Kinderdaten bei Online-Diensten in Zypern: die 14-Jahre-Regel der DSGVO

Prüfen, ob die Altersgrenze für den Vorgang gilt

Artikel 8 DSGVO betrifft eine auf Einwilligung gestützte Verarbeitung bei einem Dienst der Informationsgesellschaft, der einem Kind unmittelbar angeboten wird. Mitgliedstaaten dürfen die Schwelle zwischen 13 und 16 Jahren festlegen. Zypern hat in Artikel 8 des Gesetzes 125(I)/2018 14 Jahre gewählt; auch die öffentliche Information der zyprischen Datenschutzbeauftragten nennt diese Altersgrenze für Online-Dienste. Daraus folgt weder, dass niemand unter 14 eine App nutzen darf, noch dass Vierzehnjährige jeder Datenverwendung selbst zustimmen können. Definieren Sie zuerst, welcher Dienst, welche Funktion und welcher konkrete Verarbeitungszweck geprüft wird.

Beschreiben Sie tatsächliches Angebot und Zielgruppe. Wird ein Dienst der Informationsgesellschaft direkt einem Kind angeboten, und stützt sich der untersuchte Verarbeitungsschritt tatsächlich auf Einwilligung? Eine Schule mit einer notwendigen Bildungsleistung, ein Spiel mit freiwilliger sozialer Funktion und ein hauptsächlich an Erwachsene gerichteter Shop, den Minderjährige ebenfalls besuchen, werfen unterschiedliche Fragen auf. Die Altersregel ersetzt nicht die Prüfung der Rechtsgrundlage nach Artikel 6. Wenn Vertrag, rechtliche Pflicht oder eine andere Grundlage vorgeschlagen wird, prüfen Sie ihre Voraussetzungen und die Interessen des Kindes. Ein Elternkästchen ist nicht immer erforderlich und macht eine ungeeignete Grundlage nicht automatisch ausreichend.

Artikel 8 Absatz 3 lässt Fragen des nationalen Vertragsrechts über Wirksamkeit und Folgen eines Vertrages mit Minderjährigen unberührt. Trennen Sie deshalb Konto-Zulassung, Zahlungsfähigkeit und datenschutzrechtliche Einwilligung. Dokumentieren Sie, welche Funktionen sich an Kinder richten, welche freiwillig sind und welche Daten sie benötigen. Eine einzige Altersschranke bei der Kontoeröffnung löst keine spätere Entscheidung über ein neues Werbemodul. Erreicht das Produkt weitere EU-Länder, prüfen Sie die dort einschlägigen Altersregeln, Niederlassung und gezielte Ansprache. Übertragen Sie die zyprische Schwelle nicht ungeprüft auf jeden Markt oder jede Funktion.

Weiterführend: allgemeiner Leitfaden zur DSGVO-Compliance.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25; Zyprisches Gesetz 125(I)/2018, Artikel 8, konsolidierter griechischer Text (CyLaw, Anwaltskammer Zyperns); Zyprische Datenschutzbeauftragte: Schutz des Kindes; Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten

Verarbeitungszwecke vor der Einwilligung aufschlüsseln

Teilen Sie den Dienst in Zwecke auf: Konto, Altersprüfung, Kernfunktion, Meldung von Sicherheitsproblemen, Analyse, Personalisierung, gezielte Werbung und Weitergabe an andere Nutzer oder Partner. Notieren Sie je Zweck Daten, Rechtsgrundlage, Freiwilligkeit, Empfänger und Aufbewahrung. Eine Einwilligung ist nicht hinreichend bestimmt, wenn ein Klick zugleich Kernservice, öffentliches Profil, Werbe-Kennungen und Drittmarketing umfasst. Nach den Leitlinien des Europäischen Datenschutzausschusses muss Einwilligung freiwillig, spezifisch, informiert und eindeutig sein; ein neuer Zweck kann eine neue Entscheidung verlangen. Für Kinder ist ein gebündelter und unklarer Zustimmungsweg besonders schwer zu rechtfertigen.

Testen Sie, ob die Ablehnung eines freiwilligen Zwecks den einschlägigen Dienst wirklich verfügbar lässt. Ein Kind benötigt vielleicht eine Kennung, um Spielstände zu speichern. Daraus folgt aber nicht, dass Werbeprofiling zum Speichern nötig ist. Behaupten Sie eine solche Notwendigkeit nur nach einer echten Prüfung. Vermeiden Sie den umgekehrten Fehler, jede technische Funktion „Einwilligung“ zu nennen, obwohl der Dienst einen Widerruf im laufenden Betrieb nicht umsetzen könnte. Bestimmen Sie die passende Grundlage aus den tatsächlichen Funktionen und gestalten Sie die Oberfläche entsprechend. Die Datenschutzhinweise dürfen nicht erst nach Fertigstellung der Benutzerführung entstehen.

Können Daten Gesundheit, Religion oder eine andere besondere Kategorie erkennen lassen, verlangt Artikel 9 neben Artikel 6 eine zusätzliche Bedingung. Greift eine Funktion auf Standort, Kamera, Kontakte oder Kommunikation zu, prüfen Sie jede Berechtigung und die zunächst eingestellte Sichtbarkeit. Führen Sie einen datierten Nachweis über Zweckabgrenzung und den Text, der bei der Erhebung gezeigt wurde. Ein späteres Produktteam muss verstehen können, warum ein Feld aufgenommen wurde und ob die frühere Auswahl den neuen Einsatz abdeckt. Eine technische Möglichkeit, mehr zu erfassen, ist keine Begründung dafür, es bei Kindern auch zu tun.

Weiterführend: DPIA-Prüfung.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25; Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten; EDSA-Leitlinien 05/2020 zur Einwilligung nach Verordnung 2016/679

Alters- und Elternprüfung verhältnismäßig gestalten

Bei einwilligungsbasierter Verarbeitung im Anwendungsbereich der zyprischen Regel kann ein Kind ab 14 seine eigene datenschutzrechtliche Einwilligung geben. Bei jüngeren Kindern muss die sorgeberechtigte Person sie erteilen oder genehmigen. Artikel 8 Absatz 2 DSGVO verlangt angemessene Bemühungen zur Überprüfung dieser Genehmigung unter Berücksichtigung verfügbarer Technik. Er schreibt keine allgemeine Pflicht vor, Ausweiskopien zu sammeln. Wählen Sie ein Verfahren, das zum Risiko der Funktion passt, und begründen Sie, warum es hinreichende Sicherheit gibt, ohne unnötige Familiendaten anzulegen. Dokumentieren Sie die Entscheidung zusammen mit dem Umfang der betroffenen Einwilligung.

Untersuchen Sie Umgehungen und Fehlentscheidungen. Ein frei einzugebendes Geburtsdatum lässt sich leicht verändern; die pauschale Anforderung von Reisepassbildern kann dagegen eine riskante Identitätsdatenbank schaffen. Prüfen Sie, ob ein von Eltern verwaltetes Konto, eine kontrollierte Bestätigung oder eine andere risikobezogene Methode zum Dienst passt. Bewahren Sie den Nachweis der Prüfhandlung und ihren Zweck auf, reduzieren Sie aber Rohdokumente und löschen Sie vorläufige Verifikationsdaten nach ihrer Aufgabe. Testen Sie, was geschieht, wenn eine Zustimmung scheitert, abgebrochen oder später widerrufen wird. Das Backend darf eine abgelehnte Option nicht trotzdem aktivieren.

Machen Sie aus der elterlichen Genehmigung keine stillschweigende Erlaubnis für alle künftigen Funktionen. Speichern Sie konkreten Zweck, Fassung der Information und Handlung von Elternteil oder Kind. Planen Sie eine Überprüfung, wenn das Kind die zyprische Schwelle erreicht, das Land wechselt oder in eine andere Dienststufe gelangt. Prüfen Sie dann, welche Entscheidungen weiter gelten und wie die junge Person sie selbst verwalten kann. Verwaltungsrechte eines Elternteils im Produkt nehmen dem Kind nicht seine eigenen Datenschutzinteressen. Streit darüber, wer ein bestimmtes Recht ausüben darf, muss nach Sachverhalt und anwendbarem Recht beurteilt werden, nicht durch eine pauschale Supportantwort.

Weiterführend: Leitfaden zur Cookie-Einwilligung.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25; Zyprisches Gesetz 125(I)/2018, Artikel 8, konsolidierter griechischer Text (CyLaw, Anwaltskammer Zyperns); Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten; EDSA-Leitlinien 05/2020 zur Einwilligung nach Verordnung 2016/679

Den Dienst in einer Sprache erklären, die Kinder verstehen

Artikel 12 verlangt knappe, transparente, verständliche und leicht zugängliche Informationen, besonders wenn sie sich an ein Kind richten. Eine für Unternehmenseinkauf verfasste Datenschutzerklärung genügt diesem praktischen Maßstab nicht allein deshalb, weil Eltern sie finden können. Erklären Sie unmittelbar vor einer Funktionswahl kurz und konkret, welche Daten erhoben werden, wer sie sieht, ob die Nutzung freiwillig ist und wie die Wahl geändert wird. Verwenden Sie Produktbeispiele statt der unbestimmten Formel „Erlebnis verbessern“. Verlinken Sie auf die vollständigen Angaben nach Artikeln 13 und 14 für Eltern und andere Leser. Prüfen Sie die Darstellung auf kleinen Bildschirmen.

Trennen Sie die Auswahl des Kindes von der Genehmigung der Eltern, wenn beide Oberflächen bestehen. Erwachsene müssen erkennen, was sie erlauben; das Kind darf nicht den falschen Eindruck erhalten, es sei etwas anderes genehmigt worden. Vermeiden Sie vorausgewählte Schalter, verwirrende Farben oder Schaltflächen, bei denen Ablehnung wie ein Fehler aussieht. Die EDPB-Hilfe für kleine Unternehmen fordert altersangemessene Informationen, wenn Kinder einwilligen können. Testen Sie Formulierungen mit der tatsächlichen Altersgruppe und in unterstützten Sprachen. Juristisch korrekte Wörter, die ein Kind nicht versteht, erfüllen ihren Transparenzzweck nicht. Halten Sie auch den Widerrufsweg ebenso klar wie den Zustimmungsweg.

Ein verständlicher Hinweis nennt auch Empfänger und Folgen. Ist ein Profil öffentlich, erklären Sie vor der Veröffentlichung, wer es sehen kann. Enthält ein Spiel Nachrichten anderer Nutzer, beschreiben Sie Moderation und Meldewege. Geben Sie die Aufbewahrungsdauer in verständlichen Worten an und zeigen Sie, wie Löschung oder Hilfe angefordert wird. Aktualisieren Sie kurze und vollständige Erklärungen, wenn ein neuer Anbieter oder Zweck hinzukommt. Archivieren Sie frühere Fassungen, damit der Dienst später nachweisen kann, welche Information bei der aufgezeichneten Entscheidung angezeigt wurde. Ein Link zu einer veralteten PDF-Datei reicht dafür nicht aus.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25; Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten; Zyprische Datenschutzbeauftragte: Schutz des Kindes

Erhebung, Sichtbarkeit und Aufbewahrung von Anfang an begrenzen

Die Grundsätze der Datenminimierung und Speicherbegrenzung in Artikel 5 gelten auch für Kinderdaten. Fragen Sie, ob eine Funktion den vollständigen Namen, das genaue Geburtsdatum, Kontakte oder eine dauerhafte Standortchronik wirklich braucht. Eine Altersgruppe oder ein Ja-Nein-Ergebnis der Berechtigungsprüfung genügt manchmal. Behalten Sie keinen präziseren Nachweis, nur weil er bei der Überprüfung kurz vorlag. Das technische Team sollte für jedes Feld Zweck und Löschanlass benennen können. Eine freiwillige Funktion darf nicht nach Verlassen durch das Kind einen dauerhaften Restdatensatz anlegen. Prüfen Sie Protokolle und Exporte zusätzlich zur Hauptdatenbank.

Prüfen Sie datenschutzfreundliche Voreinstellungen nach Artikel 25. Standort, Profil, Auffindbarkeit und Beiträge eines neuen Kontos sollten nicht ohne Not dem größtmöglichen Publikum offenstehen. Testen Sie den Ausgangszustand nach Neuinstallation, Gruppenbeitritt und Gerätewechsel. Ein tief versteckter Schalter ersetzt keine sichere Anfangseinstellung. Ist eine öffentliche Funktion tatsächlich wesentlich für den Dienst, erklären Sie diese Folge vor Kontoeröffnung und bieten Sie alters- und risikogerechte Kontrollen. Messen Sie nicht nur, was der Bildschirm zeigt, sondern auch welche Daten über Schnittstellen bereits abgeflossen sind. Voreinstellungen müssen bei künftigen Updates bestehen bleiben.

Legen Sie Löschregeln getrennt für inaktive Konten, Chats, Nachweise elterlicher Autorisierung, Sicherheitsmeldungen und Sicherungskopien fest. Beweise zu einem Schutzvorfall können eine andere Aufbewahrungsprüfung erfordern als normale Spieldaten. „Vielleicht brauchen wir es irgendwann“ ist aber keine Regel. Beschränken Sie Zugriff auf Berichte über Kinder und prüfen Sie die Entfernung aus Drittwerkzeugen. Widerruft ein Kind oder Elternteil die Einwilligung für eine freiwillige Funktion, stoppen Sie diese Nutzung und prüfen Sie, welche Daten zu löschen oder aus eigenständigem rechtlichem Grund zu behalten sind. Dokumentieren Sie das Ergebnis für eine zutreffende Supportantwort.

Weiterführend: Leitfaden zu Aufbewahrungsfristen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25; Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten; Zyprisches Gesetz 125(I)/2018, Artikel 8, konsolidierter griechischer Text (CyLaw, Anwaltskammer Zyperns)

Tracking, Profiling und jede Drittintegration kontrollieren

Kinder verdienen besonderen Schutz, insbesondere gegenüber Werbung und der Erstellung von Persönlichkeits- oder Nutzerprofilen, wie Erwägungsgrund 38 der DSGVO betont. Eine Altersschranke macht verhaltensbezogene Werbung nicht automatisch zulässig. Erfassen Sie SDKs, Analysewerkzeuge, Werbenetzwerke, Login-Anbieter und Social-Sharing-Funktionen: Welche Daten erhält jede Stelle und für welchen Zweck? Handelt sie als Auftragsverarbeiter, brauchen die Parteien wirksame Artikel-28-Bedingungen und tatsächliche Weisungen. Verfolgt sie einen eigenen Zweck, prüfen Sie ihre Verantwortlichkeit und was Kind oder Eltern vor der Übermittlung erfuhren. Entfernen Sie Integrationen, deren Datenfluss niemand erklären kann.

Einwilligung für Cookies und Gerätekennungen ist eine eigene rechtliche Ebene neben Artikel 8 für den Online-Dienst. Die Erlaubnis der Eltern für das Konto eines unter Vierzehnjährigen umfasst nicht automatisch jedes nicht notwendige Tracking durch Dritte. Prüfen Sie die zyprischen Regeln zur Speicherung und zum Zugriff auf Endgeräte und trennen Sie die Entscheidungen in der Oberfläche. Regeln für Werbenachrichten bilden noch eine weitere Ebene. Ein Dienst kann eine Einwilligung korrekt einholen und bei der anderen Frage dennoch scheitern. Starten Sie bei einem kinderorientierten Produkt keine unnötigen Tracker, bevor die jeweils erforderliche Wahl wirksam getroffen wurde. Testen Sie diese Reihenfolge technisch.

Führen Sie eine Prüfung für Anbieteränderungen ein. Ein unscheinbares Analyse-Update kann neue Werbe-Kennungen einführen, mehr Daten weitergeben oder die Aufbewahrung verlängern. Lassen Sie die Produktverantwortlichen jeden neuen Empfänger benennen, mit dem dokumentierten Zweck vergleichen und nötigenfalls Hinweise und Auswahlen aktualisieren. Deaktivieren Sie eine Integration, wenn der Datenfluss nicht geklärt werden kann. Fällt eine Plattformfunktion auch unter den Digital Services Act, prüfen Sie dessen eigenständige Schutzpflichten für Minderjährige gesondert. Die zyprische 14-Jahre-Regel des Datenschutzes ist kein vollständiges Sicherheitsprogramm für eine Plattform. Behalten Sie diese Grenzen im Freigabeprotokoll sichtbar.

Weiterführend: Umsetzung der Cookie-Einwilligung.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25; Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten; Zyprisches Gesetz 125(I)/2018, Artikel 8, konsolidierter griechischer Text (CyLaw, Anwaltskammer Zyperns); Zyprische Datenschutzbeauftragte: Schutz des Kindes

Rechte und Sicherheitsanfragen für Familien praktikabel machen

Bieten Sie erreichbare Wege für Auskunft, Berichtigung, Widerruf, Widerspruch und Löschung. Ein Kind sollte verstehen können, wie es Hilfe erhält, ohne ein juristisches Beschwerdeformular auszufüllen. Gleichzeitig dürfen private Nachrichten oder Standortdaten nicht an jede Person herausgegeben werden, die sich als Elternteil bezeichnet. Prüfen Sie Identität, elterliche Sorge und Rechte des Kindes angemessen. Datenschutzrechte stehen der betroffenen Person zu; wie eine Vertretung sie ausübt, hängt vom konkreten Zusammenhang ab. Erfassen Sie Eingang, Umfang, vorgenommenen Nachweis und Entscheidung statt eine sensible Familienanfrage wie ein gewöhnliches Supportticket zu behandeln.

Testen Sie den Widerruf. Kann ein Elternteil die Genehmigung einer freiwilligen Funktion zurücknehmen, und kann ein Kind, das nach anwendbarem Recht selbst einwilligen darf, seine Einstellung ändern? Erreicht die Änderung alle verbundenen Systeme oder nur einen Schalter im Frontend? Artikel 7 verlangt, dass der Widerruf so einfach wie die Erteilung der Einwilligung ist. Erklären Sie die tatsächliche Folge für die Funktion, ohne die Ablehnung freiwilliger Verarbeitung zu bestrafen. Müssen einzelne Informationen wegen Sicherheit oder rechtlicher Pflicht bleiben, trennen Sie diesen eigenständigen Grund von der widerrufenen Nutzung und informieren Sie die anfragende Person darüber.

Bereiten Sie sich auf veröffentlichte Kinderprofile, unbefugten Kontozugriff und Verlust von Elternprüfungsdaten vor. Beschränken Sie Zugriff, sichern Sie Beweise und prüfen Sie Meldepflichten nach Artikeln 33 und 34 anhand des wirklichen Risikos. Ein Vorfall mit Kinderdaten kann andere praktische Folgen haben als ein gewöhnlicher Analysevorfall. Üben Sie eine altersgerechte Mitteilung an Kinder und gleichzeitig eine sachliche Information an Eltern. Eine Standard-E-Mail, die Familien zu einer defekten Supportadresse schickt, verschärft das Problem. Dokumentieren Sie, wer Entscheidungen trifft und wie schnell ein gesperrtes Konto oder eine gefährdende Veröffentlichung gesichert wird.

Weiterführend: Reaktion auf Datenschutzverletzungen.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25; Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten; Zyprische Datenschutzbeauftragte: Schutz des Kindes

Vor Freigabe vier konkrete Nutzerwege testen

Testen Sie ein dreizehnjähriges Kind in Zypern bei einer Funktion, die auf Einwilligung beruht. Der Dienst sollte den Weg der elterlichen Genehmigung für unter Vierzehnjährige anwenden und den bestimmten Zweck erfassen, nicht bloß ein Geburtsdatum akzeptieren. Testen Sie dieselbe Funktion mit einer vierzehnjährigen Person: Eine klare und altersgerechte Wahl für diese Verarbeitung muss erscheinen. Prüfen Sie dann ein Konto, das freiwilliges Tracking ablehnt. Kernfunktionen sollten sich wie erklärt verhalten und nicht notwendige Tags oder SDK-Ereignisse dürfen vor der nötigen Erlaubnis nicht starten. Kontrollieren Sie dafür echte Netzwerkanfragen und Serverprotokolle.

Testen Sie eine gescheiterte oder widerrufene elterliche Genehmigung. Die freiwillige Nutzung von Kinderdaten darf dann nicht weiterlaufen; vorläufige Nachweise unterliegen ihrer Löschregel und eine passende Nachricht muss das Konto erreichen. Testen Sie auch Auskunft und Löschung über App, Moderationswerkzeug und Cloud-Sicherungen hinweg. Solche Prüfungen zeigen, ob Datenschutzwahl und Rechte echt sind oder nur auf dem Bildschirm existieren. Bewahren Sie datierte Ergebnisse, Fehler und Korrekturen auf. Ein Screenshot der Zustimmungsansicht beweist nicht, dass Hintergrundsysteme die Wahl respektierten. Wiederholen Sie die Prüfung nach wichtigen Integrationsänderungen.

Benennen Sie eine Produktverantwortliche für neue Funktionen, SDKs, Märkte und Methoden der Altersprüfung. Die Schwelle von 14 Jahren ist eine einzelne gesetzliche Voraussetzung, keine Zertifizierung des gesamten Dienstes. Bewahren Sie Zweckkarte, Rechtsgrundlagen, Alters- und Elternprüfung, Hinweise, Aufbewahrung, Anbieterbedingungen und Risikobewertung in einer kontrollierten Freigabeakte auf. Aktualisieren Sie sie, wenn sich Publikum oder Produkt ändern, und kontrollieren Sie aktuelle zyprische Regeln und EDPB-Leitlinien, bevor Sie Schwelle oder Oberfläche anpassen. Eine belastbare Einführung liegt vor, wenn der tatsächliche Weg des Kindes bei jeder Entscheidung mit der rechtlichen Erklärung übereinstimmt.

Rechtsgrundlage und Hinweise: Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25; Zyprisches Gesetz 125(I)/2018, Artikel 8, konsolidierter griechischer Text (CyLaw, Anwaltskammer Zyperns); Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten; Zyprische Datenschutzbeauftragte: Schutz des Kindes

Primärquellen und Geltungsbereich

Quellenabgleich: 7. Oktober 2026. Dieser Leitfaden bezieht sich auf die Republik Zypern. Beispiele sind hypothetisch und keine Kundenfälle. Prüfen Sie vor einer Einreichung die aktuellen amtlichen Anforderungen.

• Verordnung (EU) 2016/679 (DSGVO), insbesondere Artikel 5, 6, 7, 8, 12 und 25
• Zyprisches Gesetz 125(I)/2018, Artikel 8, konsolidierter griechischer Text (CyLaw, Anwaltskammer Zyperns)
• Zyprische Datenschutzbeauftragte: Schutz des Kindes
• Europäischer Datenschutzausschuss: Personenbezogene Daten rechtmäßig verarbeiten
• EDSA-Leitlinien 05/2020 zur Einwilligung nach Verordnung 2016/679
• Zyprische Datenschutzbeauftragte: Gesetz 125(I)/2018, inoffizielle englische Übersetzung