Was Unternehmen aus Brasiliens digitalem Jugendschutz lernen können
Von Jhonathan Campos, Gründer
Brasiliens Ausgangspunkt ist nicht das Plattformrecht, sondern der Schutz von Kindern und Jugendlichen. Die Verfassung verpflichtet Familie, Gesellschaft und Staat, ihre Rechte mit absolutem Vorrang zu gewährleisten und sie vor Vernachlässigung, Diskriminierung, Ausbeutung, Gewalt, Grausamkeit und Unterdrückung zu schützen. Auf dieser rechtlichen und politischen Grundlage steht auch der brasilianische Ansatz für digitale Umgebungen.
Das Gesetz Nr. 15.211/2025, häufig als Estatuto Digital da Criança e do Adolescente oder ECA Digital bezeichnet, folgt derselben Logik. Es betrachtet Minderjährige nicht nur als Nutzer, Verbraucher oder betroffene Personen. Es behandelt sie als Menschen in Entwicklung, deren Rechte bereits durch die Gestaltung eines Produkts geschützt werden müssen. Das Gesetz überträgt Grundsätze des Estatuto da Criança e do Adolescente, insbesondere Kindeswohl, umfassenden Schutz und entwicklungsbedingte Verletzlichkeit, in Pflichten für digitale Produkte, Onlinedienste und Plattformarchitektur.
Deshalb ist das brasilianische Modell mehr als ein enges Gesetz zur Inhaltsmoderation. Es geht nicht nur darum, rechtswidrige Inhalte nach einem Schaden zu entfernen. Anbieter müssen Risiken für Minderjährige ab der Gestaltung und während des gesamten Betriebs eines Produkts oder Dienstes berücksichtigen.
Für die Umsetzung ist der Zeitpunkt wichtig. Das Gesetz Nr. 15.211/2025 trat im März 2026 in Kraft. Das Dekret Nr. 12.880/2026 konkretisiert das Gesetz, führt die nationale Politik zum Schutz der Rechte von Kindern und Jugendlichen in digitalen Umgebungen ein und erlaubt die Einrichtung eines nationalen Zentrums zur Sichtung von Meldungen. Das Dekret überträgt der brasilianischen Datenschutzbehörde ANPD außerdem Regulierung und Aufsicht, ohne die Zuständigkeiten anderer Stellen des Kinderschutzsystems auszuschließen.
Die Logik des ECA und Brasiliens Entscheidung für ein digitales Statut
Artikel 1 des Gesetzes Nr. 15.211/2025 erfasst jedes informationstechnische Produkt und jeden entsprechenden Dienst, der sich in Brasilien an Minderjährige richtet oder voraussichtlich von ihnen genutzt wird. Der Ort der Entwicklung, Herstellung, Vermarktung oder des Betriebs ist dabei unerheblich. Der räumliche und funktionale Anwendungsbereich ist weit. Seine Durchsetzung hängt jedoch weiterhin von Verfahrensmechanismen ab, darunter einer Rechtsvertretung in Brasilien und dem Handeln zuständiger Behörden.
Der Begriff des voraussichtlichen Zugangs ist ein zentraler Tatbestand. Er darf nicht als beiläufige Formulierung gelesen werden. Artikel 1 nennt drei Konstellationen: eine hinreichende Nutzungswahrscheinlichkeit und Attraktivität für Minderjährige, einen besonders einfachen Zugang und ein erhebliches Risiko für Privatsphäre, Sicherheit oder biopsychosoziale Entwicklung. Letzteres betrifft vor allem Produkte und Dienste für soziale Interaktion und den Austausch von Informationen in großem Umfang. Ein Unternehmen kann sich deshalb nicht allein auf die erklärte Zielgruppe berufen, wenn der Dienst tatsächlich leicht zugänglich und attraktiv für Minderjährige ist und relevante Risiken erzeugt.
Artikel 2 definiert informationstechnische Produkte und Dienste breit. Erfasst sind Internetanwendungen, Programme, Software, Betriebssysteme für Endgeräte, App-Stores, elektronische Spiele und vergleichbare verbundene Dienste. Soziale Netzwerke werden als Internetanwendungen beschrieben, deren Hauptzweck darin besteht, Meinungen und Informationen über Text-, Bild-, Audio- oder audiovisuelle Dateien zwischen verbundenen oder wechselseitig erreichbaren Konten zu teilen und zu verbreiten.
Das Gesetz zieht zugleich Grenzen. Wesentliche technische Infrastrukturen, etwa offene Protokolle und Standards für die Netzzusammenschaltung, werden nicht wie verbraucherorientierte Anwendungen oder Dienste behandelt.
Für die Compliance ist Verhältnismäßigkeit entscheidend. Nach Artikel 39 richten sich mehrere Pflichten nach den Merkmalen und Funktionen des Produkts, dem Einfluss des Anbieters auf Inhalte, der Nutzerzahl und der Größe des Anbieters. Das Statut legt also nicht jedem Akteur dieselbe starre Pflicht auf. Anforderungen folgen Risiko, Rolle und operativer Leistungsfähigkeit.
Artikel 39 eröffnet außerdem unter Bedingungen einen besonderen Weg für bestimmte Anbieter mit redaktioneller Kontrolle oder vorab lizenzierten urheberrechtlich geschützten Inhalten. Dafür müssen sie unter anderem Altersfreigaben, Transparenzpflichten, Werkzeuge zur elterlichen Begleitung und Beschwerdekanäle umsetzen. Das ist keine allgemeine Ausnahme, sondern eine an konkrete Voraussetzungen gebundene Regelung.
Nach Artikel 40 müssen ausländische Anbieter eine Rechtsvertretung in Brasilien unterhalten. Diese muss Zustellungen entgegennehmen, gegenüber Verwaltungsbehörden, Gerichten und Staatsanwaltschaften handeln und in Brasilien Verantwortung übernehmen können. So wird der breite Anwendungsbereich praktisch durchsetzbar.
Die zentralen Pflichten des Statuts und die Konkretisierung durch das Dekret
Dem Gesetz liegt eine einfache Prämisse zugrunde: Wenn Minderjährige realistisch in die Reichweite eines Produkts gelangen, muss ihr Schutz in den Dienst eingebaut sein. Nutzungsbedingungen, Haftungsausschlüsse und rein reaktive Moderation reichen nicht.
Artikel 3 schafft die Grundpflicht. Erfasste Produkte und Dienste müssen den Schutz von Kindern und Jugendlichen priorisieren, ihr Wohl als Maßstab verwenden und angemessene, verhältnismäßige Maßnahmen für ein hohes Niveau an Privatsphäre, Datenschutz und Sicherheit treffen. Damit verbindet das Statut die Vorgaben unmittelbar mit dem ECA und der brasilianischen Datenschutzgrundverordnung LGPD.
Eltern und Sorgeberechtigte sind Teil der Schutzumgebung. Das Gesetz erkennt ihre Rolle und die Notwendigkeit aktiver, fortlaufender Begleitung an. Dazu gehören Aufsichtswerkzeuge, die Alter und Entwicklungsstand berücksichtigen.
Artikel 4 benennt die geschützten Werte. Er betont Schutz vor Einschüchterung und Gewalt, die schrittweise wachsende Selbstbestimmung, Schutz vor kommerzieller Ausbeutung sowie Transparenz und Verantwortlichkeit bei der Verarbeitung personenbezogener Daten.
Artikel 5 verbindet Prävention, Schutz, Information und Sicherheit. Anbieter müssen angemessene technische Maßnahmen und allgemein anerkannte Sicherheitsmechanismen einsetzen, damit Familien und Sorgeberechtigte ungeeigneten Zugang und Gebrauch verhindern können. Zum Kindeswohl in digitalen Umgebungen zählen Privatsphäre, Sicherheit, psychische und körperliche Gesundheit, Zugang zu Informationen, Beteiligungsfreiheit, sinnvoller Zugang zu digitalen Technologien und Wohlergehen.
Artikel 6 ist eine Schlüsselvorschrift. Statt nur allgemein von Onlineschäden zu sprechen, erstellt er einen Risikokatalog. Anbieter müssen bereits bei der Gestaltung und während des Betriebs angemessene Maßnahmen treffen, um Zugang, Exposition, Empfehlungen oder Kontakte zu schädlichen Situationen zu verhindern oder zu mindern. Genannt werden sexuelle Ausbeutung und Missbrauch, körperliche Gewalt, Cybermobbing, Belästigung, Inhalte, die zu körperlicher oder psychischer Selbstschädigung anleiten, Glücksspiele, Quotenspiele, Lotterien, Tabak, Alkohol, Drogen und andere für Minderjährige verbotene Produkte, räuberische, unlautere oder irreführende Werbung, bekannte Praktiken mit finanziellen Schäden für Minderjährige und pornografische Inhalte. Diese Kategorien stammen aus dem Gesetz und sind keine unverbindlichen Beispiele.
Artikel 7 macht Schutz zur Voreinstellung. Dienste müssen von Anfang an die jeweils schützendste verfügbare Konfiguration für Privatsphäre und personenbezogene Daten anbieten und dabei die zunehmende Selbstbestimmung und das Kindeswohl berücksichtigen. Sind weniger schützende Einstellungen möglich, müssen klare, zugängliche und altersgerechte Informationen eine informierte Entscheidung ermöglichen. Anbieter dürfen Daten Minderjähriger nicht verarbeiten, wenn die Verarbeitung Verletzungen der Privatsphäre oder anderer gesetzlich geschützter Rechte verursacht, erleichtert oder dazu beiträgt.
Artikel 8 ist die Vorschrift für Produkt- und Technik-Governance. Anbieter müssen Risiken aus Funktionen und Systemen sowie deren Auswirkungen auf Sicherheit und Gesundheit Minderjähriger steuern. Dazu gehören altersgerechte Inhaltsbewertung, Systeme gegen rechtswidrige, pornografische oder eindeutig ungeeignete Inhalte, Gestaltung und Voreinstellungen gegen zwanghafte Nutzung sowie gut sichtbare Altersangaben beim Zugang.
Das Dekret operationalisiert diese Anforderungen. Als Anreize zu übermäßiger, problematischer oder zwanghafter Nutzung nennt es beispielsweise das Verbergen natürlicher Stopppunkte, automatisches Nachladen ohne Nutzerhandlung, Belohnungen für Verweildauer und übermäßige Benachrichtigungen. Die ANPD soll Mindestanforderungen an sichere Voreinstellungen festlegen und gegen manipulative, irreführende oder zwingende Praktiken vorgehen. Gemeint sind Entscheidungsarchitekturen, die Selbstbestimmung beeinträchtigen oder kognitive und altersbedingte Verletzlichkeiten ausnutzen, etwa indem Datenschutzkontrollen, elterliche Aufsicht, Einwilligungen oder Widerrufsmöglichkeiten verborgen oder erschwert werden.
Besonders relevant ist die ausdrückliche Erfassung interaktiver Systeme in natürlicher Sprache. Dazu zählen Sprachmodelle, dialogorientierte Agenten und ähnliche Schnittstellen, wenn sie sich an Minderjährige richten oder wahrscheinlich von ihnen genutzt werden. Anbieter müssen die synthetische und automatisierte Interaktion transparent machen, Verhaltensmanipulation verhindern, algorithmische Risiken für Sicherheit und Gesundheit bewerten und Schutzmaßnahmen für die körperliche, psychische und psychosoziale Entwicklung einführen. Regulierung und Aufsicht liegen bei der ANPD.
Altersfeststellung als Infrastruktur
Brasilien wählt einen stärker infrastrukturbasierten Ansatz als viele andere Rechtsordnungen. Artikel 9 verbietet Minderjährigen den Zugang zu Inhalten, Produkten oder Diensten, deren Angebot oder Nutzung für Personen unter 18 Jahren ungeeignet, unzulässig oder verboten ist. Anbieter müssen innerhalb ihrer Produkte und Dienste wirksame Zugangshürden einsetzen.
Die Vorschrift ist genau abzugrenzen. Das Statut schafft die Pflicht, das Dekret ergänzt die Umsetzung. Artikel 9 verlangt bei jedem Zugang zu den dort erfassten Inhalten, Produkten oder Diensten eine verlässliche Altersprüfung und schließt eine bloße Selbstauskunft aus. Daraus folgt keine universelle Alterskontrolle bei jedem Besuch jedes digitalen Dienstes. Auslöser ist der Zugang zu Angeboten, die für Minderjährige ungeeignet oder rechtlich verboten sind. Bei pornografischen Inhalten müssen Anbieter von Internetanwendungen zudem verhindern, dass Minderjährige Konten oder Profile anlegen.
Artikel 10 und 11 unterstützen altersgerechte Nutzungserfahrungen. Behörden können Lösungen zur Altersprüfung regulieren, zertifizieren oder fördern, müssen dabei aber Gesetzmäßigkeit, Privatsphäre, Grundrechte, gesellschaftliche Beteiligung und Transparenz beachten.
Artikel 12 zählt zu den innovativsten Teilen des Statuts. Er verpflichtet App-Stores und Betriebssysteme zu verhältnismäßiger, auditierbarer und technisch sicherer Altersschätzung. Sie müssen freiwillig konfigurierbare elterliche Aufsicht ermöglichen und über eine sichere, datenschutzfreundliche Schnittstelle ein Alterssignal ausschließlich für Compliance-Zwecke bereitstellen. Eine fortlaufende, automatisierte und unbeschränkte Weitergabe personenbezogener Daten Minderjähriger ist untersagt. Downloads durch Minderjährige erfordern eine elterliche Einwilligung, wobei Schweigen nicht als Zustimmung gilt. Weitere Regeln sollen Transparenz, Sicherheit und Interoperabilität konkretisieren.
Das Dekret begrenzt Alterssignale auf das strikt Erforderliche, um ein Mindestalter zu bestätigen. Das genaue Geburtsdatum, die bürgerliche Identität und Profildaten dürfen nicht enthalten sein. App-Stores und Betriebssysteme müssen bei Kontoeröffnung Alter oder Altersgruppe abfragen und anschließend mit einer verlässlichen Methode verifizieren, vorzugsweise über überprüfbare Nachweise. Betroffene brauchen ein Verfahren zur Anfechtung und Berichtigung mit begründeter Entscheidung innerhalb angemessener Zeit. Zudem sind Maßnahmen gegen die Umgehung durch mehrere Konten erforderlich.
Für widersprüchliche Ergebnisse enthält das Dekret eine datenschutzfreundliche Regel: Weicht die Prüfung eines Anbieters vom Signal des App-Stores oder Betriebssystems ab, ist die für das Kind oder den Jugendlichen schützendere Option anzuwenden.
Artikel 13 beschränkt Daten aus der Altersprüfung auf diesen Zweck. Bei der Erfassung von Dokumenten darf nur Alter oder Altersgruppe verarbeitet werden. Bilder oder Kopien des Dokuments dürfen nicht gespeichert oder aufbewahrt werden und müssen nach der Erfassung unverzüglich und unumkehrbar gelöscht werden.
Das Dekret eröffnet zwei Entwicklungspfade. Das für öffentliche Verwaltung zuständige Ministerium kann Bürgern kostenlose öffentliche Lösungen zur Altersprüfung bereitstellen. Die ANPD soll außerdem eine schrittweise Umsetzung definieren, um ein interoperables System öffentlicher und privater Lösungen mit Wahlfreiheit zu fördern, Empfehlungen veröffentlichen und ihre Aufsicht nach Risiken für Minderjährige priorisieren.
Werbung, Monetarisierung und Spiele
Artikel 22 verbietet Profiling zur Aussteuerung kommerzieller Werbung an Kinder und Jugendliche. Auch Emotionsanalyse, Augmented Reality, Extended Reality und Virtual Reality dürfen dafür nicht eingesetzt werden. Artikel 26 ergänzt das Verbot: Aus personenbezogenen Daten, einschließlich Daten aus der Altersprüfung, dürfen keine Verhaltensprofile Minderjähriger für gezielte kommerzielle Werbung erstellt werden.
Das Dekret verpflichtet auch Anbieter, die Werbung oder deren Verbreitung an Minderjährige ermöglichen, Profiling und die genannten immersiven oder emotionalen Techniken zu verhindern.
Artikel 23 untersagt Monetarisierung und Reichweitenverstärkung von Inhalten, die Minderjährige erotisiert, sexuell anzüglich oder in einem erwachsenen sexuellen Zusammenhang zeigen. Das Dekret bezieht zusätzlich entwürdigende, beschämende oder degradierende Situationen ein und verbindet die Pflicht mit dem Risikokatalog des Gesetzes.
Für Influencer-Inhalte gilt eine weitere Regel. Werden Inhalte monetarisiert oder verstärkt und nutzen sie regelmäßig Bild oder Alltag eines Kindes oder Jugendlichen, müssen Anbieter eine gerichtliche Genehmigung nach dem ECA verlangen. Fehlt sie, ist der Inhalt zu entfernen. Die Pflicht betrifft Monetarisierung oder Verstärkung, die nach Ablauf der Übergangsfrist des Dekrets beginnt. Eine institutionelle Abstimmung mit dem nationalen Justizrat und dem Rat der Staatsanwaltschaft ist vorgesehen.
Für Spiele setzt Artikel 20 eine klare Grenze: Lootboxen sind in elektronischen Spielen verboten, die sich an Minderjährige richten oder nach der geltenden Altersklassifizierung wahrscheinlich von ihnen genutzt werden. Das ist eine Einschränkung des Geschäftsmodells und nicht nur eine Transparenzpflicht.
Meldungen, Entfernungspflichten und strukturierte Eskalation
Das brasilianische Statut kombiniert unmittelbare Anbieterpflichten, Auslöser des Kinderschutzsystems und Eskalationen an Strafverfolgungsbehörden.
Artikel 27 betrifft besonders schwere Verstöße. Anbieter müssen erkannte Inhalte entfernen und an zuständige nationale und internationale Stellen melden, wenn sie auf Ausbeutung, sexuellen Missbrauch, Entführung oder Grooming hindeuten. Das ist keine allgemeine Meldepflicht für sämtliche problematischen Inhalte, sondern an bestimmte schwere Kategorien gebunden.
Inhalte und mit gemeldeten Nutzern verbundene Daten sind für den Zeitraum aufzubewahren, der sich aus der Regel des Marco Civil da Internet zu Zugangsprotokollen ergibt. Eine längere Aufbewahrung ist über den anwendbaren gesetzlichen Mechanismus möglich.
Das Dekret bündelt einen Teil des Meldewegs. Die Bundespolizei nimmt die Meldungen entgegen, verarbeitet, prüft und verwaltet sie. Ein nationales Triagezentrum innerhalb der Bundespolizei kann Meldungen empfangen, validieren und speichern, Verdächtige durch Sichtung identifizieren, Informationen den ermittelnden Polizeibehörden bereitstellen und regelmäßig nach Anbieter aufgeschlüsselte Transparenzstatistiken veröffentlichen.
Eine grenzüberschreitende Effizienzregel vermeidet doppelte Meldungen. Anbieter müssen nicht erneut berichten, wenn sie identische Angaben bereits ausländischen Meldestellen übermittelt haben und diese brasilianischen Behörden zugänglich sind. Nach Verarbeitung, Prüfung und Bereitstellung an die Bundespolizei werden solche Berichte rechtlich und beweisrechtlich wie unmittelbar beim nationalen Zentrum eingereichte Meldungen behandelt.
Artikel 28 erfasst weitere Verletzungen von Rechten Minderjähriger. Anbieter müssen leicht nutzbare Meldemöglichkeiten bereitstellen und gegebenenfalls zuständige Behörden informieren, damit eine Untersuchung nach den näheren Regeln eingeleitet werden kann.
Artikel 29 schafft im Namen umfassenden Schutzes eine starke, hinweisbasierte Entfernungspflicht. Anbieter müssen rechtsverletzende Inhalte nach einem Hinweis durch das Opfer, dessen Vertretung, die Staatsanwaltschaft oder anerkannte Kinderschutzorganisationen ohne vorherige gerichtliche Anordnung entfernen. Das ist keine unbegrenzte Löschbefugnis. Die Pflicht gilt innerhalb eines definierten Meldeverfahrens und unter Schutzvorkehrungen.
Hinweise müssen den konkreten Inhalt technisch identifizieren und die meldende Person benennen. Anonyme Anzeigen sind ausgeschlossen. Der Meldeweg muss öffentlich und leicht zugänglich sein. Journalistische Inhalte und redaktionell kontrollierte Angebote fallen nicht unter dieses Verfahren.
Artikel 30 ergänzt Verfahrensrechte. Der Urheber muss über die Entfernung, Gründe und Begründung sowie darüber informiert werden, ob eine menschliche oder automatisierte Prüfung zugrunde lag. Ein Rechtsbehelf und Fristen für Antrag und Antwort sind erforderlich.
Das Dekret ermöglicht der ANPD, repräsentative Organisationen für Hinweise nach Artikel 29 zu akkreditieren. Funktional erinnert dies an vertrauenswürdige Hinweisgeber des europäischen DSA, ist aber rechtlich eigenständig. Die Organisationen müssen Erfahrung, Unabhängigkeit von Anbietern, qualitätssichernde und unparteiische Verfahren sowie Gemeinnützigkeit nachweisen. Bei Zweckentfremdung oder missbräuchlichen Meldungen kann die ANPD die Akkreditierung aussetzen.
Das Gesetz berücksichtigt auch den Missbrauch von Meldesystemen. Anbieter müssen missbräuchliche Nutzung erkennen, um Zensur, Verfolgung und andere rechtswidrige Praktiken zu verhindern. Nutzer sind klar über Missbrauchsszenarien und Sanktionen zu informieren. Möglich sind eine vorübergehende Kontosperre, bei wiederholtem oder schwerem Missbrauch die Kontolöschung sowie eine Meldung an Behörden bei Anzeichen für Straftaten oder Rechtsverletzungen.
Aufsicht, Sanktionen und die Grenze gegen Überwachung
Das Statut sieht eine autonome Verwaltungsbehörde zum Schutz digitaler Rechte Minderjähriger vor. Das Dekret weist der ANPD Regulierung und Aufsicht zu, lässt aber die Befugnisse anderer Stellen im Kinderschutzsystem bestehen.
Zu den konkreten Aufgaben der ANPD gehören Mindestanforderungen an sichere Voreinstellungen, Maßnahmen gegen manipulative Gestaltung, Zertifizierung und Umgehungsschutz bei Altersprüfungen, die Aufsicht über akkreditierte Meldestellen und die Kontrolle von Folgenabschätzungen.
Daneben schafft das Dekret eine politische und administrative Koordinierung. Ein sektorübergreifender Ausschuss soll die nationale Politik zum Schutz von Minderjährigen in digitalen Umgebungen koordinieren, umsetzen, überwachen, bewerten und überarbeiten. ANPD, der nationale Rat für die Rechte von Kindern und Jugendlichen und mehrere Ministerien sind vertreten. Jugendschutz wird damit als ressortübergreifende öffentliche Aufgabe und nicht nur als Kommunikations- oder Plattformthema behandelt.
Artikel 35 regelt Sanktionen. Möglich sind eine Verwarnung mit bis zu 30 Tagen für Korrekturmaßnahmen, ein Bußgeld, die vorübergehende Aussetzung von Tätigkeiten und ein Tätigkeitsverbot. Das Bußgeld kann bis zu zehn Prozent des brasilianischen Umsatzes der Unternehmensgruppe im vorangegangenen Geschäftsjahr erreichen. Fehlen Umsatzdaten, sieht das Gesetz 10 bis 1.000 Real je registriertem Nutzer vor, insgesamt begrenzt auf 50 Millionen Real pro Verstoß.
Die Zuständigkeiten sind genau zu unterscheiden. Verwarnung und Bußgeld werden von der autonomen Verwaltungsbehörde in einem Verwaltungsverfahren mit rechtlichem Gehör und Verteidigungsrechten verhängt. Aussetzung und Tätigkeitsverbot sind schwerere Eingriffe und unterliegen den dafür vorgesehenen gesetzlichen und verfahrensrechtlichen Sicherungen. Eine pauschale Darstellung unmittelbarer Sanktionsmacht der Behörde wäre daher ungenau.
Für die Bemessung nennt das Gesetz Verhältnismäßigkeit und Angemessenheit, Schwere und Grund des Verstoßes, Umfang individueller und kollektiver Schäden, Wiederholung, wirtschaftliche Leistungsfähigkeit, sozialen Zweck des Anbieters und Auswirkungen auf den Informationsfluss in Brasilien. Bei ausländischen Unternehmen können lokale Niederlassungen gesamtschuldnerisch für Bußgelder haften.
Das Verfahren knüpft an das ECA-System für Verwaltungsverstöße und Sanktionen an. Bei Nichtbefolgung von Aussetzungs- oder Verbotsanordnungen können Telekommunikationsanbieter, Internetknoten, DNS-Dienste und andere Verbindungsakteure zur technischen Durchsetzung herangezogen werden.
Bußgelder fließen fünf Jahre lang zweckgebunden in den nationalen Fonds für Kinder und Jugendliche. Die Einnahmen sollen Schutzpolitiken und Projekte finanzieren und nicht einfach dem allgemeinen Staatshaushalt zufallen.
Artikel 37 setzt zugleich eine wichtige Grenze: Regulierung darf keine massenhafte, allgemeine oder unterschiedslose Überwachung vorschreiben, erlauben oder bewirken. Auch Meinungsfreiheit, Privatsphäre, umfassender Schutz und die besondere Behandlung personenbezogener Daten Minderjähriger dürfen nicht beeinträchtigt werden. Diese Vorgabe ist angesichts des ambitionierten Altersprüfungsmodells wesentlich. Datenminimierung, Zweckbindung und enge Grenzen für Alterssignale durchziehen deshalb das Regelwerk.
Regulierte Schäden und geschützte Interessen
Das Statut erstellt keine einfache Liste zivilrechtlicher Schadenspositionen. Es benennt geschützte Interessen und regulierte Gefahren. Diese Unterscheidung ist wichtig.
Zu den geschützten Interessen gehören Privatsphäre, Sicherheit, psychische und körperliche Gesundheit, Wohlergehen, Informationszugang, Beteiligung und sinnvoller Zugang zu digitalen Technologien. Regulierte Gefahren sind unter anderem sexuelle Ausbeutung und Missbrauch, Gewalt, Cybermobbing, Inhalte zur Selbstschädigung, Glücksspiele und altersbeschränkte Produkte, Praktiken mit finanziellen Schäden, Pornografie, zwanghafte Nutzung und manipulative Entscheidungsarchitekturen.
Das Dekret verlangt Folgenabschätzungen für Sicherheit und Gesundheit Minderjähriger. Sie müssen Risiken identifizieren, Eintrittswahrscheinlichkeit und Schwere bewerten, Minderungs- und Behandlungsmaßnahmen festlegen und deren Wirksamkeit laufend überwachen. Eine Zusammenfassung ist in klarer, zugänglicher Sprache zu veröffentlichen.
Das ist eine der stärksten praktischen Folgen des brasilianischen Modells. Kindersicherheit darf nicht bei einer öffentlichen Grundsatzerklärung stehen bleiben. Unternehmen brauchen dokumentierte Risikoerkennung, Abhilfen, Überwachung und Nachweise.
Brasilien und Europa im Vergleich
In Europa verteilt sich der digitale Jugendschutz auf mehrere Instrumente. Der Digital Services Act schafft horizontale Plattformpflichten und Governance systemischer Risiken. Die DSGVO enthält besondere Datenschutzgrundsätze für Kinder und Regeln zur Einwilligung bei Diensten der Informationsgesellschaft. Die Richtlinie über audiovisuelle Mediendienste verlangt Schutzmaßnahmen gegen entwicklungsbeeinträchtigende audiovisuelle und nutzergenerierte Inhalte. Auch das Verbraucherschutzrecht erfasst Spiele und virtuelle Währungen.
Artikel 28 DSA ist der engste Vergleich, aber nicht identisch. Onlineplattformen, die Minderjährigen zugänglich sind, müssen geeignete und verhältnismäßige Maßnahmen für ein hohes Niveau an Privatsphäre, Sicherheit und Schutz treffen. Profilbasierte Werbung mit personenbezogenen Daten Minderjähriger ist verboten, wenn der Anbieter mit hinreichender Sicherheit weiß, dass der Empfänger minderjährig ist. Zugleich darf die Erfüllung dieser Pflicht keine zusätzliche Verarbeitung personenbezogener Daten zur Altersfeststellung erzwingen. Die Leitlinien der Kommission von 2025 bestätigen diesen verhältnismäßigen Ansatz und die Datenschutzgrenze.
Brasilien ist in mehreren Bereichen konkreter: Altersfeststellung, schützende Voreinstellungen, Pflichten von App-Stores und Betriebssystemen, Lootboxen, Monetarisierung bestimmter Inhalte mit Minderjährigen und Meldewege für schwere Verstöße. Der DSA ist als horizontales Plattform-Governance-System weiter ausgebaut, besonders bei Meldeverfahren, Begründungen, interner Beschwerdebearbeitung, vertrauenswürdigen Hinweisgebern, Werbetransparenz und systemischen Risiken.
Auch bei Werbung geht Brasilien teilweise weiter. Der DSA verbietet profilbasierte Werbung an Minderjährige bei hinreichender Kenntnis des Alters. Brasilien untersagt Profiling zur gezielten kommerziellen Werbung an Kinder und Jugendliche und bezieht Daten aus der Altersprüfung ausdrücklich ein.
Artikel 25 DSA verbietet Oberflächen, die Nutzer täuschen, manipulieren oder ihre freie und informierte Entscheidung wesentlich beeinträchtigen. Das brasilianische Dekret ist kinderspezifischer und erfasst die Ausnutzung kognitiver und altersbedingter Verletzlichkeit sowie die Behinderung von Datenschutzkontrollen, elterlicher Aufsicht, Einwilligung und Widerruf. Die Anliegen ähneln sich, ihre Rechtsstrukturen unterscheiden sich.
Für Hinweise, Entfernung und Verfahrensrechte ist der DSA detaillierter. Brasilien schafft in definierten Kinderschutzfällen eine Entfernungspflicht ohne Gerichtsbeschluss, verlangt aber Identifikation der meldenden Person, technische Inhaltskennungen, Information der Nutzer und Rechtsbehelfe. Der brasilianische Mechanismus ist unmittelbar an Kinderrechte gebunden, der DSA bleibt horizontal.
Beide Systeme verlangen von ausländischen Anbietern eine lokale Rechtsvertretung. Der DSA fordert sie von Anbietern außerhalb der EU, die dort Dienste anbieten. Artikel 40 des brasilianischen Gesetzes verlangt eine Vertretung in Brasilien mit Befugnissen für Zustellung und Verfahren vor Behörden, Gerichten und Staatsanwaltschaften.
Auch die Sanktionsmodelle unterscheiden sich. Der DSA erlaubt Höchstbußgelder bis zu sechs Prozent des weltweiten Jahresumsatzes. Brasilien setzt bis zu zehn Prozent des Umsatzes der Unternehmensgruppe in Brasilien an, unter Beachtung der gesetzlichen Obergrenze, und kennt außerdem Aussetzung und Tätigkeitsverbot.
Die Richtlinie über audiovisuelle Mediendienste verlangt geeignete Maßnahmen von Video-Sharing-Plattformen, um Minderjährige vor Inhalten zu schützen, die ihre körperliche, geistige oder sittliche Entwicklung beeinträchtigen können. Dazu können Meldewege, Altersprüfung und elterliche Kontrollen gehören. Daten Minderjähriger aus Altersprüfungen oder elterlicher Kontrolle dürfen nicht für kommerzielle Zwecke wie Direktmarketing, Profiling oder verhaltensbasierte Werbung verwendet werden.
Bei Spielen setzt die EU bislang vor allem auf Verbraucherschutzdurchsetzung, politischen Druck und unverbindliche Leitlinien. Kommission und CPC-Netzwerk befassen sich mit virtuellen In-Game-Währungen und der Verletzlichkeit von Verbrauchern, besonders Kindern. Das Europäische Parlament hat stärkere Maßnahmen gegen Lootboxen und glücksspielähnliche Zufallsmechanismen gefordert. Das entspricht nicht dem brasilianischen gesetzlichen Verbot für Spiele, die sich an Minderjährige richten oder wahrscheinlich von ihnen genutzt werden.
Brasiliens Lehre ist direkt: Wird eine konkrete Produktfunktion als vorhersehbar schädlich für Minderjährige bewertet, kann das Gesetz sie verbieten, statt nur Transparenz zu verlangen. Solche harten Regeln erfordern jedoch sorgfältige Umsetzung, Klassifizierung und Aufsicht. Brasilien versucht dies über Alterskennzeichnung und Konkretisierungen im Dekret.
Warum aktuelle US-Verfahren relevant sind
Die internationale Debatte verändert sich, weil Gerichte suchterzeugende Gestaltung und fehlende Sicherheitsvorkehrungen zunehmend als mögliche Produktschäden und nicht nur als Inhaltsmoderation behandeln.
Im März 2026 befand eine Jury in Los Angeles Meta und Google in einem richtungsweisenden Verfahren zur Abhängigkeit von sozialen Medien wegen behaupteter Schäden durch Instagram und YouTube für fahrlässig. Reuters berichtete über insgesamt sechs Millionen US-Dollar, davon 4,2 Millionen für Meta und 1,8 Millionen für Google. Das Urteil ist verfahrensrechtlich vorsichtig einzuordnen, weil die Unternehmen Rechtsmittel ankündigten und nachträgliche Anträge das Ergebnis beeinflussen können.
Nach Reuters dient das Verfahren als Testfall für Tausende ähnliche Klagen vor kalifornischen Gerichten. Eine weitere Jury in New Mexico sah Meta im März 2026 im Zusammenhang mit Kindersicherheit nach dortigem Verbraucherschutzrecht in der Verantwortung. Das Justizministerium von New Mexico gab zivilrechtliche Sanktionen von 375 Millionen US-Dollar bekannt. Auch dieses Ergebnis gehört zu einer sich entwickelnden Prozesslandschaft und ist kein endgültiger, allgemeiner Rechtsstandard.
Die US-Urteile definieren brasilianisches Recht nicht. Sie zeigen jedoch dieselbe Bewegung: Gestaltungsentscheidungen werden als mögliche Ursache von Schäden an Kindern behandelt. Das ECA Digital verschiebt die Frage bereits vom gehosteten Inhalt hin zu der Produktgestaltung, die vorhersehbare Risiken erzeugt oder nicht mindert. Artikel 8, Regeln gegen zwanghafte Nutzung, Grenzen für Profiling und Monetarisierung sowie das Verbot manipulativer Entscheidungsarchitektur machen diesen Wandel operativ.
Ein belastbares Programm verbindet deshalb Produktsicherheits-Governance, Datenschutz und Kinderrechte. Es dokumentiert Risiken, setzt datensparsame Altersfeststellung und schützende Voreinstellungen ein, begrenzt Profiling und Monetarisierung, organisiert klare Melde- und Entfernungswege und weist die fortlaufende Überwachung nach.
Compliance-Schritte für 2026
Für Unternehmen in Brasilien oder Anbieter, deren Dienste Minderjährige in Brasilien realistisch erreichen, lautet die erste Frage nicht, ob der Dienst ausdrücklich für Kinder entwickelt wurde. Entscheidend ist, ob Minderjährige voraussichtlich zugreifen und ob relevante Risiken für Privatsphäre, Sicherheit oder biopsychosoziale Entwicklung entstehen.
Die zweite Frage ist die Nachweisfähigkeit. Gesetz und Dekret verlangen mehr als Richtlinientexte. Erforderlich sind Systeme, Einstellungen, Kontrollen, Risikobewertungen, Meldewege und Aufsichtsstrukturen.
Ein ernsthaftes Programm umfasst mindestens eine Anwendungsbereichsanalyse nach den Kriterien gezielte und wahrscheinliche Nutzung, eine Folgenabschätzung für Sicherheit und Gesundheit Minderjähriger, datensparsame Altersfeststellung, schützende Datenschutz- und Sicherheitsvoreinstellungen, gegebenenfalls elterliche Aufsicht, eine Prüfung von Werbung, Profiling und Monetarisierung, eine Prüfung von Spielmechaniken mit besonderem Blick auf Lootboxen, Melde- und Eskalationsverfahren für schwere Fälle nach Artikel 27, Hinweis-, Entfernungs- und Rechtsbehelfsverfahren nach Artikel 29 und 30, Schutz vor missbräuchlichen Meldungen, eine brasilianische Rechtsvertretung für ausländische Anbieter und geordnete Nachweise über Entscheidungen, Bewertungen, Einstellungen, Meldungen, Rechtsbehelfe und Abhilfen.
Die Stärke des brasilianischen Modells liegt darin, Kinderschutz nicht erst nach einem Schaden beginnen zu lassen. Gestaltung, Voreinstellungen, Monetarisierung und Altersfeststellung werden Teil der Rechtspflicht. Genau darin liegt auch die größte Umsetzungsherausforderung. Bei schwacher Aufsicht droht Formalismus. Bei ernsthafter Durchsetzung kann das Regelwerk zu einem der operativ anspruchsvollsten digitalen Jugendschutzregime werden.
Anhang: Quellen und Bibliografie
- Brasilianische Bundesverfassung, Artikel 227
- Gesetz Nr. 8.069/1990, Estatuto da Criança e do Adolescente
- Gesetz Nr. 15.211/2025, ECA Digital
- Dekret Nr. 12.880/2026
- Gesetz Nr. 12.965/2014, Marco Civil da Internet
- Gesetz Nr. 13.709/2018, LGPD
- Digital Services Act, Verordnung (EU) 2022/2065
- Leitlinien der Europäischen Kommission zum Schutz Minderjähriger nach Artikel 28 DSA
- Datenschutz-Grundverordnung, Verordnung (EU) 2016/679
- Richtlinie über audiovisuelle Mediendienste
Die Einordnung der US-Verfahren stützt sich ergänzend auf Reuters und Veröffentlichungen des Justizministeriums von New Mexico. Diese Sekundärquellen werden nur für den Prozesskontext und nicht als primäre Rechtsgrundlage verwendet.