DarkDialogs-Studie: 89,5% der Websites verwenden dunkle Muster in Cookie-Bannern

Die Studie, auf die Datenschutzbehörden bei jeder Cookie-Banner-Prüfung verweisen sollten

Die DarkDialogs-Studie von Kirkman, Mathur, Narayanan und Kshirsagar (2023) ist keine weitere akademische Untersuchung über nervige Benutzererfahrungen. Es handelt sich um ein groß angelegtes, auf maschinellem Lernen basierendes Audit von 10.000 Websites, das rechtlich relevante Ergebnisse liefert: 89,5 % der analysierten Websites verwenden mindestens ein Dark Pattern in ihren Einwilligungsdialogen. Mit einer angegebenen Klassifizierungsgenauigkeit von 99 % ist die Methodik robust genug, um einer Beweisprüfung standzuhalten. Für DSGVO-Vollzugsbehörden dient diese Studie als Blaupause für eine skalierbare, automatisierte Erkennung von Verstößen – und für Verantwortliche ist sie eine Haftungsübersicht.

Methodik: Warum eine Genauigkeit von 99 % rechtlich von Bedeutung ist

Die Forscher trainierten einen Multi-Class-Klassifikator auf einem gekennzeichneten Korpus von Cookie-Einwilligungsdialogen und extrahierten Merkmale aus der DOM-Struktur, CSS-Eigenschaften (einschließlich Farbkontrastverhältnissen und Schaltflächengrößen) sowie sichtbaren Textzeichenfolgen. Der Klassifikator identifiziert sieben Dark-Pattern-Kategorien: visuelle Asymmetrie, vorab ausgewählte Optionen, irreführende Formulierungen, versteckte Opt-out-Möglichkeiten, erzwungene Aktionen, Fangfragen und Nagging.

Eine Klassifizierungsgenauigkeit von 99 % bei einem zurückbehaltenen Testsatz ist aus einem bestimmten rechtlichen Grund von Bedeutung: Sie nähert sich der Schwelle, ab der automatisierte Ergebnisse in Regulierungsverfahren als Anscheinsbeweis dienen können, ohne dass eine manuelle Überprüfung jedes einzelnen Falls erforderlich ist. Gemäß Art. 57 Abs. 1 Buchstabe a DSGVO sind die Aufsichtsbehörden verpflichtet, die Einhaltung der Vorschriften zu überwachen und durchzusetzen. Automatisierte Tools mit diesem Genauigkeitsprofil ermöglichen eine verhältnismäßige, skalierbare Überwachung – eine Funktion, die der EDPB durch sein Coordinated Enforcement Framework (CEF, erstmals 2022 bei Cookie-Bannern aktiviert, Dok. Ref. EDPB 01/2023) gefördert hat.

Die sieben Dark Patterns und ihre spezifischen DSGVO-Verstöße

Jede von DarkDialogs identifizierte Dark-Pattern-Kategorie entspricht einer konkreten DSGVO-Anforderung:

• Vorgewählte Optionen: Verstößt direkt gegen Art. 4 Abs. 11 DSGVO und Art. 7 Abs. 2 DSGVO. Eine Einwilligung ist nicht gültig, wenn sie vorab angekreuzt ist. Der EuGH bestätigte dies in der Rechtssache Planet49 (C-673/17) und stellte fest, dass ein vorab angekreuztes Kontrollkästchen keine gültige Einwilligung darstellt.
• Visuelle Asymmetrie: Die Schaltfläche „Alle akzeptieren“ wird in einer kontrastreichen Farbe dargestellt (z. B. background-color: #0057b7), während „Alle ablehnen“ in kontrastarmen Grautönen dargestellt wird (color: #9e9e9e) oder fehlt ganz. Die EDPB-Leitlinien 05/2020 zur Einwilligung (verabschiedet am 4. Mai 2020) legen ausdrücklich fest, dass der Widerruf der Einwilligung genauso einfach sein muss wie deren Erteilung – ein Grundsatz, der verletzt wird, wenn der Weg zum Ablehnen drei zusätzliche Klicks erfordert.
• Versteckte Opt-out-Möglichkeit: Die Ablehnungsfunktion ist unter „Einstellungen verwalten“ → „Berechtigte Interessen“ → einzelnen Umschaltknöpfen pro Anbieter verborgen. Diese Architektur verstößt gegen die Anforderungen an Granularität und Transparenz gemäß Art. 13 Abs. 1 Buchstabe c und Erwägungsgrund 42 DSGVO.
• Irreführende Formulierungen: Formulierungen wie „Wir legen Wert auf Ihre Privatsphäre“ in einem Dialogfeld, das nur eine Zustimmung zulässt, oder „Weiter“ als einzige sichtbare Aktion (was eine Einwilligung durch das Surfen impliziert). Die französische Datenschutzbehörde (CNIL) verhängte eine Geldbuße in Höhe von 150 Millionen Euro gegen Google (SAN-2022-001) und 60 Millionen Euro gegen Facebook (SAN-2022-002), teilweise aufgrund der asymmetrischen Einfachheit der Annahme gegenüber der Ablehnung von Cookies.
• Nagging: Wiederholte Anzeige von Einwilligungsdialogen nach einer Ablehnung, wobei die Einwilligungsmüdigkeit ausgenutzt wird. Dies berührt den Grundsatz in Art. 7 Abs. 3 DSGVO, wonach der Widerruf keine Nachteile nach sich ziehen darf, sowie das allgemeine Gebot von Treu und Glauben, das in Art. 5 Abs. 1 Buchstabe a impliziert ist.

Ergebnisse der Studie: Was 89,5 % tatsächlich für die Durchsetzung bedeuten

Die Prävalenzrate von 89,5 % ist kein Beweis dafür, dass die meisten Verantwortlichen absichtlich irreführend handeln – sie ist ein Beweis dafür, dass das Ökosystem der Consent-Management-Plattformen (CMPs) die Nichteinhaltung als Standardkonfiguration normalisiert hat. Die Studie ergab, dass Websites, die Cookiebot, OneTrust und TrustArc als CMPs nutzen, dennoch Dark Patterns aufwiesen, da diese Dark Patterns durch Plattformvorlagen und Standardeinstellungen eingeführt wurden und nicht durch individuelle Entscheidungen der Verantwortlichen.

Dies hat direkte Auswirkungen auf die Beziehungen zu Auftragsverarbeitern gemäß Art. 28 DSGVO. Wenn eine CMP als Auftragsverarbeiter konfiguriert ist und ihre Standardvorlagen systematisch nicht konforme Einwilligungsabläufe erzeugen, bleibt der Verantwortliche gemäß Art. 24 DSGVO haftbar, weil er keine geeigneten technischen Maßnahmen umgesetzt hat. Die Standardkonfiguration des Auftragsverarbeiters kann den Verantwortlichen nicht entlasten. Datenschutzbeauftragte, die sich auf die „DSGVO-konform“-Marketingaussagen eines CMP-Anbieters verlassen, ohne die gerenderte HTML-Ausgabe zu prüfen, sind gefährdet.

Technische Prüfkriterien, die Sie sofort überprüfen sollten

Der Funktionsumfang von DarkDialogs bietet eine praktische Prüfcheckliste. Überprüfen Sie Folgendes in Ihrem eigenen Einwilligungsdialog:

1. Kontrastverhältnis der Schaltflächen: Messen Sie den Kontrast zwischen den Schaltflächen „Akzeptieren“ und „Ablehnen“ mithilfe des WCAG 2.1-Algorithmus. Ein Kontrastunterschied von mehr als 2:1 zwischen den beiden Schaltflächen ist gleichzeitig ein Anzeichen für ein Dark Pattern und ein Verstoß gegen die Barrierefreiheit.
2. Klicktiefe bis zur Ablehnung: Zählen Sie die Anzahl der Benutzerinteraktionen, die erforderlich sind, um alle nicht essenziellen Cookies abzulehnen. Mehr als ein Klick verstößt gegen den „as easy“-Standard der EDPB aus den Leitlinien 05/2020.
3. DOM-Voreinstellungsstatus: Abfrage document.querySelectorAll('input[type="checkbox"][checked]') beim Laden der Seite vor jeglicher Benutzerinteraktion ab. Jedes angekreuzte Zustimmungsfeld stellt einen Verstoß gegen Planet49 dar.
4. Netzwerkanfragen vor der Einwilligung: Erfassen Sie HAR-Protokolle beim ersten Laden der Seite. Jede Anfrage von Drittanbietern an Domains, die mit Werbung oder Analytik in Verbindung stehen (identifizierbar über DNS-TXT-Einträge, insbesondere ads.txt Einträge) vor dem Auslösen eines Einwilligungssignals stellt einen Verstoß gegen Art. 6 Abs. 1 DSGVO dar.
5. Intervall für erneute Aufforderung: Wenn Ihr CMP das Einwilligungsbanner Nutzern, die zuvor abgelehnt haben, erneut anzeigt, dokumentieren Sie das Intervall. Es gibt keine rechtmäßige Grundlage für die wiederholte Aufforderung eines Nutzers, der seine Präferenz eindeutig zum Ausdruck gebracht hat.

Verlauf der Durchsetzung: Von der Untersuchung bis zur Sanktion

Die koordinierte Durchsetzungsmaßnahme des EDPB zu Cookie-Bannern (CEF 2022) führte dazu, dass nationale Datenschutzbehörden 270 Verfahren im gesamten EWR einleiteten. Die DarkDialogs-Methodik – automatisierte DOM-Analyse, klassifikatorbasierte Mustererkennung – ist genau die Art von Tooling, die Datenschutzbehörden benötigen, um über manuelle Stichprobenkontrollen hinaus zu skalieren. Die irische DPC, die CNIL und die deutschen Datenschutzbehörden (handelnd über die DSK) haben alle Leitlinien herausgegeben, die Dark Patterns als per se Verstöße gegen die Anforderungen an die Gültigkeit der Einwilligung behandeln.

Verantwortliche sollten davon ausgehen, dass sich die Durchsetzung im Zeitraum 2024–2025 zunehmend auf automatisierte Scans stützen wird. Eine Website, die den DarkDialogs-Klassifikator nicht besteht, wird wahrscheinlich auch einen Scanner der Datenschutzbehörde nicht bestehen. Die sieben Kategorien umfassende Taxonomie der Studie wird bereits in behördlichen Leitfäden als nicht erschöpfende Typologie nicht konformer Designs herangezogen.

Maßnahmen für Datenschutzbeauftragte und Datenschutzberater

• Beauftragen Sie vor Ihrer nächsten Überprüfung der Einwilligungskonfiguration ein technisches Audit der von Ihrem CMP gerenderten Ausgabe – nicht der Dokumentation des Anbieters – unter Verwendung von DOM-Inspektion und HAR-Analyse.
• Ergänzen Sie Ihre Art. 28-DPA mit Ihrem CMP-Anbieter um eine ausdrückliche Gewährleistung, dass Standardvorlagen den EDPB-Leitlinien 05/2020 und der DarkDialogs-Taxonomie verbotener Muster entsprechen.
• Dokumentieren Sie Ihre Designbegründung. Gemäß dem Rechenschaftsgrundsatz in Art. 5 Abs. 2 DSGVO müssen Sie die Einhaltung der Vorschriften nachweisen können. Eine schriftliche Dokumentation darüber, warum Ihre Ablehnen-Schaltfläche das gleiche visuelle Gewicht hat wie Ihre Akzeptieren-Schaltfläche, ist die Art von Nachweis, die Bußgelder mindert.
• Führen Sie die DarkDialogs-Funktionscheckliste als festen Punkt in Ihrer vierteljährlichen Datenschutzüberprüfung durch, insbesondere nach jedem CMP-Update oder A/B-Test, der das Layout des Einwilligungsdialogs betrifft.
• Behandeln Sie die Standardeinstellungen von CMPs als Haftungsrisiko und nicht als Abkürzung zur Einhaltung der Vorschriften. Die Studie zeigt, dass Standardkonfigurationen der Hauptweg sind, über den Dark Patterns in Produktionsumgebungen gelangen.

Die DarkDialogs-Studie führt keine neuen rechtlichen Verpflichtungen ein. Sie quantifiziert, wie systematisch bestehende Verpflichtungen ignoriert werden – und bietet Regulierungsbehörden die technische Infrastruktur, um in großem Maßstab zu handeln. Verantwortliche, die die Cookie-Einwilligung als reines Ankreuzen eines Kästchens betrachten, agieren nun in einem Umfeld, in dem dieses Kästchen automatisch, präzise und in industriellem Maßstab überprüft werden kann.