Die Ausnahme, die das Gesetz frisst

In Sacramento wird dieser Tage über ein Gesetz verhandelt, das streng genommen nicht nötig sein sollte. Assembly Bill 1159 — eingebracht von Dawn Addis, Demokratin aus San Luis Obispo, einer Frau, die weiß, wie man in Ausschüssen spricht und schweigt — soll Lücken schließen. Lücken in einem Gesetz, das 2014 verabschiedet wurde, um genau jene Geschäfte zu unterbinden, die heute wieder möglich sind: den Weiterverkauf von Schülerdaten.

Kalifornien war Vorreiter, das wird gern gesagt und gerne geglaubt. 2014 ein wegweisendes Schülerdatenschutzgesetz, das Technologieunternehmen verbot, Daten zu verkaufen, Schüler gezielt zu bewerben oder persönliche Informationen preiszugeben. 2018 ein weiteres Gesetz, das allen kalifornischen Nutzern bestimmte Datenschutzrechte einräumte — die Möglichkeit, der Datensammlung zu widersprechen und bestimmte Informationen löschen zu lassen. Zwei Meilensteine. Beide mit Ausnahmen.

Und genau hier beginnt die Architektur, die man kennen muss, um sie zu verstehen.

Jen King, Forschungsbeauftragte für Datenschutz und Datenpolitik am Stanford Institute for AI, studiert jene Tricks, mit denen Unternehmen Nutzerdaten sammeln und Opt-out-Versuche untergraben — die sogenannten dark patterns. Sie ist eine Frau, die ihre eigene Privatsphäre mit der Disziplin eines Archivars verteidigt. In einer Zeit, in der die föderale Regierung in Washington zunehmend persönliche Daten zu sammeln versucht — über Einwanderungsstatus, Geschlechtsidentität, die Inanspruchnahme bestimmter öffentlicher Leistungen —, erhält die Frage, was mit den Daten unserer Kinder geschieht, eine Dringlichkeit, die über Sacramento hinausreicht.

Addis' Gesetzentwurf, so die offizielle Begründung, würde einschränken, wie KI-Unternehmen Schülerdaten nutzen, und neue Schutzmaßnahmen für College-Studenten schaffen. Sacramento mächtigste Akteure verfolgen das Vorhaben mit der Aufmerksamkeit, die acht Millionen Dollar Spenden verdienen. Die California Labor Federation unterstützt das Gesetz. Die California Chamber of Commerce lehnt es ab. Beide Organisationen zusammen haben im Jahr 2024 fast acht Millionen Dollar an kalifornische Gesetzgeber oder für andere politische Aktivitäten aufgewendet, so die CalMatters Digital Democracy Database. Auch TechNet — ein Handelsverband, der die mächtigsten Technologieunternehmen vertritt —, ist gegen den Entwurf.

Die Ausnahmen, die AB 1159 schließen will, stehen im Text des Gesetzes von 2014. Man muss kein Komplott konstruieren, um zu erkennen, dass ein Verbot, das von Dutzenden Schlupflöchern durchzogen ist, kein Verbot ist — sondern eine regulierte Erlaubnis. Die Mechanik ist kühl: Was verboten ist und eine Ausnahme hat, ist erlaubt mit Aufwand. Was erlaubt ist mit Aufwand, wird zur Norm, sobald der Aufwand sich rechnet. Was sich rechnet, wird skaliert. Die Schüler, deren Daten durch diese Maschinerie fließen, haben dem nicht zugestimmt. Sie haben nicht einmal eine Vorstellung davon, wo ihre Daten heute landen.

Doch Vorsicht. Was hier zusammengetragen wurde, entstammt einer einzelnen Quelle — dem Bericht eines Mediums, das Teil der kalifornischen Presselandschaft ist und eigene Interessen verfolgt. Bevor diese Redaktion den Schattenriss veröffentlicht, verlangt sie die vollständige Verifikation der Originaldokumente: den Gesetzestext im Wortlaut, die Lobbyregistereinträge, die Aussagen der beteiligten Akteure. Ein Hinweis ist kein Beweis. Eine Ausnahme im Bericht ist noch keine Ausnahme im Gesetz. Die Architektur lässt sich nur beurteilen, wenn man den Grundriss liest.

Was bleibt, ist die nüchterne Frage, die in jeder solchen Debatte gestellt werden muss: Reicht AB 1159? Experten, die den Entwurf geprüft haben, geben eine zurückhaltende Antwort. Die bestehenden Gesetze, so ihre Einschätzung, hätten sich als unzureichend erwiesen, die Schüler Kaliforniens zu schützen — während die Technologie sich ausbreitete und neue Geschäftsfelder erschloss. Ob der neue Entwurf genügt, ist offen.

Der Handel mit den Daten unserer Kinder ist keine Vermutung. Er ist ein Geschäftsmodell, das auf Annahmen beruht: dass Schulen vertraglich gebunden sind, dass Eltern nicht lesen, was sie unterschreiben, dass Behörden nicht prüfen, was sie genehmigen. Solange diese Annahmen gelten, werden Ausnahmen genutzt. Solange Ausnahmen genutzt werden, werden Gesetze nachgeschärft. Solange Gesetze nachgeschärft werden, formieren sich jene, die von der nächsten Ausnahme leben wollen.

Das Spiel ist alt. Die Züge sind bekannt. Die Bühne trägt den Namen Sacramento. Und das Publikum — die Eltern, deren Kinder längst in Datensätzen erfasst sind, deren Algorithmen sie nicht einsehen können und deren Verträge sie nicht unterschrieben haben — erfährt zumeist erst davon, wenn ein neues Gesetz die nächste Lücke adressiert.

Eine Ausnahme, sagt man, bestätigt die Regel. In diesem Fall bestätigt sie vor allem das Geschäft.

In Sacramento these days, lawmakers are debating a bill that, strictly speaking, should not be necessary. Assembly Bill 1159 — introduced by Dawn Addis, a Democrat from San Luis Obispo, a woman who knows how to speak and how to remain silent in committee — aims to close loopholes. Loopholes in a law passed in 2014 to prohibit precisely the transactions that have once again become possible: the resale of student data.

California was a pioneer, as is often said and often believed. In 2014, a landmark student data protection law that banned technology companies from selling data, targeting students with advertising, or disclosing personal information. In 2018, another law granting all California users certain data protection rights — the ability to opt out of data collection and request the deletion of specific information. Two milestones. Both riddled with exceptions.

And this is where the architecture that must be understood begins.

Jen King, a research fellow in privacy and data policy at the Stanford Institute for AI, studies the tricks companies use to harvest user data and undermine opt-out attempts — the so-called dark patterns. She is a woman who defends her own privacy with the discipline of an archivist. In an era when the federal government in Washington is increasingly attempting to collect personal data — on immigration status, gender identity, the use of certain public services — the question of what happens to our children's data takes on an urgency that extends well beyond Sacramento.

According to the official rationale, Addis's bill would restrict how AI companies use student data and create new protections for college students. Sacramento's most powerful players are following the project with the attention that eight million dollars in campaign contributions deserve. The California Labor Federation supports the bill. The California Chamber of Commerce opposes it. Together, the two organizations spent nearly eight million dollars in 2024 on California legislators or other political activities, according to the CalMatters Digital Democracy database. TechNet — a trade association representing the most powerful technology companies — is also against the draft.

The exceptions AB 1159 seeks to close are written into the text of the 2014 law. One need not construct a conspiracy to recognize that a prohibition riddled with dozens of loopholes is no prohibition at all — but a regulated permission. The mechanics are cool: what is forbidden but carries an exception is permitted with effort. What is permitted with effort becomes the norm once the effort pays off. What pays off gets scaled. The students whose data flows through this machinery did not consent. They do not even have an inkling of where their data lands today.

A word of caution, however. What has been gathered here comes from a single source — the report of an outlet that is part of California's press landscape and pursues its own interests. Before this newsroom publishes the silhouette, it requires full verification of the original documents: the statutory text verbatim, the lobbying disclosure filings, the statements of the actors involved. A lead is not proof. An exception in a report is not yet an exception in the law. The architecture can only be assessed by reading the blueprint.

What remains is the sober question that must be asked in every such debate: Is AB 1159 enough? Experts who have reviewed the draft give a measured answer. The existing laws, in their assessment, have proven insufficient to protect California's students — even as the technology has spread and opened up new lines of business. Whether the new draft suffices remains an open question.

The trade in our children's data is not speculation. It is a business model built on assumptions: that schools are bound by contract, that parents do not read what they sign, that authorities do not scrutinize what they approve. As long as these assumptions hold, exceptions will be exploited. As long as exceptions are exploited, laws will be tightened. As long as laws are tightened, those who wish to live off the next exception will organize.

The game is old. The moves are familiar. The stage bears the name Sacramento. And the audience — the parents whose children have long been captured in data records, whose algorithms they cannot see, and whose contracts they never signed — usually learns of it only when a new law addresses the next loophole.

An exception, the saying goes, confirms the rule. In this case, it confirms the business.