Vor drei Monaten feierten Politiker und Datenschützer die Ende Mai 2018 wirksam gewordene EU-DSGVO, während Vereine und Kleinunternehmen über die damit verbundene Bürokratie stöhnten und nach Auswegen suchten. Bis auf einzelne Geschichten von Fotografierverboten und geschwärzten Kindergesichtern – in Deutschland heißt es nach wie vor: „Vorschrift ist Vorschrift!“ – war seither wenig zum Thema zu hören.

Jene, denen es mit der DSGVO angeblich hätte an den Kragen gehen sollen, allen voran die Online-Werbewirtschaft, können weiter ruhig schlafen. Sie haben einen Weg gefunden, ihre Interessen im Einklang mit der DSGVO-Bürokratie weiter zu verfolgen: Dark Patterns, unanständige Entwurfmuster. Die Gestaltung von Benutzerschnittstellen kann das Verhalten ihrer Benutzer beeinflussen, indem sie Handlungen und Vorgänge einfacher oder schwieriger macht, schneller oder zeitraubender, versteckter oder offensichtlicher, fehleranfälliger oder robuster. Das ist nicht per se falsch, denn Benutzerschnittstellen sollen sich den Benutzern erklären. Die Grenze zum Dark Pattern ist schwer zu definieren, aber sie ist klar überschritten, wo eigennützige Manipulationsabsichten offensichtlich werden.

Dieses Video zeigt ein Beispiel:

Websites arbeiten mit Werbenetzen, Analytics-Diensten und anderen Dienstleistern zusammen, die das Benutzerverhalten beobachten und auswerten. Über diese Verarbeitung muss jeder Nutzer in der Regel selbst entscheiden können. Das Video zeigt, wie eine offensichtlich interessengeleitete Gestaltung der Benutzerschnittstelle in der Praxis funktioniert – man müsste eine Viertelstunde im Web herumklicken, ohne am Ende zu wissen, was es gebracht hat. Ebenso weit verbreitet sind Zwangsfunktionen, welche die Nutzung von Websites verhindern oder erschweren, bis man in irgend etwas „eingewilligt“ hat.

Vermutlich ist diese Gestaltung nicht legal, doch bislang ist dazu vom organisierten Datenschutz wenig zu hören – er ist unter einer Welle von Anfragen zur DSGVO zusammengebrochen. Überraschend kommt diese Entwicklung allerdings nicht. Zum einen ist die formale Einhaltung von Vorschriften bei gleichzeitiger Optimierung auf die eigenen ökonomischen Interessen die typische Reaktion von Unternehmen auf Compliance-Vorschriften. Wer beispielsweise Geld anlegen möchte, muss seiner Bank heute hundert Seiten Papier unterschreiben – angeblich zu seinem Schutz, tatsächlich jedoch, damit die Bank unter allen denkbaren Umständen über genügend Dokumente verfügt, um sich aus der Affäre zu ziehen und ihre Hände in Unschuld zu waschen („Rechtssicherheit“).

Zum anderen passt das Interaktionsparadigma des Datenschutzes – eine Art Vertragsschluss bei Beginn der Verarbeitung – nicht dazu, wie das Internet funktioniert. Wir emittieren heute permanent Daten in den Cyberspace und die Idee, diese Emission über Verfügungen pro Interaktionskontext zu regeln, führt nicht zu tragfähigen Lösungen. Was man wirklich einmal regeln müsste, wären die Interaktion und die Machtverhältnisse im Web.