FPF fordert von Vermont klarere Regeln für den Age-Appropriate Design Code

Was das Gesetz in Vermont vorschreibt

Vermont hat den Age-Appropriate Design Code Act im Juni 2025 verabschiedet. Laut FPF legt der Rahmen eine Mindestsorgfaltspflicht für Unternehmen fest, deren digitale Produkte und Dienste voraussichtlich von Minderjährigen genutzt werden. Zudem verlangt er hohe Datenschutzvoreinstellungen und schreibt vor, algorithmische Empfehlungssysteme offenzulegen.

Das Gesetz enthält einen Standard zur Datenminimierung für Minderjährige, die sich "aktiv und wissentlich" mit einem Dienst befassen. Unternehmen können außerdem Verfahren zur Altersfeststellung einsetzen, um minderjährige Nutzer zu erkennen. FPF weist darauf hin, dass einige Bundesstaaten Age-Appropriate Design Codes bereits in Gesetzesform gegossen haben, Vermont aber als erster mit Regelentwürfen vorangeht.

Das Regelsetzungsverfahren

Das Büro des Generalstaatsanwalts von Vermont hat im Juli 2026 ein formelles Regelsetzungsverfahren eingeleitet. Es umfasst zwei Bereiche. Der erste betrifft Verbote von Datenverarbeitungs- und Designpraktiken, die zu "zwanghafter Nutzung" führen oder "die Autonomie, Entscheidungsfindung oder Wahlfreiheit der Nutzer beeinträchtigen". Der zweite betrifft "wirtschaftlich vertretbare und technisch machbare" Methoden der Altersfeststellung, geeignete Prüfverfahren für Einsprüche gegen die Alterseinstufung sowie zusätzliche Datenschutzmaßnahmen für Daten aus der Altersfeststellung.

Das Gesetz und die verabschiedeten Regeln treten am 1. Januar 2027 in Kraft. FPF reichte seine Stellungnahme am 2. Oktober ein und erklärte, die Vorschriften sollten Unklarheiten bei der Einhaltung beseitigen und zugleich die Interoperabilität mit bestehenden Datenschutzrahmen unterstützen.

Die sieben Empfehlungen des FPF

FPF ordnete seine Empfehlungen den Themen verbotene Daten- und Designpraktiken, Personalisierung und zwanghafte Nutzung sowie Altersfeststellung zu. Das Büro solle Folgendes prüfen:

• Klarstellen, dass bestimmte administrative und technische Funktionen "für die Bereitstellung eines Dienstes erforderlich" sind.
• Die Anforderungen an Zweitnutzungen an bestehende Datenschutzgesetze angleichen.
• Regeln und Beschränkungen zur Personalisierung von Online-Diensten präzisieren, um notwendige oder nützliche Praktiken zu erhalten.
• Die Regeln zur zwanghaften Nutzung klarer fassen, indem Kennzahlen dafür festgelegt werden, was als unzulässige Interaktion gilt.
• Klarstellen, dass eine abgestufte Eskalation ein Faktor ist, den Unternehmen bei der Auswahl geeigneter Methoden der Altersfeststellung berücksichtigen sollten.
• Klare technische Schwellenwerte oder Standards festlegen, anhand derer sich beurteilen lässt, was ein "wesentliches Risiko einer Fehlklassifizierung" darstellt.
• Vergleichbare Regelsetzungsverfahren anderer Behörden der Bundesstaaten zur Altersfeststellung heranziehen, wenn Anpassungen oder Klarstellungen an der vorgeschlagenen Regel erwogen werden.

Was das für Unternehmen bedeutet

Da die Regeln zusammen mit dem Gesetz am 1. Januar 2027 in Kraft treten sollen, wird der endgültige Text prägen, wie Unternehmen, die in Vermont Minderjährige ansprechen, Begriffe wie zwanghafte Nutzung und wesentliches Risiko einer Fehlklassifizierung auslegen. Die Empfehlungen des FPF zeigen Bereiche auf, in denen der Verband unklare Formulierungen sieht, etwa bei der Frage, was als unzulässige Interaktion gilt und wie Fehler bei der Altersfeststellung bewertet werden. Da Vermont als erster Bundesstaat Regelentwürfe für diesen Rahmen vorlegt, könnte sein Vorgehen auch anderen Staaten als Orientierung dienen, wie der Vorschlag des FPF andeutet, vergleichbare Regelsetzungsverfahren heranzuziehen.