Minderjährige im Chat: was Art. 8 DSGVO verlangt

Ein Chat-Assistent fragt nicht, wie alt jemand ist, und meistens ist das auch gut so. Auf den Seiten einer Musikschule, eines Sportvereins, eines Nachhilfeinstituts oder eines Shops für Spiele und Sportartikel schreiben trotzdem regelmäßig Kinder und Jugendliche ins Chatfenster. Für diesen Fall hält die Datenschutz-Grundverordnung eine eigene Regel bereit: Art. 8 DSGVO knüpft die Einwilligung eines Kindes bei Diensten der Informationsgesellschaft an ein Mindestalter und verlangt darunter die Beteiligung der Eltern. Dieser Beitrag zeigt, wann die Vorschrift überhaupt greift, was sie vom Betreiber verlangt, was ein Einwilligungstor im Chatfenster leisten kann und was nicht, und wie ein Assistent im Alltag mit jungen Fragenden umgeht. Er erklärt die Rechtslage und ersetzt im Einzelfall keine fachliche Beratung.

Grafik vergrößern

Beschriftungen der Abbildung

• Kind nach Unionsrecht (DSK): jede Person unter 18 Jahren
• DATENSCHUTZ, ART. 8 DSGVO
• Unter 16: Einwilligung durch die Eltern oder mit deren Zustimmung
• Der Verantwortliche vergewissert sich mit angemessenen Anstrengungen (Abs. 2).
• Ab 16
• Kind willigt selbst ein
• SPIELRAUM DER MITGLIEDSTAATEN
• Ein Gesetz darf die Grenze senken, nicht unter 13.
• nationale Grenze 13 bis 16
• ALTERSSCHWELLEN (NICHT MASSSTÄBLICH)
• 0
• 7
• 13
• 16
• 18
• § 106 BGB
• Untergrenze
• Art. 8 Abs. 1
• § 2 BGB
• VERTRAGSRECHT, BGB
• Art. 8 Abs. 3
• Vertragsrecht unberührt
• Ab 7 beschränkt geschäftsfähig (§ 106 BGB)
• Mit 18 volljährig (§ 2 BGB); Verträge prüft nicht der Chat.
• Was das Chatfenster davon erfährt
• Ein Klick auf Zustimmen nennt kein Alter. Gespeichert werden Zeitpunkt und Abdruck des Wortlauts, nicht, wer klickte.

Altersgrenzen rund um den Chat mit Minderjährigen

Wo Kinder und Jugendliche im Chat schreiben

Die Frage stellt sich nicht nur bei Angeboten, die sich ausdrücklich an Kinder richten. Eine Musikschule beantwortet Fragen zu Unterrichtszeiten, die oft die Schülerinnen und Schüler selbst stellen. Ein Sportverein erklärt Trainingszeiten und Beiträge, und ein Teil der Anfragen kommt von Jugendlichen, die mitmachen wollen. Ein Anbieter von Nachhilfe oder Programmierkursen hat junge Teilnehmende, eine Fahrschule Jugendliche kurz vor dem Führerschein, ein Shop für Spiele, Mode oder Sportartikel Kundschaft, deren Alter er nicht kennt. Wichtig ist dabei der Begriff: Nach der Darstellung der Aufsichtsbehörden versteht das Unionsrecht unter einem Kind jede Person, die das 18. Lebensjahr (DSK) noch nicht erreicht hat. Gemeint sind also nicht nur Grundschulkinder, sondern alle Minderjährigen.

Für den Betreiber eines Assistenten folgen daraus zwei getrennte Fragen. Die erste lautet, ob Art. 8 DSGVO auf sein Angebot überhaupt anwendbar ist; das hängt an drei Bedingungen, die der nächste Abschnitt auseinandernimmt. Die zweite stellt sich unabhängig davon: Welche Daten erhebt der Assistent, wenn ein Kind schreibt, und wie geht er mit ihnen um? Diese zweite Frage betrifft jeden Assistenten mit jungem Publikum, auch wenn er gar keine Einwilligung einholt.

Was Art. 8 DSGVO tatsächlich regelt

Art. 8 Abs. 1 DSGVO beginnt mit einer Bedingung, die beim Lesen leicht untergeht. Die Vorschrift gilt, wenn die Verarbeitung auf einer Einwilligung nach Art. 6 Abs. 1 Buchstabe a beruht, wenn es um ein Angebot von Diensten der Informationsgesellschaft geht und wenn dieses Angebot einem Kind direkt gemacht wird. Fehlt eine der drei Bedingungen, greift die Altersgrenze der Vorschrift nicht. Das heißt nicht, dass dann nichts gilt, sondern nur, dass andere Regeln die Arbeit übernehmen.

Liegen die drei Bedingungen vor, ist die Einwilligung des Kindes selbst wirksam, wenn es das 16. Lebensjahr (Art. 8 Abs. 1 DSGVO) vollendet hat. Ist es jünger, ist die Verarbeitung nur rechtmäßig, soweit der Träger der elterlichen Verantwortung einwilligt oder der Einwilligung des Kindes zustimmt. Die Verordnung lässt den Mitgliedstaaten dabei Spielraum: Sie dürfen durch Gesetz eine niedrigere Grenze vorsehen, die aber nicht unter dem vollendeten 13. Lebensjahr (Art. 8 Abs. 1 Unterabsatz 2 DSGVO) liegen darf. Die Europäische Kommission fasst das Ergebnis so zusammen, dass die Grenze zwischen 13 und 16 Jahren (Europäische Kommission) variiert, je nach Festlegung im Mitgliedstaat, und rät Unternehmen, bei ihrer nationalen Datenschutzbehörde nachzufragen. Nach einer Entschließung der deutschen Aufsichtsbehörden vom November 2025 hat die Mehrzahl der Mitgliedstaaten die Grenze gesenkt. Dieser Beitrag rechnet durchgehend mit der Grenze aus der Verordnung; wer ein Angebot für mehrere Länder betreibt, klärt die jeweilige nationale Grenze im Einzelfall.

Der Begriff des Dienstes der Informationsgesellschaft stammt nicht aus der Datenschutz-Grundverordnung selbst. Art. 4 Nr. 25 DSGVO verweist auf die Richtlinie (EU) 2015/1535, und dort ist ein Dienst jede in der Regel gegen Entgelt elektronisch im Fernabsatz und auf individuellen Abruf eines Empfängers erbrachte Dienstleistung. Ein Chat auf einer Website erfüllt die technischen Merkmale typischerweise: Er läuft elektronisch, ohne gleichzeitige Anwesenheit und auf Abruf. Ob das Merkmal des Entgelts trägt, wenn ein Verein oder eine Schule den Chat kostenlos anbietet, und ob sich das Angebot direkt an Kinder richtet, ist eine Bewertung des Einzelfalls. Für die Praxis ist eine vorsichtige Annahme sinnvoll: Wer Kinder und Jugendliche auf seiner Seite erwartet, richtet den Assistenten so ein, dass er auch dann sauber arbeitet, wenn Art. 8 DSGVO anwendbar ist.

Die Einwilligung ist nur eine Grundlage

Viele Chat-Assistenten holen gar keine Einwilligung ein. Für eine Frage zu Öffnungszeiten, zum Kursbeginn oder zum Stand einer Bestellung kommen häufig andere Bedingungen aus Art. 6 Abs. 1 DSGVO in Betracht, etwa vorvertragliche Maßnahmen auf Anfrage der betroffenen Person oder berechtigte Interessen. Welche Grundlage im konkreten Fall trägt, bestimmt der Betreiber als Verantwortlicher und hält es fest; wie das bei Kontaktdaten aussieht, beschreibt der Beitrag Kontaktdaten im Chat: Einwilligung richtig einholen. Für Minderjährige ist eine Stelle in diesem Katalog besonders wichtig, denn sie gilt gerade dann, wenn Art. 8 nicht greift.

Die Abwägung nach Buchstabe f verschiebt sich also, wenn auf der anderen Seite ein Kind steht. Erwägungsgrund 38 nennt den Grund: Kinder verdienen bei ihren personenbezogenen Daten besonderen Schutz, weil sie sich der Risiken, Folgen und Garantien und ihrer Rechte möglicherweise weniger bewusst sind. Dieser Schutz soll nach dem Erwägungsgrund insbesondere die Verwendung von Kinderdaten für Werbezwecke und für Persönlichkeits- oder Nutzerprofile betreffen. Für einen Assistenten heißt das: Was bei Erwachsenen als vertretbare Auswertung durchgeht, etwa ein Merker für eine spätere Ansprache oder eine Sammlung von Interessen für Empfehlungen, verdient bei einem jungen Publikum einen deutlich strengeren Blick.

Ein Klick ist keine Altersangabe

Greift Art. 8 DSGVO, endet die Pflicht nicht mit einem Schalter. Absatz 2 verlangt vom Verantwortlichen, sich unter Berücksichtigung der verfügbaren Technik mit angemessenen Anstrengungen zu vergewissern, dass die Einwilligung durch die Eltern oder mit deren Zustimmung erteilt wurde. Die Europäische Kommission wird in ihren Antworten für Unternehmen deutlicher: Das bedeute Maßnahmen zur Altersüberprüfung, zum Beispiel Kontrollfragen oder Maßnahmen auf der Website. Was angemessen ist, hängt am Angebot und an den Daten, um die es geht.

Genau an dieser Stelle liegt die Grenze eines Einwilligungstors im Chatfenster. Ein solches Tor kann festhalten, dass jemand auf Zustimmen gedrückt hat, wann das geschah und welcher Wortlaut zu sehen war. Es kann nicht feststellen, wer gedrückt hat: Ein zwölfjähriges Kind und ein Elternteil erzeugen denselben Klick. Eine Frage nach dem Alter im Chat ändert daran wenig. Sie ist eine Selbstangabe, die sich weder prüfen noch einem Elternteil zuordnen lässt, und sie erhebt zugleich ein weiteres Datum über die Person, die schreibt.

Was das Einwilligungstor in XICBOT leistet

Was das Tor nicht kann, macht es nicht wertlos. Für ein junges Publikum zählt vor allem, was vor der Zustimmung geschieht, nämlich möglichst nichts. Schaltet der Betreiber die Einwilligung im Widgetbereich der Verwaltung ein und bindet den aktuellen Einbaucode ein, der das Tor trägt, entsteht ohne Zustimmung kein Gespräch, keine Nachricht und kein Eintrag in der Datenbank. Vor der Zustimmung legt das Fenster im Browser des Besuchers nichts ab, und der Hinweis steht vor der ersten Nachricht. Wie das mit dem Cookie-Banner einer Seite zusammenspielt, beschreibt Chat-Widget und Cookie-Banner im Detail.

• Zustimmen und Ablehnen stehen im Fenster gleichrangig nebeneinander. Ein Ablehnen legt kein Gespräch an und lässt die Eingabe gesperrt.
• Die Einwilligung hängt am Gespräch auf dem Server, nicht an einem Wert im Browser, mit Zeitpunkt und einem Abdruck aus Wortlaut, Fassung der Datenschutzerklärung und einbindender Seite.
• Den Wortlaut legt der Betreiber selbst fest. Er kann darin junge Besucher zum Beispiel bitten, vor der Zustimmung mit ihren Eltern zu sprechen; eine Prüfung ist das nicht.
• Der Widerruf im Fenster braucht kein Konto. Er wird gesetzt, bevor etwas anderes geschieht, eine laufende Antwort bricht ab, und danach nimmt das Fenster nichts mehr an.
• Der Besucher kann sein Gespräch ohne Konto einsehen und löschen.

Ob das Tor für einen Assistenten mit jungem Publikum eingeschaltet wird, ist eine Entscheidung vor dem Einbau, die sich später nicht nachholen lässt; die Seite Datenschutz und Hosting beschreibt beide Fälle. Für Art. 8 DSGVO ist das Tor nur ein Teil der Antwort. Beruht die Verarbeitung auf der Einwilligung und richtet sich das Angebot direkt an Kinder, braucht es zusätzlich den Weg zu den Eltern. Welche Kombination aus Rechtsgrundlage, Tor und Elternweg im eigenen Fall passt, gehört in die Prüfung des Einzelfalls.

Datensparsam antworten, wenn Kinder fragen

Der wirksamste Schutz in einem Chat mit jungem Publikum ist kein Formular, sondern Zurückhaltung beim Erheben. Art. 5 Abs. 1 Buchstabe c DSGVO verlangt, dass Daten dem Zweck angemessen und erheblich sowie auf das notwendige Maß beschränkt sind. Die meisten Fragen, die Kinder und Jugendliche in ein Chatfenster schreiben, lassen sich ohne personenbezogene Angaben beantworten: Wann ist Training, was bringe ich zur ersten Stunde mit, gibt es den Kurs auch in den Ferien, ist die Jacke in meiner Größe da. Wer diese Fragen beantwortet, braucht weder Namen noch Alter noch Schule.

• Keine Kontaktdaten erfragen, wenn die Antwort ohne sie möglich ist; für Rückfragen auf den Weg verweisen, den die Eltern nutzen.
• Nicht nach Alter, Schule, Klasse oder Wohnort fragen, solange kein konkreter Zweck das verlangt.
• Anmeldungen und Verträge nicht im Chat aufnehmen, sondern zum Formular oder zur Anmeldung führen, die ein Erziehungsberechtigter ausfüllt.
• Keine Merker für eine spätere Ansprache und keine Interessenprofile für Empfehlungen an ein junges Publikum.
• Gesundheitsangaben, Atteste und familiäre Umstände nicht im Gespräch vertiefen, sondern an eine zuständige Person verweisen.
• Kurze Aufbewahrungsfristen für Gespräche wählen, damit Angaben, die trotzdem fallen, nicht lange liegen.

Diese Regeln gehören in die Einrichtung des Assistenten und nicht in die Hoffnung auf gutes Verhalten. Wie Rolle, Grenzen und Ausweichantworten in einer Systemanweisung formuliert werden, zeigt Systemanweisung: Grenzen für den KI-Assistenten. Einen zweiten Blick verdient jeder Assistent, der Kontaktdaten aufnimmt: Fragt er nach Name und Telefonnummer, sobald jemand Interesse zeigt, sollte diese Abfrage auf Seiten mit jungem Publikum entfallen oder sich ausdrücklich an die Eltern richten. Verlangt ein konkreter Zweck doch eine Angabe, etwa das Alter bei einer Anfrage an die Fahrschule, genügt diese eine Angabe; für Rückfragen dient bei Minderjährigen möglichst der Kontaktweg der Eltern, und der Vertrag selbst bleibt außerhalb des Chats.

Eltern einbinden, ohne zu bevormunden

Ein Hinweis auf die Eltern ist im Chat meist der hilfreichste Satz, den ein Assistent bei einem Anliegen sagen kann, das Daten oder einen Vertrag braucht. Er sollte sachlich klingen und einen Weg nennen, keine Abweisung. Ein Satz wie „Für die Anmeldung brauchen wir die Unterschrift eines Elternteils, das Formular findest du hier“ hilft weiter. Ein Satz wie „Das darfst du nicht“ hilft in der Regel nicht weiter. Ob der Assistent duzt oder siezt, legt der Betreiber für sein Publikum fest. Wie das im Verein aussieht, beschreibt Mitgliederfragen im Verein, für Kursanbieter Fragen vor dem Kursstart.

Für die letzte Zeile gilt besondere Sorgfalt. Ein Assistent ist keine Beratungsstelle und sollte nicht so auftreten. Er kann aber an einen Menschen übergeben, wenn ein Anliegen über eine Wissensfrage hinausgeht, wie Wann der KI-Assistent an Menschen übergeben sollte beschreibt. Für Angebote, die selbst Beratung für junge Menschen leisten, enthält Erwägungsgrund 38 eine eigene Wertung: Die Einwilligung der Eltern sollte im Zusammenhang mit Präventions- oder Beratungsdiensten, die unmittelbar einem Kind angeboten werden, nicht erforderlich sein. Die Europäische Kommission beschreibt solche Dienste als von der elterlichen Einwilligung ausgenommen; die in der Datenschutzkonferenz zusammengeschlossenen deutschen Aufsichtsbehörden weisen dagegen darauf hin, dass diese Zielsetzung im Text der Verordnung keinen Ansatzpunkt gefunden hat. Wer ein solches Angebot betreibt, lässt die Grundlage deshalb fachlich prüfen.

Kaufen und anmelden: das Vertragsrecht

Art. 8 DSGVO regelt nur die datenschutzrechtliche Einwilligung. Absatz 3 stellt ausdrücklich klar, dass das allgemeine Vertragsrecht der Mitgliedstaaten unberührt bleibt, etwa die Vorschriften zur Gültigkeit, zum Zustandekommen oder zu den Rechtsfolgen eines Vertrags in Bezug auf ein Kind. Ob ein Jugendlicher im Shop wirksam bestellen oder sich im Verein wirksam anmelden kann, beantwortet also nicht die Datenschutz-Grundverordnung, sondern in Deutschland das Bürgerliche Gesetzbuch.

Dort gelten eigene Grenzen. Volljährig wird man mit der Vollendung des 18. Lebensjahres (§ 2 BGB), und ein Minderjähriger ist ab dem vollendeten 7. Lebensjahr (§ 106 BGB) nach Maßgabe der §§ 107 bis 113 BGB in der Geschäftsfähigkeit beschränkt. Für den Chat folgt daraus eine einfache Arbeitsteilung: Der Assistent beantwortet Fragen zu Produkten, Kursen und Abläufen, aber er soll nicht beurteilen, ob ein Vertrag mit einem Minderjährigen zustande kommt, und nichts zusagen, was diese Frage vorwegnimmt.

Verständlich hinweisen, sauber löschen

Für Hinweise an Kinder verschärft die Verordnung den allgemeinen Maßstab. Art. 12 Abs. 1 DSGVO verlangt Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in klarer und einfacher Sprache, und das gilt insbesondere für Informationen, die sich speziell an Kinder richten. Erwägungsgrund 58 wird noch konkreter: Richtet sich die Verarbeitung an Kinder, sollen Informationen und Hinweise so klar und einfach sein, dass ein Kind sie verstehen kann. Für den Hinweis im Chatfenster und den Einwilligungstext heißt das kurze Sätze, keine Fachbegriffe ohne Erklärung und eine klare Antwort auf die Frage, was mit dem Gespräch passiert. Wie ein Assistent selbst einfach und verständlich antwortet, beschreibt Einfache Sprache im Assistenten.

• Wer antwortet: eine Maschine im Auftrag des Betreibers, kein Mensch.
• Was gespeichert wird und wie lange, in einem Satz.
• Was der Besucher tun kann: zustimmen, ablehnen, später widerrufen und das Gespräch löschen.
• Eine Bitte an junge Besucher, keine Namen, Adressen oder Telefonnummern in den Chat zu schreiben.
• An wen sich Eltern mit Fragen zum Datenschutz wenden.

Neben verständlichen Hinweisen zählt bei Kindern das Recht, Gesagtes zurückzunehmen. Art. 17 Abs. 1 Buchstabe f DSGVO nennt als eigenen Löschgrund Daten, die in Bezug auf angebotene Dienste der Informationsgesellschaft nach Art. 8 Abs. 1 erhoben wurden. Erwägungsgrund 65 begründet das: Das Recht auf Löschung ist insbesondere wichtig, wenn jemand seine Einwilligung noch im Kindesalter gegeben hat und die Gefahren der Verarbeitung nicht in vollem Umfang absehen konnte, und es soll auch dann noch ausgeübt werden können, wenn die Person kein Kind mehr ist. In XICBOT kann ein Besucher sein Gespräch ohne Konto im Fenster löschen. Welche Fristen für Gesprächsprotokolle sinnvoll sind, behandelt Löschfristen für Chatprotokolle.

Prüfreihenfolge vor dem Livegang

Ob ein Assistent mit jungem Publikum sauber aufgesetzt ist, lässt sich vor dem Livegang in einer festen Reihenfolge prüfen. Sie ersetzt keine rechtliche Bewertung, macht aber sichtbar, welche Fragen noch offen sind und wer sie beantworten muss.

• Publikum bestimmen: Auf welchen Seiten steht der Assistent, und schreiben dort erkennbar Minderjährige?
• Rechtsgrundlage festlegen: Beruht die Verarbeitung der Gesprächsinhalte auf einer Einwilligung oder auf einer anderen Bedingung aus Art. 6 Abs. 1 DSGVO?
• Art. 8 prüfen: Liegt ein Dienst der Informationsgesellschaft vor, der Kindern direkt angeboten wird? Dann den Weg zur Zustimmung der Eltern außerhalb des Chats festlegen.
• Erhebung kürzen: Jede Frage des Assistenten nach Namen, Alter, Kontakt oder Gesundheit streichen, die das Anliegen nicht verlangt.
• Hinweise prüfen: Hinweis im Fenster und Einwilligungstext so formulieren, dass ein Kind sie versteht.
• Testgespräche führen: Anmeldung, Kauf, Gesundheitsfrage und eine Sorge aus Sicht eines Jugendlichen durchspielen und die Antworten abnehmen.

Häufige Fragen