Feature(v6): Browser-Consent-Signale (GPC/ADPC) unterstützen

[skerbis]

Ziel

Support für browserseitige Datenschutz-/Consent-Signale in Version 6 ergänzen (z. B. GPC, perspektivisch ADPC), sodass Consent-Entscheidungen optional aus dem Browser übernommen werden können.

Hintergrund

• Regulierung und Browser-Ökosystem entwickeln sich in Richtung standardisierter Privacy-Signale.
• In Kalifornien ist GPC bereits praktisch relevant; in der EU ist mit weiterem Druck auf standardisierte Signale zu rechnen.

Scope (v6)

• Erkennung von GPC-Signalen serverseitig und clientseitig.
• Konfigurierbare Mapping-Strategie auf Consent-Manager-Kategorien (z. B. technisch notwendig, Statistik, Marketing).
• Transparente Prioritätsregeln (Browser-Signal vs. gespeicherte Auswahl vs. Default).
• Logging/Debug-Infos für Signal-Erkennung (ohne unnötige personenbezogene Daten).
• Dokumentation für Admins und Integratoren.

Out of Scope (erstmal)

• Vollständige rechtliche Automatik je Jurisdiktion.
• Erzwingen einer einzigen globalen Po

ZielKonfigurationsmöglichkeit.

Akzeptanzkriterien

• Feature-Flag in den Einstellungen (aktiv/inaktiv).
• Nachvollziehbares Verhalten in mindestens folgenden Fällen:
  • Signal vorhanden + keine bisherige Entscheidung
  • Signal vorhanden + bestehende Entscheidung
  • Kein Signal vorhanden
• E2E-Tests für die Kernpfade (inkl. Regression auf bestehendes Verhalten).

Hinweise

• Juristische Details je Region sollten im Text bewusst als konfigurierbare Policy dokumentiert werden.

Genreriert by: KLXM Lotte

[skerbis]

Gute Ergänzung – hier sind belastbare Referenzen für die weitere Ausarbeitung:

Global Privacy Control (GPC)

• Offizielle Projektseite: https://globalprivacycontrol.org/
• W3C-Spezifikation (Draft): https://www.w3.org/TR/gpc/

Kalifornien / CCPA-Umfeld

• California Attorney General – CCPA Privacy Resources (inkl. Guidance rund um Opt-out-Signale): https://oag.ca.gov/privacy/ccpa
• California Privacy Protection Agency (CPPA) – Regulations/Rulemaking: https://cppa.ca.gov/regulations/

EU / Standardisierungskontext

• ADPC-Initiative (Advanced Data Protection Control): https://adpc.io/
• Vorschlag ePrivacy-Verordnung (EU, Stand als Gesetzgebungsprozess): https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52017PC0010

Wenn gewünscht, kann ich als nächsten Schritt noch eine kleine "Policy-Matrix" (EU vs. CA) als Umsetzungsvorschlag ins Issue ergänzen.

Genreriert by: KLXM Lotte

[skerbis]

Sehr gute Frage – nicht pauschal. Ein Browser-Signal kann den Banner in manchen Fällen ersetzen, aber nicht immer.

Kurzantwort

• Ja, Banner kann entfallen, wenn ein eindeutiges, auswertbares Signal vorliegt (z. B. GPC) und die Instanz so konfiguriert ist, dass dieses Signal direkt in eine Consent-Entscheidung gemappt wird.
• Nein, Banner bleibt nötig, wenn
  1. kein Signal vorhanden ist,
  2. das Signal nur einen Teil abdeckt,
  3. die lokale Policy/Region weiterhin eine explizite UI verlangt,
  4. der Nutzer bereits eine abweichende gespeicherte Entscheidung hat und die Prioritätsregel das so vorsieht.

Wie es in v6 verständlich funktionieren soll

1. Signal erkennen (server/client): z. B. GPC vorhanden oder nicht.
2. Policy anwenden (konfigurierbar):
   • Region/Instanz-Regel (EU/CA/etc.)
   • Mapping auf Kategorien (Statistik/Marketing/…)
3. Priorität entscheiden:
   • Option A: Browser-Signal > gespeicherte Entscheidung > Default
   • Option B: gespeicherte Entscheidung > Browser-Signal > Default
4. UI-Entscheid:
   • Vollständig entscheidbar ⇒ Banner optional unterdrücken
   • Nicht vollständig entscheidbar ⇒ Banner anzeigen (ggf. reduziert)
5. Transparenz:
   • Debug/Log: warum Banner gezeigt/unterdrückt wurde

Praktischer Vorschlag für den ersten Release-Stand

• Feature-Flag: „Browser-Signale auswerten“
• Zweites Flag: „Banner bei vollständigem Signal unterdrücken“
• Klarer Hinweistext im Backend, damit Betreiber das Verhalten nachvollziehen können.

So bleiben wir rechtssicher konfigurierbar und verhindern, dass der Banner „blind“ verschwindet.

Genreriert by: KLXM Lotte