Personenbezogene Daten von Kindern 2026: DSGVO, DSA und Datenschutz durch Technikgestaltung

Personenbezogene Kinderdaten erfordern bei digitalen Plattformen, Spielen, Apps, Bildungsdiensten und sozialen Medien besondere Sorgfalt. Kinder als Nutzer beeinflussen Datenschutzinformationen, Produktdesign, Werbung, Profiling und Voreinstellungen.

Der Schutz von Kinderdaten in der Europäischen Union ist ab 2026 nicht auf die DSGVO beschränkt. Mit dem Digital Services Act (DSA) werden zudem zusätzliche Verpflichtungen für die Online-Sicherheit von Kindern und gezielte Werbung eingeführt.

Wie schützt die DSGVO Kinder?

Die DSGVO erkennt an, dass die personenbezogenen Daten von Kindern einen besonderen Schutz verdienen.

Dieser Schutz ist besonders in folgenden Bereichen wichtig:

Vermarktung,
Profilerstellung,
Online-Dienste,
Informationen für das Kind

Diese Bereiche verdienen besondere Sorgfalt.

DSGVO Artikel 8: Altersgrenze 16

Bei direkt Kindern angebotenen Diensten der Informationsgesellschaft auf Einwilligungsbasis nach Artikel 6(1)(a) legt DSGVO Artikel 8 die grundsätzliche Altersgrenze fest auf 16 Jahre.

Ist das Kind jünger als 16 Jahre, muss die Einwilligung von der Person erteilt oder genehmigt werden, die die elterliche Verantwortung trägt.

In jedem EU-Land 16 Jahre alt?

Nein. Mitgliedstaaten dürfen die Grenze national senken, jedoch nicht unter 13 Jahre.

Daher ist die automatische Umsetzung einer Regel für ein einzelnes Alter für die gesamte EU in digitalen Produkten mit mehreren Ländern möglicherweise nicht korrekt.

Gilt Artikel 8 für jede Datenverarbeitung?

Nein. Artikel 8 betrifft speziell Einwilligungen nach Artikel 6(1)(a) für direkt Kindern angebotene Dienste der Informationsgesellschaft.

Es ist nicht richtig, jeden Prozess, bei dem Daten für Kinder gespeichert werden, automatisch auf die Altersgrenze nach Artikel 8 zu reduzieren.

Wie sollte die Zustimmung der Eltern bestätigt werden?

Die DSGVO setzt voraus, dass der für die Verarbeitung Verantwortliche unter Berücksichtigung der vorhandenen Technologie angemessene Anstrengungen unternimmt, um die Zustimmung der Person, die die elterliche Verantwortung trägt, zu überprüfen.

Wichtig ist auch, dass der Verifikationsmechanismus nicht zu viele personenbezogene Daten erfasst.

Datenschutzinformationen für das Kind

Informationen klar und einfach für Kinder verständlich formulieren.

Die Veröffentlichung eines langen und technischen Rechtstextes allein schafft keine sinnvolle Transparenz.

Zusätzlicher Schutz mit DSA

Das Digital Services Act umfasst Produkt- und Plattformverpflichtungen, die über die DSGVO hinausgehen, um Kinder auf Online-Plattformen zu schützen.

Profiled-Based-gezielte Werbung für Kinder

Nach dem DSA dürfen Plattformen keine profilingbasierte gezielte Werbung zeigen, wenn sie mit hinreichender Gewissheit wissen, dass der Nutzer minderjährig ist.

Diese Regel betrifft direkt Plattformmodelle, die Werbung mit Kinddaten segmentieren.

Richtlinien zum Schutz Minderjähriger

Am 14. Juli 2025 veröffentlichte die Europäische Kommission einen Leitfaden zum Schutz von Kindern unter der DSA.

Der Leitfaden behandelt insbesondere:

Hohen Datenschutz durch Voreinstellungen,
sichere Gestaltung,
Risiken suchtfördernder Gestaltung,
unerwünschter Kontakt,
schädlicher Inhalt

Dies sind zentrale Schwerpunkte.

Datenschutz per Default

Es müssen mehr Schutzoptionen bewertet werden, anstatt die Standardeinstellungen des Child-Accounts auf der möglichst offenen Sharing-Ebene einzurichten.

Dutzende Einstellungen manuell ändern, um die Privatsphäre der Nutzer zu schützen, ist kein guter Datenschutz-by-Design-Ansatz.

Risiken manipulativer Gestaltung (Dark Patterns)

Manipulative Schnittstellen, die dazu führen, dass das Kind mehr Daten teilt, die Privatsphäre entspannt oder mehr Zeit im Dienst verbringt, sollten ebenfalls ausgewertet werden.

Alterssicherung

Um Kinder zu schützen, können einige Dienste die Bestimmung der Altersgruppe des Nutzers erfordern.

Altersprüfung darf nicht selbst zur übermäßigen Datenerhebung werden.

Daten-Minimierung

Datenerhebung „falls später benötigt“ ist bei Kinderprodukten besonders riskant.

Für jedes Datenfeld:

Warum es notwendig ist,
Wie lange es aufbewahrt wird,
Wer darauf zugreifen darf

müssen bestimmt werden.

Profilier- und Empfehlungssysteme

Wenn Content-Empfehlungssysteme das Verhalten von Kindern stark nutzen, um Profile zu erstellen, können sowohl Datenschutz- als auch DSA-Risiken erhöht werden.

Wann kommt DPIA auf die Tagesordnung?

Die Datenschutz-Folgenabschätzung sollte gemäß Art. 35 DSGVO in Hochrisikoprofilierung, systematischer Überwachung oder ähnlichen Verfahren, die Kinderdaten verarbeiten, geprüft werden.

Die DSFA-Pflicht richtet sich nach den Risiken der konkreten Verarbeitung.

Checkliste für Kinderdaten

Wurden Nutzungsszenarien ermittelt, dass der Benutzer ein Kind sein kann?
Ist Artikel 8 wirklich umgesetzt?
Wurde die Altersgrenze in dem betreffenden Land überprüft?
Gibt es eine angemessene Bestätigung, wenn die Zustimmung der Eltern erforderlich ist?
Kann das Kind Datenschutzinformationen verstehen?
Sind die Standard-Kontoeinstellungen schützend?
Wurde die Profiling-basierte Anzeige überprüft?
Wurden die DSA-Pflichten zum Schutz Minderjähriger bewertet?
Wird Datenminimierung implementiert?
Wurde die Notwendigkeit einer DSFA geprüft?

Der Ansatz B10

B 10 Digital Agency prüft Kinderdatenschutz über Rechtstexte hinaus: UX, Voreinstellungen, Tracking, Profiling, Analytik und technische Datenflüsse werden gemeinsam betrachtet.

Offizieller Referenzrahmen

Dieser Leitfaden wurde im Hinblick auf die Schutzbestimmungen für Kinder des Art. 8 DSGVO, des Digital Services Act, und des Dokuments zum Jugendschutz der Europäischen Kommission vom 14. Juli 2025 aktualisiert.

Fazit

In den Daten von Kindern wird nicht nur die korrekte Altersgrenze hinzugefügt. Zustimmung, Profiling, Werbung, Standard-Privatsphäre, Interface-Design und Daten-Minimierung sollten zusammen aus der Design-Phase des Produkts bewertet werden.

Dieser Inhalt dient nur zur allgemeinen Information.