Wissenschaftler der Ruhr-Universität Bochum haben untersucht, wie Websites in Europa seit dem Wirken der Datenschutz-Grundverordnung im Mai 2018 um Zustimmungserklärungen für Cookies bitten, und kommen auf ein eindeutiges Ergebnis: In der Studie (Un)informed Consent bieten 86 Prozent der ausgewählten Cookie-Banner neben einem Bestätigungsbutton keine weiteren Auswahlmöglichkeiten an. Ein einfaches OK genügt der DSGVO nicht, denn die Verordnung verlangt eine informierte Entscheidung für oder gegen die Datenverarbeitung. Zusätzlich versuchen 57 Prozent der Banner, Besucher durch farbliche Hervorhebungen unübersichtliche Opt-Out-Wege oder vorausgewählte Checkboxen in Richtung Zustimmung zu schieben. Christiane Schulzki-Haddouti berichtete am 11. September 2019 erstmals ausführlich bei Golem.de.
Das Autorenteam um Christine Utz, Martin Degeling und Sascha Fahl von der RUB sowie Florian Schaub von der University of Michigan sammelte zunächst 1.000 Zustimmungshinweise von Live-Websites und ordnete sie nach Position, Auswahlmechanik, Texten und Verlinkungen. Dabei zeigten sich klare Muster: 58 Prozent der Banner sitzen am unteren Bildschirmrand, 93 Prozent blockieren die Interaktion mit der Seite nicht, und 92,3 Prozent verlinken auf zusätzliche Informationen. Die Arbeit wurde für die ACM-Konferenz CCS ’19 angenommen, die vom 11. bis 15. November 2019 in London stattfand.
Feldexperimente mit mehr als 82.000 Besuchern
In einem zweiten Schritt spielten die Forscher über vier Monate verschiedene Banner-Varianten auf einer deutschen E-Commerce-Seite aus und werteten die Ereignisse von 82.890 eindeutigen Besuchern aus. Das Ergebnis: Nutzer interagieren häufiger mit Hinweisen, die unten links auf dem Bildschirm erscheinen. Erhalten sie eine binäre Wahl zwischen Akzeptieren und Ablehnen, willigen deutlich mehr in Tracking ein als bei Mechanismen, die jede Kategorie oder jeden Drittanbieter einzelt freischalten. Besonders wirkungsvoll erwies sich Nudging: Bei Bannern mit nur einem Bestätigungsbutton klickten im hervorgehobenen Zustand 50,8 Prozent der mobilen und 26,9 Prozent der Desktop-Nutzer auf Akzeptieren, während es als schlichter Textlink nur 39,2 Prozent mobil und 21,1 Prozent am Desktop waren.
Noch deutlicher fiel der Effekt bei vorausgewählten Checkboxen aus: Rund 30 Prozent der mobilen und 10 Prozent der Desktop-Nutzer akzeptierten so sämtliche Drittanbieter. Standen die Checkboxen leer und mussten aktiv gesetzt werden, erlaubten weniger als 0,1 Prozent alle Dritten. Die Autoren ziehen daraus die Forderung, dass Regulierer nicht nur eine Zustimmung verlangen, sondern auch klare Vorgaben für deren Gestaltung machen sollten. Die Datenschutzbehörden hielten sich mit Sanktionen zunächst noch zurück, wie der Bericht von Golem.de festhält.
Relevanz für Spieleangebote im Web
Cookie-Banner gehören auch auf Spieleportalen, Publisher-Seiten und Shops zum normalen Seitenbesuch, denn Marketing, Analyse und Werbeauslieferung laufen dort über dieselben Tracking-Dienste. Die Bochumer Ergebnisse betreffen damit direkt die Web-Präsenzen der Games-Branche: Teams, die Storefronts, Community-Seiten oder Kampagnenländer betreiben, müssen ihre Banner so gestalten, dass eine echte Ablehnung ebenso leicht erreichbar ist wie die Zustimmung. Dass Tracking im Spielebereich ein sensibles Thema ist, hatte sich 2018 gezeigt, als Games-Tracking von Red Shell eine breite Datenschutzdebatte auslöste und die DSGVO kleinere Online-Spiele unter Druck setzte. Einige Monate vor der Bochumer Studie hatte zudem die britische Datenschutzaufsicht ICO von Spieleunternehmen eine bessere Praxis beim Umgang mit Spieldaten gefordert.