Gemäß dem Erwägungsgrund 38 der Datenschutz-Grundverordnung verdienen Kinder (eine Unterscheidung zwischen Kindern und Jugendlichen wird nicht gezogen) bei ihren personenbezogenen Daten besonderen Schutz, da Kinder sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind.
Ein solcher besonderer Schutz sollte insbesondere die Verwendung personenbezogener Daten von Kindern für Werbezwecke oder für die Erstellung von Persönlichkeits- oder Nutzerprofilen und die Erhebung von personenbezogenen Daten von Kindern bei der Nutzung von Diensten, die Kindern direkt angeboten werden, betreffen. Die Einwilligung des Trägers der elterlichen Verantwortung sollte im Zusammenhang mit Präventions- oder Beratungsdiensten, die unmittelbar einem Kind angeboten werden, nicht erforderlich sein.
Das Wort „insbesondere“ verdeutlicht, dass der besondere Schutz nicht auf Werbezwecke und die Erstellung von Profilen beschränkt ist, sondern die weiter gefasste Erhebung von personenbezogenen Daten von Kindern umfasst.
Die Verarbeitung der personenbezogenen Daten eines Kindes ist bei einem Angebot von Diensten der Informationsgesellschaft, das einem Kind direkt gemacht wird, nur rechtmäßig, wenn das Kind das sechzehnte Lebensjahr vollendet hat. Hat das Kind noch nicht das sechzehnte Lebensjahr vollendet, so ist diese Verarbeitung nur rechtmäßig, sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird (Art. 8 Abs. 1 DSGVO).
Ein „Dienst der Informationsgesellschaft“ ist gemäß Art. 4 Nr. 25 DSGVO eine Dienstleistung im Sinne des Art. 1 Nummer 1 Buchstabe b der Richtlinie (EU) 2015/1535 des Europäischen Parlaments und des Rates. Dabei handelt es sich um „jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung“. Darunter fallen insbesondere Telekommunikations- und Online-Dienste, bei denen personenbezogene Daten erhoben werden. Auch soziale Netzwerke, Messenger-Dienste und Suchmaschinen fallen unter dem Begriff, selbst wenn kein Entgelt erhoben wird.
Die Aufnahme der Formulierung „das einem Kind direkt gemacht wird“ weist darauf hin, dass Art. 8 DSGVO auf einige, aber nicht alle Dienste der Informationsgesellschaft angewendet werden soll. Wenn ein Anbieter eines Dienstes der Informationsgesellschaft in dieser Hinsicht gegenüber möglichen Nutzern deutlich macht, dass er seinen Dienst Personen anbietet, die 18 Jahre oder älter sind, und dies nicht durch andere Nachweise untergraben wird (wie der Inhalt der Seite oder Marketingkonzepte) wird der Dienst nicht als „Kindern direkt angeboten“ angesehen und Artikel 8 findet keine Anwendung.
Hat das Kind noch nicht das sechzehnte Lebensjahr vollendet, so ist die Datenverarbeitung nur rechtmäßig, sofern und soweit diese Einwilligung durch den Träger der elterlichen Verantwortung für das Kind oder mit dessen Zustimmung erteilt wird (Art. 8 Abs. 1 Satz 2 DSGVO). Somit muss sich der Diensteanbieter (z. B. durch ein Double-Opt-In-Verfahren) vergewissern, dass die Einwilligung eines Erziehungsberechtigten vorliegt.
Die Mitgliedstaaten können zwar durch Rechtsvorschriften eine niedrigere Altersgrenze vorsehen, die jedoch nicht unter dem vollendeten dreizehnten Lebensjahr liegen darf (Art. 8 Abs. 1 Satz 3 DSGVO). Somit können Kinder unter 13 Jahren in keinem Fall eine rechtsgültige Einwilligung geben.
Der deutsche Gesetzgeber hat zumindest im BDSG von der Möglichkeit, eine niedrigere Altersgrenze vorzusehen, nicht Gebrauch gemacht.
Fundstelle:
„Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679“ des Europäischen Datenschutzausschusses – abrufbar im Internet unter https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_de.pdf
