COPPA — Children's Online Privacy Protection Act

COPPA (Children's Online Privacy Protection Act) ist ein US-Bundesgesetz, das den Datenschutz von Kindern unter 13 Jahren im Internet schützt. Es gilt für Websites und Online-Dienste, die sich an Kinder richten oder wissentlich Daten von Kindern sammeln.

• Elterliche Einwilligung: Überprüfbare elterliche Zustimmung muss eingeholt werden, bevor Daten von Kindern unter 13 Jahren erhoben werden.
• Datenschutzhinweis: Klare und verständliche Datenschutzrichtlinien, die speziell auf Eltern ausgerichtet sind.
• Datenlöschung: Eltern können die Löschung der über ihr Kind gesammelten Daten verlangen.
• Datensicherheit: Angemessene Sicherheitsmaßnahmen zum Schutz der Kinderdaten.

COPPA wurde als Reaktion auf wachsende Bedenken über die Online-Datenerhebung von Kindern verabschiedet. Es wurde im Oktober 1998 vom Kongress verabschiedet und trat am 21. April 2000 in Kraft. Die FTC ist für die Durchsetzung zuständig und hat umfangreiche Ausführungsregeln erlassen. 2013 wurden die COPPA-Regeln erheblich aktualisiert, um neue Technologien (mobile Apps, Plugins) abzudecken und den Begriff „persönliche Informationen“ zu erweitern. Am 11. Januar 2024 veröffentlichte die FTC einen Änderungsvorschlag (NPRM) zur COPPA-Regel im Federal Register. Am 16. Januar 2025 finalisierte die FTC die Änderungen, die unter anderem eine erweiterte Definition personenbezogener Daten, eine separate Einwilligung für die Weitergabe an Dritte und ein obligatorisches Datensicherheitsprogramm vorsehen. Die geänderte Regel trat am 23. Juni 2025 in Kraft, mit einer Compliance-Frist bis zum 22. April 2026.

COPPA gilt für: (1) Betreiber kommerzieller Websites oder Online-Dienste, die sich an Kinder unter 13 Jahren richten; (2) Betreiber von allgemeinen Websites oder Online-Diensten, die wissentlich personenbezogene Daten von Kindern unter 13 Jahren sammeln. Auch Drittanbieter (z. B. Werbetechnologie-Anbieter), die wissentlich Daten von Kinderwebsites sammeln, können direkt unter COPPA fallen.

• Datenschutzrichtlinie: Umfassende, klare Datenschutzrichtlinie mit COPPA-spezifischen Informationen (Datenarten, Weitergabe, Löschung).
• Elterliche Benachrichtigung: Direkte Benachrichtigung der Eltern vor der Datenerhebung.
• Überprüfbare elterliche Einwilligung: Einsatz von FTC-genehmigten Methoden (z. B. Kreditkartentransaktion, unterschriebenes Formular, Video-Verifizierung).
• Separate Einwilligung für Dritte: Seit der Regeländerung 2025 ist eine gesonderte elterliche Einwilligung erforderlich, bevor Kinderdaten an Dritte weitergegeben werden dürfen.
• Elternrechte: Recht auf Einsicht, Widerruf der Einwilligung und Löschung der Kinderdaten.
• Datenlöschung auf Anfrage: Daten müssen auf Antrag der Eltern gelöscht werden.
• Datenminimierung: Nur notwendige Daten dürfen erhoben werden.
• Obligatorisches Datensicherheitsprogramm: Betreiber müssen seit 2025 ein angemessenes Datensicherheitsprogramm zum Schutz der Kinderdaten unterhalten.
• Erweiterte Definition personenbezogener Daten: Seit 2025 umfasst die Definition auch biometrische Identifikatoren und weitere digitale Kennungen.
• Bußgelder: Bis zu 53.088 USD je Verstoß (inflationsangepasst, Stand 2025).

1 Korrektur:
- Falsches Datum fuer FTC-COPPA-Regelvorschlag: 1. Jan. statt 11. Jan. 2024
3 Aktualisierungen:
- last_amended veraltet — 2025 Aenderungen nicht beruecksichtigt
- Bussgeld-Betrag veraltet — 2025 inflationsangepasster Betrag ist $53.088
- Fehlende 2025 COPPA-Regelaenderungen (finalisiert und in Kraft)