Von Gray zu EDPB: Dunkle Mustertaxonomien 2018-2026 auf die Durchsetzung abgestimmt

Die Leitlinien 3/2022 des EDPB zu Dark Patterns (verabschiedet am 14. März 2023, Dokument-ID: EDPB 3/2022) sind nicht aus einem regulatorischen Vakuum entstanden. Sie stellen die Umsetzung von acht Jahren akademischer Taxonomiearbeit in durchsetzbare Rechtsnormen dar. Für Compliance-Beauftragte und Datenschutzbeauftragte ist das Verständnis, welche wissenschaftlichen Rahmenwerke welche regulatorischen Kategorien geprägt haben, keine akademische Neugier – es sagt direkt voraus, wo der Durchsetzungsdruck als Nächstes ansetzen wird.

Die Entstehung der Taxonomie: Von der HCI-Forschung zu verbindlichen Leitlinien

Die grundlegende Arbeit ist Harry Brignulls Katalog aus dem Jahr 2010 (später formalisiert in der Veröffentlichung „Dark Patterns: Dirty Tricks Designers Use to Make You Do Things“ von 2018), der 12 Mustertypen identifizierte, darunter „Roach Motel“, „Misdirection“ und „Trick Questions“. Brignulls Taxonomie war beschreibend und auf UX ausgerichtet, es fehlte jedoch an einer rechtlichen Operationalisierung. Die entscheidende Brücke schlugen Bösch et al. (2016, CHI-Proceedings), die erstmals versuchten, irreführendes Design bestimmten Schadenskategorien zuzuordnen – ein Schritt, der die akademische Arbeit für Regulierungsbehörden verständlich machte.

Die Princeton-Studie von Mathur et al. aus dem Jahr 2019 („Dark Patterns at Scale: Findings from a Crawl of 11K Shopping Websites“) führte die erste groß angelegte empirische Methodik ein: automatisiertes Crawling unter Verwendung von CSS-Selektoren und DOM-Baumanalyse, um Countdown-Timer, falsche Dringlichkeitsbehauptungen und versteckte Abonnementmuster zu erkennen. Ihre Erkennungsmethodik – das Parsen innerText über Headless Chromium gegen Regex-Bibliotheken – wird nun direkt in den Audit-Tools der Aufsichtsbehörden nachgebildet, darunter auch im Cookie-Banner-Scanner der CNIL.

Der Bericht „Deceived by Design“ des norwegischen Verbraucherrats aus dem Jahr 2018 über Facebook, Google und Windows 10 war das erste Dokument, das Muster im Stil von Brignull explizit den Artikeln der DSGVO zuordnete: Art. 5 Abs. 1 Buchstabe a (Rechtmäßigkeit, Fairness, Transparenz), Art. 7 Abs. 3 (Widerruf der Einwilligung) und Art. 25 (Datenschutz durch Technikgestaltung). Diese Zuordnung schuf die Vorlage für die Strafverfolgung, die die nationalen Datenschutzbehörden ab 2019 verwendeten.

Die Konvergenz der 14 Quellen und die Übernahme durch den EDPB

Die Leitlinien des EDPB aus dem Jahr 2022 zitieren ausdrücklich oder integrieren strukturell Erkenntnisse aus der folgenden Forschungslinie (rekonstruiert anhand von Fußnoten und Arbeitsgruppendokumentation):

1. Brignull (2010/2018) – grundlegendes Mustervokabular
2. Bösch et al. (2016) – schadenorientierte Taxonomie
3. Norwegischer Verbraucherrat (2018) – DSGVO-Zuordnung
4. Mathur et al. (2019, Princeton) – empirische Prävalenzdaten
5. Gray et al. (2018, CHI) – „The Dark (Patterns) Side of UX Design“ – führten die Fünf-Kategorien-Struktur ein (Nagging, Obstruction, Sneaking, Interface Interference, Forced Action), die der EDPB fast wörtlich übernommen hat
6. Luguri & Strahilevitz (2021, J. Legal Analysis) — A/B-Tests, die eine Manipulation der Zustimmungsrate belegen
7. Gemeinsamer Bericht von CNIL und ICO (2019) — regulatorische Operationalisierung der Cookie-Wall-Analyse
8. Nouwens et al. (2020, CHI) – „Dark Patterns after the GDPR“ – quantifizierten, dass nur 11,8 % der 10.000 meistbesuchten Websites im Vereinigten Königreich nach Inkrafttreten der DSGVO konforme Einwilligungsmechanismen anboten
9. Habib et al. (2022, USENIX) – Bewertung der Verschleierung von Datenschutzrichtlinien
10. BEUC (2020) – Kartierung der Durchsetzungsmaßnahmen von Verbraucherorganisationen
11. FTC (2022) Bericht „Bringing Dark Patterns to Light“ — transatlantische regulatorische Angleichung
12. Santos et al. (2021) — „Cookie-Banner, Was ist der aktuelle Stand der Technik?“ — CMP-spezifische Analyse
13. Bongard-Blanchy et al. (2021) – Einstufung der Anfälligkeit von Nutzern
14. Stellungnahme 3/2022 des EDSB — institutionelle Angleichung vor der endgültigen Verabschiedung der Leitlinien

Die Fünf-Kategorien-Struktur von Gray et al. verdient besondere Beachtung. Ihre Kategorie „Interface Interference“ — die visuelle Manipulation durch Farbkontrast, Größenunterschiede und Ausnutzung der kognitiven Belastung umfasst — entspricht direkt Abschnitt 4.3 der EDPB-Leitlinien zu „Looks That Deceive“. Das konkrete EDPB-Beispiel der Verwendung von Grau-auf-Grau-Farbschemata für Ablehnungs-Buttons im Gegensatz zu hellfarbigen Akzeptanz-Buttons ist fast direkt aus dem Kodierungsrahmen von Gray et al. übernommen, der auf Brignulls Kategorie „Misdirection“ angewendet wurde.

Umsetzung in der Praxis: Wo Taxonomie zur Geldstrafe wird

Die Geldbuße der CNIL in Höhe von 150 Mio. € gegen Google (Januar 2022, Beschluss SAN-2022-001) und in Höhe von 60 Mio. € gegen Facebook stützte sich auf eine Vorform der Taxonomie, bevor die EDPB-Leitlinien endgültig festgelegt wurden, doch ihre rechtliche Begründung folgt den Erkenntnissen von Nouwens et al.: Die Asymmetrie zwischen einem Ein-Klick-Zustimmungsmechanismus und einem mehrstufigen Ablehnungsprozess verstieß gegen Art. 7(3) DSGVO und Art. 82 des französischen Datenschutzgesetzes. Nouwens et al. hatten genau diese Asymmetrie quantifiziert – und festgestellt, dass das Opt-out bei den untersuchten CMPs im Durchschnitt 1,7 Klicks mehr erforderte als das Opt-in.

Die Durchsetzungsmaßnahme der irischen Datenschutzbehörde (DPC) gegen Meta (Instagram, Dezember 2022, DPC-IN-5-2019) bezog erstmals eine Analyse der Schnittstellenbeeinflussung in eine verbindliche Entscheidung ein und führte an, dass die Standard-Datenschutzeinstellungen ein Dark Pattern im Sinne von Art. 25 DSGVO darstellten, da sie die datenschutzfreundliche Wahl architektonisch unauffällig machten. Dies setzt die Kategorie „Forced Action“ von Gray et al. direkt in die Praxis um.

Das Verbot von Dark Patterns für sehr große Online-Plattformen (VLOPs) gemäß Art. 25 des DSA, das im August 2023 in Kraft tritt, erweitert die Taxonomie des EDPB über die Einwilligung hinaus auf eine umfassendere Manipulation der Benutzererfahrung (UX) – wodurch eine doppelte Compliance-Verpflichtung entsteht, bei der dasselbe Interface-Element gleichzeitig sowohl gegen Art. 5 Abs. 1 Buchstabe a DSGVO als auch gegen Art. 25 DSA verstoßen kann.

Praktische Auswirkungen: Taxonomie-orientiertes Audit-Protokoll

Für technische Compliance-Teams hat die Taxonomie konkrete Auswirkungen auf das Audit:

• Kontrastverhältnisse der CMP-Schaltflächen: Messen Sie die WCAG-Kontrastverhältnisse für Akzeptieren-/Ablehnen-Schaltflächen mithilfe automatisierter Tools (axe-core, Lighthouse Accessibility API). Eine Kontrast-Asymmetrie – wobei die Akzeptieren-Schaltfläche AAA (7:1) erfüllt, während die Ablehnen-Schaltfläche nur AA (4,5:1) oder weniger erfüllt – ist eine dokumentierbare Schnittstellenbeeinträchtigung gemäß EDPB Abschnitt 4.3.
• Asymmetrie der Klicktiefe: Protokollieren Sie die DOM-Interaktionstiefe, die erforderlich ist, um gleichwertige Zustimmungszustände zu erreichen, unter Verwendung von Browser-Automatisierung (Playwright oder Puppeteer). Die Methodik von Nouwens et al. lässt sich direkt für interne Audits replizieren. Jede Asymmetrie, die über eine zusätzliche Interaktionsebene hinausgeht, ist ein Signal für ein Durchsetzungsrisiko.
• Countdown-Timer in Cookie-Bannern: Überprüfen Sie auf setTimeout() oder setInterval() Aufrufe in CMP-JavaScript-Bundles, die visuelle Dringlichkeitselemente auslösen. Diese stellen eine falsche Dringlichkeit gemäß EDPB-Abschnitt 4.1 dar und machen die Einwilligung gemäß Art. 7 DSGVO wahrscheinlich ungültig (Einwilligung nicht frei unter Zeitdruck erteilt).
• Vorgewählte Kontrollkästchen in verschachtelten IAB-TCF-Anbieterlisten: Das TCF v2.2-Muster für berechtigte Interessen mit Standardaktivierung in der Benutzeroberfläche der Anbieterliste wurde in der IAB-Entscheidung der belgischen Datenschutzbehörde (APD/GBA 21/2022) ausdrücklich beanstandet. Audit isConsent vs. isLegitimateInterest Signal-Flags in der TC-String-Ausgabe.

Die Grenze 2024–2026: Was die nächste Durchsetzungswelle ins Visier nimmt

Zu den neuen Forschungsergebnissen, die bereits in den nächsten Regulierungszyklus einfließen, gehören Mavroudis & Livieratos (2023) zu algorithmischen Dark Patterns – bei denen Personalisierungs-Engines die Darstellung der Benutzeroberfläche dynamisch anpassen, basierend auf abgeleiteten Bewertungen der Anfälligkeit von Nutzern, die aus Verhaltensverfolgung abgeleitet werden. Dies geht über statische Manipulation der Benutzeroberfläche hinaus und reicht bis zur Ausnutzung der Architektur der Einwilligung in Echtzeit. Das Arbeitsprogramm der EDPB für 2025 (angekündigt im November 2024) umfasst eine spezielle Task Force zu KI-vermittelten Einwilligungsschnittstellen, die sich direkt auf diese Forschungsrichtung stützt.

Datenschutzbeauftragte sollten die Taxonomie-Karte mit 14 Quellen nicht als historischen Kontext, sondern als zukunftsorientierten Indikator für die Durchsetzung betrachten: Aufsichtsbehörden haben durchweg eine Verzögerung von 24 bis 36 Monaten zwischen der Veröffentlichung akademischer Taxonomien und Durchsetzungsmaßnahmen gezeigt. Die in den Jahren 2023–2024 veröffentlichten Forschungsergebnisse zu Dark Patterns in Sprachschnittstellen (Abdelnabi et al., 2023) und zur Manipulation von Berechtigungsdialogen in mobilen Betriebssystemen (Kollnig et al., 2022) befinden sich bereits in der regulatorischen Pipeline.

Die praktische Notwendigkeit: Führen Sie Dark-Pattern-Audits anhand der vollständigen Fünf-Kategorien-Taxonomie von Gray et al. durch, nicht nur anhand der Mechanismen von Cookie-Bannern. Schnittstellenbeeinträchtigung, erzwungene Aktionen und „Sneaking“-Muster in Kontoverwaltungsabläufen, Abonnement-Kündigungswegen und Benutzeroberflächen für Datenlöschungsanfragen sind die nächste Grenze der Durchsetzung – und die wissenschaftlichen Grundlagen, die diese Untersuchungen rechtfertigen, sind bereits gelegt.