So schreiben Sie eine Datenschutzerklärung für eine Kinder-App

Die meisten Datenschutzprobleme bei Kindern entstehen durch Drittanbieter-Code. Prüfen Sie vor dem Schreiben der Erklärung:

• Jedes SDK im Build ist aufgeführt, mit den Daten, die es von Kindern erhebt.
• Kein SDK überträgt Werbe-IDs oder andere Gerätekennungen, die die Familienrichtlinie oder die Kids-Kategorie verbieten.
• Anzeigen sind, falls vorhanden, kontextbezogen und werden nur über zulässige SDKs ausgeliefert, mit deaktivierter Personalisierung für Kinder.
• Analyse ist für Kinder deaktiviert oder auf Tools beschränkt, die die Ausnahmen der Plattformen erfüllen.
• Absturzberichte senden keine Kennungen, deren Erhebung Ihnen nicht erlaubt ist.
• Der Standort ist ausgeschaltet oder auf das beschränkt, was die Regeln erlauben.
• Chat- und Teilen-Funktionen haben elterliche Kontrollen und Sicherheitshinweise.
• Speicherfristen sind schriftlich festgelegt und im Code umgesetzt.
• Dritte, die Daten von Kindern erhalten, sind in der Erklärung mit ihren Zwecken genannt.

Unser Leitfaden zu Werbe-Angaben in der Datenschutzerklärung erklärt, wie Sie Werbenetzwerke beschreiben, und der Leitfaden zur Datenschutzerklärung für Spiele behandelt Chat, Multiplayer und In-App-Käufe, die viele Kinder-Apps mit Spielen gemeinsam haben.

Alles beginnt mit dieser Frage, und sie wird nicht nur durch Ihre Absicht beantwortet. Nach der COPPA Rule entscheidet die FTC, ob sich ein Dienst an Kinder unter 13 Jahren richtet, anhand von Thema, visuellen Inhalten, dem Einsatz animierter Figuren oder kindgerechter Aktivitäten und Anreize, Musik, dem Alter von Models, Kinderstars, Sprache und Werbung sowie anhand von Belegen über das tatsächliche und beabsichtigte Publikum, etwa Marketingpläne und Nutzerbewertungen.

Die Regel kennt auch Dienste mit gemischtem Publikum: Eine App für ein allgemeines Publikum, zu dem auch Kinder gehören, gilt für Nutzer, die nicht als unter 13 identifiziert sind, nicht als an Kinder gerichtet, weshalb viele Apps eine neutrale Altersabfrage nutzen. Unabhängig davon gilt COPPA für die Daten eines Kindes, wenn Sie tatsächlich wissen, dass Sie personenbezogene Daten von ihm erheben.

Die Stores stellen dieselbe Frage. Google Play verlangt, dass Sie Ihre Zielgruppe in der Play Console angeben, und kann prüfen, ob Bildsprache und Begriffe auf Kinder hindeuten. Apple reserviert Begriffe wie „For Kids“ und „For Children“ in App-Metadaten für die Kids-Kategorie.

Seien Sie hier ehrlich zu sich selbst. Ein buntes Cartoon-Spiel mit Jugendfreigabe kann für eine Behörde trotzdem an Kinder gerichtet wirken. Der Leitfaden zur Datenschutzerklärung nach COPPA fasst die Regeln zum Anwendungsbereich zusammen.

COPPA nennt die Datenschutzerklärung den Online-Hinweis, und die Regel listet auf, was er enthalten muss. Nach 16 CFR 312.4(d) umfasst ein vollständiger Hinweis:

• Name, Adresse, Telefonnummer und E-Mail-Adresse aller Betreiber, die personenbezogene Daten von Kindern erheben oder verwalten, oder einen benannten Ansprechpartner plus die Namen aller Betreiber
• welche Informationen Sie von Kindern erheben, einschließlich der Frage, ob Kinder personenbezogene Daten öffentlich machen können
• wie Sie sie nutzen, und Ihre Offenlegungspraktiken, einschließlich der Identitäten und konkreten Kategorien von Dritten, die sie erhalten, sowie der Zwecke
• Ihre Richtlinie zur Datenspeicherung
• gegebenenfalls die internen Abläufe, für die Sie dauerhafte Kennungen erheben, und wie Sie verhindern, dass sie für andere Zwecke genutzt werden
• wenn Sie nach der Ausnahme der Regel Audiodateien mit der Stimme eines Kindes erheben, wie Sie sie nutzen und dass Sie sie unmittelbar nach Beantwortung der Anfrage löschen
• dass Eltern die Daten ihres Kindes einsehen oder löschen lassen und eine weitere Erhebung ablehnen können, und wie das geht

Die Regel verlangt außerdem einen gut sichtbaren, klar gekennzeichneten Link zu diesem Hinweis auf dem Start- oder Einstiegsbildschirm und an jeder Stelle, an der Sie Daten von Kindern erheben, sowie einen separaten direkten Hinweis an die Eltern vor der Erhebung. Eine allgemeine Datenschutzerklärung, die Kinder nie erwähnt, erfüllt diesen Standard nicht.

Die FTC veröffentlichte ihre geänderte COPPA Rule am 22. April 2025 im Federal Register. Sie trat am 23. Juni 2025 in Kraft, und regulierte Unternehmen hatten bis zum 22. April 2026 Zeit, die meisten Bestimmungen umzusetzen. Wurde Ihre App vorher geschrieben, prüfen Sie sie jetzt.

Änderungen, die Ihre Erklärung und Ihre App betreffen:

• Separate Einwilligung für Offenlegungen an Dritte. Eltern müssen in Erhebung und Nutzung einwilligen können, ohne in die Offenlegung an Dritte einzuwilligen, sofern die Offenlegung nicht wesentlicher Bestandteil des Dienstes ist. Offenlegungen etwa für gezielte Werbung brauchen eine separate überprüfbare Einwilligung der Eltern.
• Schriftliche Richtlinie zur Datenspeicherung. Sie dürfen Daten von Kindern nur so lange speichern, wie es vernünftigerweise nötig ist, niemals unbegrenzt, und müssen Ihre schriftliche Speicherrichtlinie in den Online-Hinweis aufnehmen.
• Schriftliches Sicherheitsprogramm. Betreiber müssen ein schriftliches Informationssicherheitsprogramm einrichten und pflegen, das ihrer Größe und der Sensibilität der Daten entspricht.
• Erweiterter Begriff personenbezogener Daten. Die Definition umfasst jetzt biometrische Kennungen und staatlich ausgestellte Kennungen.
• Benannte Dritte. Der Online-Hinweis muss die Identitäten und konkreten Kategorien von Dritten nennen, die Daten von Kindern erhalten.

Jeder dieser Punkte erfordert operative Arbeit, nicht nur neue Sätze. Ihre Erklärung sollte beschreiben, was Sie tatsächlich umgesetzt haben.

Wenn Kinder in irgendeiner Form zu Ihrer Zielgruppe bei Google Play gehören, gelten die Familienrichtlinien zusätzlich zur allgemeinen User Data Policy. Wichtige Punkte aus Googles Richtlinie:

• Sie müssen den Abschnitt Zielgruppe und Inhalte, das Datensicherheitsformular (Data safety) und den Fragebogen zur Altersfreigabe korrekt ausfüllen und aktuell halten.
• Apps, die sich ausschließlich an Kinder richten, dürfen die Android-Werbe-ID, SIM-Seriennummer, Build-Seriennummer, BSSID, MAC, SSID, IMEI oder IMSI nicht übertragen; Apps mit gemischtem Publikum dürfen sie von Kindern oder Nutzern unbekannten Alters nicht übertragen.
• Apps, die sich ausschließlich an Kinder richten, dürfen keine Standortberechtigung anfordern und keinen genauen Standort erheben, nutzen oder übertragen.
• Anzeigen für Kinder dürfen nur von Families Self-Certified Ads SDKs stammen, und Apps mit gemischtem Publikum brauchen eine Altersprüfung, etwa eine neutrale Altersabfrage.
• Apps und Funktionen, über die Kinder frei formulierte Inhalte teilen können, brauchen eine In-App-Erinnerung zur Sicherheit im Internet und Kontrollmöglichkeiten für Erwachsene.
• Ihre App einschließlich der genutzten APIs und SDKs muss COPPA, die DSGVO und andere geltende Gesetze einhalten, und Ihre Datenschutzerklärung muss Ihre Datenpraktiken zutreffend wiedergeben.

Ihre Datenschutzerklärung sollte zu diesen Einstellungen passen: Sagen Sie, welche SDKs für Kinder laufen, dass Anzeigen nicht personalisiert sind und wie mit dem Standort umgegangen wird. Die Seite Datenschutzerklärung-Generator für Google Play behandelt die allgemeinen Anforderungen der Play Console.

Apples App-Review-Richtlinien behandeln Kinder-Apps streng. Richtlinie 1.3 besagt, dass Apps in der Kids-Kategorie keine personenbezogenen Daten oder Geräteinformationen an Dritte senden dürfen und keine Analyse oder Werbung von Drittanbietern enthalten sollten. Es gibt begrenzte Ausnahmen: Analyse, die weder die IDFA noch identifizierende Informationen über Kinder, ihren Standort oder ihre Geräte erhebt oder überträgt, und kontextbezogene Werbung von Diensten mit öffentlich dokumentierten Praktiken für die Kids-Kategorie, die eine menschliche Prüfung der Werbemittel einschließen.

Apps in der Kids-Kategorie müssen außerdem Links aus der App heraus, Kaufmöglichkeiten und andere Ablenkungen hinter eine Elternsperre legen. Apple weist darauf hin, dass eine App, sobald Nutzer erwarten, dass sie diese Regeln befolgt, sie auch in späteren Updates weiter erfüllen muss, selbst wenn Sie die Kategorie abwählen.

Richtlinie 5.1.4 ergänzt, dass Apps in der Kids-Kategorie oder Apps, die personenbezogene Daten von Minderjährigen erheben, eine Datenschutzerklärung enthalten und die Gesetze zum Datenschutz von Kindern einhalten müssen. Apps dürfen ein Geburtsdatum und Kontaktdaten der Eltern nur abfragen, um diese Gesetze einzuhalten. Apple stellt außerdem klar, dass eine Elternsperre in der Regel nicht dasselbe ist wie die Einwilligung der Eltern nach Datenschutzgesetzen.

Die Seite Datenschutzerklärung-Generator für den Apple App Store erklärt, wie Ihre Erklärung mit den App-Privacy-Labels übereinstimmt.

Wenn Kinder in Europa oder im Vereinigten Königreich Ihre App nutzen, gelten zwei weitere Regelwerke.

Artikel 8 DSGVO. Wenn Sie einen Dienst der Informationsgesellschaft einem Kind direkt anbieten und sich auf Einwilligung stützen, ist die Verarbeitung nur rechtmäßig, wenn das Kind mindestens 16 Jahre alt ist oder ein Elternteil die Einwilligung erteilt oder ihr zustimmt. Mitgliedstaaten dürfen die Altersgrenze senken, aber nicht unter 13, daher variiert die Schwelle in der EU. Sie müssen unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen unternehmen, um die Einwilligung der Eltern zu überprüfen. Im Vereinigten Königreich liegt die Altersgrenze für diese Regel bei 13.

Der britische Age appropriate design code. Der Children's Code des ICO ist ein gesetzlicher Verhaltenskodex mit 15 Standards für Apps, Spiele, vernetztes Spielzeug und Websites, die im Vereinigten Königreich wahrscheinlich von Kindern unter 18 Jahren genutzt werden. Dazu gehören: das Kindeswohl, Datenschutz-Folgenabschätzungen, altersgerechte Transparenz, hohe Datenschutzeinstellungen als Standard, Datenminimierung, begrenzte Datenweitergabe, standardmäßig deaktivierte Standortbestimmung, altersgerechter Umgang mit elterlicher Kontrolle, standardmäßig deaktiviertes Profiling und keine Nudging-Techniken.

Für Ihre Datenschutzerklärung ist Transparenz der entscheidende Standard: Informationen sollten knapp, gut sichtbar und in klarer, dem Alter des Kindes angemessener Sprache sein. Der Leitfaden zur Datenschutzerklärung nach UK-DSGVO und der DSGVO-Leitfaden zur Datenschutzerklärung behandeln die allgemeinen Anforderungen.

Eine Kinder-App hat zwei Zielgruppen, und ein Dokument bedient selten beide. Eine praktische Struktur arbeitet mit Ebenen:

1. Die vollständige Datenschutzerklärung, geschrieben für Eltern und Behörden, mit allen Elementen nach COPPA und DSGVO: Betreiber, Daten, Zwecke, Dritte, Speicherdauer, Sicherheit und Rechte der Eltern.
2. Eine kurze, kindgerechte Zusammenfassung am Anfang oder auf einem eigenen Bildschirm, mit einfachen Wörtern und kurzen Sätzen.
3. Erklärungen im richtigen Moment in der App, wenn etwas passiert, etwa vor einer Berechtigungsanfrage für Mikrofon oder Kamera.

Ein kindgerechter Satz könnte lauten: „Wir speichern deine Bilder auf deinem Tablet. Wir schicken sie niemandem, außer ein Erwachsener sagt, dass das okay ist.“ Das funktioniert nur, wenn es stimmt; schreiben Sie ihn also erst, nachdem Sie Ihre Datenflüsse geprüft haben.

Seien Sie gegenüber Eltern konkret bei ihren Kontrollmöglichkeiten: wie sie Daten einsehen, wie sie sie löschen, wie sie ihre Einwilligung widerrufen und wie sie Sie kontaktieren. Vermeiden Sie juristische Sprache, die die wichtigen Fakten in langen Absätzen versteckt. Hat Ihre App auch erwachsene Nutzer oder eine Version für Jugendliche, erwägen Sie getrennte Erklärungen, damit jede Zielgruppe nur liest, was für sie gilt.

Bei Kinderdaten scheitern generische Vorlagen am ehesten, und Fehler sind hier am teuersten. Die FTC setzt COPPA mit zivilrechtlichen Strafen durch, Plattformverstöße können zur Entfernung Ihrer App führen, und europäische Behörden sehen Kinderdaten als besonders schutzbedürftig an.

Eine Datenschutzerklärung ist zudem nur ein Teil der Arbeit. COPPA verlangt einen direkten Hinweis an Eltern, eine überprüfbare Einwilligung der Eltern vor der Erhebung, eine separate Einwilligung für die meisten Offenlegungen an Dritte, eine schriftliche Speicherrichtlinie und ein schriftliches Sicherheitsprogramm. Die Erklärung beschreibt diese Prozesse; sie schafft sie nicht.

Der Legal Policy Generator enthält ein COPPA-Modul unter seinen erweiterten regionalen Modulen, die $5 kosten, neben Modulen für DSGVO, Vereinigtes Königreich und weitere Regionen. Im Datenschutzerklärung-Generator für Apps beantworten Sie Fragen zu Kindern und den Regionen, die Sie bedienen, und die Klauseln werden deterministisch aus einer versionierten Bibliothek ausgewählt, wobei die kostenlose Vorschau das Ergebnis zeigt, bevor Sie bezahlen. So erhalten Sie einen strukturierten, lesbaren Entwurf, den Sie zu einer Anwältin oder einem Anwalt mitnehmen können, was die Prüfung beschleunigen kann.

Behandeln Sie das Ergebnis aber als Entwurf. Generierter Text spiegelt Ihre Antworten wider und ist keine Rechtsberatung. Bei jeder App, die sich an Kinder richtet, lassen Sie Erklärung, Einwilligungsablauf und SDK-Setup vor dem Start von einer qualifizierten Anwältin oder einem qualifizierten Anwalt prüfen.