DSK plant DSGVO-Revolution: Tracking-Verbot für Kinder

BERLIN – Die Datenschutzkonferenz schlägt die Tür zu: Werbe-Tracking und Profiling von Kindern sollen grundsätzlich verboten werden. Pünktlich zum Internationalen Tag der Kinderrechte am 20. November präsentierten die Landesdatenschützer zehn Reformvorschläge zur DSGVO, die das digitale Marketing an Minderjährige praktisch unmöglich machen würden. Unternehmen müssen bereits jetzt handeln – auch wenn die Gesetzesänderung noch aussteht.

Die Botschaft der Deutschen Datenschutzkonferenz (DSK) ist eindeutig: Einwilligung von Kindern in kommerzielle Datenverarbeitung? Künftig nicht mehr zulässig. Die unabhängigen Datenschutzbehörden von Bund und Ländern fordern einen Paradigmenwechsel, der weit über symbolische Gesten hinausgeht.

„Kinder sind besonders schutzbedürftig – auch im digitalen Raum”, heißt es in der offiziellen Stellungnahme. Viele Kinder und Eltern seien sich nicht bewusst, dass ihre Informationen und ihr Verhalten neue Daten generieren, die ihr Selbstbild und soziale Beziehungen prägen können.

Der Vorschlagskatalog liest sich wie ein Frontalangriff auf etablierte Geschäftsmodelle der Digitalwirtschaft. Im Kern steht die Forderung nach einem generellen Verbot verhaltensbasierter Werbung für Minderjährige – in Anlehnung an den Digital Services Act (DSA), der ähnliche Regelungen bereits enthält.

Passend zum Thema Datenschutz: Viele Verantwortliche unterschätzen, dass Profiling von Kindern eine Datenschutz-Folgenabschätzung (DSFA) auslösen kann – und unvollständige oder fehlende DSFAs bei Kontrollen zu empfindlichen Sanktionen führen können (bis zu 2% des Jahresumsatzes). Das kostenlose E-Book zur DSFA erklärt praxisnah, welche Risiken dokumentiert werden müssen, wie Sie typische Prüfungsfragen der Aufsichtsbehörden beantworten und welche Vorlagen die Erstellung deutlich beschleunigen. Ideal für Datenschutzbeauftragte, Produkt- und Legal-Teams. Kostenloses DSFA-E‑Book & Checklisten herunterladen

Die wichtigsten Eckpunkte:

• Profiling-Verbot: Kinder sollen grundsätzlich nicht mehr in die Verarbeitung ihrer Daten für Profiling oder personalisierte Werbung einwilligen können. Die Einwilligung als Rechtsgrundlage würde bei Minderjährigen faktisch wegfallen.

• Sensible Daten tabu: Bei besonders schützenswerten Kategorien wie Gesundheitsdaten, politischen Ansichten oder religiösen Überzeugungen (Art. 9 DSGVO) soll eine Einwilligung von Kindern für kommerzielle Zwecke generell unzulässig sein.

• Strengere Zweckbindung: Wird die Datenverarbeitung für einen neuen Zweck erweitert, muss der Schutz kindlicher Rechte bereits bei der Kompatibilitätsprüfung genauso hoch gewichtet werden wie bei der ursprünglichen Erhebung.

• Privacy by Default: Soziale Netzwerke müssten ihre Voreinstellungen nicht nur auf maximalen Datenschutz setzen, sondern auch für Kinder verständlich gestalten. Sogenannte „Dark Patterns”, die Nutzer zur Datenweitergabe manipulieren, wären damit Geschichte.

Compliance-Pflicht ab sofort – trotz fehlendem Gesetz

Rechtlich ist das DSK-Papier zunächst „nur” ein Reformvorschlag. Doch Datenschutzexperten warnen: Unternehmen sollten diese Vorschläge bereits jetzt als neuen Maßstab für den „Stand der Technik” verstehen. Besonders brisant wird es bei der Datenschutz-Folgenabschätzung (DSFA).

Nach Art. 35 DSGVO ist eine DSFA bei Hochrisiko-Verarbeitungen Pflicht. Die klare Position der DSK, dass Profiling von Kindern ein unakzeptables Risiko darstellt, lässt bestehende Folgenabschätzungen für Apps, Spiele und Plattformen mit minderjährigen Nutzern plötzlich unvollständig erscheinen – wenn sie auf breiten Einwilligungsklauseln basieren.

Was jetzt zu tun ist:

• Rechtsgrundlagen überprüfen: Firmen, die sich auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für Marketing an Minderjährige stützen, müssen die Gültigkeit dieser Einwilligung neu bewerten.

• Risikoanalysen aktualisieren: Bestehende DSFAs müssen die zehn von der DSK identifizierten Risiken explizit dokumentieren. Fehlt diese Auseinandersetzung, drohen Bußgelder wegen „unzureichender technischer und organisatorischer Maßnahmen”.

• Altersverifikation implementieren: Die Forderung nach strengerem Schutz geht Hand in Hand mit den Leitlinien des Europäischen Datenschutzausschusses (EDSA) von Anfang 2025 zur Altersverifizierung. Plattformen müssen robuste, datenschutzfreundliche Methoden einsetzen, ohne neue Überwachungsvektoren zu schaffen.

Europäischer Trend: DSGVO meets DSA und KI-Verordnung

Die DSK agiert nicht im Alleingang. Ihr Vorstoß ist Teil einer europaweiten Bewegung, die DSGVO mit neueren Regelwerken wie dem Digital Services Act und der KI-Verordnung zu harmonisieren.

Bereits im Februar 2025 verabschiedete der EDSA eine Stellungnahme zur Altersverifikation. Die DSK geht nun einen Schritt weiter und attackiert den wirtschaftlichen Anreiz selbst: verhaltensbasierte Werbung, die massive Datensammlungen von Minderjährigen erst attraktiv macht.

Die Reaktionen der Industrie fallen verhalten besorgt aus. AdTech-Verbände und digitale Marketingplattformen dürften das geplante „Einwilligungsverbot” als erhebliche Hürde für die Monetarisierung von „Freemium”-Inhalten für jüngere Zielgruppen sehen. Datenschutzorganisationen hingegen begrüßen den Vorstoß: Endlich werde die Lücke geschlossen, durch die der „risikobasierte Ansatz” der DSGVO von Datenverarbeitern allzu großzügig interpretiert wurde.

Von der Theorie zur Praxis: Was 2026 droht

Eine DSGVO-Änderung ist auf EU-Ebene ein langwieriger Prozess. Doch das DSK-Papier dient deutschen Behörden bereits jetzt als Auslegungshilfe.

Was in den kommenden Monaten zu erwarten ist:

• Behördenkontrollen: Deutsche Datenschutzaufsichten werden die zehn Punkte voraussichtlich im ersten Quartal 2026 als Prüfliste bei Audits von EdTech-Unternehmen, Social-Media-Plattformen und Gaming-Apps heranziehen.

• Gerichtsverfahren: Die Gültigkeit von Kinder-Einwilligungen für Tracking dürfte vor deutschen Gerichten landen. Das DSK-Papier wird als zentrale Referenz dienen, wenn Richter „berechtigtes Interesse” gegen „Grundrechte” abwägen.

• EU-weite Übernahme: Die DSK wird wahrscheinlich auf eine Übernahme dieser Prinzipien durch den EDSA drängen – mit dem Ziel EU-weiter Leitlinien, die diese Verbote faktisch umsetzen, ohne auf eine formale DSGVO-Textrevision zu warten.

Unternehmen, die in Deutschland oder dem EU-Binnenmarkt operieren, sollten ihre kinderbezogenen Datenflüsse umgehend auf den Prüfstand stellen. Mit Stand 24. November 2025 ist die regulatorische Toleranz für die „Kommerzialisierung der Kindheit” auf einem historischen Tiefpunkt angelangt.

Quellen: Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK), Pressemitteilung vom 20. November 2025; Europäischer Datenschutzausschuss (EDSA), Stellungnahmen 2025.

PS: Datenschutzbeauftragte und Compliance-Teams aufgepasst – viele DSFAs sind formal unvollständig und erfüllen nicht die Anforderungen, die Aufsichtsbehörden jetzt erwarten. Unser gratis Leitfaden liefert praxiserprobte Muster, eine Schritt-für-Schritt-Anleitung zur Risikobewertung und fertige Checklisten, mit denen Sie Ihre DSFA schnell und prüfungssicher aufsetzen. Perfekt für Audits und Gerichtsverfahren. Jetzt DSFA-Muster & Leitfaden kostenlos herunterladen