Die 83%ige Zustimmungsmanipulation: Warum Planet49 die Tür offen ließ

Im Jahr 2020 veröffentlichten Nouwens, Liccardi, Veale, Karger und Hartzog die bis heute meistzitierte empirische Studie zur Manipulation der Einwilligung: ein kontrolliertes Experiment mit realen Cookie-Bannern, das zeigte, dass vorab angekreuzte Kontrollkästchen die „Einwilligungsraten“ im Vergleich zu Opt-in-Entsprechungen um 83 Prozentpunkte in die Höhe treiben. Der EuGH hatte bereits in der Rechtssache Planet49 GmbH gegen Bundesverband der Verbraucherzentralen (Rechtssache C-673/17, Urteil vom 1. Oktober 2019) vorab angekreuzte Kästchen für rechtswidrig erklärt. Doch vier Jahre später finden automatisierte Crawls der 10.000 führenden europäischen Domains im Tranco-Ranking durchweg vorab ausgewählte Schaltflächen oder Kontrollkästchen in 35–45 % der Cookie-Einwilligungsbanner. Die Kluft zwischen Recht und Praxis ist nicht auf Unwissenheit zurückzuführen – sie liegt in der Architektur begründet.

Was Nouwens et al. tatsächlich gemessen haben

Die Cambridge-Studie rekrutierte 1.976 Teilnehmer und konfrontierte sie mit realistischen Cookie-Einwilligungsoberflächen, die sich in sechs Designaspekten unterschieden: Position, Farbe, Voreinstellungsstatus, erforderliche Interaktion, Anzahl der Auswahlmöglichkeiten und Textformulierung. Allein die Variable der Vorauswahl – das Umschalten eines Kontrollkästchens von standardmäßig deaktiviert auf standardmäßig aktiviert – führte zu einem absoluten Anstieg der geäußerten „Zustimmung“ um 83 %. Dies ist kein relativer Anstieg; es handelt sich um eine Schwankung der Zustimmungsrate um 83 Prozentpunkte, wodurch die Akzeptanz unter den extremsten getesteten Bedingungen von etwa 11 % auf 94 % stieg.

Entscheidend ist, dass die Studie Störfaktoren kontrollierte. Der Effekt blieb auch dann bestehen, wenn die Benutzeroberfläche den vorausgewählten Zustand explizit kennzeichnete. Die Nutzer wurden nicht darüber getäuscht, worauf sie klickten – sie wurden lediglich durch den kognitiven Voreinstellungseffekt beeinflusst, der in Kahnemans System-1-Forschung dokumentiert ist. Dies ist rechtlich von Bedeutung, da es die Kriterien der „informierten“ und „freiwilligen“ Einwilligung gemäß Art. 4 Abs. 11 DSGVO sowie das Erfordernis der aktiven Einwilligung gemäß Art. 6 Abs. 1 Buchstabe a DSGVO unterläuft, unabhängig davon, ob die Beschriftung des Kontrollkästchens technisch korrekt ist.

Planet49: Was der EuGH tatsächlich entschieden hat – und was nicht

Das Planet49-Urteil befasste sich mit der Praxis eines deutschen Lotteriebetreibers, ein Kontrollkästchen für Marketing-Cookies von Drittanbietern vorab anzukreuzen. Der EuGH stellte unmissverständlich fest, dass vorab angekreuzte Kontrollkästchen weder nach der ePrivacy-Richtlinie (Art. 5 Abs. 3 der Richtlinie 2002/58/EG) noch nach der DSGVO eine gültige Einwilligung darstellen. Die Einwilligung muss eine aktive Willensbekundung der betroffenen Person beinhalten – ein Standard, der mit jeder Voreinstellung unvereinbar ist.

Was das Planet49-Urteil nicht geklärt hat, ist die Frage der Umsetzung. Das Urteil bezieht sich auf statische HTML-Kontrollkästchen. Moderne Consent Management Platforms (CMPs) realisieren die Einwilligung durch JavaScript-gerenderte Umschaltelemente, CSS-animierte Schieberegler und mehrschichtige Modal-Abläufe, bei denen der „vorausgewählte“ Zustand dynamisch nach dem Laden des DOMs eingefügt wird – manchmal erst nach Auslösen eines Scroll-Ereignisses. Diese Muster sind funktional identisch mit einem vorab angekreuzten Kontrollkästchen, unterscheiden sich jedoch in ihrer Architektur, was sowohl die behördliche Überprüfung als auch die automatisierte Erkennung erschwert.

Der EDPB hat einige dieser Dark Patterns in seinen Leitlinien 03/2022 zu Dark Patterns (Version 2.0, verabschiedet am 14. März 2023) behandelt und dabei in Abschnitt 3.2.1 das „Vorab-Ankreuzen“ ausdrücklich als verbotene Praxis genannt. Die Leitlinien definieren jedoch keinen technischen Erkennungsstandard, sodass die Durchsetzung von der manuellen Überprüfung durch die Datenschutzbehörden abhängt – ein Engpass, der sich auf Hunderte von Beschwerden pro Jahr bezieht, nicht auf Millionen von Banner-Einblendungen.

Das Problem der CMP-Architektur

Die marktbeherrschenden CMPs – OneTrust, Cookiebot, Usercentrics, TrustArc – bieten alle Konfigurationsoptionen, mit denen Publisher Standardzustände für die Einwilligung pro Kategorie festlegen können. Die CMP selbst ist nicht illegal; die Konfiguration durch den Publisher ist es. Dies führt zu einem Problem der Haftungsverteilung: Der CMP-Anbieter lehnt die Verantwortung für Fehlkonfigurationen durch den Publisher ab, der Publisher gibt der Standardvorlage der CMP die Schuld, und die Datenschutzbehörde kann nur gegen den Verantwortlichen vorgehen – der möglicherweise ein kleiner Publisher ohne Rechtsabteilung ist.

Auf technischer Ebene werden Standardzustände für die Einwilligung in diesen CMPs typischerweise in einem JavaScript-Konfigurationsobjekt gespeichert, das geladen wird, bevor die Einwilligungs-Benutzeroberfläche gerendert wird. Beispielsweise kann in einer falsch konfigurierten OneTrust-Bereitstellung das OptanonConsent Cookie möglicherweise mit Kategoriegruppen geschrieben, die bereits 1 (aktiv) markiert sind, da der Publisher defaultStatus: "always active" für Analysekategorien in der Geolokalisierungsregel festgelegt hat. Die im euconsent-v2 Cookie, kann gleichzeitig die Zweckbits 1–10 enthalten, die auf 1 – ein direkter Verstoß gegen Abschnitt 5.1 der TCF-Richtlinie, der voreingestellte Zustimmungsbits verbietet.

Automatisierte Erkennung: Was heute funktioniert

Die Durchsetzungslücke lässt sich durch die Automatisierung mit Headless-Browsern schließen. Die Erkennungsmethode erfordert zwei unabhängige Browsersitzungen für dieselbe URL:

1. Kalt-Sitzung (keine Interaktion): Starten Sie eine Playwright- oder Puppeteer-Instanz mit einem sauberen Profil, ohne Cookies und ohne localStorage. Navigieren Sie zur Ziel-URL. Nachdem DOM-interactive ausgelöst wurde, erfassen Sie: (a) alle geschriebenen Cookies, (b) alle localStorage und sessionStorage Einträge, (c) ausgehende Netzwerkanfragen über CDP Network.requestWillBeSentsowie (d) den gerenderten DOM-Zustand des Einwilligungsbanners einschließlich der ARIA-Checkbox-Zustände und der CSS :checked Pseudo-Klassen-Übereinstimmungen bei Eingabeelementen.
2. Sitzung mit expliziter Ablehnung: Wiederholen Sie die Navigation, klicken Sie dann programmgesteuert auf die Schaltfläche „Alle ablehnen“ oder eine entsprechende Schaltfläche, falls vorhanden, und erfassen Sie dieselben Signale.

Die Erkennung von Vorauswahlen konzentriert sich auf die DOM-Prüfung vor jedem Klick-Ereignis: Abfrage document.querySelectorAll('input[type="checkbox"]') und document.querySelectorAll('[role="switch"]'), dann auswerten .checked und getAttribute('aria-checked') für jedes Element innerhalb des Einwilligungs-Containers. Ein Umschalter, der true oder "true" vor einer Benutzerinteraktion ist ein vorab ausgewähltes Steuerelement. Vergleichen Sie gegebenenfalls mit der IAB-TCF-Einwilligungszeichenfolge: Dekodieren Sie die Base64URL-Nutzlast gemäß der TCF-Spezifikation und überprüfen Sie das Bitfeld „PurposesConsent“. Voreingestellte Bits ohne entsprechende Benutzeraktion stellen unabhängig von der DSGVO einen Verstoß gegen die TCF-Richtlinie dar.

Zu den Tools, die diese Logik implementieren, gehören der Scanner von DarkPatterns.io, das Open-Source-Tool CookieAudit (GitHub: cavi-au/Consent-O-Matic), der um Erkennungsskripte erweitert wurde, sowie akademische Crawler wie derjenige, der in der Folgestudie von Bouhoula et al. aus dem Jahr 2023 verwendet wurde, die bei 54,4 % der untersuchten, bei der IAB TCF registrierten CMPs vorab ausgewählte Schaltflächen feststellte. Für den Einsatz durch Datenschutzbeauftragte in Unternehmen bietet die Integration dieser Prüfungen in eine CI/CD-Pipeline über eine geplante Playwright-Testsuite gegen Produktions-URLs eine kontinuierliche Compliance-Überwachung anstelle von punktuellen Audits.

Hebelpunkte für die Durchsetzung

Für Datenschutzanwälte, die Verantwortliche beraten: Dokumentieren Sie Ihre CMP-Konfigurationsexporte als Nachweis. Die meisten CMPs bieten einen JSON- oder XML-Konfigurationsdump an – bewahren Sie versionierte Kopien auf, die die Standardzustände der Einwilligung bei jeder Konfigurationsänderung zeigen. Gemäß dem Rechenschaftsgrundsatz in Art. 5 Abs. 2 DSGVO ist diese Dokumentation nicht optional.

Für Datenschutzbeauftragte: Verlangen Sie von Ihrem CMP-Anbieter eine vertragliche Zusicherung (in der Datenschutzvereinbarung gemäß Art. 28 DSGVO), dass für nicht wesentliche Kategorien keine Standardzustände der Einwilligung aktiviert werden, ohne dass eine explizite Konfiguration durch den Publisher und ein Audit-Protokoll vorliegen. Anbieter, die diese Klausel ablehnen, signalisieren damit, dass ihre Standardeinstellungen nicht konform sind.

Für Aufsichtsbehörden: Die effizienteste Maßnahme ist nicht die Bearbeitung von Beschwerden im Einzelfall, sondern Audits auf CMP-Ebene. Eine einzige Fehlkonfiguration einer OneTrust-Vorlage, die auf 50.000 Publisher-Websites eingesetzt wird, stellt 50.000 gleichzeitige Verstöße gegen Art. 7 DSGVO dar. Die Durchsetzungsmaßnahmen der CNIL aus dem Jahr 2022 gegen Google und Facebook (SAN-2022-001, SAN-2022-002) zeigen, dass die Durchsetzung auf der Ebene der vorgelagerten Plattformen die Auswirkungen vergrößert – dieselbe Logik gilt für CMP-Anbieter, deren Standardvorlagen eine Vorauswahl ermöglichen.

Die 83-Prozent-Zahl als rechtlicher Schwellenwert

Die 83-Prozent-Erkenntnis von Nouwens et al. ist nicht nur akademischer Natur. Sie liefert die empirische Grundlage für die Argumentation, dass vorab ausgewählte Schnittstellen von Natur aus nicht in der Lage sind, eine gültige Einwilligung zu erzeugen – nicht weil sie im herkömmlichen Sinne irreführend sind, sondern weil sie strukturell kognitive Voreinstellungen ausnutzen, um eine Einwilligungsrate zu erzielen, die bei einer wirklich neutralen Schnittstelle nicht existieren würde. Dieses Argument steht in direktem Zusammenhang mit der Anforderung in Erwägungsgrund 42 der DSGVO, wonach eine Einwilligung nicht als freiwillig erteilt gelten darf, wenn die betroffene Person keine echte oder freie Wahl hat. Eine Schnittstelle, die allein durch den Standardzustand mechanisch eine Akzeptanz von 83 % erzeugt, bietet keine Wahl – sie erzeugt eine.

Dieser Artikel wurde mit KI-Unterstützung erstellt und gegen verifizierte DSGVO-Rechtsprechung (GDPRhub) geprüft. Für Rechtsberatung wenden Sie sich an einen qualifizierten Datenschutzexperten.