und die Verordnungen zum California Privacy Rights Act verlangen, Opt-out-Präferenzsignale zu beachten. Colorado und weitere US-Bundesstaaten haben vergleichbare Anforderungen an universelle Opt-out-Mechanismen übernommen. Den Header serverseitig zu lesen gibt Ihnen einen deterministischen, protokollierten Punkt, an dem Compliance stattfindet — weit robuster, als sich darauf zu verlassen, dass ein Tag-Manager eine Regel auslöst.

Die Well-Known-Ressource veröffentlichen

Wenn Sie GPC respektieren, erklären Sie es. Liefern Sie /.well-known/gpc.json mit einem kleinen Dokument aus:

{ "gpc": true, "lastUpdate": "2026-07-19" }

Das ist eine statische Datei, die Sie aus einer Edge-Route mit Content-Type: application/json zurückgeben können. Sie signalisiert Browsern, Erweiterungen und Prüfern, dass die Präferenz respektiert wird, und kostet nichts an Pflege.

Praktische Hinweise für Analytics-Pipelines

• Prüfen Sie den Header vor der Messung, nicht danach. Am Edge zu handeln bedeutet, dass die Entscheidung vor jeder nachgelagerten Verarbeitung fällt.
• Behandeln Sie Abwesenheit nicht als Einwilligung. Kein Sec-GPC-Header heißt schlicht: keine Präferenz; kombinieren Sie das mit Ihrer bestehenden Rechtsgrundlage.
• Führen Sie einen minimalen Audit-Trail. Zu protokollieren, dass eine Anfrage Sec-GPC: 1 trug — ohne es an einen Identifikator zu binden — belegt guten Glauben, ohne ein Profil zu erzeugen.
• Nutzen Sie zum Gating den Header statt der JS-API. Die Eigenschaft navigator.globalPrivacyControl ist für Client-UI nützlich, aber der Header lässt Sie entscheiden, bevor Code läuft.

Die weitergehende Lehre lautet: Datenschutzsignale sind immer mehr Fakten der Transportschicht und keine Eigenheiten der Anwendung. Sec-GPC steht neben DNT (veraltet), dem Permissions-Policy-Header und Referrer-Policy als etwas, das ein Analytics-System lesen statt ignorieren sollte. Für ein cookiefreies Produkt ist die Änderung genau deshalb klein, weil die Architektur Daten bereits minimiert — und das ist überhaupt der Sinn, so zu bauen.

Sources

• Global Privacy Control specification (W3C Community Group)
• MDN: navigator.globalPrivacyControl
• California AG settlement with Sephora (CCPA / GPC)
• California Consumer Privacy Act Regulations (opt-out preference signals)