Pay or okay: Privatsphäre nur gegen Gebühr

Plata o Plomo? Also: Silber oder Blei – Bestechungsgeld oder eine Kugel in den Kopf? Das soll der Kokainhändler Pablo Escobar einige Beamte gefragt haben, die dann entweder seine Seite oder den Tod wählen konnten. Die Frage ist eine popkulturelle Ikone. Es gibt Lieder, ein Album, einen Schnaps und einen Tabak, die so heißen. Sie steht für eine Wahl zwischen zwei Übeln, die eigentlich keine ist, weil eine der beiden Optionen so viel verlockender wirkt.

Vor eine ganz ähnliche Entscheidung stellen immer mehr Websites, Apps und Online-Dienste ihre Nutzer*innen: Entweder du zahlst für dein Grundrecht auf Privatsphäre oder du gibst es auf – und erlaubst, dass aus deinen Daten ein personalisiertes Profil gebildet und an die Werbeindustrie verkauft wird. Häufig landen die Informationen dann bei Databrokern, deren gefährliches Geschäft wir dieses Jahr ausführlich beleuchtet haben.

„99,9 Prozent verzichten freiwillig auf Datenschutz“

Seit 2018 verlangt die Datenschutz-Grundverordnung für Tracking eine freiwillige und informierte Einwilligung der Betroffenen. Das führt im Idealfall dazu, dass Verbraucher*innen vor der Nutzung einer Seite oder eines Dienstes die Datensammlung und -weitergabe einfach abwählen können. Doch inzwischen muss man auf immer mehr Seiten für diese Option bezahlen. Privatsphäre nur gegen Gebühr. Eine andere Möglichkeit, die Seiten zu besurfen, gibt es nicht – zumindest keinen offiziellen Weg.

„Pay or okay“ wird das Modell genannt, „Cookie-Paywall“, „Pur-Abo“ oder „Consent or pay“. Und wie bei Plata o Plomo ist die Frage eher rhetorisch. Denn 99,9 Prozent aller Nutzer*innen zahlen lieber mit ihrer Privatsphäre als mit Geld, so der CEO von contentpass, einem Abodienst für trackingfreie Webseitennutzung, gegenüber Wissenschaftler*innen, die vergangenes Jahr ein Paper zum Thema „Pay or okay“ veröffentlichten.

Deutschland ist Europameister in Cookie-Paywalls

Im Rahmen der zugrundeliegenden Untersuchung europaweiter Webangebote fanden die Forscher*innen in Deutschland 317 Cookie-Paywall-bewehrte Seiten, darunter viele Nachrichtenseiten. Auf Platz zwei lag Frankreich mit 42 Cookie-Paywalls. In den meisten Ländern fanden sie einstellige Zahlen. Untersuchungsgrundlage waren Websites aus einer Liste von einer Million Top-Seiten.

Dabei ist zweifelhaft, ob bei der Wahl zwischen Geld und Daten wirklich eine informierte Einwilligung zustande kommt, wie sie von der DSGVO im Vorfeld der Verarbeitung persönlicher Daten gefordert wird. Der Europäische Datenschutzausschuss, das Plenum der Führungskräfte europäischer Datenschutzbehörden, will deshalb Leitlinien zur Ausgestaltung von „Pay or okay“-Modellen entwickelt.

Am Montag fand ein Stakeholder-Meeting zum Thema statt. Rund 200 Vertreter*innen von Betroffenengruppierungen waren dabei. Viele aus der Industrie und nur wenige aus der Zivilgesellschaft, wie Itxaso Dominguez berichtet, die für die NGO European Digital Rights (EDRi) an dem Treffen teilgenommen hat.

Manipulatives Design

Verhandelt worden sei, so Dominguez, ausschließlich wie – und nicht ob – ein „Pay or okay“-Modell legal einsetzbar sei. Dabei halte sie das Konzept für grundlegend unvereinbar mit der Datenschutz-Grundverordnung. „Es ist illegal, weil es keine freie und informierte Entscheidung ermöglicht. Menschen werden in diese Wahl gezwungen“, sagt sie. Ein „Dark Pattern“ sehen Kritiker*innen wie sie in der Praxis – manipulatives Design. Die bundesdeutsche Datenschutzkonferenz hat „Pay or ok“ unter bestimmten Bedingungen abgesegnet, so muss etwa die Einwilligung konkret genug formuliert sein.

Philipp Hagen hat für für den Bundesverband Digitale Wirtschaft (BVDW) an dem Stakeholder-Meeting teilgenommen. Er hält „Pay or okay“ für ein „faires Modell“ und warnt: „Ohne zielgerichtete Werbung müssten die Werbebudgets verdoppelt oder verdreifacht werden, um den gleichen Impact zu haben. Das hätte gesamtwirtschaftliche Auswirkungen!“

Zielgerichtete Werbung jedoch muss nicht zwingend auf persönlichen Daten basieren. In einem Experiment verzichtete der Niederländische Rundfunk auf Tracking-basierte Anzeigen und nutzte Werbung je nach Kontext – wer einen Artikel über Tennisspieler liest, bekommt Werbung für Sportprodukte zum Beispiel. Einen Einnahmenrückgang gab es dabei nicht. Außerdem ist intransparent, wie viel die Website-Betreiber und Verlage überhaupt an getrackten Nutzer*innen verdienen. Auf unsere Anfragen in der Vergangenheit wollte sich dazu niemand äußern.

Wo der Europäische Datenschutzausschuss steht, hat er im April klargemacht, als er Meta. Mitglied des BVDW, in einer Stellungnahme aufforderte, neben „Pay or okay“ auch eine dritte Option anzubieten, etwa ein kostenloses Angebot, das weniger oder keine persönlichen Daten verarbeitet. Der Fall ist allerdings nicht eins zu eins auf alle „Pay or okay“-Angebote übertragbar, da Meta aufgrund seiner marktbeherrschenden Stellung den Bestimmungen des Digital Markets Act unterliegt.

Facebook: weniger Tracking, supernervige Ads

Noch bis voraussichtlich März läuft eine Untersuchung der EU-Kommission gegen den Tech-Konzern wegen seiner „Pay or okay“-Praxis. Meta reagierte darauf mit der Ankündigung einer zeitnah einzuführenden dritten Option, bei der man mit weniger Tracking kostenlos Facebook und Instagram nutzen darf, dafür aber regelmäßig bildschirmfüllende Werbung angezeigt bekommt, die erst nach Ablauf einer gewissen Zeit wegklickbar ist.

Im Stakeholder-Meeting des Europäischen Datenschutzausschusses ging es neben einer dritten, datenschutzfreundlicheren Option auch um eine mögliche Kostenkontrolle der „Pay or okay“-Lösungen. Denn die beiden Optionen müssten nach DSGVO – um eine freie Entscheidung zu gewährleisten – eigentlich gleichwertig sein. Ein trackingfreies „Pur-Abo“ kostet im Schnitt 3,34 Euro im Monat, so das Paper von 2023 – ein einzelnes Userprofil bringt vermutlich deutlich weniger ein.

Mit den „Pay or okay“-Leitlinien, die er demnächst veröffentlichen will, wird sich der Datenschutzausschuss auch zur Frage einer möglichen Kostenkontrolle und einer dritten, datenschutzfreundlicheren Auswahloption positionieren. Die Leitlinien, Empfehlungen und Stellungnahmen des Europäischen Datenschutzausschusses sind nicht verbindlich, aber dennoch für gewöhnlich die Grundlage nationalstaatlicher Datenschutzpraktiken.