Wenn Kinder unter 13 Jahren Ihre App nutzen, Ihr Spiel spielen oder Ihre Website besuchen – selbst wenn Sie sie nie für sie entwickelt haben – kann Sie das Bundesgesetz bereits wie ein Kinderunternehmen behandeln. Und da die erste große Aktualisierung dieses Gesetzes seit über einem Jahrzehnt in diesem Jahr vollständig in Kraft getreten ist, sind die Anforderungen strenger, als die meisten kleinen Betreiber glauben.
Das Gesetz ist der Children's Online Privacy Protection Act, kurz COPPA. Es gibt es seit 2000, aber die Überarbeitung der COPPA-Regel durch die Federal Trade Commission – finalisiert im Januar 2025 mit einer Compliance-Pflicht für Betreiber bis April 2026 – hat das praktische Vorgehen neu geschrieben: separate elterliche Genehmigung, bevor Sie Kindesdaten an Dritte weitergeben, harte Grenzen für die Aufbewahrungsdauer und ein schriftliches Sicherheitsprogramm zu ihrem Schutz. Zivilstrafen betragen mehr als 50.000 US-Dollar pro Verstoß und werden jedes Jahr inflationsbedingt angepasst.
Dieser Leitfaden erklärt, wen COPPA tatsächlich betrifft, was die aktualisierte Regel verlangt und welche konkrete Checkliste ein kleines Team ohne die Einstellung einer Datenschutzabteilung durcharbeiten kann.
Wen COPPA betrifft: Nicht nur Kinder-Websites
Das teuerste Missverständnis über COPPA ist die Annahme, dass es nur auf Produkte anwendbar ist, die „für Kinder gemacht" sind. Die FTC sagt ausdrücklich das Gegenteil: Die Regel gilt nicht nur für Kinder-Websites.
Websites und Dienste, die „an Kinder gerichtet" sind
Eine Website oder App gilt als an Kinder gerichtet, wenn sie im Gesamtbild Kinder unter 13 Jahren anspricht. Die FTC berücksichtigt Faktoren wie Themen, visuellen Stil und Charaktere, Musik, Sprache, Nachweise tatsächlicher Nutzung durch Kinder und Werbung, die auf Kinder abzielt. Ein bunt animiertes Spiel, ein Cartoon-Avatar-Ersteller oder ein Produkt-Unboxing-Kanal mit jungem Publikum können alle darunterfallen – unabhängig davon, was Ihr Marketingplan als Zielgruppe angibt.
„Tatsächliche Kenntnis" erfasst alle anderen
Auch ein Dienst mit allgemeinem Publikum wird ab dem Moment erfasst, in dem sein Betreiber tatsächliche Kenntnis davon erhält, dass er personenbezogene Daten von einem Kind unter 13 Jahren sammelt. Diese Kenntnis kann durch eine Support-E-Mail mit Erwähnung des Alters eines Nutzers, ein Geburtsdatumsfeld in Ihrem Anmeldeformular, eine Beschwerde eines Elternteils oder durch Analysen, die eine junge Nutzerbasis zeigen, die Sie nicht untersuchen wollten, entstehen. Wenn Sie es einmal wissen, können Sie es nicht mehr ignorieren: Ab diesem Zeitpunkt gelten COPPA-Einwilligungs- und Datenverarbeitungspflichten für die Informationen dieses Kindes.
Dienste mit gemischtem Publikum haben einen Mittelweg
Wenn Ihr Publikum tatsächlich sowohl Kinder als auch Erwachsene umfasst, ermöglicht Ihnen die Regel, eine Altersprüfung durchzuführen und COPPA-Schutz nur auf die von Ihnen identifizierten unter 13-Jährigen anzuwenden – aber die Prüfung muss neutral und wirksam sein. Eine selbst erklärte Geburtsdatumsabfrage, die es einem Nutzer stillschweigend erlaubt, seine Antwort zu ändern, bis er „alt genug" ist, oder die standardmäßig ein Erwachsenengeburtsjahr verwendet, schützt Sie nicht. Gestalten Sie die Abfrage so, dass sie nicht mit einem Klick umgangen werden kann, und behandeln Sie jeden, der als unter 13 identifiziert wird, als vollständig abgedeckt.
Was die Aktualisierung von 2025 geändert hat
Die Änderungen, die Betreiber ab April 2026 einhalten mussten, sind die erste bedeutende Überarbeitung seit 2013 und konzentrieren sich auf drei Themen: Eltern müssen die Weitergabe und Monetarisierung ausdrücklich genehmigen, Kindesdaten dürfen nicht gehortet werden, und Sicherheit muss dokumentiert statt angenommen werden.
Separate Einwilligung vor der Weitergabe oder gezielter Werbung
Bisher konnte eine einzige elterliche Einwilligung Sammlung, Nutzung und Weitergabe gemeinsam abdecken. Jetzt müssen Sie eine separate, opt-in Einwilligung einholen, bevor Sie personenbezogene Daten eines Kindes an Dritte weitergeben – einschließlich für gezielte Werbung. In der Praxis bedeutet dies, dass Ihr Onboarding-Ablauf zwei separate, klar beschriebene Anfragen benötigt: eine für die Erhebung und Nutzung der Kindesdaten für den Dienst selbst und eine weitere, bevor Daten an Werbenetzwerke, Analyseanbieter oder andere Dritte fließen. Vorab angekreuzte Kästchen und gebündelte „Alles akzeptieren"-Schaltflächen erfüllen diesen Standard nicht.
Kindesdaten nur so lange aufbewahren, wie Sie sie benötigen – dann löschen
Die aktualisierte Regel behält den Standard der „angemessenen Notwendigkeit" bei, fügt aber ein ausdrückliches Verbot hinzu, personenbezogene Daten von Kindern auf unbestimmte Zeit zu speichern. Sie müssen eine Datenaufbewahrungsrichtlinie für Kindesdaten veröffentlichen und einen internen Zeitplan für deren Löschung führen. Konkret: Definieren Sie für jede Datenkategorie, die Sie halten (Konten, Chatprotokolle, Support-Tickets, Backups), wie lange Sie sie aufbewahren und warum, und löschen Sie dann nach diesem Zeitplan. „Wir könnten es eines Tages brauchen" ist kein rechtmäßiger Aufbewahrungsgrund mehr.
Ein schriftliches Sicherheitsprogramm ist Pflicht
Betreiber müssen jetzt ein schriftliches Sicherheitsprogramm für personenbezogene Daten von Kindern einrichten, umsetzen und aufrechterhalten, mit Sicherheitsvorkehrungen, die der Sensibilität der Daten angemessen sind. Für ein kleines Team erfordert dies keine Unternehmenssoftware – aber es erfordert, schriftlich festzuhalten, wer auf Kindesdaten zugreifen kann, wie sie während der Übertragung und im Ruhezustand verschlüsselt werden, wie Sie Anbieter mit Zugriff prüfen und wie Sie auf einen Vorfall reagieren – und dieses Dokument dann tatsächlich zu befolgen.
Breitere Definitionen und klarere Hinweise
Die Aktualisierung fügt biometrische Identifikatoren zur Definition personenbezogener Daten hinzu, sodass Stimmabdrücke, Gesichtsgeometrie oder Fingerabdrücke, die von Kindern gesammelt werden, vollständig abgedeckt sind. Ihr direkter Hinweis an die Eltern muss ebenfalls detaillierter sein: Geben Sie an, was Sie sammeln, wie Sie es verwenden und insbesondere welche Dritten es erhalten und für welche Zwecke. Ein allgemeiner Absatz wie „Wir können Daten mit Partnern teilen" reicht nicht mehr aus.
Überprüfbare elterliche Einwilligung, praktisch gesehen
COPPA-Einwilligung muss „überprüfbar" sein – Sie benötigen eine Methode, die vernünftigerweise geeignet ist, zu bestätigen, dass die einwilligende Person tatsächlich das Elternteil des Kindes ist, nicht das Kind. Die FTC erkennt mehrere Ansätze an, und der richtige hängt davon ab, was Sie mit den Daten tun:
- Zahlungsverifizierung. Eine kleine Gebühr oder ein Kartenprüfschritt bestätigt, dass ein Erwachsener das Zahlungsmittel besitzt. Üblich für Abonnements und kostenpflichtige Apps.
- Unterzeichnete Einwilligungsformulare. Ein Elternteil unterschreibt und sendet ein Formular per Post, Fax oder hochgeladenem Scan zurück. Einfach und zuverlässig für Schulen, Camps und Programme mit Offline-Anmeldung.
- Videokonferenz. Eine Live-Videoprüfung mit geschultem Personal. Hohe Sicherheit, aber arbeitsintensiv in großem Maßstab.
- Identitätsprüfung mit Regierungsdokumenten. Überprüfung eines Führerscheins oder eines anderen Ausweises gegen eine Datenbank. Effektiv, aber Sie halten dann sensible Elterndokumente, die ihren eigenen Schutz und Löschzeitplan benötigen.
- Wissensbasierte Authentifizierung. Challenge-Fragen, die aus Datensätzen stammen, die nur das Elternteil wahrscheinlich kennt. Die FTC hat bestimmte Implementierungen dieser Methode genehmigt.
- E-Mail-plus – nur für interne Nutzung. Für Daten, die Sie ausschließlich innerhalb Ihres eigenen Betriebs sammeln und verwenden (niemals an Dritte weitergegeben), können Sie die leichtere „E-Mail-plus"-Methode verwenden: eine E-Mail vom Elternteil, gefolgt von einer verzögerten Bestätigung über einen zweiten Kanal. Sobald ein Dritter die Daten erhält, reicht E-Mail-plus nicht mehr aus.
Unabhängig von der gewählten Methode: Führen Sie Aufzeichnungen über die Einwilligung – wann sie erteilt wurde, was sie abdeckte und wie sie verifiziert wurde. Einwilligungsaufzeichnungen sind sowohl ein rechtlicher Schutz als auch normale Geschäftsdokumentation.
Ihre Compliance-Checkliste
Arbeiten Sie diese Schritte der Reihe nach durch. Jeder baut auf dem vorherigen auf, und zusammen decken sie die Pflichten ab, die der eigene Sechs-Schritte-Compliance-Plan der FTC betont.
1. Erfassen Sie, was Sie sammeln und von wem
Inventarisieren Sie jedes Datenfeld, das Ihr Produkt berührt: Anmeldeformulare, Analyse-SDKs, Absturzmelder, Werbemodule, Chat-Funktionen, Support-Tools, Newsletter. Notieren Sie für jedes, ob es von einem Nutzer unter 13 stammen könnte und welche Anbieter es erhalten. Die meisten kleinen Teams entdecken mindestens ein SDK, das stillschweigend Gerätekennungen oder Standortdaten überträgt, die sie nie bewusst zu sammeln beabsichtigt haben.
2. Legen Sie Ihre Zielgruppen-Haltung fest
Sind Sie kindgerichtet, gemischtes Publikum oder allgemeines Publikum? Dokumentieren Sie die Begründung. Bei gemischtem Publikum bauen Sie die oben beschriebene neutrale Altersprüfung. Bei allgemeinem Publikum entscheiden Sie im Voraus, wie Sie reagieren, wenn Sie tatsächliche Kenntnis von einem jungen Nutzer erhalten – wer den Hinweis prüft, wie schnell die Datenerhebung stoppt und wann die Löschung erfolgt.
3. Schreiben Sie Ihre Datenschutzrichtlinie und Elternhinweis neu
Veröffentlichen Sie eine klare, vollständige Richtlinie: welche Kindesdaten Sie sammeln, wie Sie sie verwenden, mit wem Sie sie teilen und warum, Ihre Aufbewahrungsfristen, die Rechte der Eltern, die Daten ihres Kindes einzusehen, zu korrigieren und zu löschen, sowie Ihre Kontaktmöglichkeiten. Schreiben Sie dann den direkten Hinweis an die Eltern in einfacher Sprache – er muss die spezifischen Dritten und Zwecke nennen, nicht hinter Allgemeinheiten verstecken.
4. Bauen Sie den zweigleisigen Einwilligungsfluss auf
Trennen Sie die Einwilligung für den Betrieb Ihres Dienstes von der Einwilligung für die Weitergabe an Dritte oder das Schalten gezielter Werbung. Protokollieren Sie beide. Machen Sie den Widerruf der Einwilligung so einfach wie die Erteilung und stellen Sie sicher, dass der Widerruf tatsächlich die nachgelagerten Flüsse stoppt – einschließlich der Aufforderung an Anbieter, Daten zu löschen, die Sie ihnen gesendet haben.
5. Sichern Sie Anbieter vertraglich ab
Listen Sie jeden Dienstleister, jedes Werbenetzwerk, jedes Analysetool und jede Plattform auf, die Kindesdaten berühren. Ihre Verträge müssen deren Nutzung der Daten auf Ihre angegebenen Zwecke beschränken, eine unabhängige Wiederverwendung oder Monetarisierung untersagen und die Löschung auf Anfrage verlangen. Ein Anbieter, dessen Bedingungen es ihm erlauben, Daten für eigene Zwecke zu behalten oder weiterzuverkaufen, ist eine COPPA-Haftung in Ihrem Stack.
6. Veröffentlichen Sie den Aufbewahrungszeitplan und setzen Sie ihn um
Schreiben Sie die Aufbewahrungsrichtlinie, die die Regel jetzt verlangt: Datenkategorien, Zwecke, Zeitlimits, Löschmethode und Verantwortliche. Tragen Sie wiederkehrende Löschungen in den Kalender ein – vierteljährliche Bereinigungen abgelaufener Support-Tickets, gealterter Protokolle und veralteter Backups. Denken Sie daran, dass die Löschung auch Backups und Anbieterkopien innerhalb einer angemessenen Frist erreichen muss.
7. Schreiben Sie das Sicherheitsprogramm
Dokumentieren Sie Zugriffskontrollen, Verschlüsselung, Mitarbeiterschulungen, Anbieterprüfung und Incident-Response speziell für Kindesdaten. Überprüfen Sie es mindestens jährlich und nach jedem Vorfall oder größeren Produktwechsel.
Fehler, die immer wieder auftreten
- App-Store-Altersfreigaben als Compliance behandeln. Store-Bewertungen und COPPA sind getrennte Systeme. Ein „4+"- oder „Für alle"-Label erfüllt weder die Pflichten der Regel noch entschuldigt es sie.
- Die SDKs vergessen. Analyse-, Attributions- und Werbevermittlungs-Kits sind die häufigste Quelle unentdeckter Datensammlung. Prüfen Sie sie bei jedem App-Update, nicht nur einmal beim Start.
- Annehmen, dass „wir zielen nicht auf Kinder" die Untersuchung beendet. Tatsächliche Kenntnis und Nutzung durch gemischtes Publikum bringen Produkte für allgemeines Publikum unabhängig von der Absicht in den Geltungsbereich.
- Ein Kästchen für alles. Gebündelte Einwilligung erfüllt die Anforderung der separaten Opt-in-Einwilligung für Weitergabe und gezielte Werbung nicht.
- Daten „nur für den Fall" aufbewahren. Unbegrenzte Speicherung ist jetzt ausdrücklich verboten. Wenn Sie den Zweck nicht benennen können, löschen Sie die Daten.
- Landesgesetze ignorieren. Mehrere Bundesstaaten haben eigene Datenschutzgesetze für Kinder und Jugendliche erlassen, die Designpflichten enthalten, die über COPPA hinausgehen. Bundescompliance ist die Untergrenze, nicht die Obergrenze – prüfen Sie die Gesetze der Staaten, in denen Ihre Nutzer leben.
Was Nicht-Compliance kostet
COPPA-Verstöße werden als unlautere oder irreführende Praktiken behandelt, und Gerichte können Zivilstrafen von über 50.000 US-Dollar pro Verstoß verhängen – wobei jedes betroffene Kind und jeder einzelne Verstoß möglicherweise separat zählt. Diese Rechnung hat dazu geführt, dass Durchsetzungsmaßnahmen gegen große Plattformen Beträge in zweistelliger und dreistelliger Millionenhöhe erreicht haben. Kleine Betreiber sehen selten Strafen in dieser Größenordnung, aber die FTC hat wiederholt kleine App-Entwickler und Startups verfolgt, und die Generalstaatsanwälte der Bundesstaaten können eigene Klagen einreichen. Neben Strafen verlangen Anordnungen in der Regel die Löschung unrechtmäßig gesammelter Daten – einschließlich aller daraus erstellten Modelle oder Profile – sowie jahrelange Compliance-Überwachung. Die Sanierung kostet in der Regel weit mehr als die Compliance gekostet hätte.
Verfolgen Sie Compliance wie die Geschäftsausgabe, die sie ist
Jeder Punkt auf der obigen Checkliste kostet etwas: Einwilligungsverifizierungsdienste, Vertragsprüfungen, SDK-Audits, Löschwerkzeuge, Mitarbeiterzeit. Behandeln Sie diese als gewöhnliche Kostenzentren in Ihren Büchern und nicht als einmalige Überraschungen. Kennzeichnen Sie Lieferantenverträge, die Kindesdaten berühren, damit Verlängerungen eine erneute Datenverwendungsprüfung auslösen. Protokollieren Sie die Durchführung von Aufbewahrungszeitplänen so, wie Sie Backups protokollieren – ein datierter Nachweis, dass Löschungen erfolgt sind, ist selbst ein Compliance-Beleg. Und wenn Sie für die nächste Funktion budgetieren, die Nutzerdaten sammelt, kalkulieren Sie den Einwilligungsfluss, die Hinweisaktualisierung und den Speicherlebenszyklus von vornherein ein – genauso, wie Sie Hosting kalkulieren würden. Datenschutzarbeit, die in Ihrem Kontenplan lebt, wird finanziert; Datenschutzarbeit, die in guten Vorsätzen lebt, wird vergessen.
Vereinfachen Sie Ihre Finanzverwaltung
Wenn Sie Einwilligungsflüsse, Aufbewahrungszeitpläne und Anbieterprüfungen in Ihre Abläufe integrieren, ist es unerlässlich, klare Finanzaufzeichnungen über diese Compliance-Ausgaben zu führen. Beancount.io bietet Buchhaltung im Klartextformat, die Ihnen vollständige Transparenz und Kontrolle über Ihre Finanzdaten gibt – keine Blackboxen, keine Anbieterbindung. Starten Sie kostenlos und sehen Sie, warum Entwickler und Finanzprofis auf Buchhaltung im Klartextformat umsteigen.
