Heutzutage nutzen Kinder das Internet sehr häufig und besuchen Websites zum Spielen, Lernen, für soziale Netzwerke und zur Unterhaltung. Dabei geben sie personenbezogene Daten weiter, die sie gefährden können, wenn sie in die falschen Hände geraten. Um Kinder zu schützen und ihre Sicherheit zu gewährleisten, wurde im Jahr 2000 das COPPA-Gesetz eingeführt. Das Gesetz legt klare Regeln für alle Websites fest, die sich an Kinder unter 13 Jahren richten, und gibt Eltern oder Erziehungsberechtigten mehr Kontrolle über die über ihre Kinder gesammelten personenbezogenen Daten. Es verbietet außerdem unlautere Praktiken bei der Erhebung, Verwendung oder Weitergabe dieser Daten und gewährleistet so den Schutz der Privatsphäre von Kindern. Das Gesetz definiert auch Richtlinien für die Speicherung und Löschung von Daten, um Verstöße zu verhindern.
Zur Umsetzung des Gesetzes hat die FTC die „COPPA-Regel” erlassen, die in 16 C.F.R. Teil 312 kodifiziert ist und die Verpflichtungen beschreibt, die Unternehmen zur Einhaltung des COPPA erfüllen müssen. Die wichtigsten Bestimmungen der Regel wurden aktualisiert, um den Veränderungen in den Online-Praktiken und der Technologie Rechnung zu tragen. Die jüngste Änderung trat am 23. Juni 2025 in Kraft und ist als „Final Rule” bekannt.
Wer muss COPPA einhalten?
COPPA gilt für alle Websites oder Online-Dienste, die sich an Kinder richten, sowie für Plattformen für ein allgemeines Publikum, die Daten von Kindern sammeln. Sie erstreckt sich auch auf Dienste von Drittanbietern wie Werbenetzwerke, Analyseanbieter und Plug-ins. Zu diesen Plattformen gehören unter anderem:
- Bildungs- und E-Learning-Plattformen
- Gaming-Websites und -Apps
- Intelligentes Spielzeug/IoT-Geräte für Kinder
- Soziale Netzwerke für Kinder
- Streaming-Dienste für Zeichentrickfilme und Kinderinhalte
- Videoplattformen mit kindgerechten Inhalten
COPPA gilt für alle im Ausland ansässigen Websites und Dienste, die sich an Kinder in den Vereinigten Staaten richten, sowie für in den USA ansässige Plattformen, die Daten von Kindern im Ausland erfassen.
Beispielsweise würde ein in Finnland ansässiger Chatroom-Betreiber, der Daten von Kindern in Kalifornien sammelt, dem COPPA unterliegen. Ebenso würde ein in den USA ansässiges Gaming-Unternehmen, das Daten von Kindern in Dänemark sammelt, ebenfalls in den Geltungsbereich des COPPA fallen.
Was sind personenbezogene Daten im Sinne von COPPA?
In 16 C.F.R. Teil 312.2 definiert die COPPA-Verordnung verschiedene Begriffe, darunter personenbezogene Daten von Kindern, Website-Betreibern, Eltern, Unterstützungsdiensten usw. Im Sinne von COPPA sind personenbezogene Daten alle Daten, die zur Identifizierung oder Kontaktaufnahme mit einem Kind verwendet werden können, darunter der vollständige Name, die Adresse, die E-Mail-Adresse, die Telefonnummer oder Identifikatoren wie die Sozialversicherungsnummer des Kindes. Dazu gehören auch Online-Identifikatoren wie Cookies, Geräte-IDs, IP-Adressen oder Geolokalisierungsdaten, die präzise genug sind, um einen Standort auf Straßenebene anzugeben. Darüber hinaus fallen auch andere Formen von personenbezogenen Daten wie Fotos, Video- oder Audioaufnahmen, Bildschirmnamen und Benutzer-IDs, die die Identität eines Kindes preisgeben können, unter diese Definition.
Mit der Aktualisierung der COPPA-Verordnung im Jahr 2025 fallen auch biometrische Daten wie Fingerabdrücke, Gesichtsvorlagen und Stimmabdrücke in den Bereich der personenbezogenen Daten.
Regulierung unlauterer und irreführender Praktiken § 312.3
COPPA verbietet die Anwendung unlauterer Praktiken bei der Erhebung oder Weitergabe von Daten von Kindern und verpflichtet Website-Betreiber zu Folgendem:
- Auf der Website einen Hinweis zu veröffentlichen, aus dem klar hervorgeht, welche Informationen von Kindern erfasst werden, wie diese verwendet und weitergegeben werden, einschließlich der Weitergabe an Dritte.
- Einholung der nachprüfbaren Zustimmung eines Elternteils oder Erziehungsberechtigten vor der Erhebung oder Weitergabe personenbezogener Daten von Kindern.
- Eltern müssen die Möglichkeit haben, die über ihre Kinder erhobenen Daten einzusehen, deren weitere Verwendung zu verweigern und deren Löschung zu verlangen.
- Es dürfen nicht mehr personenbezogene Daten von Kindern angefordert werden, als für das Spielen eines Spiels, die Teilnahme an einem Wettbewerb oder die Teilnahme an einer Aktivität erforderlich sind.
- Sicherheitsmaßnahmen zum Schutz der Sicherheit, Integrität und Vertraulichkeit der personenbezogenen Daten von Kindern einrichten und aufrechterhalten.
Benachrichtigungspflichten § 312.4
Gemäß COPPA müssen Websites, die Daten von Kindern erfassen, Eltern eine klare und transparente Mitteilung zukommen lassen. Die Verordnung definiert zwei Arten von Mitteilungen: eine direkte Mitteilung an die Eltern, in der erläutert wird, welche Daten erfasst werden und wie sie verwendet werden, sowie eine Online-Mitteilung, in der die Datenpraktiken der Website dargelegt werden. Darüber hinaus muss der Websitebetreiber:
- Optionen für die Einholung einer überprüfbaren elterlichen Zustimmung bereitstellen.
- die Identität der Dritten, an die personenbezogene Daten von Kindern weitergegeben werden, sowie die Kategorie, zu der sie gehören, offenlegen.
- sicherstellen, dass die elterliche Zustimmung zur Weitergabe an Dritte getrennt von der Zustimmung zur Erhebung und Verwendung durch die Website selbst eingeholt wird, es sei denn, eine solche Weitergabe ist für die Dienstleistung unerlässlich.
- die Informationen von Eltern oder Kindern löschen, die zur Bereitstellung der Hinweise und zur Einholung der Einwilligung verwendet wurden, wenn die Einwilligung der Eltern nicht innerhalb einer angemessenen Frist eingeholt werden kann.
- Einen Hyperlink zu den Datenschutzhinweisen bereitstellen, die in klarer und einfach verständlicher Sprache verfasst sind und keine verwirrenden oder widersprüchlichen Inhalte enthalten.
- Geben Sie den Namen, die Adresse, die Telefonnummer und die E-Mail-Adresse aller Betreiber an, die über die Website oder den angebotenen Online-Dienst Daten von Kindern erheben.
- Stellen Sie sicher, dass Benachrichtigungen bei Bedarf direkt an die Eltern versendet werden.
Anforderungen an die Einwilligung der Eltern § 312.5
Websitebetreiber müssen Methoden implementieren, um zu überprüfen, dass die Einwilligung nur von den Eltern oder Erziehungsberechtigten des Kindes erteilt wurde. Diese Methoden müssen unter Berücksichtigung der verfügbaren Technologie entwickelt werden.
- Eine nachprüfbare elterliche Zustimmung muss erneut eingeholt werden, wenn sich die Praktiken der Datenerhebung, -nutzung oder -weitergabe nach der vorherigen Zustimmung wesentlich geändert haben.
- Methoden zur Überprüfung der Einwilligung können unterzeichneten Formularen, Kredit-/Debitkartenüberprüfung, Telefon- oder Videoüberprüfung, Überprüfung amtlicher Ausweise, wissensbasierte Authentifizierung mittels Multiple-Choice-Fragen oder E-Mail-/SMS-Bestätigung mit anschließender Überprüfung umfassen.
- Befolgen Sie gegebenenfalls die von Safe Harbor genehmigten Methoden zur Einholung der elterlichen Zustimmung, auch wenn diese nicht ausdrücklich aufgeführt sind, sofern sie die Identität der Eltern zuverlässig überprüfen.
Elternrechte § 312.6
Wie andere Datenschutzgesetze, beispielsweise der CCPA und die EU-DSGVO, gewährt COPPA Eltern und Erziehungsberechtigten mehrere Rechte in Bezug auf die Erhebung, Verwendung und Weitergabe von Daten von Kindern. Zu diesen Rechten gehören:
- Anforderung von Details zu den Kategorien und Arten der erhobenen personenbezogenen Daten.
- Die weitere Verwendung oder Erhebung personenbezogener Daten abzulehnen.
- Überprüfung der erhobenen Daten ohne unangemessenen Aufwand.
Einschränkung der Teilnahmebedingungen § 312.7
Betreiber dürfen von einem Kind nicht mehr Informationen verlangen, als für die Teilnahme an einem Wettbewerb, Spiel oder einer Aktivität erforderlich sind.
Wahrung der Vertraulichkeit, Sicherheit und Integrität der personenbezogenen Daten von Kindern § 312.8
In diesem Abschnitt werden die Verfahren beschrieben, die Unternehmen befolgen müssen, um die Vertraulichkeit der restlichen Daten von Kindern zu gewährleisten. Dazu gehören:
- Einrichtung, Umsetzung und Aufrechterhaltung eines schriftlichen Informationssicherheitsprogramms, das auf der Sensibilität der betreffenden Daten basiert. Es muss von dafür benannten Mitarbeitern verwaltet werden.
- Durchführung einer jährlichen Überprüfung, um Risiken für die Vertraulichkeit, Sicherheit und Integrität der Daten von Kindern zu identifizieren und gleichzeitig zu überprüfen, ob die bestehenden Sicherheitsmaßnahmen angemessen sind. Wenn Lücken festgestellt werden, sollte das Programm mit besseren technologischen oder betrieblichen Maßnahmen aktualisiert werden, um die Datensicherheit zu gewährleisten.
- Entwicklung und Aufrechterhaltung von Sicherheitsmaßnahmen zur Minderung der in der jährlichen Bewertung ermittelten Risiken.
Durchsetzung von COPPA § 312.9COPPA
Die Durchsetzung erfolgt durch die Federal Trade Commission gemäß dem FTC Act, vorbehaltlich der Abschnitte 6503 und 6505. Verstöße gegen COPPA können zu erheblichen finanziellen Strafen führen (bis zu 4.500 £ pro Verstoß). Mehrere Unternehmen wurden von der FTC wegen Verstößen gegen COPPA-Bestimmungen bestraft. Nachfolgend finden Sie einige prominente Beispiele aus den letzten Jahren.
|
Nr.
|
Unternehmen/Firma
|
Verstoß gegen COPPA
|
Strafe
|
Monat und Jahr
|
Link
|
|
1
|
The Walt Disney Company
|
Falsch gekennzeichnete Kinderinhalte auf YouTube, die Datenerfassung und gezielte Werbung ermöglichen
|
10 Millionen
|
25. September
|
Pressemitteilung der FTC
|
|
2
|
Cognosphere, LLC (Genshin Impact)
|
Erhebung von Daten von Minderjährigen ohne Einwilligung; unlautere Geschäftspraktiken und Probleme mit Lootboxen
|
20 Millionen US-Dollar
|
25. Januar
|
Pressemitteilung der FTC
|
|
3
|
Amazon.com, Inc. (Alexa)
|
Kinderstimmen über die Aufbewahrungsfrist hinaus gespeichert, Löschungsanträge ignoriert
|
25 Millionen
|
23. Juli
|
Pressemitteilung des US-Justizministeriums
|
|
4
|
Microsoft Corporation (Xbox)
|
Erhebung/Speicherung von Daten von Kindern beim Anmelden für Xbox ohne Benachrichtigung der Eltern
|
20 Mio.
|
23. Juni
|
Pressemitteilung der FTC
|
|
5
|
Epic Games, Inc. (Fortnite)
|
Erhebung personenbezogener Daten ohne nachweisliche Zustimmung der Eltern und Verwendung unangemessener Standard-Datenschutz- und Kommunikationseinstellungen
|
275 Millionen US-Dollar
|
22. Dezember
|
Pressemitteilung der FTC
|
|
6
|
Google LLC / YouTube
|
Unangemessener Umgang mit kindgerechten Inhalten; Erhebung von Daten von Kindern ohne Zustimmung der Eltern
|
170 Millionen US-Dollar
|
19. September
|
Pressemitteilung der FTC
|
Anforderungen an die Aufbewahrung und Löschung von Daten § 312.10
COPPA verpflichtet Website-Betreiber zur Erstellung und Umsetzung einer schriftlichen Richtlinie zur Datenaufbewahrung. Diese Richtlinie sollte den Zweck der Erhebung von Daten über Kinder, die geschäftlichen Anforderungen für deren Aufbewahrung und den Zeitrahmen für deren Löschung festlegen. Außerdem heißt es darin:
- Informationen dürfen nur so lange aufbewahrt werden, wie es zur Erfüllung des Zwecks, für den sie erhoben wurden, erforderlich ist.
- Sobald die erhobenen Daten ihren Zweck erfüllt haben, müssen sie dauerhaft gelöscht und vor unbefugtem Zugriff oder unbefugter Nutzung geschützt werden.
- Die Richtlinie zur Datenaufbewahrung muss auf der Website verfügbar und leicht zugänglich sein.
Die Daten müssen mit einer Software wie BitRaser, die dabei hilft, Daten dauerhaft von Laufwerken und Geräten zu löschen, unwiderruflich gelöscht werden, zusammen mit einem Nachweis der Datenvernichtung für Prüfer.
Safe-Harbor-Programme § 312.11
Branchenverbände oder -organisationen können bei der FTC die Genehmigung von Safe-Harbor-Programmen beantragen, die Compliance-Richtlinien festlegen, die denen des COPPA entsprechen oder diese übertreffen. Dahinter steht die Idee, alternative Beschwerdeverfahren zum Schutz der Privatsphäre von Kindern und zur Ahndung von Fehlverhalten anzubieten.
Freiwillige Genehmigungsverfahren der Kommission § 312.12
Unternehmen können bei der FTC die Genehmigung neuer Methoden zur Einholung der elterlichen Zustimmung beantragen, die nicht in § 312.5(b) aufgeführt sind, sofern sie nachweisen können, dass die Methode den Verifizierungsstandards von COPPA entspricht. Die FTC kann auch zusätzliche Aktivitäten als „unterstützende interne Vorgänge” anerkennen, wenn dies gerechtfertigt ist und mit dem Schutz der Privatsphäre von Kindern vereinbar ist.
Fazit: Die Rolle der Datenlöschung bei der Einhaltung des COPPA
Der Schutz der personenbezogenen Daten von Kindern hat für jedes Unternehmen, das Informationen von ihnen sammelt, höchste Priorität. Zu diesem Zweck spielt die sichere Datenlöschung eine wichtige Rolle bei der Einhaltung der COPPA-Vorschriften, insbesondere 16 C.F.R. § 312.9, der die Löschung von Daten vorschreibt. Durch die Verwendung von Datenlöschungsstandards wie NIST 800-88 oder IEEE 2883:2022 können Unternehmen die personenbezogenen Daten von Kindern dauerhaft löschen, sodass sie nicht wiederhergestellt werden können, wodurch das Risiko von Datenverletzungen oder Missbrauch verringert wird.
