Aufsatz : Methoden der Altersprüfung in digitalen Diensten : aus der RDV 4/2024, Seite 193 bis 204

II. Einsatz von Methoden der Altersprüfung

Methoden der Altersprüfung sind mit der Verarbeitung personenbezogener Daten verbunden. Ihr Einsatz ist somit in Einklang mit Art. 6 DS-GVO nur möglich, wenn eine Rechtsgrundlage Anbietende von digitalen Diensten zur Durchführung von Altersprüfungen verpflichtet oder die Verarbeitung zumindest gestattet (siehe Abschnitt II. 1. f)). Außerhalb gesetzlich eindeutiger Verpflichtungen muss im Einzelfall eine Entscheidung über den Einsatz unter Abwägung der widerstreitenden Interessen getroffen werden (siehe Abschnitt II. 2.).

1. Gesetzliche Pflichten und Erlaubnisse

Im Folgenden werden nationale und europäische Vorschriften dargestellt, auf denen der Einsatz von Methoden der Altersprüfung gestützt werden könnten. Insbesondere wird untersucht, ob diese eine Verpflichtung zur Altersprüfung enthalten.

a) Jugendschutz für Inhalte von digitalen Diensten

Das Jugendschutzgesetz (JuSchG) und der Jugendmedienschutz-Staatsvertrag der Länder (JMStV) verlangen von Anbietern von Rundfunk und digitalen Diensten, dass sie technische und organisatorische Maßnahmen zum Schutz von Minderjährigen/Kindern^[5] vor bestimmten Inhalten treffen. Zu den Schutzmaßnahmen können auch Methoden der Altersprüfung zählen, wobei jugendgefährdende und entwicklungsbeeinträchtigende Inhalte unterschiedlich behandelt werden.

aa) Jugendgefährdende Inhalte

Hinsichtlich jugendgefährdender Inhalte,^[6] deren Verbreitung nicht absolut unzulässig ist (wie bestimmte indizierte Inhalte und sog. „einfache Pornographie“), sieht § 24a Abs. 2 Nr. 4 JuSchG für Diensteanbieter ab einer Million Nutzenden im Inland (z.B. soziale Netzwerke) den Einsatz von Methoden der Altersverifikation als mögliche Vorsorgemaßnahme zur Wahrung des Schutzes Minderjähriger vor.^[7] Das JuSchG spricht von Methoden der Altersverifikation, jedoch ist anzunehmen, dass ein offeneres Verständnis des Begriffs zugrunde liegt, das Methoden der Altersschätzung nicht ausschließt.^[8]

§ 24a Abs.  2 JuSchG führt weder zu einer allgemeinen Pflicht zur Altersprüfung, noch zu einer Vorverlagerung der Verantwortlichkeit durch eine Pflicht zur Einrichtung einer Methode der Altersprüfung unabhängig von konkreten Inhalten. Die Norm ist hinsichtlich der konkreten Umsetzung laut amtlicher Begründung absichtlich offen formuliert,^[9] wobei auch das Recht auf informationelle Selbstbestimmung Minderjähriger zu berücksichtigen ist.^[10]

Den Einsatz verlässlicher Methoden der Altersverifikation fordert dagegen für jugendgefährdende Inhalte § 4 Abs. 2 S. 2 JMStV, wonach Diensteanbieter sicherstellen müssen, dass sie nur Erwachsenen in sog. geschlossenen Benutzergruppen zugänglich sind.^[11]

Der BGH hat sich mit den Anforderungen an die Verlässlichkeit in einem Urteil von 2007 auseinandergesetzt. Auf Grundlage des damaligen Stands der Technik kommt er zu dem Schluss, eine Altersverifikation habe grundsätzlich in zwei Schritten zu erfolgen, (1.) einer einmaligen Identifizierung, etwa durch Postident-Verfahren oder rein technisch über Webcam bzw. mithilfe biometrischer Daten, und (2.) einer Authentifizierung durch eine PIN oder Hardware-Schlüssel (etwa USB-Stick, DVD oder Chip-Karte) bei jeder Anmeldung am Dienst.^[12]

Die reine Überprüfung einer Personalausweiskennziffer (gemeint sind Angaben in der maschinenlesbaren Zone^[13]) genügt diesen Anforderungen nicht. Die Online-Ausweisfunktion, die es zum Zeitpunkt des Urteils noch nicht gab, wird diesen Anforderungen gerecht, denn eine Altersverifikation mit der Online-Ausweisfunktion erfordert zwei Faktoren: den Besitz des gültigen Ausweisdokuments und das Wissen über die individuelle PIN. Das Verfahren bietet ein hohes Vertrauensniveau, ohne dass dabei gegenüber dem Diensteanbieter die eigene Identität offengelegt werden muss.

Im Übrigen ist fraglich, ob die in dem BGH-Urteil genannten weiteren Verfahren (Webcam, biometrische Verfahren) auch nach heutigem Stand der Technik ein für den Jugendschutz hinreichend hohes Vertrauensniveau erreichen.

bb) Entwicklungsbeeinträchtigende Angebote

§ 5 Abs. 1 JMStV sieht vor, dass Diensteanbieter, die entwicklungsbeeinträchtigende Inhalte^[14] verbreiten oder zugänglich machen, dafür Sorge tragen müssen, dass Minderjährige der betroffenen Altersstufen (ab 6, 12, 16 und 18 Jahren) sie üblicherweise nicht wahrnehmen. Nach Abs.  1 und 3 haben die Diensteanbieter Barrieren einzurichten, die eine Wahrnehmung jedenfalls wesentlich erschweren.

Diese Mittel müssen hinsichtlich ihrer Wirksamkeit lediglich einer zeitlichen Begrenzung gleichkommen, weswegen ein gewisses Umgehungsrisiko hingenommen werden kann und muss. Als technisches Mittel genügt nach Maßgabe der KJM etwa eine Variante der Personalausweis-Kennziffern prüfung.^[15] Bei diesem Verfahren werden die Angaben aus der maschinenlesbaren Zone abgefragt, i.d.R. Geburts- und Gültigkeitsdatum inkl. Prüfziffern, ggf. weitere Angaben sowie die Gesamtprüfziffer. Die Prüfziffern stellen kein Sicherheitsmerkmal dar und können leicht anhand der öffentlich bekannten Berechnungsvorschriften für beliebige Werte berechnet werden. Entsprechende Generatoren für „gültige“ Personalausweiskennziffern mit beliebigen Angaben sind frei verfügbar. Ein vorgeschaltetes System zur Verifikation des konkret Nutzenden dürfte vor diesem Hintergrund nicht erforderlich sein. Eine reine Altersangabe hingegen dürfte den Anforderungen aber auch nicht genügen.

b) Jugendschutz bei Glücksspielen im Internet & dem Kauf von Produkten

Anbieter von Glücksspielen im Internet müssen gem. §  6e Abs.  1 Glücksspielstaatsvertrag (GlüStV) durch geeignete technische Verfahren zur Identifizierung und Authentifizierung sicherstellen, dass Minderjährige ausgeschlossen sind. Die jeweils zuständige Landesbehörde kann in der Erlaubnis Vorgaben hinsichtlich der konkreten Durchführung dieser Methoden treffen.

Der elektronische Handel darf, wie der analoge auch, bestimmte Produkte, z.B. Alkohol (§ 9 JuSchG), Tabakwaren (§ 10 JuSchG) oder Waffen (etwa § 35 WaffG) erst ab Erreichen bestimmter Altersschwellen verkaufen. Konkrete Regelungen zu Methoden der Altersprüfung sehen die Gesetze nicht vor. Der elektronische Handel kann den Verboten aber nicht ohne den Einsatz solcher Methoden nachkommen. Regelmäßig dürfte hier ein hohes Vertrauensniveau erforderlich sein.

c) Digital Services Act (DSA)

Auf EU-Ebene verpflichten Art. 28 Abs. 1 und 2 Digital Services Act (DSA) Anbieter von Online-Plattformen, die für Minderjährige zugänglich sind, Maßnahmen für die Privatsphäre, die Sicherheit und den Schutz Minderjähriger zu ergreifen. Art.  28 Abs.  3 DSA stellt klar, dass hieraus keine Pflicht erwächst, zusätzliche Daten zur Altersermittlung zu verarbeiten – insbesondere nicht, bevor Minderjährige den jeweiligen Dienst nutzen (siehe dazu auch Erwägungsgrund 71 a.E. DSA). Insofern gelten für die Rechtmäßigkeit der Datenverarbeitungen die allgemeinen Regelungen der DS-GVO (siehe dazu Abschnitt III.1.).^[16]

Von der Kommission definierte sehr große Online-Plattformen^[17] müssen gem. Art. 34 DSA eine Bewertung der besonderen systematischen Risiken hinsichtlich ihrer Dienste durchführen. Bei Feststellung eines hohen Risikos müssen sie dieses durch angemessene, verhältnismäßige, wirksame und auf die ermittelten Risiken zugeschnittene Maßnahmen mindern.

Als Risikominderungsmaßnahme kommen u.a. gem. Art. 35 Abs. 1 lit. j) DSA auch „Werkzeuge der Altersprüfung und zur elterlichen Kontrolle“ in Betracht. Wie alle Maßnahmen der Risikominderung müssen auch diese angemessen, verhältnismäßig und wirksam sein.^[18] Erwägungsgrund 89 DSA konkretisiert, dass die Methoden zur Altersprüfung bei Diensten in Betracht kommen sollen, die sich in erster Linie an Minderjährige richten oder überwiegend von diesen genutzt werden. Neben einer Altersprüfung nennt Art. 35 Abs. 1 DSA andere Maßnahmen wie die Anpassung der Gestaltung, Merkmale oder Funktionsweise des Dienstes, die Anpassung und Durchsetzung allgemeiner Geschäftsbedingungen, Verfahren der Moderation von Inhalten (content moderation), Überprüfung der algorithmischen Systeme, Stärkung der internen Prozesse, Sensibilisierungsmaßnahmen, Meldeverfahren, Kennzeichnungen oder die Zusammenarbeit mit vertrauenswürdigen Hinweisgebern, anderen Anbietern von Online-Plattformen oder Suchmaschinen.

Bei der Auswahl der konkreten Maßnahmen müssen sie u.a. die in Art. 24 Charta der Grundrechte der EU (EU-GRCh) verankerten Rechte des Kindes berücksichtigen. Neben dem Anspruch auf Schutz und Fürsorge ist diesem Grundrecht auch ein dem Alter angemessener Teilhabeanspruch immanent (siehe dazu Abschnitt III. 2.).^[19]

d) Datenschutz-Grundverordnung (DS-GVO)

Die DS-GVO nennt Methoden der Altersprüfung nicht und enthält dazu keine spezifischen Regelungen. Angesprochen wird in Art. 8 Abs. 2 DS-GVO lediglich die Verifikation der Einwilligung durch die Zustimmung des Erziehungsberechtigten bei der Nutzung von Diensten der Informationsgesellschaft durch Minderjährige. Die Prüfung des Alters der Minderjährigen wird hingegen nicht erwähnt. Dennoch beinhalten Art. 8 DS-GVO aber auch die Erlaubnistatbestände nach Art. 6 Abs. 1 lit. a), b) und f) der DS-GVO Besonderheiten bzgl. Minderjähriger und es stellt sich die Frage, ob sich hieraus der Einsatz von Methoden zur Altersprüfung rechtfertigen lässt.

Art. 8 DS-GVO regelt die Bedingungen für eine wirksame Einwilligung bei Diensten der Informationsgesellschaft. Minderjährige können nach Abs. 1 S. 1 selbst einwilligen, wenn sie das 16. Lebensjahr vollendet haben.^[20] Bei jüngeren Nutzenden bedarf es der Einwilligung bzw. Zustimmung der Erziehungsberechtigten.

Hieraus ergibt sich ein Bedürfnis für Verantwortliche zu prüfen, ob Nutzende eines angebotenen Dienstes 16 Jahre oder älter sind. Art. 8 Abs. 2 DS-GVO verpflichtet Verantwortliche unter Berücksichtigung der verfügbaren Technik und Angemessenheit, sich über die Rechtmäßigkeit der Einwilligung zu vergewissern. Eine allgemeine Pflicht zur Altersprüfung sieht die Norm nicht vor.^[21] Da im Online-Kontext kein persönlicher Kontakt besteht, kann der Verantwortliche sich kein persönliches Bild vom Nutzenden machen und ist auf alternative Ansätze zur Prüfung des Alters angewiesen.

Auch bei der allgemeinen Einwilligung nach Art. 6 Abs. 1 lit.  a) DS-GVO spielt das Alter des Betroffenen eine Rolle. Nach deutschem Recht kommt es für die Einwilligungsfähigkeit des Kindes auf dessen Einsichtsfähigkeit an, welche sich mit dem Alter entwickelt. Generell gilt, dass ein älteres Kind in komplexere Datenverarbeitungen einwilligen kann als ein jüngeres Kind. Systeme der Altersprüfung werden jedoch regelmäßig in solchen Konstellationen zur Anwendung kommen, in denen gleichzeitig ein Dienst der Informationsgesellschaft i.S.v. Art. 8 DS-GVO angeboten wird.

In Fällen eines geringen Risikos genügt für die Abgabe einer Einwilligung die Abfrage einer reinen Altersangabe. Eine Altersprüfung zur Feststellung der Einwilligungsfähigkeit kommt nur bei Zweifeln oder risikoreicheren Verarbeitungstätigkeiten in Betracht.^[22]

Neben der Einwilligung spielt auch bei einem Vertrag als Rechtsgrundlage einer Datenverarbeitung (Art. 6 Abs. 1 lit. b) DS-GVO) das Alter der betroffenen Person (hier des Vertragspartners) eine Rolle. Minderjährige sind nach deutschem Recht nur beschränkt geschäftsfähig und können nur unter Mitwirkung ihrer Erziehungsberechtigten wirksam Verträge schließen (siehe dazu Abschnitt II. 1. e)).

Stützt ein Verantwortlicher die Verarbeitung personenbezogener Daten auf ein berechtigtes Interesse (Art. 6 Abs. 1 lit.  f) DS-GVO), muss er berücksichtigen, ob die betroffene Person minderjährig ist. Nach Art. 6 Abs. 1 lit. f) a.E. DS-GVO sind bei der Interessenabwägung die Interessen von Kindern besonders zu berücksichtigen. Der Verantwortliche hat in dieser Konstellation also ebenfalls ein Interesse daran, zu wissen, ob die Betroffenen minderjährig sind.

Teilweise wird vor dem Hintergrund des besonderen Schutzes, den Kindern nach der DS-GVO zukommt, angenommen, aus Art. 25 Abs. 1 i.V.m. Art. 5 Abs. 1 lit. a) DS-GVO erwachse eine Pflicht, Methoden der Altersprüfung einzusetzen.^[23] Allerdings enthält Art.  25 Abs.  1 DS-GVO keine Ausnahme vom Verarbeitungsverbot i.S.d. Art.  6 Abs.  1 DS-GVO. Eine solche könnte sich allenfalls aus Art. 6 Abs. 1 lit. c) DS-GVO ergeben, also bei Annahme einer rechtlichen Verpflichtung.^[24] Art.  25 DS-GVO verpflichtet nicht konkret zu Altersprüfungen, sondern verlangt Verantwortlichen eine Abwägung der zu treffenden technischen und organisatorischen Maßnahmen ab. Die Abwägung müsste, neben dem Stand der Technik und der Implementierungskosten, vorrangig das Kindeswohl berücksichtigen (siehe hierfür Abschnitt II. 2.). Allerdings dient Art. 25 DS-GVO ausweislich des Wortlauts insbesondere der Sicherstellung des Grundsatzes der Datenminimierung (siehe auch Erwägungsgrund 78), was gegen die Ableitung zusätzlicher Verarbeitungspflichten spricht.^[25]

Der Einsatz von Methoden der Altersprüfung wird jedenfalls obsolet, wenn die Datenverarbeitungen des digitalen Dienstes so ausgestaltet sind, dass sie sowohl gegenüber Kindern als auch Erwachsenen rechtlich zulässig sind. In diesem Sinne verpflichtet Art. 25 Abs. 2 DS-GVO zu datenschutzfreundlichen Voreinstellungen (Privacy by Default).

e) Vertragsrecht

Nach deutschem Zivilrecht sind Minderjährige vor Vollendung des 7. Lebensjahrs geschäftsunfähig (§  104 Nr.  1 BGB) und können keine Verträge abschließen. Minderjährige ab Vollendung des 7. Lebensjahrs sind beschränkt geschäftsfähig (§ 106 BGB). Sie benötigen für den Abschluss eines Vertrags in der Regel die vorherige oder nachträgliche Zustimmung ihrer gesetzlichen Vertreter (§§ 107, 108 BGB). Auch beim Abschluss eines Vertrages besteht für den Verantwortlichen somit ein Interesse zu wissen, welches Alter sein Vertragspartner hat. Eine Pflicht, Methoden der Altersprüfung einzusetzen, kann aus diesen Regelungen nicht abgeleitet werden.

f) EU-Verordnungsentwurf CSA-VO

Der aktuelle Verordnungsvorschlag der EU-Kommission zur Prävention und Bekämpfung des sexuellen Kindesmissbrauchs (CSA-VO)^[26] sieht bspw. in Art. 3 Abs. 2 lit. b) 3. Unterstrich, Art. 4 Abs. 3, Art. 6 Abs. 1 lit. c) sowie Erwägungsgrund 16 zwingende Methoden zur Altersprüfung ggü. Minderjährigen durch Diensteanbieter vor. In den Entwürfen zur CSA-VO wird der Begriff „age verification“ verwendet, jedoch ist anzunehmen, dass ein offeneres Verständnis des Begriffs angewendet wird, welches Methoden der Altersschätzung nicht ausschließt. Diese Altersüberprüfungen können im Ergebnis auch dazu führen, dass Stores für Softwareanwendungen Minderjährigen den Zugang zu bestimmten Anwendungen verwehren, vgl. Art. 6 Abs. 1 lit. b) des VO-Entwurfs.

Ähnlich optional und vorsichtiger als der Kommissionsvorschlag hat es der Europäische Datenschutzausschuss (EDSA) in seiner neuesten Stellungnahme 1/2024 zur CSA-VO vom 13.02.2024 formuliert („the EDPB […] stresses the importance of respecting data protection criteria if age verification systems were to be implemented by service providers”).^[27] Ob die CSA-VO am Ende verpflichtende oder optionale Methoden zur Altersprüfung vorsieht, wird sich voraussichtlich erst in den Trilog-Verhandlungen zwischen EU-Parlament, Rat der EU und der EU-Kommission zeigen. Voraussetzung für deren Beginn ist jedoch die noch ausstehende Einigung der Mitgliedstaaten im Rat („allgemeine Ausrichtung”).

2. Maßstäbe für die Abwägung, ob Methoden der Altersprüfung eingesetzt werden können

Der Einsatz von Methoden der Altersprüfung schafft immer eine faktische Hürde, digitale Dienste zu nutzen. Damit geht der Einsatz mit einem Eingriff zumindest in die allgemeine Handlungsfreiheit und potenziell eine Reihe weiterer Grundrechte – je nach Anwendungsfall der EU-GRCh oder des Grundgesetzes – einher, wie der Meinungsfreiheit oder dem Recht auf Bildung.^[28] Diese Eingriffe betreffen nicht nur Kinder, sondern alle Nutzenden digitaler Dienste.^[29] Es muss im Einzelfall abgewogen werden, ob Methoden der Altersprüfung eingesetzt werden können oder ob nicht mildere, gleich geeignete Mittel zur Verfügung stehen, um das verfolgte Ziel zu erreichen.

Unmittelbar an die Grundrechte gebunden ist nur die staatliche Gewalt, also die Gesetzgebung, vollziehende Gewalt und die Rechtsprechung. Im Wege der mittelbaren Drittwirkung können die Grundrechte jedoch auf die Rechtsbeziehungen Privater ausstrahlen, insbesondere, wenn sie in eine dem Staat vergleichbare Pflichten- und Garantenstellung hineinwachsen. Zudem trifft den Staat die Pflicht, grundrechtliche Positionen der Bürger aktiv zu schützen (sogenannte Schutzpflichtenlehre).^[30]

Auf EU-Ebene zentral ist die Verankerung der Rechte von Kindern in Art. 24 GRCh, der in Abs. 1 einen Anspruch auf Schutz, Fürsorge und Meinungsfreiheit formuliert und in Abs. 2 das Wohl des Kindes in den Mittelpunkt Kinder betreffender Maßnahmen öffentlicher Stellen und privater Einrichtungen stellt. Art. 24 Abs. 2 EU-GRCh beruht auf dem Übereinkommen der Vereinten Nationen über die Rechte des Kindes (Kinderrechtskonvention),^[31] das weltweit 196 Staaten ratifiziert haben.^[32]

Nach Art.  3 Abs.  1 UN-Kinderrechtskonvention (UN-KRK) muss bei allen Maßnahmen von Verwaltungsbehörden, und damit auch der Datenschutzbehörden, das Kindeswohl vorrangig berücksichtigt werden.^[33] Grundsätzlich sind widerstreitende Grundrechte stets auf gleicher Ebene in einen schonenden Ausgleich zu bringen (sogenannte praktische Konkordanz). Die vorrangige Berücksichtigung des Kindeswohls bedeutet nicht, dass dem Kindeswohl absoluter Schutz zukommt, wohl aber, dass ihm in der Abwägung besonderes Gewicht beigemessen werden muss.^[34]

Der Kinderrechtsausschuss der Vereinten Nationen hat sich mit der 25. Allgemeinen Bemerkung vom 2. März 2021 (GC25) erstmalig mit der Auslegung der UN-KRK im Hinblick auf das digitale Umfeld beschäftigt.^[35]

Das Kindeswohl umfasst neben der Schutzdimension, also insbesondere dem Schutz von Kindern vor schädlichen oder nicht vertrauenswürdigen Inhalten,^[36] Gewalt^[37] oder den Schutz der Privatsphäre und personenbezogener Daten von Kindern,^[38] auch eine Gewährleistungsdimension, die in der befähigenden Teilnahme im digitalen Umfeld^[39] und der Sicherstellung eines diskriminierungsfreien Zugangs zu digitalen Diensten liegt.^[40] Dieser ist Voraussetzung für die Wahrnehmung anderer, vorgenannter Grundrechte.^[41]

Der Einsatz von Methoden der Altersprüfung führt regelmäßig zu einem Eingriff in diese Grundrechte, wobei potenziell bereits Methoden, die ohne eine Datenverarbeitung auskommen, einen gefühlten Überwachungsdruck hervorrufen können.^[42] Jedenfalls ein vermehrter Einsatz von solchen Methoden birgt die Gefahr der Überidentifizierung.

Der GC25 sieht den Einsatz zuverlässiger Altersverifikationssysteme nur dort vor, wo es um den Zugang zu Produkten und Dienstleistungen geht, die Kindern untersagt sind.^[43] Im Übrigen sollen andere Maßnahmen, wie content moderation, eingesetzt werden und nicht der Zugang zu digitalen Diensten insgesamt beschränkt werden.^[44] Ein überborden der Einsatz von Altersprüfungen außerhalb des Schutzes von Kindern vor gefährdenden Inhalten widerspricht regelmäßig dem Wohl des Kindes, da Kindern womöglich die Wahrnehmung ihrer Grundrechte auf Privatsphäre und Datenschutz sowie der weiteren o.g. Grundrechte^[45] von vornherein unmöglich gemacht wird. Statt Kindern die Teilhabe an digitalen Diensten zu verweigern, sollte ihnen ein kindgerechter Zugang gewährt werden.

Daher sollte regelmäßig eine Altersprüfung nur für Teilbereiche oder für den Zugang gefährdender Inhalte eingesetzt werden. Eine Erforderlichkeit kann nicht angenommen werden, wenn mildere Mittel gleich geeignet sind, die verfolgten Interessen zu erreichen. In Betracht kommen etwa Privacy by Design and Default (siehe Abschnitt III. 1. g)) oder andere Maßnahmen des digitalen Dienstes, wie Sensibilisierungsmaßnahmen, content moderation oder Meldeverfahren (siehe Abschnitt II. 1. c)).

Diese widerstreitenden Interessen zeigen, dass eine allgemeingültige Handhabung von Methoden der Altersprüfung der Komplexität nicht gerecht würde und im jeweiligen Einzelfall abgewogen werden muss, ob Methoden der Altersprüfung zum Einsatz kommen können.^[46] Die UN-KRK fordert bei Verwaltungsentscheidungen und von Diensteanbietern eine Rechtsfolgenabschätzung für Kinderrechte („child rights impact assessments“).^[47]

In der Abwägung muss schließlich auch berücksichtigt werden, dass Methoden der Altersprüfung in vielen Fällen wenig effektiv sind, was mittlerweile auch durch Studien belegt ist.^[48] Das liegt daran, dass sie im Regelfall leicht umgangen werden können, etwa, indem Nutzende digitale Dienste wählen, die außerhalb der jeweiligen (nationalen oder europäischen) Jurisdiktion liegen oder denen gegenüber eine Rechtsdurchsetzung nicht erfolgversprechend ist. Ohne größere Hürden lassen sich auch Methoden der Altersprüfung umgehen, die digitale Dienste lokal begrenzt einsetzen.^[49]

3. Zwischenergebnis

Gesetzlich vorgeschrieben ist der Einsatz von Methoden der Altersprüfung allein zum Schutz von Kindern vor jugendgefährdenden Inhalten und Glückspielen im Internet. Zudem muss der elektronische Handel sicherstellen, dass bestimmte Waren nur an Personen verkauft werden, die bestimmte Altersgrenzen erreicht haben. In diesen Bereichen kommen regelmäßig Altersverifikationssysteme in Frage und keine Methoden der Altersschätzung, die regelmäßig kein hohes Vertrauensniveau erreichen.

Daneben kommt der Einsatz von Methoden der Altersprüfung insbesondere in Fällen in Betracht, (a) in denen Minderjährige vor spezifischen Gefährdungen, wie entwicklungsbeeinträchtigenden Inhalten, Gewalt, Grooming oder Sucht geschützt werden sollen, (b) in denen sehr große Online-Plattformen einem identifizierten besonderen systematischen Risiko für Kinder begegnen, (c) in denen Minderjährigen spezielle Angebote gemacht werden, etwa um für sie geschützte Räume zu schaffen, oder (d) in denen die Kenntnis des Alters für die Erfüllung bzw. den wirksamen Abschluss eines Vertrages oder der Einholung einer wirksamen Einwilligung im Einzelfall erforderlich ist. Gegebenenfalls kommen zukünftig durch die CSA-VO auch noch Methoden der Altersprüfung hinzu, um Minderjährige, die ein bestimmtes Mindestalter noch nicht erreicht haben, von Diensten auszuschließen, die ein hohes Risiko für die Anbahnung von Kontakten in sexueller Missbrauchsabsicht (sog. Grooming) aufweisen.

In diesen Fällen müssen Dienstanbieter im Einzelfall eine Abwägung der widerstreitenden Interessen vornehmen und dabei das Wohl des Kindes vorrangig berücksichtigen. In der Abwägung müssen die Interessen des Dienstanbieters an einer Altersprüfung und das Interesse der Gewährleistung der Sicherheit Minderjähriger im digitalen Umfeld mit den durch die Methode der Altersprüfung einhergehenden Eingriffen in die Grundrechte Minderjähriger und aller Nutzenden in einen schonenden Ausgleich gebracht werden. Hierbei müssen insbesondere die Rechte auf Teilhabe und Befähigung sowie die Rechte auf Privatsphäre und Datenschutz Minderjähriger berücksichtigt werden.

Eine Erforderlichkeit kann nicht angenommen werden, wenn mildere Mittel gleich geeignet sind, das verfolgte Interesse zu erreichen. Da der praktische Nutzen von Methoden der Altersprüfung vor dem Hintergrund bestehender Umgehungsmöglichkeiten, die ohne allzu große Hürden genutzt werden können, fraglich ist, sollten sie nur zurückhaltend eingesetzt werden. Ein echter Schutz Minderjähriger in digitalen Diensten bedarf regelmäßig anderer Maßnahmen.

III. Wie und welche Methoden der Altersprüfung in Frage kommen

Der Einsatz von Methoden der Altersprüfung geht mit einer Verarbeitung personenbezogener Daten einher, sodass die allgemeinen datenschutzrechtlichen und -technischen Anforderungen greifen (Abschnitt III. 1.). Außerhalb gesetzlicher Forderungen muss im Einzelfall abgewogen werden, welche Methoden eingesetzt werden können (Abschnitt III. 2.).

1. Datenschutzrechtliche und -technische Anforderungen

Soweit zur Altersprüfung personenbezogene Daten verarbeitet werden, müssen die Verantwortlichen die Vorgaben der DS-GVO einhalten. Allgemein müssen die bei der Altersprüfung stattfindenden Datenverarbeitungstätigkeiten den Grundsätzen des Art. 5 Abs. 1 DS-GVO genügen. Verantwortliche müssen die Einhaltung der Grundsätze gem. Art. 5 Abs. 2 DS-GVO nachweisen können (Rechenschaftspflicht).

Datenschutzrechtlich Verantwortlicher für Datenverarbeitungen zu Zwecken der Altersprüfung ist grundsätzlich der Diensteanbieter, der eine Methode der Altersprüfung einsetzt. Häufig verarbeitet ein Hersteller oder Anbieter einer Methode der Altersprüfung (Dienstleister) die Daten in dessen Auftrag. In diesen Fällen muss ein Auftragsverarbeitungsvertrag i.S.d. Art.  28 DS-GVO geschlossen werden. Im Einzelfall kann auch eine gemeinsame Verantwortlichkeit i.S.v. Art. 26 DS-GVO vorliegen, wenn der Diensteanbieter und Dienstleister gemeinsam über die Zwecke und Mittel der Verarbeitung entscheiden.^[50]

Im Folgenden werden einige spezifische Anforderungen mit Blick auf die Besonderheiten von Methoden der Altersprüfung beleuchtet. Einige Datenschutzaufsichtsbehörden haben hierzu auch bereits Stellungnahmen und Leitlinien veröffentlicht.^[51]

a) Rechtmäßigkeit

Der Einsatz von Methoden der Altersprüfung ist mit der Verarbeitung personenbezogener Daten verbunden. Hierfür bedarf es einer Rechtsgrundlage (Art. 5 Abs. 1 lit. a) i.V.m. Art. 6 DS-GVO).

Sofern die Altersprüfungen durchgeführt werden, um einer rechtlichen Verpflichtung nachzukommen, kann die Datenverarbeitung auf Art.  6 Abs.  1 lit.  c) DS-GVO gestützt werden. Hier kommen § 6e Abs. 1 GlüStV und § 4 Abs. 2 S. 2 JMStV, die sogar eine Altersverifikation fordern, sowie §  5 Abs.  1, Abs.  3 Nr.  1 JMStV, bei dem eine Altersschätzung genügen dürfte, in Betracht.

Eine Einwilligung (Art.  6 Abs.  1 lit.  a) DS-GVO) dürfte als Rechtsgrundlage für die Altersprüfung hingegen regelmäßig ausscheiden. Die Methode der Altersprüfung dient dazu festzustellen, wie alt das Kind ist. Um zu wissen, ob das Kind selbst einwilligen kann (oder ob dies die Eltern für das Kind tun müssen), muss der Verantwortliche aber das Alter bereits kennen.

Art. 6 Abs. 1 lit. b) könnte im Kontext der Vertragsanbahnung als Rechtsgrundlage in Betracht kommen. Die Altersprüfung müsste dann als vorvertragliche Maßnahme eingestuft werden.

Alternativ kommt für private Stellen Art.  6 Abs.  1 lit.  f) DS-GVO (berechtigtes Interesse) als Rechtsgrundlage in Betracht. Wenn für die Bereitstellung eines Dienstes relevant ist, ob ein Kind den Dienst nutzt (um bspw. Kinderschutzmaßnahmen greifen zu lassen), könnte ein berechtigtes Interesse des Verantwortlichen vorliegen. Je nach Einzelfall könnte dies sogar im Interesse des Kindes bzw. zum Wohl des Kindes erfolgen.

Öffentliche Stellen müssten prüfen, ob sie Verfahren zur Altersprüfung ggf. auf Art. 6 Abs. 1 lit. e) DS-GVO (Wahrnehmung einer öffentlichen Aufgabe) stützen können. Art.  6 Abs. 1 lit. f) DS-GVO kommt für öffentliche Stellen aufgrund von Art. 6 Abs. 1 UAbs. 2 DS-GVO nicht in Betracht.

Auch aus Art. 8 DS-GVO könnte sich ein berechtigtes Interesse ableiten lassen. Wenn der Verantwortliche prüft, ob die minderjährige Person selbst in einen Dienst einwilligen kann, muss er zunächst wissen, wie alt die betroffene Person ist. Für diese Prüfung käme Art. 6 Abs. 1 lit. f) DS-GVO als Rechtsgrundlage in Betracht.

Problematisch scheint eine Rechtsgrundlage für Verfahren zur Altersprüfung, die sensible Daten i.S.v. Art. 9 DS-GVO verarbeiten. Eine wirksame Einwilligung nach Art.  9 Abs.  2 lit. a) i.V.m. Art. 6 Abs. 1 lit. a) DS-GVO scheidet aus, da hierfür bereits bekannt sein muss, ob die minderjährige Person einwilligungsfähig ist. In Betracht käme allenfalls Art. 9 Abs. 2 lit. g) DS-GVO. Hierfür müsste jedoch eine Rechtsvorschrift bestehen, die die Anforderungen des Art. 9 Abs. 2 lit. g) DS-GVO erfüllt. Eine solche ist nicht bekannt.

b) Transparenz

Der Verantwortliche muss betroffene Personen über die Datenverarbeitungen gemäß den Artt.  12 bis 14 DS-GVO informieren.

Hinsichtlich der Methoden der Altersprüfung ist vornehmlich die Vorschrift des Art. 12 Abs. 1 S. 1 a.E. DS-GVO relevant, wonach insbesondere Informationen, die sich speziell an Kinder richten, in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermittelt werden müssen. Erwägungsgrund 58 S. 4 DS-GVO konkretisiert dies dahingehend, dass die Informationen so formuliert sein müssen, dass ein Kind sie verstehen kann. Eine kindergerechte Ansprache kann etwa auch in Kombination mit Bildsymbolen nach Art. 12 Abs. 7 DS-GVO gelingen.

Regelmäßig werden die Daten direkt bei der betroffenen Person erhoben. Ist dies nicht der Fall, muss zusätzlich die Quelle der Daten benannt werden, Art. 14 Abs. 2 lit. f) DS-GVO.

Im Übrigen müssen die allgemeinen Informationen gem. Artt. 13, 14 DS-GVO bereitgestellt werden, wie etwa die Zwecke, die Rechtsgrundlage, die Empfänger von Daten, die Absicht einer Drittlandübermittlung oder die Speicherdauer. Liegt ein Fall des Art.  22 DS-GVO vor (siehe Abschnitt III.1.h)) müssen auch Informationen über die involvierte Logik sowie Tragweite und Auswirkungen der Verarbeitung erteilt werden.

c) Zweckbindung

Art. 5 Abs. 1 lit. b) DS-GVO zufolge dürfen zu Zwecken der Altersprüfung erhobene Daten nur in einer damit zu vereinbarenden Weise weiterverarbeitet werden.

Sollen personenbezogene Daten, die zu Zwecken der Altersprüfung erhoben wurden, zu anderen Zwecken weiterverarbeitet werden, ist dies nur unter den Voraussetzungen des Art. 6 Abs. 4 DS-GVO zulässig. Hierfür sind im Einzelfall u.a. die jeweiligen Zwecke, die verwendeten Daten und die möglichen Folgen abzuwägen. Hierbei ist besonders zu berücksichtigen, dass es sich um die Daten Minderjähriger handelt, die eines besonderen Schutzes bedürfen. Die Daten wurden erhoben, um ihr Alter und damit ihre Schutzwürdigkeit festzustellen. Diese Daten dürfen dann nicht zum Nachteil der Minderjährigen weiterverarbeitet werden, um bspw. Minderjährige über Webseitengrenzen hinweg zu tracken, Profile zu erstellen oder personalisierte Werbung zu ermöglichen, indem die Informationen der Altersprüfung an Dritte wie Internetzugangsanbieter oder andere Anbieter digitaler Dienste weitergegeben werden.

In diesem Zusammenhang sieht §  20 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) ein Verbot für eine Verarbeitung zu kommerziellen Zwecken vor, wenn ein Diensteanbieter zur Wahrung des Jugendschutzes personenbezogene Daten von Minderjährigen erhoben hat.

d) Datenminimierung

Die Datenverarbeitung im Rahmen der Altersprüfung muss gem. Art.  5 Abs.  1 lit.  c) DS-GVO dem Zweck der Altersprüfung angemessen und erheblich sowie auf das für die Zwecke der Altersprüfung notwendige Maß beschränkt sein. Dieser Grundsatz findet sich mit dem Merkmal der Erforderlichkeit in den Erlaubnistatbeständen des Art. 6 Abs. 1 DS-GVO wieder.

Zweck der Altersprüfung ist die Bestätigung des Alters der Nutzenden. Eine Methode der Altersprüfung darf nur Daten erheben, die für die Zwecke der Altersfeststellung erforderlich sind und die Datenverarbeitungstätigkeit muss auf das zur Erreichung dieses Zwecks erforderliche Maß beschränkt sein. Daraus folgt insbesondere, dass eine eindeutige Identifizierung der Nutzenden regelmäßig nicht zulässig ist.

Dies verlangt dem Verantwortlichen eine Abwägung ab, welche Daten in welchem Umfang verarbeitet werden, um das Alter zu bestätigen. Der Einsatz eingriffsintensiver Systeme, die etwa biometrische Daten verwenden, kommt daher nur in Betracht, sofern die Anforderungen an die Verlässlichkeit der Altersbestätigung dies rechtfertigen und nicht datensparsamere Systeme gleich geeignet sind.

In den meisten Fällen benötigt der Dienst auch nicht mehr als die Information, ob die nutzende Person berechtigt ist, Zugang zum Dienst oder bestimmten Inhalten zu erhalten. In diesen Fällen ist die Speicherung und Weiterverarbeitung des konkreten Alters oder einer Altersspanne (wie ein Status „minderjährig“) ebenso wenig erforderlich wie die weiterer Informationen zur Person. Im Regelfall dürfen daher weder der Anbieter der Methode der Altersprüfung (Dienstleister) noch der die Methode einsetzende Diensteanbieter (Verantwortlicher) mehr Daten speichern, als die Information, dass die betroffene Person eine Berechtigung hat, Zugang zu einem Dienst oder bestimmten Inhalten zu erhalten.

e) Richtigkeit

Der Grundsatz der Richtigkeit des Art. 5 Abs. 1 lit. d) DS-GVO verlangt, dass die verarbeiteten Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind.

Verantwortliche müssen daher unter anderem nach Art. 25 Abs.  1 DS-GVO hinreichende technische und organisatorische Maßnahmen treffen, die sicherstellen, dass die Altersprüfungen nicht zu falschen oder diskriminierenden Ergebnissen führen, wobei die Risiken für die Nutzenden, der Stand der Technik und die Implementierungskosten zu berücksichtigen sind. Dies hat insbesondere für künstliche Intelligenz und selbstlernende Systeme eine große Bedeutung.^[52]

Den betroffenen Personen muss eine Möglichkeit zur Korrektur ihrer Angaben gegeben werden, wenn diese nicht dem Grundsatz der Richtigkeit genügen.

f) Speicherbegrenzung

Für Methoden der Altersprüfung relevant ist auch der Grundsatz der Speicherbegrenzung des Art. 5 Abs. 1 lit. e) DS-GVO, wonach personenbezogene Daten in einer Form gespeichert werden, mit der die Identifizierung der betroffenen Personen grundsätzlich nur so lange möglich ist, wie es für die Zwecke erforderlich ist, für die sie verarbeitet werden.

Die für die Altersprüfung benötigten Daten dürfen nur so lange gespeichert werden, wie sie für die Durchführung der Altersprüfung benötigt werden. Anschließend genügt die Speicherung der Information, dass eine Person berechtigt ist, auf den Dienst zuzugreifen. Alle weitergehenden Daten aus dem Prüfprozess werden dann in der Regel nicht mehr benötigt und sind zu löschen.

g) Technisch-organisatorische Maßnahmen für den Datenschutz und die Datensicherheit

Der Verantwortliche muss die Einhaltung aller Datenschutzgrundsätze des Art. 5 DS-GVO gem. Art. 24 DS-GVO durch den Einsatz geeigneter technischer und organisatorischer Maßnahmen (TOMs) sicherstellen. Angesprochen sind damit auch die Pflichten zu Privacy by Design and Default des Art. 25 DS-GVO.

Ferner dürfen personenbezogene Daten gemäß dem Grundsatz der Integrität und Vertraulichkeit (Art. 5 Abs. 1 lit. f) DS-GVO) nur in einer Weise verarbeitet werden, die eine angemessene Sicherheit der Daten gewährleistet. Art. 32 DS-GVO konkretisiert diese Pflicht, wonach geeignete TOMs implementiert werden müssen, die einen angemessenen Schutz etwa vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung gewährleisten.

Die TOMs müssen dem Risiko der jeweiligen Verarbeitung angemessen sein (risikobasierter Ansatz), wobei auch der Stand der Technik und die Implementierungskosten zu berücksichtigen sind.

Altersverifikationssysteme, die mit einem höheren Risiko einhergehen, weil sie etwa mit biometrischen Daten arbeiten (Art. 9 DS-GVO)^[53] oder eine automatisierte Entscheidung vornehmen (Art.  22 DS-GVO), müssen daher höheren Anforderungen an TOMs genügen, als solche, die mit weniger risikobehafteten Verarbeitungen einhergehen.

h) Automatisierte Entscheidung (Art. 22 DS-GVO)

Gem. Art.  22 Abs.  1 DS-GVO hat die betroffene Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu sein, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Automatisierte Entscheidungen sind nur zulässig soweit die zusätzlichen Voraussetzungen der Absätze 2 bis 4 des Art. 22 DS-GVO erfüllt sind.

aa) Vorliegen einer automatisierten Entscheidung i.S.v. Art. 22 Abs. 1 DS-GVO

Eine solche, durch die DS-GVO nicht legaldefinierte, automatisierte Entscheidungsfindung ist jedenfalls eine nicht durch die betroffene Person beeinflussbare Entscheidung, die ohne menschliche Beteiligung allein durch automatisierte Prozesse erfolgt. Ausreichend soll auch eine auf einem Datenverarbeitungsprozess aufbauende Entscheidung sein.[54]

Als Anwendungsfall kämen etwa eine automatisierte Altersermittlung durch Dritte in Betracht, auf der die Entscheidung des Diensteanbieters beruht, einer Person Zugang zu einem Dienst einzuräumen. Eine solche automatisierte Altersermittlung könnte etwa bei einer Altersschätzung anhand phänotypischer (erscheinungstypischer) Merkmale oder Nutzungsverhalten gegeben sein.

Die Entscheidung, ob einer nutzenden Person aufgrund ihres Alters Zugang zu einem Dienst gewährt wird, entfaltet für diese rechtliche Wirkung i.S.d. Art. 22 Abs. 1 DS-GVO. Zwar dürfte hier entsprechend Art. 22 Abs. 1 a.E. DS-GVO eine gewisse Erheblichkeit zu berücksichtigen sein. Diese wird jedoch mit Blick auf das Recht aller Menschen auf Teilhabe am digitalen gesellschaftlichen Leben regelmäßig anzunehmen sein. Auch der EuGH bestätigte unlängst, dass eine „erhebliche Beeinträchtigung genügt“.^[55] Diese dürfte zumindest dann eintreten, wenn die Altersprüfung als eine Art „Zugangsschranke“ eingesetzt wird. Eine automatisierte Entscheidung i.S.v. Art.  22 DS-GVO kommt damit insbesondere bei Systemen der Altersschätzung in Betracht, mit denen geprüft wird, ob eine Person Zugang etwa zu einer Anwendung oder einer Dienstleistung erhalten soll. Eine Erheblichkeit wird regelmäßig nicht anzunehmen sein, wenn eine Methode mit automatisierter Entscheidungsfindung nur vorgeschaltet eingesetzt wird und bei einer Ablehnung des Zugangs die Möglichkeit der Altersverifikation bleibt, die nicht auf einer automatisierten Entscheidung beruht.

Bei Systemen der Altersverifikation, bei denen das Alter zwar automatisiert, aber anhand der Prüfung eines Ausweisdokumentes bzw. einer anderen digitalen Identität erfolgt, ist Art. 22 DS-GVO nicht zwingend einschlägig.

Ab welchem Zeitpunkt genau eine automatisierte Entscheidung anzunehmen ist, ist in der Literatur umstritten.^[56] In Zusammenschau mit Erwägungsgrund 71 und Art. 4 Nr. 4 DS-GVO ist Zweck des Art.  22 DS-GVO, nur solche automatisierte Entscheidungen zu erfassen, die auf die Bewertung persönlicher Aspekte abzielen.^[57] Dieser Auslegung ist zuzustimmen, da der Anwendungsbereich ansonsten sehr weit ausgedehnt würde und bspw. auch das Abheben an Geldautomaten umfassen würde, wo lediglich geprüft wird, ob eine gültige Karte vorliegt oder nicht, aber keine Bewertung persönlicher Merkmalen erfolgt. Ähnlich gelagert ist die Prüfung von elektronischen Ausweisdokumenten oder anderen digitalen Identitäten, bei der lediglich die Gültigkeit und ggf. die PIN geprüft werden. Entsprechende Verfahren zur Altersprüfung bzw. Altersverifikation sind damit nicht von Art. 22 DS-GVO umfasst.^[58]

Eine abschließende Bewertung, ob eine eingesetzte Methode der Altersprüfung unter Art. 22 DS-GVO fällt, muss im jeweiligen Einzelfall vorgenommen werden. Hierbei spielen nicht nur die eingesetzte Methode, sondern auch das konkrete Einsatzszenario eine entscheidende Rolle.

bb) Einwilligung, Vertrag oder Rechtsgrundlage (Art. 22 Abs. 2 DS-GVO)

Der Einsatz von Altersprüfungen, die unter Art.  22 Abs.  1 DS-GVO fallen, kommt nur bei Vorliegen einer Rechtsgrundlage nach Art. 22 Abs. 2 DS-GVO in Betracht. Hier gibt es drei Varianten: erforderlich für einen Vertrag (lit.  a)), Rechtsvorschrift, die angemessene Maßnahmen zur Wahrung der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person enthält (qualifizierte Rechtsvorschrift) (lit. b)) oder Einwilligung (lit. c)).

Eine Einwilligung als Rechtsgrundlage für eine Altersprüfung scheidet aus (siehe Abschnitt III.1.a)).

Als qualifizierte Rechtsgrundlagen für eine automatisierte Altersprüfung kämen § 6e Abs. 1 GlüStV, § 4 Abs. 2 S. 2 sowie § 5 Abs. 1, Abs. 3 Nr. 1 JMStV in Betracht. Es erscheint jedoch fraglich, ob diese die Anforderungen des Art. 22 Abs. 2 lit. b) DS-GVO erfüllen. Der JMStV enthält keine spezifischen Vorschriften zu Datenschutz- und Datensicherheit und dürfte damit als geeignete Rechtsgrundlage ausscheiden. Im GlüStV gibt es zwar in §§  6f und 6g GlüStV Regelungen zur IT-Sicherheit und zum Datenschutz. Diese beschäftigen sich aber nicht mit den spezifischen Anforderungen an automatisierte Altersprüfungen und dürften somit ebenfalls nicht die Anforderungen des Art. 22 Abs. 2 lit. b) DS-GVO erfüllen.

In Betracht kommt damit allenfalls Art.  22 Abs.  2 lit.  a) DS-GVO (Abschluss oder Erfüllen eines Vertrags). Dies erscheint im Einzelfall möglich, wenn gültiger Vertragspartner nur ein Volljähriger ist (z.B. aufgrund eines gesetzlichen Verbots, wie etwa nach GlüStV oder JMStV/JuSchG) oder ein bestimmtes Alter zur Bedingung des Vertragsabschlusses gemacht wird. Handelt es sich zusätzlich um einen digitalen Dienst, der aufgrund der Masse seiner Vertragspartner eine persönliche Überprüfung nicht gewährleisten kann, könnte eine automatisierte Prüfung im Einzelfall als erforderlich angesehen werden.

Auch Erwägungsgrund 71 DS-GVO steht dieser Bewertung nicht entgegen. Demzufolge sollen sich automatisierte Entscheidungen nicht auf Kinder beziehen. In dieser Konstellation ist allerdings zu berücksichtigen, dass es gerade Ziel der Methoden der Altersprüfung ist, Minderjährige zu schützen, womit der Erwägungsgrund nicht entgegenstehen dürfte.

Erwägungsgrund 71 DS-GVO fordert allerdings auch angemessene Garantien, einschließlich der Information und Möglichkeit des Einschreitens durch die Betroffenen gegen die Entscheidung. Daher muss jedenfalls eine nachträgliche Überprüfung der Entscheidung, initiiert durch die betroffene Person, möglich sein (siehe auch Art. 22 Abs. 3 DS-GVO).

Sollten die Voraussetzungen des Abs. 2 erfüllt sein, muss der Verantwortliche bei der Ausgestaltung die zusätzlichen Anforderungen der Absätze 3 und 4 DS-GVO erfüllen.

i) Datenschutz-Folgenabschätzung

Für Verarbeitungen, die – insbesondere bei Verwendung neuer Technologien – aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, muss der Verantwortliche gem. Art. 35 Abs. 1 S. 1 DS-GVO vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchführen (Datenschutz-Folgenabschätzung, DSFA). Hierzu haben die DSK (nicht öffentlicher Bereich) und der BfDI (öffentlicher Bereich Bund) Listen von Verarbeitungen erstellt, für die eine DSFA erstellt werden müssen.^[59]

Methoden der Altersprüfung sind in diesen Listen zwar nicht konkret benannt, dürften aber in aller Regel eine DSFA erfordern.^[60] Die Verarbeitung umfasst eine Einstufung betroffener Personen hinsichtlich ihres Alters und es werden typischerweise auch Daten von Kindern verarbeitet. Eine DSFA ist jedenfalls verpflichtend für Systeme der Altersprüfung, die biometrische Daten zur Identifizierung der betroffenen Person (Art.  9 DS-GVO) verarbeiten,^[61] oder für Systeme, die neue Technologien einsetzen, die dem Stand der Technik voraus sind.

3. Maßstäbe der Abwägung, welche Methoden der Altersprüfung eingesetzt werden können

In wenigen Fällen regelt das Gesetz ausdrücklich, dass und welche Methoden der Altersprüfung eingesetzt werden müssen (bei jugendgefährdenden Inhalten, Glücksspielen im Internet und bei dem Verkauf bestimmter Waren, siehe Abschnitt II.1.). Außerhalb dieser Fälle muss nicht nur eine Verhältnismäßigkeitsabwägung der betroffenen Grundrechte hinsichtlich der Frage vorgenommen werden, ob eine solche Methode eingesetzt wird (siehe Abschnitt II.2.), sondern auch eine Abwägung darüber vorgenommen werden, welche Methoden der Altersprüfung in Frage kommen. Hinsichtlich der zu berücksichtigenden Grundrechte sei auf die Ausführungen in Abschnitt II.2. verwiesen und daran erinnert, dass das Wohl des Kindes bei der Abwägung vorrangig zu berücksichtigen ist.

Je nach Ausgestaltung der Methode zur Altersprüfung kommt es (auf EU-Ebene) zu intensiveren oder weniger intensiven Eingriffen in das Recht auf Achtung des Privat- und Familienlebens (Art. 7 EU-GRCh) und das Datenschutzgrundrecht (Art. 8 EU-GRCh) oder auf nationaler Ebene in das Recht auf Privatsphäre und das auf informationelle Selbstbestimmung (Art.  2 Abs.  1 i.V.m. 1 Abs.  1 GG). Der GC25^[62] stellt in diesem Zusammenhang klar, dass automatisierte Datenverarbeitungen, Profiling, nutzungsbasiertes Targeting, verbindliche Identitätsprüfungen, Informationsfilterung und Massenüberwachung willkürliche und rechtswidrige Eingriffe in das Recht von Kindern auf Privatsphäre nach sich ziehen und für Kinder langfristig negative Folgen haben können.^[63]

Außerhalb dieser absolut unzulässigen Fälle sind bei der Auswahl der eingesetzten Methoden regelmäßig datensparsamere Methoden zu bevorzugen. Methoden der Altersverifikation sollten grundsätzlich nur eingesetzt werden, wenn dies ausdrücklich gesetzlich vorgeschrieben ist, denn die Feststellung des Alters oder des Erreichens einer Altersschwelle auf Grundlage eindeutiger Identifikatoren oder verifizierter Identifikationsquellen, wie staatlicher Ausweisdokumente, hat regelmäßig einen höheren (gefühlten) Überwachungsdruck zur Folge und geht mit einer, wenn auch nur von den Nutzenden wahrgenommenen, Identifikation einher.^[64]

Gleichwohl muss beachtet werden, dass derzeit keine Methoden der Altersschätzung bekannt sind, die das Alter einer Person mit an Sicherheit grenzender Wahrscheinlichkeit richtig einschätzen können und dass die Methoden häufig dateninvasiv sind.^[65] Teilweise können Nutzende bestimmte Identifikationsmerkmale nicht vorweisen, etwa, weil sie kein eID-fähiges Ausweisdokument^[66] besitzen oder weil besondere körperliche Merkmale, Krankheiten oder Beeinträchtigungen eine Altersschätzung aufgrund biometrischer Merkmale unmöglich machen. Um nicht solche Nutzergruppen von digitalen Diensten oder Teilen davon auszuschließen, sollten möglichst unterschiedliche Methoden der Altersprüfung angeboten werden.^[67] Das Anbieten einer Auswahlmöglichkeit hat auch den Vorteil, dass der Eingriff durch bestimmte Methoden von Nutzenden immer auch ein Stück weit individuell unterschiedlich wahrgenommen wird. Für diese Fälle dürfte eine Aufweichung des Grundsatzes, dass datensparsameren Methoden Vorrang einzuräumen ist, angebracht sein, sofern die Nutzenden zwischen den angebotenen Methoden grundsätzlich frei wählen können.

3. Zwischenergebnis

Methoden der Altersprüfung müssen die allgemeinen datenschutzrechtlichen Anforderungen erfüllen. Dies kann zur Herausforderung insbesondere für dateninvasive Methoden der Altersschätzung werden. Insbesondere Methoden, die unter Art.  22 DS-GVO fallen, oder die sensible Daten verarbeiten, können nach geltendem Recht nur in wenigen Fällen rechtskonform eingesetzt werden.

Im Übrigen muss auch für die Frage, welche Methoden zum Einsatz kommen können, eine Risikoabwägung unter vorrangiger Berücksichtigung des Wohls der Kinder vorgenommen werden. Danach sind datensparsamere Methoden vorzuziehen, sofern sie ein hinreichend hohes Vertrauensniveau gewährleisten. Methoden der Altersverifikation sollten grundsätzlich nur in gesetzlich geregelten Fällen eingesetzt werden. Ferner sollten Diensteanbieter eine Auswahl an Methoden anbieten.

IV. Datenschutzpolitische Erwägungen

Der Einsatz von Methoden der Altersprüfung stellt Weichen für das Internet der Zukunft und entscheidet, wie frei zugänglich es sein wird. Ein freies, offenes Internet ist ein herausragendes Gut und Anonymität bzw. Pseudonymität eines der Grundprinzipien dieses freien Internets.^[68] Methoden der Altersprüfung bergen häufig das Risiko, dieses Grundprinzip aufzuheben. Einige Methoden der Altersprüfung haben eine eindeutige Identifizierung der Nutzenden zur Folge, obwohl dies für eine reine Altersprüfung nicht notwendig ist.

Selbst wenn die Daten nicht für eine eindeutige Identifikation verwendet werden, kann der Einsatz einer Methode der Altersprüfung subjektiv zu dem Gefühl führen, sich im Internet nicht frei und ohne Überwachung bewegen zu können.^[69] Während sich manche Personen bei der Nutzung staatlicher Dokumente zur Altersprüfung unwohl fühlen, tritt bei anderen dieses Gefühl z.B. bei der Nutzung von Gesichtsfotos auf.^[70] Eine Bereitstellung unterschiedlicher Systeme kann zur Selbstbestimmung beitragen und sollte angestrebt werden, sofern dem keine unverhältnismäßigen technischen oder finanziellen Hürden entgegenstehen.

Es ist wichtig, Informationen über die Funktionsweise und die Datenverarbeitungen von Methoden der Altersprüfung auch über die datenschutzrechtlichen Anforderungen hinaus transparent und deutlich zu kommunizieren und diese zu erklären. Dadurch können Nutzende die Unterschiede zwischen einer Altersprüfung und einer Identifikation sowie zwischen einer Altersschätzung und einer Altersverifikation deutlich erkennen und sich vor einer Überidentifizierung schützen.

Altersprüfungen sind sicherlich kein Allheilmittel für den Kinderschutz im Internet. Sie sind häufig für Minderjährige einfach zu umgehen,^[71] schränken aber gleichzeitig die Freiheit aller Nutzenden ein (vgl. Abschnitt II. 2.). Während es in einer Videothek oder einem Supermarkt einfach ist, den Zugang zu bestimmten Waren zuverlässig zu begrenzen, sieht die digitale Realität anders aus.

Um ein kinderfreundliches Internet zu schaffen, das die informationelle Selbstbestimmung und die Entwicklung von Minderjährigen zur gesellschaftlichen Teilhabe und Befähigung positiv beeinflusst, müssen gesellschaftliche – und nicht nur technische – Maßnahmen ergriffen werden. Dazu gehören bspw. eine altersgerechte Sensibilisierung und Aufklärung von Kindern und Eltern sowie die Schaffung kinderfreundlicher Räume, z.B. durch spezielle Suchmaschinen und Angebote.^[72] Auch der konsequente Einsatz von Privacy by Design and Default kann zu mehr Kinderschutz führen. Anwendungen, die nur erforderliche Daten verarbeiten und für Kinder und Erwachsene gleichermaßen geeignet sind, benötigen keine Altersprüfungen.

V. Ergebnisse

Diensteanbieter sollten systematischen Risiken für Kinder mit geeigneten und angemessenen Maßnahmen begegnen. Zu einer solchen Risikoabwägung sind Anbieter, die unter den DSA fallen, sogar verpflichtet. Methoden der Altersprüfungen sollte dabei außerhalb der gesetzlich vorgeschriebenen Fälle in Anbetracht ihrer Eingriffsintensität nur eine untergeordnete Rolle zukommen.

Im Zentrum der Abwägung im Einzelfall, ob und welche Methode der Altersprüfung eingesetzt werden kann, muss das Wohl der Kinder stehen. Neben dem Schutz Minderjähriger müssen deren Recht auf Teilhabe und Befähigung in einem digitalen Umfeld sowie ihre Privatsphäre und informationelle Selbstbestimmung berücksichtigt werden. Es muss auch erwogen werden, dass Methoden der Altersprüfung die Grundrechte aller Nutzenden tangieren.

Diensteanbieter müssen sich fragen, ob geeignete mildere Mittel existieren, mit denen ein angemessener Schutz Minderjähriger erreicht werden kann, wie z.B. content moderation oder Meldemöglichkeiten. In Anbetracht der häufig niederschwelligen Umgehungsmöglichkeit von Altersprüfungen sind womöglich andere Schutzmaßnahmen sogar besser geeignet, einen wirksamen Schutz Minderjähriger zu erreichen. Methoden der Altersprüfung in digitalen Diensten bergen zudem das Risiko, die anonyme oder pseudonyme Nutzung des Internets zu gefährden und zur Überidentifizierung sowie einem (gefühlten) Überwachungsdruck zu führen. Sie sollten im Ergebnis nur ausnahmsweise bei einem hohen Risiko für Kinder eingesetzt werden und sich auf bestimmte Bereiche, Inhalte oder Funktionen digitaler Dienste beschränken (siehe Abschnitt II. 2.).

Eine echte Altersverifikation sollte noch restriktiver zum Einsatz kommen und grundsätzlich nur durchgeführt werden, wenn dies gesetzlich vorgeschrieben ist. Im Fall von jugendgefährdenden Inhalten und Glückspielen im Internet oder dem Verkauf bestimmter Waren müssen die Methoden ein hohes Vertrauensniveau gewährleisten, was regelmäßig nur Altersverifikationssysteme erfüllen (siehe Abschnitte II. 1. a), aa) und II. 1. b).

Außerhalb dieser Fälle genügen regelmäßig Methoden mit niedrigerem Vertrauensniveau und es kommen auch Methoden der Altersschätzung in Betracht (siehe Abschnitt II. 1. a), bb). Unabhängig davon sollten Diensteanbieter soweit möglich und zumutbar unterschiedliche Methoden der Altersprüfung anbieten, um Diskriminierung und einen (empfundenen) Überwachungsdruck zu vermeiden (siehe Abschnitt III. 2.).

Zudem sollte Nutzenden die Funktionsweise und die Datenverarbeitungen von Methoden der Altersprüfung transparent und verständlich erklärt werden, damit sie zwischen einer Altersprüfung und einer eindeutigen Identifizierung sowie zwischen einer Altersschätzung und einer Altersverifikation unterscheiden und informierte Entscheidungen treffen können (siehe Abschnitt IV.).

Alle Methoden der Altersprüfung müssen die allgemeinen (datenschutz-)rechtlichen Anforderungen, u.a. eine geeignete Rechtsgrundlage, Anforderungen an Transparenz, oder eine datensparsame Umsetzung, erfüllen (siehe Abschnitt III.1.). Insbesondere sind Methoden der Altersprüfung, die besonders sensible Daten verarbeiten, regelmäßig unzulässig. Für den Einsatz müsste der Gesetzgeber qualifizierte Rechtsgrundlagen schaffen, was bislang nicht erfolgt ist (siehe Abschnitt III. 1. a)).

Ebenso dürfen nur Daten erhoben und in einem Umfang verarbeitet werden, wie es für die Bestätigung des Alters erforderlich ist. Eine eindeutige Identifizierung (etwa Kenntnis über Name und Geburtsdatum) gehört regelmäßig nicht dazu. Methoden der Altersprüfung sollten nur die Information weitergeben, ob Nutzende berechtigt sind, Zugang zum Dienst oder bestimmten Inhalten zu erhalten und nicht etwa die Information, ob es sich um Minderjährige handelt (siehe Abschnitt III. 1. d)).

Altersprüfungen, die ausschließlich auf einer automatisierten Verarbeitung i.S.v. Art. 22 DS-GVO beruhen (worunter viele Methoden der Altersschätzung fallen, die Merkmale oder Verhalten der Nutzenden analysieren), sind nur zulässig, wenn sie zum Abschluss oder zur Erfüllung eines Vertrags erforderlich sind oder auf Grundlage einer qualifizierten Rechtsvorschrift erfolgen. Eine solche existiert bislang im deutschen Recht nicht (siehe Abschnitt III. 1. h)).

VI. Fazit

Digitale Dienste sollten, soweit nicht zur Altersverifikation verpflichtet, ihre Datenverarbeitungen sowie ihr Angebot im Sinne von Privacy by Design and Default so ausgestalten, dass Kinder angemessenen Schutz erfahren. In diesem Fall sind vorgeschaltete Methoden der Altersprüfung regelmäßig obsolet.

Im Übrigen sollten Methoden der Altersprüfung bzw. Altersverifikation nur zurückhaltend eingesetzt werden, da sie mit erheblichen gesellschaftlichen Implikationen und erheblichen Eingriffen in die Grundrechte insbesondere von Kindern und Jugendlichen einhergehen. Diensteanbieter sollten zunächst weniger invasive und womöglich effektivere Maßnahmen zum Schutz von Kindern ergreifen.

Ebenso wichtig sind gesellschaftlich-politische Maßnahmen, wie eine frühe Sensibilisierung und Aufklärung auch von Erziehungsberechtigten, um Kinder zu einer eigenverantwortlichen altersgerechten Nutzung digitaler Dienste zu befähigen.

_{[1] Mitteilung der Kommission an das Europäische Parlament, den Rat, den Europäischen Wirtschafts- und Sozialausschuss und den Ausschuss der Regionen, Eine digitale Dekade für Kinder und Jugendliche: die neue europäische Strategie für ein besseres Internet für Kinder (BIK+), COM(2022) 212 final vom 11.05.2022}

_{[2] Pflichten könnten sich aus der CSA-Verordnung ergeben, siehe dazu Fn. 22 sowie Abschnitt II. 1. f) Siehe zudem etwa die Gesetzgebung in Frankreich, LOI n° 2023-566 du 7. juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne, JUSX2306064L, https://www.legifrance.gouv.fr/loda/id/JORFTEXT000047799533/, zuletzt abgerufen am 19.04.2024 oder im Vereinigten Königreich, Online Safety Act 2023, 2023 CHAPTER 50, 26th October 2023, https://www.legislation.gov.uk/ukpga/2023/50/enacted, zuletzt abgerufen am 19.04.2024. In Deutschland hat sich Familienministerin Paus für Alterskontrollen in sozialen Netzwerken ausgesprochen, siehe https://www.tagesspiegel.de/politik/debatte-uber-social-media-bannpaus-offen-fur-strengere-alterskontrolle-im-netz-11210290.html, zuletzt abgerufen am 19.04.2024.}

_{[3] Soweit in diesem Dokument von unterschiedlichen Vertrauensniveaus gesprochen wird, werden die Kriterien der Sicherheitsniveaus des Art. 8 Abs. 2 der Verordnung (EU) Nr. 910/2014 des Europäischen Parlaments und des Rates vom 23.07.2014 über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt und zur Aufhebung der Richtlinie 1999/93/EG, Abl. EU L 257/73, zugrunde gelegt.}

_{[4] In der öffentlichen Diskussion und im Englischen wird der Begriff Altersverifikation/age verification häufig als Synonym für alle Methoden verwendet, mit denen eine Altersprüfung vorgenommen wird.}

_{[5] Unter Minderjährigen und Kindern werden im Folgenden Personen gefasst, die das 18. Lebensjahr noch nicht vollendet haben.}

_{[6] Jugendgefährdend sind Inhalte, die geeignet sind, die Entwicklung von Minderjährigen oder ihre Erziehung zu einer eigenverantwortlichen und gemeinschaftsfähigen Persönlichkeit zu gefährden. Absolut unzulässig können bestimmte Inhalte sein, wie etwa solche, die Propaganda, Hass, Gewalt, Kriegsverherrlichung oder Kinderpornografie enthalten oder von der Bundeszentrale für Kinder- und Jugendmedienschutz (BzKJ) indiziert wurden. Dazu zählen vor allem unsittliche, verrohend wirkende, zu Gewalttätigkeit, Verbrechen oder Rassenhass anreizende Medien sowie Medien, in denen Gewalthandlungen wie Mord- und Metzelszenen selbstzweckhaft und detailliert dargestellt werden oder Selbstjustiz als einzig bewährtes Mittel zur Durchsetzung der vermeintlichen Gerechtigkeit nahegelegt wird. Eine abschließende Auflistung enthält §  4 JMStV. Manche indizierten Inhalte und sog. „einfache Pornografie“ dürfen in geschlossenen Benutzergruppen zugänglich gemacht werden.}

_{[7] § 5a JMStV, der eine spezielle Regelung für Video-Sharing-Dienste darstellt und in Abs.  2 Nr.  1 die Altersverifikation als Schutzmaßnahme vorschlägt, wird durch den zeitlich später eingeführten oben behandelten § 24a JuSchG inzwischen wohl überlagert, so Liesching, in: BeckOK JugendschutzR, 1. Ed. 01.08.2023 § 5a JMStV, Rn. 3 ff.; Bernzen/Dreyer, in: Erdemir, Das neue Jugendschutzgesetz, 1. Aufl. 2023, / § 5 Rn. 105.}

_{[8] Der Gesetzesbegründung zufolge sind alle technischen Schutzmaßnahmen angesprochen, die den Zugang zu nutzergenerierten Inhalten auf Personen mit ausreichend hohem Alter beschränken sollen, vgl. BT-Drs. 19/24909, S. 65.}

_{[9] Nach der amtlichen Begründung hat die Umsetzung durch die Diensteanbieter unter Berücksichtigung der Eigenarten des digitalen Diensteangebots und der Art und Weise der zu erwartenden Beeinträchtigung Minderjähriger zu erfolgen, vgl. BT-Ds 19/24909, S. 62.}

_{[10] Dies ergibt sich aus § 10a Nr. 3 JuSchG, wonach neben dem Schutz der Persönlichkeitsentwicklung Minderjähriger auch das Ziel der Wahrung der persönlichen Integrität, auf das § 24a Abs. 1 JuSchG explizit verweist und das die informationelle Selbstbestimmung sowie den Schutz vor Identitätsverletzungen erfasst, gleichrangig und daher bei der Einrichtung von Vorsorgemaßnahmen zu beachten ist, vgl. BT-Ds 19/24909, S. 62.}

_{[11] Siehe dazu auch die amtliche Begründung unter https://www.kjm-online.de/fileadmin/user_upload/Rechtsgrundlagen/Gesetze_Staatsvertraege/JMStV_Genese/Amtliche_Begru__ndung_zum_JMStV.pdf, S. 12., zuletzt abgerufen am 19.04.2024.}

_{[12] Vgl. BGH, Urt. v. 18.10.2007, – I ZR 102/05 –, juris, Rn. 28 ff., insb. Rn. 34.}

_{[13] Beim Personalausweis findet sich die maschinenlesbare Zone in der unteren Hälfte der Rückseite.}

_{[14] Entwicklungsbeeinträchtigend sind Inhalte, die geeignet sind, die Entwicklung von Minderjährigen zu einer eigenverantwortlichen und gemeinschaftsfähigen Persönlichkeit zu beeinträchtigen. Diensteanbieter müssen dafür Sorge tragen, dass Minderjährige der betroffenen Altersstufen die Inhalte üblicherweise nicht wahrnehmen.}

_{[15] Diese Methode hat die Kommission für Jugendmedienschutz (KJM) in einem informellen Verfahren als geeignete Mittel zur Altersüberprüfung gebilligt, siehe dazu Liesching, in: BeckOK JugendschutzR, 1. Ed. 01.08.2023, § 5 JMStV, Rn. 61.}

_{[16] Ähnlich Fuchs/Ambrock, PinG 2024, 190 ff. (192), die jedoch von einer Pflicht ausgehen, bereits vorhandene Daten auf Hinweise einer Minderjährigkeit hin auszuwerten. Eine solche Pflicht enthält Art. 28 DSA indes nicht und Erwägungsgrund 71 S. 2 DSA spricht Situationen an, in denen der Verantwortliche bereits Daten verarbeitet aus denen das Alter der Nutzenden hervorgeht}

_{[17] Darunter fallen u.a. die gängigen sozialen Netzwerke, siehe Liste unter https://digital-strategy.ec.europa.eu/en/policies/list-designated-vlops-andvloses, zuletzt abgerufen am 19.04.2024}

_{[18] Auch Fuchs/Ambrock, PinG 2024, 190 ff. (192) machen m.w.N. darauf aufmerksam, dass Altersprüfungen nicht in jedem Fall zu implementieren sind, sondern verhältnismäßig sein müssen.}

_{[19] Kingreen, in: Caliess/Ruffert, EUV/AEUV Kommentar, 6. Aufl. 2022, Art.  24 GRCh Rn. 4 ff.; Lemke, in: von der Groeben/Schwarze/Hatje, Europäisches Unionsrecht, 7. Aufl. 2015; Rn. 6; Streinz, EUV/AEUV Kommentar, 3. Aufl. 2018, Art. 24 GRCh Rn. 6; siehe auch die Herleitung von Kaesling, A Rights-Based Approach to Children’s Digital Participation in the Multi-Level System of the European Union, in: Detholff/Kaesling/Specht-Riemenschneider, Families and New Media 73, 2023, S. 77 ff.}

_{[20] Die Altersgrenze kann durch mitgliedstaatliches Recht bis auf 13 Jahre heruntergesetzt werden (Art. 8 Abs. 1 S. 3 DS-GVO). Für Deutschland gibt es keine entsprechende Regelung und es gilt die 16-Jahre-Grenze.}

_{[21] Fuchs/Ambrock, PinG 2024, 190 ff. (191) gehen unter Verweis auf Kühling/ Buchner, DS-GVO BDSG, 4. Auflage 2024, Art. 8 DS-GVO Rn. 23 von einer mittelbaren Pflicht zur Altersabfrage und –verifizierung unter Vorbehalt der Angemessenheit und verfügbaren Technik aus.}

_{[22] EDSA, Leitlinien 05/2020 zur Einwilligung vom 04.05.2020, Rn. 135.}

_{[23] Radkte, Mandatory Age Verification or Online Services under GDPR, Cri 2023, 161 ff. (insb. 166 f.).}

_{[24] Fuchs/Ambrock, PinG 2024, 190 ff. (191) gehen hingegen davon aus, dass Art. 25 Abs. 1 DS-GVO eine Altersprüfung verlangt, wenn die Nutzungsbedingungen eines Dienstes ein Mindestalter verlangen.}

_{[25] M.w.N. Hartung, in: Kühling/Buchner, 4. Aufl. 2024, Art. 25 DS-GVO, Rn. 10.}

_{[26] REPORT on the proposal for a regulation of the European Parliament and of the Council laying down rules to prevent and combat child sexual abuse, vom 16. November 2023, COM (2002)0209, https://www.europarl.europa.eu/doceo/document/A-9-2023-0364_EN.html, zuletzt abgerufen am 19.04.2024.}

_{[27] Siehe https://edpb.europa.eu/system/files/2024-02/edpb_statement_202401_proposal_regulation_prevent_combat_child_sexual_abuse_en.pdf, zuletzt abgerufen am 19.04.2024.}

_{[28] Auf EU-Ebene sind dies etwa die Gedanken-, Gewissens- und Religionsfreiheit (Art. 10 EU-GRCh die Freiheit der Meinungsäußerung (Art. 11 EU-GRCh), das Recht auf Bildung (Art. 14 EU-GRCh) oder das Verbot der Diskriminierung aufgrund des Alters (Art. 21 EU-GRCh). Auf nationaler Ebene sind in dem Kontext insbesondere die allgemeine Handlungsfreiheit (Art.  2 Abs.  1 GG), das Recht auf Bildung (Art.  2 Abs.  1 i.V.m. Art.  7 Abs.  1 GG), die Religionsfreiheit (Art.  4 GG), das Recht auf Meinungsfreiheit (Art.  5 GG) und die Versammlungsfreiheit (Art. 8 GG) relevant. Je nach intensiverer oder weniger intensiver Ausgestaltung der Methode zur Altersprüfung kommt es auf EU-Ebene zu Eingriffen in das Recht auf Achtung des Privat- und Familienlebens (Art. 7 EU-GRCh) und das Datenschutzgrundrecht (Art. 8 EU-GRCh) oder auf nationaler Ebene in das Recht auf informationelle Selbstbestimmung (Art. 2 Abs. 1 i.V.m. 1 Abs. 1 GG). Siehe dazu auch die Übersicht in Kaesling, A Rights-Based Approach to Children’s Digital Participation in the Multi-Level System of the European Union, in: Detholff/Kaesling/Specht-Riemenschneider, Families and New Media 73, 2023, S. 81.}

_{[29] Fuchs/Ambrock, PinG 2024, 190 ff. (193) nennen in diesem Zusammenhang ein Interesse aller Internetnutzenden auf anonyme Teilhabe im Internet und ein potenzielles Geheimhaltungsinteresse bei Betätigungen im Internet gegenüber gewissen Dritten, wie Arbeitgebern, Versicherungen oder Kreditgebern}

_{[30] Siehe hierzu m.w.N. Wissenschaftliche Dienste des Bundestages, Sachstand Drittwirkung von Grundrechten WD 3 – 3000 132/23 vom 09.11.2023.}

_{[31] Ennuschat, in: Stern/Sachs, 1. Aufl. 2016, Art. 24 GRCh, Rn. 17 Kingreen, in: Calliess/Ruffert, 6. Aufl. 2022, Art. 24 GRCh, Rn. 7; Ross, in: Schwarze/Becker/Hatje/Schoo, 4. Aufl. 2019, Art. 24 GRCh, Rn. 9.}

_{[32] Siehe UN Treaty Body Database, https://tbinternet.ohchr.org/_layouts/15/TreatyBodyExternal/Treaty.aspx?Lang=en, zuletzt abgerufen am 19.04.2024.}

_{[33] Lorz/Sauer, Kinderrechte ohne Vorbehalt, MRM 2011/1, S. 13 ff.; Schmahl, Kinderrechtskonvention Kommentar, 2. Aufl. 2017, Rn. 6.; siehe zur Bedeutung der Europäischen Menschenrechtskonvention bei der Auslegung der Grundrechte BVerfG, Beschluss vom 26.03.1987 – 2 BvR 589/79, 740/81, 284/85 -, BVErfGE 74, 358, 370.}

_{[34] Dem Kindeswohl einen „relative Abwägungsvorrang“ zuzuschreiben schlägt der Deutsche Anwaltsverein vor, siehe https://www.bundestag.de/resource/blob/842208/e0490ede48b0095956d455e5963cbb0d/stellungnahmemayendata.pdf, zuletzt abgerufen am 19.04.2024; von einer „vorrangigen Berücksichtigungspflicht sprechen Lorz/Sauer, Kinderrechte ohne Vorbehalt, MRM 2011/1, S. 12.}

_{[35] General comment No. 25 (2021) (GC25) on children‘s rights in relation to the digital environment, 2 March 2021, CRC/C/GC/25; siehe nichtamtliche Übersetzung unter https://kinderrechtekommentare.de/wp-content/uploads/2021/11/GC25_dt_redaktion_barrierefrei_2021.pdf, zuletzt abgerufen am 19.04.2024. Siehe dazu insgesamt Croll/Dreyer, Nummer 25 lebt! Die Bedeutung der 25. Allgemeinen Bemerkung des UN-Ausschusses für die Rechte des Kindes für einen zeitgemäßen Kinder- und Jugendmedienschutz, BPJM Aktuell 2/2022, https://www.bzkj.de/resource/blob/198070/e36a02777408ed4a3bbd4c3980559716/20222-nummer-25-lebt-data.pdf, zuletzt abgerufen am 19.04.2024.}

_{[36] GC25, Rn. 54.}

_{[37] GC25, Rn. 80 ff}

_{[38] Der GC25, Rn. 67 ff. behandelt beides unter der Überschrift „Recht auf Privatsphäre“. Der Datenschutz und der Schutz der Privatsphäre hängen eng zusammen (siehe dazu etwa https://www.edps.europa.eu/data-protection/data-protection_de, zuletzt abgerufen am 19.04.2024). Als allgemeines Menschenrecht ist bislang nur das Recht auf Privatsphäre weltweit anerkannt. In der EU-GRCh ist neben dem Recht auf Privatsphäre in Art. 7 auch das Datenschutzrecht in Art. 8 ausdrücklich verankert.}

_{[39] GC25, Rn. 19 ff.}

_{[40] GC25, Rn. 9 ff.}

_{[41] Siehe Auflistung in Fn 24; der GC25 nennt ausdrücklich das Recht auf Informationszugang (Rn. 50 ff.), die Meinungsfreiheit (58 ff.), die Gedankens-, Gewissens- und Religionsfreiheit (62 f.) und die Versammlungs- und Vereinigungsfreiheit (64 ff.). In diese Richtung zur Richtlinie 2010/13/EU des Europäischen Parlaments und des Rates vom 10.03.2010 zur Koordinierung bestimmter Rechts- und Verwaltungsvorschriften der Mitgliedstaaten über die Bereitstellung audiovisueller Mediendienste (AVMD-RL) Kaesling, A Rights-Based Approach to Children’s Digital Participation in the Multi-Level System of the European Union, in: Detholff/Kaesling/Specht-Riemenschneider, Families and New Media 73, 2023, S. 81 ff}

_{[42] Der BGH nahm hinsichtlich nicht funktionsfähiger Kameras an, dass betroffene Personen einem gefühlten Überwachungsdruck ausgesetzt sind, BGH, Urt. v. 16.03.2010, – VI ZR 176/09 –, juris.}

_{[43] GC25, Rn. 114. Im Einzelnen so für das Recht auf Informationszugang Rn. 50, für das Recht auf Meinungsfreiheit Rn. 60, Gedankens-, Gewissens- und Religionsfreiheit Rn. 63 und für die Versammlungs- und Vereinigungsfreiheit Rn. 65.}

_{[44] GC25, Rn. 56.}

_{[45] Siehe Fn. 10.}

_{[46] Diese Forderung lässt sich GC25, Rn. 12 f. entnehmen.}

_{[47] GC25, Rn. 23, 38.}

_{[48] Nach der Studie Ofcom, Survey: Barriers to Proving Age on Adult Sites vom 6. November 2023, https://www.ofcom.org.uk/research-and-data/onlineresearch/barriers-to-proving-age-on-adult-sites, zuletzt abgerufen am 19.04.2024, weichen 68% der 16-17-jährigen auf alternative Seiten ohne Altersprüfung aus. Vgl. auch euCONSENT, Pilot Execution Report WP6: System Validation and Pilot Evaluation vom 08.04.2022, https://euconsent.eu/project-deliverables/?tax%5Bwpdmcategory%5D=wp6, zuletzt abgerufen am 19 April 2024, S 32.: In einem Test eines Altersverifikationstools konnten 35% der Kinder gesperrte Websites durch Umgehung besuchen; Dazu ebenfalls: euCONSENT, Understanding of user needs and problems: a rapid evidence review of age assurance and parental controls (UPDATED) von September 2021, https://euconsent.eu/project-deliverables/?tax%5Bwpdmcategory%5D=wp2, zuletzt abgerufen am 19 April 2024.}

_{[49] Eine Umgehung kann etwa unter Verwendung eines VPN-Tunnels gelingen, bei dem es für einen Diensteanbieter so aussieht, als ob die Anfrage zum Webseitenbesuch aus einer anderen geografischen Region kommt, in der eine Altersprüfung nicht erforderlich ist. Siehe dazu https://netzpolitik.org/2020/was-besser-waere-als-pornoseiten-zu-sperren/, zuletzt abgerufen am 19.04.2024.}

_{[50] Zur Abgrenzung siehe Leitlinien 07/2020 des Europäischen Datenschutzausschusses (EDSA) zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ in der DS-GVO, Version 2.0 vom 07.07.2021, insb. Rn. 46 ff.}

_{[51] So etwa die französische Aufsichtsbehörde: https://www.cnil.fr/en/onlineage-verification-balancing-privacy-and-protection-minors, zuletzt abgerufen am 19.04.2024; die irische Aufsichtsbehörde: https://www.dataprotection.ie/sites/default/files/uploads/2021-12/Fundamentals%20for%20a%20Child-Oriented%20Approach%20to%20Data%20Processing_FINAL_EN.pdf, Abschnitt 5., S. 40 ff., zuletzt abgerufen am 19.04.2024; die spanische Aufsichtsbehörde: https://www.aepd.es/guides/decalogue-principles-age-verification-minors-protection.pdf, zuletzt abgerufen am 19.04.2024; die schwedische Aufsichtsbehörde: https://www.imy.se/globalassets/dokument/rapporter/the-rights-of-children-and-young-people-on-digital-platforms_accessible.pdf, zuletzt abgerufen am 19.04.2024. Die italienische Aufsichtsbehörde monierte am 31.03.2023 gegenüber ChatGPT eine fehlende Altersverifikation, siehe https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9870847, zuletzt abgerufen am 19.04.2024.}

_{[52] Siehe dazu DSK, Hambacher Erklärung zur Künstlichen Intelligenz v. 03.04.2019, 3 f.}

_{[53] Wobei für die Verarbeitung von besonders sensiblen Daten gem. Art.  9 DS-GVO regelmäßig schon eine Rechtsgrundlage fehlt, siehe Abschnitt III.1.a)).}

_{[54] Vgl. Kühling/Buchner, Art.  22 DS-GVO, Rn. 4, EuGH, Urt. v. 07.12.2023, – C-634/21 – Schufa, Rn. 61 ff}

_{[55] EuGH, Urt. v. 07.12.2023, – C-634/21 – Schufa, Rn. 50 ff.}

_{[56] Siehe Martini, in: Paal/Pauly, Art. 22 DS-GVO, Rn. 15b.}

_{[57] Kühling/Buchner, Art. 22 DS-GVO, Rn. 19, von der Tendenz auch EuGH, Urt. v. 07.12.2023, – C-634/21 – Schufa, Rn. 58 f.}

_{[58] Vgl. auch Kühling/Buchner, 3. Aufl. 2020, Art. 22 DS-GVO, Rn. 17 ff., Martini, in: Paal/Pauly, 3. Aufl. 2021, Art. 22 DS-GVO, Rn. 15a ff.}

_{[59] 59 Https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Technik/DatenschutzFolgenabschaetzungen.html, zuletzt abgerufen am 19.04.2024.}

_{[60] Davon gehen auch aus Fuchs/Ambrock, PinG 2024, 190 ff. (194).}

_{[61] Wobei für die Verarbeitung von besonders sensible Daten gem. Art. 9 DS-GVO regelmäßig schon eine Rechtsgrundlage fehlt, siehe Abschnitt III.1.a).}

_{[62] 25. Allgemeinen Bemerkung des Kinderrechtsausschusses der Vereinten Nationen vom 02.03.2021, siehe Fn. 30.}

_{[63] GC25, Rn. 68.}

_{[64] Ähnlich Fuchs/Ambrock, PinG 2024, 190 ff. (196).}

_{[65] Siehe dazu EDRi, Position Paper Online age verification and children’s rights vom 04.10.2023, https://edri.org/wp-content/uploads/2023/10/Online-ageverification-and-childrens-rights-EDRi-position-paper.pdf, zuletzt abgerufen am 19.04.2024, insb. S. 21; m.w.N. Sas/Mühlberg, Trustworthy age assurance? A risk-based evaluation of available and upcoming age assurance technologies from a fundamental rights perspective. vom Februar 2024, https://extranet.greens-efa.eu/public/media/file/1/8760, zuletzt abgerufen am 19.04.2024, S. 39 f., 50, 55, 58.}

_{[66] Das eID-System des Personalausweises, der eID-Karte und des elektronischen Aufenthaltstitels stellen ein Identifizierungs- und Authentisierungssystem dar. Die Ausweiskarten enthalten einen kontaktlosen Chip als Sicherheitsmerkmal. Die Daten und Funktionen auf dem Chip müssen mittels PIN-Eingabe durch den Ausweisbesitzer freigegeben werden. Anfragende Stellen benötigen ein Zertifikat, um sich gegenüber dem Ausweis zu authentisieren. Dieses kann bei der Vergabestelle für Berechtigungszertifikate beim Bundesverwaltungsamt erworben werden}

_{[67] Dies fordern bei biometrischen Analysen auch Fuchs/Ambrock, PinG 2024, 190 ff. (196 f.)}

_{[68] So auch BfDI, vgl. https://www.bfdi.bund.de/SharedDocs/Downloads/DE/DokumenteBfDI/Reden_Gastbeitr%C3%A4ge/2022/Anonymisierung-imDS-recht.pdf?__blob=publicationFile&v=2, zuletzt abgerufen am 19.04.2024.}

_{[69] Vgl. mit: Der BGH nahm hinsichtlich nicht funktionsfähiger Kameras an, dass betroffene Personen einem gefühlten Überwachungsdruck ausgesetzt sind, BGH, Urt.v. 16.03.2010, – VI ZR 176/09 –.}

_{[70] Vgl. https://www.esafety.gov.au/sites/default/files/2023-08/Age-verification-background-report.pdf, zuletzt abgerufen am 19.04.2024.}

_{[71] So in Bezug auf „Capacity Testing“-Methoden der Altersschätzung in Sas/ Mühlberg, Trustworthy age assurance? A risk-based evaluation of available and upcoming age assurance technologies from a fundamental rights perspective. vom Februar 2024, https://extranet.greens-efa.eu/public/media/file/1/8760, zuletzt abgerufen am 19.04.2024, S. 58 und in Bezug auf „AI-based“- Methoden der Altersschätzung EDRi, Position Paper Online age verification and children’s rights vom 04.10.2023, https://edri.org/wp-content/uploads/2023/10/Online-age-verification-and-childrens-rights-EDRi-position-paper.pdf, S. 22, zuletzt abgerufen am 19.04.2024.}

_{[72] Z.B. Fragfinn.de, klicksafe.de, gutes-aufwachsen-mit-medien.de, schau-hin. info.}