Die US-Handelsaufsicht Federal Trade Commission (FTC) hat am 5. Juni 2023 angekündigt, dass Microsoft 20 Millionen US-Dollar zahlen muss, um Vorwürfe wegen Verstößen gegen den Children’s Online Privacy Protection Act (COPPA) beizulegen. Im Zentrum steht das Konto-Onboarding der Xbox. Beim Anlegen von Spielerkonten erhob der Konzern personenbezogene Daten von Kindern unter 13 Jahren, ohne zuvor die Eltern zu informieren oder deren Einwilligung einzuholen. Nach Darstellung der FTC betraf das rund 218.000 Nutzer in den Vereinigten Staaten, die beim Registrierungsprozess zwischen Januar 2017 und Dezember 2021 ein Geburtsdatum angaben, das sie als jünger als 13 Jahre auswies.

Die Aufsichtsbehörde stützt ihre Beschwerde auf drei Punkte. Microsoft habe Daten von Kindern erhoben, bevor die Eltern benachrichtigt und um Zustimmung gebeten wurden. Der Konzern habe Eltern nicht ausreichend darüber aufgeklärt, welche Informationen gesammelt werden, zu welchem Zweck dies geschieht und dass Teile der Daten an Dritte weitergegeben werden. Drittens habe Xbox personenbezogene Daten länger aufbewahrt als erforderlich. Selbst wenn ein Registrierungsvorgang abgebrochen wurde, blieben die bis dahin eingegebenen Daten gespeichert. Nach Angaben der FTC betraf diese Aufbewahrung rund 10 Millionen Datensätze, darunter solche von Kindern, die mindestens fünf Jahre lang vorgehalten wurden.

Avatare, Biometrie und Gesundheitsdaten ausdrücklich unter COPPA

Über die Strafzahlung hinaus stellt die Anordnung klar, wie weit der Begriff der personenbezogenen Daten unter COPPA reicht. Avatare, die aus dem Bild eines Kindes erzeugt werden, sowie biometrische und gesundheitsbezogene Informationen fallen demnach unter die Schutzregeln, sofern sie zusammen mit anderen personenbezogenen Daten erhoben werden. Damit zählt die FTC erstmals ausdrücklich auch jene Datenarten dazu, die für Plattformbetreiber und Spieleentwickler zunehmend relevant werden, etwa bei Gesichtserkennung, Bewegungssensorik oder personalisierten Spielfiguren. Die Klarstellung verschiebt die Bewertung dessen, was beim Onboarding minderjähriger Spieler ohne elterliche Einwilligung überhaupt erfasst werden darf. Wie sehr das Thema Altersnachweis inzwischen die ganze Branche umtreibt, zeigte zuletzt die Entscheidung von Discord, eine Altersprüfung zum Standard zu machen.

Folgen für Account-Onboarding und Datenhaltung

Die Anordnung verpflichtet Microsoft, die getroffenen Schutzmechanismen für Kinderkonten auszuweiten und an Dritte gerichtete Hinweise einzuführen, dass es sich beim jeweiligen Nutzer um ein Kind handelt, sofern Spieldaten an externe Anbieter weitergegeben werden. Die Datenerhebung greift demnach bereits mit dem ersten Schritt der Registrierung und nicht erst mit deren Abschluss. Wer einen Konto-Workflow betreibt, trägt die Pflicht, abgebrochene Vorgänge zu bereinigen und Aufbewahrungsfristen technisch durchzusetzen. Für Plattformbetreiber und Studios mit Gaming-Bezug heißt das konkret, Datenminimierung, Löschkonzepte und Einwilligungsabfragen so zu gestalten, dass auch sensible Kategorien wie Biometrie und Gesundheitsdaten vom Onboarding an abgedeckt sind. Der Fall reiht sich in eine längere Auseinandersetzung zwischen dem Konzern und der Behörde ein, die im selben Zeitraum auch die Klage gegen die Übernahme von Activision Blizzard betraf.