dict.ccs 1.741-Partner-Einwilligungsbanner löst DSGVO-Beschwerde aus

Eine Wörterbuchseite mit 1.741 Datenweitergabe-Partnern

Die österreichische Datenschutzorganisation noyb hat eine DSGVO-Beschwerde gegen dict.cc, das beliebte Online-Wörterbuch, eingereicht – wegen der Art und Weise, wie es die Einwilligung für Online-Tracking einholt. Das Problem ist nicht, dass die Website um Erlaubnis bittet. Es ist das, was passiert, wenn Nutzer tatsächlich verstehen wollen, wozu sie ihre Zustimmung geben.

Nach den Berechnungen von noyb listet der Einwilligungsbanner von dict.cc 1.741 einzelne „Partner“ auf, die Besucherdaten erhalten oder verarbeiten dürfen. Um eine informierte Entscheidung zu treffen, müsste ein Nutzer theoretisch die Datenschutzerklärung jedes dieser Partner lesen, bevor er auf „Akzeptieren“ klickt. noyb schätzt, dass diese Aufgabe allein etwa 172 Stunden dauern würde – mehr als eine ganze Woche ununterbrochenes Lesen – nur um einen einzigen Besuch auf einer Wörterbuch-Website zu bewerten.

Diese Kluft zwischen dem, was das Gesetz verlangt, und dem, was die Benutzeroberfläche tatsächlich ermöglicht, ist der Kern der Beschwerde und wirft eine Frage auf, die weit über eine einzelne Website hinausgeht: Kann eine Einwilligung, deren ordnungsgemäße Prüfung Tage dauert, jemals als informiert gelten?

Warum das nach einem Dark Pattern aussieht und nicht nach einem Designfehler

Der grundlegende DSGVO-Grundsatz aus Artikel 5 Absatz 1 Buchstabe a verlangt, dass personenbezogene Daten rechtmäßig, nach Treu und Glauben und transparent verarbeitet werden. Eine Einwilligung ist nach dem Gesetz nur gültig, wenn sie freiwillig, für den bestimmten Fall und in informierter Weise erteilt wird. noyb argumentiert in der Beschwerde, dass ein Banner mit über tausend Partnern eine informierte Einwilligung strukturell unmöglich macht. Den Nutzern bleiben nur zwei echte Optionen: auf „Akzeptieren“ klicken, ohne zu verstehen, wozu sie zustimmen, oder die Website komplett verlassen.

Dieses Muster ist im Ökosystem des Online-Trackings wohlbekannt. Einwilligungswände mit ausufernden Partnerlisten sind keine zufällige Komplexität. Sie wirken als Reibung, die so gestaltet ist, dass Ablehnung oder sorgfältige Prüfung so zeitaufwendig werden, dass die Zustimmung zum Weg des geringsten Widerstands wird. Der Mechanismus deckt sich mit dem, was Forscher bei anderen Tracking-Untersuchungen festgestellt haben, etwa in Berichten darüber, wie TikTok Nutzer auch ohne installierte App verfolgt – mithilfe von Pixeln, die die meisten Menschen nie sehen und in die sie nie auf sinnvolle Weise einwilligen. In beiden Fällen übersteigt die technische Architektur der Datenerfassung die realistische Fähigkeit eines Nutzers, sie zu überprüfen.

Das Ausmaß der Partnerliste von dict.cc spiegelt auch ein breiteres Muster wider, wie personenbezogene Daten durch kommerzielle Ökosysteme fließen, sobald die Erfassung beginnt. Sobald Dutzende oder Hunderte Dritter vertraglich in eine Ad-Tech- oder Analyse-Kette eingebunden sind, verliert der ursprüngliche Website-Betreiber oft den praktischen Überblick, wie diese Daten stromabwärts verwendet werden – selbst wenn er rechtlich für die ursprüngliche Einholung der Einwilligung verantwortlich bleibt.

Was die österreichische Aufsichtsbehörde jetzt entscheiden muss

Die Beschwerde bringt die österreichische Datenschutzbehörde in eine schwierige Lage. Die Aufsichtsbehörden haben in der Regel akzeptiert, dass Einwilligungsbanner Dritte auflisten dürfen, da die DSGVO komplexe Werbeökosysteme nicht grundsätzlich verbietet. noybs Beschwerde erzwingt jedoch eine genauere Frage: Ab wann wird eine Partnerliste so lang, dass die über sie eingeholte Einwilligung nicht mehr rechtsgültig ist – unabhängig davon, wie das Banner formuliert oder gestaltet ist?

Sollte die Behörde noyb Recht geben, könnte die Entscheidung weitreichende Folgen für die Ad-Tech-Branche haben, in der große Partnerlisten, gebunden an Rahmenwerke wie das Transparency and Consent Framework des IAB, gängige Praxis und keine dict.cc-spezifische Besonderheit sind. Viele Publisher sind auf ähnlich lange Partnerverzeichnisse angewiesen, um Traffic über programmatische Werbung zu monetarisieren. Ein Urteil gegen dict.cc könnte Websites in ganz Europa dazu bringen, die Anzahl der Partner zu reduzieren, Einwilligungsprozesse zu vereinfachen oder sich ähnlichen Beschwerden auszusetzen.

Dies ist nicht das erste Mal, dass Aufsichtsbehörden mit Datenpraktiken umgehen müssen, die zwar formal den Offenlegungsvorschriften entsprechen, aber ihren Zweck faktisch unterlaufen. Fälle zu Arbeitnehmer- und Schülerdaten, wie die Prüfung der Praktiken des Schüler-Trackings von PowerSchool, zeigen eine ähnliche Spannung: Eine Einwilligung oder ein Hinweis existiert auf dem Papier, aber die praktische Möglichkeit der betroffenen Person, die Datenerhebung zu verstehen oder anzufechten, ist minimal.

Was das für Sie bedeutet

Wenn Sie jemals auf einem Cookie-Banner auf „Alle akzeptieren“ geklickt haben, ohne ein Wort zu lesen, sind Sie nicht allein – und dieser Beschwerde zufolge trifft Sie auch nicht die ganze Schuld. Das Design vieler Einwilligungsbanner setzt genau dieses Verhalten voraus und beruht wohl auch darauf.

• Achten Sie vor dem Durchklicken auf eine Option wie „Alle ablehnen“ oder „Einstellungen verwalten“. Viele Seiten verstecken sie, aber die DSGVO schreibt vor, dass sie vorhanden sein muss.
• Verwenden Sie Datenschutz-Tools oder Browser-Erweiterungen, die standardmäßig Drittanbieter-Tracker blockieren und so die Datenmenge verringern, die überhaupt zu diesen Partnernetzwerken gelangt.
• Achten Sie darauf, wie viele „Partner“ ein Einwilligungsbanner aufführt. Eine Zahl im Tausenderbereich – wie bei dict.cc – ist ein Signal dafür, dass die Datenweitergabe der Website eher einem Ad-Tech-Marktplatz als einem einfachen Analyse-Setup ähnelt.
• Unterstützen oder verfolgen Sie Durchsetzungsmaßnahmen wie die Beschwerden von noyb. Regulierungsdruck ist oft die einzige Kraft, die die Art und Weise verändert, wie diese Banner gebaut werden.

Das Fazit

Diese DSGVO-Beschwerde gegen dict.cc handelt nicht wirklich von einer Wörterbuch-Website. Es ist ein Testfall dafür, ob „Einwilligung“ den Kontakt mit dem Ausmaß moderner Ad-Tech überstehen kann. Wenn die ordnungsgemäße Zustimmung zu einem Cookie-Banner mehr als eine Woche Lesezeit erfordert, hat das Banner seine einzige Aufgabe wohl schon verfehlt: sicherzustellen, dass Nutzer wissen, wozu sie zustimmen. Die Entscheidung der österreichischen Behörde könnte mitbestimmen, ob ähnlich aufgeblähte Einwilligungsabläufe gängige Praxis bleiben oder aus dem Web verschwinden.