Britische Altersverifizierungs-Datensätze: Was Ofcom verlangen kann

Was das britische Gesetz von Plattformen tatsächlich verlangt, bei Alterschecks zu protokollieren

Ein häufiges Missverständnis bezüglich der britischen Alterssicherungsregeln ist, dass jeder einzelne Alterscheck protokolliert, gespeichert und Regulierungsbehörden auf Anfrage zur Verfügung gestellt wird. Neue Branchenrichtlinien widersprechen dieser Annahme direkt: Keine Regulierungsbehörde verlangt ein Protokoll jedes Alterschecks. Diese Unterscheidung ist wichtig, denn sie trennt das, was das britische Gesetz zu Altersverifizierungs-Datensätzen tatsächlich vorschreibt, von dem, was Plattformen einfach als Geschäftspraxis aufbewahren.

Im Rahmen des Online Safety Act sind Plattformen, die Alterssicherungstools verwenden (sei es Gesichtsschätzung, ID-Dokumentprüfungen oder Verifizierungsdienste Dritter), verpflichtet nachzuweisen, dass ihre Systeme wie beabsichtigt funktionieren und den von Ofcom festgelegten Standard „hochwirksam" erfüllen. Das bedeutet, dass Anbieter einige Belege benötigen, dass ihr Prozess funktioniert: Prüfpfade, die die verwendete Methode zeigen, ob sie bestanden oder nicht bestanden wurde, und ausreichende Dokumentation, um die Einhaltung bei Anfechtung nachzuweisen. Was es laut der Richtlinie nicht bedeutet, ist eine gesetzliche Verpflichtung, granulare Datensätze dauerhaft zu speichern, die eine bestimmte Person mit einem bestimmten Check verbinden, vollständig mit dem zugrunde liegenden Dokument oder Bild, auf unbestimmte Zeit.

Das ist eine wichtige Nuance für alle, die verstehen möchten, was mit ihren Daten passiert, nachdem sie ein Passfoto hochgeladen oder sich einem Gesichtsscan unterzogen haben. Das Gesetz setzt eine Compliance-Messlatte. Es setzt keine Untergrenze für die Datenaufbewahrung.

Was Ofcom erzwingen kann vs. Was optionale Aufzeichnungsführung ist

Ofcoms Durchsetzungsbefugnisse sind real, und die Regulierungsbehörde hat bereits gezeigt, dass sie bereit ist, sie zu nutzen. Die laufende Ofcom-Untersuchung zur Altersverifizierung bei TikTok ist ein klares Beispiel: Wenn Ofcom vermutet, dass eine Plattform ihre Kinderschutzpflichten verletzt hat, kann sie eine formelle Untersuchung einleiten und Beweise dafür verlangen, wie Alterschecks tatsächlich durchgeführt wurden, nicht nur Richtliniendokumente, die beschreiben, wie sie funktionieren sollen.

Aber es gibt einen Unterschied zwischen dem, was Ofcom während einer Untersuchung erzwingen kann, und dem, was ein Unternehmen proaktiv aufbewahrt, nur für den Fall. Ofcom kann Aufzeichnungen verlangen, die belegen, dass der Alterssicherungsprozess einer Plattform den geforderten Standard erfüllt, etwa Methodenprotokolle, Fehlerraten und Prüfdokumentation. Was es nicht kann, ist, Unternehmen zu zwingen, persönliche Identitätsdokumente oder biometrische Scans über das hinaus aufzubewahren, was zum Nachweis der Compliance erforderlich ist. Jede zusätzliche Aufbewahrung, etwa das Speichern eines gescannten Ausweises über Monate nach Abschluss eines Checks, ist eine Geschäftsentscheidung, keine gesetzliche Verpflichtung. Einige Plattformen speichern Daten möglicherweise übermäßig aus Vorsicht, Haftungsbedenken oder einfach schlechter Datenhygiene, und genau in dieser Lücke zwischen dem, was erforderlich ist, und dem, was aufbewahrt wird, konzentriert sich tendenziell das Datenschutzrisiko.

Datenschutzrisiken der Aufbewahrung von Alterssicherungsdaten für Nutzer

Diese Unterscheidung hat reale Konsequenzen für normale Nutzer. Wenn das Gesetz nur den Nachweis verlangt, dass ein Check stattgefunden hat, aber eine Plattform sich entscheidet, das zugrunde liegende Dokument oder biometrische Bild trotzdem zu speichern, werden diese Daten zu einer Haftung, die irgendwo auf einem Server liegt, auf unbestimmte Zeit, ohne regulatorischen Grund. Es ist diese Art von Überaufbewahrung, die einen routinemäßigen Alterscheck in eine langfristige Datenschutzexposition verwandelt.

Nutzer, die diese Systeme durchlaufen, haben in der Regel keinerlei Einblick, in welche Kategorie ihre Daten fallen. Wurde ein Passscan nach der Verifizierung verworfen oder archiviert? Wurde ein Gesichtsschätzbild sofort gelöscht oder als Trainingsbeispiel aufbewahrt? Die Richtlinie legt nahe, dass Nutzer Anbieter direkt nach ihrer Aufbewahrungsrichtlinie fragen sollten, da das britische Gesetz selbst keinen einheitlichen nationalen Standard über allgemeine Datenschutzverpflichtungen hinaus festlegt. Diese Unsicherheit ist Teil des Grundes, warum die parlamentarische Debatte über die Datenschutzauswirkungen des Online Safety Act die Aufmerksamkeit von Abgeordneten auf sich gezogen hat, die besorgt sind, dass Altersverifizierungsanforderungen neue Datenerfassungsrisiken schaffen, ohne entsprechende Transparenzanforderungen.

Wo VPNs und verschlüsseltes DNS helfen können – und wo nicht

Ein VPN kann Ihre IP-Adresse und Ihren allgemeinen Standort maskieren, und verschlüsseltes DNS kann verhindern, dass Ihr Internetdienstanbieter sieht, welche Websites Sie besuchen. Keines der beiden Tools berührt den Alterssicherungsprozess selbst. Wenn eine Plattform einen Gesichtsscan, ID-Upload oder Bankdatenabgleich verlangt, um Ihr Alter nachzuweisen, tut ein VPN nichts, um zu verhindern, dass diese Daten vom Verifizierungsanbieter erfasst, übertragen oder gespeichert werden. VPNs schützen Netzwerk-Metadaten, nicht den Inhalt eines Formulars, das Sie direkt an eine Website übermitteln.

Was ein VPN tun kann, ist, die Menge an begleitenden Daten zu reduzieren, die rund um das Verifizierungsereignis selbst gesammelt werden, etwa Ihren ungefähren Standort oder vom ISP zugewiesene Kennungen, die einige Plattformen möglicherweise neben dem Alterscheck als Teil der Betrugsprävention protokollieren. Das ist ein bescheidener Datenschutzvorteil, kein Weg, um Altersverifizierungsanforderungen vollständig zu umgehen, und Nutzer sollten sich vor jedem Tool hüten, das als Umgehung gesetzlich vorgeschriebener Alterschecks vermarktet wird.

Was das für Sie bedeutet

Wenn Sie aufgefordert werden, einen Alterscheck auf einer britischen Plattform durchzuführen, ist die sicherste Annahme, dass das Schicksal Ihrer Daten vollständig von der Aufbewahrungsrichtlinie des jeweiligen Anbieters abhängt, nicht von einem einheitlichen gesetzlichen Mandat. Bevor Sie sensible Dokumente übermitteln, suchen Sie nach einer klaren Aussage darüber, wie lange die Daten aufbewahrt werden und ob sie nach der Verifizierung gelöscht werden. Bevorzugen Sie nach Möglichkeit Dienste, die Schätzmethoden anstelle von Dokument-Uploads verwenden, da Schätzungen typischerweise weniger dauerhaft identifizierbares Material erfordern. Und wenn eine Plattform derzeit unter regulatorischer Beobachtung steht, wie die laufende Ofcom-Untersuchung zu TikToks Praktiken, behandeln Sie das als Signal, bei dem, was Sie teilen, besonders vorsichtig zu sein, bis das Ergebnis bekannt ist.

Wichtigste Erkenntnisse

• Das britische Gesetz zu Altersverifizierungs-Datensätzen verlangt nicht, dass Anbieter jeden Check auf unbestimmte Zeit protokollieren; es verlangt den Nachweis, dass der Prozess Compliance-Standards erfüllt.
• Ofcom kann während einer Untersuchung Prüfbelege erzwingen, aber keine Aufbewahrung persönlicher Dokumente über das hinaus, was Compliance erfordert.
• Jede langfristige Speicherung von ID-Scans oder biometrischen Bildern über den Check hinaus ist eine Geschäftsentscheidung, keine gesetzliche Anforderung.
• VPNs und verschlüsseltes DNS schützen die Privatsphäre auf Netzwerkebene, verhindern aber nicht, dass Altersverifizierungsanbieter die Daten sammeln, die Sie direkt übermitteln.
• Fragen Sie Anbieter direkt nach ihrer Aufbewahrungsrichtlinie, bevor Sie einen Alterscheck abschließen, besonders auf Plattformen, die derzeit regulatorischer Prüfung ausgesetzt sind.