Dark Patterns in Cookie-Bannern: EDPB-Leitlinien und aktuelle Rechtsprechung

Cookie-Banner sind das Erste, was Nutzer auf den meisten Websites sehen – und gleichzeitig einer der häufigsten Streitpunkte im Datenschutzrecht. Mit den EDPB-Leitlinien zu Dark Patterns und aktueller Rechtsprechung wird immer klarer: Manipulatives Design in Cookie-Bannern ist nicht nur unethisch, sondern rechtswidrig.

Was sind Dark Patterns?

Als Dark Patterns bezeichnet man Designmuster, die Nutzer zu Entscheidungen verleiten, die nicht in ihrem Interesse liegen. Im Kontext von Cookie-Bannern bedeutet das: Der Nutzer wird durch visuelle oder funktionale Tricks dazu gebracht, der Datenverarbeitung zuzustimmen, obwohl er das eigentlich nicht möchte.

Der European Data Protection Board (EDPB) hat in seinen Leitlinien 03/2022 eine umfassende Kategorisierung von Dark Patterns vorgenommen. Diese Leitlinien sind zwar primär auf Social-Media-Plattformen ausgerichtet, werden aber von Aufsichtsbehörden und Gerichten zunehmend auch auf Cookie-Banner angewendet.

Die häufigsten Dark Patterns in Cookie-Bannern

1. Ungleichgewicht bei den Buttons

Das klassischste Dark Pattern: Der "Alle akzeptieren"-Button ist groß, farbig und prominent platziert, während die Ablehnen-Option klein, grau oder erst auf einer zweiten Ebene erreichbar ist. Nach der Rechtsauffassung der meisten Aufsichtsbehörden muss die Ablehnung genauso einfach sein wie die Zustimmung.

2. Vorab aktivierte Checkboxen

Sind Cookie-Kategorien wie "Marketing" oder "Statistik" bereits vorausgewählt, liegt keine wirksame Einwilligung vor. Der EuGH hat dies bereits im Planet49-Urteil (C-673/17) klargestellt. Trotzdem finden unsere Scans diese Praxis noch bei rund 23% aller geprüften Websites.

3. Versteckte Ablehnung

Manche Cookie-Banner bieten auf der ersten Ebene nur "Akzeptieren" und "Einstellungen" an. Die tatsächliche Ablehnoption ist dann erst in den Einstellungen zu finden – oft wiederum als unscheinbarer Textlink. Dies wird von den meisten Datenschutzaufsichtsbehörden als unzulässig eingestuft.

VG Hannover: Wegweisendes Urteil

Das Verwaltungsgericht Hannover hat in einem vielbeachteten Urteil (Az. 10 A 5765/22) entschieden, dass ein Cookie-Banner ohne gleichwertige Ablehnen-Option gegen die DSGVO verstößt. Das Gericht stellte klar: Die bloße Möglichkeit, über die Einstellungen abzulehnen, reicht nicht aus, wenn die Zustimmung mit einem einzigen Klick möglich ist.

Besonders bemerkenswert: Das Gericht betrachtete den farblichen Kontrast zwischen den Buttons als relevant. Ein grauer "Ablehnen"-Button neben einem leuchtend grünen "Akzeptieren"-Button wurde als manipulativ bewertet. Diese Entscheidung hat erhebliche praktische Auswirkungen für die Gestaltung von Cookie-Bannern.

Was ScanCompliance.de prüft

Unser automatisierter Scanner erkennt die wichtigsten Dark-Pattern-Indikatoren in Cookie-Bannern: