Dark Patterns: Manipulation im digitalen Raum

Hören Sie es auch? Es klickt und klappert in den Spähern des World Wide Web. Eine Taschenuhr nach der andern wird zugeklappt, Geldkoffer werden an sicheren Orten verstaut, es braucht sie nicht mehr. Denn listige Betreiber*innen von Online-Plattformen müssen nicht mehr auf jahrmarkttaugliche Hypnosekünstler oder Unsummen von Geld zurückgreifen, um ihre Nutzerinnen zu ungewollten Handlungen zu verleiten. Es reicht bereits das Raffinesse findiger Webgestalter*innen, um mittels kleiner Designtricks Kundinnen in die Irre zu führen. Diese Designtricks werden Dark Patterns genannt und stellen im heutigen digitalen Raum ein echtes Problem dar. In diesem Blogbeitrag erfahren Sie, was Dark Patterns ausmacht, welche Regelungen Konsument*innen davor schützen sollen und wie sie vermieden werden können.

Wait a minute, who are you?

Dark Patterns werden auf Online-Schnittstellen von Plattformen eingesetzt und dienen der Manipulation von Nutzer*innen. Online-Schnittstellen sind der Berührungspunkt zwischen dem Betreiber/Anbieter und den Besucher*innen einer Webseite und treten u.a. in Form eines Cookie Banners auf. Dark Patterns haben das Ziel, Menschen in ihrer Möglichkeit, eine freie und informierte Auswahl oder Entscheidung zu treffen, zu beschneiden. Dadurch werden Nutzer*innen zu einem Verhalten auf Online-Plattformen gedrängt, das ggf. nicht in ihrem Interesse liegt und ungewollte Auswirkungen für sie hat. Diese ungewollte Auswirkungen stehen oft im Zusammenhang mit der unerwünschten Weitergabe von personenbezogenen Daten.

Das European Data Protection Board widmete sich letztes Jahr ebenfalls der Thematik und veröffentlichte Richtlinien dazu. Zweck der Richtlinien ist es, Gestalterinnen wie Nutzerinnen von Social Media Plattformen dabei zu helfen, Dark Patterns auf dortigen Schnittstellen zu erkennen und zu verhindern. Dafür hat das EDPB sechs verschiedene Kategorien definiert:

Overloading

Hierbei werden Nutzer*innen mit ein großen Anzahl an Anfragen, Informationen und Optionen konfrontiert. Damit sollen sie überfordert werden und möglichst schnell die jeweilige Art der Datenverarbeitung akzeptieren, da alles Weitere zu kompliziert wäre. Konkrete „Overloading-Praktiken“ sind etwa das wiederholte Nachfragen nach einer Einwilligung, die Verkomplizierung der Informationssuche oder das unübersichtliche Darstellen von zu vielen Auswahlmöglichkeiten.

Skipping

Die Gestaltung der Nutzeroberfläche hat hier den Zweck, Nutzer*innen von Datenschutzaspekten abzulenken. Diese Art der Dark Patterns beinhaltet bereits ausgewählte Verarbeitungszwecke oder das Ablenken durch weitere Aktionen oder Informationen.

Stirring

Stirring soll User durch Emotionen oder visuelle Elemente beeinflussen. Dafür werden Informationen zur dem jeweiligen Verarbeitungszweck übermäßig positiv dargestellt, was eine Verzerrung der Realität und ein wahrscheinlicheres Einwilligen zur Folge hat. Konträr dazu können Nutzer*innen auch verängstigt werden, um das gewünschte Ergebnis zu erzielen. Schließlich besteht die Möglichkeit, Auswahlmöglichkeiten visuell stärker hervorzuheben.

Hindering

Hier möchten Anbieter Nutzer*innen davon abhalten, sich zu informieren oder ihre Daten zu verwalten. Das wird durch nicht funktionierende Links, einen langwierigen und komplizierten Prozess oder irreführenden Informationen versucht.

Fickle

Anbieter, die diese Praktik verwenden, gestalten ihre Benutzeroberfläche oder Schnittstelle unverständlich und unpraktisch. Damit ist es schwieriger, Kontrollmöglichkeiten zu finden und einzusetzen. Um zu erreichen, werden Informationen wiederholt auf unterschiedliche Art dargestellt, was Verwirrung erzeugen soll, oder gleich auf einer gänzlich zusammenhangslosen Seite platziert.

Left in the dark

Um Nutzer*innen im Dunklen zu lassen, werden Informationen versteckt oder so präsentiert, dass unklar ist, wie Daten verarbeitet werden und wie die Einwilligung erfolgt. Dazu setzen Bertreiber auf nicht offizielle Landessprachen, widersprüchliche oder zu vage formulierte Informationen.

Gesetzliche Rahmenbedingungen bisher

Auch wenn die Datenschutzgrundverordnung nicht spezifische Reglungen bezüglich Dark Patterns beinhaltet, gibt sie doch an, wie eine Einwilligung und damit indirekt wie eine Online-Schnittstelle auszusehen hat. So müssen Einwilligungen auf rechtmäßige und transparente Weise, für festgelegte, eindeutige und legitime Zwecke sowie für den jeweiligen Zweck angemessen erfolgen. Ein rechtmäßige Einwilligung bedeutet weiter, dass die betroffene Person die Einwilligung auf freiwilliger und informierter Basis sowie als unmissverständliche Willensbekundung zu geben hat. Schließlich muss die Einwilligung in verständlicher und leicht zugänglicher Sprache verfasst sein und jederzeit so einfach widerrufen werden können, wie sie gegeben wurde. Sämtliche in diesem Blogbeitrag beschriebene Praktiken stehen damit klar im Widerspruch zur DSGVO.

Ein Vogel, ein Flugzeug, nein: Der Digital Services Act

Der Digital Services Act, zu Deutsch Gesetz über digitale Dienste, nimmt sich erstmals explizit Dark Patterns an. Der Digital Services Act hat gemeinsam mit dem Gesetz über digitale Märkte den Zweck, die Grundrechte der EU-Bürger*innen im digitalen Raum zu schützen und für faire Wettbewerbsbedingungen für Unternehmen zu sorgen. Der DSA ist mit 16. November 2022 in Kraft getreten.

Laut der Verordnung sollte es Online-Plattformen nicht gestattet sein, Nutzer*innen durch den Aufbau, die Gestaltung oder die Funktion einer Online-Schnittstelle zu täuschen. Damit sind u.a. Gestaltungsmuster inbegriffen, die durch Irreführung den Anbieter einer Online-Plattform auf Kosten der User begünstigen. Zu diesen Gestaltungsmustern zählen u.a. Auswahlmöglichkeiten, die mittels visueller, akustischer oder sonstiger Elemente stärker hervortreten und damit das Entscheidungsverhalten beeinflussen.

Weitere manipulative Praktiken sind die wiederholte Aufforderung nach getätigter Auswahl, diese erneut zu treffen oder ein erschwertes Verfahren zur Stornierung eines Dienstes. Der Digital Services Act hebt allerdings ebenfalls hervor, dass die Bestimmungen zur Verhinderung von Dark Patterns keineswegs rechtmäßige Praktiken der Kontaktaufnahme zwischen Anbieter und Nutzer verhindern sollen.

Wird gegen eine der Verpflichtung des DSA verstoßen, was einem Einsatz von Dark Patterns gleichkommt, wird eine Strafe von 6% des weltweiten Jahresumsatzes des betreffenden Anbieters von Vermittlungsdiensten im vorangegangen Geschäftsjahr verhängt. Werden etwa unvollständige oder irreführende Informationen an die Behörden übermittelt oder erfolgt das Versäumnis einer Antwort, dann fällt eine Strafe von 1% des weltweiten Jahresumsatzes des betreffenden Anbieters von Vermittlungsdiensten oder der betreffenden Person im vorangegangen Geschäftsjahr an.

Nein, doch, ohh!

Manipulative Cookie- oder Consent Banner sind nur ein Beispiel von vielen für Dark Patterns, rücken allerdings durch die Datenschutzbemühung der EU immer wieder den Fokus. So auch letztes Monat, als der Bericht einer eigens eingerichteten Cookie Banner Taskforce veröffentlicht wurde. Dieser zeigt allerdings, dass nicht überall Einigkeit herrscht, was die einheitliche Bekämpfung manipulativer Praktiken im Internet erschwert. So sieht etwa eine große Mehrheit der Behörden im Fehlen einer „Alles Ablehnen“-Option auf einem Cookie Banner eine Verletzung der Auflagen, wobei ein kleine Minderheit dem widerspricht. Bei einer trügerischen Buttongestaltung, etwa durch eine unterschiedliche farbliche Gestaltung, hat sich die Task Force wiederum darauf geeinigt, nicht allgemein urteilen und daher nur Aussagen für individuelle Fälle treffen zu wollen. Allerdings wurden jene Fälle generell für ungültig erklärt, in denen der Kontrast zwischen Text und Button eines Banners so minimal ist, dass er Text unleserlich wird. 

Es werde Licht

Wer Dark Patterns auf deren Consent Banner verhindern möchte, ist zum Abschluss dieses Blogbeitrags herzlich dazu eingeladen, den Prinzipien von Coach Consent zu folgen. Dieser hat in seinem „Gastbeitrag“ seine 7 Schritte zum Best Practice Einwilligungserfolg vorgestellt:

1.Verschaffen Sie sich einen Überblick über die von Ihnen verarbeitenden Daten

2.Geben Sie Ihren Nutzer*innen eine echte Wahl

3.Legen Sie fest, für welche Zwecke die Daten verarbeitet werden sollen

4.Versehen Sie die festgelegten Verwendungszwecke mit ausreichend Information

5.Ermöglichen Sie eine eindeutige bestätigende Handlung

6.Achten Sie auf Ihre Nachweispflicht

7.Ermöglichen Sie eine Widerrufsmöglichkeit

Den Blogbeitrag von Coach Consent und damit die genau Erklärung seiner 7 Schritte finden Sie hier.

Kontakt
Partner & Sales Manager: Alexander Jürgens
E-Mail-Adresse: office@apocrat.at
Mobil: +43 676 4025255