Datenschutzrechtliche Anforderungen an Altersverifikationssysteme

- Es gilt das gesprochene Wort -

Sehr geehrte Frau Weisgerber,
Sehr geehrte Frau Kemmer,
Sehr geehrte Frau König,
Sehr geehrter Herr Brinkhaus,
Meine sehr geehrten Damen und Herren,

herzlichen Dank für die Einladung zu Ihrem heutigen zweiten Hearing.

Der Koalitionsvertrag sieht vor, dass künftig mehr auf Altersverifikationssysteme gesetzt werden soll. Dies hat jugendschutzrechtliche Implikationen aber berührt auch datenschutzrechtliche Fragen.

Ich möchte Ihnen daher heute meine datenschutzrechtlichen „Golden 5“ der Altersverifikation vorstellen: 5 Thesen, die Ihnen die rechtlichen und technischen Umsetzungsmöglichkeiten von Altersverifikationssystemen aufzeigen.

 

1. Altersverifikationssysteme sind rechtlich möglich

Meine erste These lautet: Altersverifikationen sind bei der Nutzung sozialer Medien zwar nicht immer zwingend erforderlich, sie sind rechtlich aber unter bestimmten Voraussetzungen möglich und können bei Vorliegen dieser Voraussetzungen durch den Gesetzgeber vorgegeben werden.

Das deutsche Jugendschutzrecht sieht z. B. verpflichtende Altersverifikationen für den Konsum jugendgefährdender Inhalte oder zum Schutz vor entwicklungs-beeinträchtigenden Angeboten vor.

Entwicklungsbeeinträchtigungen wurden in der Vergangenheit im Online-Bereich z. B. für Online-Spiele anerkannt, wobei die Interaktionsmöglichkeiten mit anderen Spielern, Werbung und externe Links explizit als Risiken hervorgehoben wurden.

Die Jugendschutzrichtlinien der Landesmedienanstalten stellen insoweit zur Beurteilung der Entwicklungsbeeinträchtigung auch auf Gefährdungen des sozialen Kontakts und der sozialen Gemeinschaftsfähigkeit sowie auf Ängstigungen, psychische Destabilisierungen, Solidarität, Anteilnahme und gegenseitigen Respekt ab. Ich frage mich: Ist das bei Sozialen Medien nicht ähnlich? Bergen sie nicht genau diese Risiken?

Das wäre jedenfalls für Anbieter Sozialer Medien mit Sitz in Deutschland ein regulatorischer Anknüpfungspunkt, über den man nachdenken sollte und der auch über die deutschen Grenzen hinaus Anklang finden könnte.

Besser wäre indes eine Regelung auf europäischer Ebene, da Deutschland aufgrund des sogenannten Herkunftslandprinzips ausschließlich Soziale Medien mit Hauptsitz in Deutschland jugendschutz- und medienrechtlich regulieren darf.

Europaweit gilt in dieser Hinsicht derzeit der Digital Services Act. Dieser verpflichtet gemäß seinem Artikel 28 Anbieter von Sozialen Medien zwar dazu, geeignete und verhältnismäßige Schutzmaßnahmen für Minderjährige zu treffen. Andererseits schränkt derselbe Artikel explizit ein, dass Anbieter Sozialer Medien nicht personenbezogene Daten verarbeiten müssen, um die Minderjährigkeit eines Nutzenden festzustellen.

Das schließt eine Feststellung des Alters zwar nicht aus, aber verpflichtet die Anbieter auch nicht dazu. Altersverifikationen sind für Anbieter Sozialer Medien nach EU-Recht zum derzeitigen Stand lediglich freiwillig möglich.

Dennoch steht zu erwarten, dass Anbieter Sozialer Medien perspektivisch Altersverifikationen durchführen. Nicht zuletzt, nachdem die Leitlinien der Europäischen Kommission zu Art. 28 DSA jedenfalls ein mittleres Risiko für Minderjährige bei der Nutzung sozialer Medien sehen.

Das führt uns zur nächsten Frage: Wenn Altersverifikationen durchgeführt werden, wie sind sie datenschutzrechtlich zu bewerten?
 

2. Datenschutzrechtliche Bewertung von Altersverifikationssystemen

Meine zweite These lautet: Datenschutzrechtlich müssen Altersverifikationssysteme insbesondere die Grundsätze der Datenminimierung sowie der Verhältnismäßigkeit wahren.
 

3. Grundsatz der Datenminimierung

Die DSGVO beschreibt den Grundsatz der Datenminimierung wie folgt: „Personenbezogene Daten müssen dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“.

Keinesfalls also sollten zur Altersverifikation umfassende Ausweisdaten übermittelt werden müssen. Der Grundsatz der Datenminimierung ruft vielmehr nach Zero-Knowledge-Lösungen wie es bei der EUDI-Wallet bereits angedacht ist. Die staatliche Wallet kann bei entsprechender Ausgestaltung besonders datensparsam arbeiten, wenn sie ausschließlich das (Nicht-)Erreichen eines bestimmten Alters übermittelt und ausschließlich von verifizierten Akteuren verwendet werden kann.

Über die Wallet könnten Daten von registrierten Stellen, wie die Anbieter sozialer Netzwerke, ausgelesen und zum Beispiel für eine Altersverifikation genutzt werden, sofern die Nutzenden zustimmen.

Dem Prinzip der Datenminimierung wird hier nachgekommen, indem nicht der volle Umfang an Ausweisdaten oder das Geburtsdatum übermittelt wird.

Diese Möglichkeit der datensparsamen Verifikation ist mit der neuen eIDAS-VO endlich rechtsverbindlich eingeführt.

Dienste und Plattformen, die das Alter von Nutzenden über die Wallet abfragen möchten, müssen sich zuvor registrieren. Dabei geben sie nicht nur an, welche Attribute sie anfragen möchten, sondern auch, wer datenschutzrechtlich verantwortlich ist.

Dies sorgt für Transparenz und dafür, dass Beschwerdewege für Nutzende einfach sind. Sie sehen in der Wallet-App, welche Anbieter welche Attribute angefragt haben und welche Attribute mit Ihrer Zustimmung übermittelt werden sollen. Erst nach Ihrer Freigabe werden die Daten tatsächlich übermittelt.

Meine dritte These lautet daher: Zero-Knowledge-Lösungen sind das Mittel der Wahl, wenn über verpflichtende Alterskontrollen für soziale Medien nachgedacht wird.

Ich kann Ihnen auch sagen, welche anderen Mittel ich aus Datenschutzperspektive kritisch sehe. Nicht weiter verfolgt werden sollten KI-basierte Techniken der Altersverifikation, die auf Schätzungen beruhen.

Dabei analysieren z. B. Algorithmen biometrische Merkmale wie das Gesicht oder Nutzungsverhalten, um das Alter zu schätzen. Solche Verfahren sind ungenau und stehen oftmals nicht im Einklang mit DSGVO sowie KI-VO, da sie sensible biometrische Daten verarbeiten.
 

4. Verhältnismäßigkeitsgrundsatz

Jede Datenverarbeitung, die der Gesetzgeber legitimiert, ist außerdem ein Grundrechtseingriff und muss als solcher gerechtfertigt werden, also insbesondere verhältnismäßig sein. D. h. es dürfen keine milderen Mittel existieren, um den Zweck des Schutzes von Kindern und Jugendlichen im Netz gleichermaßen zu erreichen.

Mildere Mittel können zum Beispiel kinderfreundliche Voreinstellungen und Designs der sozialen Medien sein, also quasi ein „Kinderschutz by design and default“.

Ebenso helfen effiziente Meldewege für kindesgefährdende Inhalte und eine wirksame Inhaltskontrolle, wie sie in den Art. 34 ff. DSA bereits für sehr große Online-Plattformen vorgesehen ist. Auch eine Modifikation von Funktionalitäten z. B. durch den risikobasierten Ausschluss personalisierter Werbung und den Verzicht auf die Erstellung individueller Nutzungsprofile sowie eingeschränkte Kontaktmöglichkeiten für Personengruppen eines bestimmten Alters bieten sich an.

Elternfreigaben für die Nutzung sozialer Medien durch Kinder und Jugendliche sind ein weiteres Mittel. Ihre Tauglichkeit zum Schutz von Kindern und Jugendlichen hängt aber maßgeblich von der Medienkompetenz der Eltern selbst ab. Sie sollten daher jedenfalls von weiteren Maßnahmen begleitet werden.

Wann sind diese alternativen Mittel ebenso geeignet wie eine Altersverifikation, um den Schutz von Kindern und Jugendlichen angemessen herzustellen?

Das hängt maßgeblich vom Risiko ab, das vom sozialen Medium für Kinder und Jugendliche ausgeht.

Keinesfalls sollte undifferenziert für jedes soziale Medium in Gänze eine bestimmte Altersgrenze festgelegt werden. Wie die UN-Kinderrechtskommission zurecht anerkennt, haben Kinder und Jugendliche auch ein Recht auf sozialen Teilhabe, verkörpert durch das Grundrecht auf Informations- und Medienfreiheit. Dies kann sich auch auf die Nutzung von sozialen Medien beziehen.

Der Einsatz von Altersprüfungen ist also ein Balanceakt.

Die Stelle zur Durchsetzung von Kinderrechten in digitalen Diensten bei der Bundeszentrale für Kinder- und Jugendmedienschutz erkennt zu Recht, dass der Einsatz von Altersverifikationssystemen durch eine nachvollziehbare Risikoanalyse begründet werden muss.

Zugleich wurde in einem jüngst von den G7-Datenschutzbehörden veröffentlichten Papier darauf hingewiesen, dass Minderjährigen ein maßgeschneiderter und starker Schutz ihrer Privatsphäre gewährleistet werden muss, der es ihnen aber gleichzeitig auch ermöglicht, sich voll und ganz an der digitalen Welt zu beteiligen.

Ähnlich argumentiert die Nationale Akademie der Wissenschaften Leopoldina in ihrem jüngsten Papier.

Meine vierte These lautet daher: Verhältnismäßig sind Altersverifikationssysteme erst ab einem gewissen Risikograd, der von sozialen Medien für Kinder und Jugendliche ausgeht. Zusätzlich oder alternativ sollten weitere Maßnahmen zum Schutz von Kindern und Jugendlichen ergriffen werden, etwa kinderschutzfreundliche Voreinstellungen, begrenzte Kontaktmöglichkeiten sowie ein Verbot von Profilbildungen und personalisierter Werbung.
 

5. Risikobewertung

Es gibt soziale Medien, etwa Mastodon oder Pixelfed, die deutlich weniger Risiken bergen als die meist im Mittelpunkt der Diskussion stehenden populären sozialen Netzwerke wie TikTok, X, Instagram und Facebook.

Pauschale und starre Altersgrenzen, die nicht berücksichtigen, wie hoch oder wie gering das Risiko ihrer Nutzung für Kinder und Jugendliche ist, halte ich für unverhältnismäßig.

Die Risiken eines Sozialen Mediums müssen für jeden Bereich eines sozialen Netzwerks gesondert beurteilt werden. Ich weiß, das ist nicht immer leicht, z. B. bei komplexeren Plattformen wie Online-Spielen, Foren oder sozialen Netzwerken.

Hier liegen die Risiken oft nicht im gesamten Angebot, sondern in einzelnen Funktionen oder Bereichen. Diese müssen dann auch einzeln bewertet und separat mit Maßnahmen ausgestattet werden.

Eine risikonahe Ausgestaltung könnte etwa so aussehen: Die Grundversion des Dienstes ist kinderfreundlich und für alle zugänglich. Erst wenn jemand eine Funktion anschalten oder einen Bereich besuchen möchte, der mit einem hohen Risiko verbunden ist, wird die Altersprüfung eingesetzt.

Die Altersprüfung kommt da zum Tragen, wo sie wirklich gebraucht wird – und ist nicht pauschal dem Dienst vorgeschaltet. Die Intensität des Grundrechtseingriffs würde auf diese Weise wirksam gemindert.

Eine gesetzliche Regelung sollte idealerweise auf europäischer Ebene erfolgen.

Ein jüngst veröffentlichter Bericht des Wissenschaftlichen Dienstes des Bundestages zweifelt insoweit an der Wirksamkeit nationaler Regelungen aufgrund des medienrechtlichen Herkunftslandprinzips. Diese Bedenken teile ich.

Der Deutsche Lehrerverband sieht beim Thema Social Media zudem die Notwendigkeit von mehr Medienkompetenz statt der Einführung von Altersgrenzen, damit Kinder lernen, mit den Risiken umzugehen.

Ich sage: Das eine schließt das andere nicht aus. Meine fünfte These lautet daher, dass sowohl mehr Medienkompetenz als auch besserer Schutz von Kindern und Jugendlichen notwendig sind.

Ein Mindestalter von Kindern für die Nutzung sozialer Medien mit erheblichen Risiken halte ich für sinnvoll und geboten. Wo diese Grenze liegt, ist keine juristische Frage, sondern sollte in Zusammenarbeit mit Kinder- und Jugendpsychologen sowie Soziologen und Pädagogen bestimmt werden.

Ab diesem Mindestalter, für dessen Prüfung rechtskonforme Altersverifikationsmechanismen eingesetzt werden können, sollte das Erfordernis kinderfreundlicher Schutzmaßnahmen wie die oben genannten normiert werden. Diese Schutzmaßnahmen sollten auch für soziale Medien mit geringem Risiko für Kinder und Jugendliche vorgesehen werden, für die eine verbindliche Altersvorgabe aus verhältnismäßigkeitsgründen nicht in Betracht kommt.

Medienkompetenz sollte meines Erachtens auch deutlich stärker Eingang in Lehrpläne finden.

So wird eine selbstbestimmte Teilhabe der Jugendlichen an sozialen Medien schrittweise ermöglicht und gleichzeitig werden potenzielle Datenverarbeitungen i. S. d. risikobasierten Ansatzes der DSGVO abgestuft nach ihren Gefahren reguliert.

Meine sehr geehrten Damen und Herren, ganz herzlichen Dank für Ihre Aufmerksamkeit. Ich freue mich nun auf unsere Diskussion.