Begutachtung 132/ME · XXVIII. GP

Martina Bednar, IT-Fachexpertin, Hainburg an der Donau, E-Mail: martina.bednar@ik.me An das Bundesministerium für Wohnen, Kunst, Kultur, Medien und Sport Concordiaplatz 2, 1010 Wien medienrecht@bmwkms.gv.at Hainburg, 20. September 2026 Betreff: Stellungnahme zum Entwurf eines Bundesgesetzes, mit dem das Audiovisuelle Mediendienste-Gesetz und das KommAustria-Gesetz geändert werden GZ: 2026-0.537.620 | 132/ME XXVIII. GP Sehr geehrte Damen und Herren, als IT-Fachexpertin und Erziehungsberechtigte zweier Kinder unter 14 Jahren begrüße ich ausdrücklich, dass sich die Bundesregierung diesem wichtigen Thema annimmt. Der Entwurf erkennt an, dass Risiken nicht zufällig entstehen, sondern durch Design-Entscheidungen der Plattformbetreiber systematisch erzeugt werden. Diese Perspektive ist richtig und wichtig. Positiv hervorzuheben ist der funktionsbasierte Ansatz (§ 54e Abs. 3 Z 5 lit. a–e): Statt pauschaler Altersverbote werden konkrete schädliche Mechanismen definiert — algorithmische Empfehlungssysteme, Endlos-Scrollen, Autoplay, Belohnungsmechanismen, Push- Benachrichtigungen zur Nutzungssteigerung und ungefilterte Fremdkontakte. Dass eine Plattform durch Entfernen dieser Funktionen die Zugangsbeschränkung vermeiden kann, setzt einen wichtigen Anreiz für kindgerechtes Design. Dieser Mechanismus unterscheidet das österreichische Modell grundlegend von reinen Altersverboten: Es gibt Plattformen eine Handlungsoption und macht Design-Regulierung zum zentralen Hebel. Ebenso zu begrüßen sind die datenschutzfreundlichen Anforderungen an die Altersverifikation (§ 54e Abs. 3a Z 1–7: Trennung Plattform/Verifikationsanbieter, Nichtverfolgbarkeit, Datenminimierung, Ausschluss zentraler Nutzungsprotokollierung, Open Standards), die Evaluierungspflicht (§ 67a) und die Bußgeldmöglichkeit bis 6 % des weltweiten Jahresumsatzes (§ 54h Abs. 2a). Die Erläuterungen (fname_1773883.pdf, S. 8–11) beschreiben detailliert ein datensparsames Double-Blind-Modell mit Zero- Knowledge-Proofs und Privacy-Enhancing Technologies — technisch fundiert und grundrechtsschonend. Gleichwohl sehe ich folgende kritische Punkte: **1. Anwendungsbereich zu eng — Funktionsprinzip nicht konsequent umgesetzt** Der Entwurf beschränkt sich auf Video-Sharing-Plattformen im Sinne des AMD-G. Die in § 54e Abs. 3 Z 5 definierten schädlichen Funktionen finden sich jedoch gleichermaßen in Messenger-Diensten (WhatsApp, Telegram, Signal), Gaming-Plattformen mit Social-Features (Roblox, Fortnite, Steam), Livestreaming-Plattformen (Twitch), Community-Plattformen (Reddit, X) und hybriden Diensten. Sie unterliegen denselben suchtfördernden Mechanismen, werden vom Entwurf aber nicht erfasst. Damit entstehen Regulierungslücken und Ausweichbewegungen: Kinder weichen auf unregulierte Dienste mit denselben schädlichen Funktionen aus. Der Jugendschutz wird unterlaufen. Der funktionsbasierte Ansatz ist richtig — er muss auf alle Dienste mit den definierten Funktionen angewendet werden, unabhängig von der Plattformkategorie. **2. § 54e Abs. 3b: Geldwäsche-Identitätsstandard konterkariert die Datensparsamkeit** **des Abs. 3a** § 54e Abs. 3b verlangt für die Altersfeststellung einen Sorgfaltsmaßstab, der den Anforderungen des Finanzmarkt-Geldwäschegesetzes (FM-GwG, BGBl. I Nr. 118/2016) und der Online-Identifikationsverordnung (Online-IDV, BGBl. II Nr. 5/2017) entspricht oder gleichwertig ist. Dieser Standard ist für Finanztransaktionen und vollständige Identitätsfeststellungen konzipiert. Erforderlich ist jedoch lediglich der Nachweis eines Altersprädikats („über 14" / „unter 14") — nicht Name, Geburtsdatum, Ausweisdokument oder Identität. Der Verweis auf das FM-GwG steht im direkten Widerspruch zu § 54e Abs. 3a. Während Abs. 3a Nichtverfolgbarkeit (Z 2), Datenminimierung (Z 5), Ausschluss zentraler Nutzungsprotokollierung (Z 6) und die Übermittlung ausschließlich eines Altersattributs („14 Jahre oder älter: wahr/falsch") fordert, produziert ein Geldwäsche-Identitätsstandard genau jene zentralen Identitätsdatensätze und Verknüpfbarkeiten, die Abs. 3a ausschließt. Die Erläuterungen (fname_1773883.pdf, S. 8–11) weisen den richtigen Weg: Sie nennen ausdrücklich gerätebasierte Alterssignale (Apple/Google Age-Assurance-APIs), die ausschließlich das Altersattribut ohne stabile Identifier, ohne Rückkanal und ohne beobachtbare Nutzung übermitteln. Diese Methoden können jedoch keinen FM-GwG- Sorgfaltsmaßstab erfüllen, weil sie keine Identitätsdokumente prüfen. Ich empfehle: a) § 54e Abs. 3b ersatzlos zu streichen. b) Die Altersverifikation auf die technischen Anforderungen des Abs. 3a zu stützen (Zero-Knowledge-Proofs, gerätebasierte Alterssignale, attributbasierte Credentials). Die Altersfeststellung muss verlässlich sein — aber verlässlich durch kryptographische Nachweisverfahren, nicht durch Identitätsfeststellung nach Geldwäscherecht. c) Die Erläuterungen auf S. 8–11 als normatives Leitbild für die technische Umsetzung heranzuziehen und gesetzlich abzusichern. Damit wird sichergestellt, dass ein 11-jähriges Kind das Alter nicht durch einfaches Klicken auf „Ich bin 17" fälschen kann — aber ohne dass alle Nutzer:innen einem Identitätsfeststellungsverfahren unterworfen werden. **3. 14. Geburtstag als Cliff-Edge — kein gradueller Schutz für 14–18-Jährige** Die definierten schädlichen Funktionen werden für unter 14-Jährige gesperrt — ab dem 14. Geburtstag gelten sie uneingeschränkt. Dies widerspricht dem wissenschaftlichen Konsens, dass Jugendliche zwischen 14 und 18 Jahren sich in einer sensiblen Entwicklungsphase befinden und zu den intensivsten Nutzer:innen zählen. Ich empfehle abgestufte Schutzmaßnahmen für 14- bis 18-Jährige: standardmäßig private Profile, Opt-in für algorithmische Empfehlungen (statt Opt-out), obligatorische Time-Management-Tools und ein Verbot von Belohnungsmechanismen (Streaks, Engagement-getriggerte Notifications) auch für diese Altersgruppe. **4. Altersverifikation betrifft alle Nutzer:innen — Chilling Effect auf freie Meinungsäußerung** Da der Plattform-Anbieter das Alter jeder nutzenden Person feststellen muss, um unter 14-Jährige auszuschließen, unterliegen faktisch alle Nutzer:innen der Altersverifikation. § 54e Abs. 3a Satz 7 sieht für Konten eine einmalige Prüfung vor — für Dienste ohne Login-Pflicht gilt dies nicht. Zudem entsteht auch bei einmaliger Prüfung ein identifizierbarer Datensatz — sofern Abs. 3b (FM-GwG-Standard) angewendet wird. Der Verfassungsdienst des Bundeskanzleramtes hat in seiner Stellungnahme vom 16. September 2026 (GZ 2026-0.636.536) zutreffend auf den „chilling effect" und die Bedeutung der Anonymität für die Meinungsfreiheit hingewiesen (EGMR 7.12.2021, 39378/15, Standard Verlagsgesellschaft MBH/Österreich). Der französische Conseil constitutionnel hat am 14. August 2026 (Nr. 2026-911 DC) ein vergleichbares Gesetz für verfassungswidrig erklärt, unter anderem weil auch Erwachsene ihr Alter nachweisen müssten. Die Lösung liegt in der Streichung des § 54e Abs. 3b und der konsequenten Umsetzung der in den Erläuterungen (S. 11) genannten gerätebasierten Alterssignale: Das Gerät bestätigt „≥14", ohne Name, Ausweis oder zentrale Datenbank. Kein Chilling Effect, kein Identity-Tracking — aber wirksame Altersprüfung. **5. Das österreichische Modell als Blaupause für den EU KIDS Act — Chance statt Risiko** Am 17. September 2026 hat die Europäische Kommission den Entwurf des EU KIDS Act (COM(2026) 681) vorgelegt. Anders als der österreichische Entwurf sieht der EU KIDS Act ein pauschales Verbot von Social Media für unter 13-Jährige vor — ohne Safe-Harbor- Option für Plattformen, die ihr Design kindgerecht gestalten. Das österreichische Modell ist dem EU-Vorschlag in diesem zentralen Punkt überlegen: Es setzt Anreize für Design-Änderungen statt auf pauschale Exklusion. Ich ersuche die Bundesregierung, sich auf EU-Ebene aktiv dafür einzusetzen, dass das österreichische Modell — funktionsbasiert, mit Safe-Harbor-Option, und datensparsamer Altersverifikation ohne Geldwäsche-Identitätszwang — als Vorlage für die laufenden Trilog-Verhandlungen zum EU KIDS Act eingebracht wird. Die unionsrechtliche Kompatibilität ist nicht defensiv als Problem zu betrachten, sondern offensiv als Chance: Österreich hat einen besseren Entwurf. Bringen wir ihn nach Brüssel. **6. Compliance-Last für kleine Anbieter und gemeinnützige Projekte** Die Kosten für Altersverifikation und Haftungsrisiken treffen kleine und gemeinnützige Anbieter unverhältnismäßig. Nischen-Communitys, Open-Source-Projekte, Bildungsplattformen und kleine Spieleentwickler werden faktisch vom Markt ausgeschlossen — mit negativen Folgen für kulturelle Vielfalt, Innovation und Meinungspluralismus. Eine Streichung des FM-GwG-Identitätsstandards würde die technische Einstiegshürde für kleine Anbieter bereits erheblich senken. Ich empfehle zusätzlich verhältnismäßige Ausnahmen oder vereinfachte Compliance-Pfade für Kleinstanbieter und Non-Profit-Projekte. Der Jugendschutz muss mit der Erhaltung eines vielfältigen, offenen Internets vereinbar bleiben. Zusammenfassend halte ich den funktionsbasierten Ansatz des Entwurfs für richtungsweisend und dem EU KIDS Act konzeptionell überlegen. Die konkrete Ausgestaltung der Altersverifikation (§ 54e Abs. 3b) und die Reichweite des Anwendungsbereichs bedürfen jedoch grundlegender Korrektur. Ich ersuche um Berücksichtigung dieser Anmerkungen im weiteren Gesetzgebungsprozess. Mit freundlichen Grüßen, Martina Bednar (Digitale Unterschrift)