UNAUTHENTIFIZIERT, UNGESICHERT — KINDERDATEN AUF DEM SILBERTABLETT

Die Drähte summen. Wieder hat jemand eine Hintertür offengelassen, diesmal für die Daten unserer Kinder. Kein ausgeklügelter Einbruch — eine offene Tür, ein Backend ohne Authentifizierung, Login-Verfahren, die jedermann einlassen. Grundlegende Sicherheitsmängel, wie es im Amtsdeutsch heißt. Grundlegende Nachlässigkeit, sage ich.

COPPA drüben, DSGVO hier — beide schreiben klar vor, dass Minderjährige besonderen Schutz genießen. Dass ihre Daten nicht einfach so abgegriffen werden dürfen. Dass Plattformen eine spezifische und klare Einwilligung brauchen, gerade wenn es um Gesundheitsdaten geht. Der Europäische Gerichtshof hat den Begriff inzwischen weit gezogen: schon die Bestellung eines Medikaments zählt als Gesundheitsdatum. Wer das nicht beachtet, baut sich seinen Schaden selbst.

Doch Schadensersatz nach DSGVO ist ein mühseliges Geschäft. Rein kompensatorisch, verschuldensabhängig, die Beweislast liegt beim Verantwortlichen — beim Plattformbetreiber, beim Backend-Bauer. Die Sozialstaatskommission schiebt derweil Papiere hin und her: eine zentrale Regelung für Sozialdatenschutz wird gefordert, der Ersterhebungsgrundsatz soll mit dem Once-Only-Prinzip vereinbart werden. Schutz in Aktenform, solange die Tür offen steht.

Das Bundesverwaltungsgericht hat den hohen Anspruch für sensible Gesundheitsdaten unterstrichen — Einwilligung der Versicherten, Pflicht.

The wires hum. Once again, someone has left a backdoor open — this time for our children's data. No sophisticated break-in — just an open door, a backend without authentication, login procedures that let anyone walk in. Fundamental security flaws, as the official jargon has it. Fundamental negligence, I'd say.

COPPA across the pond, GDPR here at home — both clearly stipulate that minors are entitled to special protection. That their data cannot simply be scooped up. That platforms require specific and explicit consent, especially where health data is concerned. The European Court of Justice has since stretched the definition wide: even ordering a medication counts as health data. Ignore that, and you're engineering your own downfall.

But seeking damages under the GDPR is a thankless affair. Strictly compensatory, fault-based, the burden of proof rests with the controller — the platform operator, the backend builder. Meanwhile, the Social Affairs Commission shuffles papers back and forth: a centralized framework for social data protection is being demanded, the principle of first-time collection is to be reconciled with the once-only principle. Protection on paper, while the door stays wide open.

The Federal Administrative Court has underscored the high bar for sensitive health data — insured persons' consent, mandatory.