Dark Patterns und österreichisches Recht: wie UX zur rechtlichen Haftung wird

Worum es geht: Ein Dark Pattern entscheidet für deine Kunden

Ein Dark Pattern ist ein Stück Gestaltung, das Kunden etwas tun lässt, das sie so nicht gewählt haben. Ein Kästchen, in dem das Hakerl schon sitzt. Ein Cookie Banner mit einem großen "Alle akzeptieren" und einem blassen "Einstellungen". Ein Pop up, dessen Nein Button "Nein danke, ich zahl lieber mehr" heißt. Ein Countdown, der bei jedem Neuladen wieder von vorn läuft.

In Österreich ist das nicht nur schlechter Stil. Mehrere Gesetze schauen auf denselben Bildschirm. Die Datenschutz Grundverordnung (DSGVO) entscheidet, ob eine Einwilligung überhaupt eine ist.¹ Das Telekommunikationsgesetz 2021 (TKG 2021) regelt in § 165 Absatz 3, wann du Daten deiner Besucher über Cookies, Pixel und Local Storage ermitteln darfst, und in § 174, wann du Werbung per E Mail schicken darfst.²³ Das Bundesgesetz gegen den unlauteren Wettbewerb (UWG) entscheidet, ob die Art, wie du verkaufst, unlauter ist.⁴ Dazu kommen das Preisauszeichnungsgesetz (PrAG) für den Preis und das Fern und Auswärtsgeschäfte Gesetz (FAGG) für den Bestellvorgang.⁵⁶ Über den Datenschutz wacht die Datenschutzbehörde (DSB) in Wien, über das TKG 2021 das Fernmeldebüro. Das UWG setzen vor allem Mitbewerber, die Wirtschaftskammer, die Arbeiterkammer und der Verein für Konsumenteninformation (VKI) durch, mit Unterlassungsklage.⁷

Dieser Artikel geht deshalb Bildschirm für Bildschirm vor: was das jeweilige Muster ist, an welcher Regel es scheitert und was ich stattdessen baue, durchgerechnet an einem erfundenen Teehaus aus Graz, in Euro. Die Gesetze sind zitiert, die Unternehmen sind erfunden. Ich bin Ingenieur, kein Anwalt, also nimm einen konkreten Streit bitte zu einem.

Drei Regelwerke, eine Kassenseite

Bevor wir zu den Mustern kommen, die Landkarte. "Die DSGVO" deckt nicht alles auf dem Bildschirm ab, und wer weiß, welches Gesetz welches Element besitzt, weiß auch, wer anklopfen würde.

Die DSGVO definiert die Einwilligung als jede "freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung", und zwar "in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung".¹ Artikel 7 legt vier Regeln obendrauf: Du musst die Einwilligung nachweisen können, eine Bitte um Einwilligung inmitten eines längeren Textes muss "von den anderen Sachverhalten klar zu unterscheiden" sein, der Widerruf muss so einfach sein wie die Erteilung, und wenn du einen Vertrag an eine Einwilligung koppelst, die er gar nicht braucht, spricht das stark gegen die Freiwilligkeit.⁸ Artikel 25 verlangt datenschutzfreundliche Voreinstellungen: durch Voreinstellung nur die Daten, die der jeweilige Zweck braucht.⁹

§ 165 Absatz 3 TKG 2021 ist die Cookie Regel. Die Ermittlung von Daten ist nur zulässig, wenn der Nutzer seine Einwilligung "aktiv und auf Grundlage von klaren und umfassenden Informationen erteilt hat".² Ausnahmen gibt es genau zwei: die Übertragung einer Nachricht und das, was unbedingt erforderlich ist, damit du einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kannst. Eine Ausnahme für Statistik steht nicht im Gesetz.² Die DSB liest den Paragrafen weit, für jede technische Speicherung und jeden Zugriff auf das Gerät, nicht nur für Cookies, und wie ein Banner auszusehen hat, beschreibt sie in ihren FAQ zu Datenschutz und Cookies.¹⁰

Das UWG verbietet unlautere Geschäftspraktiken, darunter irreführende (§ 2) und aggressive (§ 1a), wenn sie geeignet sind, Kunden zu einer Entscheidung zu bringen, die sie sonst nicht getroffen hätten.⁴¹¹ Der Anhang zum UWG ist die schwarze Liste: Was dort steht, gilt jedenfalls als irreführend oder aggressiv, ohne Prüfung der Wirkung.¹² Und der Digital Services Act der EU verbietet in Artikel 25 täuschende Oberflächen ausdrücklich, aber nur Anbietern von Online Plattformen, nicht für Praktiken, die schon unter das Lauterkeitsrecht oder die DSGVO fallen, und mit einer Ausnahme für Kleinst und Kleinunternehmen.¹³ Für einen eigenen Shop ohne Marktplatz spielt er deshalb kaum eine Rolle.

Lies den Ablauf von oben, so wie sich eine Kundin durch einen Shop bewegt. Jeder Kasten ist ein Bildschirm und das Gesetz, das ihn besitzt. Der letzte Kasten ist der rote Faden: Datenschutz und Lauterkeitsrecht bewerten den Bildschirm als Ganzes, nicht Wort für Wort. Das UWG sagt das ausdrücklich: Ob eine Geschäftspraktik wesentliche Informationen vorenthält, wird "unter Berücksichtigung aller tatsächlichen Umstände" beurteilt, und bei aggressiven Praktiken zählen Zeitpunkt, Ort, Art und Dauer.⁴¹¹

Rechenbeispiel: die Kasse vom Teehaus Mur kartieren

Teehaus Mur ist ein erfundenes Geschäft für losen Tee in Graz, geführt von Hanna unter teehausmur.example. Ich nutze es durch den ganzen Artikel. Ihr Kaufvorgang hat fünf Elemente, die sich zu kartieren lohnen.

Das Cookie Banner: § 165 Absatz 3 TKG 2021, also Datenschutzbehörde und Fernmeldebüro. Das Etikett "Nur noch 3 da": § 2 UWG, weil es eine Angabe zum Vorhandensein des Produkts ist, die eine Kaufentscheidung treibt.⁴ Die "Verpackungsgebühr" von € 1,50, die erst im letzten Schritt auftaucht: PrAG, FAGG und UWG, weil es um den Gesamtpreis geht.⁵ Das angehakte Kästchen an der Kasse, "Schickt mir Angebote vom Teehaus Mur und ausgewählten Partnern": § 174 TKG 2021 und DSGVO. Der Abmeldelink, für den man sich einloggen muss: Artikel 7 Absatz 3 DSGVO und § 174 Absatz 4 TKG 2021.

Fünf Elemente, vier Regelwerke, zwei Arten von Gegnern: eine Behörde und ein Mitbewerber oder Verband mit Anwalt. Die Karte sagt Hanna, welche Korrekturen von der Einwilligung handeln und welche vom ehrlichen Verkaufen.

Was eine wirksame Einwilligung ist, in einfachen Worten

Lass die juristischen Wörter weg, und eine wirksame Einwilligung nach der DSGVO besteht vier Prüfungen. Freiwillig: Die Person hätte Nein sagen können, ohne etwas zu verlieren, wofür sie gekommen ist. Für den bestimmten Fall: ein Zweck pro Ja. Informiert: Sie wusste, wer was will und wozu. Unmissverständlich: Sie hat etwas getan, einen Klick, ein Hakerl, das nur Ja bedeuten kann.¹ Die DSGVO sagt die Folge in ihren Erwägungsgründen selbst: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sind keine Einwilligung, und wenn eine Verarbeitung mehreren Zwecken dient, braucht es für alle diese Zwecke eine Einwilligung.¹ Die DSB sagt dasselbe für Banner: Voreinstellungen und vorangekreuzte Boxen sind unzulässig, und Weitersurfen ist kein Ja.¹⁰ Die Wirtschaftskammer rät ausdrücklich davon ab, die Einwilligung in Werbung über die Allgemeinen Geschäftsbedingungen (AGB) einzuholen.¹⁴

Du musst die Einwilligung später auch zeigen können.⁸ Für die Anmeldung zum Newsletter auf einer Website ist nach der derzeitigen Rechtsprechung der DSB das Double Opt In Verfahren erforderlich, und die Wirtschaftskammer empfiehlt, jede Einwilligung aus Beweisgründen zu dokumentieren.¹⁴ Eine Einwilligung, die du nicht belegen kannst, ist in der Praxis eine, die du nie gehabt hast.

Rechenbeispiel: das Newsletter Feld, vorher und nachher

Hannas Newsletter Formular auf der Startseite hat ein E Mail Feld und einen Button mit "10 % Rabatt sichern". Darunter, klein und grau: "Mit der Anmeldung akzeptierst du unsere AGB und erhältst Werbung von uns und unseren Partnern."

Geh die vier Prüfungen durch. Freiwillig: Den Rabatt selbst halte ich für unproblematisch, denn wer Nein sagt, kauft trotzdem zum normalen Preis und verliert nichts, wofür er gekommen ist. Für den bestimmten Fall: nein, ein Klick deckt die AGB, Hannas Mails und Partnermails ab. Informiert: kaum, die Partner sind nicht genannt, und wer einwilligen soll, muss erfahren, an wen die Daten weitergegeben werden.¹⁴ Unmissverständlich: Der Klick bedeutet "Ich will 10 % Rabatt", nicht "Ich will Partnermails". Die Einwilligung für Partner scheitert, und die für Hannas eigene Werbung wackelt, weil sie in den AGB steckt.

Der Umbau ist klein. Der Button heißt weiter "10 % Rabatt sichern". Darüber ein leeres Kästchen: "Schick mir neue Tees und Angebote vom Teehaus Mur per E Mail. Abmelden mit einem Klick." Die Partner fliegen raus, weil Hanna keine hat, an die sie wirklich etwas schickt. Nach dem Absenden kommt eine Bestätigungsmail mit Link, ohne Werbung darin, und erst der Klick darauf trägt die Adresse in die Liste ein. Jede Anmeldung speichert Zeitpunkt, den genauen angezeigten Wortlaut und die Bestätigung, also genau den Nachweis, den Artikel 7 verlangt.

Vorangekreuzte Kästchen und andere Voreinstellungen

Eine Voreinstellung ist das, was passiert, wenn die Kundin nichts tut, und nichts tun ist leicht. Die britische Datenschutzbehörde und die britische Wettbewerbsbehörde zitieren in ihrem gemeinsamen Papier eine Metaanalyse, nach der eine vorausgewählte Option von zweien im Schnitt mit 27 % höherer Wahrscheinlichkeit gewählt wird, als wenn es keine Voreinstellung gäbe.¹⁵ Rechtlich ist die Frage in der ganzen EU entschieden. Im Fall Planet49, den der deutsche Bundesverband der Verbraucherzentralen gegen ein Gewinnspielunternehmen geführt hat, hat der Europäische Gerichtshof 2019 geurteilt: Eine Einwilligung durch ein voreingestelltes Ankreuzkästchen, das man zum Ablehnen abwählen muss, ist nicht wirksam, egal ob die Daten personenbezogen sind. Die Cookies in dem Fall dienten übrigens der Werbung für Partner des Unternehmens.¹⁶ Das Urteil legt dieselbe europäische Regel aus, die bei uns in § 165 Absatz 3 TKG 2021 steht, und die DSB überträgt es auf Banner: vorangekreuzte Boxen sind unzulässig.¹⁰

Es gibt eine Feinheit, die die meisten Shops rettet, und du solltest sie kennen, bevor du jedes Kästchen herausreißt. Für Werbung per E Mail an eigene Kunden hat das TKG 2021 eine Ausnahme. Die Zusendung elektronischer Post zur Direktwerbung ist ohne vorherige Einwilligung zwar unzulässig, aber nicht, wenn vier Bedingungen zusammen erfüllt sind: Du hast die Kontaktinformation im Zusammenhang mit dem Verkauf oder einer Dienstleistung an deine Kunden bekommen, du bewirbst eigene ähnliche Produkte oder Dienstleistungen, der Empfänger hat klar und deutlich die Möglichkeit bekommen, das bei der Erhebung und bei jeder Zusendung kostenfrei und problemlos abzulehnen, und er hat die Zusendung nicht von vornherein abgelehnt, etwa durch Eintragung in die ECG Liste.³ Die Wirtschaftskammer erklärt den Weg genauso, mit einem Beispiel, das wie eine Kasse aussieht: ein Optionsfeld, mit dem Kunden weitere Informationen zu ähnlichen Produkten ablehnen können.¹⁴ Dieser Weg braucht gar kein Hakerl für das Ja. Er braucht eine ehrliche Gelegenheit, Nein zu sagen.

Rechenbeispiel: was Hannas angehaktes Kästchen wirklich wert ist

Hannas Kasse verarbeitet 3.000 Bestellungen im Monat. Ihr Kästchen, standardmäßig angehakt, lautet "Schickt mir Angebote vom Teehaus Mur und ausgewählten Partnern". 2.700 Kunden lassen das Hakerl stehen. Ihr Dashboard zeigt eine Anmelderate von:

$$r = \frac{n_{\text{yes}}}{n_{\text{asked}}}$$

Dabei ist $r$ die Anmelderate, $n_{\text{yes}}$ die Zahl der Kunden, die als Ja gezählt werden, und $n_{\text{asked}}$ die Zahl derer, die das Kästchen gesehen haben. Das ist eine gewöhnliche Rate, Ereignisse geteilt durch Gelegenheiten, von Grund auf erklärt in Grundlagen: Verhältnisse und Raten.

Auf dem Dashboard ergibt das $2.700 / 3.000 = 0{,}90$, eine Anmelderate von 90 %. Jetzt die Frage, was davon hält. Als Einwilligung: nichts, denn ein stehen gelassenes Hakerl ist Untätigkeit, keine eindeutige bestätigende Handlung.¹ Für Partnerangebote: nichts, denn die Ausnahme in § 174 Absatz 4 TKG 2021 deckt nur eigene ähnliche Produkte.³ Für Hannas eigene Tees: vielleicht die Ausnahme, aber nur, wenn das Kästchen klar und deutlich die Möglichkeit zum Ablehnen geboten hätte, und ein angehaktes Kästchen, in das Partner hineingemischt sind, liest sich nicht so.

Jetzt die ehrliche Variante. Text an der Kasse: "Wir schicken dir ab und zu eine E Mail zu neuen Tees. Wenn du das nicht willst, setz hier ein Hakerl. Du kannst auch jederzeit später ablehnen, über den Link in jeder Mail." Dazu ein Abmeldelink in jeder Mail und vor dem Versand ein Abgleich mit der ECG Liste. Das ist § 174 Absatz 4 TKG 2021, sauber umgesetzt. Sagen wir, 10 % setzen das Hakerl zum Ablehnen, eine erfundene Zahl für das Beispiel. Dann dürfen $3.000 \times 0{,}90 = 2.700$ Kunden Hannas eigene Werbung bekommen, rechtmäßig.

Dieselben 2.700 Menschen. Die zweite Liste übersteht eine Beschwerde bei der DSB und eine Anzeige beim Fernmeldebüro. Die erste muss an dem Tag gelöscht werden, an dem jemand fragt, wie er draufgekommen ist. In den Shops, an denen ich gearbeitet habe, kostet das ehrliche Kästchen für die eigenen Produkte fast keine Reichweite.

Cookie Banner: Ablehnen muss so leicht sein wie Zustimmen

Das häufigste Dark Pattern bei uns ist immer noch das Banner mit "Alle akzeptieren" auf der ersten Ebene und dem Ablehnen hinter "Einstellungen". Die DSB ist hier kürzer und strenger, als viele denken. Ablehnen muss so einfach sein wie Akzeptieren: Das Nein darf nicht mehr Klicks brauchen als das Ja, und niemand darf erst auf einer zweiten oder dritten Ebene ablehnen können.¹⁰ Eine Ausnahme für Banner, die nichts versperren, kennen die FAQ nicht. Auch die Gestaltung zählt: Ein Ablehnen Button, der weniger prominent gestaltet oder platziert ist, kann die Einwilligung ungültig machen, und die DSB zeigt das selbst am Beispiel eines weißen Buttons auf weißem Hintergrund neben einem roten.¹⁰ Damit ist auch der beliebteste Trick erledigt: Ein Button "Einstellungen", hinter dem das Ablehnen erst auf der nächsten Ebene wartet, ist genau das Nein auf zweiter Ebene, das die DSB ausschließt.

Noch zwei Details erwischen viele Shops. Ein Banner mit "Okay" als einzigem Button lässt gar kein Nein zu, und Weitersurfen ist laut DSB keine Einwilligung.¹⁰ Und wer abgelehnt hat, sollte nicht ständig neu gefragt werden. Der Europäische Datenschutzausschuss (EDSA) führt das als eigenes irreführendes Gestaltungsmuster, "Ständige Aufforderungen": Menschen geben nach, weil sie es leid sind, bei jedem Besuch erneut abzulehnen.¹⁷

Warum wehren sich Shops? Weil sich die Zahlen bewegen. Ein Forschungsteam hat die fünf meistgenutzten Consent Tools auf den 10.000 populärsten britischen Websites untersucht und festgestellt, dass nur 11,8 % die rechtlichen Mindestanforderungen erfüllt haben, die das Team aus dem europäischen Recht abgeleitet hatte. In einem Feldexperiment ist die Zustimmung um 22 bis 23 Prozentpunkte gestiegen, wenn der Ablehnen Button von der ersten Seite verschwunden ist.¹⁸ Nach meiner Erfahrung sind kleinere Shops in Österreich nicht weiter als die in dieser Studie.

Rechenbeispiel: Hannas Banner, vorher und nachher

Hannas Banner erscheint bei 80.000 Besuchen im Monat. Auf dem Handy deckt es die untere Hälfte der Seite ab, aber auf die Größe kommt es in Österreich gar nicht an: Die DSB will das Ablehnen auf der ersten Ebene, egal was das Banner versperrt. Mit "Alle akzeptieren" und "Einstellungen" stimmen 62.400 Besuche zu, eine Zustimmungsrate von $62.400 / 80.000 = 0{,}78$. Nach dem Umbau stehen "Alle akzeptieren" und "Alle ablehnen" nebeneinander, gleiche Größe, gleiche Farbe, gleiches Schriftbild, und 44.800 Besuche stimmen zu, eine Rate von $44.800 / 80.000 = 0{,}56$. Die Zahlen sind erfunden und so gewählt, dass sie im Bereich liegen, den die Forschung gefunden hat.

Wie groß ist dieser Rückgang? Es gibt zwei ehrliche Arten, das zu sagen, und Agenturen nehmen gern die, die besser klingt.

$$\Delta_{\text{pp}} = r_{\text{new}} - r_{\text{old}}, \qquad \Delta_{\%} = \frac{r_{\text{new}} - r_{\text{old}}}{r_{\text{old}}} \times 100$$

$\Delta_{\text{pp}}$ ist die Veränderung in Prozentpunkten, $\Delta_{\%}$ die relative Veränderung in Prozent, $r_{\text{old}}$ die Zustimmungsrate vorher und $r_{\text{new}}$ die Zustimmungsrate nachher. Den Unterschied zwischen Prozentpunkten und prozentualer Veränderung erklärt der erste Abschnitt von Grundlagen: Prozent.

Für Hanna: $0{,}56 - 0{,}78 = -0{,}22$, also 22 Prozentpunkte weniger, und $-0{,}22 / 0{,}78 \times 100 = -28{,}2$, also 28,2 % weniger Besuche, die zustimmen.

Die waagrechte Achse zeigt die beiden Banner, die senkrechte den Anteil der Besuche, die auf Zustimmen drücken. Die Erkenntnis: Ein gleichwertiges Banner kostet Hanna gut ein Viertel ihres zugestimmten Traffics, und keines dieser verlorenen Ja hätte sie verteidigen können. Eine Ausnahme für Statistik ohne Einwilligung gibt es in Österreich nicht, also wartet auch die Analytics auf ein Ja.² Ich setze Googles Consent Mode deshalb standardmäßig in der Basic Variante auf: Die Google Tags laden erst, wenn der Besucher sich entschieden hat, und nach einem Nein geht nichts an Google.¹⁹ Wie das im Detail ausschaut, steht in meinem Artikel zu Cookies, Consent und Tracking in Österreich, Deutschland und Großbritannien.

Confirmshaming und einseitige Formulierungen

Confirmshaming heißt, das Nein peinlich zu machen. Ein Rabatt Pop up, dessen Ablehnen Button "Na, ich hass Sparen" heißt. Der EDSA nennt das Muster "Emotionale Steuerung": Worte oder Bilder, die dafür sorgen, dass sich Nutzer gut und belohnt fühlen, oder ängstlich, schuldig oder bestraft, je nachdem, welche Wahl sie treffen.¹⁷ Die DSB verlangt, dass eine Einwilligung auf klaren und umfassenden Informationen beruht, und das steht so auch im Gesetz.²¹⁰ Ein Text, der die Wahl verzerrt, untergräbt genau das. Die leisere Verwandte ist die einseitige Formulierung: Eine Option wird nur mit ihren Vorteilen beschrieben, die andere nur mit ihren Risiken, etwa "Mein persönliches Erlebnis behalten" gegen "Meine gespeicherten Einstellungen verlieren", wenn die echte Wahl Werbetracking ja oder nein ist.

Die lauterkeitsrechtliche Seite zählt ebenso. Das österreichische UWG nennt bei aggressiven Geschäftspraktiken ausdrücklich "die Verwendung von drohenden oder beleidigenden Formulierungen oder Verhaltensweisen".¹¹ Und irreführend ist nach § 2 nicht nur, wer unrichtige Angaben macht, sondern auch, wer sonst geeignet ist, Kunden zu täuschen.⁴ Ein Pop up aus lauter wahren Sätzen kann als Ganzes trotzdem täuschen.

Rechenbeispiel: Hannas Exit Pop up neu schreiben

Hannas Pop up erscheint, wenn ein Besucher die Seite verlassen will: Überschrift "Halt, nicht durstig gehen", ein grüner Button "Ja, 10 % Rabatt für mich" und darunter grauer Text: "Nein danke, ich zahl gern den vollen Preis wie ein Trottel". Das E Mail Feld sitzt im Pop up, und das Kleingedruckte sagt, die Adresse werde genutzt, "um dein Erlebnis zu personalisieren".

Schritt eins, das Nein: "Nein danke" als echter Button, so groß wie das Ja. Schritt zwei, der Zweck: "Wir schicken dir deinen Code per E Mail und danach ab und zu neue Tees. Abmelden mit einem Klick." Mit Double Opt In, wie oben. Schritt drei, die Häufigkeit: einmal pro Besucher, und nach einem Nein eine ganze Weile nicht wieder, damit es keine ständige Aufforderung wird.¹⁷ Schritt vier, der Test: Hanna lässt jede Variante zwei Wochen laufen und vergleicht die Anmeldungen, die nach 60 Tagen noch abonniert sind, nicht die rohen Anmeldungen. Nach meiner Erfahrung ist das die Zahl, die sich auszahlt, und auf ihr schlägt sich das ehrliche Pop up gut.

Gebündelte Einwilligung

Bündeln heißt: ein Ja für mehrere Zwecke. "Ich akzeptiere AGB, Datenschutzerklärung und Werbung" in einem Hakerl. Die DSGVO verlangt für jeden Zweck eine eigene Einwilligung, und eine Einwilligung gilt nach ihren Erwägungsgründen nicht als freiwillig, wenn zu verschiedenen Vorgängen nicht gesondert eingewilligt werden kann, obwohl das im Einzelfall angebracht wäre.¹ Dazu kommt das sogenannte Koppelungsverbot in Artikel 7 Absatz 4 DSGVO: Hängt die Erfüllung eines Vertrags an einer Einwilligung in eine Verarbeitung, die der Vertrag nicht braucht, fehlt es in aller Regel an der Freiwilligkeit.⁸ Die Wirtschaftskammer führt das Koppelungsverbot ausdrücklich als Bedingung für eine gültige Einwilligung in Werbung.¹⁴ Für Cookie Banner verlangt die DSB, dass die Einwilligung das Setzen und Auslesen der Cookies und die darauffolgende Verarbeitung abdeckt, und beides misst sie an den Bedingungen der DSGVO.¹⁰ Ein Klick darf also mehr abdecken, aber nur, wenn eindeutig ist, wofür.

Mein Test: Könnte die Kundin bekommen, wofür sie gekommen ist, und trotzdem hierzu Nein sagen? Wenn nicht, und die Sache ist für die Leistung nicht nötig, dann ist es gebündelt.

Rechenbeispiel: der Anmeldebildschirm einer Dienstplan App aus Linz

Schichtwerk ist ein erfundenes Dienstplan Tool für Betriebe aus Linz. Sein Anmeldebildschirm hat eine E Mail Adresse, ein Passwort und ein Kästchen: "Ich akzeptiere die Nutzungsbedingungen und die Datenschutzerklärung und willige in Produktneuigkeiten, Partnerangebote und Nutzungsanalyse ein." Der Button "Konto erstellen" bleibt grau, bis das Hakerl sitzt.

Nimm es auseinander. Die Nutzungsbedingungen sind ein Vertrag, der braucht eine Annahme, keine Einwilligung. Die Datenschutzerklärung ist Information, die gibst du, niemand muss ihr zustimmen. Produktneuigkeiten sind Werbung und brauchen eine eigene Wahl. Partnerangebote brauchen eine eigene Einwilligung, wenn es sie überhaupt gibt. Die Nutzungsanalyse auf den eigenen Seiten der App liest in der Regel Informationen auf dem Gerät aus und ist für den Dienst nicht unbedingt erforderlich, also braucht sie in Österreich eine Einwilligung nach § 165 Absatz 3 TKG 2021, und die gehört in ein eigenes Banner, nicht in das Anmeldekästchen.²¹⁰

Der neue Bildschirm: ein Button "Konto erstellen", darüber eine Zeile, "Mit dem Erstellen des Kontos akzeptierst du die Nutzungsbedingungen. Was ich mit deinen Daten mache, steht in meiner Datenschutzerklärung", beides verlinkt, und ein leeres Kästchen, "Schick mir Produktneuigkeiten per E Mail. Abmelden mit einem Klick." Die Partnerangebote sind weg. Ein Kästchen, ein Zweck, und das Konto hängt nicht mehr an einem Ja, das es nicht braucht.

Sludge: leicht rein, schwer raus

Sludge ist Reibung, die absichtlich auf den Weg gelegt wird, den das Unternehmen dir nicht gönnt. Anmelden dauert einen Bildschirm, Austreten sechs und einen Anruf. Der EDSA führt das als Muster "Länger als erforderlich": Wer eine datenschutzfreundliche Option wählen will, muss mehr Schritte gehen als für die datenhungrige.¹⁷ Nicht jede Reibung ist Sludge. Eine Rückfrage vor einer großen Überweisung schützt den Kunden. Die Frage ist, wessen Interesse die Reibung dient.

Das österreichische Recht greift Sludge von mehreren Seiten an. Artikel 7 Absatz 3 DSGVO: Der Widerruf einer Einwilligung muss so einfach sein wie ihre Erteilung.⁸ § 1a UWG: Bei der Frage, ob eine Praktik aggressiv ist, zählen ausdrücklich "belastende oder unverhältnismäßige Hindernisse nichtvertraglicher Art", mit denen ein Unternehmer Kunden an der Ausübung ihrer vertraglichen Rechte hindern will, ausdrücklich einschließlich des Rechts, den Vertrag zu kündigen.¹¹ Und das Konsumentenschutzgesetz (KSchG) schützt die Kündigung selbst. Eine Erklärung des Verbrauchers darf vertraglich keiner strengeren Form als der Schriftform und keinen besonderen Zugangserfordernissen unterworfen werden.²⁰ Der Oberste Gerichtshof (OGH) hält dazu fest, dass damit unter anderem Klauseln unzulässig sind, nach denen die Erklärung an eine bestimmte Stelle im Unternehmen gehen muss.²¹ Und ein Abo, das sich bei Untätigkeit automatisch verlängert, ist nur in Ordnung, wenn der Kunde zu Beginn einer angemessenen Frist eigens auf die Bedeutung seines Schweigens hingewiesen wird.²⁰

Einen Kündigungsbutton, wie ihn Deutschland seit 2022 hat, gibt es in Österreich nicht. Was es seit dem 1. Oktober 2026 gibt, ist sein Verwandter für den Rücktritt: Bei Fernabsatzverträgen über eine Website muss eine Rücktrittsfunktion "Vertrag widerrufen" während der ganzen Rücktrittsfrist hervorgehoben und leicht zugänglich bereitstehen, mit einer Bestätigungsfunktion "Widerruf bestätigen" und einer Eingangsbestätigung mit Datum und Uhrzeit.²² Das gilt für Verträge ab dem 1. Oktober 2026 und für den Rücktritt in den ersten Wochen, nicht für die Kündigung eines Abos nach Jahren. Wer in Österreich die Kündigung eines laufenden Abos schwer macht, verstößt also nicht gegen eine Buttonpflicht, sondern gegen § 1a UWG und das KSchG.

Wie ernst die Gerichte den Einstieg in ein Abo nehmen, hat der OGH am 28. Februar 2024 entschieden, in einem Verfahren der Arbeiterkammer gegen ein Reiseportal mit Sitz in Spanien.²³ Wer dort einen Flug zum ermäßigten Mitgliedertarif gebucht hat, hat mit demselben Klick auf "Jetzt kaufen" auch ein 30 Tage Probeabo abgeschlossen, ohne dafür eine eigene Schaltfläche anzuklicken. Danach wurde das Abo kostenpflichtig. Der OGH hat bestätigt: Weil der Kunde unmittelbar vor dem Button nicht noch einmal auf die Bedingungen des Abos hingewiesen wurde, insbesondere darauf, dass es nach 30 Tagen etwas kostet und rechtzeitig gekündigt werden muss, verstößt das gegen § 8 Absatz 1 FAGG, und die Arbeiterkammer kann Unterlassung verlangen.²³ Die automatische Verlängerung in den AGB ist an § 6 KSchG gescheitert, obwohl das Portal mehrfach und in Großbuchstaben auf die Kündigungsfrist hingewiesen hatte, und das Urteil muss unter anderem in der Samstagsausgabe der Kronen Zeitung veröffentlicht werden.²³ Leicht rein ist genau das, was das Gericht nicht durchgehen hat lassen.

Rechenbeispiel: Schichtwerks Klicks zählen

Zähl die Handlungen in beide Richtungen. Produktmails bei Schichtwerk abonnieren: ein Hakerl bei der Anmeldung, eine Handlung. Abbestellen: "Einstellungen verwalten" in der Mail anklicken, einloggen (zwei Felder und ein Button), zu Einstellungen, dann Benachrichtigungen, "Produktneuigkeiten" abwählen, Speichern. Eins plus drei plus drei plus eins: acht Handlungen gegen eine.

Einen bezahlten Plan kündigen: Einstellungen, Abrechnung, "Plan kündigen", ein Rabattangebot, eine Umfrage, ein Bildschirm mit "Bist du sicher? Dein Team verliert seine Dienstpläne" und ein letzter Button. Sieben Bildschirme gegen zwei bei der Anmeldung.

Die Korrektur: Der Abmeldelink funktioniert mit einem Klick ohne Login. § 174 Absatz 4 TKG 2021 verlangt ohnehin, dass der Empfänger bei jeder Zusendung kostenfrei und problemlos ablehnen kann,³ und ein Loginbildschirm ist keine einfache Abmeldung im Sinne von Artikel 7 Absatz 3. Das Kündigen wird zu einem Button "Vertrag kündigen", gut sichtbar im Konto und im Footer, und einer Bestätigungsseite mit den nötigen Angaben und "Jetzt kündigen", danach sofort die Bestätigung per E Mail mit Datum, Uhrzeit und Vertragsende. Drei Schritte. Ein Rückhalteangebot hat auf der Bestätigungsseite nichts verloren, Schichtwerk kann es höchstens in die Bestätigungsmail schreiben. Streng genommen schützen KSchG und FAGG Verbraucher, und Schichtwerk verkauft an Betriebe. Ich bau trotzdem nach diesem Muster, weil es das sauberste ist, das ich kenne, und weil § 1a UWG nicht nur Verbraucher schützt, sondern jeden Marktteilnehmer.¹¹ Ich verlier lieber einen Kunden sauber, als einen zu halten, der zehn anderen erzählt, wie schwer der Ausstieg war.

Dark Patterns im Kaufvorgang: falsche Dringlichkeit und versteckte Gebühren

Manche Dark Patterns handeln nicht von Daten, sondern davon, die Bestellung jetzt zu bekommen, zu einem höheren Preis, als der Kunde gedacht hat. Hier arbeiten UWG, PrAG und FAGG.

Ziffer 7 im Anhang zum UWG nennt als jedenfalls irreführend "die unrichtige Behauptung, dass das Produkt nur eine sehr begrenzte Zeit oder nur eine sehr begrenzte Zeit zu bestimmten Bedingungen verfügbar sein werde", um den Verbraucher zu einer sofortigen Entscheidung zu verleiten.¹² Ein Countdown, der von vorn beginnt, ist genau das. Eine falsche Angabe zum Lagerstand, etwa "Nur noch 3 da" bei vollem Lager, ist eine irreführende Geschäftspraktik nach § 2 UWG, der das Vorhandensein des Produkts ausdrücklich als Punkt nennt, über den nicht getäuscht werden darf.⁴ Beim Preis gilt: Preise sind einschließlich der Umsatzsteuer "sowie aller sonstigen Abgaben und Zuschläge" auszuzeichnen, also als Bruttopreise.⁵ Im Onlineshop kommt das FAGG dazu: Vor der Bestellung musst du den Gesamtpreis einschließlich aller Steuern und Abgaben nennen und die Versandkosten oder, wenn sie sich vorab nicht berechnen lassen, dass welche anfallen, und diese Angaben gehören klar und hervorgehoben unmittelbar vor den Bestellbutton.²⁴⁶ Das UWG zieht nach: Bei einer Aufforderung zum Kauf ist der Preis einschließlich aller Steuern und Abgaben eine wesentliche Information, und eine wesentliche Information nicht rechtzeitig bereitzustellen, gilt als irreführend.⁴ Damit ist eine unvermeidbare Gebühr, die erst im letzten Schritt auftaucht, erledigt.

Rechenbeispiel: Hannas Countdown und ihre Verpackungsgebühr

Hannas Produktseiten zeigen "Bestell in den nächsten 02:59:12 zu diesem Preis" und "Nur noch 3 da". Der Test dauert fünf Minuten. Öffne die Seite in einem privaten Fenster, notier die Uhr, schließ das Fenster, öffne es wieder. Die Uhr steht wieder auf drei Stunden. Prüf den Bestand: 412 Dosen. Beide Angaben sind falsch, und ein Preis, der in Wahrheit nicht endet, ist genau die Art Behauptung, die Ziffer 7 des Anhangs nennt.¹² Die Korrektur: eine Frist nur zeigen, wenn es eine echte gibt, etwa "Bis 14:00 Uhr bestellt, heute verschickt" nach dem echten Annahmeschluss der Österreichischen Post, und den Bestand nur unterhalb einer echten Schwelle.

Die Verpackungsgebühr. Eine Dose kostet laut Produktseite € 12,00. Im letzten Schritt taucht eine "Verpackungs und Bearbeitungsgebühr" von € 1,50 auf, die jeder Kunde zahlt. Gesamtpreis pro Dose, der von Anfang an angezeigt werden muss: $12{,}00 + 1{,}50 = 13{,}50$, also € 13,50, inklusive 20 % Umsatzsteuer, wie in jedem Preis für Verbraucher.²⁵ Der Versand darf weiter separat stehen, wenn er schwankt, solange von Anfang an klar ist, dass er dazukommt und wie hoch er ist.²⁴ Hannas Entscheidung ist eine kaufmännische, keine rechtliche: € 13,50 zeigen oder die Verpackung in den Preis einrechnen und selbst tragen. Beides passt. € 12,00 zeigen passt nicht.

Was es kostet, wenn es schiefgeht

Auf dem Papier sind die Strafen groß. Ein Verstoß gegen die Bedingungen der Einwilligung nach Artikel 7 DSGVO kann bis zu € 20 Millionen kosten oder bei einem Unternehmen bis zu 4 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.²⁶ Nach dem TKG 2021 drohen bis zu € 50.000, wenn du entgegen § 165 Absatz 3 die Nutzer nicht informierst, und ebenso bis zu € 50.000, wenn du entgegen § 174 Absatz 3 Werbemails ohne Einwilligung schickst. Verhängt werden die Strafen vom Fernmeldebüro.²⁷ Und das UWG kennt in § 22 eine eigene Geldstrafe: bis zu 4 % des Jahresumsatzes des Vorjahres in den betroffenen EU Staaten, oder bis zu € 2 Millionen, wenn keine Informationen über den Umsatz verfügbar sind, allerdings nur für wissentliche, offensichtliche und weitverbreitete Verstöße und nur im Rahmen einer koordinierten Durchsetzungsaktion der europäischen Verbraucherschutzbehörden.²⁸

$$F_{\max} = \max\left(F_0,\ p \times T\right)$$

$F_{\max}$ ist die Höchststrafe, $F_0$ der feste Betrag im Gesetz, $p$ der Prozentsatz vom Umsatz und $T$ der Jahresumsatz. Das $\max$ bedeutet "je nachdem, welcher Betrag höher ist". Der Prozentteil ist einfache Grundlagen: Prozent.

Für das Teehaus Mur, mit einem erfundenen Jahresumsatz von € 1,2 Millionen: Nach der DSGVO ist $0{,}04 \times 1.200.000 = 48.000$, weniger als € 20 Millionen, also liegt die Obergrenze bei € 20 Millionen. Bei kleinen Unternehmen setzt der feste Betrag die Obergrenze. Das TKG 2021 hat gar keinen Prozentteil, dort sind es immer höchstens € 50.000. Und § 22 UWG passt nicht ganz in die Formel, weil er nicht vergleicht: Er nimmt den Prozentteil, und der feste Betrag greift nur, wenn kein Umsatz bekannt ist. Verkauft Hanna nur in Österreich, liegt ihre Obergrenze bei € 48.000.²⁸

Obergrenzen sind keine Preise. Ein kleines Teehaus wird kaum Gegenstand einer europaweit koordinierten Aktion. Das echte Risiko in Österreich ist ein anderes: Mitbewerber, die Wirtschaftskammer, die Arbeiterkammer und der VKI können nach § 14 UWG auf Unterlassung klagen, und Arbeiterkammer und VKI können nach dem KSchG auch Verbandsklagen gegen gesetzwidrige Praktiken im Massengeschäft führen.⁷²⁹ Das Verfahren um das Reiseportal zeigt, wie weit das geht: drei Instanzen bis zum OGH und am Ende die Veröffentlichung des Urteils in der Kronen Zeitung.²³ Nach meiner Erfahrung kommen die eigentlichen Kosten aber früher und leiser: die Liste, die gelöscht werden muss, die Analytics, der niemand mehr traut, und die Stammkundin, die sich abmeldet, weil das Pop up sie einen Trottel genannt hat. Beim Bestellbutton kommt § 8 Absatz 2 FAGG dazu: Steht nicht "zahlungspflichtig bestellen" oder etwas gleich Eindeutiges drauf, ist der Kunde an den Vertrag nicht gebunden.⁶

Wie ich einen Kaufvorgang prüfe, Schritt für Schritt

Der EDSA empfiehlt, solche Prüfungen mit gemischten Teams zu machen, aus Gestaltung, Datenschutz und denen, die entscheiden.¹⁷ Bei einem kleinen Shop ist das oft eine Person mit mir am Tisch. So mach ich daraus die Arbeit eines Nachmittags.

Von oben nach unten folgt die Liste der Reihenfolge, in der eine Kundin auf die Probleme trifft. Die erste Frage ist die wichtigste: Ein Banner, das nur Dekoration ist, während die Pixel längst gefeuert haben, ist der häufigste Fehler, den ich finde. Die DSB ist da eindeutig: Beim Bau einer Website ist dringend darauf zu achten, dass kein technisch nicht notwendiges Cookie gesetzt wird, bevor die Einwilligung da ist.¹⁰ Der letzte Kasten hält die Arbeit ehrlich.

Rechenbeispiel: Hannas Prüfung von Anfang bis Ende

Auf Hannas Shop angewandt findet die Prüfung sieben Bildschirme: Pixel, die feuern, bevor das Banner beantwortet ist, kein "Alle ablehnen", eine Uhr, die neu startet, ein erfundener Lagerstand, eine Verpackungsgebühr, die erst am Ende auftaucht, ein angehaktes Partnerkästchen, ein beschämendes Exit Pop up und eine Abmeldung hinter einem Login. Jede Korrektur ist die, die oben durchgerechnet ist, und die meisten sind Text und Konfiguration, kein Neubau.

Die E Mail Erfassung und die Onboarding Formulare haben einen eigenen Artikel, und die Technik hinter Event Tracking mit Consent Mode auch.

Ehrliche Gestaltung ist die Variante, die bleibt

Ein Dark Pattern gewinnt den Test, der die Anmeldungen dieser Woche misst, und verliert jeden anderen: die Beschwerde, die Klage, die Liste, die du nicht nutzen darfst, die Kundin, die es merkt. Nichts davon verlangt, dass du aufhörst zu überzeugen. Ein klares Angebot, ein gut platzierter Button und ein Grund, sich anzumelden, sind alle erlaubt. Was das Gesetz verlangt: Das Nein ist echt, der Preis ist der Preis, und die Uhr ist eine Uhr. Von Anfang an so gebaut, kostet es weniger, als es später zu reparieren, und nach meiner Erfahrung konvertiert es besser, als Gründer erwarten.

Quellen

Footnotes

1. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 4 Nr. 11 (Begriffsbestimmung Einwilligung) sowie Erwägungsgründe 32 und 43, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

2. Republik Österreich, Telekommunikationsgesetz 2021 (TKG 2021), § 165 Datenschutz, Allgemeines, Abs. 3, Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40238623/NOR40238623.html

3. Republik Österreich, Telekommunikationsgesetz 2021 (TKG 2021), § 174 Unerbetene Nachrichten, Abs. 3 und 4, BGBl. I Nr. 190/2021, Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40238632/NOR40238632.html

4. Republik Österreich, Bundesgesetz gegen den unlauteren Wettbewerb 1984 (UWG), § 2 Irreführende Geschäftspraktiken, Abs. 1, 4 und 6, Fassung BGBl. I Nr. 58/2026, Rechtsinformationssystem des Bundes (RIS), 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40279748/NOR40279748.html

5. Republik Österreich, Preisauszeichnungsgesetz (PrAG), § 9 Inhalt der Auszeichnung, Rechtsinformationssystem des Bundes (RIS), 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40278459/NOR40278459.html

6. Republik Österreich, Fern und Auswärtsgeschäfte Gesetz (FAGG), § 8 Besondere Erfordernisse bei elektronisch geschlossenen Verträgen, Rechtsinformationssystem des Bundes (RIS), 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40279254/NOR40279254.html

7. Republik Österreich, Bundesgesetz gegen den unlauteren Wettbewerb 1984 (UWG), § 14 Anspruch auf Unterlassung, Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40245453/NOR40245453.html

8. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 7 (Bedingungen für die Einwilligung), EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

9. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 25 (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen), EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

10. Datenschutzbehörde (Österreich), Datenschutz und Cookies, Fragen und Antworten, dsb.gv.at, https://dsb.gv.at/faqs/datenschutz-cookies

11. Republik Österreich, Bundesgesetz gegen den unlauteren Wettbewerb 1984 (UWG), § 1a Aggressive Geschäftspraktiken, Abs. 1 und 2, Fassung BGBl. I Nr. 58/2026, Rechtsinformationssystem des Bundes (RIS), 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40279747/NOR40279747.html

12. Republik Österreich, Bundesgesetz gegen den unlauteren Wettbewerb 1984 (UWG), Anhang, Z 7 unrichtige Behauptung einer sehr begrenzten Verfügbarkeit, Rechtsinformationssystem des Bundes (RIS), 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40279754/NOR40279754.html

13. Europäische Union, Verordnung (EU) 2022/2065 über einen Binnenmarkt für digitale Dienste (Digital Services Act), Art. 19 und Art. 25, EUR Lex, 2022, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022R2065

14. Wirtschaftskammer Österreich (WKO), Datenschutz und Direktwerbung, Abschnitte zur Einwilligung, zum Double Opt In, zur ECG Liste und zur Ausnahme für Kunden nach § 174 Abs. 4 TKG 2021, wko.at, 2026, https://www.wko.at/dsgvo4kmu/datenschutz-direktwerbung

15. Information Commissioner's Office und Competition and Markets Authority, Harmful design in digital markets: How Online Choice Architecture practices can undermine consumer choice and control over personal information, gemeinsames Positionspapier, Digital Regulation Cooperation Forum, 9. August 2023, https://www.drcf.org.uk/siteassets/drcf/pdf-files/harmful-design-in-digital-markets-ico-cma-joint-position-paper.pdf?v=380506

16. Gerichtshof der Europäischen Union, Pressemitteilung Nr. 125/19, Urteil in der Rechtssache C 673/17 Planet49: Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers, 1. Oktober 2019, https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-10/cp190125de.pdf

17. Europäischer Datenschutzausschuss, Leitlinien 03/2022 zu irreführenden Gestaltungsmustern auf Benutzeroberflächen von Social Media Plattformen: wie man sie erkennt und vermeidet, Version 2.0, Zusammenfassung und Rn. 32, 43 und 49, 14. Februar 2023, https://www.edpb.europa.eu/system/files/documents/2025-05/edpb_03-2022_guidelines_on_deceptive_design_patterns_in_social_media_platform_interfaces_v2_de.pdf

18. Midas Nouwens, Ilaria Liccardi, Michael Veale, David Karger und Lalana Kagal, Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence, CHI 2020, arXiv:2001.02479, 2020, https://arxiv.org/abs/2001.02479

19. Google, Einwilligungsmodus, Übersicht, Google for Developers, Tag Platform, 2026, https://developers.google.com/tag-platform/security/concepts/consent-mode?hl=de

20. Republik Österreich, Konsumentenschutzgesetz (KSchG), § 6 Abs. 1 Z 2 und Z 4, Rechtsinformationssystem des Bundes (RIS), 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40274264/NOR40274264.html

21. Oberster Gerichtshof, Rechtssatz RS0121729 zu § 6 Abs. 1 Z 4 KSchG (7 Ob 131/06z und Folgeentscheidungen, zuletzt 15. April 2026), Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Justiz/JJR_20070117_OGH0002_0070OB00131_06Z0000_004/JJR_20070117_OGH0002_0070OB00131_06Z0000_004.html

22. Republik Österreich, Fern und Auswärtsgeschäfte Gesetz (FAGG), § 13a Ausübung des Rücktrittsrechts bei Fernabsatzverträgen, die über eine Online Benutzeroberfläche geschlossen werden, BGBl. I Nr. 59/2026, in Kraft seit 1. Oktober 2026 (§ 20 FAGG), Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40279256/NOR40279256.html

23. Oberster Gerichtshof, Urteil vom 28. Februar 2024, 3 Ob 199/23w (Bundesarbeitskammer gegen ein Reiseportal, Mitgliedschaft mit Probeabo), Rn. 2, 3, 21, 50 und 67, Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Justiz/JJT_20240228_OGH0002_0030OB00199_23W0000_000/JJT_20240228_OGH0002_0030OB00199_23W0000_000.html

24. Republik Österreich, Fern und Auswärtsgeschäfte Gesetz (FAGG), § 4 Informationspflichten, Abs. 1 Z 4, Rechtsinformationssystem des Bundes (RIS), 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40279253/NOR40279253.html

25. Republik Österreich, Umsatzsteuergesetz 1994 (UStG 1994), § 10 Steuersätze, Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40278068/NOR40278068.html

26. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 83 Abs. 5 (Geldbußen), EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

27. Republik Österreich, Telekommunikationsgesetz 2021 (TKG 2021), § 188 Verwaltungsstrafbestimmungen, Abs. 4 Z 24 und Z 28 und Abs. 11, Fassung in Kraft seit 1. Oktober 2026, Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40274118/NOR40274118.html

28. Republik Österreich, Bundesgesetz gegen den unlauteren Wettbewerb 1984 (UWG), § 22 Strafbestimmungen für weitverbreitete Verstöße und weitverbreitete Verstöße mit Unions Dimension, Rechtsinformationssystem des Bundes (RIS), https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40245463/NOR40245463.html

29. Republik Österreich, Konsumentenschutzgesetz (KSchG), § 28a Unterlassungsanspruch und § 29 Klageberechtigung, Rechtsinformationssystem des Bundes (RIS), 2026, https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40279533/NOR40279533.html und https://www.ris.bka.gv.at/Dokumente/Bundesnormen/NOR40263850/NOR40263850.html