DSA Art. 25 Dunkle Muster: Was europäische Standorte bis 2026 ändern müssen

Die Frist für die Umsetzung läuft bereits

Die meisten Compliance-Teams, die Art. 25 des DSA als ein Problem für 2026 betrachten, sind bereits im Verzug. Das Verbot von Dark Patterns im Digital Services Act trat für sehr große Online-Plattformen (VLOPs) und sehr große Online-Suchmaschinen (VLOSEs) am 17. Februar 2024 in Kraft. Für alle anderen Vermittlungsdienste – einschließlich mittelgroßer E-Commerce-Plattformen, SaaS-Produkte und Publisher-Netzwerke – war die Frist ebenfalls der 17. Februar 2024, da Art. 25 keine gestaffelten Anwendungsschwellen vorsieht. Im Gegensatz zu den Verpflichtungen zur algorithmischen Transparenz in Art. 27, die sich nach der Plattformgröße richten, gilt das Verbot von Dark Patterns für jede Online-Schnittstelle, die in den Anwendungsbereich des DSA fällt. Was sich 2026 ändert, ist die Intensität der Durchsetzung: Es wird erwartet, dass die nationalen Koordinatoren für digitale Dienste (DSCs) bis zum ersten Quartal 2026 über voll funktionsfähige Ermittlungsstellen verfügen, und die Europäische Kommission hat koordinierte Razzien angekündigt, die sich auf Cookie-Einwilligungsabläufe und die Benutzererfahrung bei der Kündigung von Abonnements konzentrieren.

Was Art. 25 DSA tatsächlich verbietet – im Einzelnen

Art. 25 Abs. 1 DSA verbietet es, eine Online-Schnittstelle so zu gestalten, zu organisieren oder zu betreiben, dass sie die Nutzer täuscht oder manipuliert oder ihre Fähigkeit beeinträchtigt, freie und informierte Entscheidungen zu treffen. Erwägungsgrund 67 konkretisiert dies durch vier explizite Kategorien von Dark Patterns: (1) bestimmte Auswahlmöglichkeiten visuell stärker hervorheben, (2) bereits getroffene Entscheidungen wiederholt abfragen, (3) die Kündigung schwieriger gestalten als die Anmeldung und (4) den Widerruf der Einwilligung schwieriger gestalten als die Erteilung der Einwilligung.

Entscheidend ist, dass sich die Leitlinien 3/2022 des EDPB zu Dark Patterns (verabschiedet am 14. März 2023, Dokument-ID: EDPB-2022-GL-0003) weitgehend mit Art. 25 DSA überschneiden, sich jedoch aus Art. 5 Abs. 1 Buchstabe a und Art. 7 DSGVO ableiten. Diese doppelte Regulierung bedeutet, dass ein einziges nicht konformes Cookie-Banner gleichzeitig eine Durchsetzungsmaßnahme einer Datenschutzbehörde gemäß der DSGVO und eine Durchsetzungsmaßnahme einer DSC gemäß dem DSA auslösen kann. Diese Maßnahmen sind nicht doppelt – sie können zu parallelen Geldbußen führen, die auf unterschiedlichen Rechtsgrundlagen berechnet werden.

Die besonders unter die Lupe genommenen Interface-Elemente

• Cookie-Einwilligungsbanner: Asymmetrische Schaltflächengrößen zwischen „Alle akzeptieren“ und „Alle ablehnen“, Manipulation des Farbkontrasts (z. B. Grau-auf-Grau für die Ablehnung) und vorab angekreuzte Einwilligungsfelder fallen eindeutig unter Art. 25 Abs. 1.
• Anmeldeabläufe: „Roach-Motel“-Muster, bei denen POST /subscribe ein einziger Klick erforderlich ist, die Kündigung jedoch das Durchlaufen von mehr als vier Bildschirmen oder einen Anruf unter einer Telefonnummer erfordert, verstoßen direkt gegen Art. 25 Abs. 1 Buchstabe c.
• Kontolöschung: Das Verstecken der Löschfunktion hinter /settings/privacy/advanced/account/delete , während die Profilerstellung /signup , stellt eine strukturelle Asymmetrie dar, die in Erwägungsgrund 67(3) erfasst ist.
• Bestätigungsmanipulation: Microcopy bei Ablehnungsoptionen wie „Nein danke, ich zahle lieber mehr“ stellt eine Manipulation des Entscheidungsumfelds gemäß Art. 25(1) dar.
• Erzwungene Hinweise zur Vertragsverlängerung: Übergänge von der Testphase zum kostenpflichtigen Abonnement, bei denen der Abrechnungsauslöser in font-size: 9px; color: #ccc vor einem weißen Hintergrund dargestellt wird, verstoßen sowohl gegen Art. 25 DSA als auch gegen Art. 22 UCPD (Richtlinie über unlautere Geschäftspraktiken).

Warum manuelle Audits in großem Maßstab versagen

Eine einzige SaaS-Plattform mit A/B-Test-Infrastruktur kann Dutzende von Schnittstellenvarianten gleichzeitig über verschiedene Nutzergruppen hinweg bereitstellen. Ein manuelles Audit erfasst eine Momentaufnahme einer Variante zu einem bestimmten Zeitpunkt. Als der EuGH in der Rechtssache C-673/17 (Planet49) bestätigte, dass die Einwilligung zum konkreten Zeitpunkt der Datenerhebung freiwillig erteilt werden muss, erkannte er implizit an, dass der Zustand der Benutzeroberfläche zeitlich variabel ist – doch die Durchsetzungsrahmen haben noch nicht mit der betrieblichen Realität kontinuierlicher Deployment-Pipelines Schritt gehalten.

Betrachten wir die technische Oberfläche: Eine typische React-SPA rendert die Einwilligungs-UI über dynamisch eingefügte <div> , deren berechnete CSS-Eigenschaften – einschließlich z-index, opacity, pointer-eventsund color Kontrastverhältnisse – zwischen serverseitig gerenderten HTML-Momentaufnahmen und clientseitig hydrierten DOM-Zuständen variieren können. Ein statischer HTML-Crawler wird den manipulierten Zustand vollständig übersehen. Automatisierte Compliance-Scans, die echte Browsersitzungen über headless Chromium (Puppeteer/Playwright) ausführen, berechnete Stile über window.getComputedStyle(), die WCAG 1.4.3-Kontrastverhältnisse programmgesteuert misst und Interaktionsabläufe aufzeichnet, schließt diese Lücke.

Aufbau einer automatisierten Scan-Architektur gemäß DSA Art. 25

Eine effektive automatisierte Pipeline zur Erkennung von Dark Patterns erfordert vier Ebenen:

1. Erfassung des DOM-Zustands: Ganzseitige Screenshots und DOM-Snapshots sowohl im anfänglichen Rendering-Zustand als auch nach Interaktionen (nach Klick, nach Scroll). Verwenden Sie Playwrights page.evaluate() , um berechnete Stile für alle interaktiven Elemente zu extrahieren, die als Einwilligungs- oder Abonnement-Steuerelemente gekennzeichnet sind.
2. Erkennung visueller Asymmetrien: Vergleichen Sie programmgesteuert die Abmessungen der Begrenzungsrahmen (getBoundingClientRect()) und berechnete Hintergrund-/Vordergrundfarbwerte von gepaarten Aktionsschaltflächen. Ein Kontrastverhältnis-Delta von mehr als 30 % zwischen primären und sekundären Aktionspfaden ist ein Dark-Pattern-Signal mit hoher Zuverlässigkeit.
3. Analyse der Ablauf-Tiefe: Stellen Sie die Tiefe des URL-Pfads und die Anzahl der Klicks, die erforderlich sind, um eine Stornierung, Löschung und den Widerruf der Einwilligung abzuschließen, der Anmeldung, der Abonnement-Einrichtung und der Einwilligungserteilung gegenüber. Asymmetrien von mehr als zwei Schritten stellen einen mutmaßlichen Verstoß gegen Art. 25 dar.
4. Zeitliche Überwachung: Planen Sie Scans mindestens wöchentlich mit A/B-Variantenerkennung ein – vergleichen Sie Set-Cookie Response-Header und __cfduid/_ab_test Cookie-Werte über Scan-Sitzungen hinweg, um festzustellen, wann unterschiedliche Schnittstellenvarianten bereitgestellt werden.

Scan-Ergebnisse sollten mit vollständigen Beweispaketen gespeichert werden: HAR-Dateien, die alle Netzwerkanfragen einschließlich Content-Security-Policy Header, DOM-Snapshots, berechnete Stilauszüge und zeitgestempelte Screenshots. Diese Beweiskette ist direkt in Antworten auf DSC-Untersuchungen verwendbar und entspricht dem gemäß Art. 24(1) DSA erwarteten Dokumentationsstandard (Aufbewahrungspflichten).

Durchsetzungsrisiken: Wie DSCs tatsächlich ermitteln werden

Nationale DSCs übernehmen Ermittlungsbefugnisse, die sich an den Rahmenwerken der DSGVO-Aufsichtsbehörden orientieren (Art. 51 DSA). Die niederländische ACM, die signalisiert hat, dass sie zu den aktivsten DSCs gehören wird, hat bereits technische Leitlinien veröffentlicht, wonach Beweise für Dark Patterns über automatisierte Testumgebungen gesammelt werden, die reale Nutzerpfade nachahmen. Die deutsche Bundesnetzagentur, die als Deutschlands DSC benannt wurde, baut ein spezielles Team für die Überwachung digitaler Schnittstellen auf.

Die Höchststrafe gemäß Art. 74 Abs. 1 DSA beträgt 6 % des weltweiten Jahresumsatzes – identisch mit der Obergrenze der DSGVO und im Gegensatz zu Art. 83 DSGVO, der zwischen den Stufen nach Art. 83 Abs. 4 und 83 Abs. 5 unterscheidet, wendet die DSA die Obergrenze von 6 % einheitlich auf Verstöße gegen Art. 25 an. Für ein SaaS-Unternehmen mit einem ARR von 50 Mio. € bedeutet ein einziger festgestellter Dark Pattern theoretisch ein Risiko von 3 Mio. €, bevor mildernde Umstände berücksichtigt werden.

Sofortmaßnahmen für Compliance-Teams

• Überprüfen Sie jetzt alle Konfigurationen Ihrer Consent Management Platform (CMP): Exportieren Sie die CSS-Überschreibungen Ihrer CMP und stellen Sie sicher, dass die Kontrastverhältnisse der Schaltflächen sowohl für den Akzeptanz- als auch für den Ablehnungspfad gleichermaßen den WCAG-AA-Anforderungen (mindestens 4,5:1) entsprechen.
• Vergleichen Sie die Klicktiefe des Kündigungsablaufs mit der Tiefe des Anmeldeablaufs für jedes Abonnementprodukt. Dokumentieren Sie den Vergleich. Jede Asymmetrie von mehr als 2 Schritten erfordert eine sofortige UX-Korrektur.
• Rüsten Sie Ihre CI/CD-Pipeline mit automatisierten Dark-Pattern-Prüfungen aus, indem Sie Playwright-basierte Testsuiten verwenden, die Builds fehlschlagen lassen, wenn Schwellenwerte für visuelle Asymmetrien überschritten werden – behandeln Sie Dark-Pattern-Regressionen genauso wie funktionale Regressionen.
• Stellen Sie Querverweise zu den EDPB-Leitlinien 3/2022 (EDPB-2022-GL-0003) für zustimmungsspezifische Muster sowie zur DSA-Delegiertenverordnung der Kommission über VLOP-spezifische Verpflichtungen für Plattformen her, die sich der Schwelle von 45 Millionen EU-Nutzern nähern.
• Richten Sie jetzt ein Protokoll für die Beantwortung von DSC-Anfragen ein: Legen Sie fest, welches Team für die Zusammenstellung der Nachweise gemäß Art. 25 zuständig ist, definieren Sie Ihre Richtlinie zur Aufbewahrung von HAR- und DOM-Snapshots (empfohlen werden mindestens 24 Monate) und erstellen Sie einen Vorentwurf für Ihre Vorlage des Transparenzberichts gemäß Art. 24.

Die Verschärfung der Durchsetzung im Jahr 2026 ist kein Abgrund – sie ist der Höhepunkt einer Compliance-Verpflichtung, die bereits in vollem Umfang in Kraft ist. Organisationen, die Art. 25 DSA noch nicht als ebenso dringlich wie Art. 7 DSGVO behandelt haben, häufen technische Schulden in einem Bereich an, in dem die automatisierte Beweissammlung durch Regulierungsbehörden die manuelle Selbstbewertung systematisch übertreffen wird.