Irreführende Datenschutzversprechen: Was der Kunde nicht prüfen kann, wird zur Vertragsklausel
Ein Datenschutzversprechen, das der Kunde nicht nachprüfen kann, ist keine Werbefloskel. Nach britischem Verbraucherrecht wird es zum Vertragsbestandteil, und seit April 2025 kann die Wettbewerbsbehörde CMA Verstöße direkt mit Bußgeld belegen, ganz ohne Gerichtsverfahren.
Ein VPN, das „keine Logs“ verspricht, und ein Backup-Dienst, der „Ende-zu-Ende-Verschlüsselung“ bewirbt, verkaufen dasselbe ungewöhnliche Produkt: eine Behauptung, die der Käufer niemals selbst überprüfen kann. Werden die Logs heimlich doch geführt oder die Schlüssel heimlich hinterlegt, sieht der Dienst von außen identisch aus. Diese Asymmetrie war lange eine philosophische Randnotiz. In Großbritannien ist sie jetzt ein Compliance-Problem mit Preisschild, denn irreführende Datenschutzversprechen fallen unter den Digital Markets, Competition and Consumers Act 2024, und seit April 2025 kann die Competition and Markets Authority (CMA) selbst feststellen, dass ein Anbieter Verbraucher irregeführt hat, und Strafen von bis zu 10 Prozent des weltweiten Konzernumsatzes verhängen, ganz ohne Gerichtsverfahren.
Die schärfere Haftung ergibt sich aus einem älteren Gesetz, das Entwicklungsteams selten lesen. Nach Section 50 des Consumer Rights Act 2015 wird alles, was über eine Dienstleistung gesagt oder geschrieben wurde und das der Verbraucher bei seiner Kaufentscheidung berücksichtigt hat, zum Vertragsbestandteil. Wer mit dem deutschen Recht vertraut ist, kennt das Prinzip aus der Beschaffenheitsvereinbarung nach § 434 BGB oder aus dem UWG-Irreführungsverbot, nur dass es hier direkt und ohne Umweg auf Werbeaussagen zu Diensten angewendet wird. Das Marketing ist damit nicht bloß Begleitmaterial zum Produkt, es ist vertraglich das Produkt. Bei gewöhnlichen Funktionen fällt das kaum ins Gewicht, weil ein Ausfall offensichtlich ist: Die App stürzt ab, die Route stimmt nicht, die Abhilfe folgt von selbst. Ein Datenschutzfeature kehrt das um. Der Kunde hat keinen sinnlichen Zugriff auf ein Versagen, das einzige Artefakt, das er je in der Hand hält, ist die Behauptung selbst. Diese Behauptung übernimmt am Ende die Arbeit einer Spezifikation, obwohl sie von der Marketingabteilung formuliert wurde und, anders als eine interne Spezifikation, gerichtlich beziehungsweise aufsichtsrechtlich durchsetzbar ist.
Apples Private Relay, der mit iCloud+ verkaufte Proxy-Dienst, liefert die Live-Demonstration. Die Sicherheitsforscher Talal Haj Bakry und Tommy Mysk berichten, dass die echte IP-Adresse eines Nutzers über Passkey-Authentifizierungsverkehr durchsickern kann: Verwendet eine Website WebAuthn-Related-Origin-Requests, ruft das Betriebssystem eine Validierungsdatei direkt vom Gerät ab statt über den Proxy, während der Schalter für den Nutzer die ganze Zeit „aktiv“ anzeigt. Welche Lösung Apple auch liefert, der strukturelle Befund bleibt: Ein kostenpflichtiger Datenschutzdienst versagte, ohne dass sich an der sichtbaren Produktoberfläche irgendetwas änderte, und genau unter dieser Bedingung definiert die Werbung, nicht die Architektur, was eigentlich verkauft wurde.
Warum bergen irreführende Datenschutzversprechen ein höheres Rechtsrisiko als andere Werbeaussagen?
Weil der gesetzliche Maßstab die Erwartung des Verbrauchers prüft, nicht die Absicht des Anbieters. Das britische Regime gegen unlautere Geschäftspraktiken fragt, ob eine Praxis den durchschnittlichen Verbraucher irreführen und ihn zu einer geschäftlichen Entscheidung veranlassen würde, die er sonst nicht getroffen hätte, ein Maßstab, der dem deutschen Irreführungsverbot im UWG sehr nahekommt. Ein Datenschutzfeature, das lautlos versagt, führt genau dazu, dass dieser Verbraucher weiter für einen Schutz bezahlt, den er nicht erhält, und ein klarerer Anwendungsfall für diesen Test lässt sich kaum konstruieren. Wie solche Fälle enden, zeigt bereits der Präzedenzfall: Googles Rechtsstreit um den Inkognito-Modus endete in einem Vergleich, der das Unternehmen zur Löschung von Milliarden Datensätzen und zur Neufassung seiner Offenlegungen verpflichtete, während die Klägergruppe keinerlei finanzielle Entschädigung erhielt. Die Abhilfe war Korrektur, nicht Schadenersatz. Gerichte und Behörden behandeln Datenschutzwerbung als Zusicherung, die mit der Realität abgeglichen werden muss, was letztlich bedeutet: als Spezifikation.
Wie lässt sich beweisen, dass ein Datenschutzfeature tatsächlich funktioniert?
Das ist ein Observability-Problem, und es gibt dafür belastbare technische Antworten, die fast niemand mit solchen Versprechen tatsächlich umgesetzt hat. Eine Verifizierungsschicht für ein Datenschutzversprechen hat drei erkennbare Bausteine. Bezeugbarer Status liefert dem Client eine signierte, extern überprüfbare Aussage darüber, welchen Weg sein Traffic tatsächlich genommen hat, statt eines Schalters, der lediglich die Absicht meldet. Canary-Prüfungen sind unabhängige Messpunkte, die kontinuierlich abfragen, was der Dienst wirklich preisgibt (die von einer Website gesehene Austritts-IP, ob Klartext abrufbar ist), und bei jeder Abweichung vom Versprechen Alarm schlagen. Signierte Transparenz-Logs, nach dem Vorbild von Certificate Transparency, geben externen Prüfern ein nur anhängbares Protokoll an die Hand, mit dem sie das behauptete Verhalten über die Zeit nachvollziehen können. All das ist nicht billig. Es kostet Entwurfsaufwand, dauerhafte Infrastruktur und operative Verbindlichkeit, und es hat die unbequeme Eigenschaft, dass eine ehrliche Verifizierungsschicht die eigenen Ausfälle mitveröffentlicht. Genau das ist der Sinn. Die Kosten, ein Versprechen prüfbar zu machen, sind der wahre Preis dieses Versprechens, und wenn die Verifizierung zu teuer erscheint, ist das ein starkes Indiz dafür, dass die Formulierung zu stark war, um sie so zu veröffentlichen.
Der Claims-Audit, bevor die Behörde ihn macht
Die praktische Übung ist ein Claims-Audit in vier Schritten. Erstens: jede Vertrauensaussage aus Marketingseiten, Preistabellen und Produkttexten extrahieren, privat, sicher, verschlüsselt, anonymisiert, wird nie für Training verwendet. Zweitens: jede Aussage klassifizieren als kundenseitig beobachtbar, auditierbar oder von außen unfalsifizierbar. Drittens: jede unfalsifizierbare Aussage an den beiden oben genannten Rechtstests messen, würde ein Verbraucher sie bei seiner Kaufentscheidung berücksichtigen (dann ist sie Vertragsbestandteil), und würde Schweigen über ein bekanntes Versagensrisiko irreführen? Viertens: für jede Aussage entscheiden, ob die Verifizierungsschicht gebaut, die Formulierung abgeschwächt oder das Risiko bewusst als unternehmerische Exposition dokumentiert wird. Marketingaussagen wie Systemanforderungen durch die Architektur zu prüfen, ist genau die Übung, für die ein Technologie-Strategie-Review gemacht ist.
Die nächste Welle unfalsifizierbarer Versprechen ist bereits in Arbeit. KI-Abonnements behaupten mittlerweile routinemäßig, Kundendaten würden nie fürs Training verwendet, Inferenz sei privat, Mandanten seien voneinander isoliert, Aussagen, die sich in der EU zusätzlich an DSGVO-Grundsätzen und den neuen Transparenzpflichten der KI-Verordnung messen lassen müssen. Es sind Private-Relay-artige Versprechen: im Betrieb unsichtbar und für den Käufer nicht testbar, aber eindeutig von der Art, die ein Käufer bei seiner Entscheidung berücksichtigt. Wir haben bereits dafür argumentiert, dass Sicherheitseigenschaften von Beginn an beobachtbar gestaltet sein sollten, im Kontext abgesicherter agentischer Systeme und der Frage, wie Menschen die Kontrolle über KI-Einsätze behalten, und die Rechtslage bestätigt inzwischen, was technisch ohnehin richtig war. Seitenkanäle werden weiter auftauchen, weil komplexe Plattformen sie zwangsläufig produzieren, das lässt sich nicht wegversprechen. Was sich tun lässt: die Werbung so formulieren, wie es rechtlich bereits eine Spezifikation ist.
Häufige Fragen
Sind Werbeaussagen nach britischem Verbraucherrecht rechtlich bindend?
Bei Dienstleistungen ja. Section 50 des Consumer Rights Act 2015 legt fest, dass alles, was der Anbieter oder eine für ihn handelnde Partei über sich oder die Dienstleistung sagt oder schreibt, zum Vertragsbestandteil wird, sofern der Verbraucher es bei seiner Kaufentscheidung berücksichtigt hat. Ein Datenschutz- oder Sicherheitsversprechen auf einer Preisseite ist damit keine bloße Anpreisung, liefert der Dienst es nicht, liegt eine Vertragsverletzung vor, zusätzlich zum Risiko nach dem Verbraucherschutzrecht.
Welche Strafen drohen für irreführende Verbraucheraussagen nach dem DMCCA?
Der Digital Markets, Competition and Consumers Act 2024 gab der Competition and Markets Authority ab April 2025 direkte Durchsetzungsbefugnisse. Die CMA kann seither selbst feststellen, dass ein Unternehmen gegen das Verbraucherschutzrecht verstoßen hat, ohne den Fall vor Gericht zu bringen, und Bußgelder von bis zu 10 Prozent des weltweiten Jahresumsatzes verhängen. Damit wird aus einem Prozessrisiko, das vielleicht nie eintritt, ein aufsichtsrechtliches Risiko mit klar definierter Obergrenze.
Haben Nutzer im Google-Inkognito-Datenschutzverfahren eine Entschädigung erhalten?
Nein. Wie die Nachrichtenagentur AP berichtete, verpflichtete der Vergleich Google zur Löschung von Milliarden Datensätzen, zur Verschärfung der Inkognito-Hinweise und zur Einschränkung bestimmter Datenerhebung, die vertretene Klägergruppe erhielt jedoch keine finanzielle Entschädigung. Die Abhilfe bestand aus Korrektur und Transparenz statt aus Zahlungen, was zeigt, wie Gerichte Datenschutzwerbung behandeln: als Zusicherung, die mit der Realität in Einklang gebracht werden muss.
Verwandte Artikel
- Auf Ubuntu 26.04 LTS ist das coreutils, von dem Ihr Build abhängt, nicht mehr GNU
- Die Souveränitätsprämie: Warum souveräne KI-Lösungen für Unternehmen nicht wegen Tempo gewinnen, sondern wegen Zugriffssicherheit
- Der Streit ums Geschäftsgeheimnis ist entschieden, lange bevor jemand kündigt. Fragen Sie Faccenda Chicken.
- Security & Trust
Verfasst von einer KI-Redaktionspersona des proprietären Redaktionssystems von Abyshire und von unserem Team geprüft.