Was ist Vibe Coding? Wir haben eine Praxis-Website in sieben Prompts per Vibe Coding gebaut und dann geprüft.

Vibe Coding heißt, Software zu bauen, indem du einer KI beschreibst, was du willst, und übernimmst, was sie schreibt, ohne den Code zu lesen. Der Begriff ist kaum zwei Jahre alt und schon das Wort des Jahres eines Wörterbuchs, und die Debatte darüber lebt vor allem von Anekdoten: eine Demo, die funktioniert hat, eine Datenbank, die gelöscht wurde. Also haben wir das Experiment selbst gemacht. Ein frisch gestarteter KI-Coding-Agent bekam sieben Anfragen, wie sie der Inhaber einer kleinen Zahnarztpraxis stellen würde — Seiten, Online-Terminbuchung, ein Login für den Empfang, E-Mails, ein Stornolink, Röntgenbild-Uploads und „mach die Seite fertig, damit ich sie online stellen kann“ —, ohne dass zwischendurch jemand den Code las oder korrigierte. Dann haben wir das Ergebnis so geprüft, wie wir eine Website prüfen würden, die uns ein Kunde bringt: jede Zeile des Servercodes, eine laufende Kopie unter Beschuss und ein Geschwindigkeitstest. Die Praxis ist erfunden, die Website war nie online, und die Ergebnisse stehen unten — auch die Teile, die uns überrascht haben.

Was unsere Prüfung in der per Vibe Coding gebauten Praxis-Website gefunden hat

Aus unserer Prüfung vom 2. Oktober 2026 einer Website, die ein KI-Coding-Agent aus sieben Prompts im Stil eines Inhabers gebaut hat, ohne Code-Review dazwischen. 30 weitere Prüfungen wurden bestanden; die vollständige Liste steht im Artikel. Die Praxis ist fiktiv, und die Website lief nur auf einem einzigen Computer.

Was ist Vibe Coding?

Vibe Coding heißt, Software zu schreiben, indem du in Alltagssprache mit einem KI-Modell sprichst und den Code, den es erzeugt, übernimmst, ohne ihn zu lesen. Du beschreibst, was du willst, startest, was zurückkommt, fügst jede Fehlermeldung wieder ein und machst weiter, bis es läuft. Die Fähigkeit, die es verlangt, ist zu wissen, was du willst, nicht programmieren zu können, und genau deshalb hat es sich durchgesetzt.

Den Begriff prägte der KI-Forscher Andrej Karpathy in einem Post auf X am 2. Februar 2025. Er beschrieb „a new kind of coding“ (eine neue Art des Programmierens), bei der du „fully give in to the vibes, embrace exponentials, and forget that the code even exists“, dich also ganz den Vibes hingibst, Exponentialkurven umarmst und vergisst, dass es den Code überhaupt gibt. Er gab zu, dass er die Änderungen der KI nicht mehr las, und fügte den Vorbehalt an, den die meisten überspringen: Es sei „not too bad for throwaway weekend projects“ (gar nicht so schlecht für Wegwerf-Wochenendprojekte).

Der Ausdruck verbreitete sich schneller als fast alles andere in der Softwarewelt. Collins kürte „vibe coding“ am 6. November 2025 zum Wort des Jahres und definierte es als „den Einsatz künstlicher Intelligenz, gesteuert durch natürliche Sprache, um Computercode zu schreiben“. Dazwischen wurde aus einem Witz über Wochenendprojekte eine Beschreibung dafür, wie echte Unternehmen aufgebaut wurden.

Vibe Coding vs. KI-gestützte Programmierung

Nicht jeder KI-Einsatz beim Programmieren ist Vibe Coding, und der Unterschied zählt mehr als das Etikett. Der Entwickler Simon Willison hat die Grenze klar gezogen: Vibe Coding bedeutet „building software with an LLM without reviewing the code it writes“, also Software mit einem LLM zu bauen, ohne den Code zu prüfen, den es schreibt. Wenn eine KI den Code geschrieben hat und du ihn danach geprüft und getestet hast und erklären kannst, wie er funktioniert, dann gilt, so schrieb er: „that’s not vibe coding, it’s software development“ (das ist kein Vibe Coding, das ist Softwareentwicklung).

Diese Unterscheidung ist das ganze Thema dieses Artikels. Professionelle Entwickler nutzen KI-Assistenten inzwischen jeden Tag, und für sie lautet die Frage, wie viel sie prüfen. Für einen Unternehmer, der keinen Code lesen kann, ist die Frage eine andere: Was passiert, wenn niemand irgendetwas prüft? Genau diese Situation schafft Vibe Coding, und genau sie wollten wir testen.

Vibe Coding Tools

Die Tools fallen in drei Gruppen. App-Builder per Chat wie Lovable, Bolt, Replit und v0 nehmen im Browser eine Beschreibung entgegen und liefern eine funktionierende App zurück, oft gleich gehostet, sodass du nichts installieren musst. KI-Code-Editoren wie Cursor und Windsurf bringen dieselbe Fähigkeit in den Editor eines Programmierers, wo der Code wenigstens sichtbar ist. Und Coding-Agenten wie Claude Code und Codex von OpenAI laufen auf deinem eigenen Computer, lesen und schreiben Dateien, führen Befehle aus und testen ihre eigene Arbeit.

Mit der ersten Gruppe fangen die meisten Nicht-Entwickler an, weil sie den Code komplett versteckt. Die dritte ist am nächsten an dem, was ein Entwickler nutzt, und sie haben wir hier verwendet: einen Coding-Agenten, der in einem leeren Ordner arbeitet, seine Technik selbst wählt und die Website selbst baut, startet und testet. Wenn du diese Tools gegen einen Website-Baukasten oder eine Agentur abwägst, vergleicht KI-generierte Websites, was dir jeder Weg tatsächlich liefert.

Wie verbreitet ist es? Im März 2025 sagte Jared Friedman, Managing Partner bei Y Combinator, dass ein Viertel der Start-ups im Jahrgang Winter 2025 Codebasen hatte, die zu 95 % von KI geschrieben waren — und dass es technische Gründer waren, keine Leute, die nicht programmieren konnten.

Unser Vibe-Coding-Experiment: die Regeln

Wir wollten wissen, was ein Inhaber, der keinen Code lesen kann, tatsächlich bekommt. Also haben wir ein Unternehmen erfunden — eine kleine Zahnarztpraxis namens Smile Studio Demo — und die Anfragen geschrieben, die ihr Inhaber stellen könnte, in der Reihenfolge, in der er sie stellen würde. Gebaut hat ein frisch gestarteter KI-Coding-Agent ohne Zugriff auf unseren eigenen Code, in einem leeren Ordner auf einem einzigen Computer. Nichts, was er gebaut hat, ging je online.

Die sieben Anfragen wurden wortwörtlich geschickt. Eins: eine Startseite, Leistungen und Preise, eine Über-uns-Seite mit drei Zahnärzten und eine Kontaktseite. Zwei: Online-Terminbuchung mit freien Zeitfenstern, die verschwinden, sobald sie vergeben sind. Drei: eine Admin-Seite, auf der sich die Empfangskraft einloggt und Buchungen sehen und stornieren kann. Vier: E-Mails an die Praxis und an den Patienten. Fünf: ein Link in der E-Mail, damit Patienten ihre Buchung selbst sehen und stornieren können. Sechs: eine Seite, auf der man vor dem Termin ein Foto oder PDF eines Röntgenbilds hochladen kann. Sieben: „Mach die Seite fertig, damit ich sie online stellen kann. Was muss ich tun?“

Die Regeln waren die, die ein Inhaber befolgen würde, ohne es zu wissen. Niemand las oder bearbeitete den Code zwischen den Anfragen. Wenn der Agent Optionen anbot, ging die nächste Anfrage unbeantwortet raus. Und nach Sicherheit wurde nie gefragt, weil ein Praxisinhaber nicht wüsste, dass er danach fragen muss. Die einzigen Anweisungen über die sieben Anfragen hinaus waren praktischer Art: bleib in diesem Ordner, deploye nichts und verschick keine echten E-Mails.

Was er gebaut hat

Rund drei Stunden Arbeit des Agenten über die sieben Anfragen ergaben eine vollständige, gut aussehende Website: vier Seiten mit erfundenen Praxisinhalten, einen Buchungskalender, der die volle Dauer jeder Behandlung blockiert, eine Empfangsseite mit Login, Bestätigungs- und Storno-E-Mails mit Kalendereinladungen, eine private Patientenseite, Röntgenbild-Uploads, eine Datenschutzseite, eine Launch-Checkliste und eine Schritt-für-Schritt-Anleitung für den Weg online. Er wählte schlichtes Node.js mit einer einzigen zusätzlichen Bibliothek für E-Mails, kein Framework und keine Datenbank — rund 2.600 Zeilen JavaScript, die alles in Dateien speichern.

Er verhielt sich auch besser als das Klischee. Er schrieb und startete bei jedem Schritt eigene Tests — 81 allein nach der Buchungsanfrage — und behob die Bugs, die sie aufdeckten. Er weigerte sich wie angewiesen, echte E-Mails zu verschicken, und speicherte sie stattdessen in einem Ordner. Als er die Website fertig machen sollte, damit sie online gehen kann, versuchte er nicht, sie zu veröffentlichen: Er schrieb eine Anleitung, listete auf, was der Inhaber noch erledigen musste, und sagte klar, dass die drei Patientenbewertungen, die er für die Startseite erfunden hatte, „nicht online gehen dürfen“.

Unser Abhängigkeitscheck fand keine bekannten Schwachstellen in seiner einen Bibliothek, und der Code, den er schrieb, war lesbar, kommentiert und einheitlich. Gemessen an dem, was ein Nicht-Entwickler auf irgendeinem anderen Weg hätte produzieren können, ist das bemerkenswert.

Was er ungefragt richtig gemacht hat

Wir haben 38 Angriffe und Prüfungen gegen eine laufende Kopie gefahren, konfiguriert genau so, wie es seine eigene Go-live-Anleitung vorgibt. Dreißig wurden bestanden. Niemand kam ohne Login auf die Empfangsseite, an die Buchungsliste oder an die Dateien eines Patienten. Keiner der üblichen Tricks, die Datendateien über das Web auszulesen, funktionierte. Passwörter waren so gespeichert, wie es Sicherheitsempfehlungen verlangen, als gesalzene, absichtlich langsame Hashes. Der private Patientenlink enthielt ein langes zufälliges Geheimnis, das die Website nur gehasht speichert, und die Buchungsnummer in der E-Mail öffnete für sich allein nichts.

Die meisten Schutzmaßnahmen, nach denen ein Sicherheitsprüfer zuerst sucht, waren schon da, und keine davon war verlangt worden. Uploads wurden anhand ihres tatsächlichen Inhalts geprüft, sodass eine Webseite oder ein Programm, das umbenannt wurde, um wie ein Röntgenbild auszusehen, abgelehnt wurde. Hochgeladene Dateien lagen außerhalb der öffentlichen Website und wurden mit den Headern ausgeliefert, die verhindern, dass ein Browser darin etwas ausführt. E-Mails maskierten alles, was Patienten ins Buchungsformular tippten. Die Seiten hatten eine strenge Sicherheitsrichtlinie, die Skripte von überall außer der Website selbst blockiert.

Ein großer Teil dieser Schutzmaßnahmen kam allerdings erst in der letzten Runde. Laut der eigenen Zusammenfassung des Agenten wurden die Header gegen Framing, der Schutz gegen Formulare, die von anderen Websites abgeschickt werden, und sämtliche Spam-Limits erst hinzugefügt, als der Inhaber „online stellen“ sagte. Ein Inhaber, der nach der Röntgenbild-Anfrage aufgehört und den Ordner selbst hochgeladen hätte, wäre ohne sie live gegangen.

Was er falsch gemacht hat

Acht Befunde haben die Tests überstanden, und keiner davon ist von der Art, die ein Tool behebt, indem es besseren Code schreibt. Der schwerwiegendste dreht sich darum, wer der Angreifer ist. Damit niemand das Passwort der Empfangskraft errät, sperrt die Website das Konto nach fünf Fehlversuchen. Sie zählt aber Fehlversuche von jedem, sodass ein Fremder die echte Empfangskraft mit fünf Anfragen für fünfzehn Minuten von der Buchungsseite aussperren kann, und das alle drei Minuten wieder, so lange er will.

Der zweite dreht sich darum, dem Falschen zu vertrauen. Sobald die Website online hinter dem Proxy eines Hosters läuft — was laut der eigenen Anleitung des Agenten „fast immer“ der Fall ist —, liest sie die Adresse des Besuchers aus einem Header, den der Besucher selbst schreiben kann. Ihn bei jeder Anfrage zu ändern, führte geradewegs durch jedes Spam-Limit: 20 von 20 Nachrichten angenommen, bei einem Limit von fünf pro Stunde. Derselbe Trick funktioniert bei Buchungen und Uploads, also unbegrenzte Buchungen mit jeweils bis zu 100 MB Dateien, bis die Festplatte voll ist.

Der Rest dreht sich um Menschen. Die Website prüft nie, ob eine E-Mail-Adresse der Person gehört, die bucht, sodass jeder einen Termin auf den Namen eines anderen machen kann und die Praxis dieser Person einen funktionierenden Storno- und Upload-Link mailt — und derselbe Link wird dem, der gebucht hat, auf dem Bildschirm angezeigt. Eine Kontaktnachricht kann Zeilenumbrüche enthalten, durch die das gespeicherte Nachrichtenprotokoll eine zweite, gefälschte Nachricht zeigt. Und auf der Kopie, die der Inhaber tatsächlich auf seinem Computer laufen lässt, gibt es überhaupt keine Spam-Limits: Sie greifen nur im „Live-Modus“.

Gesundheitsdaten: der Teil, der einen Anwalt braucht, kein Modell

Röntgenbilder und Behandlungsnotizen sind Gesundheitsdaten, eine besondere Kategorie nach Art. 9 DSGVO. Der Agent ging mit ihnen als Dateien sorgfältig um, aber nicht als Gesundheitsakten. Sie werden unverschlüsselt gespeichert, auf der Festplatte und in jedem Backup, und aufbewahrt, bis jemand sie von Hand löscht. Immerhin sprach der Agent den letzten Punkt selbst an und bot an, eine automatische Löschung einzubauen. Das Thema kam nie wieder auf, weil die nächste Anfrage den Weg online betraf.

Die Rechtsgrundlage ist das subtilere Problem. In der letzten Runde fügte der Agent eine Datenschutzseite und ein Pflicht-Häkchen hinzu: Der Patient muss „zustimmen“, dass die Praxis seine Daten speichert, bevor die Buchung durchgeht. Das klingt sorgfältig, und es ist das falsche Werkzeug. Nach der DSGVO ist eine Einwilligung, die zur Bedingung für eine Leistung gemacht wird, nicht freiwillig erteilt. Eine Praxis verarbeitet Buchungsdaten, um den Termin zu erbringen, um den der Patient gebeten hat, und Gesundheitsdaten zur Gesundheitsversorgung — Grundlagen, die überhaupt nicht von einem Häkchen abhängen. Die Datenschutzseite selbst hatte noch neun Lücken, die der Inhaber ausfüllen sollte.

Dann ist da der Inhalt. Die Startseite kam mit drei erfundenen Patientenbewertungen, einer Durchschnittsnote von 4,9 und „6.000+ Patienten“. Der Agent markierte die Bewertungen vor dem Launch, aber sie standen auf der Website, die er übergab. Nach EU-Verbraucherrecht ist es ausnahmslos verboten, gefälschte Verbraucherbewertungen als echt auszugeben, unter allen Umständen.

Das Muster hinter den Befunden

Vibe Coding brachte Code hervor, der funktioniert, und Tests, die beweisen, dass er funktioniert — und nichts, was fragt, wer ihn gegen dich einsetzen könnte. Jeder der eigenen Tests des Agenten prüfte, ob eine Funktion tat, was der Inhaber verlangt hatte: Das Zeitfenster verschwindet, die E-Mail kommt an, die Datei wird hochgeladen. Keiner fragte, was ein Fremder, ein Konkurrent oder ein gelangweilter Teenager mit denselben Funktionen anstellen würde. Das ist keine Lücke im Wissen des Modells; es wusste, wie man eine Sperre, ein Rate-Limit und ein gehashtes Token schreibt. Es ist eine Lücke im Briefing, und der Inhaber ist der Einzige, der sie hätte füllen können.

Dasselbe Muster erklärt, warum die meisten Schutzmaßnahmen erst am Ende kamen. Der Agent baute, was verlangt war, und „mach die Seite fertig, damit ich sie online stellen kann“ war die erste Anfrage, die Fremde voraussetzte. In professioneller Arbeit kommt die Frage, wer die Nutzer und wer die Missbraucher sind, zuerst, vor der ersten Codezeile. Beim Vibe Coding kommt sie, wenn jemand daran denkt, sie zu stellen, falls überhaupt.

Es erklärt auch die Vorfälle, die es in die Nachrichten geschafft haben. Im März 2025 scannte ein Sicherheitsforscher 1.645 mit Lovable gebaute Apps und fand 170 davon — rund jede zehnte —, die über falsch konfigurierte Datenbankregeln persönliche und finanzielle Daten sowie API-Schlüssel offenlegten. Im Juli desselben Jahres löschte ein KI-Agent während eines ausgerufenen Code-Freeze die Produktionsdatenbank eines Unternehmens, eine Geschichte aus unserer Liste echter KI-Agenten-Beispiele. Die branchenweiten Zahlen zu Schwachstellen in KI-geschriebenem Code sind in Sicherheit beim Vibe Coding gesammelt.

Ist eine per Vibe Coding gebaute Website langsam?

Diese nicht. Wir haben Lighthouse, die Engine hinter Googles PageSpeed Insights, dreimal auf jeder von vier Seiten in der mobilen Einstellung laufen lassen. Die Startseite erreichte 98 bei Performance, 98 bei Barrierefreiheit und 100 sowohl bei Best Practices als auch bei SEO, mit 158 KiB in 11 Anfragen — leichter als die meisten professionell gebauten Websites, die wir gemessen haben.

Die Ausnahme war die Buchungsseite mit 84, weil Kalender und Zeitfenster sich erst nach dem Laden der Seite füllen und das Layout nach unten schieben, eine Layoutverschiebung von 0,27 gegenüber Googles Zielwert von 0,1. Die Befunde zur Barrierefreiheit waren klein und typisch: eine Überschrift außer der Reihe, etwas Text mit zu wenig Kontrast und Links, die sich nur durch die Farbe vom umgebenden Text abheben. Was eine 100 wirklich misst und was nicht, steht in 100 Punkte bei PageSpeed.

Bei der Geschwindigkeit hat das fehlende Review als Einziges nichts gekostet, weil schlichtes HTML ohne Framework und ohne Skripte von Drittanbietern von Haus aus schnell ist. Die Risiken von Vibe Coding liegen nicht in dem, was ein Besucher sieht.

Wann Vibe Coding in Ordnung ist

Karpathys eigener Vorbehalt gilt weiterhin: Für Wegwerfprojekte ist es wunderbar. Ein Prototyp für Investoren, ein Tool, das nur du nutzt, eine einmalige Seite für ein Event, ein Skript, das eine Tabelle aufräumt — alles, bei dem das Schlimmste ist, dass es kaputtgeht und du mit den Schultern zuckst. Das Tempo ist echt, und unsere Praxis-Website zeigt, dass die Qualität dessen, was herauskommt, deutlich gestiegen ist.

Es ist auch in Ordnung als erster Entwurf, für den dann jemand Qualifiziertes die Verantwortung übernimmt. Die meisten Befunde unserer Prüfung würde ein Entwickler an einem Nachmittag beheben, gerade weil der Code sauber genug war, um ihn zu lesen. Das Problem ist nie, dass die KI den Code schreibt. Es ist, dass niemand ihn liest, bevor Fremde ihn nutzen können.

Wann nicht, und was du zuerst prüfen solltest

Wenn die Website Buchungen, Zahlungen, Konten oder irgendetwas Persönliches verarbeiten soll, muss jemand, der Code lesen kann, ihn lesen, bevor sie online geht. Nicht weil die KI schlechteren Code schreibt als ein Junior-Entwickler — stellenweise schrieb sie besseren —, sondern weil die Fragen, die zählen, dein Geschäft betreffen und nicht den Code: Wer könnte diese Funktion missbrauchen, wem gehört diese Adresse, was sagt das Gesetz zu diesen Daten, wie lange bewahren wir sie auf.

Wenn du eine Website per Vibe Coding gebaut hast und sie selbst prüfen willst, fang mit den Fragen an, die unsere Befunde aufwerfen. Versuch, dich fünfmal falsch einzuloggen: Bist du jetzt ausgesperrt? Buch mit einer E-Mail-Adresse, die dir nicht gehört: Klappt das? Schau nach, wo hochgeladene Dateien liegen und wie lange. Lies deine Datenschutzseite und such nach Lücken. Durchsuch die Startseite nach allem, was die KI erfunden hat — Bewertungen, Zahlen, Teammitglieder — und entfern es. Und frag die KI direkt, was ein böswilliger Besucher mit jeder Funktion anstellen könnte, die Anfrage, die unser Experiment nie gestellt hat.

Für den Bau selbst geht Website erstellen jeden Schritt durch, egal welchen Weg du nimmst, und Website-Baukasten oder individuelle Website zeigt, wann ein Baukasten die sicherere Wahl ist.

Was das bedeutet, wenn du für eine Website bezahlst

Vibe Coding hat verändert, was eine günstige Website sein kann, und das schneidet in beide Richtungen. Ein Freelancer oder eine Agentur, die KI gut einsetzt, kann mehr für weniger liefern, und das solltest du erwarten. Ein Freelancer, der sie so einsetzt wie unser Experiment — und übernimmt, was immer zurückkommt —, kann eine Website liefern, die fertig aussieht, einen Geschwindigkeitstest besteht und es trotzdem einem Fremden erlaubt, dein Personal auszusperren.

Frag also, wie die Website geprüft wurde, nicht, ob KI im Spiel war. Wer hat den Code gelesen? Was wurde über „es funktioniert“ hinaus getestet? Wo werden persönliche Daten gespeichert und wie lange? Eine ehrliche Antwort darauf dauert eine Minute. Wenn du schon eine Website hast und die Antworten nicht kennst: Unsere Technische Analyse kostet 399 € und deckt Code, Performance, Sicherheit und Abhängigkeiten in einem priorisierten Bericht ab; Webentwicklung heißt, sie von Anfang an richtig zu bauen.

Quellen und Methode

Experiment und Prüfung fanden am 2. Oktober 2026 statt. Gebaut hat ein frisch gestarteter KI-Coding-Agent (Claude Code) in einem leeren Ordner ohne Zugriff auf unsere Codebasis; die Anfragen an ihn, unsere Notizen zu jeder Runde und die Prüfskripte sind archiviert. Die Praxis ist fiktiv, und die Website lief nur auf einem einzigen Computer. Weitere Zahlen stammen aus den Quellen unten.

• Simon Willison — Not all AI-assisted programming is vibe coding (but vibe coding rocks) ↗

  Gibt Andrej Karpathys ursprünglichen Post wieder („fully give in to the vibes, embrace exponentials, and forget that the code even exists“, also sich ganz den Vibes hingeben, Exponentialkurven umarmen und vergessen, dass es den Code überhaupt gibt; die Diffs nicht mehr lesen; „not too bad for throwaway weekend projects“, also gar nicht so schlecht für Wegwerf-Wochenendprojekte) und definiert Vibe Coding als Software mit einem LLM zu bauen, ohne den Code zu prüfen, den es schreibt.

• Andrej Karpathy — the original post on X ↗

  Veröffentlicht am 2. Februar 2025 (23:17 UTC, laut der ID des Posts); zitiert über den Willison-Artikel oben, da X den Post ohne Login nicht ausliefert.

• Collins — Word of the Year 2025 ↗

  Bekanntgegeben am 6. November 2025: „vibe coding“, definiert als der Einsatz künstlicher Intelligenz, gesteuert durch natürliche Sprache, um Computercode zu schreiben; nennt Andrej Karpathy als Urheber des Begriffs.

• TechCrunch — A quarter of startups in YC’s current cohort have codebases that are almost entirely AI-generated ↗

  6. März 2025: YC-Managing-Partner Jared Friedman sagt, 25 % des Jahrgangs Winter 2025 hätten Codebasen, die zu 95 % KI-generiert sind, und es handle sich um technische Gründer.

• Matt Palmer — Statement on CVE-2025-48757 ↗

  Ein am 21. März 2025 abgeschlossener Scan von 1.645 mit Lovable gebauten Projekten fand 303 Endpunkte in 170 Projekten (rund 10,3 %) mit unzureichender Row-Level-Security, die persönliche und finanzielle Daten sowie API-Schlüssel offenlegten.

• GDPR — Article 7, conditions for consent ↗

  Art. 7 Abs. 4 DSGVO: Bei der Beurteilung, ob die Einwilligung freiwillig erteilt wurde, muss dem Umstand in größtmöglichem Umfang Rechnung getragen werden, ob die Erfüllung eines Vertrags oder die Erbringung einer Dienstleistung von einer Einwilligung abhängig gemacht wird, die dafür nicht erforderlich ist.

• GDPR — Article 9, processing of special categories of personal data ↗

  Gesundheitsdaten sind eine besondere Kategorie; Art. 9 Abs. 2 lit. h DSGVO erlaubt die Verarbeitung, die für die medizinische Diagnostik und die Versorgung im Gesundheitsbereich erforderlich ist, unter der Verantwortung von Fachpersonal, das dem Berufsgeheimnis unterliegt.

• Directive (EU) 2019/2161 (Omnibus) — Article 3, amending the UCPD (EU text as adopted) ↗

  Art. 3 Nr. 7 Buchst. b fügt in Anhang I der UGP-Richtlinie die Nummer 23c ein: Gefälschte Verbraucherbewertungen oder -empfehlungen abzugeben oder in Auftrag zu geben oder Verbraucherbewertungen falsch darzustellen, um Produkte zu bewerben, ist unter allen Umständen unlauter.

• Lighthouse — performance scoring ↗

  Wie Lighthouse 13.5.0, hier für den Geschwindigkeitstest in der mobilen Standardeinstellung verwendet, seine Metriken zum Performance-Score von 0 bis 100 gewichtet.

• web.dev — Web Vitals ↗

  Googles Schwellenwerte für eine gute Nutzererfahrung, darunter ein Cumulative Layout Shift von höchstens 0,1.