Datenschutz-Herausforderungen bei der Implementierung von Altersverifikationssystemen gemäß KJM

Rechtliche Grundlagen des Jugendmedienschutzes in Deutschland

Medienangebote, die auf Kinder und Jugendliche schädigend wirken können, unterliegen in Deutschland gesetzlichen Einschränkungen. Die Informationsfreiheit kann gem. Art. 5 Abs. 2 Grundgesetz nur begrenzt beschnitten werden. Der Jugendschutz ist jedoch als Grund zur Einschränkung der Informationsfreiheit anerkannt und verfolgt den Zweck, Heranwachsende vor negativen Beeinträchtigungen zu bewahren.

Der Jugendmedienschutz-Staatsvertrag (JMStV) unterscheidet zwischen drei verschiedenen inhaltlichen Gefährdungsgraden und erfordert dementsprechend verschiedenartige Zugangsbarrieren:

1. Strikt unzulässige Inhalte: B. Volksverhetzung, Gewaltverherrlichung oder Menschenwürdeverletzungen sind gem. § 4 Abs. 1 JMStV sowohl im Rundfunk als auch im Internet von der Verbreitung ausgeschlossen.
2. Entwicklungsbeeinträchtigende Inhalte: Anbieter haben gemäß § 5 Abs. 1 JMStV dafür Sorge zu tragen, dass beeinträchtigende Inhalte von Kindern oder Jugendlichen üblicherweise nicht wahrgenommen werden. Um die Einschränkung zu erfüllen, können bei Onlineinhalten technische Mittel eingesetzt werden. Dies sind Zugangsbarrieren mit Altersprüfung, die jedoch nicht das strenge Schutzniveau geschlossener Benutzergruppen erfüllen müssen.
3. Schwer jugendgefährdende Inhalte: Darunter fallen gem. § 4 Abs. 2 JMStV pornografische, bestimmte indizierte Angebote und Inhalte, die die Eigenverantwortlichkeit und Gemeinschaftsfähigkeit von Heranwachsenden schwer gefährden. Solche Angebote dürfen in Telemedien zugänglich gemacht werden, wenn der Anbieter durch sogenannte geschlossene Benutzergruppen sicherstellt, dass nur Erwachsene Zugriff auf diese Inhalte haben. Das Design technischer Lösungen erweist sich auf Basis abstrakter gesetzlicher Vorgaben als Herausforderung.

Das Altersverifikationssystem der Kommission für Jugendmedienschutz

Vor der Entstehung textlicher und audiovisueller Internetangebote waren Medienanbieter recht beschränkt darin, ihren Inhalt geschlossenen Benutzergruppen zugänglich zu machen. Dies gelang hauptsächlich durch Sendezeitbegrenzungen und Indexierung von Printmedien. Mit dem Internet eröffnen sich technisch vielseitige Möglichkeiten Zugangsbarrieren für Inhalte zu setzen.

Um den Zugriff auf schwer jugendgefährdende Internetinhalte gem. § 4 Abs. 2 JMStV (letztgenannte Zugangsbarriere) zu begrenzen, bedarf es des Einsatzes sogenannter Altersverifikationssysteme (AV-Systeme). Weil der JMStV nicht vorsieht, wie ein regelungskonformes AV-System aussieht, hat die Kommission für Jugendmedienschutz (KJM) ein Verfahren zur Bewertung von Altersverifikationslösungen anhand transparenter Kriterien geschaffen. Typische Anwender des Verfahrens sind in Deutschland niedergelassene On-Demand-Anbieter, die gewaltverherrlichende oder pornografische Inhalte bereitstellen, Online- bzw. Browserspiele sowie der Online-Vertrieb dieser Inhalte. Auch Gewinn- und Glücksspiele im Internet orientieren sich am Altersverifikationssystem der KJM.

Das AV-System bietet den verpflichteten Anbietern gesteigerte Rechts- und Planungssicherheit, denn der Bewertungsleitfaden und Beispiele positiv befundener Konzepte verhelfen als Anleitung zu jugendschutzkonformen Implementierungen. Wichtig ist, dass ausschließlich Entwürfe von AV-Systemlösungen durch die KJM geprüft werden, nicht aber endgültige Umsetzungen der Anbieter. Zuletzt muss herausgestellt werden, dass das AV-System nur einen Teil, nicht aber alle gesetzlichen Anforderungen beleuchtet. Insbesondere den Datenschutz lässt es fast vollständig außen vor.

Inhalte des Altersverifikationssystems

Die KJM bewertet sowohl Konzepte von Gesamtlösungen als auch Teillösungen (Module) für geschlossene Benutzergruppen. Dies geschieht anhand einer Reihe von Kriterien, die im sogenannten AVS-Raster auf transparente Weise veröffentlicht wurden. Es besteht für Anbieter die Möglichkeit, positiv bewertete Module im Baukastenprinzip zu Gesamtlösungen geschlossener Benutzergruppen zu kombinieren und damit den Anforderungen des JMStV und der KJM zu entsprechen.

Das Altersverifikationssystem befasst sich mit zwei verbundenen Schritten:

1. Einmalige Identifizierung des Nutzers zur Volljährigkeitsprüfung durch Angesichts-Kontrolle unter Anwesenden (eID-Funktion des Personalausweises; Ausweisdokumentabgleich durch Webcam-Liveauswertung, Post-Ident usw.) oder biometrischen Abgleich von Ausweisdokumenten mit Live-Aufnahmen des Nutzers.
2. Authentifizierung vor jedem Nutzungsvorgang, der nicht unmittelbar in Anschluss an die Identifizierung erfolgt. Zusätzlich muss das Risiko der Weitergabe von Zugangsberechtigungen an Minderjährige wirksam reduziert werden. Dies kann z.B. durch das pushTAN-Verfahren oder Identifizierung des Endgeräts erreicht werden. Alternativ kann der Anbieter seinen Dienst derart gestalten, dass Personen, an die die Zugangsberechtigungen weitergegeben werden, Einsicht in sensible Accountinformationen des ursprünglichen Nutzers erhalten. Dies sollte die Weitergabe ebenfalls effektiv verhindern.

Zusätzliche datenschutzrechtliche Anforderungen an das Altersverifikationssystem

Im Zusammenhang mit der Implementierung und dem Betrieb eines AV-Systems gehen vielfältige datenschutzrechtliche Anforderungen einher, auf die die Bewertungskriterien der KJM nicht eingehen. Um Nutzern eine rechtskonforme Lösung bereitzustellen, ist die Einhaltung des Datenschutzes jedoch unerlässlich.

Folgende Aspekte sind bei der Lösungsplanung unbedingt einzubeziehen:

• Anbieter haben die Pflicht dafür zu sorgen, dass ihre Dienste gegen äußere An- und Zugriffe nach dem aktuellen Stand der Technik gesichert sind. Mit der Identifikation und Authentifikation werden personenbezogene Daten verarbeitet, die z.B. den Identitätsdiebstahl ermöglichen oder geheime sexuelle Vorlieben des Nutzers beherbergen könnten. Dies stellt ein Risiko für Nutzer dar. Der Einsatz angemessener technischer und organisatorischer Maßnahmen Art. 32 DSGVO (Datenschutz-Grundverordnung), um die Sicherheit der Identifizierungs- und Authentifizierungsdaten zu wahren, muss unbedingt im Voraus geplant werden, um Schwachstellen der Systeme zu vermeiden.
• Das AV-System muss datenschutzfreundliche Voreinstellungen zugunsten des Nutzers erlauben und derart gestaltet sein, dass die Datenschutzgrundsätze des Art. 5 DSGVO eingehalten werden.
• Insbesondere wird die Erfassung und Speicherung der für die Identifizierung notwendigen Daten von der KJM verlangt. Diese Anforderung kann im Widerstreit zur gesetzlich vorgegebenen Datenminimierung stehen und bedarf deshalb einer einzelfallbezogenen Prüfung. Verschiedene Identifikationsverfahren sind am Markt verfügbar. Es sollte in jedem Falle dasjenige gewählt werden, das mit den wenigsten Daten über den Nutzer auskommt und trotzdem dessen zuverlässige Identifizierung ermöglicht.
• Viele AV-Systeme schließen die Verarbeitung von Personalausweisdaten ein. Diese Handlung unterliegt speziellen gesetzlichen Vorgaben im Personalausweisgesetz, welche zu beachten sein könnten.
• Sofern das AV-System ein hohes Risiko für die teilnehmenden Nutzer birgt, ist eine Datenschutzfolgenabschätzung Die Höhe des Risikos ergibt sich aus dem möglichen Schaden, den die Datenverarbeitung für den Nutzer verursachen kann (z.B. wenn die Folgen irreversibel sind) und dessen Eintrittswahrscheinlichkeit. Ein hohes Risiko kann sich aus dem Einsatz von biometrischen Verfahren, Lokalisierungsdiensten und künstlicher Intelligenz zu Identifizierungs- und Authentifizierungszwecken ergeben.
• Sobald biometrische Daten zur eindeutigen Identifizierung einer natürlichen Person eingesetzt werden, greifen die besonderen Voraussetzungen des Art. 9 DSGVO.
• Bei der Identifizierung und Authentifizierung von Personen verlassen sich Anbieter häufig auf Dienstleister, die personenbezogene Daten in deren Auftrag verarbeiten. Entsprechend kann es erforderlich werden Auftragsverarbeitungsverträge abzuschließen sowie technische und organisatorische Maßnahmen der eingesetzten Dienstleister zu prüfen.
• Der Betrieb des AV-Systems erfordert die Erstellung und Pflege eines sogenannten Verzeichnisses von Verarbeitungstätigkeiten sowie die Information der Betroffenen über die Datenverarbeitung zu Identifizierungs- sowie Authentifizierungszwecken.

Zur Umsetzung dieser vielfältigen Anforderungen ist die rechtzeitige Einbeziehung des Datenschutzbeauftragten oder eines externen Spezialisten unerlässlich. Gerade aufgrund mit der DSGVO einhergehender hoher Bußgelder ist dieses Detail unbedingt zu beachten.

Fazit: Datenschutz-Anforderungen an AV-System sollten nicht unterschätzt werden

Das Altersverifikationssystem der KJM gibt Anbietern von Internet-Angeboten mit schwer jugendgefährdenden Inhalten einen klar definierten Rahmen, um die Identifizierung und Authentifizierung von Nutzern im Sinne des § 4 Abs. 2 JMStV umzusetzen. Die Kriterien sind auf die Einhaltung jugendschutzrechtlicher Vorgaben fokussiert, decken aber grundlegende datenschutzrechtliche Anforderungen nicht ab. Zu Compliance-Zwecken ist die Einbeziehung eines Datenschutzexperten unerlässlich, weil die Missachtung einschlägiger Datenschutzregeln insbesondere bei risikobehafteten personenbezogenen Daten sehr hohe Bußgelder verursachen kann.