Untersuchung von Webseiten bringt täuschende Designs ans Licht

Das Global Privacy Enforcement Network untersucht weltweit Webseiten auf Datenschutzkonformität. Dabei geht es immer wieder um sogenannte „täuschende Designs“ (Deceptive Design Patterns). Erschreckenderweise hat die letzte Prüfung ergeben, dass beinahe alle Webseiten, die untersucht worden sind, täuschende Designs enthalten. Damit sollen User beeinflusst werden und personenbezogene Daten preisgeben.

Auch wenn vor allem in Europa Datenschutz von den Aufsichtsbehörden engmaschig kontrolliert wird, scheinen Betreiber von Webseiten nach wie vor ihre eigenen Interessen zu verfolgen und massiv Daten zu sammeln. Das Global Privacy Enforcement Network hat in Zusammenarbeit mit 26 Datenschutzaufsichtsbehörden aus 21 Ländern sowie 27 Verbraucherschutzbehörden mehr als 1.000 Webseiten und mobile Anwendungen (Apps) untersucht. Ziel der Prüfung war es, zu ermitteln, auf wie vielen Internetauftritten täuschende Designmuster eingesetzt werden. Wer diese Designs einsetzt, will damit unumstritten erreichen, dass Webseitenbesucher vor allem in puncto Datenschutz dazu verleitet werden, mehr von sich preiszugeben, als sie eigentlich müssten, um die Funktionen der Webseite nutzen zu können. Die Untersuchung kam zu dem erschreckenden Ergebnis, dass die meisten der überprüften Webseiten alles andere als datenschutzkonform sind.

Baden-Württembergs Datenschutzaufsicht im Projekt involviert

Der Landesbeauftragte für den Datenschutz und Informationsfreiheit in Baden-Württemberg, Prof. Dr. Tobias Keber, unterstützte die Aktion mit eigenen Untersuchungen seiner Behörde. Seine Mitarbeiter und er selbst hatten sich 17 Webseiten vorgenommen und die erforderlichen Tests durchgeführt. Leider bestätigte auch die Untersuchung dieser 17 Webseiten das Gesamtergebnis: Auf allen Seiten waren täuschende Designs vorhanden.

Prof. Dr. Tobias Keber resümiert: „Wer täuschende Designmuster nutzt, muss erklären, wie er die Vorgaben der DS-GVO und des TDDDG einhält. Bei unserer Prüfung haben wir festgestellt, dass viele Webseiten Nutzende zu einem für sie unvorteilhaften Verhalten verleiten. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen, Privacy by design und Privacy by default, sind kein optionales Angebot der Verantwortlichen, vielmehr sind sie Voraussetzung für ein rechtmäßiges Angebot. Wir nehmen diese koordinierte Prüfung zum Anlass, auf die von uns geprüften Webseitenbetreiber zuzugehen und wo nötig auf datenschutzkonforme Lösungen hinzuwirken.“

Das Ziel: User in die Irre führen

Im Kern geht es bei täuschenden Designs darum, User in die Irre zu führen und ihnen Daten abzutrotzen, die sie eigentlich gar nicht preisgeben müssten. Ein Beispiel sind Anmelde-Prozesse, in denen der User unzählige Schritte unternehmen muss, um die wirklich relevanten Datenschutzinformationen zu finden, sich abzumelden oder ein Konto zu löschen. Ebenso gelten als täuschende Designs, die Nutzer durch langatmige und komplizierte Prozesse dazu verleiten, persönliche Daten einzugeben, um den Prozess zu beschleunigen. Beispielsweise können täuschende Designs bei Cookie-Bannern eingesetzt werden, die statt einer übersichtlichen Darstellung von relevanten Informationen für die Nutzer unzureichende Informationen präsentieren und es Nutzern erschweren, unerwünschtes Tracking einfach abzulehnen. Darüber hinaus gibt es auf unzähligen Webseiten Anmeldeprozesse, die derart verschachtelt sind, dass User schnell „die Nerven verlieren“ und fragwürdige Angaben machen, um endlich die gewünschte Anmeldung abzuschließen.