Children's Privacy and Data Protection Law for Math Challenge

Ergebnisse

United States — COPPA und die 2025 überarbeitete Regel

COPPA (15 U.S.C. §§6501–6506; 16 CFR Part 312) gilt für Betreiber von Diensten, die „auf Kinder“ unter 13 Jahren ausgerichtet sind oder von denen sie tatsächlich wissen, dass sie Daten von einem Kind unter 13 Jahren erheben. Die Änderungen der FTC wurden im Januar 2025 angekündigt, im Federal Register am 22. April 2025 veröffentlicht (Doc. 2025-05904) und traten am 23. Juni 2025 in Kraft; die allgemeine Konformität ist bis zum 22. April 2026 fällig (Safe‑Harbor‑Programme haben kürzere Fristen von 90‑Tage/6‑Monats‑Fristen) [6][7][8]. Direkte Abrufe von ftc.gov und federalregister.gov wurden in dieser Sitzung blockiert (403/bot‑gate); diese Daten wurden in fünf unabhängigen Zusammenfassungen von Anwaltskanzleien, die dasselbe Federal‑Register‑Dokument zitieren, bestätigt [8].

Was sich geändert hat: (1) „persönliche Informationen“ umfassen nun ausdrücklich biometrische Kennungen (Fingerabdrücke, Retina, Gang, Gesichts‑/Stimm‑Daten) und staatliche Ausweise; (2) eine verfeinerte Kategorie „gemischtes Publikum“ erlaubt einem Dienst mit allgemeinem Publikum, begrenzte Daten für eine Vor‑Screening‑Phase zu erheben, sofern ein bestimmter Zweck (elterliche Einwilligung, interne Abläufe) vorliegt; (3) Betreiber müssen benennen, welche Dritte die Daten eines Kindes erhalten und warum, und vor der Weitergabe an Dritte (z. B. zielgerichtete Werbung) separate VPC einholen, es sei denn, dies ist integraler Bestandteil des Dienstes; (4) eine schriftliche Aufbewahrungsrichtlinie für Daten ist verpflichtend – keine unbefristete Aufbewahrung; (5) ein schriftliches, nach Größe/Sensitivität abgestuftes Informations‑Sicherheitsprogramm ist verpflichtend [8]. Vorher anerkannte VPC‑Methoden (16 CFR §312.5(b)): unterschriebenes Formular, Kartenbelastung, besetzter gebührenfreier Anruf, besetzte Videokonferenz, Regierungs‑ID‑plus‑Live‑Foto‑Abgleich (genehmigt am 19. Nov 2015). Sekundäre Berichte besagen, dass 2025 wissensbasierte Fragen‑ und „text‑plus“‑Methoden hinzukamen, aber die genaue CFR‑Unterabschnitts‑Nummer wurde [unverified] nicht unabhängig bestätigt. Ein Bericht aus 2025 stellte zudem fest, dass der kommende FTC‑Vorsitzende Teile der Regel zur Überprüfung markiert hatte – prüfen Sie den Umsetzungskalender zum Zeitpunkt der Implementierung.

European Union — GDPR Artikel 8 und das Alter in den Mitgliedstaaten

Artikel 8 legt das Standard‑Selbstzustimmungsalter für Informations‑Gesellschaft‑Dienste, die direkt an ein Kind gerichtet sind, auf 16 fest; darunter muss die Einwilligung „vom Inhaber der elterlichen Verantwortung erteilt oder autorisiert“ werden, verifiziert durch „angemessene Anstrengungen … unter Berücksichtigung verfügbarer Technologie“. Die Mitgliedstaaten dürfen dieses Alter auf einen Mindestwert von 13 senken [1][2]. Häufig veröffentlichte nationale Schwellenwerte (gegen mehrere Tracker abgeglichen, nicht einzeln in den jeweiligen Amtsblättern nachgeprüft – vor Nutzung einer einzelnen Angabe bestätigen) : Austria 14, Belgium 13, Bulgaria 14, Croatia 16, Cyprus 14, Czech Republic 15, Denmark 13, Estonia 13, Finland 13, France 15, Germany 16, Greece 15, Hungary 16, Ireland 16, Italy 14, Latvia 13, Lithuania 14, Luxembourg 16, Malta 13, Netherlands 16, Poland 16, Portugal 13, Romania 16, Slovakia 16, Slovenia 15, Spain 14, Sweden 13. Frankreich wurde live unabhängig bestätigt: Die CNIL verlangt sowohl die Einwilligung des Kindes als auch der Eltern unter 15, verstärkt durch das Gesetz „majorité numérique“, das am 1. Januar 2026 vollständig wirksam wird [12]. Da Math Challenge elternzentriert ist – das Kind gibt niemals eigenständig Einwilligung – betrifft diese Aufteilung hauptsächlich zukünftige Self‑Service‑Berechtigungen, nicht v1.

United Kingdom — Age Appropriate Design Code und UK‑GDPR

Das Vereinigte Königreich behält 13 gemäß DPA 2018 §9 nach dem Brexit (stabil, breit berichtet, in dieser Sitzung nicht erneut abgerufen) [unverified]. Der Age Appropriate Design Code der ICO gilt für jeden Dienst, der „wahrscheinlich von Kindern“ im Vereinigten Königreich genutzt wird, und ist seit dem 2. September 2020 in Kraft (12‑Monats‑Übergangsphase vor Durchsetzung). Seine 15 Standards (über einen sekundären Rechts‑Zusammenfassungs‑Report der ICO‑Liste bestätigt; direkter Abruf von ico.org.uk blockiert, 403) [5]: (1) Wohl des Kindes; (2) Altersgerechte Anwendung; (3) Transparenz; (4) Schädliche Datennutzung; (5) Richtlinien und Community‑Standards; (6) Voreinstellungen (maximale Privatsphäre); (7) Datenminimierung; (8) Datenweitergabe; (9) Geolokalisierung (standardmäßig deaktiviert); (10) Kindersicherungen; (11) Profiling (standardmäßig deaktiviert); (12) Nudge‑Techniken (verboten); (13) Vernetzte Spielzeuge und Geräte; (14) Online‑Werkzeuge; (15) Datenschutz‑Folgenabschätzungen. Der UK Online Safety Act 2023 kann zusätzlich Alters‑Sicherungs‑Pflichten auferlegen, je nachdem, wie Leaderboards/Community‑Oberflächen kategorisiert werden – in dieser Sitzung nicht verifiziert, prüfen Sie die Ofcom‑Leitlinien vor dem Start im Vereinigten Königreich.

EU Digital Services Act — Minderjährige und profilbasierte Werbung

Der DSA (Regulation 2022/2065) wurde allgemein anwendbar am 17. Februar 2024 (VLOPs/VLOSEs früher) [10]. Artikel 28 behandelt den „online Schutz von Minderjährigen“ und verlangt geeignete Datenschutz‑/Sicherheitsmaßnahmen; eine weithin berichtete Bestimmung (konzeptuell bestätigt durch die Änderungen des Europäischen Parlaments vom 20. Januar 2022, die „ein Verbot der Nutzung von Daten Minderjähriger für zielgerichtete Werbung“ einführten – der EUR‑Lex‑Artikel‑Text wurde nicht live abgerufen, zwei Versuche lieferten leere Inhalte) verbietet profilbasierte Werbung gegenüber einem Nutzer, von dem die Plattform vernünftigerweise weiß, dass er minderjährig ist [10][9]. Bestätigen Sie den genauen Artikel/Absatz gegen EUR‑Lex, bevor Sie ihn als Gesetz zitieren – der Inhalt hat hohe Sicherheit, die präzise Zitierung nicht.

California — Age‑Appropriate Design Code Act und dessen Rechtsstreitigkeiten

AB 2273 (2022) verlangt eine DPIA, bevor Funktionen angeboten werden, die wahrscheinlich von Kindern genutzt werden, mit hohen Datenschutz‑Voreinstellungen, ohne Dark‑Patterns und ohne Datenverwendung, die für ein Kind „materiell nachteilig“ ist. NetChoice v. Bonta (eingereicht N.D. Cal., Dezember 2022) führte zu einer einstweiligen Verfügung aus Gründen der Ersten Verfassungsänderung, die die DPIA‑/Berichtspflicht betraf; das Urteil des Ninth Circuit im August 2024 bestätigte diese einstweilige Verfügung, während andere Bestimmungen aufgehoben und zur Trennbarkeits‑Analyse zurückverwiesen wurden – einige Bestimmungen wurden untersagt, andere könnten durchsetzbar sein. Spätere sekundäre Berichte (eine verwandte NetChoice‑Anfechtung von SB 976s „addiktiven Feeds“-Bestimmungen, Bezirksgericht Urteil Dezember 2024, Ninth Circuit Entscheidung September 2025; und ein weiteres Ninth Circuit‑Urteil um März 2026, das eine einstweilige Verfügung „eingrenzt“) konnten in dieser Sitzung nicht zu einer konsistenten Timeline zusammengeführt werden [11]. Dies ist ein tatsächlich ungeklärtes, aktiv streitiges Rechtsgebiet – kodieren Sie keine Compliance‑Maßnahme gegen eine spezifische CAADCA‑Bestimmung, ohne dass ein Rechtsberater die aktuelle Durchsetzbarkeit bestätigt.

Mexico — LFPDPPP und die Reform nach INAI 2025

Die LFPDPPP (2010) verlangt klare Datenschutzhinweise und, nach der allgemeinen zivilrechtlichen Geschäftsfähigkeits‑Lehre, die Einwilligung der Eltern bzw. des gesetzlichen Vertreters für Daten eines Minderjährigen – sie enthält keinen dedizierten Kinder‑Datenschutz‑Artikel im Stil von GDPR/LGPD; dies wurde gegen den aktuellen konsolidierten Text [unverified] nicht bestätigt. Besser belegt: Eine Verfassungsreform, die mehrere autonome Organe, darunter das INAI, abschaffte, wurde im Diario Oficial de la Federación im Dezember 2024 veröffentlicht, mit Umsetzungsgesetzgebung im März 2025; die Secretaría Anticorrupción y Buen Gobierno übernahm die Datenschutz‑Funktion des INAI, während ein neues Organ, „Transparencia para el Pueblo“, die Informations‑Zugangs‑Funktionen übernahm [13]. Dieser Übergang ist zu neu, um bereits eine ausgereifte Durchsetzungspraxis für Kinderdaten zu besitzen.

Brazil — LGPD Artikel 14

Der vollständige offizielle Übersetzungstext wurde direkt erhalten [3]. Die Verarbeitung von Daten von Kindern/Adoleszenten muss dem Wohl des Kindes dienen (Kapitel); erfordert spezifische, hervorgehobene Einwilligung von mindestens einem Elternteil oder gesetzlichen Vertreter (§1); die Verantwortlichen müssen öffentlich die Datenarten, Nutzung und Rechte‑Verfahren offenlegen (§2); die Erhebung ohne diese Einwilligung ist nur zulässig, um den Elternteil zu kontaktieren (einmalig, nicht gespeichert) oder zum Schutz des Kindes, und darf niemals Dritten ohne §1‑Einwilligung weitergegeben werden (§3); Verantwortliche dürfen die Teilnahme an Spielen/Apps nicht von Daten abhängig machen, die über das Notwendige hinausgehen (§4); Verantwortliche müssen alle zumutbaren Anstrengungen unter Berücksichtigung verfügbarer Technologien unternehmen, um zu verifizieren, dass der Einwilligungsgeber tatsächlich der Vertreter ist (§5); Informationen müssen einfach und zugänglich präsentiert werden, die kindlichen Merkmale berücksichtigen, ggf. mit audiovisuellen Hilfsmitteln (§6). Dies ist die am direkt zitierbaren, detaillierten Kinder‑Datenschutz‑Klausel, die eng an COPPA‑„Teilnahme nicht an Bedingungen knüpfen“‑Regel sowie an GDPR/LGPD‑Verifizierungs‑Standard angelehnt ist.

Canada — PIPEDA und Québecs Gesetz 25

Der bundesweite PIPEDA enthält kein numerisches Einwilligungsalter im Gesetzestext; die OPC‑Leitlinie zu „bedeutungsvoller Einwilligung“ wird allgemein so verstanden, dass die Einwilligung eines jungen Kindes in der Regel nicht bedeutungsvoll ist und kontextabhängig bewertet wird – in dieser Sitzung nicht unabhängig bestätigt [unverified]. Québecs Gesetz 25 ist konkret und wurde live bestätigt: Informationen über eine Person unter 14 Jahren dürfen nicht vom Kind selbst ohne Einwilligung der Person mit elterlicher Autorität oder des Tutors erhoben werden, ausgenommen bei einer „klaren Nutzen‑für‑das‑Kind“-Ausnahme. Es trat schrittweise im September 2022 in Kraft und erreichte im September 2024 die Endphase (inkl. Recht auf Datenportabilität); Strafen erreichen C$ 10 Millionen oder 2 % des weltweiten Umsatzes.

Klassenmodus — FERPA und das (eingestellte) Student Privacy Pledge

FERPA (20 U.S.C. §1232g; 34 CFR Part 99) gibt Eltern das Recht, auf die „Bildungsunterlagen“ eines Kindes zuzugreifen, sie zu ändern und die Weitergabe zu kontrollieren, wobei das Recht mit 18 Jahren bzw. nach dem Hochschulabschluss auf den Schüler übergeht [16]. Es bindet föderal finanzierte Schulen, nicht jedoch Anbieter direkt – ein Anbieter wie Math Challenge wird in der Regel nur durch die „school official“-Ausnahme (34 CFR §99.31(a)(1)(i)(B)) gebunden, die eine direkte schulische Kontrolle über die Nutzung der Daten erfordert, üblicherweise über eine Datenverarbeitungsvereinbarung mit jeder Schule bzw. jedem Schulbezirk; ein Klassen‑Code im App allein begründet das nicht (Unterabschnitt nicht live verifiziert, vor Vertragsabschluss prüfen). Wichtig: das Student Privacy Pledge, die FERPA‑konforme Selbsterklärung von Ed‑Tech‑Anbietern, wurde vom Future of Privacy Forum am 25. April 2025 eingestellt nach zehn Jahren; FPF führte bis zum 31. Juli 2025 eine öffentliche Unterzeichnerliste, nimmt jedoch keine neuen Unterzeichner mehr auf, und frühere Unterzeichner bleiben nur für während ihrer Unterzeichnungsperiode gesammelte Daten gebunden [15]. Behandle jede Angabe zum „Student Privacy Pledge“ als veraltet.

VPC‑Mechanik, Datenminimierung, Aliase, internationale Übertragung

VPC‑Kosten: interne Basismethoden verursachen Reibung‑/Transaktionskosten; spezialisierte Anbieter (PRIVO, Yoti, k‑ID) verkaufen Verifizierungs‑Consent‑as‑a‑Service – Preise wurden in dieser Sitzung nicht ermittelt, bitte direkte Angebote einholen, bevor das Budget geplant wird. Datenminimierung erscheint nahezu identisch überall: LGPD Art. 14 §4 und COPPA §312.7 verbieten die Bedingung der Teilnahme an übermäßigen Daten; GDPR Art. 5(1)(c) formuliert das Grundprinzip. Leaderboard‑Aliase sind personenbezogene Daten, solange Math Challenge (der Verantwortliche) die Alias‑→‑Identitäts‑Zuordnung behält – GDPR Erwägungsgrund 26 behandelt reversible Pseudonymisierung als Information über eine identifizierbare Person, unabhängig davon, ob ein externer Betrachter die Person wieder identifizieren kann. Internationale Übertragung / Cloudflare Edge: R2 unterstützt das Binden eines Buckets an eine EU‑Jurisdiktion (oder FedRAMP) bei der Erstellung, danach fest, über jurisdictions‑spezifische S3‑Endpunkte [17]. D1 erhielt im November 2025 ein gleichwertiges per‑Datenbank‑Jurisdiktion‑Setting, zusammen mit nicht‑verbindlichen Standort‑Hinweisen seit 2023 [19]. Cloudflares Enterprise‑nur Data Localization Suite (Geo Key Manager, Customer Metadata Boundary, Regional Services) fügt Netzwerk‑/Metadaten‑Residency‑Kontrollen hinzu, erfordert jedoch eine bezahlte Enterprise‑Verkaufsbeziehung [17]. Die Residency‑Aussage von Workers KV war nicht bestätigt (die Dokumentations‑Seite ergab 404) – bitte direkt bei Cloudflare nachfragen, bevor EU/UK‑Kinder‑PII dort gespeichert wird. Für US‑Übertragungen ist die EU‑US Data Privacy Framework‑Angemessenheitsentscheidung (Juli 2023) der relevante Mechanismus – stabil, gut dokumentiert, jedoch in dieser Sitzung nicht live verifiziert [unverified this session, high training-knowledge confidence].

Verpflichtungsmatrix

Jurisdiktion	Einwilligungsalter	erforderliche Einwilligungsmethode	Aufbewahrungsregel	Darf NICHT
US — COPPA (eff. 2025-06-23)	Unter 13	VPC (unterzeichnetes Formular, Kartenbelastung, telefonische/Video‑Verifizierung, Gov‑ID + Foto‑Abgleich oder von der FTC genehmigte neuartige Methode); separate Einwilligung vor Weitergabe an Dritte für Werbung	Schriftlicher Aufbewahrungsplan; keine unbefristete Aufbewahrung	Teilnahme an Daten über das erforderliche Maß hinaus koppeln; Weitergabe an Dritte ohne separate Einwilligung; fehlendes schriftliches Sicherheitsprogramm
EU — GDPR Art. 8	16 Standard, 13–16 je nach Staat (ES 14, FR 15, DE/IE 16, PT 13)	Elterliche Einwilligung, „angemessene Anstrengungen“ zur Verifizierung	Speicherbegrenzung (Art. 5(1)(e))	Auf Kindeseinwilligung unter dem jeweiligen nationalen Alter setzen
UK — AADC + UK GDPR	13 (DPA 2018 §9)	Elterliche Einwilligung unter 13; AADC‑Standards 15 gelten, sobald „wahrscheinlich von Kindern“ zugegriffen wird	Datenminimierung (Standard 7)	Profiling, Geolokalisierung oder Nudge‑Techniken per Default
Kalifornien — CAADCA	Kein einheitliches numerisches Alter; DPIA deckt unter‑18‑weit ab	DPIA + hohe Standard‑Privatsphäre (keine neue Einwilligungs‑Mechanik per se)	N/V (Privacy‑by‑Design, kein Aufbewahrungs‑Statut)	Dark‑Patterns; Default‑Profiling; Datenverwendung „wesentlich nachteilig“ für Minderjährige — Teile derzeit untersagt; Durchsetzbarkeit prüfen
Mexiko — LFPDPPP (post‑2025)	Kein explizites gesetzliches Alter gefunden [unverified]	Allgemeine Einwilligung + Zivil‑Geschäftsfähigkeits‑Doktrin impliziert elterliche Einwilligung	Allgemein „zweckgebunden“	Nicht mit Sicherheit etabliert — mexikanische Rechtsberatung einholen
Brasilien — LGPD Art. 14	Kein numerisches Alter angegeben	Spezifische, hervorgehobene elterliche/gesetzliche Einwilligung; angemessene Verifizierungsanstrengungen	Löschung nach Zweckerfüllung (Art. 15/16)	Teilnahme an übermäßigen Daten koppeln (§4); Weitergabe an Dritte ohne §1‑Einwilligung
Kanada (bundesweit) — PIPEDA	Kein numerisches Alter [unverified]	Kontextabhängig; elterliche Einwilligung bei jungen Kindern erwartet	Allgemein „solange nötig“	Auf die eigenständige Einwilligung eines jungen Kindes als wirksam setzen
Québec — Gesetz 25	14	Elterliche/Betreuer‑Einwilligung unter 14	Allgemein „zweckgebunden“, Daten‑Portabilitäts‑Recht (Phase Sept. 2024)	Direkt von Minderjährigen unter 14 ohne Einwilligung sammeln, außer klarer Nutzen‑Ausnahme
Klassenmodus / FERPA	N/V	Schul‑offizielle Beziehung erfordert eine Direkt‑Kontroll‑Vereinbarung, nicht nur einen Klassen‑Code	Spiegelung der schulischen Aufbewahrungsrichtlinie vertraglich	Auf das eingestellte Student Privacy Pledge als Compliance‑Signal setzen

Designimplikationen für Math Challenge

1. Eltern‑zuerst Kontoerstellung – kein eigenständiger Kinder‑Anmeldefluss, erfüllt gleichzeitig COPPA/GDPR Art. 8/LGPD Art. 14.
2. Auf ein VPC‑Verfahren standardisieren. Beginne mit einer FTC‑gelisteten Basis (unterzeichnetes Formular oder Kartenbelastung); prüfe einen Safe‑Harbor‑Anbieter (PRIVO/Yoti/k‑ID), sobald das Volumen die wiederkehrende Verifizierungsgebühr rechtfertigt. Kein eigens entwickeltes Alters‑Schätz‑Modell – das erfordert die FTC‑§312.12‑Zulassung.
3. Minimale Kinder‑Profilfelder: Spitzname, Geburtsjahr + Monat oder Altersgruppe, kein Foto, kein Schulname außer bei Klassen‑Verknüpfung, keine Telefonnummer. Kinder dürfen nie nach einem Ausweis gefragt werden; nur die Eltern, und nur über die gewählte VPC‑Methode.
4. Leaderboard‑Aliase intern als personenbezogene Daten behandeln (GDPR Erwägungsgrund 26). Automatisch aus einer Wortliste generieren, Regenerierung zulassen, niemals einen echten Namen neben einem Alias öffentlich anzeigen.
5. Standard‑Leaderboard‑Umfang auf Klassen‑/Familien‑Scope setzen, nicht global‑öffentlich; ein globales Board nur hinter einer separaten, kind‑spezifischen elterlichen Opt‑In‑Option.
6. Kein Profiling, keine werbetechnische Verhaltens‑Analyse gegen Kinderprofile. Erfüllt DSA Art. 28, entspricht dem Intent von CAADCA trotz laufender Rechtsstreitigkeiten und umgeht die COPPA‑2025‑Anforderung einer separaten Dritt‑Partei‑Einwilligung, indem sie nie ausgelöst wird.
7. Jetzt einen internen schriftlichen Aufbewahrungsplan veröffentlichen, vor dem COPPA‑2025‑Compliance‑Datum: Löschfristen nach elterlicher Anforderung, Soft‑Delete bei inaktiven Konten mit Vorankündigung, sofortige Löschung bei Austritt aus der Klasse.
8. Maximum‑Privacy‑Voreinstellungen: Leaderboard‑Teilnahme per Default aus, keine Geolokalisierung über Land/Locale hinaus, kein Profiling, keine nudge‑basierten Engagement‑Mechanismen.
9. Die beiden Klassen‑Modus‑Einwilligungen trennen: (a) elterliche Einwilligung für den konkreten Klassenbeitritt, jederzeit widerrufbar; (b) jeder Datenfluss zur Schule selbst benötigt eine eigene FERPA‑Schul‑offizielle Vereinbarung – ein Klassen‑Code allein reicht nicht.
10. Student Privacy Pledge nicht als Vertrauenssignal nutzen – seit 25. April 2025 eingestellt. Stattdessen ein aktuell gepflegtes Zertifikat oder direkte Vertragsklauseln mit dem Schulbezirk verwenden.
11. EU/UK‑Daten bei der Anmeldung pinnen über R2‑eu‑Bucket‑Jurisdiktion und D1‑per‑Datenbank‑Jurisdiktion‑Einstellung – beide bei Erstellung fix, also Entscheidung muss beim Anmeldevorgang getroffen werden, nicht nachträglich. KV‑Residency‑Story vorher bei Cloudflare prüfen.
12. Nicht ausschließlich auf Cloudflares Enterprise Data Localization Suite als Compliance‑Grenze setzen – das ist ein kostenpflichtiges Add‑on; R2/D1‑Jurisdiktion‑Pinning ist die kostenlose Kontrolle, die das eigentliche Gewicht tragen sollte.
13. Den digitalen Einwilligungs‑Alters‑Check nach dem vom Elternteil angegebenen Land lokalisieren statt einer harten Zahl – relevant vor allem für ein zukünftiges Selbst‑Service‑Teen‑Tier, da v1 nie Kinder zur Eigen‑Einwilligung auffordert.
14. Grundspiel nicht an Daten über das hinaus koppeln, die für freies Spiel nötig sind (LGPD Art. 14 §4, COPPA §312.7) – alles zusätzliche muss optional sein und an ein spezifisches, eltern‑gerichtetes Feature gebunden werden.

Höchste Risikobeschlüsse, die der Eigentümer treffen muss

• Ob der Klassenmodus in EU/UK‑Märkten in v1 gestartet wird, angesichts der Belastung durch schulische Datenverarbeitungs‑Vereinbarungen, oder zunächst auf US/Canada fokussiert wird.
• Ob das Leaderboard jemals global/über‑Familien‑grenzen hinweg verfügbar ist oder strikt auf Klassen‑/Familien‑Scope bleibt – der größte Hebel für DSA/CAADCA‑Exposition.
• Eigenes VPC‑System bauen (günstiger, mehr Haftung) versus einen bezahlten Safe‑Harbor‑Anbieter (laufende Kosten, weniger Haftung, schnellerer Markteintritt).
• Wie viel Engineering‑Aufwand in Kaliforniens CAADCA investiert wird, während die Kernbestimmungen noch in aktiven, ungelösten Rechtsstreitigkeiten stecken.
• Ob Mexiko als GDPR‑äquivalentes Risiko behandelt wird oder als institutionell unklar und derzeit wenig durchgesetzt, angesichts des kürzlichen Übergangs von INAI zu Secretaría.
• Ob standardmäßig alle Jurisdiktionen gepinnt werden oder nur, wenn ein konkreter EU/UK‑Enterprise‑ oder Schulkunde dies verlangt.

Offene Fragen für den Projektinhaber

1. Unterstützung einer „Teen‑Self‑Serve“-Stufe beim lokalen digitalen Einwilligungsalter vor v1 oder Verschiebung auf v2?
2. Ist ein globales öffentliches Leaderboard eine zwingende Produktanforderung, oder reicht der Klassen‑/Familien‑Umfang für den Start aus?
3. Wie lautet die Reihenfolge der anfänglichen Markteinführung – sie bestimmt, ob die CAADCA‑Rechtsstreitigkeit, Mexikos Übergang oder Quebecs Gesetz 25 die erste feste Frist wird?
4. Budget für einen kostenpflichtigen VPC‑Anbieter beim Start, oder DIY‑Workflow mit unterschriebenem Formular/Kartenbelastung bei Anbietern, nach der Traktion erneut zu prüfen?
5. Wird der Klassenmodus Schulen/Bezirke direkt ansprechen (benötigt eine DPA‑Vorlage) oder vorerst informell bleiben (nur von Lehrern erzeugte Klassen‑Codes)?
6. Soll für jede Familie von Anfang an die Rechtszuständigkeit (EU/UK) festgelegt werden, oder nur, wenn ein Kunde vertraglich danach verlangt?