Kinderdaten: Besonderer Schutz im Netz

Daten von Kindern verlangen strengere Maßstäbe, weil Kinder die Folgen einer Verarbeitung nicht überblicken können. Für Angebote, die sich direkt an Kinder wenden, gilt bei Einwilligungen eine Altersgrenze zwischen 13 und 16 Jahren, je nach Mitgliedstaat – in Deutschland 16. Darunter braucht es die Einwilligung der Erziehungsberechtigten, und zwar nachweisbar. Zusätzlich gilt für Werbung an Kinder und für automatisierte Empfehlungen eine besondere Zurückhaltungspflicht.

##Wann gilt ein Angebot als an Kinder gerichtet?

Nicht nur, wenn Kinder ausdrücklich angesprochen werden. Auch Gestaltung, Sprache, Bildwelt und Themen entscheiden – die Beurteilung richtet sich nach der Wahrnehmung des angesprochenen Publikums, nicht nach der Absicht des Anbieters. Ein Angebot mit kindgerechter Ansprache und einer Altersabfrage, die jeder umgehen kann, gilt als an Kinder gerichtet. Wer das bestreiten will, muss es begründen können.

##Wie holt man die Einwilligung nachweisbar ein?

• ›Altersabfrage vor jeder Erhebung personenbezogener Daten
• ›Einwilligung der Erziehungsberechtigten bei Minderjährigen unter 16
• ›Nachweisbarkeit der Einwilligung, nicht nur ihr Vorliegen
• ›Keine Voreinstellung und keine Kopplung an die Nutzung
• ›Widerruf, der auch für Erziehungsberechtigte erreichbar ist

##Warum genügt ein Häkchen nicht?

Weil die Einwilligung eines Kindes unter der Altersgrenze unwirksam ist, unabhängig davon, wie deutlich sie erklärt wurde. Ein Häkchen ändert daran nichts. Erforderlich ist die Einwilligung der Erziehungsberechtigten, und der Verantwortliche muss belegen können, dass er sie eingeholt hat. Eine schlichte Bestätigung „Ich bin über 16" verschiebt das Risiko auf das Kind, nicht auf den Anbieter – im Streitfall trägt es der Anbieter.

##Was gilt bei Werbung und Profilen?

Werbung, die sich an Kinder richtet, unterliegt strengeren Maßstäben, und Verhaltenswerbung auf Basis von Profilen ist bei Minderjährigen besonders problematisch. Für automatisierte Empfehlungssysteme gilt, dass sie nicht dazu führen dürfen, dass Kinder zu schädlichem Verhalten gedrängt werden. Die praktische Konsequenz: Empfehlungsalgorithmen für Angebote mit minderjährigen Nutzern brauchen eine dokumentierte Prüfung – eine reine Standardkonfiguration genügt nicht.

##Welche Rechte haben Erziehungsberechtigte?

Sie nehmen die Rechte des Kindes wahr: Auskunft, Berichtigung, Löschung, Einschränkung und Widerruf erteilter Einwilligungen. Praktisch heißt das, dass ein Auskunftsersuchen von einer erziehungsberechtigten Person genauso zu behandeln ist wie eines der betroffenen Person selbst – mit derselben Frist. Anbieter tun gut daran, diesen Weg im Verfahren ausdrücklich vorzusehen, weil er sonst bei einem einzelnen Ersuchen zu Verzögerungen führt.

##Was ist mit Chats und Nutzerinhalten?

Bei Angeboten mit Nutzerinhalten steigen die Anforderungen, weil Kinder untereinander Daten austauschen und weil Moderation Einblick in diese Inhalte nimmt. Nötig sind eine klare Regelung zur Moderation, eine Begrenzung des Zugriffs auf das erforderliche Maß und eine Information darüber, dass Inhalte geprüft werden. Besonders sensibel sind private Nachrichten: Eine automatisierte Auswertung von Kinderchats ist datenschutzrechtlich kaum zu rechtfertigen.

##Welche Dokumentation erwartet eine Prüfung?

Den Nachweis, dass der Anbieter das Alter erhebt und die Einwilligungswege kennt, eine Beschreibung der Schutzmaßnahmen für Minderjährige und die Bewertung, ob das Angebot als an Kinder gerichtet gilt. Diese Unterlagen fehlen fast immer, weil sich viele Anbieter für „nicht an Kinder gerichtet" halten, ohne das je geprüft zu haben. Diese Einschätzung schriftlich festzuhalten ist der erste Schritt – und häufig der einzige, der noch fehlt.

##Was gilt bei Schulen und Vereinen?

Sobald Bildungseinrichtungen oder Vereine Daten von Kindern verarbeiten, kommen besondere Vertrauensverhältnisse hinzu. Für Anbieter, die solche Einrichtungen bedienen, heißt das: Einwilligungen laufen häufig über die Einrichtung, und die Aufsicht liegt bei den Landesdatenschutzbeauftragten mit eigenen Schwerpunkten. Wer als Dienstleister tätig ist, braucht hier neben dem Auftragsverarbeitungsvertrag eine klare Abgrenzung, wer welche Entscheidung trifft.

##Zuerst die Einschätzung, dann die Maßnahmen

Halten Sie schriftlich fest, ob Ihr Angebot an Kinder gerichtet ist, und begründen Sie die Einschätzung anhand von Ansprache, Inhalt und Nutzerkreis. Fällt sie bejahend aus, sind Altersabfrage, Einwilligungsweg und Schutzmaßnahmen die drei Punkte, mit denen Sie beginnen. Fällt sie verneinend aus, ist genau diese Begründung das Dokument, das im Prüfungsfall zuerst verlangt wird – sie kostet eine Stunde und ersetzt viele spätere Erklärungen.