AB 1856 lässt Browser-Regel fallen, AB 1043 mit Betriebssystem-Altersprüfung bleibt

Kalifornische Gesetzgeber haben einen der weitreichendsten Vorschläge zur Altersverifizierung des Landes zurückgezogen, doch Datenschützer sollten nicht zu früh jubeln. AB 1856, der Webbrowser gezwungen hätte, das Alter von Nutzern zu überprüfen, bevor sie allgemeinen Internetzugang erhalten, hat diese Bestimmung vollständig verloren. Das Begleitgesetz AB 1043 (Digital Age Assurance Act) bleibt dagegen unangetastet und im Zeitplan. Ab dem 1. Januar 2027 wird die betriebssystemweite Altersverifikation in Kalifornien Apple und Google verpflichten, bei der Geräteeinrichtung Geburtsdaten zu erheben und Altersgruppen-Signale an App-Entwickler weiterzugeben. Die Browser-Verpflichtung ist vom Tisch. Die Betriebssystem-Verpflichtung nicht.

Was AB 1043 von Apple und Google tatsächlich verlangt

Mit AB 1043 verlagert sich die Altersverifikation von einzelnen Websites und Apps weiter nach oben auf das Gerät selbst. Wenn eine Person in Kalifornien ein neues Smartphone, Tablet oder einen Computer mit iOS, Android oder einem anderen abgedeckten Betriebssystem einrichtet, fragt die Plattform im Rahmen der Kontoerstellung nach einem Geburtsdatum. Dieses Geburtsdatum wird nicht direkt mit jeder vom Nutzer heruntergeladenen App geteilt. Stattdessen übersetzt das Betriebssystem es in eine Altersgruppe – eine allgemeine Kategorie wie „unter 13“ oder „13 bis 17“ anstelle eines genauen Geburtsdatums – und gibt dieses Signal an App-Entwickler weiter, damit sie Inhalte oder Funktionen entsprechend anpassen können.

Dies ist eine bedeutend andere Architektur als der browserbasierte Ansatz, den die Gesetzgeber aufgegeben haben. Anstatt das Alter in dem Moment zu prüfen, in dem jemand eine Website besucht, bettet das System Altersdaten von Anfang an in das Gerät ein, und diese Daten folgen dem Nutzer in jeder danach installierten App. Der Geltungsbereich des Gesetzes geht zudem über Mainstream-Plattformen hinaus: Berichten zufolge gilt es weit gefasst für Betriebssysteme, die in Kalifornien verkauft oder genutzt werden, was für kleinere und Open-Source-Projekte, die nicht über die Compliance-Infrastruktur von Apple oder Google verfügen, komplizierte Fragen aufwirft.

Warum betriebssystemweite Prüfungen schwerer zu umgehen sind als Browser-Verpflichtungen

Eine browserbasierte Altersschranke war, bei allen Schwächen, zumindest auf den Browser beschränkt. Nutzer, die widersprachen, konnten den Browser wechseln, ein anderes Geräteprofil nutzen oder die Prüfung auf verschiedene Weise umgehen. Die betriebssystemweite Verifikation bietet nicht dieselbe Flexibilität. Sobald die Altersdaten bei der Einrichtung des Geräts festgelegt sind, werden sie zu einer Basisschicht, auf der jede spätere App-Interaktion aufbaut. Es gibt kein einfaches Opt-out, das der Wahl einer anderen Software gleichkäme, denn das Betriebssystem selbst ist der Türsteher.

Dieser Unterschied ist für alle relevant, die über digitale Privatsphäre-Strategien nachdenken. Eine einzelne Browser-Erweiterung oder die Wahl eines alternativen Browsers konnte zuvor eine Altersprüfungspflicht umgehen. Unter AB 1043 findet die Überprüfung statt, bevor ein Nutzer überhaupt eine App öffnet, nämlich bei der Kontoerstellung zu Beginn des Gerätelebenszyklus. Das ist eine strukturelle Verschiebung, nicht nur eine technische, und Teil eines breiteren Musters von staatlicher Massenüberwachung, bei dem staatlich verordnete Datenerhebung in Infrastruktur eingebettet wird, mit der normale Nutzer täglich interagieren – ob sie sich dessen bewusst sind oder nicht.

Datensparsamkeit und die Risiken der Weitergabe von Altersgruppen

Befürworter von AB 1043 betonen, dass das Gesetz nach den Grundsätzen der Datensparsamkeit konzipiert ist. Apps erhalten eine Altersgruppe, kein Geburtsdatum, und theoretisch begrenzt dies, wie viele personenbezogene Daten an Drittentwickler fließen. Aber die Weitergabe der Altersgruppe erzeugt dennoch ein dauerhaftes Signal, das über die Lebensdauer eines Geräts hinweg mit der Identität eines Nutzers über potenziell hunderte Apps verknüpft ist. Sobald dieses Signal existiert, stellen sich Fragen, wie lange Entwickler es speichern, ob es mit anderen Tracking-Daten kombiniert wird und was passiert, wenn die Implementierung einer Plattform hinter dem Gesetzeszweck zurückbleibt.

Kalifornien hat hier eine beachtenswerte Vorgeschichte. Ein kürzlich durchgeführter Audit ergab, dass die CCPA-Einhaltung tausendfach ignoriert wird, obwohl der Bundesstaat eines der strengsten Verbraucherdatenschutzgesetze des Landes hat. Diese Historie bietet eine vernünftige Grundlage für Skepsis, wie konsequent die Altersgruppen-Schutzvorkehrungen von AB 1043 tatsächlich durchgesetzt werden, sobald das Gesetz in Kraft tritt. Ein bei der Einrichtung erfasstes Geburtsdatum ist zudem funktional ein kleiner Identitäts-Cookie, der über die gesamte Lebensdauer des Geräts bestehen bleibt – ähnlich wie Browser-Cookies stillschweigend Verhalten über die Zeit verfolgen, nur dass es hier in der Hardware-Schicht verankert ist und nicht in einer Website.

Was das für Sie bedeutet

Wenn Sie in Kalifornien leben, müssen Sie damit rechnen, dass jedes neue Apple- oder Google-Gerät, das Sie nach dem 1. Januar 2027 einrichten, ein Geburtsdatum verlangt, bevor Sie es nutzen können. Dies ist nicht optional wie eine Altersabfrage auf einer Website und lässt sich nicht per VPN oder Browsereinstellung umgehen, denn die Prüfung findet auf Betriebssystemebene statt und nicht auf Netzwerk- oder Anwendungsebene. Die praktische Konsequenz: Altersdaten werden Teil der Basiskonfiguration Ihres Geräts und fließen in jede danach installierte App ein.

Für Eltern könnte das konsistentere Inhaltskontrollen über Apps hinweg bedeuten, ohne jede einzeln konfigurieren zu müssen. Für datenschutzbewusste Erwachsene bedeutet es ein weiteres Stück persönlicher Daten, das dauerhaft an ein Gerät gebunden ist – mit einer Durchsetzungsqualität, die aufgrund von Kaliforniens ungleichmäßiger Datenschutzbilanz eine offene Frage bleibt.

Das Wichtigste vor 2027

Achten Sie im kommenden Jahr darauf, wie Apple und Google ihre Pläne zur Umsetzung von AB 1043 kommunizieren, denn die Details der Implementierung entscheiden darüber, wie viel Kontrolle Nutzer tatsächlich über ihre eigenen Altersdaten behalten. Überprüfen Sie bei jeder Einrichtung eines neuen Geräts gründlich die Datenschutzeinstellungen, statt schnell durch die Abfragen zu klicken. Und beobachten Sie, wie dieser Rahmen der betriebssystemweiten Altersverifikation in Kalifornien in der Praxis durchgesetzt wird – denn ein Gesetz, das auf dem Papier datenschutzfreundlich wirkt, ist nur so gut wie die Aufsicht dahinter.