Nexvyra

DSGVO Art. 8 (VO 2016/679) – Einwilligung von Kindern bei Online-Diensten: Altersgrenze 16, Elternzustimmung, Altersprüfung und EU KIDS Act 2026 In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-10-03 · letzte Prüfung: 2026-10-03 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Bietet ein Unternehmen einen Online-Dienst („Dienst der Informationsgesellschaft") **direkt Kindern** an und stützt die Datenverarbeitung auf eine **Einwilligung** (Art. 6 Abs. 1 lit. a DSGVO), kann das Kind in Deutschland erst **ab dem vollendeten 16. Lebensjahr** selbst wirksam einwilligen. Darunter ist die Verarbeitung nur rechtmäßig, wenn die **Eltern** (Träger der elterlichen Verantwortung) einwilligen oder zustimmen ([Art. 8 Abs. 1 DSGVO](https://dejure.org/gesetze/DSGVO/8.html)). Die Mitgliedstaaten dürfen die Grenze auf bis zu **13 Jahre** absenken; Deutschland hat davon **keinen Gebrauch** gemacht – im BDSG gibt es keine abweichende Regelung. Der Anbieter muss „unter Berücksichtigung der verfügbaren Technik **angemessene Anstrengungen**" unternehmen, um sich zu vergewissern, dass die Eltern tatsächlich zugestimmt haben (Art. 8 Abs. 2). Verstöße kosten bis zu **10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes** ([Art. 83 Abs. 4 lit. a DSGVO](https://dejure.org/gesetze/DSGVO/83.html)). **Neu seit 17.09.2026:** Die EU-Kommission hat mit dem **EU KIDS Act** (COM(2026) 681) eine Verordnung vorgeschlagen, die für soziale Netzwerke ein EU-weites Mindestalter von **15 Jahren** für eigene Konten, ein Kontoverbot unter 13 und Eltern-verwaltete „Mini-Konten" für 13- bis 14-Jährige vorsieht. Das ist **noch kein geltendes Recht** – bis zur Verabschiedung bleibt Art. 8 DSGVO (in Deutschland: 16 Jahre) maßgeblich.

Kernfakten

PunktWert
NormArt. 8 DSGVO „Bedingungen für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft", Erwägungsgrund 38 (EUR-Lex VO 2016/679; dejure.org)
Unmittelbare GeltungEU-Verordnung, seit 25.05.2018 in Deutschland unmittelbar anwendbar – kein Umsetzungsgesetz nötig
Regel-Altersgrenzevollendetes 16. Lebensjahr (Art. 8 Abs. 1 UAbs. 1 Satz 1)
Unter der AltersgrenzeEinwilligung durch oder mit Zustimmung des Trägers der elterlichen Verantwortung (Art. 8 Abs. 1 UAbs. 1 Satz 2)
ÖffnungsklauselMitgliedstaaten können eine niedrigere Grenze festlegen, nicht unter 13 Jahren (Art. 8 Abs. 1 UAbs. 2)
Deutschlandkeine Abweichung → 16 Jahre
Beispiele anderer StaatenÖsterreich 14 (§ 4 Abs. 4 DSG), Frankreich 15, Belgien 13 – Werte aus Sekundärquellen, siehe „Offene Punkte"
Prüfpflicht des Anbieters„angemessene Anstrengungen unter Berücksichtigung der verfügbaren Technik" zur Verifizierung der Elterneinwilligung (Art. 8 Abs. 2)
Vertragsrechtbleibt unberührt – Wirksamkeit eines Vertrags mit dem Kind richtet sich in DE nach §§ 104 ff. BGB (Art. 8 Abs. 3)
Recht auf LöschungDaten, die auf Grundlage einer Einwilligung nach Art. 8 Abs. 1 als Kind erhoben wurden, sind auf Verlangen zu löschen (Art. 17 Abs. 1 lit. f DSGVO)
Bußgeldrahmenbis 10 000 000 EUR oder bis 2 % des weltweiten Vorjahresumsatzes, der höhere Betrag (Art. 83 Abs. 4 lit. a DSGVO)
Ergänzend: DSA Art. 28Online-Plattformen: hohes Maß an Privatsphäre, Sicherheit und Schutz Minderjähriger; Verbot profilbasierter Werbung bei hinreichender Gewissheit über Minderjährigkeit (Art. 28 DSA, VO 2022/2065); anwendbar seit 17.02.2024
Leitlinien Art. 28 DSAEU-Kommission, veröffentlicht 14.07.2025 (ABl. C/2025/5519); Altersverifikation u. a. für Pornografie/Glücksspiel empfohlen
EU KIDS Act (Vorschlag)COM(2026) 681 vom 17.09.2026: Konto ab 15, 13–14 nur Eltern-Mini-Konto (max. 1 h/Tag), unter 13 kein Konto; Bußgeld bis 6 % des weltweiten Umsatzes (EU-Kommission) – noch nicht in Kraft

Geltungsbereich

Art. 8 DSGVO greift nur, wenn drei Voraussetzungen kumulativ vorliegen:

  1. Dienst der Informationsgesellschaft – in der Regel gegen Entgelt elektronisch im Fernabsatz auf individuellen Abruf erbrachte Dienstleistung (Verweis in Art. 4 Nr. 25 DSGVO auf RL (EU) 2015/1535). Erfasst sind praktisch alle Apps, sozialen Netzwerke, Spiele-Plattformen, Messenger, Streaming- und Lerndienste – auch werbefinanzierte „kostenlose" Angebote.
  2. Angebot direkt an ein Kind – der Dienst richtet sich (auch) an Minderjährige. Dienste, die sich nach Aufmachung und AGB ausschließlich an Erwachsene richten, fallen grundsätzlich nicht darunter; die Aufsichtsbehörden schauen aber auf die tatsächliche Nutzung.
  3. Rechtsgrundlage Einwilligung – nur wenn die Verarbeitung auf Art. 6 Abs. 1 lit. a DSGVO gestützt wird. Verarbeitungen auf anderer Grundlage (z. B. Vertragserfüllung nach lit. b, rechtliche Pflicht nach lit. c) fallen nicht unter Art. 8. Erwägungsgrund 38 stellt klar: Für Präventions- oder Beratungsdienste, die einem Kind unmittelbar angeboten werden, ist eine Elterneinwilligung nicht erforderlich.

Nicht erfasst sind Offline-Verarbeitungen (z. B. Schule, Sportverein, Arztpraxis) – dort gilt die allgemeine Einsichtsfähigkeits-Prüfung bei Art. 7 DSGVO. Für Cookies und Endgerätezugriff gilt daneben § 25 TDDDG; dessen Einwilligung richtet sich nach den DSGVO-Maßstäben, sodass die 16-Jahres-Grenze bei an Kinder gerichteten Diensten praktisch mitzudenken ist.

Betroffener Nutzerkreis: App-Entwickler, Betreiber von Social-Media-, Gaming-, E-Learning- und Streaming-Diensten, Online-Shops mit jugendlicher Zielgruppe, Influencer- und Community-Plattformen, Vereine mit Online-Mitgliederportalen für Jugendliche – sowie Eltern, die über die Einwilligung entscheiden.

Die drei Absätze im Einzelnen

Absatz 1 – Altersgrenze und Elternvorbehalt. Ab 16 genügt die eigene Einwilligung des Kindes. Darunter ist eine „Doppel-Lösung" vorgesehen: Entweder die Eltern willigen selbst ein oder das Kind willigt ein und die Eltern stimmen zu. Die Einwilligung muss im Übrigen alle Anforderungen von Art. 4 Nr. 11 und Art. 7 DSGVO erfüllen (freiwillig, informiert, unmissverständlich, widerrufbar). Für die Information gilt Art. 12 Abs. 1 DSGVO: Informationen, die sich an Kinder richten, müssen in kindgerechter, klarer und einfacher Sprache abgefasst sein.

Absatz 2 – Verifizierungspflicht. Der Verantwortliche muss sich mit „angemessenen Anstrengungen" vergewissern, dass die Eltern tatsächlich eingewilligt haben. Die DSGVO schreibt keine bestimmte Methode vor; der EDPB verlangt in seinen Leitlinien 05/2020 zur Einwilligung einen risikobasierten Ansatz: Je sensibler die Verarbeitung, desto belastbarer muss die Prüfung sein (vom Bestätigungs-E-Mail-Verfahren bei geringem Risiko bis zu stärkeren Nachweisen bei hohem Risiko). Gleichzeitig darf die Prüfung nicht zu übermäßiger Datenerhebung führen (Datenminimierung, Art. 5 Abs. 1 lit. c).

Absatz 3 – Vertragsrecht unberührt. Ob ein 15-Jähriger wirksam ein Abo abschließen kann, bestimmt sich nicht nach Art. 8, sondern nach nationalem Recht – in Deutschland nach §§ 104 ff. BGB (beschränkte Geschäftsfähigkeit ab 7, Zustimmung der Eltern, „Taschengeldparagraf" § 110 BGB). Datenschutzrechtliche Einwilligung und zivilrechtliche Wirksamkeit sind getrennt zu prüfen.

Verhältnis zum Digital Services Act (Art. 28 DSA)

Seit dem 17.02.2024 müssen Online-Plattformen, die für Minderjährige zugänglich sind, „geeignete und verhältnismäßige Maßnahmen" für ein hohes Maß an Privatsphäre, Sicherheit und Schutz Minderjähriger treffen (Art. 28 Abs. 1 DSA). Art. 28 Abs. 2 DSA verbietet Werbung auf Grundlage von Profiling (Art. 4 Nr. 4 DSGVO), wenn die Plattform mit hinreichender Gewissheit weiß, dass der Nutzer minderjährig ist – und zwar unabhängig vom Alter und unabhängig von einer Einwilligung. Art. 28 Abs. 3 DSA stellt klar, dass dafür keine zusätzlichen personenbezogenen Daten zur Altersfeststellung erhoben werden müssen.

Die Leitlinien der Kommission zu Art. 28 DSA (14.07.2025) empfehlen u. a. private Konten als Voreinstellung für Minderjährige, Einschränkungen bei Kontaktaufnahme durch Fremde sowie Altersverifikation für Erwachseneninhalte (Pornografie, Glücksspiel) und bei national festgelegten Mindestaltern. Für Deutschland ist der Digital Services Coordinator die Bundesnetzagentur; Durchsetzung bei sehr großen Plattformen (VLOPs) liegt bei der EU-Kommission.

Merke: Art. 8 DSGVO regelt, wer einwilligen darf. Art. 28 DSA regelt, wie eine Plattform für Kinder gestaltet sein muss – auch dann, wenn eine wirksame Einwilligung vorliegt.

Ausblick: EU KIDS Act (Vorschlag vom 17.09.2026)

Die EU-Kommission hat am 17.09.2026 den Vorschlag für eine Verordnung „EU KIDS Act – Keeping Internet Digital Spaces Accountable and Trustworthy" angenommen (Pressemitteilung IP/26/1890; Vorschlag COM(2026) 681). Laut Kommissions-FAQ:

| Alter | Vorgeschlagene Regel (soziale Netzwerke / Videoplattformen mit Risikofunktionen) | |---|---| | unter 13 | kein eigenes Konto; eng begrenzte Nutzung kindgerechter Videoplattformen nur über das Konto der Eltern (max. 1 h/Tag, keine personalisierten Feeds) | | 13 bis unter 15 | von Eltern eingerichtetes Mini-Konto, Elternwerkzeuge dauerhaft aktiv, max. 1 Stunde pro Tag, Elternfreigabe von Kontakten | | ab 15 | eigenes Konto auf Diensten, die „safe by design" sein müssen |

Weitere Kernpunkte des Vorschlags: Selbstauskunft des Geburtsdatums genügt nicht mehr – zertifizierte Altersverifikation (u. a. EU-Altersverifikations-App, später EUDI-Wallet, „Zero-Knowledge-Proof"); bestehende Konten müssen binnen sechs Monaten nach Geltungsbeginn auf Unter-15-Jährige geprüft werden; Verbot suchtfördernder Designs (Endlos-Scroll, Autoplay, „Streaks"); Profiling-basierte Personalisierung für Minderjährige standardmäßig aus; Regeln für KI-Chatbots/„AI Companions"; Beweislastumkehr – VLOPs (ab 45 Mio. Nutzern) müssen vorab einen auditierten Compliance-Plan vorlegen; Bußgelder bis 6 % des weltweiten Jahresumsatzes; beschleunigtes Verfahren (vorläufige Feststellungen binnen 30 Tagen, Entscheidung binnen 90 Tagen).

Status: Kommissionsvorschlag im ordentlichen Gesetzgebungsverfahren (Europäisches Parlament und Rat). Inhalt kann sich ändern; Geltungsbeginn steht nicht fest. Wie sich die 15-Jahres-Grenze zur Einwilligungsgrenze des Art. 8 DSGVO verhält (Anpassung, Vorrang oder Nebeneinander), ist im weiteren Verfahren zu beobachten.

Häufige Fehler

Nachweispflichten für Anbieter (Compliance-Checkliste)

| Pflicht | Nachweis | |---|---| | Zielgruppen-Analyse | dokumentierte Prüfung, ob der Dienst sich (auch) an unter 16-Jährige richtet | | Rechtsgrundlage | im Verzeichnis nach Art. 30 DSGVO festgehalten (Einwilligung oder andere Grundlage) | | Altersabfrage + Elternverifikation | Beschreibung des Verfahrens, Risikobewertung, Protokoll je Einwilligung (Art. 7 Abs. 1 DSGVO) | | Kindgerechte Information | eigene Datenschutzhinweise in einfacher Sprache (Art. 12 Abs. 1) | | Widerruf/Löschung | einfacher Widerrufsweg, Prozess für Löschung nach Art. 17 Abs. 1 lit. f | | DSFA | bei umfangreicher Verarbeitung von Kinderdaten regelmäßig erforderlich (Art. 35 DSGVO; Kinder als schutzbedürftige Betroffene) | | Plattformen | zusätzlich Maßnahmen nach Art. 28 DSA dokumentieren (Voreinstellungen, Werbe-Targeting-Sperre) |

Beispiel

Eine Lern-App richtet sich an Schülerinnen und Schüler der Klassen 5–10 und möchte mit Einwilligung Nutzungsdaten für personalisierte Empfehlungen auswerten. Eine 14-jährige Nutzerin aus Köln registriert sich. Da Deutschland bei 16 Jahren bleibt, braucht der Anbieter die Einwilligung oder Zustimmung eines Elternteils und muss diese angemessen verifizieren (z. B. Bestätigungslink an die Eltern-Adresse plus Plausibilitätsprüfung). Wäre die Nutzerin in Wien gemeldet, könnte sie nach österreichischem Recht (14 Jahre) selbst einwilligen. Bietet die App zusätzlich eine Community-Funktion als Online-Plattform an, darf sie der Nutzerin keine profilbasierte Werbung anzeigen (Art. 28 Abs. 2 DSA) – unabhängig von jeder Einwilligung.

Offene Punkte (Grund für factcheck_status: review_needed)

  1. EU KIDS Act: Inhalte stammen aus Pressemitteilung und FAQ der Kommission vom 17.09.2026; der Verordnungstext COM(2026) 681 konnte im Lauf nicht vollständig gegengelesen werden. Gesetzgebungsverfahren offen.
  2. Altersgrenzen anderer Mitgliedstaaten (AT 14, FR 15, BE 13) wurden nur über Sekundärquellen ermittelt und sind gegen die nationalen Gesetzestexte zu prüfen.
  3. EUR-Lex-Volltext der DSGVO konnte nicht direkt abgerufen werden; Normtext wurde über dejure.org abgesichert.

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-10-03
Letzte Prüfung:
2026-10-03
In Kraft seit:
2018-05-25
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.