Dark Patterns und deutsches Recht: wie UX zur rechtlichen Haftung wird

Worum es geht: Ein Dark Pattern entscheidet für deine Kunden

Ein Dark Pattern ist ein Stück Gestaltung, das Kunden etwas tun lässt, das sie so nicht gewählt haben. Ein Kästchen, in dem das Häkchen schon sitzt. Ein Cookie Banner mit einem großen "Alle akzeptieren" und einem blassen "Einstellungen". Ein Pop up, dessen Nein Button "Nein danke, ich zahle lieber mehr" heißt. Ein Countdown, der bei jedem Neuladen wieder von vorn läuft.

In Deutschland ist das nicht nur schlechter Stil. Mehrere Gesetze schauen auf denselben Bildschirm. Die Datenschutz Grundverordnung (DSGVO) entscheidet, ob eine Einwilligung überhaupt eine ist.¹ Das Telekommunikation Digitale Dienste Datenschutz Gesetz (TDDDG) regelt in § 25, was auf dem Gerät deiner Besucher gespeichert oder ausgelesen werden darf, also Cookies, Pixel und Local Storage.² Das Gesetz gegen den unlauteren Wettbewerb (UWG) entscheidet, ob die Art, wie du verkaufst, unlauter ist, und mit § 7 auch, wann du Werbung per E Mail schicken darfst.³ Dazu kommen die Preisangabenverordnung (PAngV) für den Preis und § 312k BGB für den Kündigungsbutton bei Abos.⁴⁵ Für die ersten beiden sind die Datenschutzaufsichtsbehörden der Länder zuständig. Das UWG setzen vor allem Mitbewerber, Wirtschaftsverbände und Verbraucherverbände durch, mit Abmahnung und Unterlassungsklage.⁶

Dieser Artikel geht deshalb Bildschirm für Bildschirm vor: was das jeweilige Muster ist, an welcher Regel es scheitert und was ich stattdessen baue, durchgerechnet an einem erfundenen Teeladen aus München, in Euro. Die Gesetze sind zitiert, die Unternehmen sind erfunden. Ich bin Ingenieur, kein Anwalt, also nimm einen konkreten Streit bitte zu einem.

Drei Regelwerke, eine Kassenseite

Bevor wir zu den Mustern kommen, die Landkarte. "Die DSGVO" deckt nicht alles auf dem Bildschirm ab, und wer weiß, welches Gesetz welches Element besitzt, weiß auch, wer anklopfen würde.

Die DSGVO definiert die Einwilligung als jede "freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung", und zwar "in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung".¹ Artikel 7 legt vier Regeln obendrauf: Du musst die Einwilligung nachweisen können, eine Bitte um Einwilligung inmitten eines längeren Textes muss "von den anderen Sachverhalten klar zu unterscheiden" sein, der Widerruf muss so einfach sein wie die Erteilung, und wenn du einen Vertrag an eine Einwilligung koppelst, die er gar nicht braucht, spricht das stark gegen die Freiwilligkeit.⁷ Artikel 25 verlangt datenschutzfreundliche Voreinstellungen: durch Voreinstellung nur die Daten, die der jeweilige Zweck braucht.⁸

§ 25 TDDDG ist die Cookie Regel. Speichern oder Auslesen auf dem Endgerät ist nur mit Einwilligung erlaubt, und für Information und Einwilligung gilt die DSGVO.² Ausnahmen gibt es genau zwei: die Übertragung einer Nachricht und das, was unbedingt erforderlich ist, damit du einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kannst. Eine Ausnahme für Statistik steht nicht im Gesetz.² Wie ein Banner auszusehen hat, beschreiben die Aufsichtsbehörden in ihrer Orientierungshilfe Digitale Dienste, Version 1.2 vom November 2024.⁹

Das UWG verbietet unlautere geschäftliche Handlungen, darunter irreführende (§ 5) und aggressive (§ 4a), wenn sie geeignet sind, Verbraucher zu einer Entscheidung zu bringen, die sie sonst nicht getroffen hätten.¹⁰¹¹ Der Anhang zum UWG ist die schwarze Liste: Was dort steht, ist gegenüber Verbrauchern immer unzulässig, ohne Prüfung der Wirkung.¹² Und der Digital Services Act der EU verbietet in Artikel 25 täuschende Oberflächen ausdrücklich, aber nur Anbietern von Online Plattformen, nicht für Praktiken, die schon unter das Lauterkeitsrecht oder die DSGVO fallen, und mit einer Ausnahme für Kleinst und Kleinunternehmen.¹³ Für einen eigenen Shop ohne Marktplatz spielt er deshalb kaum eine Rolle.

Lies den Ablauf von oben, so wie sich eine Kundin durch einen Shop bewegt. Jeder Kasten ist ein Bildschirm und das Gesetz, das ihn besitzt. Der letzte Kasten ist der rote Faden: Datenschutz und Lauterkeitsrecht bewerten den Bildschirm als Ganzes, nicht Wort für Wort. Die Aufsichtsbehörden schreiben ausdrücklich, dass unzulässiges Nudging in der Regel nicht aus einem einzigen Gestaltungsmerkmal entsteht, sondern aus mehreren, die zusammenwirken.⁹

Rechenbeispiel: die Kasse von Teehaus Isar kartieren

Teehaus Isar ist ein erfundener Laden für losen Tee in München, geführt von Hanna unter teehausisar.example. Ich nutze ihn durch den ganzen Artikel. Ihr Kaufvorgang hat fünf Elemente, die sich zu kartieren lohnen.

Das Cookie Banner: § 25 TDDDG, also die Datenschutzaufsicht. Das Etikett "Nur noch 3 da": § 5 UWG, weil es eine Angabe zur Verfügbarkeit ist, die eine Kaufentscheidung treibt.¹⁰ Die "Verpackungsgebühr" von 1,50 €, die erst im letzten Schritt auftaucht: PAngV und UWG, weil es um den Gesamtpreis geht.⁴ Das angehakte Kästchen an der Kasse, "Schickt mir Angebote von Teehaus Isar und ausgewählten Partnern": § 7 UWG und DSGVO. Der Abmeldelink, für den man sich einloggen muss: Artikel 7 Absatz 3 DSGVO und § 7 Absatz 3 UWG.

Fünf Elemente, vier Regelwerke, zwei Arten von Gegnern: eine Behörde und ein Mitbewerber mit Anwalt. Die Karte sagt Hanna, welche Korrekturen von der Einwilligung handeln und welche vom ehrlichen Verkaufen.

Was eine wirksame Einwilligung ist, in einfachen Worten

Lass die juristischen Wörter weg, und eine wirksame Einwilligung nach der DSGVO besteht vier Prüfungen. Freiwillig: Die Person hätte Nein sagen können, ohne etwas zu verlieren, wofür sie gekommen ist. Für den bestimmten Fall: ein Zweck pro Ja. Informiert: Sie wusste, wer was will und wozu. Unmissverständlich: Sie hat etwas getan, einen Klick, ein Häkchen, das nur Ja bedeuten kann.¹ Die deutschen Aufsichtsbehörden sagen die Folge klar: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit sind keine Einwilligung, Opt Out Verfahren sind "stets ungeeignet", und auch Weiterscrollen oder Weitersurfen zählt nicht.⁹ Die Bitte um Einwilligung gehört in einen eigenen Text ohne anderen Inhalt, und eine Zweckbündelung in der Erklärung ist unzulässig.¹⁴

Du musst die Einwilligung später auch zeigen können.⁷ Für elektronische Einwilligungen in Werbung halten die Behörden das Double Opt In Verfahren für geboten, und sie wollen den Wortlaut jeder einzelnen Einwilligung dokumentiert sehen. Eine gespeicherte IP Adresse allein reicht nicht.¹⁴ Eine Einwilligung, die du nicht belegen kannst, ist in der Praxis eine, die du nie hattest.

Rechenbeispiel: das Newsletter Feld, vorher und nachher

Hannas Newsletter Formular auf der Startseite hat ein E Mail Feld und einen Button mit "10 % Rabatt sichern". Darunter, klein und grau: "Mit der Anmeldung akzeptierst du unsere AGB und erhältst Werbung von uns und unseren Partnern."

Geh die vier Prüfungen durch. Freiwillig: Den Rabatt selbst halte ich für unproblematisch, denn wer Nein sagt, kauft trotzdem zum normalen Preis und verliert nichts, wofür er gekommen ist. Für den bestimmten Fall: nein, ein Klick deckt die AGB, Hannas Mails und Partnermails ab. Informiert: kaum, die Partner sind nicht genannt, und die Behörden verlangen, dass die werbenden Unternehmen genannt werden.¹⁴ Unmissverständlich: Der Klick bedeutet "Ich will 10 % Rabatt", nicht "Ich will Partnermails". Die Einwilligung für Partner scheitert, und die für Hannas eigene Werbung wackelt, weil sie in den AGB steckt.

Der Umbau ist klein. Der Button heißt weiter "10 % Rabatt sichern". Darüber ein leeres Kästchen: "Schick mir neue Tees und Angebote von Teehaus Isar per E Mail. Abmelden mit einem Klick." Die Partner fliegen raus, weil Hanna keine hat, an die sie wirklich etwas schickt. Nach dem Absenden kommt eine Bestätigungsmail mit Link, und erst der Klick darauf trägt die Adresse in die Liste ein. Jede Anmeldung speichert Zeitpunkt, den genauen angezeigten Wortlaut und die Bestätigung, also genau den Nachweis, den Artikel 7 verlangt.

Vorangekreuzte Kästchen und andere Voreinstellungen

Eine Voreinstellung ist das, was passiert, wenn die Kundin nichts tut, und nichts tun ist leicht. Die britische Datenschutzbehörde und die britische Wettbewerbsbehörde zitieren in ihrem gemeinsamen Papier eine Metaanalyse, nach der eine vorausgewählte Option von zweien im Schnitt mit 27 % höherer Wahrscheinlichkeit gewählt wird, als wenn es keine Voreinstellung gäbe.¹⁵ Rechtlich ist die Frage in Deutschland entschieden. Im Fall Planet49, den der Bundesverband der Verbraucherzentralen gegen ein deutsches Gewinnspielunternehmen führte, hat der Europäische Gerichtshof 2019 geurteilt: Eine Einwilligung durch ein voreingestelltes Ankreuzkästchen, das man zum Ablehnen abwählen muss, ist nicht wirksam, egal ob die Daten personenbezogen sind. Die Cookies in dem Fall dienten übrigens der Werbung für Partner des Unternehmens.¹⁶ Die Orientierungshilfe überträgt das auf Banner: Auswahlmöglichkeiten dürfen nicht "aktiv" voreingestellt sein.⁹

Es gibt eine Feinheit, die die meisten Shops rettet, und du solltest sie kennen, bevor du jedes Kästchen herausreißt. Für Werbung per E Mail an eigene Kunden hat das UWG eine Ausnahme. Werbung mit elektronischer Post ohne vorherige ausdrückliche Einwilligung gilt zwar grundsätzlich als unzumutbare Belästigung, aber nicht, wenn vier Bedingungen zusammen erfüllt sind: Du hast die Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung vom Kunden bekommen, du bewirbst eigene ähnliche Waren oder Dienstleistungen, der Kunde hat nicht widersprochen, und du hast ihn bei der Erhebung und bei jeder Mail klar und deutlich darauf hingewiesen, dass er jederzeit widersprechen kann, ohne dass ihm mehr als die Übermittlungskosten nach den Basistarifen entstehen.³ Die Aufsichtsbehörden sehen das genauso, und sie erwarten, dass du nachweisen kannst, dass eine Adresse wirklich von einem Bestandskunden stammt.¹⁴ Dieser Weg braucht gar kein Häkchen. Er braucht eine ehrliche Gelegenheit, Nein zu sagen.

Rechenbeispiel: was Hannas angehaktes Kästchen wirklich wert ist

Hannas Kasse verarbeitet 3.000 Bestellungen im Monat. Ihr Kästchen, standardmäßig angehakt, lautet "Schickt mir Angebote von Teehaus Isar und ausgewählten Partnern". 2.700 Kunden lassen den Haken stehen. Ihr Dashboard zeigt eine Anmelderate von:

$$r = \frac{n_{\text{yes}}}{n_{\text{asked}}}$$

Dabei ist $r$ die Anmelderate, $n_{\text{yes}}$ die Zahl der Kunden, die als Ja gezählt werden, und $n_{\text{asked}}$ die Zahl derer, die das Kästchen gesehen haben. Das ist eine gewöhnliche Rate, Ereignisse geteilt durch Gelegenheiten, von Grund auf erklärt in Grundlagen: Verhältnisse und Raten.

Auf dem Dashboard ergibt das $2.700 / 3.000 = 0{,}90$, eine Anmelderate von 90 %. Jetzt die Frage, was davon hält. Als Einwilligung: nichts, denn ein stehen gelassener Haken ist Untätigkeit, keine eindeutige bestätigende Handlung.⁹ Für Partnerangebote: nichts, denn die Ausnahme in § 7 Absatz 3 UWG deckt nur eigene ähnliche Waren.³ Für Hannas eigene Tees: vielleicht die Ausnahme, aber nur, wenn das Kästchen klar und deutlich auf das Widerspruchsrecht hingewiesen hätte, und ein angehaktes Kästchen, in das Partner hineingemischt sind, liest sich nicht so.

Jetzt die ehrliche Variante. Text an der Kasse: "Wir schicken dir ab und zu eine E Mail zu neuen Tees. Wenn du das nicht willst, setz hier ein Häkchen. Du kannst auch jederzeit später widersprechen, über den Link in jeder Mail." Dazu ein Abmeldelink in jeder Mail. Das ist § 7 Absatz 3 UWG, sauber umgesetzt. Sagen wir, 10 % setzen das Häkchen zum Widerspruch, eine erfundene Zahl für das Beispiel. Dann dürfen $3.000 \times 0{,}90 = 2.700$ Kunden Hannas eigene Werbung bekommen, rechtmäßig.

Dieselben 2.700 Menschen. Die zweite Liste übersteht eine Beschwerde und eine Abmahnung. Die erste muss an dem Tag gelöscht werden, an dem jemand fragt, wie er draufgekommen ist. In den Shops, an denen ich gearbeitet habe, kostet das ehrliche Kästchen für die eigenen Produkte fast keine Reichweite.

Cookie Banner: Ablehnen muss so leicht sein wie Zustimmen

Das häufigste Dark Pattern in Deutschland ist immer noch das Banner mit "Alle akzeptieren" auf der ersten Ebene und dem Ablehnen hinter "Einstellungen". Die Orientierungshilfe ist hier genauer, als viele denken, also lohnt es sich, sie wörtlich zu lesen. Eine Ablehnfunktion auf der ersten Ebene ist nach Randnummer 124 nicht generell erforderlich, sondern dann, wenn Nutzer mit dem Banner interagieren müssen, um die Seite weiter zu nutzen. Versperrt das Banner nichts, kann sie entbehrlich sein, und das muss auch auf kleinen Displays gelten.⁹ Nach Randnummer 125 ist sie auch dann nicht nötig, wenn die Einwilligung ohnehin erst auf einer anderen Ebene erteilt werden kann, aber, so die Behörden, bei gängigen Bannern sind die Voraussetzungen für eine Ablehnfunktion auf erster Ebene "sehr häufig" erfüllt.⁹ Wo sie nötig ist, sagt Randnummer 135, wie sie aussieht: Die Möglichkeit, keine Einwilligung zu erteilen, muss eindeutig als gleichwertige Alternative dargestellt sein, etwa durch einen Button, der "in Größe, Farbe, Kontrast und Schriftbild vergleichbar" neben dem Einwilligungsbutton steht.⁹ Und Randnummer 137 räumt den beliebtesten Trick ab: Ein Button "Einstellungen oder Ablehnen", der auf eine weitere Ebene führt, reicht nicht.⁹

Noch zwei Details erwischen viele Shops. Ein Banner mit "Okay" als einzigem Button ist keine unmissverständliche Erklärung, und wer nur die Wahl zwischen "Alle akzeptieren" und "Einstellungen" bekommt, hat regelmäßig keine wirksame Einwilligung gegeben, weil die beiden Wege nicht gleich schnell zum Ziel führen.⁹ Und wer abgelehnt hat, sollte nicht ständig neu gefragt werden. Der Europäische Datenschutzausschuss (EDSA) führt das als eigenes irreführendes Gestaltungsmuster, "Ständige Aufforderungen": Menschen geben nach, weil sie es leid sind, bei jedem Besuch erneut abzulehnen.¹⁷

Warum wehren sich Shops? Weil sich die Zahlen bewegen. Ein Forschungsteam hat die fünf meistgenutzten Consent Tools auf den 10.000 populärsten britischen Websites untersucht und festgestellt, dass nur 11,8 % die rechtlichen Mindestanforderungen erfüllten, die das Team aus dem europäischen Recht abgeleitet hatte. In einem Feldexperiment stieg die Zustimmung um 22 bis 23 Prozentpunkte, wenn der Ablehnen Button von der ersten Seite verschwand.¹⁸ Nach meiner Erfahrung sind kleinere Shops in Deutschland nicht weiter als die in dieser Studie.

Rechenbeispiel: Hannas Banner, vorher und nachher

Hannas Banner erscheint bei 80.000 Besuchen im Monat. Auf dem Handy deckt es die untere Hälfte der Seite ab, man muss also mit ihm interagieren, und damit braucht sie die Ablehnfunktion auf erster Ebene. Mit "Alle akzeptieren" und "Einstellungen" stimmen 62.400 Besuche zu, eine Zustimmungsrate von $62.400 / 80.000 = 0{,}78$. Nach dem Umbau stehen "Alle akzeptieren" und "Alle ablehnen" nebeneinander, gleiche Größe, gleiche Farbe, gleiches Schriftbild, und 44.800 Besuche stimmen zu, eine Rate von $44.800 / 80.000 = 0{,}56$. Die Zahlen sind erfunden und so gewählt, dass sie im Bereich liegen, den die Forschung gefunden hat.

Wie groß ist dieser Rückgang? Es gibt zwei ehrliche Arten, das zu sagen, und Agenturen nehmen gern die, die besser klingt.

$$\Delta_{\text{pp}} = r_{\text{new}} - r_{\text{old}}, \qquad \Delta_{\%} = \frac{r_{\text{new}} - r_{\text{old}}}{r_{\text{old}}} \times 100$$

$\Delta_{\text{pp}}$ ist die Veränderung in Prozentpunkten, $\Delta_{\%}$ die relative Veränderung in Prozent, $r_{\text{old}}$ die Zustimmungsrate vorher und $r_{\text{new}}$ die Zustimmungsrate nachher. Den Unterschied zwischen Prozentpunkten und prozentualer Veränderung erklärt der erste Abschnitt von Grundlagen: Prozent.

Für Hanna: $0{,}56 - 0{,}78 = -0{,}22$, also 22 Prozentpunkte weniger, und $-0{,}22 / 0{,}78 \times 100 = -28{,}2$, also 28,2 % weniger Besuche, die zustimmen.

Die waagerechte Achse zeigt die beiden Banner, die senkrechte den Anteil der Besuche, die auf Zustimmen drücken. Die Erkenntnis: Ein gleichwertiges Banner kostet Hanna gut ein Viertel ihres zugestimmten Traffics, und keines dieser verlorenen Ja hätte sie verteidigen können. Eine Ausnahme für Statistik ohne Einwilligung gibt es in Deutschland nicht, also wartet auch die Analytics auf ein Ja.² Ich setze Googles Consent Mode deshalb standardmäßig in der Basic Variante auf: Die Google Tags laden erst, wenn der Besucher sich entschieden hat, und nach einem Nein geht nichts an Google.¹⁹ Wie das im Detail aussieht, steht in meinem Artikel zu Cookies, Consent und Tracking in Deutschland, Österreich und Großbritannien.

Confirmshaming und einseitige Formulierungen

Confirmshaming heißt, das Nein peinlich zu machen. Ein Rabatt Pop up, dessen Ablehnen Button "Nee, ich hasse Sparen" heißt. Der EDSA nennt das Muster "Emotionale Steuerung": Worte oder Bilder, die dafür sorgen, dass sich Nutzer gut und belohnt fühlen, oder ängstlich, schuldig oder bestraft, je nachdem, welche Wahl sie treffen.¹⁷ Die Aufsichtsbehörden halten fest, dass die Gestaltung auch die Informiertheit einer Einwilligung untergraben kann, etwa durch irreführende Informationen oder bewusst verharmlosende Sprache.⁹ Die leisere Verwandte ist die einseitige Formulierung: Eine Option wird nur mit ihren Vorteilen beschrieben, die andere nur mit ihren Risiken, etwa "Mein persönliches Erlebnis behalten" gegen "Meine gespeicherten Einstellungen verlieren", wenn die echte Wahl Werbetracking ja oder nein ist.

Die lauterkeitsrechtliche Seite zählt ebenso. Irreführend ist nach § 5 UWG nicht nur, wer unwahre Angaben macht, sondern auch, wer "sonstige zur Täuschung geeignete Angaben" macht.¹⁰ Ein Pop up aus lauter wahren Sätzen kann als Ganzes trotzdem täuschen.

Rechenbeispiel: Hannas Exit Pop up neu schreiben

Hannas Pop up erscheint, wenn ein Besucher die Seite verlassen will: Überschrift "Halt, nicht durstig gehen", ein grüner Button "Ja, 10 % Rabatt für mich" und darunter grauer Text: "Nein danke, ich zahle gern den vollen Preis wie ein Trottel". Das E Mail Feld sitzt im Pop up, und das Kleingedruckte sagt, die Adresse werde genutzt, "um dein Erlebnis zu personalisieren".

Schritt eins, das Nein: "Nein danke" als echter Button, so groß wie das Ja. Schritt zwei, der Zweck: "Wir schicken dir deinen Code per E Mail und danach ab und zu neue Tees. Abmelden mit einem Klick." Mit Double Opt In, wie oben. Schritt drei, die Häufigkeit: einmal pro Besucher, und nach einem Nein eine ganze Weile nicht wieder, damit es keine ständige Aufforderung wird.¹⁷ Schritt vier, der Test: Hanna lässt jede Variante zwei Wochen laufen und vergleicht die Anmeldungen, die nach 60 Tagen noch abonniert sind, nicht die rohen Anmeldungen. Nach meiner Erfahrung ist das die Zahl, die sich auszahlt, und auf ihr schlägt sich das ehrliche Pop up gut.

Gebündelte Einwilligung

Bündeln heißt: ein Ja für mehrere Zwecke. "Ich akzeptiere AGB, Datenschutzerklärung und Werbung" in einem Häkchen. Die Aufsichtsbehörden nennen das eine unzulässige Zweckbündelung.¹⁴ Dazu kommt das sogenannte Koppelungsverbot in Artikel 7 Absatz 4 DSGVO: Hängt die Erfüllung eines Vertrags an einer Einwilligung in eine Verarbeitung, die der Vertrag nicht braucht, fehlt es nach Ansicht der Behörden regelmäßig an der Freiwilligkeit, und die Einwilligung ist unwirksam.⁷¹⁴ Für Cookie Banner erlauben die Behörden, die Einwilligung nach § 25 TDDDG und die nach DSGVO mit einer Handlung einzuholen, aber nur, wenn eindeutig erkennbar ist, dass ein Klick mehrere Einwilligungen erteilt, und alle Folgezwecke genannt sind.⁹

Mein Test: Könnte die Kundin bekommen, wofür sie gekommen ist, und trotzdem hierzu Nein sagen? Wenn nicht, und die Sache ist für die Leistung nicht nötig, dann ist es gebündelt.

Rechenbeispiel: der Anmeldebildschirm einer Dienstplan App aus Köln

Schichtwerk ist ein erfundenes Dienstplan Tool für Betriebe aus Köln. Sein Anmeldebildschirm hat eine E Mail Adresse, ein Passwort und ein Kästchen: "Ich akzeptiere die Nutzungsbedingungen und die Datenschutzerklärung und willige in Produktneuigkeiten, Partnerangebote und Nutzungsanalyse ein." Der Button "Konto erstellen" bleibt grau, bis das Häkchen sitzt.

Nimm es auseinander. Die Nutzungsbedingungen sind ein Vertrag, der braucht eine Annahme, keine Einwilligung. Die Datenschutzerklärung ist Information, die gibst du, niemand muss ihr zustimmen. Produktneuigkeiten sind Werbung und brauchen eine eigene Wahl. Partnerangebote brauchen eine eigene Einwilligung, wenn es sie überhaupt gibt. Die Nutzungsanalyse auf den eigenen Seiten der App liest in der Regel Informationen auf dem Gerät aus und ist für den Dienst nicht unbedingt erforderlich, also braucht sie in Deutschland eine Einwilligung nach § 25 TDDDG, und die gehört in ein eigenes Banner, nicht in das Anmeldekästchen.²

Der neue Bildschirm: ein Button "Konto erstellen", darüber eine Zeile, "Mit dem Erstellen des Kontos akzeptierst du die Nutzungsbedingungen. Was ich mit deinen Daten mache, steht in meiner Datenschutzerklärung", beides verlinkt, und ein leeres Kästchen, "Schick mir Produktneuigkeiten per E Mail. Abmelden mit einem Klick." Die Partnerangebote sind weg. Ein Kästchen, ein Zweck, und das Konto hängt nicht mehr an einem Ja, das es nicht braucht.

Sludge: leicht rein, schwer raus

Sludge ist Reibung, die absichtlich auf den Weg gelegt wird, den das Unternehmen dir nicht gönnt. Anmelden dauert einen Bildschirm, Austreten sechs und einen Anruf. Der EDSA führt das als Muster "Länger als erforderlich": Wer eine datenschutzfreundliche Option wählen will, muss mehr Schritte gehen als für die datenhungrige.¹⁷ Nicht jede Reibung ist Sludge. Eine Rückfrage vor einer großen Überweisung schützt den Kunden. Die Frage ist, wessen Interesse die Reibung dient.

Das deutsche Recht greift Sludge von drei Seiten an. Artikel 7 Absatz 3 DSGVO: Der Widerruf einer Einwilligung muss so einfach sein wie ihre Erteilung.⁷ § 4a UWG: Bei der Frage, ob eine Handlung aggressiv ist, zählen ausdrücklich "belastende oder unverhältnismäßige Hindernisse nichtvertraglicher Art", mit denen ein Unternehmer Kunden an der Ausübung ihrer Rechte hindern will, ausdrücklich einschließlich des Rechts, den Vertrag zu kündigen.¹¹ Und für Abos gibt es seit dem 1. Juli 2022 § 312k BGB, den Kündigungsbutton.²⁰ Wer Verbrauchern über eine Website einen entgeltlichen Dauervertrag anbietet, muss eine Schaltfläche bereitstellen, beschriftet mit "Verträge hier kündigen" oder etwas ebenso Eindeutigem, die unmittelbar zu einer Bestätigungsseite führt. Dort gibt der Kunde nur das Nötige an und drückt auf "jetzt kündigen". Beides muss ständig verfügbar und leicht zugänglich sein. Fehlt das, kann der Verbraucher jederzeit ohne Kündigungsfrist kündigen.⁵

Wie streng das gemeint ist, hat der Bundesgerichtshof am 16. Juli 2026 entschieden, in einem Verfahren des Bundesverbands der Verbraucherzentralen gegen eine Fitnessstudiokette. Deren Bestätigungsseite zeigte oben, mit Foto und einem orangefarbenen Button, das Angebot, den Vertrag beitragsfrei zu pausieren statt zu kündigen, und der Bestätigungsbutton hieß "Vertrag finden". Die Beschriftung hatte das Unternehmen schon vorher anerkannt. Zum Pausenangebot urteilte der BGH: Die Gestaltung der Bestätigungsseite ist in § 312k abschließend geregelt, sie darf keine darüber hinausgehenden Angaben, Angebote oder Informationen enthalten, und sie dient allein der Erfassung der für die Kündigung nötigen Angaben und der Abgabe der Kündigung.²¹ Durchgesetzt wird das nicht nur von Gerichten. Der Verbraucherzentrale Bundesverband hat nach eigenen Angaben schon 2022 mehr als 150 Unternehmen wegen des Kündigungsbuttons abgemahnt, und bei seiner Untersuchung von 1.200 Anbietern knapp 20 Monate nach dem Start hatte jeder fünfte noch keinen Button.²⁰

Rechenbeispiel: Schichtwerks Klicks zählen

Zähl die Handlungen in beide Richtungen. Produktmails bei Schichtwerk abonnieren: ein Häkchen bei der Anmeldung, eine Handlung. Abbestellen: "Einstellungen verwalten" in der Mail anklicken, einloggen (zwei Felder und ein Button), zu Einstellungen, dann Benachrichtigungen, "Produktneuigkeiten" abwählen, Speichern. Eins plus drei plus drei plus eins: acht Handlungen gegen eine.

Einen bezahlten Plan kündigen: Einstellungen, Abrechnung, "Plan kündigen", ein Rabattangebot, eine Umfrage, ein Bildschirm mit "Bist du sicher? Dein Team verliert seine Dienstpläne" und ein letzter Button. Sieben Bildschirme gegen zwei bei der Anmeldung.

Die Korrektur: Der Abmeldelink funktioniert mit einem Klick ohne Login. § 7 Absatz 3 UWG verlangt ohnehin bei jeder Mail einen klaren Hinweis auf den Widerspruch ohne Kosten über die Basistarife hinaus,³ und ein Loginbildschirm ist keine einfache Abmeldung im Sinne von Artikel 7 Absatz 3. Das Kündigen wird zu einem Button "Verträge hier kündigen", gut sichtbar im Konto und im Footer, und einer Bestätigungsseite mit den Pflichtangaben und "jetzt kündigen", danach sofort die Bestätigung per E Mail mit Datum, Uhrzeit und Vertragsende. Drei Schritte. Ein Rückhalteangebot darf nach dem Urteil des BGH nicht auf der Bestätigungsseite stehen, Schichtwerk kann es höchstens in die Bestätigungsmail schreiben. Streng genommen schützt § 312k Verbraucher, und Schichtwerk verkauft an Betriebe. Ich baue trotzdem nach diesem Muster, weil es das sauberste ist, das ich kenne, und weil § 4a UWG auch sonstige Marktteilnehmer schützt.¹¹ Ich verliere lieber einen Kunden sauber, als einen zu halten, der zehn anderen erzählt, wie schwer der Ausstieg war.

Dark Patterns im Kaufvorgang: falsche Dringlichkeit und versteckte Gebühren

Manche Dark Patterns handeln nicht von Daten, sondern davon, die Bestellung jetzt zu bekommen, zu einem höheren Preis, als der Kunde dachte. Hier arbeiten UWG und PAngV.

Nummer 7 im Anhang zum UWG verbietet gegenüber Verbrauchern ausnahmslos "die unwahre Angabe, bestimmte Waren oder Dienstleistungen seien allgemein oder zu bestimmten Bedingungen nur für einen sehr begrenzten Zeitraum verfügbar", um eine sofortige Entscheidung zu erzwingen.¹² Ein Countdown, der von vorn beginnt, ist genau das. Eine falsche Angabe zur Verfügbarkeit, etwa "Nur noch 3 da" bei vollem Lager, ist eine irreführende Handlung nach § 5 UWG, der die Verfügbarkeit ausdrücklich als wesentliches Merkmal nennt.¹⁰ Beim Preis gilt: Wer Verbrauchern Waren anbietet, muss den Gesamtpreis angeben, und wer einen Preis aufgliedert, muss den Gesamtpreis hervorheben.⁴ Im Onlineshop kommt dazu, dass die Preise die Umsatzsteuer und sonstige Preisbestandteile enthalten müssen und dass Versandkosten mit ihrer Höhe anzugeben sind, soweit sie sich vorab berechnen lassen.²² Das UWG zieht nach: Der Gesamtpreis gehört zu den wesentlichen Informationen eines Angebots, und eine Information zu spät zu liefern, gilt als Vorenthalten.²³²⁴ Damit ist eine unvermeidbare Gebühr, die erst im letzten Schritt auftaucht, erledigt.

Rechenbeispiel: Hannas Countdown und ihre Verpackungsgebühr

Hannas Produktseiten zeigen "Bestell in den nächsten 02:59:12 zu diesem Preis" und "Nur noch 3 da". Der Test dauert fünf Minuten. Öffne die Seite in einem privaten Fenster, notier die Uhr, schließ das Fenster, öffne es wieder. Die Uhr steht wieder auf drei Stunden. Prüf den Bestand: 412 Dosen. Beide Angaben sind falsch, und ein Preis, der in Wahrheit nicht endet, ist genau die Art Angabe, die Nummer 7 des Anhangs nennt.¹² Die Korrektur: eine Frist nur zeigen, wenn es eine echte gibt, etwa "Bis 14:00 Uhr bestellt, heute verschickt" nach dem echten Annahmeschluss des Paketdienstes, und den Bestand nur unterhalb einer echten Schwelle.

Die Verpackungsgebühr. Eine Dose kostet laut Produktseite 12,00 €. Im letzten Schritt taucht eine "Verpackungs und Bearbeitungsgebühr" von 1,50 € auf, die jeder Kunde zahlt. Gesamtpreis pro Dose, der von Anfang an angezeigt werden muss: $12{,}00 + 1{,}50 = 13{,}50$, also 13,50 €, inklusive 19 % Umsatzsteuer, wie in jedem Preis für Verbraucher. Der Versand darf weiter separat stehen, wenn er schwankt, solange von Anfang an klar ist, dass er dazukommt und wie hoch er ist.²² Hannas Entscheidung ist eine kaufmännische, keine rechtliche: 13,50 € zeigen oder die Verpackung in den Preis einrechnen und selbst tragen. Beides ist in Ordnung. 12,00 € zeigen ist es nicht.

Was es kostet, wenn es schiefgeht

Auf dem Papier sind die Bußgelder groß. Ein Verstoß gegen die Bedingungen der Einwilligung nach Artikel 7 DSGVO kann bis zu 20 Millionen € kosten oder bei einem Unternehmen bis zu 4 % des gesamten weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist.²⁵ Wer gegen § 25 TDDDG Informationen speichert oder ausliest, riskiert bis zu 300.000 €.²⁶ Und das UWG kennt in § 19 ein eigenes Bußgeld: bis zu 50.000 €, bei einem Jahresumsatz von mehr als 1,25 Millionen € bis zu 4 % des Jahresumsatzes in den betroffenen EU Staaten, allerdings nur bei weitverbreiteten Verstößen und nur im Rahmen einer koordinierten Durchsetzungsaktion der europäischen Verbraucherschutzbehörden.²⁷

$$F_{\max} = \max\left(F_0,\ p \times T\right)$$

$F_{\max}$ ist das Höchstbußgeld, $F_0$ der feste Betrag im Gesetz, $p$ der Prozentsatz vom Umsatz und $T$ der Jahresumsatz. Das $\max$ bedeutet "je nachdem, welcher Betrag höher ist". Der Prozentteil ist einfache Grundlagen: Prozent.

Für Teehaus Isar, mit einem erfundenen Jahresumsatz von 1,2 Millionen €: Nach der DSGVO ist $0{,}04 \times 1.200.000 = 48.000$, weniger als 20 Millionen €, also liegt die Obergrenze bei 20 Millionen €. Bei kleinen Unternehmen setzt der feste Betrag die Obergrenze. Das TDDDG hat gar keinen Prozentteil, dort sind es immer höchstens 300.000 €. Und § 19 UWG passt nicht ganz in die Formel, weil er umschaltet statt zu vergleichen: Hannas 1,2 Millionen € liegen unter der Schwelle von 1,25 Millionen €, also gelten für sie höchstens 50.000 €.²⁷

Obergrenzen sind keine Preise. Ein kleiner Teeladen wird kaum Gegenstand einer europaweit koordinierten Aktion. Das echte Risiko in Deutschland ist ein anderes: Mitbewerber, eingetragene Wirtschaftsverbände und Verbraucherverbände können Unterlassung verlangen.⁶ In der Praxis heißt das eine Abmahnung mit Anwaltskosten und einer strafbewehrten Unterlassungserklärung, und Planet49 zeigt, dass ein Verbraucherverband einen Fall bis zum Europäischen Gerichtshof trägt.¹⁶ Nach meiner Erfahrung kommen die eigentlichen Kosten aber früher und leiser: die Liste, die gelöscht werden muss, die Analytics, der niemand mehr traut, und die Stammkundin, die sich abmeldet, weil das Pop up sie einen Trottel genannt hat. Bei Abos kommt § 312k Absatz 6 dazu: Fehlt der Button, können Kunden jederzeit ohne Frist kündigen, und jede Mindestlaufzeit ist dahin.⁵

Wie ich einen Kaufvorgang prüfe, Schritt für Schritt

Der EDSA empfiehlt, solche Prüfungen mit gemischten Teams zu machen, aus Gestaltung, Datenschutz und denen, die entscheiden.¹⁷ Bei einem kleinen Shop ist das oft eine Person mit mir am Tisch. So mache ich daraus die Arbeit eines Nachmittags.

Von oben nach unten folgt die Liste der Reihenfolge, in der eine Kundin auf die Probleme trifft. Die erste Frage ist die wichtigste: Ein Banner, das nur Dekoration ist, während die Pixel längst gefeuert haben, ist der häufigste Fehler, den ich finde. Die Aufsichtsbehörden sind da eindeutig: Solange das Banner angezeigt wird, laden keine einwilligungsbedürftigen Skripte.⁹ Der letzte Kasten hält die Arbeit ehrlich.

Rechenbeispiel: Hannas Prüfung von Anfang bis Ende

Auf Hannas Shop angewandt findet die Prüfung sieben Bildschirme: Pixel, die feuern, bevor das Banner beantwortet ist, kein "Alle ablehnen", eine Uhr, die neu startet, ein erfundener Bestand, eine Verpackungsgebühr, die erst am Ende auftaucht, ein angehaktes Partnerkästchen, ein beschämendes Exit Pop up und eine Abmeldung hinter einem Login. Jede Korrektur ist die, die oben durchgerechnet ist, und die meisten sind Text und Konfiguration, kein Neubau.

Die E Mail Erfassung und die Onboarding Formulare haben einen eigenen Artikel, und die Technik hinter Event Tracking mit Consent Mode auch.

Ehrliche Gestaltung ist die Variante, die bleibt

Ein Dark Pattern gewinnt den Test, der die Anmeldungen dieser Woche misst, und verliert jeden anderen: die Beschwerde, die Abmahnung, die Liste, die du nicht nutzen darfst, die Kundin, die es merkt. Nichts davon verlangt, dass du aufhörst zu überzeugen. Ein klares Angebot, ein gut platzierter Button und ein Grund, sich anzumelden, sind alle erlaubt. Was das Gesetz verlangt: Das Nein ist echt, der Preis ist der Preis, und die Uhr ist eine Uhr. Von Anfang an so gebaut, kostet es weniger, als es später zu reparieren, und nach meiner Erfahrung konvertiert es besser, als Gründer erwarten.

Quellen

Footnotes

1. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 4 Nr. 11 (Begriffsbestimmung Einwilligung), EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

2. Bundesministerium der Justiz, Telekommunikation Digitale Dienste Datenschutz Gesetz (TDDDG), § 25 Schutz der Privatsphäre bei Endeinrichtungen, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/ttdsg/__25.html

3. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 7 Unzumutbare Belästigungen, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__7.html

4. Bundesministerium der Justiz, Preisangabenverordnung (PAngV), § 3 Pflicht zur Angabe des Gesamtpreises, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/pangv_2022/__3.html

5. Bundesministerium der Justiz, Bürgerliches Gesetzbuch (BGB), § 312k Kündigung von Verbraucherverträgen im elektronischen Geschäftsverkehr, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/bgb/__312k.html

6. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 8 Beseitigung und Unterlassung, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__8.html

7. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 7 (Bedingungen für die Einwilligung), EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

8. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 25 (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen), EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

9. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK), Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2, Rn. 29, 43 bis 49, 118, 121, 124, 125, 128, 129, 135 und 137, November 2024, https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf

10. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 5 Irreführende geschäftliche Handlungen, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__5.html

11. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 4a Aggressive geschäftliche Handlungen, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__4a.html

12. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), Anhang (zu § 3 Absatz 3), Nr. 7 unwahre Angabe über zeitliche Begrenzung des Angebots, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/anhang.html

13. Europäische Union, Verordnung (EU) 2022/2065 über einen Binnenmarkt für digitale Dienste (Digital Services Act), Art. 19 und Art. 25, EUR Lex, 2022, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32022R2065

14. Datenschutzkonferenz (DSK), Orientierungshilfe der Aufsichtsbehörden zur Verarbeitung von personenbezogenen Daten für Zwecke der Direktwerbung unter Geltung der DSGVO, Abschnitte 1.4.1, 3.1, 3.3 und 3.4, Februar 2022, https://www.datenschutzkonferenz-online.de/media/oh/OH-Werbung_Februar%202022_final.pdf

15. Information Commissioner's Office und Competition and Markets Authority, Harmful design in digital markets: How Online Choice Architecture practices can undermine consumer choice and control over personal information, gemeinsames Positionspapier, Digital Regulation Cooperation Forum, 9. August 2023, https://www.drcf.org.uk/siteassets/drcf/pdf-files/harmful-design-in-digital-markets-ico-cma-joint-position-paper.pdf?v=380506

16. Gerichtshof der Europäischen Union, Pressemitteilung Nr. 125/19, Urteil in der Rechtssache C 673/17 Planet49: Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers, 1. Oktober 2019, https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-10/cp190125de.pdf

17. Europäischer Datenschutzausschuss, Leitlinien 03/2022 zu irreführenden Gestaltungsmustern auf Benutzeroberflächen von Social Media Plattformen: wie man sie erkennt und vermeidet, Version 2.0, Zusammenfassung und Rn. 32, 43 und 49, 14. Februar 2023, https://www.edpb.europa.eu/system/files/documents/2025-05/edpb_03-2022_guidelines_on_deceptive_design_patterns_in_social_media_platform_interfaces_v2_de.pdf

18. Midas Nouwens, Ilaria Liccardi, Michael Veale, David Karger und Lalana Kagal, Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence, CHI 2020, arXiv:2001.02479, 2020, https://arxiv.org/abs/2001.02479

19. Google, Einwilligungsmodus, Übersicht, Google for Developers, Tag Platform, 2026, https://developers.google.com/tag-platform/security/concepts/consent-mode?hl=de

20. Verbraucherzentrale Bundesverband (vzbv), Jeder fünfte Anbieter hat keinen Kündigungsbutton umgesetzt, vzbv.de, 18. März 2024, https://www.vzbv.de/meldungen/jeder-fuenfte-anbieter-hat-keinen-kuendigungsbutton-umgesetzt

21. Bundesgerichtshof, Pressemitteilung Nr. 128/2026, Bestätigungsseite bei Online Kündigung darf keine Informationen zu Kündigungsalternativen enthalten, Urteil vom 16. Juli 2026, I ZR 200/25, https://www.bundesgerichtshof.de/SharedDocs/Pressemitteilungen/DE/2026/2026128.html

22. Bundesministerium der Justiz, Preisangabenverordnung (PAngV), § 6 Preisangaben bei Fernabsatzverträgen, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/pangv_2022/__6.html

23. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 5b Wesentliche Informationen, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__5b.html

24. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 5a Irreführung durch Unterlassen, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__5a.html

25. Europäische Union, Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Art. 83 Abs. 5 (Geldbußen), EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

26. Bundesministerium der Justiz, Telekommunikation Digitale Dienste Datenschutz Gesetz (TDDDG), § 28 Bußgeldvorschriften, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/ttdsg/__28.html

27. Bundesministerium der Justiz, Gesetz gegen den unlauteren Wettbewerb (UWG), § 19 Bußgeldvorschriften bei einem weitverbreiteten Verstoß und einem weitverbreiteten Verstoß mit Unions Dimension, Gesetze im Internet, 2026, https://www.gesetze-im-internet.de/uwg_2004/__19.html