Dark Patterns

Weshalb liest Du aktuell diesen Artikel? Vielmehr, weshalb hast Du den Link zu diesem Artikel angeklickt? Diese Frage steht beim Thema «Dark Patterns» im Zentrum. Wir befinden uns im Spezialgebiet der UX-Designerinnen.

«UX» steht für User-Experience. Die UX-Designerinnen beschäftigen sich unter anderem mit der Frage, wie etwas gestaltet werden soll, damit sich eine Benutzerin bei der Bedienung möglichst wohl fühlt.

Bei Webseiten und Webapplikationen geht es um die Ausgestaltung der Benutzeroberfläche. Anwenderinnen bedienen diese Benutzeroberflächen meist intuitiv und möchten möglichst einfach zum gewünschten Ziel gelangen, z.B. wird eine UX-Designerin auf der mobilen Ansicht einer Webseite (Handy-Ansicht) den Menu-Burger meist oben rechts platzieren. Dies hat zwei Gründe: Erstens sind wir es gewohnt, den Menu-Burger dort zu suchen. Zweitens bedient die Mehrheit der Menschen das Smartphone mit der rechten Hand. Der Menu-Burger ist so mit dem rechten Daumen besser zu erreichen.

Auf der einen Seite kann eine gute Ausgestaltung der Benutzeroberfläche die Bedienung derselben vereinfachen. Auf der anderen Seite können Kenntnisse über die Verhaltensweisen der Nutzer aber auch dafür verwendet werden, Nutzerinnen zu einem bestimmten Verhalten zu verleiten, dass deren Interessen entgegensteht.

Möchte eine Nutzerin nun das Menu öffnen, so klickt sie auf das Burger-Symbol. Öffnet sich nun nicht die Navigation, sondern passiert etwas, was die Nutzerin nicht wollte, so handelt es sich um ein Dark Pattern. Es existieren daneben noch zahlreiche weitere Erscheinungsformen von Dark Patterns, wie z.B. ablenkende Elemente, absichtlich verwirrend aufgebaute Strukturen oder ständig aufpoppende Banners.

Ein Dark Pattern ist also ein Design, das die Nutzerin zu Handlungen verleitet, die ihren Interessen zuwiderläuft.

Um zur Einstiegsfrage zurück zu kommen: Diesen Link solltest Du nicht aufgrund von Dark Patterns angeklickt haben – wir hoffen, dass das Interesse an diesem Thema ausschlaggebend war. ;-)

Dark Patterns und Datenschutz

Die Verwendung von Dark Patterns verstösst nicht per se gegen Datenschutzbestimmungen. Besonders problematisch erscheint allerdings die Irreführung von Benutzerinnen, um deren Einwilligung zu Datenbearbeitungen zu erlangen.

Werden durch Privatpersonen persönliche Daten von Webseiten-Nutzerinnen bearbeitet, braucht es nach DSGVO und nach revDSG meist die Einwilligung der Nutzerinnen. Nach aktuellem DSG ist die ausdrückliche Einwilligung nur für die Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen notwendig. Insbesondere bei Anbietern von Social Media Plattformen bestehen charakteristischerweise viele Berührungspunkte zu persönlichen Daten der Plattformbenutzerinnen. Aber auch die Verwendung bestimmter Cookies, welche Personendaten wie z.B. die IP-Adresse speichern und dadurch bearbeiten, bedarf unter Umständen einer Einwilligung durch die Nutzerin.

Bei vielen Webseiten bilden Cookies die einzige Schnittstelle mit den persönlichen Daten der Seitenbesucherinnen. Eine notwendige Einwilligung wird dann meist über sog. Cookie-Banners eingeholt. Jede Person, die regelmässig im Internet surft, dürfte bereits eine Vielzahl solcher Banner angetroffen haben. Im Gegensatz zu den Cookie-Bannern ist bei den Social Media Plattformen eine differenziertere Einwilligung der Datenbearbeitung möglich, werden auf diesen Plattformen doch üblicherweise eine Vielzahl von persönlichen Daten hochgeladen.

Webseiten- und Plattformenbetreiber haben meist ein Interesse daran, die persönlichen Daten zu bearbeiten. Social Media Plattformen leben vom Inhalt ihrer Nutzerinnen. Hingegen können Webseitenbetreiber z.B. durch die Aufschaltung von Google AdSense Geld verdienen. Es kann also lukrativ sein, die Einwilligung von Nutzerinnen zu erhalten. Es liegt daher nahe, dass die Webseiten- und Plattformenbetreiber nach Wegen suchen, möglichst viele Einwilligungen zu erhalten. Ob es sich dabei im Einzelfall um Dark Patterns handelte war vielfach schwierig einzuschätzen. Aus diesem Grund erliess der Europäische Datenschutzausschuss («EDSA») eine Leitlinie zu Dark Patterns auf Social Media Plattformen.

EDSA Leitlinie zu Dark Patterns auf Social Media Plattformen

Der EDSA erliess am 14. März 2022 seine Leitlinie zu Dark Patterns auf Social Media Plattformen (Link – auf Englisch). Darin geht er auf die im Zusammenhang mit Dark Patterns besonders relevanten Bearbeitungsgrundsätze ein. Weiter diskutiert er anhand von Fallbeispielen Möglichkeiten zur datenschutzgerechten Ausgestaltung von Social Media Plattformen. Im Folgenden wird nur auf vereinzelte Beispiele Bezug genommen. Die interessierte Leserin wird auf die ausführliche Leitlinie verwiesen.

Bearbeitungsgrundsätze nach DSGVO

Den Ausgangspunkt für die Thematik der Dark Patterns bildet der Grundsatz der Datenbearbeitung nach Treu und Glauben gemäss Art. 5 Abs. 1 lit. a DSGVO. Demnach wird Fairness bei der Datenbearbeitung verlangt, was die Verwendung von Dark Patterns verbietet.

Bei gewissen Erscheinungsformen von Dark Patterns kann hingegen auch ein Verstoss gegen die Voraussetzung der Einwilligung vorliegen. Sind die Informationen nicht ausreichend gut zugänglich oder wird von den Informationen abgelenkt, ist es möglich, dass die Person nicht genügend gut informiert ist.

Weitere relevante Bearbeitungsgrundsätze sind die Transparenz, die Datenminimierung und die Rechenschaftspflicht.

Ausgewählte Beispiele von Dark Patterns auf sozialen Medien

Als Dark Pattern wird insbesondere das Overloading qualifiziert. Dabei wird die Nutzerin von einer grossen Anzahl von Informationen, Einstellungsmöglichkeiten, Optionen oder Anfragen überhäuft. Hiermit wird bezweckt, dass die betroffene Person die Einstellungen zur Datenbearbeitung auf die gewünschte Weise belässt resp. bestimmte Einstellungen akzeptiert.

Eine Erscheinungsform von Overloading ist z.B. das kontinuierliche Anstupsen. Darunter fällt auch das regelmässige Aufpoppen eines Fensters, dass die Einwilligung in personalisierte Werbung verlangt. Selbst wenn die Möglichkeit besteht, personalisierte Werbung abzulehnen, kann die betroffene Person durch zu häufige Aufforderung zur Einwilligung verleitet werden. Eine solche Ausgestaltung verstösst gegen die DSGVO.

Eine andere Form von Dark Pattern, die der EDSA adressiert, ist das Skipping. Skipping liegt vor, wenn die Ausgestaltung einer Benutzeroberfläche dazu führt, dass die betroffenen Personen die Datenschutzaspekte vergessen. Eine Form des Skippings ist die Ablenkung. Dabei hat der EDSA folgendes Beispiel adressiert:

Ein Cookie-Banner hat folgenden Aufbau:

In diesem Beispiel werden humoristische Aspekte beim Cookie-Banner eingebaut. Ein solcher Cookie-Banner kann dazu führen, dass nur der erste Link angeklickt wird, während der zweite, wesentliche Link vergessen geht. Aus diesem Grund ist der obenstehende Cookie-Banner nach Ansicht des EDSA nicht DSGVO-konform.

Hast Du Fragen zum Datenschutz im Zusammenhang mit Deiner Webseite? Wir helfen Dir gerne weiter.