Beiträge Datenschutzrecht

25 Jahre Children’s Online Privacy Protection Act (COPPA)

Weist der Leuchtturm für den Kinderdatenschutz noch immer den Weg?

Sandra Husi-Stämpfli

Zitiervorschlag: Sandra Husi-Stämpfli, 25 Jahre Children’s Online Privacy Protection Act (COPPA), in: Jusletter 7. April 2025

Der US-Amerikanische Children’s Online Privacy Protection Act COPPA feiert seinen 25. Geburtstag. Anlass für die Autorin, dieses Regelwerk zu analysieren: Welche Überlegungen liegen dem COPPA zugrunde, die auch heute noch ihre Berechtigung haben? Wie beeinflusst der COPPA die Social-Media Landschaft, und welche Auswirkungen hat(te) der COPPA auf den Kinderdatenschutz auch in Europa und der Schweiz? Hat der Leuchtturm, der zu Beginn des 20. Jahrhunderts als wegweisend verstanden wurde, seine Leuchtkraft verloren, oder sollten wir uns – im Interesse unserer Kinder – mehr denn je am COPPA ausrichten?

Inhaltsverzeichnis

A. Einführung
B. COPPA – ein Überblick
- 1. Vorab: Ein «P» mehr oder weniger: Abgrenzung zum Child Online Protection Act (COPA)
- 2. Hintergrund und wichtigste Bestimmungen
  - 2.1. Regelungsbedarf
  - 2.2. Persönlicher, sachlicher und geographischer Geltungsbereich
  - 2.3. Transparenz gegenüber Eltern im Zentrum
    - 2.3.1. Regelungsinhalt
    - 2.3.2. Modalitäten der Information der Eltern (§ 312.3 lit. a i.V.m. § 312.4 COPPA Rule)
    - 2.3.3. Formale Anforderungen an die Einwilligung der Eltern (312.3 lit. b i.V.m. § 312.5 COPPA Rule)
    - 2.3.4. Review-Möglichkeit der Eltern (§ 312.3 lit. c. i.V.m. § 312.6 COPPA Rule)
  - 2.4. Need-to-know-Prinzip und Datensicherheit als weitere Anforderungen an die Datenbearbeitung
  - 2.5. Safe Harbor Lösungen als Möglichkeit zur Selbstregulierung
  - 2.6. Durchsetzungsmechanismen
- 3. Aktuelle Entwicklungen
  - 3.1. COPPA 2.0
  - 3.2. KOSA
  - 3.3. Anpassungen an den COPPA Rules durch die FTC
- 4. Vielseitige Kritik – zu Recht?
C. Kinderdatenschutz in Europa und in der Schweiz im Lichte des COPPA
- 1. Rechtsetzung in der EU
  - 1.1. Kein «Kinderdatenschutz» unter der EU-Richtlinie 95/46/EG (1995–2018)
  - 1.2. Schutzmechanismen in der DSGVO (seit 25. Mai 2018)
  - 1.3. Kinder im digitalen Raum: Weitergehender EU-Rechtsrahmen
    - 1.3.1. Die ePrivacy-Richtlinie
    - 1.3.2. Der Digital Services Act (DSA)
    - 1.3.3. Der AI Act
- 2. Zusammenspiel der Regelungen aus kinderdatenschutzrechtlicher Perspektive
- 3. Europarat
  - 3.1. Die Europaratskonvention – noch immer keine explizite Nennung von Kindern und Jugendlichen
  - 3.2. Empfehlungen des Europarats «to respect, protect and fulfill the rights of the child in the digital environment» (CM/Rec[2018]7)
- 4. Kinderdatenschutz in der Schweiz
  - 4.1. Risikobasierter Ansatz – gerade auch für Kinder und Jugendliche
  - 4.2. Keine Altersgrenze für Einwilligungen, aber hohe Anforderungen an die Transparenz
  - 4.3. Privacy by design and default – und die Risikoperspektive des Kinderdatenschutzes
  - 4.4. Sanktionen – ein Wermutstropfen
  - 4.5. Würdigung
D. COPPA in der Praxis – zwei Fälle von internationaler Reichweite
- 1. FTC vs. Musical.ly (heute TikTok)
  - 1.1. Ausgangslage
  - 1.2. Der Vergleich
  - 1.3. Auswirkungen und Rezeption
- 2. FTC vs. YouTube
  - 2.1. Ausgangslage
  - 2.2. Der Vergleich
  - 2.3. Auswirkungen und Rezeption
- 3. Einordnung der Entscheide
E. Fazit