Der Children's Online Privacy Protection Act (COPPA): Ein Compliance-Leitfaden für Betreiber

Der Children’s Online Privacy Protection Act (COPPA) ist ein US-Bundesgesetz zum Schutz der Online-Privatsphäre von Kindern. Er regelt, wie Websites, Apps und andere Online-Dienste personenbezogene Daten von Kindern unter 13 Jahren erheben, verwenden und offenlegen. Durchgesetzt wird er von der Federal Trade Commission (FTC, US-Handels- und Verbraucherschutzbehörde) über die COPPA-Regel (16 CFR Part 312). Betreiber müssen klar informieren, vor der Erhebung personenbezogener Daten eines Kindes eine überprüfbare Einwilligung der Eltern einholen, den Eltern Kontrolle über diese Daten geben, sie schützen und löschen, wenn sie nicht mehr vernünftigerweise erforderlich sind. Die FTC hat 2025 Änderungen der Regel abgeschlossen, die eine gesonderte Einwilligung der Eltern für die Weitergabe an Dritte, ein schriftliches Informationssicherheitsprogramm, eine Richtlinie zur Datenaufbewahrung und erweiterte Definitionen personenbezogener Daten ergänzen. Die Frist zur Einhaltung dieser Änderungen endete am 22. April 2026.

Organisationen, die Daten von Kindern erheben oder dies möglicherweise unbemerkt tun, müssen wissen, auf welcher Seite der Grenze sie stehen. Kiteworks bietet die Control Plane für den sicheren Datenaustausch, mit der Organisationen personenbezogene Daten von Kindern durch Verschlüsselung, Zugriffskontrolle und Audit-Protokollierung schützen und über sichere Webformulare erheben können.

Diese Seite bietet allgemeine Informationen und keine Rechtsberatung. Wenn Sie wissen möchten, wie COPPA auf Ihre Organisation anzuwenden ist, wenden Sie sich an Ihre Rechts- oder Datenschutzabteilung.

Zusammenfassung

Der Children’s Online Privacy Protection Act (COPPA) ist ein US-Bundesgesetz zum Schutz der Online-Privatsphäre von Kindern. Er regelt, wie Websites, Apps und andere Online-Dienste personenbezogene Daten von Kindern unter 13 Jahren erheben, verwenden und offenlegen. Durchgesetzt wird er von der Federal Trade Commission (FTC, US-Handels- und Verbraucherschutzbehörde) über die COPPA-Regel (16 CFR Part 312). Betreiber müssen klar informieren, vor der Erhebung personenbezogener Daten eines Kindes eine überprüfbare Einwilligung der Eltern einholen, den Eltern Kontrolle über diese Daten geben, sie schützen und löschen, wenn sie nicht mehr vernünftigerweise erforderlich sind. Die FTC hat 2025 Änderungen der Regel abgeschlossen, die eine gesonderte Einwilligung der Eltern für die Weitergabe an Dritte, ein schriftliches Informationssicherheitsprogramm, eine Richtlinie zur Datenaufbewahrung und erweiterte Definitionen personenbezogener Daten ergänzen. Die Frist zur Einhaltung dieser Änderungen endete am 22. April 2026.

Organisationen, die Daten von Kindern erheben oder dies möglicherweise unbemerkt tun, müssen wissen, auf welcher Seite der Grenze sie stehen. Kiteworks bietet die Control Plane für den sicheren Datenaustausch, mit der Organisationen personenbezogene Daten von Kindern durch Verschlüsselung, Zugriffskontrolle und Audit-Protokollierung schützen und über sichere Webformulare erheben können.

Wichtigste Erkenntnisse

1. COPPA erfasst mehr als Websites für Kinder

Ein Dienst für ein allgemeines Publikum fällt darunter, wenn er tatsächliche Kenntnis davon hat, dass er personenbezogene Daten eines Kindes unter 13 Jahren erhebt. Betreiber von Diensten, die sich an Kinder richten, sind von Anfang an erfasst, ebenso Dritte wie Werbenetzwerke und Plug-ins, die über einen kindgerichteten Dienst wissentlich Daten erheben.

2. Die Einwilligung muss überprüfbar sein, nicht vorausgesetzt

Betreiber müssen eine überprüfbare Einwilligung der Eltern einholen, bevor sie personenbezogene Daten eines Kindes erheben, verwenden oder offenlegen. Die geänderte Regel verlangt eine gesonderte Einwilligung für die Weitergabe an Dritte, es sei denn, die Weitergabe ist für den Dienst wesentlich.

3. Sicherheit und Aufbewahrung sind jetzt schriftliche Anforderungen

Die geänderte Regel verlangt ein schriftliches Informationssicherheitsprogramm und eine Richtlinie zur Datenaufbewahrung. Betreiber dürfen Daten von Kindern nicht mehr unbegrenzt aufbewahren und müssen nachweisen, wie sie geschützt werden.

4. Personenbezogene Daten sind weit definiert

Dauerhafte Kennungen, Fotos, Sprachaufnahmen und Geolokalisierung zählen dazu, und die Änderungen fügen biometrische Kennungen hinzu. Cookies und Gerätekennungen, die ein Kind dienstübergreifend verfolgen, können COPPA auch ohne Namen oder E-Mail-Adresse auslösen.

5. Sanktionen werden pro Verstoß festgesetzt

Jeder Verstoß kann mit einer zivilrechtlichen Strafe belegt werden, und in großen Fällen wurden Hunderte Millionen US-Dollar erreicht. Sowohl die FTC als auch die Generalstaatsanwälte der US-Bundesstaaten setzen COPPA durch.

Was ist COPPA? Definition und Anwendungsbereich

Der Kongress erließ COPPA 1998 (15 U.S.C. 6501 bis 6506), und die zugehörige Regel der FTC trat am 21. April 2000 in Kraft. Das Gesetz gilt für Betreiber kommerzieller Websites und Online-Dienste, einschließlich mobiler Apps, vernetzter Spielzeuge und anderer internetfähiger Produkte, die:

• sich an Kinder unter 13 Jahren richten und von ihnen personenbezogene Daten erheben.
• Dienste für ein allgemeines Publikum sind und tatsächliche Kenntnis davon haben, dass sie personenbezogene Daten eines Kindes unter 13 Jahren erheben.
• Dienste für ein gemischtes Publikum sind, die Kinder als eine von mehreren Zielgruppen ansprechen. Die geänderte Regel führt hierfür eine eigenständige Definition ein und erlaubt es diesen Diensten, Nutzer vor der Erhebung personenbezogener Daten nach dem Alter zu filtern und die COPPA-Schutzvorgaben dann auf jene anzuwenden, die angeben, unter 13 zu sein.

COPPA erfasst auch Betreiber mit Sitz im Ausland, die Dienste an Kinder in den Vereinigten Staaten richten oder deren Daten wissentlich erheben. Die FTC berücksichtigt Faktoren wie Thema, visuelle Inhalte, Zeichentrickfiguren, kindgerechte Aktivitäten, Musik, das Alter der Models, Werbung und belastbare Belege zur Zusammensetzung des Publikums. Die geänderte Regel ergänzt Marketingmaterialien, Darstellungen gegenüber Dritten, Nutzerbewertungen und das Alter der Nutzer vergleichbarer Dienste.

Wer ist durch COPPA geschützt?

COPPA schützt Kinder unter 13 Jahren. Sobald ein Nutzer 13 wird, gilt COPPA nicht mehr für seine Daten, auch wenn andere Gesetze, darunter Datenschutzgesetze einzelner Bundesstaaten, für Jugendliche weiterhin zusätzlichen Schutz verlangen können. Betreiber können sich dem Gesetz in der Regel nicht entziehen, indem sie behaupten, kein Kind nutze ihren Dienst, wenn Inhalte, Marketing oder Nutzerbasis etwas anderes nahelegen.

Was zählt nach COPPA als personenbezogene Daten?

Die Regel definiert personenbezogene Daten weit. Dazu gehören:

• Vor- und Nachname, eine Postanschrift, eine E-Mail-Adresse oder andere Online-Kontaktdaten und eine Telefonnummer.
• Ein Bildschirm- oder Benutzername, der als Online-Kontaktinformation dient.
• Eine dauerhafte Kennung, die einen Nutzer über die Zeit und über Dienste hinweg wiedererkennen kann, etwa ein Cookie, eine IP-Adresse oder eine Gerätekennung.
• Ein Foto, Video oder eine Audiodatei, die das Bild oder die Stimme eines Kindes enthält.
• Geolokalisierungsdaten, die genau genug sind, um einen Straßennamen und eine Stadt oder einen Ort zu bestimmen.
• Informationen über ein Kind oder einen Elternteil, die erhoben und mit einer dieser Kennungen verknüpft werden.
• Nach den Änderungen biometrische Kennungen wie Fingerabdrücke, Stimmabdrücke, Gesichtsvorlagen und Gangmuster sowie staatlich ausgestellte Kennungen über Sozialversicherungsnummern hinaus, darunter Passnummern und Geburtsurkunden.

Unser Eintrag zu PII und PHI erklärt, wie diese Kategorien mit weiter gefassten Datenschutzbegriffen zusammenhängen.

Was verlangt COPPA von Betreibern?

Die Regel legt eine Reihe zentraler Pflichten fest:

1. Eine klare Online-Datenschutzerklärung veröffentlichen, die beschreibt, welche Daten von Kindern erhoben werden, wie sie verwendet werden und ob sie an Dritte weitergegeben werden.
2. Die Eltern direkt informieren, bevor Daten ihres Kindes erhoben werden, einschließlich der Zwecke und der Identität aller Dritten, die sie erhalten.
3. Eine überprüfbare Einwilligung der Eltern einholen, bevor personenbezogene Daten eines Kindes erhoben, verwendet oder offengelegt werden, vorbehaltlich begrenzter Ausnahmen.
4. Den Eltern Kontrolle geben: die Möglichkeit, die erhobenen Daten einzusehen, ihre Löschung zu verlangen und eine weitere Erhebung zu untersagen.
5. Die Erhebung begrenzen auf das, was für die Teilnahme des Kindes an einer Aktivität vernünftigerweise erforderlich ist. Betreiber dürfen nicht mehr Daten als Bedingung für die Teilnahme verlangen.
6. Vertraulichkeit, Sicherheit und Integrität der Daten schützen und sie nur an Parteien weitergeben, die dasselbe leisten können.
7. Daten nur so lange aufbewahren, wie es für den Erhebungszweck vernünftigerweise erforderlich ist, und sie danach sicher löschen.

Diese Pflichten greifen Grundsätze anderer Datenschutzgesetze auf. Zum Vergleich lesen Sie unsere Leitfäden zur Datenminimierung und zur DSGVO (Datenschutz-Grundverordnung).

Wie funktioniert die überprüfbare Einwilligung der Eltern?

Überprüfbare Einwilligung der Eltern bedeutet, unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen zu unternehmen, um sicherzustellen, dass die einwilligende Person der Elternteil des Kindes ist. Die geeignete Methode hängt davon ab, wie die Daten verwendet werden. Anerkannte Methoden sind ein unterschriebenes Einwilligungsformular, eine Kreditkartentransaktion, die den Kontoinhaber benachrichtigt, ein gebührenfreier Anruf oder eine Videokonferenz mit geschultem Personal sowie die Prüfung eines staatlich ausgestellten Ausweises. Die Änderungen ergänzen drei Methoden: wissensbasierte Authentifizierung mit schwierigen Multiple-Choice-Fragen, die Übermittlung eines staatlich ausgestellten Lichtbildausweises und eine Textnachricht in Kombination mit einem bestätigenden Schritt wie einer Folgenachricht, einem Brief oder einem Anruf.

Betreiber, die Daten von Kindern für Zwecke, die für den Dienst nicht wesentlich sind, an Dritte weitergeben möchten, müssen für diese Weitergabe eine gesonderte Einwilligung einholen. Eltern müssen der Erhebung und Verwendung zustimmen können, ohne der Weitergabe an Dritte zuzustimmen.

Wann ist keine Einwilligung der Eltern erforderlich?

Die Regel lässt enge Ausnahmen zu. In jedem Fall darf der Betreiber nur erheben, was die Ausnahme erfordert, die Daten nicht für andere Zwecke nutzen und muss sie in der Regel anschließend löschen:

• Erhebung der Online-Kontaktdaten eines Elternteils oder Kindes ausschließlich, um die Einwilligung der Eltern einzuholen.
• Einmalige Beantwortung einer konkreten Anfrage eines Kindes, wonach die Kontaktdaten gelöscht werden müssen.
• Mehrfache Beantwortung einer Anfrage eines Kindes, etwa für einen Newsletter, mit Benachrichtigung der Eltern und der Möglichkeit zum Widerspruch.
• Schutz der Sicherheit eines Kindes.
• Schutz der Sicherheit und Integrität des Dienstes, Vorkehrungen gegen Haftung, Reaktion auf gerichtliche Verfahren oder Zusammenarbeit mit Strafverfolgungsbehörden.
• Verwendung einer dauerhaften Kennung ausschließlich zur Unterstützung des internen Betriebs des Dienstes, ohne das Kind zu kontaktieren.
• Nach den Änderungen die Erhebung einer Audiodatei mit der Stimme eines Kindes ausschließlich zur Beantwortung einer Anfrage und deren sofortige Löschung danach.

Wie wird COPPA durchgesetzt?

Die FTC setzt COPPA durch Untersuchungen, Verfahren auf zivilrechtliche Strafen und Consent Orders (einvernehmliche Anordnungen) durch, die häufig die Löschung von Daten, Compliance-Programme und langfristige Berichtspflichten umfassen. Die Generalstaatsanwälte der US-Bundesstaaten können COPPA-Verfahren ebenfalls vor Bundesgerichten führen. Betreiber können einem von der FTC genehmigten Safe-Harbor-Programm beitreten, einem Selbstregulierungsprogramm, dessen Richtlinien die Regel erfüllen oder übertreffen. Die Teilnahme schafft keine Immunität, aber die FTC behandelt die Einhaltung der Richtlinien eines Safe-Harbor-Programms in der Regel als Einhaltung der Regel. Die geänderte Regel verpflichtet genehmigte Programme, ihre Mitgliederlisten öffentlich zu machen und an die FTC zu berichten.

COPPA und Schulen

Schulen sind keine Betreiber, wohl aber die Anbieter, die sie beliefern. Nach den Hinweisen der FTC darf eine Schule die Erhebung von Schülerdaten im Namen der Eltern genehmigen, wenn die Daten ausschließlich für die Bildungszwecke der Schule und nicht für kommerzielle Zwecke verwendet werden. Die FTC hat ihre vorgeschlagenen Bestimmungen zu Bildungstechnologie 2025 nicht abgeschlossen und bis zu möglichen Änderungen im Zusammenhang mit dem Family Educational Rights and Privacy Act (FERPA, US-Gesetz zum Datenschutz in Bildungseinrichtungen) zurückgestellt. Lesen Sie zur Seite der Schülerunterlagen unseren Leitfaden zur FERPA-Compliance und zu den Best Practices für FERPA.

COPPA, soziale Medien und nutzergenerierte Inhalte

Funktionen, mit denen Kinder Kommentare, Fotos, Videos oder Sprachaufnahmen veröffentlichen können, können personenbezogene Daten öffentlich zugänglich machen. Betreiber, die dies zulassen, müssen vor der Erhebung dieser Daten eine überprüfbare Einwilligung der Eltern einholen oder angemessene Maßnahmen ergreifen, um personenbezogene Daten vor der Veröffentlichung zu erkennen und zu löschen. Dienste, die auf Altersabfragen setzen, sollten diese neutral gestalten und Kinder nicht dazu verleiten, ein falsches Alter anzugeben.

Wie verhält sich COPPA zu internationalen Datenschutzregeln?

COPPA ist eines von mehreren Regelwerken zum Schutz von Kinderdaten. Die DSGVO legt das Alter für die digitale Einwilligung standardmäßig auf 16 Jahre fest, das die Mitgliedstaaten auf 13 absenken dürfen. Gesetze einzelner Bundesstaaten wie der California Privacy Rights Act (CPRA, kalifornisches Datenschutzgesetz) ergänzen Opt-in-Anforderungen für den Verkauf von Daten Minderjähriger, und das Vereinigte Königreich hat eigene Vorgaben zu altersgerechter Gestaltung. Organisationen mit globalem Publikum sollten die Pflichten der Regelwerke anhand unserer Übersicht zu globalen Datenschutzgesetzen vergleichen.

COPPA-Compliance-Checkliste

1. Bestimmen Sie, ob Ihr Dienst sich an Kinder richtet, ein gemischtes Publikum hat oder ein allgemeines Publikum mit möglicher tatsächlicher Kenntnis anspricht.
2. Erfassen Sie die personenbezogenen Daten, die Sie von Kindern erheben, einschließlich dauerhafter Kennungen, und jeden Dritten, der sie erhält.
3. Veröffentlichen Sie eine klare, vollständige Online-Datenschutzerklärung und bereiten Sie direkte Hinweise an die Eltern vor.
4. Wählen Sie eine Methode für die überprüfbare Einwilligung der Eltern, die zur Verwendung der Daten passt.
5. Holen Sie eine gesonderte Einwilligung ein, bevor Sie Daten von Kindern für Zwecke, die für den Dienst nicht wesentlich sind, an Dritte weitergeben.
6. Geben Sie den Eltern eine einfache Möglichkeit, Daten einzusehen, die Löschung zu verlangen und die weitere Erhebung zu beenden.
7. Begrenzen Sie die Erhebung auf das, was jede Aktivität vernünftigerweise erfordert.
8. Führen Sie ein schriftliches Informationssicherheitsprogramm ein, benennen Sie die verantwortlichen Personen, bewerten Sie Risiken und testen Sie Schutzmaßnahmen mindestens jährlich.
9. Legen Sie einen Aufbewahrungsplan fest und löschen Sie Daten von Kindern, wenn sie nicht mehr vernünftigerweise erforderlich sind.
10. Führen Sie Aufzeichnungen über Hinweise, Einwilligungen, Anbieterprüfungen und Löschanfragen und schulen Sie Mitarbeitende, die mit Daten von Kindern umgehen.

Aktueller Stand und jüngste Entwicklungen

Dieser Abschnitt wird getrennt vom Rest der Seite geprüft und aktualisiert. Zuletzt geprüft: Oktober 2026.

Geänderte COPPA-Regel. Die FTC veröffentlichte ihre endgültigen Änderungen der COPPA-Regel am 22. April 2025 im Federal Register. Die Änderungen traten am 23. Juni 2025 in Kraft, und Betreiber hatten bis zum 22. April 2026 Zeit zur Umsetzung, mit abweichenden Fristen für einige Safe-Harbor-Bestimmungen. Von den Betreibern wird nun erwartet, dass sie die neuen Anforderungen erfüllen.

Zivilrechtliche Strafen. COPPA-Verstöße gelten als Verstöße gegen eine FTC-Regel, und die FTC kann pro Verstoß zivilrechtliche Strafen verlangen. Das Höchstmaß pro Verstoß wird jedes Jahr an die Inflation angepasst, und der in den Vorschriften der FTC zum Zeitpunkt dieser Prüfung genannte Betrag lag bei 53.088 US-Dollar. Die FTC hat erklärt, dass sie für 2026 weiterhin die Strafhöhen von 2025 anwenden wird.

Beispiele für die Durchsetzung. Große Fälle zeigen, wie sich Strafen summieren. Im Jahr 2019 erklärten sich Google und YouTube bereit, 170 Millionen US-Dollar zu zahlen, um Vorwürfe der FTC und der Generalstaatsanwaltschaft des Bundesstaates New York wegen COPPA-Verstößen beizulegen. Im Jahr 2022 erklärte sich Epic Games bereit, in einem COPPA-Vergleich mit der FTC 275 Millionen US-Dollar zu zahlen.

Wie Kiteworks Organisationen beim Schutz von Kinderdaten unterstützt

Kiteworks bietet die Control Plane für den sicheren Datenaustausch, die steuert, wie sensible Daten zwischen Menschen, Maschinen und Systemen übertragen werden. Für Organisationen, die personenbezogene Daten von Kindern erheben und teilen, unterstützt die Plattform die COPPA-Anforderungen an Sicherheit und Rechenschaft:

• Sichere Erhebung. Sichere Webformulare ermöglichen es Organisationen, Einwilligungen und andere Angaben mit anpassbaren Hinweisen zu erheben.
• Verschlüsselung. Daten werden durch doppelte Verschlüsselung mit getrennten Schlüsseln auf Datei- und Festplattenebene geschützt, und Kunden besitzen ihre Verschlüsselungsschlüssel. Erfahren Sie mehr über die doppelte Verschlüsselung und die E-Mail-Verschlüsselung.
• Zugriff nach dem Prinzip der minimalen Rechte. Fein abgestufte Berechtigungen begrenzen, wer personenbezogene Daten ansehen, herunterladen oder teilen kann, und beschränken so die Offenlegung auf die Personen, die sie benötigen.
• Audit-Protokollierung. Ein einheitliches Audit-Protokoll erfasst Benutzer-, Daten- und Systemaktivitäten und liefert Organisationen Nachweise dafür, wie auf Daten von Kindern zugegriffen wurde und wie sie geteilt wurden. Lesen Sie dazu unseren Leitfaden zum Audit-Protokoll.

Entdecken Sie Kiteworks für die COPPA-Compliance, informieren Sie sich über den sicheren Dateiaustausch oder lesen Sie über die Kiteworks Data Control Plane.

Zurück zum Glossar für Risiko & Compliance