Begutachtung 132/ME · XXVIII. GP

157/SN-132/ME XXVIII. GP - Stellungnahme 1 von 8 An das Bundesministerium für Wohnen, Kunst, Kultur, Medien und Sport Concordiaplatz 2 1010 Wien Mit E-Mail: medienrecht@bmwkms.gv.at Post.VII-2@bka.gv.at BMJ - Kompetenzstelle GDSR (Geschäftsstelle des Datenschutzrates) dsr@bmj.gv.at +43 1 52152 2918 Museumstraße 7, 1070 Wien E-Mail-Antworten sind bitte unter Anführung der Geschäftszahl an dsr@bmj.gv.at zu richten. Geschäftszahl: 2026-0.774.911 GZ des Begutachtungsentwurfes: 2026-0.537.620 Entwurf eines Bundesgesetzes, mit dem das Audiovisuelle Mediendienste- Gesetz und das KommAustria-Gesetz geändert werden; Stellungnahme des Datenschutzrates Der Datenschutzrat hat in seiner 285. Sitzung des Datenschutzrates am 16. September 2026 einstimmig beschlossen, zu der im Betreff genannten Thematik folgende Stellungnahme abzugeben: I. Materialien und Entwurf 1 Laut den Erläuterungen dient der Gesetzentwurf dem verstärkten Schutz von Kindern und Jugendlichen vor entwicklungsbeeinträchtigenden Auswirkungen sozialer Medien und anderer digitaler Dienste. Die intensive Nutzung digitaler Angebote, insbesondere von Video-Sharing-Plattformen, suchtähnliche Nutzungsmuster sowie aufmerksamkeits- und bindungsfördernde Funktionen wie endloses Scrollen, automatische Wiedergabe und spielähnliche Elemente gäben Anlass zu besonderer Sorge. Algorithmische Empfehlungssysteme könnten zudem die Verbreitung extremistischer, radikalisierender, hetzerischer oder sonst schädlicher Inhalte begünstigen. 2 Vor diesem Hintergrund solle für bestimmte Social-Media- bzw. Video-Sharing-Plattformen ein verpflichtendes Mindestalter von 14 Jahren vorgesehen werden. Die Maßnahme stehe im Zusammenhang mit dem im Regierungsprogramm und im Vortrag an den Ministerrat www.parlament.gv.at 1 von 8 2 von 8 157/SN-132/ME XXVIII. GP - Stellungnahme 46c/1 vom 27. März 2026 bekundeten Ziel, den Kinder- und Jugendschutz im digitalen Raum zu stärken, und trage dem Kindeswohlvorrangigkeitsprinzip des Art. 1 BVG Kinderrechte Rechnung. 3 Die Zugangsbeschränkung solle nicht zu einem allgemeinen Ausschluss Minderjähriger von digitalen Informationen führen, sondern auf jene Plattformen oder Funktionen beschränkt werden, bei denen aufgrund ihrer konkreten Ausgestaltung eine besondere Entwicklungsgefährdung bestehe. Bei der Ausgestaltung seien die Meinungs- und Informationsfreiheit nach Art. 10 EMRK, Art. 24 Abs. 1 GRC sowie das Beteiligungsrecht von Kindern nach Art. 4 BVG Kinderrechte zu berücksichtigen. Die Beschränkung wirke zudem nur bis zum Erreichen der vorgesehenen Altersgrenze. Auch die Verfügbarkeit alters- gerechter Informations- und Kommunikationsangebote sei in die Verhältnis- mäßigkeitsprüfung einzubeziehen. 4 Art. 28b der Richtlinie 2010/13/EU über audiovisuelle Mediendienste verpflichte die Mitgliedstaaten, Minderjährige auf Video-Sharing-Plattformen vor Inhalten zu schützen, die ihre körperliche, geistige oder sittliche Entwicklung beeinträchtigen könnten, und ermögliche insbesondere wirksame Zugangskontrollen durch Altersverifikation. Diese Vorgaben seien in Österreich im Audiovisuelle-Mediendienste-Gesetz, insbesondere in den §§ 54c ff. AMD-G, umgesetzt worden. 5 Ergänzend verpflichte Art. 28 der Verordnung (EU) 2022/2065 über einen Binnenmarkt für digitale Dienste (Digital Services Act – DSA) Anbieter von Online-Plattformen zu geeigneten und verhältnismäßigen Maßnahmen zum Schutz Minderjähriger. Der DSA lege jedoch selbst kein bestimmtes Mindestalter fest. Die spezifischeren Vorgaben der Richtlinie über audiovisuelle Mediendienste und die allgemeinen Verpflichtungen des DSA ergänzten einander und stünden einer nationalen Regelung eines Mindestalters nicht entgegen. 6 Die vorgesehene Altersverifikation sei datenschutzrechtlich besonders sensibel auszugestalten. Es dürfen nur jene personenbezogenen Daten verarbeitet werden, die zur Feststellung der Altersberechtigung unbedingt erforderlich sind. Eine dauerhafte Speicherung oder die Erstellung von Nutzungs-, Identitäts- oder Bewegungsprofilen ist zu vermeiden. Die eingesetzten Verfahren müssen verhältnismäßig, datenschutzfreundlich und möglichst wenig eingriffsintensiv sein. Die gesetzlichen Vorgaben sollen daher technologieoffen formuliert werden, zugleich aber klare Anforderungen an Daten- minimierung, Zweckbindung, Speicherbegrenzung und Datensicherheit enthalten. 7 Da die maßgeblichen Plattformen vielfach in anderen Mitgliedstaaten niedergelassen sind, ist die Durchsetzung österreichischer Vorschriften im Rahmen der unionsrechtlichen www.parlament.gv.at 2 von 8 157/SN-132/ME XXVIII. GP - Stellungnahme 3 von 8 Vorgaben, insbesondere des Art. 3 Abs. 4 der Richtlinie 2000/31/EG über den elektronischen Geschäftsverkehr, sicherzustellen. 8 Der Gesetzentwurf ist nach der Richtlinie (EU) 2015/1535 zu notifizieren. Während der daran anschließenden Stillhaltefrist darf die Regelung grundsätzlich nicht erlassen werden. Eine Verletzung der Notifikationspflicht kann nach der Rechtsprechung des Gerichtshofs der Europäischen Union zur Unanwendbarkeit der betreffenden technischen Vorschriften führen. Die unionsrechtliche Vereinbarkeit des Entwurfs ist daher vor seiner Erlassung abschließend zu prüfen. II. Inhaltliche Bemerkungen Vorbemerkung: 9 a. Das Verhältnis des Entwurfs zum europäischen Rechtsrahmen betreffend Minder- jährigenschutz online ist vorrangig vom federführenden Ressort zu prüfen. Dennoch sei an dieser Stelle darauf hingewiesen, dass die Europäische Kommission im Rahmen des Notifikationsverfahrens zu einer nationalen Regelung zur Einführung verpflichtender Altersverifikationsmethoden in Polen kritisch Stellung genommen hat (s. die Stellungnahme der Europäischen Kommission vom 15.12.2025 zu Notifizierung 2025/545/PL, DokNr. C[2025] 8957). Demnach erkennt die Europäische Kommission an, dass der Schutz von Minderjährigen vor den Risiken verhaltensbedingter Abhängigkeiten und schädlicher Auswirkungen pornografischer Inhalte ein legitimer Zweck ist, betont aber, dass dieses Ziel bereits durch EU-Instrumente (insb. Digital Service Act, E-Commerce-RL, AVMD-RL sowie DSA-Leitlinien zum Schutz Minderjähriger) verfolgt wird. Es wird daher angeregt, nähere Ausführungen zum Verhältnis des Vorhabens zu den genannten Unionsrechtsakten in die Erläuterungen aufzunehmen. 10 b. Zudem stellt sich die Frage, in welchem Verhältnis die vorgeschlagene Altersgrenze für Video-Sharing-Plattformen nach dem AMD-G zur Altersgrenze für die Einwilligung eines Kindes in Bezug auf Dienste der Informationsgesellschaft nach Art. 1 § 4 Abs. 4 DSG iVm Artikel 8 DSGVO steht. Art. 1 § 4 Abs. 4 DSG sieht bereits aktuell eine Altersgrenze von 14 Jahren für die wirksame Einwilligung in die Verarbeitung der personenbezogenen Daten des Kindes für Angebote der Informationsgesellschaft vor. Darauf wäre in den Erläuterungen näher einzugehen. 11 c. Der Entwurf stützt sich neben der Kompetenzgrundlage des Art. 10 Abs. 1 Z 9 B-VG (Post- und Fernmeldewesen) hinsichtlich § 54e Abs. 3a und 3b auch auf Art. 10 Abs. 1 Z 13 (allgemeine Angelegenheiten des Datenschutzes). Die genannten Bestimmungen enthalten www.parlament.gv.at 3 von 8 4 von 8 157/SN-132/ME XXVIII. GP - Stellungnahme jedoch materienspezifische Sonderregelungen für Video-Sharing-Plattformanbieter, die als Annexmaterie auf den Kompetenztatbestand der jeweiligen Regelungsmaterie gestützt sind (301 BlgNR 26. GP 4). Es wird angeregt, dies entsprechend zu prüfen. Zu Artikel 1 (Änderung des Audiovisuelle Medien-Gesetzes – AMD-G) Zu Z 4 (§ 54c Abs. 1a und 1b): 12 Laut den Erläuterungen sollen durch § 54c Abs. 1a und 1b AMD-G die bestehenden Verpflichtungen für Video-Sharing-Plattformanbieter des 9b. Abschnitts auch für Anbieter in anderen EU-Mitgliedstaaten und in Drittstaaten ausgeweitet werden. Die Regelungen des 9b. Abschnitts seien selbst unionsrechtlich determiniert. 13 In diesem Zusammenhang wird angeregt, in den Erläuterungen darzulegen, inwiefern die Erweiterung des Anwendungsbereichs auf grenzüberschreitende Sachverhalte von unionsrechtlich determinierten Regelungen hier keinen Eingriff in die Regelungskompetenz der Europäischen Union darstellt. Zu Z 5 (§ 54e Abs. 3 Z 5): 14 a. Gemäß § 54e Abs. 3 Z 5 des Entwurfs sollen Video-Sharing-Plattformanbieter verpflichtet werden, den Zugang für Minderjährige unter 14 Jahren durch eine wirksame Kontrolle im Wege der Altersverifikation zu sperren, „wenn aufgrund spezifischer Funktionen der Schutz dieser Minderjährigen vor sie in ihrer körperlichen, geistigen oder sittlichen Entwicklung beeinträchtigenden Inhalten oder Verhaltensweisen nicht gewährleistet ist“. Danach werden in den lit. a bis e demonstrativ Funktionen beschrieben, die laut den Erläuterungen suchterzeugendes Potential aufweisen. Laut den Erläuterungen soll durch die nicht abschließende Regelung der Regulierungsbehörde ermöglicht werden, auf neu entstehende entwicklungsbeeinträchtigende Funktionalitäten zu reagieren. Zugleich stehe es Video- Sharing-Plattformanbietern offen, innerhalb ihrer Plattformen Bereiche zu schaffen, in denen diese Funktionalitäten nicht zum Einsatz kommen und daher keine Alters- verifizierung erforderlich sei. 15 b. In den Erläuterungen wird festgehalten, dass Art. 28b Abs. 3 lit. f AVMD-RL nicht so verstanden werden könne, dass er an bestimmte schädliche Inhalte auf einer Video- Sharing-Plattform anknüpfe, sondern vielmehr auf jene Video-Sharing-Plattformen abziele, bei denen eine sichere Nutzung durch bestimmte Altersgruppen schon wegen der grundsätzlichen inhaltlichen Ausrichtung der Plattform oder der Art der Inhalteorganisation www.parlament.gv.at 4 von 8 157/SN-132/ME XXVIII. GP - Stellungnahme 5 von 8 nicht gewährleistet werden könne. Es wird angeregt, in den Erläuterungen festzuhalten, woraus sich diese Schlussfolgerung ergibt. 16 c. Die für die Altersverifikation erforderliche Verarbeitung personenbezogener Daten stellt zwar grundsätzlich einen Eingriff in das Grundrecht auf Datenschutz dar, dieser kann jedoch gerechtfertigt sein, wenn er sich auf ein legitimes Ziel stützt, zur Zielerreichung geeignet und angemessen ist und bei Abwägung aller legitimen Interessen verhältnismäßig ist. 17 Durch den nicht abgeschlossenen Katalog an Funktionen bleibt es allein der Regulierungs- behörde im Einzelfall überlassen zu beurteilen, wann Funktionen auf einer Video-Sharing- Plattform Minderjährige unter 14 Jahre potentiell schädigen oder nicht. Dafür werden keine weiteren Kriterien festgehalten und auch kein Prozedere für die Feststellung eines solchen Effektes beschrieben. 18 Die Ermächtigung der Regulierungsbehörden einzuschreiten, wird dadurch nicht abschließend geregelt. Zudem wird auch die Frage der Verhältnismäßigkeit der verpflichtenden Altersverifikationen in Fällen, die nicht in den in den Katalog gefährdender Funktionen nach lit. a bis e fallen, nicht abschließend beantwortet. Es stellt sich daher die Frage, ob § 54e Abs. 3 Z 5 den Bestimmtheitsanforderungen des Art. 18 B-VG sowie des Art. 1 § 1 Abs. 2 DSG entspricht. 19 Zudem wäre damit zu rechnen, dass auch solche Plattformanbieter, die keine der in § 54e Abs. 3 Z 5 lit. a bis e genannten Funktionen verwenden, vorsorglich Altersverfikations- komponenten in ihre Plattform einbetten, um sich gegen ein potentielles Einschreiten der Regulierungsbehörde abzusichern. Derartige Altersverifizierungsmaßnahmen wären dann aber nicht durch das legitime Ziel des Minderjährigenschutzes gerechtfertigt, weil in diesen Fällen keine Gefährdung Minderjähriger vorhanden wäre und die Maßnahme daher weder geeignet noch verhältnismäßig wäre, um das genannte Ziel zu erreichen. 20 Es wird daher angeregt, den Adressatenkreis auf die in § 54e Abs. 3 Z 5 lit. a bis e genannten Fälle einzugrenzen. Im Fall von wissenschaftlichen Erkenntnissen, die neue Gefährdungslagen für Minderjährige aufweisen, wäre wie in den meisten anderen Sektoren, die einem rasanten Wandel unterliegen, eine entsprechende Anpassung der gesetzlichen Grundlagen vorzunehmen. Zu Z 6 (§ 54e Abs. 3a und 3b): 21 a. Der Entwurf sieht eine verpflichtende Altersverifikation für Video-Sharing-Plattformen vor, insbesondere wenn sie eine der in § 54e Abs. 3 Z 5 lit. a bis e beschriebenen www.parlament.gv.at 5 von 8 6 von 8 157/SN-132/ME XXVIII. GP - Stellungnahme Funktionalitäten enthalten. Altersverifikationsmaßnahmen sind nur wirksam, wenn alle Nutzer, die ein bestimmtes Angebot in Anspruch nehmen wollen, zuvor den Altersnachweis erbringen müssen, damit die Nutzung Personen unterhalb der Altersgrenze verwehrt bleibt. 22 In diesem Zusammenhang kommt es somit definitionsgemäß zu einer flächendeckenden Abfrage personenbezogener Nutzerdaten, dementsprechend sind der Umfang und die Ausgestaltung der gesetzlichen Verpflichtung von besonderer Bedeutung für die Beurteilung der Verhältnismäßigkeit der Maßnahme. 23 b. Zunächst wird festgehalten, dass die in § 54e Abs. 3a genannten Kriterien aus datenschutzrechtlicher Sicht grundsätzlich unterstützt werden. 24 Zugleich muss aber angemerkt werden, dass der Entwurf nur einen Teil der notwendigen Regulierungen für eine verpflichtende Altersverifikation vornimmt und daher das Gesamtbild der Datenverarbeitungen im Zusammenhang mit der Altersverifikation aus dem Entwurf nicht abgelesen werden kann. 25 Aus datenschutzrechtlicher Sicht bleibt zunächst unklar, auf welcher Basis und in welchem Rechtsrahmen die Anbieter von Altersverifikationskomponenten die erforderlichen personenbezogenen Daten verarbeiten. Auch die Art der (möglichen) Rechtsbeziehung zwischen Video-Sharing-Plattformanbieter und Altersverifikationsanbieter bleibt offen, ebenso die datenschutzrechtliche Rollenverteilung, die erforderliche Zweckbindung sowie die maximale Speicherdauer in Hinblick auf die für die Altersverifikation erforderliche Verarbeitung personenbezogener Daten. 26 Auch wenn das AMD-G nicht der einschlägige Rechtsakt für die Rechtsgrundlagen von Altersverifikationsanbietern ist, so ist deren Tätigkeit dennoch die notwendige Voraussetzung für die Wirksamkeit der vorgeschlagenen Maßnahmen. Es wäre daher in den Erläuterungen zumindest auf die oben genannten Fragen einzugehen, um ein Gesamtbild der vorgeschlagenen Zugangsbeschränkungen zu umreißen. 27 Zudem wird nicht ausgeführt, wie ein betroffener Video-Sharing-Plattformanbieter sicherstellen kann, dass ein Altersverifikationsanbieter die erforderlichen Kriterien tatsächlich erfüllt. Dabei stellt sich etwa die Frage, ob eine Zertifizierung entsprechender Altersverifikationsanbieter vorgesehen ist oder ob zumindest Leitlinien im Zusammenhang mit der Prüfung der Altersverifikationsmethoden erstellt werden sollen. 28 c. § 54e Abs. 3b verweist für die Altersverifikation auf den Sorgfaltsmaßstab der in Bezug auf die Identifikationsfeststellung gemäß Finanzmarkt-Geldwäschegesetz angewandt wird. Es wird angeregt, in den Erläuterungen näher darzustellen inwiefern der Sorgfaltsmaßstab 6 von 8 www.parlament.gv.at 157/SN-132/ME XXVIII. GP - Stellungnahme 7 von 8 nach Geldwäschegesetz im vorliegenden Kontext sachgerecht erscheint. Alternativ wird empfohlen für Altersverifikationen einen entsprechenden Sorgfaltsmaßstab im Rahmen des AMD-G zu etablieren. Zu Z 11 (§ 54i): 29 § 54i Abs. 1 legt fest, dass die Regulierungsbehörde dann tätig wird, wenn sie zu einem „begründeten Verdacht, dass ein in einem anderen Mitgliedstaat der Europäischen Union niedergelassener Plattform-Anbieter den Jugendschutz in Österreich beeinträchtigt,“ kommt. Es wird angeregt in diesem Zusammenhang in den Erläuterungen auszuführen, wie dieser begründete Verdacht in der Praxis bei der Behörde entstehen kann. Zudem wäre klarzustellen, ob die Regulierungsbehörde ausschließlich von Amts wegen tätig werden soll oder auch auf Antrag von (bestimmten) Nutzern von Video-Sharing-Plattformen ein Feststellungsverfahren einleiten kann. Zu Z 13 (§ 67a): 30 a. Der Entwurf sieht gemäß § 67a Abs. 2 vor, dass die Bundesministerin für Justiz auf Grundlage eines von der Datenschutzbehörde erstellten Berichts über die Anwendung von § 54e Abs. 3a und 3b eine Evaluierung der Vorschriften über die Altersverifikation vorzunehmen habe, welche insbesondere die Entwicklung auf europäischer Ebene berücksichtige. 31 In diesem Zusammenhang wird darauf hingewiesen, dass eine effektive Evaluierung der praktischen Umsetzung gesetzlicher Verpflichtungen regelmäßig nur dann möglich ist, wenn eine entsprechende Mitwirkungspflicht der betroffenen Plattformanbieter gesetzlich verankert ist. Zudem sollte sichergestellt sein, dass diese Mitwirkungspflicht auch faktisch durchgesetzt werden kann. Darüber hinaus fehlt es an einer gesetzlichen Grundlage, anhand welcher Daten die Evaluierung stattfinden soll und wie diese Daten von den zuständigen Behörden verarbeitet werden dürfen. Diese wäre jedenfalls zu ergänzen. 32 b. Der durch die Zuweisung der Sonderzuständigkeit bei der Datenschutzbehörde verursachte Mehraufwand findet in der Wirkungsorientierten Folgenabschätzung keinerlei Erwähnung. 33 Die Mitgliedstaaten sind gemäß Artikel 52 Abs. 4 DSGVO verpflichtet, die datenschutzrechtlichen Aufsichtsbehörden mit ausreichend Ressourcen auszustatten, um ihre Aufgaben effektiv wahrnehmen zu können. Das impliziert, dass jene Ressourcen, die der Datenschutzbehörde zur Vollziehung ihrer Kernaufgaben nach der DSGVO zur www.parlament.gv.at 7 von 8 8 von 8 157/SN-132/ME XXVIII. GP - Stellungnahme Verfügung gestellt wurden, nicht für die Vollziehung anderer Aufgaben herangezogen werden können, wenn dadurch die effektive Vollziehung der DSGVO nicht mehr sichergestellt werden kann. 34 Die Zuweisung der Evaluierung von Altersverifikationsmethoden an die Datenschutzbehörde mag aus inhaltlichen Gründen zwar durchaus gerechtfertigt sein. Es muss aber zugleich die Ausstattung der Datenschutzbehörde entsprechend gesichert sein, um eine Verletzung des Artikel 52 DSGVO hintanzuhalten, zumal die Datenschutzbehörde in ihrem Tätigkeitsbericht aus dem Jahr 2025 bereits auf die angespannte Personalsituation hingewiesen hat. 35 Zur Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO wird im Entwurf nichts Inhaltliches ausgeführt. Es wäre im Rahmen der (vereinfachten) wirkungsorientierten Folgenabschätzung zumindest darzulegen, ob für die im Entwurf geregelten Datenverarbeitungen eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erforderlich ist. Für diesen Fall wäre zu prüfen, ob eine Durchführung gemäß Art. 35 Abs. 10 DSGVO im Rahmen der Gesetzgebung erfolgen kann. Sofern die Durchführung einer Datenschutz-Folgenabschätzung unterbleiben kann, sollte jedenfalls eine (kurze) Begründung im Vorblatt aufgenommen werden. Für den Datenschutzrat: Der Vorsitzende SCHILCHEGGER 17. September 2026 Elektronisch gefertigt www.parlament.gv.at 8 von 8