Safari bekommt Global Privacy Control (iOS 27.3): Was die neue Datenschutz-Einstellung für deinen Cookie-Banner und dein Tracking bedeutet

01 / Was neu ist

Was Safari in iOS 27.3 neu sendet.

Die Einstellung steckt in der Beta von iOS 27.3 unter Einstellungen › Apps › Safari › Erweitert und heißt im Original „Use Global Privacy Control“ [1][2]. Apple beschreibt sie so: Safari kann Websites bitten, deine Daten nicht zu verkaufen oder zu teilen. Dadurch könnten manche Websites nicht richtig oder gar nicht mehr funktionieren [1]. Der Link auf Apples Hilfeseite führt in der Beta noch ins Leere [1].

In Apples Release Notes zur Beta taucht die Funktion nicht auf. Nick Heer von Pixel Envy hat sie trotzdem gefunden und schreibt, sie funktioniere in seinem Test [3]. Wer GPC will, muss den Schalter selbst einschalten [3]. Laut der Kompatibilitätstabelle von MDN läuft das Signal ab Safari 27.3 auch am Mac, dort noch als Vorschau gekennzeichnet [6]. Die finale Version von iOS 27.3 erwartet 9to5Mac Mitte Dezember, gestützt auf die Termine früherer Jahre [21].

Neu ist das Signal selbst nicht. Firefox unterstützt es seit Version 120, Chrome und Edge bisher nicht [6]. Auch Brave und DuckDuckGo senden es, Chrome-Nutzer brauchen eine Erweiterung [18]. Mit Safari kommt nun aber der Standardbrowser des iPhones dazu. Ganz neu ist GPC bei Apple übrigens nicht: Schon seit Safari 27.0 können App-Entwickler das Signal für eingebettete Webansichten (WKWebView) einschalten [22].

Warum gerade jetzt? Eine naheliegende Erklärung ist Kalifornien. Der „California Opt Me Out Act“ (AB 566) verlangt ab dem 1. Januar 2027 von jedem Browser eine einstellbare Funktion für ein solches Opt-out-Signal [8][9]. Apple selbst hat keinen Grund genannt; der Zusammenhang ist meine Einschätzung.

02 / Technik

Wie das Signal technisch funktioniert.

Global Privacy Control ist eine Spezifikation, die beim W3C entwickelt wird [4]. Sie kennt genau zwei Wege, auf denen deine Website die Bitte erfährt:

• HTTP-Header: Bei jeder Anfrage schickt der Browser Sec-GPC: 1 mit. Ist GPC aus, fehlt der Header ganz; einen Wert „0“ gibt es nicht [4][5].
• JavaScript: navigator.globalPrivacyControl liefert true, wenn jemand den Verkauf oder die Weitergabe ablehnt, sonst false [6].

Der Browser legt den Wert beim Laden einer Seite fest. Ändert jemand die Einstellung mittendrin, gilt sie erst ab dem nächsten Seitenaufruf [4]. Mehr passiert nicht: GPC blockiert keine Skripte, löscht keine Cookies und blendet kein Banner aus. Ob etwas passiert, entscheidet allein die Website, die das Signal liest.

Wichtig ist auch, was das Signal nicht abdeckt. Laut Spezifikation geht es um den Verkauf und die Weitergabe von Daten an Dritte und um Werbung über verschiedene Websites hinweg. Datenerhebung und Werbung innerhalb derselben Website sind ausdrücklich nicht gemeint, Löschanfragen ebenfalls nicht [4]. Ein GPC-Signal ist also kein pauschales „kein Tracking“, sondern ein „gib meine Daten nicht weiter“.

Einen ähnlichen Versuch gab es schon: Do Not Track. Das Signal blieb weitgehend wirkungslos, weil kaum eine Website es beachten musste (Einschätzung). Nick Heer nennt GPC einen Nachfolger von Do Not Track „mit rechtlichem Gewicht“ [3].

03 / Rechtslage

Muss eine deutsche Website das Signal beachten?

In den USA ist die Lage klar: Laut 9to5Mac hat GPC derzeit in fünf Bundesstaaten rechtliche Wirkung [1]. Kalifornien verlangt von Unternehmen, solche Signale als Opt-out zu behandeln [9]. Google schaltet dort bei einem GPC-Signal personalisierte Werbung ab und aktiviert die eingeschränkte Datenverarbeitung [20].

In Deutschland gibt es keine Vorschrift, die GPC ausdrücklich nennt. Drei Punkte sind trotzdem wichtig:

• Widerspruch per Technik ist in der DSGVO vorgesehen. Nach Art. 21 Abs. 5 DSGVO kann man bei Online-Diensten sein Widerspruchsrecht „mittels automatisierter Verfahren“ ausüben, bei denen technische Spezifikationen verwendet werden [10]. Das Landgericht Berlin hat 2023 entschieden, dass ein Do-Not-Track-Signal ein solcher wirksamer Widerspruch ist (Az. 16 O 420/19, laut vzbv nicht rechtskräftig) [11]. Die GPC-Initiative selbst versteht das Signal unter der DSGVO als Bitte, Daten nicht an andere Verantwortliche weiterzugeben, und verweist auf Art. 7 und 21 [7].
• § 25 TDDDG gilt unverändert. Für Cookies und ähnliche Techniken, die nicht unbedingt nötig sind, brauchst du weiter eine Einwilligung [12]. GPC ist ein „Nein“, keine Zustimmung. Wer ein „Ja“ will, muss also weiter fragen.
• Das EU-Browsersignal ist vorerst gestrichen. Der Digital Omnibus sah ursprünglich vor, dass Websites maschinenlesbare Signale aus dem Browser beachten müssen. Der Rat hat das aus seiner Position gestrichen, das Parlament verhandelt den Datenschutzteil noch nicht [13]. Details stehen in meinem Beitrag Cookie-Banner und Digital Omnibus.

Meine Einschätzung: Eine ausdrückliche Pflicht, GPC auszuwerten, lässt sich für deutsche Websites heute nicht sicher ableiten. Das Berliner Urteil zeigt aber, dass Gerichte technische Signale ernst nehmen. Wer bei einem GPC-Signal Werbe- und Weitergabe-Dienste nicht lädt, ist auf der sicheren Seite. Wer das Signal ignoriert, sollte es zumindest nicht öffentlich als bedeutungslos darstellen; genau das hat das Landgericht LinkedIn untersagt [11]. Das ist keine Rechtsberatung.

04 / Consent-Tools

Was Shopify, Cookiebot, Usercentrics und Borlabs mit GPC machen.

Ob ein Safari-Nutzer mit GPC dein Banner noch sieht, hängt von deinem Consent-Tool ab. Was die Hersteller dokumentieren, Stand 12. November 2026:

Shopify

Shopify wertet GPC automatisch aus, aber nur in den Regionen, für die du die Seite zum Widerspruch gegen die Datenweitergabe („Data sharing opt-out page“) aktiviert hast [14]. Das sind laut Entwicklerdoku in der Regel US-Bundesstaaten. Dort setzt Shopify sale_of_data auf false, und Apps können das über die Customer Privacy API nicht überschreiben [15]. Zusätzlich markiert Shopify bei eingeschaltetem Shopify Network Intelligence Besuche mit GPC so, dass sie nicht für Shopifys eigene Werbezwecke genutzt werden [14]. Für Regionen mit Cookie-Banner, etwa den EWR, beschreibt Shopify dagegen das Opt-in-Verfahren: Nicht notwendige Daten erst nach der Einwilligung [14]. Eine Verbindung zu GPC nennt die Hilfe dort nicht.

Cookiebot und Usercentrics

Beide gehören zu Usercentrics. Cookiebot beschreibt die GPC-Auswertung bei seiner Vorlage für US-Datenschutzgesetze: Das Tool erkennt das Signal und löst automatisch ein Opt-out aus, Besucher können danach manuell wieder zustimmen [16]. Usercentrics erkennt GPC standardmäßig, wenn eine der US-Vorlagen aktiv ist (CCPA, CPRA, VCDPA, CPA, CTDPA, UCPA) [17][18]. Hat jemand vorher schon aktiv im Banner gewählt, wird das Signal ignoriert, und eine spätere manuelle Wahl hat Vorrang [17]. Für die DSGVO-Konfiguration beschreiben beide Hersteller in diesen Artikeln kein GPC-Verhalten.

Borlabs Cookie

Auf den Produktseiten des Hamburger WordPress-Plugins habe ich am 12. November keinen Hinweis auf GPC gefunden; dort stehen Opt-in, Google Consent Mode, TCF und Geo-Regeln [19]. Einzelne Vergleichsartikel im Netz behaupten GPC-Unterstützung, ein Beleg des Herstellers fehlt. Wenn du Borlabs nutzt und GPC beachten willst, frag beim Hersteller nach oder teste selbst.

Kurz gesagt: Ein Besucher aus Hamburg mit GPC in Safari sieht dein Banner nach heutigem Stand weiter, solange du nichts änderst. Das ist rechtlich vertretbar (Einschätzung), aber nicht besonders freundlich gegenüber jemandem, der seine Wahl schon getroffen hat.

05 / Tracking

Was GPC für GA4, Google Ads und Consent Mode bedeutet.

Google Analytics und der Consent Mode lesen GPC nicht selbst. Google dokumentiert eine direkte Reaktion auf GPC nur für Google Ads in bestimmten US-Bundesstaaten [20]. In Deutschland richtet sich der Consent Mode nach dem, was dein Consent-Tool meldet. Solange dein Banner GPC für EU-Besucher nicht auswertet, ändert sich an deinen GA4- und Ads-Daten nichts.

Anders wird es, wenn du dich entscheidest, GPC zu beachten (Einschätzung, je nach Setup):

• Werbe-Signale: Wer GPC sendet, wird wie eine Ablehnung für Marketing behandelt. Im Consent Mode stehen dann ad_storage, ad_user_data und ad_personalization auf „denied“. Remarketing-Listen und Conversions aus Safari werden kleiner.
• Reichweitenmessung: Weil GPC laut Spezifikation die Messung innerhalb deiner eigenen Website nicht meint [4], spricht einiges dafür, die Statistik-Kategorie weiter abzufragen statt sie automatisch abzulehnen. Das ist eine Abwägung, die du mit deinen Datenschutzbeauftragten klären solltest.
• Auswertung: Wenn du GPC beachtest, kann der Anteil abgelehnter Einwilligungen bei iPhone-Nutzern nach dem Dezember-Update steigen. Vermerke das Datum in GA4 oder in deinem Data-Studio-Bericht, sonst suchst du später nach einem Fehler, der keiner ist.

Wie viele Menschen den Schalter einschalten, ist offen. Er ist standardmäßig aus und liegt gut versteckt unter „Erweitert“ [3]. Ich rechne deshalb nicht mit einem großen Effekt im ersten Jahr (Einschätzung). Safari-Nutzer bringen ohnehin schon Besonderheiten mit, wie der adaptive Dunkelmodus zeigt, den ich in Safari Dark Mode prüfen und abschalten beschrieben habe.

06 / Prüfen

So prüfst du, wie deine Website auf GPC reagiert.

Du musst nicht auf iOS 27.3 warten. Firefox sendet das Signal schon heute, wenn du es in den Datenschutz-Einstellungen einschaltest [6]. Dann:

1. Öffne deine Website in einem privaten Fenster und gib in der Konsole der Entwicklerwerkzeuge navigator.globalPrivacyControl ein. Bei true kommt das Signal an [6].
2. Schau, ob dein Banner anders reagiert als ohne GPC. Usercentrics zeigt bei US-Vorlagen zum Beispiel einen Hinweis, dass das Signal beachtet wurde [17].
3. Prüfe im Tag Assistant, welche Tags vor und nach deiner Wahl feuern und welcher Consent-Status an Google geht. Wie das geht, steht in Google Tag Assistant und DebugView.
4. Entscheide bewusst und schriftlich, ob du GPC für EU-Besucher beachtest, und passe dann gegebenenfalls Banner und Datenschutzerklärung an.

Verkaufst du auch in die USA, gilt mehr: Dort solltest du sicherstellen, dass dein Shop oder Consent-Tool das Signal schon heute beachtet. Bei Shopify heißt das: die Seite zum Widerspruch gegen die Datenweitergabe für die betroffenen Regionen einschalten [14].

FAQ

Häufige Fragen zu Global Privacy Control.

Verschwinden mit GPC die Cookie-Banner?

Nein. GPC blendet nichts aus. Erst wenn eine Website das Signal auswertet, kann sie auf das Banner verzichten oder es anders zeigen. Für EU-Besucher tun das die großen Tools nach ihrer Doku bisher nicht [16][17].

Ist GPC in Safari standardmäßig an?

Nein. In der Beta muss man es unter Einstellungen › Apps › Safari › Erweitert selbst einschalten [1][3]. Ob sich daran bis zur finalen Version etwas ändert, ist offen.

Ist GPC dasselbe wie Apples Tracking-Schutz?

Nein. Apples eigene Schutzfunktionen blockieren oder begrenzen technisch. GPC ist nur eine Bitte an die Website. Sie wirkt so weit, wie die Website sie umsetzt oder ein Gesetz sie verlangt [3][4].

Hinweis: Dieser Beitrag erklärt Technik und Stand der Gesetzgebung. Er ist keine Rechtsberatung. Für die rechtliche Bewertung deines Setups wende dich an eine Anwältin, einen Anwalt oder deine Datenschutzbeauftragten.

Quellen

Quellen

1. 9to5Mac (Ryan Christoffel): „iOS 27.3 adds new setting to bypass website cookie popups (eventually)“, 11. November 2026 – 9to5mac.com · abgerufen 12.11.2026.
2. MacRumors: „Everything New in the iOS 27.3 Beta“ – macrumors.com · abgerufen 12.11.2026.
3. Pixel Envy (Nick Heer): „Safari 27.3 Adds Support for Global Privacy Control“, 5. November 2026 – pxlnv.com · abgerufen 12.11.2026.
4. W3C Privacy Working Group: „Global Privacy Control (GPC)“, Editor’s Draft – w3c.github.io · abgerufen 12.11.2026.
5. MDN Web Docs: „Sec-GPC header“ – developer.mozilla.org · abgerufen 12.11.2026.
6. MDN Web Docs: „Navigator: globalPrivacyControl property“ inkl. Browser-Kompatibilität – developer.mozilla.org · abgerufen 12.11.2026.
7. Global Privacy Control: „Take control of your privacy“ (Projektseite) – globalprivacycontrol.org · abgerufen 12.11.2026.
8. California Legislative Information: AB-566 „California Consumer Privacy Act of 2018: opt-out preference signal“ – leginfo.legislature.ca.gov · abgerufen 12.11.2026.
9. California Privacy Protection Agency: „California’s Opt Me Out Act: Your Privacy Just Got Easier“, Januar 2026 – privacy.ca.gov · abgerufen 12.11.2026.
10. Art. 21 DSGVO – Widerspruchsrecht – dsgvo-gesetz.de · abgerufen 12.11.2026.
11. Verbraucherzentrale Bundesverband: „Gericht untersagt Datenschutzverstöße von LinkedIn“ (LG Berlin, Urteil vom 24.08.2023, 16 O 420/19) – vzbv.de · abgerufen 12.11.2026.
12. § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen – gesetze-im-internet.de · abgerufen 12.11.2026.
13. heise online: „Omnibus-Gesetze der EU und die Folgen für den Datenschutz“, 11. November 2026 – heise.de · abgerufen 12.11.2026.
14. Shopify Help Center: „Configuring customer privacy settings“ – help.shopify.com · abgerufen 12.11.2026.
15. Shopify Dev Docs: „Customer Privacy API“ – shopify.dev · abgerufen 12.11.2026.
16. Cookiebot Support: „Using Cookiebot CMP for MSPL compliance (Cookiebot Admin)“ – support.cookiebot.com · abgerufen 12.11.2026.
17. Usercentrics Support: „Global Privacy Control (GPC) Signal“ – support.usercentrics.com · abgerufen 12.11.2026.
18. Usercentrics: „Global Privacy Control and Usercentrics signaling“ – usercentrics.com · abgerufen 12.11.2026.
19. Borlabs: Produktseite Borlabs Cookie – de.borlabs.io · abgerufen 12.11.2026.
20. Google Ads-Hilfe: „Helping advertisers comply with the U.S. states' privacy laws in Google Ads“ – support.google.com · abgerufen 12.11.2026.
21. 9to5Mac (Ryan Christoffel): „iOS 27.3 release date: Here’s when to expect new iPhone features“, 29. Oktober 2026 – 9to5mac.com · abgerufen 12.11.2026.
22. WebKit Blog: „WebKit Features for Safari 27.0“ (WKWebView, globalPrivacyControlEnabled) – webkit.org · abgerufen 12.11.2026.

Alle Quellen am 12. November 2026 abgerufen. Global Privacy Control ist Stand heute nur in der Beta von iOS 27.3 enthalten; Bezeichnung und Verhalten können sich bis zur finalen Version ändern. Aussagen ohne belastbare Quelle sind im Text als Einschätzung gekennzeichnet; die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.