Pixels & Paragraphs: Einwilligung von Kindern und Jugendlichen bei Online-Games

Problemaufriss

Online-Games sind kein Phänomen der Volljährigen, sondern auch eine weitverbreitete Unterhaltungsquelle für Kinder und Jugendliche. Schätzungen zufolge sind etwa 80–90 % von digitalen Spiele formal auch für Kinder und Jugendliche erhältlich (z.B. ESRB: ca. 90 % der 2025 bewerteten Titel sind für 13‑Jährige geeignet, Google: Google‑Play‑Inhalte überwiegend in niedrigen Alterskategorien). Ob sie für Minderjährige erhältlich sein sollten, ist nicht Gegenstand dieses Beitrags; das müssen Pädagog*innen und Psycholog*innen klären.

Der nachfolgende Beitrag widmet sich allein der Frage, wie Publisher/Studios vorgehen sollten, wenn sie im Rahmen des Online-Games Einwilligungen einholen. Dabei stellen sich folgende Kernfragen:

  • Wann muss eine Einwilligung eingeholt werden und wann ist sie entbehrlich?
  • Wenn eine Einwilligung eingeholt wird, wie läuft das ab?
  • Wie geht man mit Einwilligungen von Kindern/Jugendlichen um?

Wann muss eine Einwilligung eingeholt werden?

Für die Datenverarbeitung in Online-Games gilt zunächst das gleiche wie für jede andere Datenverarbeitung auch, nämlich Artikel 5 Absatz 1 lit. a DSGVO. Danach muss die Datenverarbeitung rechtmäßig sein. Sie ist rechtmäßig, wenn die Betroffenen einwilligen oder eine einwilligungsunabhängige Erlaubnisnorm greift (vgl. Artikel 6 Absatz 1 DSGVO i.V.m. ErwG 40).

Anders ausgedrückt: Nicht jede Datenverarbeitung braucht eine Einwilligung und eine Einwilligung ist nicht immer die beste Rechtsgrundlage dafür. Oftmals können Verantwortliche Datenverarbeitungen auf Gesetze stützen. In vielen Unternehmen ist das sogar der Regelfall.

Bevor ein Publisher/Studio also überlegt, wie man am besten eine Einwilligung einholt, sollte erst geprüft werden, ob die Datenverarbeitung auch ohne Einwilligung rechtmäßig sein kann.

Hier eine kleine Checkliste:

  • Werden Registrierungsdaten (z.B. Name, E-Mail-Adresse) verarbeitet, um den Nutzer*innen den Zugang zum Online-Game zu ermöglichen? Dann ist in der Regel keine Einwilligung erforderlich, da die Verarbeitung auf Artikel 6 Absatz 1 Satz 1 lit. b DSGVO beruht.
  • Werden Abrechnungsdaten (z.B. Rechnungen, Zahlungseingänge usw.) verarbeitet, um den Vertrag durchzuführen? Dann ist in der Regel keine Einwilligung erforderlich, da die Verarbeitung auf Artikel 6 Absatz 1 Satz 1 lit. b DSGVO beruht.
  • Werden Abrechnungsdaten (z.B. Rechnungen, Zahlungseingänge usw.) verarbeitet, um rechtliche Verpflichtungen aus Gesetzen der EU-Mitgliedstaaten zu erfüllen (z.B. steuerrechtliche Aufbewahrungspflichten)? Dann ist in der Regel keine Einwilligung erforderlich, da die Verarbeitung auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO beruht.
  • Werden Zugangs- und/oder Nutzungsdaten (z.B. Passwörter, Logging-Daten usw.) verarbeitet, um die Sicherheit der IT-Infrastruktur des Online-Games zu gewährleisten? Dann ist in der Regel keine Einwilligung erforderlich, da die Verarbeitung auf Artikel 6 Absatz 1 Satz 1 lit. c DSGVO i.V.m. Artikel 32 DSGVO beruht.
  • Werden Server- und Logdaten (z.B. IP-Adresse, Zeitstempel, technische Fehlermeldungen) verarbeitet, um die Stabilität, Fehlersuche und Verfügbarkeit des Online-Games sicherzustellen? Dann ist in der Regel keine Einwilligung erforderlich, da die Verarbeitung auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO (berechtigtes Interesse an einem funktionsfähigen und sicheren Dienst) beruht.
  • Werden Anti‑Cheat‑, Missbrauchs- oder Betrugsdaten (z.B. Auffälligkeiten bei Spielverhalten, Mehrfacheinloggungen, Hinweise auf Bot‑Nutzung) verarbeitet, um Manipulationen zu verhindern und die Integrität des Spiels zu wahren? Dann ist in der Regel keine Einwilligung erforderlich, da die Verarbeitung auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO (berechtigtes Interesse an einem fairen Spielbetrieb sowie Schutz anderer Nutzer*innen) beruht.
  • Werden Kommunikationsdaten der Nutzerinnen (z.B. Chatprotokolle, Meldungen an den Support oder „Report“-Funktion) verarbeitet, um Nutzerbeschwerden zu bearbeiten, Verstöße gegen Verhaltensregeln zu prüfen oder Community‑Regeln durchzusetzen? Dann ist in der Regel keine Einwilligung erforderlich, da die Verarbeitung auf Artikel 6 Absatz 1 Satz 1 lit. b DSGVO (Vertragserfüllung im Rahmen der Community‑Regeln) bzw. Artikel 6 Absatz 1 Satz 1 lit. f DSGVO (berechtigtes Interesse an einem geordneten Spielbetrieb und Schutz anderer Nutzerinnen) beruht.
  • Werden Pseudonyme, Avatare und Profilinformationen verarbeitet, um spielinterne Funktionen bereitzustellen (z.B. Freundeslisten, Highscores, Matchmaking)? Dann ist in der Regel keine Einwilligung erforderlich, da die Verarbeitung auf Artikel 6 Absatz 1 Satz 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages über das Online-Game) beruht.
  • Werden grundlegende Telemetrie- und Nutzungsdaten (z.B. Spielzeit, genutzte Spielmodi, Absturzstatistiken) verarbeitet, um das Spiel technisch weiterzuentwickeln und Fehlerursachen zu analysieren? Dann ist in der Regel keine Einwilligung erforderlich, soweit die Verarbeitung für die Verbesserung der Funktionsfähigkeit und Sicherheit des Spiels erforderlich ist und überwiegende Interessen der Nutzer*innen nicht entgegenstehen; Rechtsgrundlage ist Artikel 6 Absatz 1 Satz 1 lit. f DSGVO (berechtigtes Interesse an der Weiterentwicklung und Qualitätssicherung des Dienstes).

Ich weise Publisher/Studios aber auf folgendes hin: Soweit die Verarbeitung allein auf Artikel 6 Absatz 1 Satz 1 lit. f DSGVO (berechtigtes Interesse) beruht, sollte insbesondere bei Kindern und Jugendlichen sorgsam abgewogen und im Zweifel doch eine Einwilligung eingeholt werden.

Einholung der Einwilligung

Kommen Publisher/Studios zu dem Ergebnis, dass für eine bestimmte Datenverarbeitung dennoch eine Einwilligung erforderlich ist, ist folgendes zu beachten:

Egal, ob die Nutzer*innen volljährig, Jugendliche oder Kinder sind. Die Einwilligung muss die Voraussetzungen des Artikels 7 DSGVO erfüllen. Einwilligungen müssen aber auf die Besonderheiten digitaler, oft standardisierter Prozesse zugeschnitten sein.

  1. Inhaltliche Voraussetzungen

Eine Einwilligung in einem Online-Game ist wirksam, wenn

  • sie freiwillig erfolgt, also ohne Zwang, unzulässige Kopplung (z.B. „Zustimmung zur Datenweitergabe an Werbepartner als Bedingung für Zugang zum reinen Basis‑Game“) und ohne missbräuchliche Ausnutzung von Machtungleichgewichten wie etwa monopolartige Marktstellung oder starke Abhängigkeit der Nutzer*innen.
  • sie informiert ist: Die Nutzer*innen müssen in klarer, verständlicher Sprache erkennen können, wer welche Daten zu welchen Zwecken verarbeitet, welche Empfänger es gibt, ob Drittlandtransfers stattfinden, wie lange Daten gespeichert werden und welche Rechte (z.B. Widerruf, Auskunft, Löschung) bestehen.
  • sie zweckbestimmt ist, d.h. sich auf klar umrissene Zwecke bezieht, etwa personalisierte Werbung, Profiling für Empfehlungen oder die Nutzung von Tracking-Technologien, die über das für den Spielbetrieb Erforderliche hinausgehen.
  • sie eine eindeutig bestätigende Handlung darstellt, z.B. aktives Anklicken einer nicht vorangekreuzten Checkbox oder Betätigen eines „Einverstanden“-Buttons nach Lektüre der Infos; bloßes Weiterspielen, Stillschweigen oder vorangekreuzte Kästchen genügen nicht.
  • sie zeitlich vor Beginn der Verarbeitung für den jeweiligen Zweck abgegeben wird; nachträgliche „Legitimierung“ bereits erfolgter Datenverarbeitung genügt nicht.
  1. Formale und prozessuale Anforderungen im Game-Umfeld

In formeller Hinsicht gilt folgendes:

  • Die Einwilligung muss leicht zugänglich und verständlich abgefragt werden; in zusammengesetzten Erklärungen (z.B. AGB + Einwilligung) ist sie klar vom übrigen Text zu trennen.
  • Die Gestaltung des Interfaces (Consent‑Flow, Pop‑ups, In‑Game‑Overlays) darf Nutzer nicht manipulativ in Richtung „Zustimmen“ drängen (Dark Patterns), weil sonst die Freiwilligkeit in Frage steht.
  • Der Publisher muss die Einwilligung nachweisen können, etwa durch Protokollierung der Abgabe (Zeitpunkt, Inhalt, Version der Informationen, Nutzerkonto).
  1. Beendigung der Einwilligung in Online-Games

Zur Wirkkraft der Einwilligung ist folgendes zu bedenken:

  • Nutzer*innen können ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen; der Widerruf darf nicht komplizierter sein als die Erteilung (z.B. über eine leicht erreichbare Einstellung im Spiel oder im Nutzerkonto, nicht nur per Brief an den Support).
  • Nach Widerruf müssen die auf die Einwilligung gestützten Verarbeitungen beendet und ggf. Daten gelöscht oder auf eine andere tragfähige Rechtsgrundlage umgestellt werden; die bis zum Widerruf erfolgte Verarbeitung bleibt rechtmäßig.
  • Zusätzlich zur Widerrufsmöglichkeit wird überwiegend angenommen, dass Einwilligungen auch angefochten werden können (z.B. wegen Irrtums über Umfang der Datenverarbeitung oder arglistiger Täuschung durch unzutreffende Informationen). In diesem Fall entfällt die Einwilligung rückwirkend, was insbesondere bei sensiblen Daten oder weitreichender Profilbildung Bedeutung gewinnen kann.
  • Verstößt die Einwilligung gegen zwingende formelle oder materielle Anforderungen (z.B. fehlende Transparenz, kein klarer Zweck, unzulässige Kopplung), ist sie nichtig, sodass die darauf gestützte Datenverarbeitung von Anfang an ohne Rechtsgrundlage erfolgt.

Einwilligungen von Kindern und Jugendlichen

Richten sich Online-Games zumindest auch an Kinder und Jugendliche, müssen Publisher/Studios zusätzlich noch Artikel 8 DSGVO beachten. Diese Norm regelt, dass bei Diensten der Informationsgesellschaft Einwilligungen von Kindern unter 16 Jahren nur wirksam sind, wenn der Träger der elterlichen Verantwortung zustimmt, und verpflichtet Anbieter, unter Einsatz angemessener technischer Mittel zu verifizieren und zu dokumentieren, dass diese elterliche Zustimmung tatsächlich vorliegt.

Um das gleich vorwegzuschicken: Online-Games sind in der Regel sog. Dienste der Informationsgesellschaft (vgl. Einschätzung der Bundesbeauftragten für Datenschutz und Informationsfreiheit). Hinzukommt, dass sich die Spiele häufig auch an Minderjährige richten, sodass auch Artikel 8 DSGVO zu beachten ist.

Es gelten daher folgende Besonderheiten

Altersgrenzen und Einwilligungsfähigkeit

  • Ab 16 dürfen Jugendliche selbst einwilligen, sofern sie
    • die konkrete Datenverarbeitung verstehen (können) – sog. Einsichtsfähigkeit (Publisher dürfen das grundsätzlich vermuten)
    • die Datenverarbeitung hinreichend transparent dargestellt ist, insbesondere so, dass auch Jugendliche die Datenschutzhinweise verstehen.
  • Kinder und Jugendliche, die jünger als 16 sind, brauchen zusätzlich die Zustimmung ihrer Sorgeberechtigten (in der Regel sind das die Eltern), wobei sie natürlich auch selbst zustimmen müssen. Daher müssen Publisher auch hier dafür sorgen, dass die Kinder und Jugendlichen die Datenschutzhinweise verstehen.

Rolle der Sorgeberechtigten

  • Für Kinder unter 16 Jahren ist eine datenschutzrechtliche Einwilligung in Datenverarbeitungen nur wirksam, wenn der Träger der elterlichen Verantwortung die Einwilligung erteilt oder ihr zustimmt; ohne diese Zustimmung ist die Einwilligung unwirksam und die Daten sind zu löschen (Artikel 17 Absatz 1 litt. d, f DSGVO).
  • Die Zustimmung der Sorgeberechtigten muss vor Beginn der jeweiligen Verarbeitung vorliegen und kann nicht durch ein späteres „Nachziehen“ legitimiert (nur wenige Ausnahmen denkbar).
  • Die Wirksamkeit des Online-Game-Nutzungsvertrages hat nichts mit der Wirksamkeit der Einwilligung zu tun; beides ist gesondert sicherzustellen.

Altersverifikation und Nachweispflichten im Gaming-Markt

  • Verantwortliche Online-Games-Anbieter müssen „unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen“ unternehmen, um zu prüfen und zu dokumentieren, dass die Einwilligung entweder von einem Kind über 16 oder mit/ durch die Sorgeberechtigten erteilt wurde.
  • Praktisch bedeutet dies für Games (Website, Launcher, App): Gestaltung von Consent-Flows mit Altersabfrage, ggf. technischen Altersverifikationssystemen (z.B. Wissensabfragen, Dokumenten‑Uploads, eID‑basierte Verfahren) und dokumentierten Prozessen, die Missbrauch minimieren; die Intensität der Prüfung muss sich an Sensibilität und Risiko der Datenverarbeitung im Spiel orientieren.
  • Games, die sich formal ausschließlich an Erwachsene richten, können Artikel 8 nur dann entziehen, wenn dies nicht nur deklaratorisch (etwa durch eine 18+-Klausel), sondern durch tatsächliche, effektive Vorkehrungen gegen die Nutzung durch Kinder unterlegt ist; andernfalls ist Artikel 8 anwendbar, mit der Folge, dass Einwilligungen unter 16 nur mit elterlicher Zustimmung wirksam sind.

Fazit und Praxis

Für die Praxis empfiehlt sich folgendes:

  • Publisher/Studios sind aufgerufen, sich schon bei der Entwicklung von Online-Games mit der Frage zu beschäftigen, ob sich ihre Spiele ausschließlich an Erwachsene oder zumindest auch an Kinder und Jugendliche richten.
  • Falls sich die Online-Games auch an Kinder und Jugendliche richten, ist zu prüfen, für welche Verarbeitungsvorgänge eine Einwilligung erforderlich ist und für welche nicht.
  • Nur dort, wo eine Einwilligung erforderlich ist, sollte im Fall von Kindern und Jugendlichen eine Abstufung vorgenommen werden.
    • Jugendliche, die älter als 16 sind, dürfen selbst zustimmen, sofern sie einsichtsfähig und die Datenschutzinformationen so gestaltet sind, dass auch Jugendliche sie verstehen (können).
    • Kinder und Jugendliche, die jünger als 16 sind, müssen selbst zustimmen und andererseits müssen die Sorgeberechtigten (i.d.R. die Eltern) vor der Datenverarbeitung auch zustimmen.
    • Um diese Abstufung und ggf. Zustimmung der Sorgeberechtigten zu gewährleisten, müssen Publisher/Studios technische und organisatorische Maßnahmen treffen (z.B. Altersverifikation, Identifizierung der Sorgeberechtigten usw.)

Ein kleiner Praxistipp zum Schluss. Wer Einwilligungen oder Datenschutzinformationen entwirft, muss sich von den Standardformulierungen und Generatoren absetzen. Die Rechtstexte müssen anders formuliert werden. Hier ein paar Vorschläge:

Publisher/Studios könnten Datenschutzinformationen und Einwilligungstexte

  • piktografisch ergänzen, und zwar in einer Darstellungsweise, die v.a. Jugendlichen zugänglich ist.
  • in Form kurzer Videos darstellen, etwa im Format von YouTube Shorts oder Instagram Reels.
  • mithilfe von sprachwissenschaftlichem Know-How an die gegenwärtige Alltagssprache anpassen,
  • Projekte und Preise für Schulklassen ausloben, für die Schülerinnen und Schüler Einsendungen für Vorschläge jugendtypischer Texte einsenden müssen.

Die Möglichkeiten sind hier nahezu unbegrenzt.

Autor: Stephan Gärtner, vgl. Impressum