Checkliste zur Einhaltung des COPPA: Gesetz zum Schutz der Online-Privatsphäre von Kindern

Jahrelang betrachteten viele Organisationen die Einhaltung des COPPA-Gesetzes in erster Linie als eine Anforderung der elterlichen Zustimmung.

Das genügt nicht mehr.

Die Federal Trade Commission hat im Jahr 2025 die Children's Online Privacy Protection Rule aktualisiert und die Anforderungen in Bezug auf personenbezogene Daten von Kindern, Weitergabe an Dritte, gezielte Werbung, Aufbewahrung, Sicherheit und elterliche Kontrolle verschärft.

Diese Änderungen sind nun betrieblich relevant.

Für die meisten geänderten Bestimmungen räumte die FTC den Organisationen eine Frist von 365 Tagen ab Veröffentlichung der endgültigen Regelung im April 2025 ein, um die vollständige Einhaltung zu gewährleisten.

Die größere Herausforderung im Bereich Compliance besteht jedoch nicht einfach darin, eine Datenschutzerklärung zu aktualisieren oder eine weitere Einwilligungsmaske hinzuzufügen.

Organisationen müssen eine schwierigere Frage beantworten:

Können Sie die personenbezogenen Daten von Kindern überall dort identifizieren, wo sie gespeichert sind, verstehen, warum Sie diese Daten besitzen, wissen, wer darauf zugreifen kann, feststellen, wohin sie gelangen, und nachweisen, dass Sie sie löschen, sobald Sie sie nicht mehr benötigen?

Diese Frage offenbart eine der größten Lücken in den Programmen zum Schutz der Privatsphäre von Kindern.

Die Einwilligung erfolgt bei der Datenerhebung. Das Risiko folgt den Daten.

Informationen über Kinder können von einer App in Analyseplattformen, Cloud-Umgebungen, Data Lakes, Werbetechnologien, Kundenplattformen, Protokolle, KI-Systeme, Drittanbieterdienste, Backups und andere Speicherorte gelangen.

Modern COPPA-Konformität Daher sind Organisationen verpflichtet, den gesamten Lebenszyklus der Daten von Kindern zu regeln, nicht nur den Zeitpunkt der Datenerhebung.

Was ist COPPA?

Die Children's Online Privacy Protection Act, oder COPPA, ist ein US-Bundesgesetz, das die Online-Erfassung personenbezogener Daten von Kindern unter 13 Jahren regelt.

Die Federal Trade Commission setzt COPPA durch die Children's Online Privacy Protection Rule um, die in 16 CFR Part 312 zu finden ist.

COPPA gilt für Betreiber kommerzieller Websites und Online-Dienste, die sich an Kinder unter 13 Jahren richten und personenbezogene Daten erheben. Es kann auch für Betreiber von Diensten für ein allgemeines Publikum gelten, wenn diese wissentlich personenbezogene Daten von Kindern unter 13 Jahren erheben.

Die betroffenen Betreiber müssen folgende Anforderungen erfüllen:

• Datenschutzhinweise
• Direkte Mitteilung an die Eltern
• Nachweisbare elterliche Einwilligung
• Elterliche Überprüfungs- und Löschrechte
• Grenzen der Datenerfassung
• Offenlegung gegenüber Dritten
• Datensicherheit
• Datenaufbewahrung und -löschung

COPPA regelt nicht nur Namen und E-Mail-Adressen.

Die Definition von personenbezogenen Daten umfasst verschiedene Arten von Informationen, die digitale Dienste routinemäßig im Hintergrund sammeln.

Was hat sich durch die aktualisierte COPPA-Regel geändert?

Die FTC finalisierte im Januar 2025 wichtige Änderungen der COPPA-Regel, und die endgültigen Änderungen erschienen am 22. April 2025 im Federal Register.

Die Änderungen spiegeln wider, wie dramatisch sich die digitale Umgebung von Kindern seit der letzten wesentlichen Überarbeitung der Regelung durch die FTC verändert hat.

Was gilt gemäß COPPA als personenbezogene Daten?

Eine der einfachsten Möglichkeiten, das Risiko durch COPPA zu unterschätzen, besteht darin, nur nach herkömmlichen personenbezogenen Daten zu suchen.

Der Geltungsbereich von COPPA geht über den Namen eines Kindes hinaus.

Je nach den Umständen können die geschützten personenbezogenen Daten Folgendes umfassen:

• Vor- und Nachname
• Wohn- oder Geschäftsadresse
• E-Mail-Adresse und andere Online-Kontaktinformationen
• Telefonnummern
• Benutzernamen oder Anzeigenamen, wenn sie als Online-Kontaktinformationen dienen
• Persistente Kennungen wie Cookies, IP-Adressen, Geräte-IDs und ähnliche Kennungen
• Fotos, Videos oder Audiodateien, die das Bild oder die Stimme eines Kindes enthalten.
• Genaue Geolokalisierungsinformationen
• von der Regierung ausgestellte Kennungen
• Biometrische Identifikatoren, die zur automatisierten oder halbautomatischen Erkennung verwendet werden
• Sonstige Informationen über ein Kind oder einen Elternteil in Verbindung mit einer unter die Regel fallenden Kennung

Dies ist deshalb von Bedeutung, weil einige der risikoreichsten COPPA-Daten möglicherweise nie in einem Kundenprofil auftauchen.

Es kann in Protokollen, Bildern, Audiodateien, Gerätetelemetriedaten, Analyseplattformen, SDK-Ausgaben, Authentifizierungssystemen, Werbeinfrastrukturen oder Machine-Learning-Pipelines enthalten sein.

Wer muss COPPA einhalten?

COPPA kann für Betreiber von Websites und Online-Diensten gelten, die sich an Kinder unter 13 Jahren richten und personenbezogene Daten sammeln.

Dies kann auch für Betreiber von Diensten für ein allgemeines Publikum gelten, die wissentlich personenbezogene Daten von Kindern unter 13 Jahren sammeln.

Online-Dienste können mehr umfassen als herkömmliche Websites.

Je nach Dienstleistung und Umständen kann COPPA folgende Auswirkungen haben:

• Mobile Anwendungen
• Online-Spiele
• Vernetzte Geräte und Spielzeuge
• Video- und Streaming-Erlebnisse
• Sprachgesteuerte Dienste
• Bildungstechnologie
• Soziale und gemeinschaftliche Funktionen
• Werbe- und Analysetechnologie
• Drittanbieter-Plug-ins und SDKs

Die FTC berücksichtigt bei der Beurteilung, ob ein Dienst für Kinder bestimmt ist, verschiedene Faktoren. Organisationen sollten nicht davon ausgehen, dass die Beschreibung eines Produkts als “für ein allgemeines Publikum” die Frage klärt.

Das COPPA-Risiko, das viele Unternehmen übersehen: Datenbewegungen nach Einwilligung

Organisationen konzentrieren die Compliance-Kontrollen häufig auf den Registrierungsprozess.

Sie führen eine Altersprüfung durch, zeigen einen Datenschutzhinweis an, holen die Einwilligung ein und gehen davon aus, dass sie das Risiko unter Kontrolle haben.

Die Datenerfassung stellt jedoch nur den Beginn des Datenlebenszyklus dar.

Informationen über Kinder können verschoben werden in:

• Analysesysteme
• Data Warehouses und Data Lakes
• Werbeplattformen
• CRM- und Kundenplattformen
• Cloud-Speicher
• Protokolle
• Data-Science-Umgebungen
• KI-Anwendungen
• Drittanbieter-Prozessoren
• Backups und Archive

Die Datenschutzerklärung kann beschreiben, was geschehen sollte. Die Datenermittlung kann helfen, den tatsächlichen Hergang zu klären.

Sieben COPPA-Compliance-Lücken, die Unternehmen häufig übersehen

1. Drittanbieter-SDKs und eingebettete Technologien

Eine Organisation kann ihren eigenen Anwendungscode kontrollieren und dennoch die Transparenz verlieren, wenn Daten durch Technologien von Drittanbietern erfasst werden.

Werbe-SDKs, Analysetools, Social-Media-Plugins, Authentifizierungsdienste, Videotools und andere eingebettete Technologien können zu einer nachgelagerten Erfassung oder Weitergabe von Daten führen.

Die jüngsten Durchsetzungsmaßnahmen der FTC unterstreichen diesen Punkt. Im Jahr 2025 warf die FTC dem Hersteller eines internetfähigen Roboterspielzeugs vor, einem Drittanbieter eines SDKs erlaubt zu haben, den genauen Standort von Kindern ohne ordnungsgemäße Benachrichtigung und Zustimmung der Eltern zu erfassen.

Die Bestandsaufnahme der Lieferanten reicht nicht aus. Unternehmen müssen verstehen, welche Daten die einzelnen Drittanbieter tatsächlich erfassen oder erhalten können.

2. Zielgruppenbestimmung und Inhaltsklassifizierung

Das Risiko gemäß COPPA kann bereits vor Abschluss der Altersprüfung bestehen.

In einem Durchsetzungsverfahren aus dem Jahr 2025 gegen Disney und YouTube warf die FTC Disney und YouTube vor, dass falsche Zielgruppenbezeichnungen wie “Für Kinder gemacht” zu einer Sammlung personenbezogener Daten und gezielter Werbung im Zusammenhang mit an Kinder gerichteten Videos geführt hätten.

Dies legt eine weniger offensichtliche Abhängigkeit von der Einhaltung von Vorschriften offen:

Anhand von Betriebsmetadaten lässt sich feststellen, ob nachgelagerte Datenschutzmechanismen korrekt aktiviert werden.

Organisationen sollten daher nicht nur die Daten von Kindern regeln, sondern auch die Klassifizierungen, Zielgruppeneinstellungen, Tags und Konfigurationsentscheidungen, die bestimmen, wie Plattformen mit diesen Daten umgehen.

3. Persistente Kennungen

Cookies, IP-Adressen, Geräte-IDs und andere dauerhafte Kennungen können unter die Definition von personenbezogenen Daten gemäß COPPA fallen.

Organisationen, die nur Datenbanken durchsuchen, die Namen und E-Mail-Adressen enthalten, können große Teile ihres Risikos übersehen.

4. Kopien von Daten außerhalb der primären Anwendung

Ein übergeordnetes System kann die Löschung aus der primären Anwendung anfordern, während dieselben Informationen in einem Data Lake, einem Export, einer Entwicklungsumgebung, einem Analysetool, einem Cloud-Repository oder einem nachgelagerten System erhalten bleiben.

Das schafft einen entscheidenden Unterschied zwischen ein Konto löschen und Löschung der entsprechenden personenbezogenen Daten des Kindes.

5. Aufbewahrung ohne spezifischen Zweck

“Wir könnten es später noch brauchen” ist eine schwache Kundenbindungsstrategie.

Die geänderte Regelung stellt den Zusammenhang zwischen Zweck und Aufbewahrung deutlich klarer her.

Organisationen sollten wissen:

• Warum sie jede Kategorie personenbezogener Daten von Kindern gesammelt haben
• Wie lange dieser Zweck die Aufbewahrung erfordert
• Welche Systeme enthalten die Informationen?
• Wem gehört die Löschung?
• Wie Teams die Löschung überprüfen

6. Altersversicherungsdaten werden zu einem weiteren sensiblen Datensatz

Altersversicherungen lösen zwar ein Problem, schaffen aber gleichzeitig ein anderes.

Zur Altersprüfung können ein Ausweisdokument, ein Bild, ein biometrisches Signal oder Informationen eines anderen Anbieters herangezogen werden.

Im Februar 2026 veröffentlichte die FTC eine Durchsetzungsrichtlinie zu Technologien zur Altersverifizierung. Unter bestimmten Bedingungen erklärte die FTC, dass sie keine Maßnahmen nach dem COPPA-Gesetz gegen Anbieter von Inhalten für ein allgemeines oder gemischtes Publikum ergreifen werde, die personenbezogene Daten ausschließlich zur Altersbestimmung erheben, verwenden oder weitergeben, ohne zuvor die Einwilligung der Eltern einzuholen.

Die Rahmenbedingungen sind wichtig. Organisationen sollten unter anderem die Informationen auf die Altersfeststellung beschränken, eine unnötige Speicherung vermeiden und geeignete Maßnahmen hinsichtlich Dritter ergreifen, die diese Informationen erhalten.

Die Altersprüfung sollte die Offenlegung von Kinderdaten minimieren und nicht ein neues, dauerhaftes Identitätsarchiv schaffen.

7. KI schafft neue Anwendungsbereiche, die durch alte Einwilligungen möglicherweise nicht abgedeckt sind.

Daten von Kindern können nun in KI-Workflows einfließen, die es zum Zeitpunkt der ursprünglichen Konzeption der Datenschutzprogramme von Organisationen noch nicht gab.

Mögliche Wege sind:

• Datensätze zum Trainieren oder Optimieren von Modellen
• KI-Assistenten für Unternehmen
• Generative KI-Anwendungen
• Automatisierte Moderation
• Empfehlungssysteme
• Sprach- und Bildanalyse
• KI-Agenten
• KI-Dienste von Drittanbietern

Die Frage der Einhaltung sollte nicht bei “Liegt eine Einwilligung vor?”

Organisationen sollten sich außerdem fragen:

Wurden diese Daten für diesen Zweck erhoben, sollte dieses KI-System Zugriff darauf haben, und können wir sie finden und entfernen, wenn der genehmigte Zweck beendet ist?

COPPA und zielgerichtete Werbung

Die geänderte COPPA-Regel legt besonderen Wert auf die Weitergabe personenbezogener Daten von Kindern an Dritte.

Betroffene Betreiber benötigen unter Umständen eine separate, nachweisbare Einwilligung der Eltern, bevor sie personenbezogene Daten von Kindern an Dritte für gezielte Werbung oder bestimmte andere Zwecke weitergeben.

Hierin werden zwei Entscheidungen getrennt, die Organisationen nicht automatisch zusammenfassen sollten:

Die Architektur für Einwilligungsprozesse sollte diese unterschiedlichen Wahlmöglichkeiten widerspiegeln.

Anforderungen an die Datenaufbewahrung und -löschung gemäß COPPA

Die Datenaufbewahrung ist in den Mittelpunkt der COPPA-Compliance gerückt.

Verantwortliche Betreiber benötigen eine schriftliche Aufbewahrungs- und Löschrichtlinie für personenbezogene Daten von Kindern und sollten diese Daten nur so lange aufbewahren, wie es für den jeweiligen Zweck, für den sie erhoben wurden, erforderlich ist.

Diese Anforderung stellt eine praktische Herausforderung für das Datenmanagement dar.

Eine Richtlinie, die besagt, dass Daten nach 12 Monaten gelöscht werden müssen, ist wenig wert, wenn die Organisation nicht alle relevanten Datenspeicher identifizieren kann, die die Daten enthalten.

Ein nachvollziehbarer Retentionsprozess sollte Folgendes verbinden:

Datenkategorie → Erhebungszweck → System → Eigentümer → Aufbewahrungsregel → Löschaktion → Nachweis

Dieser letzte Punkt ist wichtig.

Die Compliance-Teams benötigen mehr als nur einen Aufbewahrungsplan. Sie benötigen Nachweise darüber, dass die Teams diesen auch umgesetzt haben.

Die Sicherheitsanforderungen von COPPA sind jetzt expliziter.

Die aktualisierten Geschäftsrichtlinien der FTC besagen, dass die betroffenen Betreiber angemessene Verfahren zum Schutz der Vertraulichkeit, Sicherheit und Integrität der persönlichen Daten von Kindern einrichten und aufrechterhalten müssen.

Die geänderte Regelung verlangt außerdem ein schriftliches Informationssicherheitsprogramm mit Schutzmaßnahmen, die Faktoren wie der Sensibilität der Informationen und der Größe, Komplexität und den Aktivitäten der Organisation angemessen sind.

Organisationen sollten die Daten von Kindern mit folgenden Stellen verknüpfen:

• Datensensibilität
• Lagerort
• Benutzer- und Dienstkontozugriff
• Zugriff durch Dritte
• Sicherheitskontrollen
• Belichtung
• Vorratsspeicherung
• Sanierung

Man kann die Daten von Kindern nicht besser schützen, wenn man nicht zuverlässig feststellen kann, wo diese Daten gespeichert sind.

Checkliste zur Einhaltung des COPPA-Gesetzes für 2026

1. Feststellen, ob COPPA Anwendung findet

Prüfen Sie, ob sich der Dienst an Kinder unter 13 Jahren richtet oder ob die Organisation tatsächlich Kenntnis davon hat, dass sie personenbezogene Daten von Kindern unter 13 Jahren erhebt.

Bewerten Sie nicht nur die Startseite. Berücksichtigen Sie auch Apps, einzelne Inhalte, Funktionen, verbundene Geräte, Werbung, Komponenten von Drittanbietern und andere Online-Dienste.

2. Persönliche Daten von Kindern ermitteln und inventarisieren

Relevante personenbezogene Daten in strukturierten und unstrukturierten Systemen identifizieren.

Berücksichtigen Sie gegebenenfalls auch weniger offensichtliche Kategorien wie persistente Identifikatoren, präzise Geolokalisierung, Bilder, Sprachaufnahmen, biometrische Identifikatoren und von der Regierung ausgestellte Identifikatoren.

3. Kartensammlung, -nutzung und -weitergabe

Dokumentieren:

• Woher die Informationen stammen
• Warum die Organisation es sammelt
• Welche Systeme empfangen es?
• Welche Teams nutzen es?
• Welche Drittparteien erhalten es?
• Welche Richtlinien gelten

4. Datenschutzhinweise prüfen

Stellen Sie sicher, dass die Hinweise die aktuellen Praktiken hinsichtlich Datenerfassung, Nutzung, Weitergabe, Aufbewahrung und sonstiger anwendbarer Verfahren korrekt widerspiegeln.

Die Datenschutzerklärung sollte die Realität beschreiben, nicht die Systemarchitektur des Unternehmens zum Zeitpunkt der letzten Aktualisierung der Richtlinie.

5. Umsetzung der nachweisbaren elterlichen Einwilligung

Wenn COPPA dies vorschreibt, ist eine geeignete Methode zur nachweisbaren elterlichen Einwilligung anzuwenden, und der Kontext muss erhalten bleiben, um zu verstehen, was die Eltern genehmigt haben.

Berücksichtigen Sie die in der geänderten Regelung festgelegten Anforderungen an die separate Einwilligung für die entsprechenden Offenlegungen gegenüber Dritten.

6. Datenerfassung minimieren

Die Teilnahme eines Kindes darf nicht davon abhängig gemacht werden, dass mehr Informationen bereitgestellt werden, als für die jeweilige Aktivität unbedingt erforderlich sind.

Überprüfen Sie Telemetriedaten, Analysen, optionale Profilfelder, SDK-Sammlungen und KI-Eingaben zusätzlich zu den Informationen, die das Kind aktiv eingibt.

7. Zweckorientierte Kundenbindung etablieren

Verknüpfen Sie die Datenkategorien von Kindern mit spezifischen Erhebungszwecken und Aufbewahrungsfristen.

Identifizieren Sie redundante, veraltete und unnötige Kopien und richten Sie Arbeitsabläufe für deren sichere Löschung ein.

8. Unterstützung der Elternrechte

Prozesse aufrechterhalten, die es Eltern ermöglichen, die über ihre Kinder gesammelten relevanten Informationen einzusehen, gegebenenfalls die Einwilligung zu widerrufen und die Löschung zu beantragen.

Die Workflows für Rechte sollten die relevanten nachgelagerten Systeme erreichen und nicht nur das Frontend-Konto.

9. Bewertung von Drittparteien

Identifizieren Sie Dienstanbieter, SDKs, Plug-ins, Werbetechnologien, Analysetools, Cloud-Anbieter und andere Empfänger, die mit den Daten von Kindern interagieren könnten.

Machen Sie sich mit den Daten vertraut, die sie erhalten, und wenden Sie die in der Regel festgelegten Sorgfalts- und Prüfungsanforderungen an.

10. Führen Sie ein schriftliches Sicherheitsprogramm.

Dokumentieren Sie geeignete Schutzmaßnahmen und verknüpfen Sie diese mit den tatsächlichen Systemen und Speicherorten, die Informationen über Kinder enthalten.

11. Überprüfung der Alterssicherungspraktiken

Wenn die Organisation Technologien zur Altersverifizierung oder Alterssicherung einsetzt, sollten die zu diesem Zweck erhobenen Informationen auf ein Minimum beschränkt, die Sekundärnutzung eingeschränkt, die Weitergabe an Dritte kontrolliert und die Informationen gelöscht werden, sobald sie nicht mehr benötigt werden.

12. Bewertung des KI-Einsatzes

Ermitteln, ob personenbezogene Daten von Kindern KI-Modelle, Anwendungen, Copiloten, Trainingsdatensätze, Eingabeaufforderungen, Vektorspeicher oder Agenten erreichen.

Vor der Einführung neuer KI-Anwendungen sollten Zweck, Zugriff, Richtlinien, Aufbewahrung und Löschung geprüft werden.

13. Beweise aufbewahren

Dokumenteneinwilligung, Richtlinien, Bewertungen, Aufbewahrungsentscheidungen, Lieferantenkontrollen, Löschung und Behebung von Mängeln.

Die Einhaltung der Vorschriften erfordert sowohl Kontrolle als auch die Fähigkeit, diese Kontrolle nachzuweisen.

Wie wird COPPA durchgesetzt?

Die FTC setzt die COPPA-Regel durch, und auch die Generalstaatsanwälte der Bundesstaaten können eine Durchsetzungsrolle übernehmen.

Nach den aktuellen COPPA-Richtlinien der FTC für Unternehmen können Gerichte Betreiber mit zivilrechtlichen Strafen von bis zu … belegen. $53,088 pro Verstoß. Die tatsächliche Höhe hängt von den Umständen des Einzelfalls ab.

Die bisherige Rechtsprechung zeigt auch, dass die Haftung weit über Geldstrafen hinausgehen kann.

Die Angelegenheit der FTC gegen Epic Games aus dem Jahr 2022 umfasste Folgendes: Zivilstrafe in Höhe von $275 Millionen im Zusammenhang mit COPPA-Vorwürfen.

Im Jahr 2025 gab die FTC eine Einigung mit Disney über 10 Millionen US-Dollar bekannt, die sich auf Vorwürfe im Zusammenhang mit der falschen Kennzeichnung von YouTube-Inhalten für Kinder bezog.

Aktuelle Fälle verdeutlichen noch einen weiteren Punkt:

Verstöße gegen COPPA können auf operative Entscheidungen wie die Konfiguration von Drittanbieter-SDKs oder die Inhaltsklassifizierung zurückzuführen sein und nicht nur auf das Fehlen eines Einwilligungsformulars.

COPPA ist nur ein Teil des Gesamtbildes zum Datenschutz für Kinder.

Organisationen sollten nicht davon ausgehen, dass COPPA den gesamten Umfang der Datenschutzpflichten gegenüber Kindern abdeckt.

Die Gesetze der Bundesstaaten befassen sich zunehmend mit den Daten von Kindern und Minderjährigen durch umfassendere Anforderungen an Datenschutz, Alterssicherung, Gestaltung und Online-Sicherheit.

Zum Beispiel, Marylands Online-Datenschutzgesetz Das Gesetz trat am 1. Oktober 2025 in Kraft und behandelt personenbezogene Daten von Kindern als sensible Daten. Maryland hat außerdem einen separaten Kinderkodex erlassen, der Online-Produkte regelt, auf die Kinder mit hoher Wahrscheinlichkeit zugreifen.

Kalifornien entwickelt und verhandelt weiterhin über die Anforderungen an den Online-Datenschutz und die Online-Sicherheit von Kindern, während Gesetz zum Schutz unserer Kinder vor der Sucht nach sozialen Medien schafft Anforderungen in Bezug auf bestimmte süchtig machende Feeds, elterliche Zustimmung und Alterssicherung.

Organisationen, die international tätig sind, müssen gegebenenfalls auch Anforderungen wie die DSGVO und andere länderspezifische Schutzbestimmungen für Kinderdaten berücksichtigen.

Die operative Lösung sollte nicht in einer separaten Dateninventur für jedes Gesetz bestehen.

Ein konsequenterer Ansatz schafft ein gemeinsames Verständnis von Daten von Kindern und Minderjährigen und wendet dann die entsprechenden Anforderungen in Bezug auf Zuständigkeit, Alter, Zweck, Einwilligung, Aufbewahrung, Zugriff und Richtlinien an.

Wie BigID die Einhaltung des COPPA-Gesetzes unterstützt

BigID hilft Organisationen dabei, die Datenschutzanforderungen für Kinder mit den Unternehmensdaten zu verknüpfen, die diesen Anforderungen unterliegen.

Organisationen können die Funktionen von BigID nutzen, um:

• Persönliche Daten ermitteln und klassifizieren: Ermitteln Sie sensible und personenbezogene Daten in unterstützten strukturierten und unstrukturierten Unternehmensdatenumgebungen und klassifizieren Sie relevante Kategorien von Kinderdaten.
• Erstellen Sie ein datenzentriertes Inventar: Machen Sie sich klar, wo relevante Informationen zu finden sind, anstatt sich nur auf Antragslisten, Fragebögen oder Richtliniendokumente zu verlassen.
• Datenkontext und -bewegung verstehen: Verknüpfen Sie Informationen mit Systemen, Geschäftskontext, Herkunft, Eigentumsverhältnissen und anderen Metadaten, um die Transparenz darüber zu verbessern, wie Daten fließen und wo Datenschutzrisiken entstehen können.
• Einwilligungen und Präferenzen verwalten: Einwilligungs- und Präferenzdatensätze über unterstützte Kanäle, Systeme und Anwendungen hinweg erfassen, verwalten, korrelieren und synchronisieren.
• Arbeitsabläufe im Zusammenhang mit Datenschutzrechten automatisieren: Relevante personenbezogene Daten finden und Zugriffs- und Löschvorgänge in den verschiedenen Systemen des Unternehmens koordinieren.
• Kundenbindung operationalisieren: Verknüpfen Sie Aufbewahrungsfristen mit Daten, identifizieren Sie Informationen, deren Nutzungs- oder genehmigter Lebenszyklus abgelaufen ist, und koordinieren Sie die weitere Vorgehensweise.
• Datenschutzrisiko einschätzen: Ergänzen Sie Datenschutzbewertungen um einen Datenkontext, damit Teams Prozesse auf der Grundlage der tatsächlich betroffenen personenbezogenen Daten bewerten können.
• Zugang und Gefährdung identifizieren: Erkennen Sie, wo sensible Informationen übermäßig oder unangemessen zugänglich sind, was das Sicherheits- und Datenschutzrisiko erhöhen kann.
• Koordinierung der Sanierungsmaßnahmen: Datenschutzbedenken sollten in konkrete Maßnahmen und Arbeitsabläufe umgesetzt werden, anstatt Risiken in Berichten zu belassen.
• Nachweis der Einhaltung der Vorschriften: Verknüpfen Sie Richtlinien, Datenerhebungen, Zuständigkeiten, Arbeitsabläufe und Abhilfemaßnahmen, um die Berichterstattung zu verbessern und die operative Kontrolle nachzuweisen.

Ziel ist es nicht einfach nur zu beweisen, dass ein Elternteil auf “Ich stimme zu” geklickt hat.”

Organisationen müssen wissen, welche Daten von Kindern sie besitzen, wohin diese Daten gelangt sind, wer sie nutzen darf, ob diese Nutzung weiterhin angemessen ist, wie lange sie diese Daten aufbewahren sollten und ob sie Maßnahmen ergreifen können, wenn sich etwas ändern muss.

Das ist der Unterschied zwischen der Behandlung von COPPA als Einwilligungsereignis und der Behandlung der Privatsphäre von Kindern als Datenlebenszyklus.

Häufig gestellte Fragen zur Einhaltung des COPPA-Gesetzes

Was ist COPPA?

COPPA ist ein US-amerikanisches Bundesgesetz zum Schutz der Privatsphäre von Kindern. Die COPPA-Regel der FTC regelt, wie betroffene Betreiber personenbezogene Daten von Kindern unter 13 Jahren erheben, verwenden, weitergeben, schützen, speichern und löschen.

Wer muss die Bestimmungen des COPPA einhalten?

COPPA gilt für Betreiber kommerzieller Websites und Online-Dienste, die sich an Kinder unter 13 Jahren richten und personenbezogene Daten erheben. Es gilt unter bestimmten Umständen auch für Betreiber von Websites und Online-Diensten für ein allgemeines Publikum, die wissentlich personenbezogene Daten von Kindern unter 13 Jahren erheben.

Was hat sich in der aktualisierten COPPA-Regel geändert?

Die geänderte Regelung verschärft die Anforderungen hinsichtlich der Offenlegung gegenüber Dritten und zielgerichteter Werbung, der Datenspeicherung, der Informationssicherheit, der elterlichen Kontrolle und der Rechenschaftspflicht gemäß Safe Harbor. Sie erweitert zudem ausdrücklich den Begriff der personenbezogenen Daten um von Behörden ausgestellte Kennungen und bestimmte biometrische Kennungen.

Was versteht man unter einer nachweisbaren elterlichen Einwilligung gemäß COPPA?

Die nachweisbare elterliche Einwilligung ist ein Verfahren, das unter Berücksichtigung der verfügbaren Technologie angemessen darauf ausgelegt ist, sicherzustellen, dass die einwilligende Person tatsächlich ein Elternteil des Kindes ist. Die geeignete Methode hängt von den Umständen und den geltenden Bestimmungen des COPPA (Children’s Online Parental Privacy Act) ab.

Gilt COPPA auch für Cookies und Geräte-IDs?

Das ist möglich. Die Definition von personenbezogenen Daten gemäß COPPA umfasst auch dauerhafte Kennungen, die einen Nutzer über einen längeren Zeitraum und über verschiedene Websites oder Online-Dienste hinweg erkennen können, vorbehaltlich bestimmter Ausnahmen, wie z. B. bestimmter Verwendungszwecke zur Unterstützung interner Abläufe.

Umfasst COPPA biometrische Daten?

Ja. Die geänderte COPPA-Regel schließt biometrische Identifikatoren, die eine automatisierte oder halbautomatisierte Erkennung einer Person ermöglichen, ausdrücklich in ihre Definition von personenbezogenen Daten ein.

Verbietet COPPA gezielte Werbung für Kinder?

Die geänderte Regelung sieht eine separate, nachweisbare Einwilligung der Eltern für bestimmte Weitergaben personenbezogener Daten von Kindern an Dritte vor, einschließlich solcher im Zusammenhang mit zielgerichteter Werbung. Organisationen sollten ihre spezifischen Erhebungs- und Weitergabepraktiken anhand der Regelung überprüfen.

Wie lange darf ein Unternehmen gemäß COPPA Daten von Kindern speichern?

Verantwortliche Betreiber sollten personenbezogene Daten von Kindern nur so lange aufbewahren, wie dies zur Erfüllung des spezifischen Zwecks, für den sie erhoben wurden, erforderlich ist, und die Daten sicher löschen, sobald dieser Zweck die Aufbewahrung nicht mehr rechtfertigt.

Ist gemäß COPPA ein Sicherheitsprogramm erforderlich?

Die geänderte Regelung verpflichtet die betroffenen Betreiber, ein schriftliches Informationssicherheitsprogramm mit angemessenen Schutzmaßnahmen einzurichten, umzusetzen und aufrechtzuerhalten, das Faktoren wie die Sensibilität der persönlichen Daten von Kindern sowie die Größe, Komplexität und Aktivitäten der Organisation berücksichtigt.

Welche Strafen drohen bei Verstößen gegen COPPA?

Gemäß den aktuellen Richtlinien der FTC können Gerichte zivilrechtliche Strafen von bis zu 1.405.308 US-Dollar pro Verstoß verhängen. Die Höhe der Strafen hängt von verschiedenen Faktoren ab, wie beispielsweise der Art des Verstoßes, den betroffenen Informationen, der Art der Datennutzung oder -weitergabe sowie anderen Umständen.

Wie wirkt sich KI auf die Einhaltung des COPPA-Gesetzes aus?

KI kann neue Verwendungszwecke und Anwendungsbereiche für Kinderdaten schaffen. Organisationen sollten prüfen, ob personenbezogene Daten von Kindern in Trainings-, Optimierungs-, Abruf-, Schlussfolgerungs-, Empfehlungs-, Moderations-, generative KI- oder agentenbasierte Arbeitsabläufe einfließen und bewerten, ob Zweck, Zugriff, Speicherung, Sicherheit und Weitergabe weiterhin angemessen sind.

Wie hilft BigID bei der Einhaltung des COPPA-Gesetzes?

BigID hilft Unternehmen dabei, personenbezogene Daten zu entdecken und zu klassifizieren, zu verstehen, wo relevante Daten gespeichert sind, Einwilligungs- und Datenschutzrechte zu verwalten, die Aufbewahrung zu operationalisieren, Datenschutzrisiken zu bewerten, Zugriffe und Gefährdungen zu identifizieren, Abhilfemaßnahmen zu koordinieren und die Nachweise zur Einhaltung der Vorschriften für Unternehmensdaten zu stärken.