Die Fallstricke der Zustimmung: Rechtliche Schlupflöcher und Gefahren bei AGB-Zustimmung und eingebetteter Software auf Websites

Autor: DerSchneider

Einleitung: Das rechtliche Gewicht eines Klicks

„Ich habe die AGB gelesen und akzeptiere sie“ – dieser Satz ist vielleicht die häufigste Lüge unseres digitalen Alltags. Ein Klick, wenige Millisekunden Interaktion, doch er trägt rechtliche Konsequenzen, die das Gefüge von Rechten und Pflichten grundlegend verschieben können. Ein Urteil des Bundesgerichtshofs vom Juli 2025 rückt dieses Problem erneut in den Fokus: Allein der Verweis auf online abrufbare AGB per Link genügt nicht, um diese wirksam in einen Vertrag einzubeziehen. Doch das ist nur die Spitze des Eisbergs. Hinter dem scheinbar einfachen Rechtsakt der „Zustimmung“ verbergen sich Schichten von Schlupflöchern, systematisch gestalteten Manipulationsmechanismen und eine grundlegende Spannung: die zwischen formeller Vertragsfreiheit und materieller Entscheidungsnötigung.

Dieser Artikel analysiert aus juristischer und praktischer Perspektive systematisch die Schlupflöcher und Gefahren von AGB-Zustimmungsmechanismen auf Websites und in eingebetteter Software. Dabei wird deutlich: Das Problem liegt nicht nur darin, dass Nutzer „nicht lesen, sondern klicken“, sondern dass die gesamte Zustimmungsarchitektur bewusst so gestaltet ist, dass sie Nutzer in eine bestimmte Richtung drängt – und das ist in der Regel nicht die nutzerfreundlichste.

I. Die rechtliche Fiktion der Zustimmung: Wann AGB wirklich Vertragsbestandteil werden

1.1 Rechtliche Grundlagen: Einbeziehungsregeln und praktische Umsetzung

Nach § 305 Abs. 2 BGB setzt die Einbeziehung von AGB in einen Vertrag voraus, dass der Verwender bei Vertragsschluss ausdrücklich darauf hinweist und dem anderen Teil die Möglichkeit verschafft, in zumutbarer Weise Kenntnis zu nehmen. Für den Online-Bereich bedeutet dies: AGB müssen vor Vertragsschluss über einen klar sichtbaren Link zugänglich sein. Entscheidend ist: Eine separate Checkbox ist rechtlich nicht erforderlich. Ein ordnungsgemäß platzierter Link genügt den Anforderungen.

In der Praxis erzeugt die weitverbreitete „Zustimmungs-Checkbox“ jedoch eine falsche Notwendigkeit. Sie suggeriert: Ohne Anhaken kein Weiterkommen. Diese Gestaltung kann an sich eine Manipulation der Nutzerentscheidung darstellen – Nutzer neigen dazu, „notwendige Schritte“ mit „materiellen Rechtsbedingungen“ zu verwechseln.

1.2 Die Falle der dynamischen Verweisung: Der BGH-Beschluss von 2025

Der BGH-Beschluss vom 10. Juli 2025 (III ZR 59/24) etabliert einen wichtigen Standard: In einem postalisch übersandten Antragsformular reicht der Hinweis „AGB abrufbar unter www…/agb“ nicht aus, um die AGB wirksam in den Vertrag einzubeziehen. Die Begründung liegt nicht in der technischen Hürde des „Ins-Internet-Gehens“, sondern im Transparenzprinzip.

II. Das Kleingedruckte: Systematische Analyse der Schlupflöcher

2.1 Die Architektur der Zustimmung: Dark Patterns und rechtliche Grauzonen

Die Gestaltung von Zustimmungsdialogen folgt selten dem Interesse des Nutzers. Typische Muster:

2.2 Die „Zustimmung durch Nutzung“-Fiktion

Viele Websites operieren mit der Annahme: Wer die Seite weiter nutzt, stimmt zu. Diese konkludente Zustimmung ist rechtlich höchst fragwürdig. Der BGH hat mehrfach klargestellt, dass Schweigen grundsätzlich keine Willenserklärung darstellt (§ 147 BGB). Dennoch versuchen Anbieter, durch Formulierungen wie „Durch die weitere Nutzung erklären Sie sich mit den AGB einverstanden“ eine Rechtsfolge zu konstruieren, die einer aktiven Zustimmung gleichkommt.

Das Schlupfloch: Der Nutzer kann später nicht beweisen, dass er die AGB nicht zur Kenntnis genommen hat. Die Beweislast liegt faktisch bei ihm – ein prozessuales Ungleichgewicht.

2.3 Eingebettete Software: Die unsichtbare Zustimmung

Besonders problematisch ist die Zustimmung zu eingebetteter Software (Widgets, APIs, SDKs) auf Websites. Hier entstehen mehrstufige Zustimmungsketten:

1. Ebene 1: Nutzer stimmt AGB der Website zu.
2. Ebene 2: Website bindet Drittanbieter-Software ein (z. B. Zahlungsdienstleister, Analytics, Chatbots).
3. Ebene 3: Drittanbieter hat eigene AGB, die der Nutzer nie gesehen hat.
4. Ebene 4: Die AGB des Drittanbieters verweisen auf weitere Dokumente (Privacy Policies, SLAs).

Rechtliches Problem: Nach § 305 Abs. 2 BGB müssen ALLE einzubeziehenden AGB dem Nutzer zugänglich gemacht werden. Die bloße Einbettung von Software, deren AGB nicht explizit verlinkt sind, führt dazu, dass diese AGB nicht Vertragsbestandteil werden. Im Streitfall steht der Anbieter ohne wirksame Rechtsgrundlage da – oder der Nutzer wird mit Klauseln konfrontiert, die er nie akzeptiert hat.

III. Die Folgen: Was passiert, wenn Zustimmung fehlerhaft ist

3.1 Unwirksame Einbeziehung: Rechtsfolgen für den Nutzer

Wenn AGB nicht wirksam einbezogen sind:

• Keine Geltung der AGB: Es gilt das gesetzliche Recht (§§ 433 ff. BGB).
• Überraschende Klauseln: § 305c BGB – Klauseln, die nach den Umständen so ungewöhnlich sind, dass der Nutzer nicht mit ihnen rechnen musste, werden nicht Vertragsbestandteil.
• Unwirksame Klauseln: § 307 BGB – Klauseln, die den Nutzer unangemessen benachteiligen, sind unwirksam.
• Rückabwicklung: Bei fehlender Rechtsgrundlage können Zahlungen zurückgefordert werden (§ 812 BGB).

Aber: Die praktische Durchsetzung ist für Verbraucher oft illusorisch. Der Aufwand steht in keinem Verhältnis zum Streitwert.

3.2 Die Beweislastfalle

Ein zentrales Schlupfloch: Wer muss beweisen, dass die AGB nicht wirksam einbezogen wurden? Nach allgemeinen Grundsätzen trägt der Verwender die Darlegungs- und Beweislast für die Einbeziehung. In der Praxis jedoch:

• Logfiles werden vom Anbieter kontrolliert.
• Die Behauptung „Ich habe den Link nicht gesehen“ ist schwer zu beweisen.
• Gerichte neigen dazu, die Darstellung des Anbieters zu akzeptieren, wenn ein Link vorhanden war.

Folge: Der Nutzer befindet sich in einer strukturellen Beweisnot.

3.3 Datenschutzrechtliche Konsequenzen

Die DSGVO verlangt für die Verarbeitung personenbezogener Daten eine Einwilligung (Art. 6 Abs. 1 lit. a) oder eine andere Rechtsgrundlage. Die Einwilligung muss:

• Freiwillig sein (Art. 7 Abs. 4 DSGVO),
• Informiert sein (Art. 13 DSGVO),
• Granular sein (Erwägungsgrund 43),
• Jederzeit widerrufbar sein (Art. 7 Abs. 3 DSGVO).

Das Schlupfloch: Viele „Cookie-Banner“ und „Consent-Tools“ erfüllen diese Anforderungen nicht. Insbesondere:

• Cookie-Banner mit „Alle akzeptieren“ als einziger einfacher Option verletzen das Granularitätsgebot.
• Vorausgewählte Kästchen sind keine wirksame Einwilligung.
• Fehlende Widerrufsmöglichkeit macht die Einwilligung unwirksam.

Gefahr: Bußgelder nach Art. 83 DSGVO (bis zu 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes). Für Nutzer: Datenverarbeitung ohne Rechtsgrundlage – ein Zustand, der theoretisch Unterlassungsansprüche und Schadensersatzansprüche (Art. 82 DSGVO) begründet.

IV. Die Schlupflöcher im Detail: Eine systematische Übersicht

4.1 Schlupfloch 1: Die „Zustimmung durch Schweigen“

Mechanismus: Anbieter formuliert: „Wenn Sie diese Website weiter nutzen, stimmen Sie den AGB zu.“

Rechtliche Bewertung: Schweigen ist keine Willenserklärung. Eine Zustimmung durch konkludentes Verhalten setzt voraus, dass der Nutzer den Willen zur Zustimmung erkennbar zum Ausdruck bringt. Die bloße Nutzung einer Website ist kein solcher Ausdruck, wenn der Nutzer keine Kenntnis von der Klausel hatte.

Gefahr: Nutzer wird mit Klauseln konfrontiert, die er nie akzeptiert hat. Im Streitfall: Beweisnot.

4.2 Schlupfloch 2: Die „Bündelung“ von Zustimmungen

Mechanismus: Ein einziger Klick für AGB, Datenschutz, Cookie-Einwilligung, Newsletter und Widerrufsverzicht.

Rechtliche Bewertung: Nach Art. 7 Abs. 2 DSGVO muss die Einwilligung von anderen Erklärungen unterscheidbar sein. Eine Bündelung macht die Einwilligung unwirksam. Zudem: § 307 BGB – unangemessene Benachteiligung.

Gefahr: Nutzer verliert die Kontrolle über seine Daten. Widerruf einzelner Komponenten faktisch unmöglich.

4.3 Schlupfloch 3: Die „dynamische Verweisung“ auf externe Dokumente

Mechanismus: AGB verweisen auf „ergänzende Bedingungen“, die an anderer Stelle abrufbar sind. Diese ändern sich dynamisch.

Rechtliche Bewertung: Der BGH hat in ständiger Rechtsprechung klargestellt, dass eine dynamische Verweisung auf nicht konkret bezeichnete Dokumente unzulässig ist. Der Nutzer muss die Möglichkeit haben, die einbezogenen Bedingungen vor Vertragsschluss zur Kenntnis zu nehmen.

Gefahr: Nutzer „stimmt“ AGB zu, die er nie gesehen hat. Spätere Änderungen werden ihm zugerechnet.

4.4 Schlupfloch 4: Die „eingebettete Software“ ohne eigene Zustimmung

Mechanismus: Website bindet Software von Drittanbietern ein (z. B. Zahlungsabwicklung, Kundenchat, Analytics). Die AGB des Drittanbieters werden nicht explizit verlinkt.

Rechtliche Bewertung: Die AGB des Drittanbieters werden nicht Vertragsbestandteil, da sie dem Nutzer nicht zugänglich gemacht wurden. Der Website-Betreiber haftet jedoch möglicherweise für die Einbindung.

Gefahr: Nutzer interagiert mit Software, deren Bedingungen er nicht kennt. Bei Datenverlust oder Fehlfunktion: Haftungsfragen ungeklärt.

4.5 Schlupfloch 5: Die „automatische Verlängerung“ und „Änderungsvorbehalte“

Mechanismus: AGB enthalten Klauseln, die dem Anbieter das Recht einräumen, die Bedingungen einseitig zu ändern oder Verträge automatisch zu verlängern.

Rechtliche Bewertung: Solche Klauseln sind nach § 308 Nr. 4 und 5 BGB nur unter engen Voraussetzungen zulässig. Ein einseitiges Änderungsrecht ohne sachlichen Grund ist unwirksam.

Gefahr: Nutzer verliert Kontrolle über Vertragslaufzeit und -inhalt. Kostenfallen.

V. Die Perspektive der Anbieter: Warum die Schlupflöcher existieren

5.1 Ökonomische Anreize

Anbieter haben ein Interesse an:

• Maximaler Datensammlung: Je weniger Hürden, desto mehr Daten.
• Minimaler Haftung: Je mehr Zustimmung, desto geringer das Risiko.
• Maximaler Flexibilität: Einseitige Änderungsrechte ermöglichen Anpassung ohne Neuverhandlung.

Das Dilemma: Der rechtliche Rahmen (DSGVO, BGB) setzt dem Grenzen. Anbieter navigieren in einer Grauzone zwischen „gerade noch zulässig“ und „gerade noch nicht justiziabel“.

5.2 Das „Compliance-Theater“

Viele Unternehmen betreiben Compliance-Theater: Sie schaffen die formalen Voraussetzungen (Cookie-Banner, AGB-Link), ohne die materiellen Anforderungen zu erfüllen. Das Ziel ist nicht Rechtskonformität, sondern Rechtsverteidigungsfähigkeit: Im Streitfall kann man zeigen, dass „man sich bemüht hat“.

Folge: Der Nutzer trägt das Risiko. Die Behörden haben begrenzte Ressourcen. Die Gerichte sind überlastet.

VI. Die Gefahren für Nutzer: Eine Risikoanalyse

6.1 Rechtliche Gefahren

6.2 Praktische Gefahren

• Zeitverlust: Nutzer muss sich mit komplexen Bedingungen auseinandersetzen.
• Machtasymmetrie: Anbieter hat Rechtsabteilung, Nutzer nicht.
• Resignation: Nutzer akzeptiert Bedingungen, die er nicht versteht.

6.3 Psychologische Gefahren

Die Zustimmungsarchitektur nutzt kognitive Verzerrungen:

• Default-Effekt: Vorausgewählte Optionen werden bevorzugt.
• Anker-Effekt: Die erste präsentierte Option dominiert.
• Soziale Norm: „Alle akzeptieren“ suggeriert Normalität.
• Zeitdruck: Countdown erzeugt Stress.

Folge: Nutzer „entscheidet“ nicht frei, sondern wird gelenkt.

VII. Gegenmaßnahmen: Was Nutzer tun können

7.1 Individuelle Strategien

• AGB lesen: Zumindest die Klauseln zu Haftung, Kündigung, Datenschutz.
• Cookies ablehnen: Wo möglich, nur notwendige Cookies akzeptieren.
• Widerruf: Einwilligungen regelmäßig überprüfen und widerrufen.
• Dokumentation: Screenshots von Zustimmungsdialogen speichern.
• Beschwerde: Bei Datenschutzverstößen: Beschwerde bei der Aufsichtsbehörde.

7.2 Kollektive Strategien

• Verbraucherorganisationen: Unterstützen Musterklagen.
• Open-Source-Tools: Browser-Erweiterungen, die Dark Patterns erkennen.
• Politischer Druck: Für strengere Regulierung.

7.3 Rechtliche Schritte

• Unterlassungsklage: Nach § 1 UKlaG bei unwirksamen AGB.
• Schadensersatz: Nach Art. 82 DSGVO bei Datenschutzverstößen.
• Widerruf: Nach § 355 BGB bei Fernabsatzverträgen.

VIII. Fazit und Ausblick: Die Zukunft der Zustimmung

Die Zustimmung zu AGB und eingebetteter Software ist ein rechtliches Konstrukt, das in der Praxis systematisch unterlaufen wird. Die Schlupflöcher sind vielfältig: von der Fiktion der konkludenten Zustimmung über die Bündelung von Einwilligungen bis zur dynamischen Verweisung auf unsichtbare Dokumente. Die Gefahren für Nutzer sind erheblich: Rechtsverlust, Datenverlust, finanzielle Nachteile.

Die gute Nachricht: Der BGH und der EuGH haben in jüngerer Zeit wichtige Akzente gesetzt. Der Beschluss von 2025 zur dynamischen Verweisung ist ein Signal: Der Transparenzgedanke gewinnt an Gewicht. Die DSGVO hat die Anforderungen an Einwilligungen verschärft.

Die schlechte Nachricht: Die Durchsetzung bleibt schwach. Behörden sind unterbesetzt, Gerichte überlastet, Nutzer resigniert. Das „Compliance-Theater“ wird weitergehen, solange die Kosten der Rechtsverletzung geringer sind als die Kosten der Rechtskonformität.

Ausblick: Die Zukunft könnte in technischen Lösungen liegen: Automatisierte AGB-Analyse durch KI, standardisierte Zustimmungsformate, maschinenlesbare Datenschutzerklärungen. Doch Technik allein wird das Machtgefälle nicht beseitigen. Es braucht politische und rechtliche Reformen: eine Beweislastumkehr bei Zustimmungsstreitigkeiten, empfindlichere Bußgelder, kollektive Rechtsschutzinstrumente.

Bis dahin gilt: Wer zustimmt, ohne zu wissen, wozu, trägt das Risiko. Das Kleingedruckte ist kein Detail – es ist das eigentliche Geschäft.

Quellen

• Bürgerliches Gesetzbuch (BGB), insbesondere §§ 145 ff., 305 ff., 307, 308, 355, 812.
• Datenschutz-Grundverordnung (DSGVO), insbesondere Art. 6, 7, 13, 82, 83.
• Bundesgerichtshof, Beschluss vom 10.07.2025 – III ZR 59/24 (AGB-Einbeziehung bei Online-Anträgen).
• Bundesgerichtshof, Urteil vom 14.06.2016 – XI ZR 454/15 (AGB bei Online-Banking).
• Europäischer Gerichtshof, Urteil vom 01.10.2019 – C-673/17 (Planet49, Cookie-Einwilligung).
• Europäischer Gerichtshof, Urteil vom 11.11.2020 – C-61/19 (Orange Romania, Einwilligung).
• Bundesdatenschutzgesetz (BDSG).
• Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (UKlaG).
• Artikel 29-Datenschutzgruppe, Leitlinien für die Einwilligung (WP259 rev.01).
• Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung.
• Bundesnetzagentur, Bericht zu Dark Patterns (2024).
• Verbraucherzentrale Bundesverband, Studien zu AGB und Datenschutz (2023–2025).
• Stiftung Warentest, Untersuchungen zu Cookie-Bannern und AGB (2024–2025).