Der Entwurf der Regeln zum Schutz digitaler personenbezogener Daten von 2025 hat zu Verwirrung darüber geführt, ob alle Benutzer ihr Alter und ihre Identität überprüfen müssen, um auf Online-Dienste zugreifen zu können.

Gemäß dem Digital Personal Data Protection Act von 2023 (das mit den Regeln umgesetzt werden soll) müssen Online-Plattformen eine überprüfbare Zustimmung der Eltern einholen

The draft Digital Personal Data Protection Rules, 2025 have led to confusion about whether or not all users will have to verify their age and identity to access online services. Under the Digital Personal Data Protection Act, 2023 (which the rules seek to operationalise) online platforms have to obtain verifiable parental consent before processing the data of anyone under 18 years of age.

Der Entwurf der Regeln zum Schutz digitaler personenbezogener Daten von 2025 hat zu Verwirrung darüber geführt, ob alle Benutzer ihr Alter und ihre Identität überprüfen müssen, um auf Online-Dienste zugreifen zu können. Gemäß dem Digital Personal Data Protection Act von 2023 (das mit den Regeln umgesetzt werden soll) müssen Online-Plattformen eine überprüfbare Zustimmung der Eltern einholen, bevor sie Daten von Personen unter 18 Jahren verarbeiten.

The rules then elaborate that platforms have to verify the age and identity of anyone claiming to be a parent and giving consent on behalf of a child. While the rules specify what platforms can do when an under-18 user declares themself as a child and when a parent comes forward, they don’t take note of situations where a child inputs the wrong information and claims to be an adult.

In den Regeln heißt es dann, dass Plattformen das Alter und die Identität aller Personen überprüfen müssen, die sich als Elternteil ausgeben und im Namen eines Kindes ihre Einwilligung geben. Während die Regeln festlegen, was Plattformen tun können, wenn ein unter 18-jähriger Benutzer sich als Kind angibt und wenn sich ein Elternteil meldet, berücksichtigen sie nicht Situationen, in denen ein Kind falsche Informationen eingibt und behauptet, ein Erwachsener zu sein.

In such cases, platforms will have to verify everyone’s age, some like MediaNama’s editor Nikhil Pahwa argue. On the other hand, some, like Aparajita Bharti, the co-founder of Quantum Hub Consulting believe that the way the rules read right now, companies could use self-declaration measures as a means to determine whether the person signing up is a child or not. “The illustrations 1 & 2 seem to suggest if the user indicates they are a child then the platform has to take steps to gather verifiable parental consent,” she explained in a post on X (formerly Twitter).

In solchen Fällen müssen Plattformen das Alter jedes Einzelnen überprüfen, argumentieren einige wie MediaNama-Redakteur Nikhil Pahwa. Auf der anderen Seite glauben einige, wie Aparajita Bharti, die Mitbegründerin von Quantum Hub Consulting, dass Unternehmen bei der derzeitigen Auslegung der Regeln Selbstdeklarationsmaßnahmen nutzen könnten, um festzustellen, ob die Person, die sich anmeldet, ein Kind ist oder nicht nicht. „Die Abbildungen 1 und 2 scheinen darauf hinzudeuten, dass die Plattform Maßnahmen ergreifen muss, um eine überprüfbare Zustimmung der Eltern einzuholen, wenn der Benutzer angibt, dass er ein Kind ist“, erklärte sie in einem Beitrag auf X (ehemals Twitter).

Similarly, the founder of social media impact consulting Space2Grow, also told MediaNama that the DPDP Rules “do not explicitly require mandatory age verification unless the user’s data triggers any sign of them being a child”.

In ähnlicher Weise sagte der Gründer der Social-Media-Impact-Beratung Space2Grow gegenüber MediaNama, dass die DPDP-Regeln „keine ausdrückliche obligatorische Altersüberprüfung vorschreiben, es sei denn, die Daten des Benutzers geben Hinweise darauf, dass es sich um ein Kind handelt“.

How consent provisions could cause user drop-offs:

Wie Einwilligungsbestimmungen dazu führen können, dass Nutzer abbrechen:

When a parent comes forward to give consent on behalf of a child, the platform has to verify their age and identity as well. The rules provide two ways in which platforms can approach this verification—

Wenn sich ein Elternteil meldet, um im Namen eines Kindes seine Einwilligung zu erteilen, muss die Plattform auch dessen Alter und Identität überprüfen. Die Regeln sehen zwei Möglichkeiten vor, wie Plattformen diese Überprüfung angehen können:

Bharti expressed concern that getting synchronous consent (consent right before a child uses the platform) will be operationally difficult. She explained that it would lead to “huge drop-offs (especially among low-income/rural households) and increased costs of compliance.” Talking about the synchronicity of consent, she said that there could be circumstances where the parent isn’t available to give consent when the child needs to access a specific online service.

Bharti äußerte Bedenken, dass es operativ schwierig sein wird, eine synchrone Einwilligung (die Einwilligung unmittelbar bevor ein Kind die Plattform nutzt) einzuholen. Sie erklärte, dass dies zu „großen Rückgängen (insbesondere bei einkommensschwachen/ländlichen Haushalten) und erhöhten Kosten für die Einhaltung der Vorschriften führen würde.“ Als sie über die Synchronizität der Einwilligung sprach, sagte sie, dass es Umstände geben könnte, in denen der Elternteil nicht zur Verfügung steht, um seine Einwilligung zu erteilen, wenn das Kind auf einen bestimmten Online-Dienst zugreifen muss.

During a spaces discussion on X, Bharti explained that her organisation Young Leaders for Active Citizenship (YLAC) works with rural communities where there is a lot of shared device usage. “Children [in these communities] are way more sophisticated users of technology than their parents. Parents on the other hand ask children for help to navigate the tech world,” she explained. She said that while children do need to be safe online, cutting their access to the internet off is a bigger harm to them.

Während einer Spaces-Diskussion auf X erklärte Bharti, dass ihre Organisation Young Leaders for Active Citizenship (YLAC) mit ländlichen Gemeinden zusammenarbeitet, in denen viel gemeinsam genutzte Geräte genutzt werden. „Kinder [in diesen Gemeinschaften] nutzen Technologie viel anspruchsvoller als ihre Eltern. „Eltern hingegen bitten ihre Kinder um Hilfe, sich in der Welt der Technik zurechtzufinden“, erklärte sie. Sie sagte, dass Kinder zwar online sicher sein müssten, die Sperrung ihres Zugangs zum Internet aber für sie ein größerer Schaden sei.

The grey area for establishing parent-child relationships:

Die Grauzone beim Aufbau von Eltern-Kind-Beziehungen:

One of the age verification scenarios under the rules is where a person comes forward identifying themself as child’s parent. The platform then verifies the age and identity of the parent. The rules do not specify how platforms have to go about verifying this parent and child relationship.

Eines der Altersüberprüfungsszenarien gemäß den Regeln besteht darin, dass sich eine Person als Elternteil des Kindes ausgibt. Die Plattform überprüft dann das Alter und die Identität des Elternteils. Die Regeln legen nicht fest, wie Plattformen bei der Überprüfung dieser Eltern-Kind-Beziehung vorgehen müssen.

“The ‘due diligence’ methods expected of data fiduciaries to establish relationship with the minor is a grey area – in effect indicating that people have to surrender more data about themselves, their relationships, and online behaviour to either platforms or the government,” Nidhi Sudhan, co-founder of Citizen Digital Foundation told MediaNama. According to her, the rules appear to favour the interests of businesses and the Government more than the people whose data it was meant to protect.

„Die ‚Due-Diligence‘-Methoden, die von Datentreuhändern erwartet werden, um eine Beziehung mit dem Minderjährigen aufzubauen, sind eine Grauzone – was im Grunde darauf hindeutet, dass Menschen mehr Daten über sich selbst, ihre Beziehungen und ihr Online-Verhalten entweder an Plattformen oder an die Regierung weitergeben müssen“, Nidhi Sudhan, Mitbegründer der Citizen Digital Foundation, sagte gegenüber MediaNama. Ihrer Meinung nach scheinen die Regeln eher den Interessen von Unternehmen und der Regierung zu dienen als den Menschen, deren Daten sie schützen sollten.

Other key comments about the rules:

Weitere wichtige Kommentare zu den Regeln:

Missing out room for positive behavioral monitoring of children:

Verpasster Raum für eine positive Verhaltensüberwachung von Kindern:

Besides parental consent, the act also restricts platforms from carrying out tracking/behavioral monitoring of children. It says that the government can exempt certain platforms from these restrictions as well as verification restrictions provided that they process a child’s data in a verifiably safe manner.

Neben der Zustimmung der Eltern schränkt das Gesetz Plattformen auch bei der Verfolgung/Verhaltensüberwachung von Kindern ein. Darin heißt es, dass die Regierung bestimmte Plattformen von diesen Einschränkungen sowie Überprüfungsbeschränkungen ausnehmen kann, sofern sie die Daten eines Kindes auf nachweislich sichere Weise verarbeiten.

While the rules list a range of different services that the government allows to carry out behavioral monitoring/exempts from verifiable consent, Sidharth Deb from Quantum Hub Consulting mentioned that they “seem to miss out on an opportunity to incentivise positive/beneficial processing activities that can preserve meaningful internet experiences for under 18 users.” He adds that the rules could have initiated a discussion around what standards companies must meet to qualify as verifiably safe so that the Government allows them to curate digital products for under 18 users.

Während die Regeln eine Reihe verschiedener Dienste auflisten, die die Regierung zur Verhaltensüberwachung zulässt bzw. von der überprüfbaren Einwilligung ausnimmt, erwähnte Sidharth Deb von Quantum Hub Consulting, dass sie „scheinbar eine Gelegenheit verpassen, Anreize für positive/nützliche Verarbeitungsaktivitäten zu schaffen, die dies können.“ Bewahren Sie sinnvolle Interneterlebnisse für Benutzer unter 18 Jahren.“ Er fügt hinzu, dass die Regeln eine Diskussion darüber hätten auslösen können, welche Standards Unternehmen erfüllen müssen, um als nachweislich sicher zu gelten, damit die Regierung ihnen erlaubt, digitale Produkte für Benutzer unter 18 Jahren zu kuratieren.

Lack of inclusion of vicarious consent:

Fehlende Einbeziehung einer Erfüllungsgehilfeneinwilligung:

The Data Protection Act says that companies can only process the personal data of an Indian citizen for purposes to which the citizen has specifically consented or for legitimate uses as specified under the act such as court orders, medical emergencies, epidemics, employment and so on. Bharti says that in certain situations like sending gifts to friends or family, or fraud prevention require vicarious consent.

Das Datenschutzgesetz besagt, dass Unternehmen die personenbezogenen Daten eines indischen Staatsbürgers nur für Zwecke verarbeiten dürfen, denen der Bürger ausdrücklich zugestimmt hat, oder für legitime Zwecke, die im Gesetz festgelegt sind, wie Gerichtsbeschlüsse, medizinische Notfälle, Epidemien, Beschäftigung usw. Bharti sagt, dass in bestimmten Situationen, etwa beim Versenden von Geschenken an Freunde oder Familie oder bei der Betrugsprävention, die Einwilligung eines Stellvertreters erforderlich ist.

Now that I have had the time to sleep over them for a (very) few hours, here are some observations:

Nachdem ich nun (sehr) ein paar Stunden Zeit hatte, über ihnen zu schlafen, hier einige Beobachtungen:

1) At

1) Bei