Die US-Handelsaufsicht Federal Trade Commission (FTC) hat Microsoft zu einer Strafzahlung von 20 Millionen US-Dollar verpflichtet. Wie die Behörde am 5. Juni 2023 mitteilte, soll der Konzern beim Anlegen von Xbox-Konten personenbezogene Daten von Kindern unter 13 Jahren erhoben haben, ohne deren Eltern zuvor zu informieren oder eine überprüfbare elterliche Einwilligung einzuholen. Die FTC sieht darin einen Verstoß gegen den Children’s Online Privacy Protection Act (COPPA). Der Fall betrifft ausschließlich die Xbox-Plattform und steht in keinem Zusammenhang mit dem parallel laufenden kartellrechtlichen Prüfverfahren zur Übernahme von Activision Blizzard.
Datenerhebung vor der Eltern-Einwilligung
Im Zentrum der Beschwerde steht der Ablauf der Kontoerstellung. Laut FTC mussten Kinder bereits im ersten Schritt personenbezogene Angaben wie vollständigen Namen, Geburtsdatum und Telefonnummer eingeben, also noch bevor ein Elternteil in den Prozess zur Erteilung der Einwilligung eingebunden wurde. Zudem sah ein Kontrollkästchen standardmäßig vor, dass Microsoft Werbung versenden und Nutzerdaten an Dritte weitergeben durfte. Die Datenschutzhinweise informierten Eltern nach Darstellung der Behörde nicht ausreichend über die Erhebung weiterer Informationen, die Kinder über ihr Profil oder die Nutzung von Xbox Live preisgaben. Dazu zählten unter anderem Profilbilder über Avatare sowie Audio- und Videoinhalte. Wie strikt der Jugendschutz inzwischen gehandhabt wird, zeigt etwa die Entscheidung von Discord, jugendgerechte Einstellungen zum Standard zu machen.
Speicherung der Daten und auferlegte Auflagen
Ein zweiter Vorwurf betrifft die Aufbewahrung der Daten. Nach Angaben der FTC speicherte Microsoft die im Anmeldeprozess erhobenen Informationen in zahlreichen Fällen über Jahre, selbst wenn die Eltern die Registrierung nie abgeschlossen hatten. Im Zeitraum von 2015 bis mindestens Oktober 2020 sollen so die Daten von rund zehn Millionen Personen länger als notwendig vorgehalten worden sein, obwohl COPPA bei ausbleibender elterlicher Einwilligung eine Löschung nach angemessener Frist vorschreibt. Neben der Geldzahlung verpflichtet der Vergleich Microsoft zu mehreren technischen und organisatorischen Maßnahmen. Der Konzern muss Eltern künftig deutlicher über die Datenerhebung informieren, eine Einwilligung einholen, sofern bis Mai 2021 kein Elternkonto angelegt wurde, und Daten von Kindern löschen, wenn diese nicht mehr benötigt werden. Gibt Microsoft Informationen über Kinder an Spielepublisher weiter, muss der Konzern diese darauf hinweisen, dass es sich um einen minderjährigen Nutzer handelt.