Kinder verdienen besonderen Schutz
Die DSGVO ist eindeutig: Kinder sind eine schutzbeduerftige Gruppe. Sie sind sich der Risiken und Folgen der Weitergabe ihrer personenbezogenen Daten weniger bewusst. Deshalb gelten zusaetzliche Regeln, wenn Sie Daten von Minderjaehrigen verarbeiten.
Das betrifft mehr Organisationen als man denkt: Schulen, Sportvereine, Kindertagesstaetten, Jugendorganisationen, Online-Plattformen, Webshops mit Kinderprodukten und sogar Unternehmen, die Newsletter an Verteiler senden, auf denen Minderjaehrige stehen.
Elterliche Einwilligung: wann und bis zu welchem Alter?
Artikel 8 der DSGVO bestimmt, dass fuer das Anbieten von “Diensten der Informationsgesellschaft” (d.h. Online-Diensten) an Kinder die Einwilligung eines Elternteils oder Vormunds erforderlich ist. Die DSGVO setzt die Hoechstgrenze bei 16 Jahren, erlaubt den Mitgliedstaaten aber, diese auf mindestens 13 Jahre zu senken.
In der Praxis bedeutet das:
| Land | Altersgrenze |
|---|---|
| Niederlande | 16 Jahre |
| Belgien | 13 Jahre |
| Deutschland | 16 Jahre |
| Frankreich | 15 Jahre |
| Spanien | 14 Jahre |
| Irland | 16 Jahre |
| Schweden | 13 Jahre |
| Italien | 14 Jahre |
Hinweis: Diese Altersgrenzen gelten speziell fuer die Einwilligung als Rechtsgrundlage bei Online-Diensten. Das uebergeordnete Prinzip, dass Kinder besonderen Schutz verdienen, gilt immer.
Durchsetzung: Bussgelder fuer den unsorgfaeltigen Umgang mit Kinderdaten
Aufsichtsbehoerden nehmen Verstoesse bei Kinderdaten besonders ernst:
TikTok - 345 Millionen Euro (Irland, 2023). Die irische DPC verhängte gegen TikTok ein Bussgeld von 345 Millionen Euro wegen unzureichenden Schutzes der Privatsphaere minderjaehriger Nutzer. Kinderprofile waren standardmaessig oeffentlich, und die “Family Pairing”-Funktion wies Maengel auf, die es Nicht-Eltern ermoeglichten, Kinderkonten zu verknuepfen.
Instagram/Meta - 405 Millionen Euro (Irland, 2022). Die irische DPC bestrafte Meta fuer die Veroeffentlichung von E-Mail-Adressen und Telefonnummern von Teenagern auf Instagram und fuer die standardmaessige Einrichtung von Geschaeftskonten fuer Minderjaehrige.
Die Botschaft ist klar: Aufsichtsbehoerden betrachten den Schutz von Kinderdaten als Prioritaet.
Was sollten Sie tun, wenn Sie Kinderdaten verarbeiten?
1. Stellen Sie fest, ob Sie mit Kinderdaten arbeiten
Pruefen Sie, ob Ihre Zielgruppe (teilweise) aus Minderjaehrigen besteht. Denken Sie an:
- Mitgliederregistrierung eines Sportvereins oder einer Jugendorganisation
- Schuelerverwaltung einer Schule
- Anmeldungen fuer ein Ferienlager oder eine ausserschulische Aktivitaet
- Einen Webshop mit Spielzeug oder Kinderkleidung
- Eine App oder einen Online-Dienst, den Kinder nutzen
2. Pruefen Sie Ihre Rechtsgrundlage
Wenn Sie die Einwilligung als Rechtsgrundlage verwenden, benoetigen Sie fuer Kinder unter der nationalen Altersgrenze die Einwilligung eines Elternteils oder Vormunds. Verwenden Sie eine andere Grundlage (z.B. Vertragserfuellung fuer eine Schulanmeldung), gilt die elterliche Einwilligungspflicht aus Artikel 8 nicht, aber die erhoehte Sorgfaltspflicht schon.
3. Ueberpruefen Sie das Alter
Sie muessen “angemessene Anstrengungen” unternehmen, um zu pruefen, ob jemand alt genug ist, um selbst einzuwilligen, und ob die Einwilligung tatsaechlich von einem Elternteil oder Vormund stammt. Was “angemessen” ist, haengt vom Risiko und der verfuegbaren Technologie ab.
4. Kommunizieren Sie in kindgerechter Sprache
Die DSGVO verlangt, dass Informationen ueber die Datenverarbeitung fuer die Zielgruppe verstaendlich sind. Wenn Sie sich an Kinder richten, muss Ihre Datenschutzerklaerung in einfacher, klarer Sprache verfasst sein. Juristischer Fachjargon reicht nicht aus.
5. Beschraenken Sie die Datenverarbeitung
Das Prinzip der Datenminimierung gilt bei Kindern besonders streng. Erheben Sie nur, was Sie wirklich benoetigen. Vermeiden Sie Profiling und automatisierte Entscheidungsfindung auf Basis von Kinderdaten.
Ausnahme: praeventive und beratende Dienste
Artikel 8 enthaelt eine wichtige Ausnahme: Die elterliche Einwilligungspflicht gilt nicht fuer “praeventive oder beratende Dienste, die direkt einem Kind angeboten werden.” Denken Sie an Hilfstelefone fuer Missbrauchsopfer oder Online-Gesundheitsinformationsdienste. Diese Ausnahme verhindert, dass Kinder, die Hilfe brauchen, durch eine Einwilligungsanforderung blockiert werden, die den Elternteil einbezieht, der moeglicherweise das Problem ist.
Praktische Tipps fuer Sportvereine, Schulen und Jugendorganisationen
- Mitgliederregistrierung: erheben Sie nur das Noetigste (Name, Geburtsdatum, Kontaktdaten des Elternteils)
- Fotos und Videos: holen Sie immer die elterliche Einwilligung ein, bevor Sie Kinderfotos auf Ihrer Website oder in sozialen Medien veroeffentlichen
- Newsletter: senden Sie keine Marketing-E-Mails an Kinder ohne elterliche Einwilligung
- Datenweitergabe an Dritte: schliessen Sie Auftragsverarbeitungsvertraege mit Sponsoren, Fotografen oder anderen Parteien ab
- Aufbewahrungsfristen: bewahren Sie Kinderdaten nicht laenger als noetig auf; loeschen Sie Daten ehemaliger Mitglieder
GDPRWise hilft Ihnen, alle personenbezogenen Daten zu erfassen, die Sie verarbeiten, einschliesslich der Daten von Minderjaehrigen. Mit spezifischen Empfehlungen fuer Schulen, Vereine und Jugendorganisationen.