Kurzdefinition: Art. 8 DSGVO regelt, wann Kinder in die Verarbeitung ihrer Daten bei Online-Diensten wirksam selbst einwilligen können und wann die Eltern zustimmen müssen. [N-DSGVO-8]
Der Normwortlaut
Art. 8 Abs. 1 DSGVO bestimmt: Gilt die Einwilligung als Rechtsgrundlage bei einem Dienst der Informationsgesellschaft, der einem Kind direkt gemacht wird, so ist die Verarbeitung „rechtmäßig, wenn das Kind das sechzehnte Lebensjahr vollendet hat“. Andernfalls ist sie nur rechtmäßig, „sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird“. [N-DSGVO-8]
Ab welchem Alter dürfen Kinder selbst einwilligen?
Grundsätzlich ab dem vollendeten sechzehnten Lebensjahr. Art. 8 Abs. 1 DSGVO setzt diese Regelgrenze für die eigene Einwilligung bei Diensten der Informationsgesellschaft. Die Mitgliedstaaten dürfen eine niedrigere Grenze vorsehen, die jedoch nicht unter dem vollendeten dreizehnten Lebensjahr liegen darf. Anbieter müssen daher die im jeweiligen Mitgliedstaat geltende Grenze beachten. [N-DSGVO-8]
Was gilt für jüngere Kinder?
Die Einwilligung der Eltern ist erforderlich. Hat das Kind die maßgebliche Altersgrenze noch nicht erreicht, ist die Verarbeitung nur rechtmäßig, wenn der Träger der elterlichen Verantwortung einwilligt oder zustimmt. Ohne diese elterliche Grundlage fehlt es an einer wirksamen Einwilligung. [N-DSGVO-8]
Was müssen Anbieter prüfen?
Sie müssen sich um eine Alters- und Zustimmungskontrolle bemühen. Nach Art. 8 Abs. 2 DSGVO unternimmt der Verantwortliche unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen, um sich zu vergewissern, dass die Einwilligung tatsächlich durch den Träger der elterlichen Verantwortung erteilt oder gebilligt wurde. Verlangt ist keine perfekte, aber eine angemessene Überprüfung. [N-DSGVO-8]
Für welche Angebote gilt Art. 8?
Für Dienste der Informationsgesellschaft, die einem Kind direkt gemacht werden. Erfasst sind typischerweise Online-Angebote wie Apps, soziale Netzwerke oder Spiele, die sich direkt an Kinder richten und deren Rechtsgrundlage die Einwilligung ist. Stützt sich die Verarbeitung auf eine andere Rechtsgrundlage, greift die spezielle Regel des Art. 8 DSGVO nicht unmittelbar. [N-DSGVO-8]
Kann die Altersgrenze national abweichen?
Ja. Zwar nennt Art. 8 Abs. 1 DSGVO als Regelgrenze das vollendete sechzehnte Lebensjahr; die Mitgliedstaaten dürfen jedoch durch Rechtsvorschrift eine niedrigere Altersgrenze vorsehen, die aber nicht unter dreizehn Jahren liegen darf. Wer grenzüberschreitend Dienste anbietet, muss die jeweils geltende Grenze beachten. [N-DSGVO-8]
Was muss der Anbieter zur Altersverifikation tun?
Angemessene Anstrengungen. Der Verantwortliche muss unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen unternehmen, um zu überprüfen, dass die Einwilligung durch den Träger der elterlichen Verantwortung oder mit dessen Zustimmung erteilt wurde. Eine bloße Altersabfrage ohne jede Prüfung genügt der Anforderung nicht ohne Weiteres. [N-DSGVO-8]
Häufige Fehlannahmen
- „Kinder jeden Alters können online selbst einwilligen.“ Nein. Regelgrenze ist das vollendete sechzehnte Lebensjahr. [N-DSGVO-8]
- „Die Altersgrenze ist EU-weit einheitlich sechzehn.“ Nein. Mitgliedstaaten dürfen sie bis auf dreizehn Jahre absenken. [N-DSGVO-8]
- „Der Anbieter muss das Alter nicht prüfen.“ Nein. Er muss angemessene Anstrengungen zur Überprüfung unternehmen. [N-DSGVO-8]
- „Unter der Altersgrenze ist gar keine Verarbeitung möglich.“ Nein. Sie ist rechtmäßig, sofern und soweit die Einwilligung durch den Träger der elterlichen Verantwortung erteilt oder mit dessen Zustimmung gegeben wird. [N-DSGVO-8]
- „Art. 8 DSGVO gilt für jede Datenverarbeitung von Kindern.“ Nein. Er betrifft nur Angebote von Diensten der Informationsgesellschaft, die einem Kind direkt gemacht werden. [N-DSGVO-8]
Was die Geschäftsleitung tun sollte
- Zielgruppe klären. Prüfen, ob sich Angebote direkt an Kinder richten.
- Altersgrenze anwenden. Die im Mitgliedstaat geltende Grenze umsetzen.
- Elternzustimmung einholen. Bei jüngeren Kindern die elterliche Einwilligung sichern.
- Altersprüfung einrichten. Angemessene technische Verifikationsschritte vorsehen.
Für die Geschäftsleitung
Art. 8 DSGVO schützt Kinder im Netz: Erst ab sechzehn Jahren — je nach Mitgliedstaat auch früher — können sie selbst wirksam einwilligen, darunter müssen die Eltern zustimmen. Anbieter solcher an Kinder gerichteter Dienste müssen Altersgrenze und Zustimmungskontrolle ernst nehmen.
Quellen
- [N-DSGVO-8] Art. 8 DSGVO (Bedingungen für die Einwilligung eines Kindes), Abs. 1 und 2. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
