COPPA und Kinderbilder: Warum Fotos und Videos als „personenbezogene Daten“ gelten

Das Gesicht eines Kindes auf einem Foto oder in einem Video kann nach dem Children’s Online Privacy Protection Act, meist COPPA genannt, als personenbezogene Information gelten, wenn es online von einem Betreiber erfasst wird, der unter die Regelung fällt. Für Veröffentlichungsteams bedeutet das: Eine Galerie mit Fotos von einer Schulveranstaltung, ein Werbevideo eines EdTech-Anbieters, ein Highlight-Video aus einem Feriencamp oder von Nutzern hochgeladenes Unterrichtsmaterial kann bereits Datenschutzpflichten auslösen, bevor das Bild angezeigt, geteilt, gespeichert oder erneut verwendet wird.

Dieser Artikel konzentriert sich ausschließlich auf Fotos und Videos. Er behandelt keine Dokumente, Ausweisnummern, Schülerakten oder nicht-visuelle Daten. Die praktische Frage ist enger gefasst: Wenn ein Kind in visuellem Material erscheint, was behandelt COPPA als personenbezogene Daten, und wie kann die Anonymisierung visueller Daten das Risiko vor der Veröffentlichung verringern?

Wichtige Begriffe sollten präzise verwendet werden. Anonymisierung visueller Daten bedeutet, visuelles Material so zu verändern, dass Personen oder Objekte nicht mehr oder je nach Kontext weniger leicht identifizierbar sind. Gesichter unkenntlich machen bedeutet, ein sichtbares Gesicht in einem Foto oder Video zu verdecken, zu verwischen oder zu verpixeln. Kennzeichen unkenntlich machen bedeutet, im Bild sichtbare Fahrzeugkennzeichen zu verdecken. On-Premise-Software bezeichnet Software, die in der eigenen Umgebung einer Organisation bereitgestellt und genutzt wird, anstatt Medien zur Verarbeitung in einen externen Cloud-Dienst hochladen zu müssen.

Was COPPA ist und wen das Gesetz betrifft?

COPPA ist ein US-Bundesgesetz zum Schutz der Privatsphäre von Kindern. Es gilt für Betreiber kommerzieller Websites und Online-Dienste, die sich an Kinder unter 13 Jahren richten und personenbezogene Informationen von Kindern erheben, verwenden oder offenlegen, sowie für Betreiber allgemein ausgerichteter Websites oder Online-Dienste, die tatsächlich wissen, dass sie online personenbezogene Informationen von Kindern unter 13 Jahren erfassen [1]. Die von der Federal Trade Commission erlassene COPPA Rule legt operative Anforderungen fest, darunter Informationspflichten, nachprüfbare elterliche Einwilligung, Grenzen der Datenspeicherung, Pflichten zur Vertraulichkeit und Sicherheit sowie Elternrechte [2].

Für Veröffentlichungsprozesse ist der Begriff „Betreiber“ wichtig. COPPA ist nicht auf klassische Kinder-Apps beschränkt. Relevant sein können Websites, Online-Dienste, mobile Apps, vernetzte Dienste, Bildungsplattformen, Community-Portale, Wettbewerbsplattformen, Tools zum Hochladen von Medien und andere Dienste, die online personenbezogene Informationen von Kindern erfassen.

Die Änderungen der COPPA Rule von 2025 bilden den aktuellen Compliance-Kontext. Die FTC hat endgültige Änderungen erlassen, die unter anderem die elterliche Einwilligung, die Datenspeicherung, Safe-Harbor-Programme und die Definition personenbezogener Informationen betreffen. Die Frist zur Einhaltung vieler geänderter Bestimmungen war der 22. April 2026 [3]. Organisationen, die Kinderfotos oder Kindervideos veröffentlichen, sollten dies zum Anlass nehmen, Workflows für visuelle Medien, Einwilligungsnachweise, Löschpraktiken, Vereinbarungen mit Dienstleistern und Freigabeschritte vor der Veröffentlichung regelmäßig zu überprüfen.

Dies ist keine Rechtsberatung. Es handelt sich um einen geschäftlichen und technischen Compliance-Überblick für Teams, die Kinderfotos oder Kindervideos in US-bezogenen Kontexten veröffentlichen.

Warum das Bild eines Kindes in einem Foto oder Video nach COPPA personenbezogene Daten sind?

Die COPPA Rule definiert „personal information“ so, dass darunter auch „eine Foto-, Video- oder Audiodatei fällt, wenn diese Datei das Bild oder die Stimme eines Kindes enthält“ [2]. Das ist der zentrale Punkt für Marketing-, PR-, Kommunikations-, K-12- und EdTech-Teams: Das sichtbare Bild eines Kindes ist kein neutrales Medienasset, nur weil es sich um ein Foto oder Video handelt. Nach COPPA kann es sich um personenbezogene Daten handeln.

Diese Regel ist auch dann relevant, wenn der Name des Kindes nicht angezeigt wird. Ein Gesicht kann ein Kind direkt identifizieren, insbesondere in einer Schule, lokalen Gemeinschaft, Sportmannschaft, einem Feriencamp, medizinischen, religiösen oder außerschulischen Umfeld. Ein kurzes Video kann außerdem Kontext offenlegen: Schuluniformen, Klassenzimmer, Spielplätze, Ausweise, Orte, Freunde, Lehrkräfte, Aktivitätsmuster und andere im Bild sichtbare Details.

Die Änderungen von 2025 ergänzen die Definition personenbezogener Informationen zudem um biometrische Identifikatoren, einschließlich Daten, die aus Gesichtsdaten abgeleitet werden, wenn sie zur automatisierten oder halbautomatisierten Erkennung einer Person verwendet werden [3]. Das bedeutet nicht, dass jedes gewöhnliche Foto in jedem geschäftlichen Kontext automatisch biometrische Daten darstellt. Die Einordnung kann davon abhängen, wie das Bild verarbeitet wird. Sie unterstreicht jedoch einen praktischen Punkt: Bildmaterial von Kindern sollte als sensibles Veröffentlichungmaterial behandelt werden, nicht als gewöhnlicher kreativer Inhalt.

Was das vor der Veröffentlichung oder Weitergabe von Kinderaufnahmen bedeutet?

Wenn eine Organisation, die unter COPPA fällt, ein Foto oder Video eines Kindes online erfasst, sollten vor der Veröffentlichung mehrere Fragen beantwortet werden. Erstens: Warum wird das Bild benötigt? Zweitens: Was genau wird veröffentlicht? Drittens: Wer kann darauf zugreifen? Viertens: Wie lange bleibt es online? Fünftens: Welches Einwilligungs- oder Autorisierungsverfahren gilt? Sechstens: Lässt sich dasselbe Kommunikationsziel erreichen, indem Gesichter unkenntlich gemacht werden oder ein anderes Bild verwendet wird?

Für viele Teams liegt das Risiko nicht nur in der Erfassung. Es liegt auch in der Wiederverwendung. Ein Foto, das für eine private Unterrichtsaktivität erhoben wurde, kann später in einem Newsletter, Website-Banner, Social-Media-Clip, einer Fundraising-Kampagne, Produktdemo, einem Jahresbericht oder Schulungsmaterial erscheinen. Jede neue Nutzung kann die Datenschutzbewertung verändern. Ein gängiger Compliance-Ansatz besteht darin, interne pädagogische Nutzung, elternbezogene Kommunikation, öffentliche Marketingnutzung und Weitergabe an Dritte in getrennte Freigabewege aufzuteilen.

COPPA überschneidet sich außerdem mit dem Verhalten von Plattformen. Die Veröffentlichung von Kinderaufnahmen auf einer öffentlichen Website, Videoplattform oder in einem Social-Media-Kanal kann dazu führen, dass das Bild leichter kopiert, indexiert, ausgelesen, neu zusammengeschnitten oder weiterverbreitet wird. Sobald das Bild eines Kindes öffentlich ist, nimmt die praktische Kontrolle ab. Aus diesem Grund führen viele Organisationen eine Regel ein, nach der Gesichter vor der öffentlichen Veröffentlichung unkenntlich gemacht werden, wenn Kinder nicht im Mittelpunkt der Kommunikation stehen, ihr Einwilligungsstatus unklar ist oder ihr Erscheinen nur beiläufig erfolgt.

Anonymisierung visueller Daten in Fotos und Videos

Die Anonymisierung visueller Daten ist eine praktische Kontrollmaßnahme, die den Umfang identifizierbarer visueller Informationen verringert, bevor eine Datei geteilt wird. Sie ist kein universeller Ersatz für COPPA-Compliance. Sie beseitigt nicht die Notwendigkeit zu prüfen, ob COPPA gilt, ob eine Einwilligung erforderlich ist oder ob eine Veröffentlichung angemessen ist. Sie ist jedoch ein konkreter Schritt, der das Risiko bei der Veröffentlichung von Kinderbildern senken kann.

Gesichter unkenntlich zu machen ist die wichtigste Technik für COPPA-orientierte Veröffentlichungsprozesse, weil das Gesicht des Kindes häufig das identifizierende Element ist. Wenn das Gesicht wirksam verdeckt wird, offenbart die öffentliche Version des Bildes die Identität des Kindes möglicherweise nicht mehr im gleichen Maße. Das Ergebnis hängt vom Kontext ab. Ein Kind kann weiterhin anhand von Kleidung, Ort, Körperhaltung, Stimme, Namensschildern, Trikotnummern, einer kleinen Gruppensituation oder Begleitinformationen identifizierbar bleiben.

Auch das Unkenntlichmachen von Kennzeichen ist in Workflows für visuelle Veröffentlichungen relevant, insbesondere wenn Schulparkplätze, Busse, Abholzonen für Eltern, private Einfahrten oder Straßen in Wohngebieten in den Aufnahmen zu sehen sind. Auch wenn die COPPA-Regel zu Kinderbildern hier im Mittelpunkt steht, können Fahrzeugkennzeichen in Kombination mit anderen visuellen Details weiterhin Familien, Orte oder Routinen offenlegen.

Für Teams, die Foto- und Videodateien vor der Veröffentlichung verarbeiten, unterstützt Gallio PRO die Anonymisierung visueller Daten, indem Gesichter und Kennzeichen in aufgezeichneten Medien automatisch unkenntlich gemacht werden. Der Umfang ist wichtig: Die automatische Erkennung umfasst nur Gesichter und Kennzeichen. Firmenlogos, Tattoos, Namensschilder, Dokumente oder Inhalte auf Bildschirmen werden nicht automatisch erkannt. Diese Elemente können mit dem integrierten Editor manuell unkenntlich gemacht werden.

Gallio PRO ist keine Software zur Echtzeit-Anonymisierung und anonymisiert keine Live-Videostreams. Sie ist für aufgezeichnete Fotos und Videos konzipiert, die vor der Veröffentlichung geprüft und vorbereitet werden können. Außerdem ist sie so ausgelegt, dass keine Protokolle mit Erkennungsdaten oder personenbezogenen Daten gespeichert werden. Das ist relevant für Teams, die sekundäre Spuren begrenzen möchten, die während des Anonymisierungsworkflows entstehen könnten.

Veröffentlichungsszenarien, in denen das Bild eines Kindes ein COPPA-Risiko schafft

Die folgende Tabelle zeigt typische Veröffentlichungssituationen und die praktische Rolle des Unkenntlichmachens von Gesichtern. Die Tabelle ist kein Instrument zur rechtlichen Einordnung. Sie dient Teams als Workflow-Hilfe bei der Entscheidung, ob eine Datei unverändert veröffentlicht, unkenntlich gemacht, eingeschränkt oder zurückgehalten werden sollte.

Wie das Unkenntlichmachen von Gesichtern das Risiko reduziert und wo die Grenzen liegen?

Das Unkenntlichmachen von Gesichtern reduziert den direktesten visuellen Identifikator in einem Foto oder Video. Es ist besonders nützlich, wenn das Kind nicht Gegenstand der Veröffentlichung ist, im Hintergrund erscheint oder in Material vorkommt, das für ein breites Publikum bestimmt ist. Es kann auch helfen, Prüfprozesse zu standardisieren: Anstatt jedes beiläufige Erscheinen einzeln zu diskutieren, können Teams eine einheitliche Regel anwenden und Kindergesichter in öffentlichen Materialien unkenntlich machen.

Die Grenzen sollten klar sein. Das Unkenntlichmachen von Gesichtern entfernt nicht den gesamten Kontext. Ein Kind kann identifizierbar bleiben, wenn der Rahmen klein ist, die Uniform einzigartig ist, die Veranstaltung bekannt ist oder die Aufnahme Namen, Stimmen, Schilder, Ausweise oder Bildschirminhalte enthält. Automatisches Unkenntlichmachen von Gesichtern sollte auch nicht so beschrieben werden, als würde es alle personenbezogenen Daten erkennen. In einem praktischen Workflow sollte auf die automatische Erkennung eine menschliche Prüfung folgen, insbesondere bevor Kinderaufnahmen extern veröffentlicht werden.

Ein zuverlässiger Prozess vor der Veröffentlichung besteht in der Regel aus drei Phasen. Erstens: feststellen, ob Kinder im Material erscheinen. Zweitens: Gesichter und Kennzeichen dort unkenntlich machen, wo es erforderlich ist. Drittens: das Ergebnis manuell auf übersehene Gesichter, Teilansichten, Spiegelungen, Poster, Namensschilder, Logos, Tattoos, Bildschirminhalte und andere sichtbare Hinweise prüfen. Wenn zusätzliche Objekte verdeckt werden müssen, kann ein manueller Editor verwendet werden.

Nachdem ein Team diesen Workflow definiert hat, kann es die Lösung mit repräsentativen Foto- und Videodateien kostenlos testen, bevor sie als standardmäßiger Veröffentlichungsschritt eingeführt wird.

On-Premise-Software und Workflows für Kinderbilder

Manche Organisationen bevorzugen On-Premise-Software für Medien mit Kindern, weil sie so vermeiden, Originaldateien an eine externe Verarbeitungsumgebung zu senden. Das kann für Schulen, EdTech-Anbieter, öffentliche Stellen, jugendbezogene Programme im Gesundheitsumfeld und Unternehmen mit strengen Dienstleister- oder Datenverarbeitungsregeln relevant sein.

Eine On-Premise-Bereitstellung ist nach COPPA nicht automatisch erforderlich. Die richtige Konfiguration hängt vom Kontext ab. Relevante Faktoren sind die Sensibilität der Dateien, das Volumen, interne IT-Kontrollen, Anforderungen an die Dienstleisterprüfung, Aufbewahrungsrichtlinien und die Frage, ob Originalmedien die Umgebung der Organisation verlassen dürfen. Für Enterprise-Bereitstellungen, On-Premise-Setups oder einen konkreten Compliance-Fall können Organisationen Kontakt aufnehmen, um Implementierungsanforderungen zu besprechen.

Praktische Checkliste vor der Veröffentlichung eines Kinderfotos oder Kindervideos

1. Prüfen, ob der Dienst oder Veröffentlichungsworkflow unter COPPA fällt. Klären Sie, ob die Organisation eine an Kinder gerichtete Website oder einen an Kinder gerichteten Online-Dienst betreibt oder tatsächlich weiß, dass sie personenbezogene Informationen von Kindern unter 13 Jahren erfasst.
2. Ein Foto oder Video, das das Bild eines Kindes enthält, als potenziell personenbezogene Information nach COPPA behandeln. Gehen Sie nicht davon aus, dass das Fehlen eines Namens das Problem beseitigt.
3. Originaldateien von Veröffentlichungskopien trennen. Originale zugriffsbeschränkt halten und unkenntlich gemachte Kopien für öffentliche oder breite interne Verbreitung erstellen.
4. Gesichter von Kindern unkenntlich machen, die nur beiläufig erscheinen, nicht im Mittelpunkt der Kommunikation stehen oder deren Veröffentlichungsstatus unklar ist.
5. Kennzeichen unkenntlich machen, wenn Fahrzeuge in der Nähe von Aufenthaltsorten von Kindern, Schulen, Wohnhäusern oder Veranstaltungsorten zu sehen sind.
6. Die finale Datei manuell prüfen. Achten Sie auf übersehene Gesichter, Seitenprofile, Spiegelungen, Namensschilder, Bildschirme, Tattoos, Logos, Schilder und anderen identifizierenden Kontext.
7. Die Veröffentlichungsentscheidung dokumentieren. Halten Sie Zweck, Zielgruppe, Aufbewahrungsdauer, Einwilligungs- oder Freigabestatus und die Verwendung einer unkenntlich gemachten Version fest.
8. Wiederverwendung neu bewerten. Eine Datei, die für eine Zielgruppe freigegeben wurde, sollte nicht automatisch für Marketing, soziale Medien, Investorenmaterialien oder öffentliche Archive wiederverwendet werden.

Wichtigste Erkenntnis für Business- und Technikteams

Nach COPPA kann das Bild eines Kindes in einem Foto oder Video eine personenbezogene Information sein. Diese Regel ist operativ, nicht theoretisch. Sie beeinflusst, wie Teams visuelles Material von Kindern erfassen, prüfen, veröffentlichen, wiederverwenden und aufbewahren.

Die Anonymisierung visueller Daten, insbesondere das Unkenntlichmachen von Gesichtern, ist eine praktische Schutzmaßnahme für Veröffentlichungsworkflows. Sie sollte mit Einwilligungsmanagement, begrenztem Zugriff auf Originale, Aufbewahrungskontrollen und manueller Prüfung kombiniert werden. Die Änderungen der COPPA Rule von 2025 und die inzwischen abgelaufene Compliance-Frist vom 22. April 2026 bedeuten, dass Teams über einen standardisierten Prozess zur Vorbereitung von Kinderfotos und Kindervideos vor der öffentlichen Veröffentlichung verfügen sollten.

FAQ: COPPA und Kinderbilder

Behandelt COPPA ein Kinderfoto als personenbezogene Information?

Ja. Die COPPA Rule umfasst in der Definition personenbezogener Informationen eine Foto-, Video- oder Audiodatei, die das Bild oder die Stimme eines Kindes enthält [2]. Das bedeutet, dass das sichtbare Gesicht eines Kindes in einem Online-Erfassungs- oder Veröffentlichungsworkflow als datenschutzrelevantes Material behandelt werden sollte.

Ist ein Kindervideo weiterhin personenbezogene Information, wenn der Name des Kindes nicht gezeigt wird?

Ja, das kann der Fall sein. Die COPPA-Definition verlangt nicht, dass der Name des Kindes in der Datei erscheint. Ein Video, das das Bild des Kindes enthält, kann unter die Definition personenbezogener Informationen fallen [2]. Auch der Kontext kann eine Identifizierung erleichtern, etwa eine Schuluniform, ein Klassenzimmer, eine Sportmannschaft oder ein Ort.

Macht das Unkenntlichmachen von Gesichtern COPPA irrelevant?

Nein. Gesichter unkenntlich zu machen ist eine Maßnahme zur Risikoreduzierung, keine vollständige rechtliche Antwort. Organisationen müssen weiterhin prüfen, ob COPPA gilt, ob eine elterliche Einwilligung erforderlich ist, wie die Datei erhoben wurde und wie sie verwendet werden soll. Das Unkenntlichmachen ist besonders sinnvoll als Teil eines dokumentierten Workflows vor der Veröffentlichung.

Können automatisierte Tools jedes visuelle Datenschutzrisiko in Kindervideos erkennen?

Nein. Automatische Erkennung sollte nicht so beschrieben werden, als würde sie alle personenbezogenen Daten erkennen. In Gallio PRO umfasst die automatische Unkenntlichmachung nur Gesichter und Kennzeichen. Logos, Tattoos, Namensschilder, Dokumente und Bildschirminhalte werden nicht automatisch erkannt und erfordern bei Bedarf eine manuelle Prüfung und manuelles Unkenntlichmachen.

Gilt COPPA für Fotos, die von Schulen veröffentlicht werden?

Das hängt von den konkreten Umständen ab. COPPA konzentriert sich auf erfasste Betreiber von Websites und Online-Diensten, nicht auf jede Offline-Fotoentscheidung oder jede öffentliche Schulkommunikation. Schulen und Dienstleister sollten den konkreten Dienst, die Erfassungsmethode, die Zielgruppe, den Einwilligungsprozess, den Veröffentlichungszweck und die Frage prüfen, ob ein erfasster Betreiber online personenbezogene Informationen von Kindern unter 13 Jahren erhebt [1].

Was hat sich 2025 bei visuellen Daten von Kindern geändert?

Die Änderungen der COPPA Rule von 2025 haben mehrere Teile der Regel aktualisiert und biometrische Identifikatoren in die Definition personenbezogener Informationen aufgenommen, einschließlich Daten, die aus Gesichtsdaten abgeleitet werden, wenn sie für automatisierte oder halbautomatisierte Erkennung verwendet werden [3]. Fotos und Videos, die das Bild eines Kindes enthalten, waren bereits zuvor in der Definition personenbezogener Informationen der COPPA Rule enthalten. Die Änderungen verstärken jedoch die Notwendigkeit, bildbasierte Workflows nach der Compliance-Frist vom 22. April 2026 zu überprüfen.