Privatsphärefreundliche Bewertungsmetriken im Plattformtest

Felix Büning, Dr. Otmar Lell, Runjie Xie

Das vierte Arbeitspaket des Forschungsprojekts PRiME zielt darauf ab, auf der Grundlage der im vorangegangenen Forschungsprozess entwickelten rechtlichen Anforderungen sowie der Nutzererwartungen Metriken zur Bewertung der Privatsphärefreundlichkeit von privatsphärebezogenen Designpraktiken im Metaversum zu erarbeiten, um hierdurch die Etablierung von Dark Patterns und Deceptive Designs zu begegnen. Diese richten sich ebenso wie die zuvor entwickelten Benutzerschnittstellen primär an die Entwickler:innen von Inhalten für Metaverse-Plattformen und die Entwickler:innen und Betreiber:innen von Metaverse-Plattformen. Auch ist es denkbar, dass diese Metriken in die Normung einfließen.

Hierzu wurden erstens auf der Grundlage der Arbeitsergebnisse des bisherigen Projekts Entwürfe für Bewertungsmetriken erstellt. Anschließend wurden diese in einem Expert:innenworkshop zur Diskussion gestellt, verifiziert und überarbeitet. Danach erfolgte die Testung dieser Metriken auf vier Metaverse-Plattformen.

Zu den Plattformen

VRChat (https://hello.vrchat.com/)

VRChat ist eine soziale VR-Plattform, auf der Nutzerinnen und Nutzer mit individuellen Avataren in selbst erstellten virtuellen Welten interagieren können. Im Mittelpunkt stehen Kommunikation, Community-Events, Rollenspiele und kreative Inhalte. Die Plattform kann sowohl mit VR-Brille als auch am PC genutzt werden.

Roblox (https://www.roblox.com)

Roblox ist eine große Online-Plattform, auf der Nutzer eigene Spiele und virtuelle Welten erstellen, teilen und spielen können. Besonders bekannt ist Roblox für seine junge Zielgruppe und die vielen nutzergenerierten Inhalte. Es verbindet Gaming, soziale Interaktion und kreative Gestaltung in einer metaverse-ähnlichen Umgebung.

Arrival.Space (https://arrival.space)

Arrival.Space bietet eine Plattform bzw. virtuelle Umgebung für immersive digitale Erlebnisse. Nutzer können dort virtuelle Räume betreten, interagieren und an digitalen Events oder Präsentationen teilnehmen. Im Vergleich zu Plattformen wie Roblox oder VRChat ist Arrival.Space weniger breit bekannt und stärker auf bestimmte Anwendungsfälle oder Projekte zugeschnitten.

RAUM (https://www.raum.app)

RAUM ist eine virtuelle Plattform für Meetings, Zusammenarbeit und Veranstaltungen in 3D-Umgebungen. Sie richtet sich besonders an Unternehmen, Bildungseinrichtungen und Organisationen, die digitale Räume für Austausch, Präsentationen oder Workshops nutzen möchten (B2B). Der Fokus liegt weniger auf Gaming, sondern stärker auf professioneller Kommunikation und Kollaboration.

Zur Methodik

Die Analyse beruhte im Bereich des Datenschutzes allein auf dem von den jeweiligen Anbietern eingeräumten Einblick in die Datenschutzerklärungen und das User Interface der Anwendung. Hierbei bestanden bei Roblox, Arrival.Space und VR Chat bereits Unklarheiten hinsichtlich der verarbeiteten Cookies auf der Landing-Page und der späteren Anwendungsumgebung. Die Analyse erhebt keinen Anspruch auf Vollständigkeit und letztverbindliche Rechtssicherheit, sondern beschreibt lediglich einen Ausschnitt der datenschutzrechtlichen Pflichten anhand der im Projektteam ausgewählten Metriken und anhand der Auslegung der jeweiligen Datenschutzerklärung. Es handelt sich insbesondere nicht um eine Rechtsberatung.

Der begrenzte Einblick in die konkrete Datenverarbeitung auf den Plattformen bedingt bereits strukturelle Limitierungen der Untersuchung. Auch die unternehmensfokussierte Ausrichtung der Plattform RAUM ist zu berücksichtigen. Mangels anderer deutscher Anbieter, wurde diese Plattform dennoch mit einbezogen.

Zentrale Ergebnisse zu den einzelnen Metriken

Für den Bereich des Datenschutzes lässt sich insgesamt festhalten, dass die rechtlich verbindlichen Items überwiegend von allen Plattformen erfüllt werden. Datenschutzfreundliche Ausgestaltungen, die über die gesetzlichen Anforderungen hinausreichen (vgl. hierzu die im Rahmen von PRIME entwickelten Empfehlungen) finden sich allerdings nur auf der Plattform „RAUM“.

Zu den einzelnen Metriken: https://privacy-metaverse.de/metriken/

Grundlegende Anforderung für jegliche Datenverarbeitung ist eine Rechtsgrundlage aufgrund des Verbots mit Erlaubnisvorbehalts in Art. Alle Plattformen halten sich an diese Vorgabe der DS-GVO. Bei VRChat ergeben sich Schwierigkeiten bei der Überprüfung, da die Rechtsgrundlagen zwar angegeben werden, aber nicht mit konkreten Verarbeitungsvorgängen verknüpft werden. RAUM geht davon aus, dass sie aktuell keine personenbezogenen Daten verarbeiten. Sie verknüpfen aber ein Gerät mit der individuellen User-ID (die ihrer Ansicht nach anonym sei) mittels Cookie. Ob z.B. auch die IP-Adresse verarbeitet wird oder durch die sonstigen Geräteinformationen fingerprinting möglich ist und es sich deshalb um personenbezogene Daten handelt, geht aus der Datenschutzerklärung nicht hervor. Sonstige Daten wie z.B. die Stimmerfassung und Übermittlung wird mittels einer Einwilligung verarbeitet. Dies erfolgt bei Bewegungsdaten nicht, die von dem Eingabegerät abgerufen werden. Hier wird sich auf die Erforderlichkeit für das Zuverfügungsstellen des Dienstes berufen.

Damit personenbezogene Daten nur in einem möglichst geringen Umfang erhoben werden, dürfen Verantwortliche personenbezogene Daten lediglich verarbeiten, wenn sie für den jeweiligen Verarbeitungszweck erforderlich sind. Dies muss durch geeignete technische und organisatorische Maßnahmen sichergestellt werden. Hieran bestanden lediglich bei Bei VRChat Zweifel an der Zweckbindung und Minimierung aufgrund der umfangreichen Verarbeitung des Browserverlaufs.

Praktischer geprägt ist die Empfehlung, dass Nutzer:innen die Möglichkeit haben, die Datenerhebung durch Ein- und Ausschalten von Sensoren zu steuern und zu minimieren. Derartige Einstellungsmöglichkeiten werden von allen untersuchten Plattformen geboten.

Wiederum rechtlich verbindlich ist, dass personenbezogene Daten nur aufgrund einer Rechtsgrundlage an Dritte weitergegeben werden. Bei der Weitergabe an gemeinsame Verantwortliche und Auftragsverarbeiter müssen die Pflichtenkreise transparent abgegrenzt werden. Bei Roblox und Arrival.Space wird dies erfüllt. VRChat macht die Weitergabe an Dritte zwar transparent, aber es ist unklar, wer für welche Daten verantwortlich ist. Der pauschale Verantwortungsausschluss bezogen auf Dienste Dritter wird nach der EuGH-Entscheidung zu russmedia (Urt. v. 2.12.2025 – Rs. C‑492/23) wohl ungenügend sein. Danach kann auch der Plattformbetreiber datenschutzrechtlich für die Inhalte der Nutzer:innen verantwortlich gemacht werden, wenn er durch sein Angebot darauf abzielt, dass Nutzer:innen derartige Inhalte einstellen. RAUM gibt grundsätzlich keine Daten weiter.

Zwei weitere Empfehlungen betreffen die erfolgte Datenweitergabe. Einerseits empfehlen wir, dass Daten an Unternehmen außerhalb der EU nur nach expliziter Einwilligung durch die Nutzer:innen weitergegeben werden. Dies wird von allen Plattformen erfüllt (Raum übermittelt grds. keine Daten). Andererseits empfehlen wir, dass personenbezogene Daten nicht an Dritte verkauft werden, die diese für personalisierte Werbung oder zur Erstellung von Persönlichkeitsprofilen nutzen. Damit wird direkt das Geschäftsmodell adressiert, weil eine Ökonomisierung der Privatsphäre der Nutzer:innen im Widerspruch zu einem hohen Niveau im Datenschutz steht. Lediglich RAUM entspricht der Empfehlung, personenbezogene Daten nicht an Dritte zu verkaufen, weil es als B2B-Plattform nicht auf die Verwertung personenbezogener Daten angewiesen ist.

Wenn dennoch Werbetracking verwendet wird, müssen Verantwortliche grundsätzlich eine Einwilligung für diese Verarbeitung einholen. Dies wird von den untersuchten Plattformen erfüllt. In der Regel erfolgte dies durch das Setzen von Cookies, die neben dem technischen Datenschutz (§ 25 TDDDG) gleichzeitig die Einwilligung nach Art. 6 lit. a der DS-GVO abfragten.

Daran anschließend empfehlen wir, dass Werbung nicht aufgrund von Persönlichkeitsprofilen geschaltet wird, sondern nur im Rahmen von kontextbezogener Werbung, d. h. passend zum Inhalt der gerade besuchten Seiten. Insoweit bilden die Testergebnisse eine breite Palette von Ausgestaltungen ab. Auf Roblox ist die Auswahl von nicht-personalisierter Werbung und jedenfalls zum Teil kontextbezogener Werbung (Ort, Alter) anstelle von personalisierter Werbung möglich. Ferner wird personalisierte Werbung für unter 13-jährige Spieler automatisch deaktiviert. VRChat unterscheidet in der Datenschutzerklärung nicht zwischen Werbekontexten und schließt eine Personalisierung auch nicht im Rahmen der Einwilligungserteilung gänzlich aus. Arrival.Space unterscheidet in der Datenschutzerklärung nicht zwischen Werbekontexten. Raum schaltet bereits keine Werbung.

Aus dem Grundsatz der Speicherbegrenzung folgt, dass Nutzer:innen ein Löschungsanspruch gem. Art. 17 DS-GVO zusteht. Diese Pflicht wird von allen Plattformen umgesetzt, wenngleich der Weg teilweise über eine Auswahl im Benutzeraccount, ein Kontaktformular oder eine Mail läuft.

Anhand der Datenschutzerklärung schwer überprüfbar, aber rechtlich verbindlich ist die Sicherstellung eines angemessenen Sicherheitsniveaus für personenbezogene Daten durch technische und organisatorische Maßnahmen (TOMs). Roblox, VRChat, und Arrival.Space geben an, dass sie Maßnahmen im Bereich der IT-Sicherheit vorsehen, beschreiben aber nicht transparent, was sie genau tun. Es konnte beobachtet werden, dass Roblox und VRChat z.B. eine Zwei-Faktor-Authentifizierung anbieten. RAUM hingegen beschreibt sehr genau, welche technische und organisatorische Maßnahmen eingesetzt wurden.

Fortgesetzt wird dieser Gedanke durch die Empfehlung, dass sensible, personenbezogene Daten (z.B. Gesundheitsdaten) soweit möglich auf dem Gerät verarbeitet und nicht in eine Cloud exportiert. Roblox und VRChat verarbeiten Facial Tracking auf dem Gerät. Bei VRChat können Stimmen, Movement Pattern und Eye Movement Pattern an Server übertragen werden. Bei Roblox können Stimmen und Movement Pattern an Server übertragen werden. Arrival.Space lässt Nutzer im Unklaren über die konkrete Verarbeitung von sensiblen Daten. RAUM erfüllt die Metrik überwiegend (sofern keine Spracherkennungs-Anwendung von Drittpartnern genutzt wird).

Auch die nächste Empfehlung wird von den größeren drei Plattformen nicht erfüllt. Gegenstand ist folgende Empfehlung; Wenn Daten in einer Cloud gespeichert werden (müssen), dann soll diese ihren Standort in Deutschland oder der EU haben.
Roblox und VRChat speichern ihre Daten auf US-Servern, Arrival.Space macht keine näheren Angaben, außer dass die Daten grundsätzlich in der EU verarbeitet werden und teilweise auch außerhalb. Einzig RAUM gibt transparent an und erfüllt, dass Daten in Deutschland und EU gespeichert werden.

Bei der verbindlichen Anforderung an die Transparenz der Datenverarbeitung muss zwischen der Datenschutzerklärung und der informierten Einwilligung unterschieden werden. Ziel der Anforderung ist, dass für Nutzer:innen klar ersichtlich ist, welche personenbezogenen Daten durch die Plattform verarbeitet werden, an wen sie weitergegeben werden und wie sie verwendet werden. Roblox erfüllt die Anforderung bezüglich der Datenschutzerklärung, aber nicht bezüglich des Cookie-Banners. Dies ist hinsichtlich der Einwilligungseinholung problematisch, weil auch diese in informierter Weise (Art. 6 lit. a DS-GVO) zu erfolgen hat. VRChat, Arrival.Space und RAUM erfüllen die Anforderung.

Empfohlen wird ferner, dass die Privatsphäre-Einstellungen für Nutzer:innen intuitiv, einfach zu finden und zu bedienen sein sollen. Insoweit ergeben sich folgende Ergebnisse bei der Testung: Roblox und VRChat verfügen über umfangreiche Privacy-Einstellungen, die sowohl über Webseite als auch App zugänglich sind. Arrival.Space und Raum bieten keine Privacy-Einstellungen an. RAUM bietet keine komplexe Privacy-Einstellungen an, sondern nur ein Quick-Menü. Aber es werden generell sehr wenige Daten gesammelt und verarbeitet. Ferner ist der B2B-Kontext zu berücksichtigen.

Ferner kann die Awareness für zeitaktuelle Datenverarbeitungen auf Plattformen verbessert werden, wenn es Sensorhinweise für die Nutzer:innen gibt. Derartige Sensorhinweise werden von Roblox, VRChat, Arrival.Space und Raum bereits für das Mikrofon verwendet. Roblox und VRChat haben zusätzlich die Funktion, dass man mit Kamera Tracking das Avatar-Gesicht animieren kann. Dafür gibt es auch Sensorhinweise. Für Eye-Tracking und Gestentracking bietet VRChat keine Sensorhinweise an.

Um das Metaverse als interoperable Welt zu nutzen, ist es empfehlenswert, dass Nutzer:innen ihre Daten in einem einheitlichen, standardisierten Datenformat exportieren können und in andere Anwendungen importieren können. Eine Datenübertragbarkeit ist gem. Art. 25 DS-GVO sowie Art. 6 Data Act zwar teilweise verbindlich, aber nicht in dem Umfang, dass auch der Datenimport in eine Anwendung verpflichtend umgesetzt werden müsste. Roblox, VRChat und Arrival.Space sichern dies in den Datenschutzerklärungen zu. Die genaue Umsetzung wird jedoch nicht geschildert. Anders bei RAUM, wo der Prozess transparent geschildert und per Mail durchgeführt wird.

In Bezug auf die datenschutzrechtliche Einwilligung müssen Verantwortliche sicherstellen, dass alle Nutzer:innen einwilligungsfähig sind. Roblox und VRChat bieten eine Altersprüfung bei Kontoerstellung an. Das Mindestnutzungsalter bei Roblox ist 5 Jahre und das Mindestnutzungsalter bei VRChat ist 13 Jahre. Aber es bleibt den Nutzer:innen selbst überlassen, was sie angeben. Kinder sind selbst verpflichtet, vor der Nutzung die Zustimmung der Eltern einzuholen, allerdings ohne dass das überprüft wird. Arrival.Space und RAUM bieten keine Altersprüfung und kein Mindestnutzungsalter an. Bei Raum dürfte allerdings insoweit kein Bedarf bestehen, da es sich um eine B2B-Plattform handelt.

Neben der Informiertheit der Einwilligung (s.o.), muss die Entscheidung über die Einwilligung auch freiwillig erfolgen. Insbesondere dürfen keine sog. Dark Patterns, also manipulative Praktiken, verwendet werden, um Nutzer:innen zur Einwilligung in die Datenverarbeitung zu bewegen. Bei unserer Untersuchung konnten gestalterische Dark Patterns nicht festgestellt werden. Allerdings ist bei Roblox, VRChat und Arrival.Space unklar, ob die Einwilligung zu Werbezwecken über die Registrierung auf der Plattform eingeholt wird oder noch separat (z. B. über ein Cookie-Banner). Dadurch steht ein Verstoß gegen das Kopplungsverbot im Raum, welches die Freiwilligkeit entfallen lassen würde. Bei RAUM konnte die Verarbeitung personenbezogener Daten mangels Einblicks in die Vertrags-/Prozessgestaltung (B2B) nicht abschließend bewertet werden.

Ebenfalls verpflichtend ist, dass für besonders sensible, personenbezogenen Daten (z.B. biometrische Daten oder Gesundheitsdaten) zu Werbezwecken eine „ausdrückliche Einwilligung“ eingeholt wird. Roblox und VRChat erheben biometrische Daten, insbesondere die Stimme. Hierzu wird eine ausdrückliche Einwilligung im Rahmen der Registrierung eingeholt. Arrival.Space und RAUM erheben grundsätzlich keine sensiblen Daten. RAUM holt im Ausnahmefall die Einwilligung gesondert ein.

Gestalterisch für das Metaverse ist auch bedeutsam, dass die Möglichkeit der Einwilligung gut in das immersive Nutzungserlebnis integriert ist. Für Roblox und VRChat gibt es keine einzelne Einwilligungen in den Subwelten. Es ist lediglich eine Einwilligung bei der Kontoregistrierung auf der Webseite oder auf der Plattform notwendig. Dadurch dass dies alles vor dem immersiven Nutzungserlebnis passiert, besteht kein Bedarf, die Einwilligung in das Nutzungserlebnis zu integrieren. Bei Arrival.Space kann man zunächst als Gast im immersiven Erlebnis fortfahren und dann ein Konto in der immersiven Umgebung erstellen, wo die Einwilligung als separates Fenster eingeholt wird. In die 3D-Welt ist dieses Verfahren allerdings nicht wirklich integriert. Ebenso öffnet sich auch bei RAUM ein separates Fenster für die Einwilligung.

Im Forschungsprojekt wurde ferner die Nutzbarkeit sog. PIMS (Personal Information Management Systems) näher beleuchtet (vgl. Büning/Meyer, PIMS und das Metaverse, ZD 2025, 490-495). Sie sollen eine Einwilligung auf einer vorgelagerten Ebene einholen, sodass der Aufenthalt nicht durch wiederholte Einwilligungsabfragen gestört wird. Für die ausgewählten Plattformen ist diese Anforderung nicht passend, weil diese als einzelne Verantwortliche organisiert sind, sodass keine wiederholte Einwilligungsbedürftigkeit besteht. Roblox, VRChat und Arrival.Space bieten eine zentrale Einwilligungserteilung an, weil aufgrund des Plattformdesign ohnehin keine weiteren Einwilligungsakte vorgesehen sind. Die Einwilligung wird bei der Registrierung oder beim ersten Betreten der Plattform eingeholt. Roblox bietet auf der Webseite darüber hinaus eine Browser-Verwaltung für Cookies an (insofern ansatzweise erfüllt). Auch bei RAUM ist keine spätere Einwilligungserteilung erforderlich. Sie wird zu Beginn nach Betreten der (Eingangs-)Welt eingeholt.

Zusammenfassung

Die Plattformtestung zeigt, dass Datenschutz im Metaversum zwar grundsätzlich berücksichtigt wird, die Umsetzung aber stark vom jeweiligen Geschäftsmodell und Nutzungskontext abhängt. Während vor allem größere, community- und werbefinanzierte Plattformen wie Roblox und VRChat viele Funktionen und Interaktionsmöglichkeiten bieten, gehen damit auch umfangreichere Datenverarbeitungen und größere Transparenzprobleme einher. Arrival.Space bleibt in mehreren Punkten schwer bewertbar, weil konkrete Informationen fehlen. RAUM schneidet im Vergleich am datenschutzfreundlichsten ab, was insbesondere an der B2B-Ausrichtung, der geringen Datenerhebung, dem Verzicht auf Werbung und der transparenteren technischen Umsetzung liegt.

Für die weitere Entwicklung des Metaversums wird deutlich: Rechtliche Mindestanforderungen allein reichen nicht aus, um eine wirklich privatsphärefreundliche Nutzung zu gewährleisten. Entscheidend sind darüber hinaus klare Informationen, datensparsame Voreinstellungen, transparente Einwilligungsprozesse, lokale Verarbeitung sensibler Daten, EU-nahe Speicherorte sowie verständliche und leicht zugängliche Privatsphäre-Einstellungen. Die im Projekt entwickelten Metriken können hierfür eine wichtige Orientierung bieten und perspektivisch auch für Standardisierung, Normung oder praktische Leitlinien für Plattformbetreiber und Entwickler:innen genutzt werden.

Schutz der Persönlichkeitsrechte

Schutz von Kindern und Jugendlichen

Ein zentrales regulatorisches Kriterium für die Plattformen gemäß dem Jugendschutzgesetzt (JuSchG) und dem Artikel 28 Digital Service Act (DSA) ist der Schutz von Kindern und Jugendlichen vor nicht altersgerechten Inhalten sowie vor Übergriffen. Dies erfolgt häufig durch die Kennzeichnung und Kontrolle jugendgefährdender Inhalte mittels Altersfreigaben. Zudem sind Plattformen rechtlich verpflichtet, geeignete Maßnahmen zum Schutz von Minderjährigen entsprechend mit den Inhalten verbundenen Risiko sowie zum Schutz ihrer Privatsphäre umzusetzen. Roblox erfüllt dieses Kriterium umfassend und RAUM erfüllt die Anforderungen ausreichend. VRChat und Arrival.Space erfüllen die Anforderungen hingegen nur unzureichend. Das Mindestalter für die Nutzung von Roblox beträgt 9 Jahre. Die Einhaltung dieser Altersvorgabe wird bei der Registrierung und dem Plattformzugang nicht überprüft. Jedoch verfügt Roblox über ein umfassendes System zum Jugend- und Alterschutz. Die Plattform verfolgt standardmäßig das Prinzip, von schutzbedürftigen Minderjährigen auszugehen, und schränkt daher bestimmte Interaktionsfunktionen zunächst ein. Über Altersverifizierungsverfahren bei Drittanbietern können Nutzende zusätzliche Funktionen wie erweiterte Chat-Systeme oder altersbeschränkte Inhalte freischalten. Die Einhaltung dieser Einschränkungen wird plattformseitig durchgesetzt. Darüber hinaus verweist Roblox auf die USK-Alterskennzeichnung. Entwickelnde sind verpflichtet, ihre Inhalte anhand eines standardisierten Fragebogens selbst einzustufen und entsprechend zu kennzeichnen. Zudem bietet Roblox eine Kontroll-App an, über die Eltern die Aktivitäten ihrer Kinder auf der Plattform einsehen und Einstellungen anpassen können. VRChat setzt zwar ein Mindestalter von 13 Jahren voraus, verfügt jedoch über keine wirksamen Kontrollmechanismen. Plattformweite Verfahren zur Kennzeichnung jugendgefährdender Inhalte fehlen ebenfalls. Einige Entwickelnde kennzeichnen ihre Inhalte freiwillig, jedoch basiert der Jugendschutz weitgehend auf der Selbstkontrolle der Nutzenden. Dadurch können Kinder und Jugendliche vergleichsweise leicht mit ungeeigneten Inhalten in Kontakt kommen. VRChat erprobt derzeit ein Altersverifizierungsprogramm über Drittanbieter, das aktuell jedoch nur Nutzenden mit kostenpflichtigem Premium-Abonnement zur Verfügung steht. Arrival.Space bietet derzeit noch keine Maßnahmen zum Jugend- und Alterschutz an. Als B2B-Plattform erwartet die Plattform RAUM eigentlich keine Kinder oder Jugendliche als Nutzenden, bietet dennoch ein USK-System, mit dem virtuelle Räume getaggt werden können.

Optional können Plattformen Informationsmaterialien für Eltern und Erziehungsberechtigte bereitstellen, um den Jugendschutz zu unterstützen. Sowohl Roblox als auch VRChat bieten hierfür über ihre Webseiten leicht zugängliche, umfangreiche Leitfäden an.

Schutz vor Belästigung und Missbrauch

Zum Schutz vor Belästigung und Missbrauch sind Plattformen gemäß den Artikeln 34 und 35 Digital Service Act (DSA) gesetzlich verpflichtet, Risiken zu analysieren und zu bewerten. Diese Bewertungen erfolgen jedoch im Hintergrund und sind aus Nutzendensicht nicht direkt einsehbar. Roblox gibt an, regelmäßig entsprechende Analysen durchzuführen, aus denen Maßnahmen zur Reduktion von Risiken abgeleitet werden. Für VRChat und Arrival.Space liegen keine öffentlichen Informationen über entsprechende systematische Bewertungen vor. Bei der B2B-Plattform RAUM ist dieses Kriterium nur eingeschränkt anwendbar, da eine kontinuierliche Überwachung aus Datenschutz- und Geschäftsgründen nicht möglich ist und zudem arbeitsrechtliche Regelungen der jeweiligen Unternehmen gelten.

Laut den PRIME-Metriken wird zudem empfohlen, dass Plattformen Nutzende transparent und verständlich über Nutzungsrisiken, problematische Inhalte sowie verfügbare Schutzmaßnahmen informieren. VRChat erfüllt dieses Kriterium besonders gut, indem die Plattform häufig auftretende Risiken und problematische Verhaltensweisen auf ihrer Webseite offen kommunizieren und konkrete Handlungsempfehlungen sowie die Funktionsweise der Schutzmaßnahmen beschreiben. Roblox informiert ebenfalls über Schutzmaßnahmen, geht jedoch weniger ausführlich auf die zugrunde liegenden Risiken ein und konzentriert sich stärker auf die verfügbaren Sicherheitsfunktionen für Nutzende. Arrival.Space bietet hierzu keine erkennbaren Informationen an. Für die B2B-orientierte Plattform RAUM ist dieses Kriterium nur eingeschränkt relevant, da die Nutzung in einem kontrollierten Unternehmenskontext erfolgt.

Eine weitere Empfehlung lautet, dass Plattformen Nutzenden Maßnahmen zum akuten und präventiven Schutz vor Belästigung oder Missbrauch bereitstellen sollten. Diese Maßnahmen sind bei Roblox und VRChat umfassend implementiert, während Arrival.Space keine vergleichbaren Funktionen anbietet. RAUM bietet als B2B-Plattform indirekte Schutzmechanismen durch eine strikte Zugangskontrolle, sodass nur berechtigte Nutzende zu virtuellen Räumen eingeladen werden können. Roblox und VRChat stellen sowohl akute Schutzfunktionen wie Blockieren und Stummschalten als auch präventive Einstellungen bereit, darunter anpassbare Profilsichtbarkeit, Sicherheitseinstellungen, Einschränkungen von Interaktionsmöglichkeiten (z.B. Deaktivierung von Voice- oder Text-Chat), Chatfilter, Avatar-Interaktionsrechte sowie Vertrauenssysteme.

Ferner wird empfohlen, dass Plattformen private und geschützte Bereiche (z.B. Safe Zones als definierte Rückzugsräume) bereitstellen, ähnlich wie Safe Spaces bei großen öffentlichen Veranstaltungen in der physischen Welt. VRChat und RAUM setzen solche Konzepte bereits um. Beim Betreten der Plattformen befinden sich Nutzende standardmäßig zunächst in einem privaten, geschützten Bereich, dessen Zugangskontrolle vollständig von Nutzenden gesteuert werden kann. Zudem können Nutzende jederzeit in diesen Bereich zurückkehren. VRChat ermöglicht darüber hinaus die Erstellung individueller Instanzen pro Welt, sodass Inhalte allein oder in eingeladenen Gruppen genutzt werden können. Roblox bietet die Möglichkeit privater Instanzen nur eingeschränkt. Je nach Entscheidung der Entwickelnden sind diese entweder kostenlos oder kostenpflichtig verfügbar. Arrival.Space stellt keine vergleichbaren Schutz- oder Rückzugsraumkonzepte bereit.

Ein optionales Kriterium ist der Einsatz wirksamer Maßnahmen zur Förderung konstruktiven Sozialverhaltens. VRChat erfüllt dieses Kriterium besonders gut. Die Plattform beschreibt auf ihrer Webseite transparent die Erwartungen an respektvolles Verhalten und stellt zahlreiche Funktionen zur Förderung positiver Interaktionen bereit. Dazu gehören ein Safety- und Trust-System, Einstellungen für Avatar-Interaktionsrechte sowie Chatfilter. Darüber hinaus können Nutzende Profilbeschreibungen veröffentlichen, auf externe Social-Media-Kanäle verlinken und freiwillig Informationen über Tags offenlegen, beispielsweise zu gesprochenen Sprachen oder zur Volljährigkeit. Auch Roblox kommuniziert klar die Erwartungen an konstruktives Sozialverhalten und unterstützt dies durch verschiedene Funktionen. Nutzende können individuelle Profilbeschreibungen erstellen, Follower- und Following-Zahlen einsehen, sowie Social-Media-Profile verlinken. Weitere sichtbare Metadaten, wie das Erstellungsdatum des Profils oder frühere Nutzernamen, können ebenfalls zur Identifikation von Nutzenden beitragen. Zusätzlich bietet Roblox für bekannte Persönlichkeiten einen Verifizierungsprozess mit Verifizierungsbadge an, um Identitätsdiebstahl und Nachahmung zu erschweren. Arrival.Space bietet nur grundlegende unterstützende Mechanismen, etwa Informationen zur Dauer der Plattformmitgliedschaft sowie die Anzahl der Follower eines Nutzers, ähnlich zu klassischen sozialen Netzwerken. Bei RAUM wird konstruktives Sozialverhalten primär durch eine strikte Zugangskontrolle gefördert. Der Zugang zu privaten Umgebungen erfolgt ausschließlich über Einladungen, wobei Administratoren die Identität und Bezeichnung der eingeladenen Personen festlegen können.

Artikel 14 in Digital Service Act (DSA) verlangt, dass Plattformen Verhaltensregeln und Kodizes definieren und diese Nutzenden transparent zugänglich machen. Diese Anforderung erfüllen Roblox, VRChat und RAUM sehr gut, während Arrival.Space bislang keine entsprechenden Regelwerke bereitstellt. Roblox und VRChat veröffentlichen umfangreiche, plattformweite Verhaltensregeln für Nutzende und Creators auf ihren Webseiten. Diese fördern respektvolles und angemessenes Verhalten und untersagen provokante, störende, unangemessene sowie rechtsverletzende Inhalte. Zugleich werden mögliche Konsequenzen bei Verstößen klar aufgeführt. RAUM stellt ebenfalls allgemeine Verhaltensregeln bereit, insbesondere für öffentliche Umgebungen, die den Nutzenden vor dem Betreten nochmals angezeigt werden.
Empfohlen wird zudem die Einbindung der Nutzenden in die Erstellung von Verhaltensregeln. Keine der untersuchten Plattformen erfüllt derzeit jedoch dieses Kriterium für plattformweite Regelwerke. Sub-Communities können eigene Regelwerke erstellen und innerhalb ihrer virtuellen Umgebungen durchsetzen.
Laut dem DSA sind Plattformen gesetzlich verpflichtet, ein funktionierendes Moderations-, Melde- und Beschwerdesystem bereitzustellen, über das Verstöße gegen Verhaltensregeln oder geltendes Recht gemeldet werden können. Zudem sind Plattformen rechtlich verpflichtet, meldenden Personen eine Rückmeldung über die Prüfung ihrer Meldung sowie über die getroffene Entscheidung und mögliche weitere Schritte bereitzustellen. Diese Kriterien erfüllen Roblox und VRChat sehr gut, während Arrival.Space und RAUM hier Defizite aufweisen. Roblox und VRChat bieten dabei umfangreiche, fein granulare Meldesysteme, mit denen Nutzende Personen, Gruppen, Interaktionen, nutzergenerierte Inhalte und Umgebungen melden können. Roblox verweist im Meldesystem zudem explizit auf die Vorgaben des EU Digital Service Act und ermöglicht die automatische Einbindung von Screenshots als Beweismaterial in Meldungen. Arrival.Space stellt lediglich ein generisches Feedback-Formular bereit, über das Verstöße per Freitext gemeldet werden können. Ein integriertes Meldesystem für spezifische Aktionen während der Nutzung fehlt jedoch. RAUM als B2B-Plattform bietet kein Meldesystem. Sowohl Roblox als auch VRChat geben meldenden Nutzenden generische Rückmeldungen, dass Maßnahmen ergriffen wurden, ohne die gemeldete Person oder konkrete Sanktionen zu nennen, vermutlich zum Schutz der Privatsphäre.
Außerdem sind Plattformen gesetzlich verpflichtet, Verstöße gegen Verhaltensregeln oder geltendes Recht wirksam zu sanktionieren. Roblox und VRChat setzen hierfür insbesondere temporäre oder permanente Sperrungen (Bans) sowie die Entfernung unangemessener Inhalte ein. Roblox gibt zudem an, mit Strafverfolgungsbehörden insbesondere zur Bekämpfung von Kindesmissbrauch zusammenzuarbeiten. RAUM sieht bei Regelverstößen den Ausschluss von Nutzenden sowie die sofortige Beendigung vertraglicher Beziehungen vor. Arrival bietet keine vergleichbaren Maßnahmen. Zudem ist kein Account für den Zugang zur Plattform erforderlich und somit besteht keine kontrollierte Nutzerverwaltung.

Zur Unterstützung von Opfern von Belästigung oder Missbrauch wird des weiteren empfohlen, dass Plattformen psychologische Betreuung anbieten oder auf bestehende Hilfsangebote verweisen. Sowohl Roblox als auch VRChat stellen entsprechende Informationen bereit. Roblox bietet auf seiner Webseite ein umfangreiches Informationssystem, über das Nutzende länderspezifische Unterstützungsangebote recherchieren können. VRChat stellt Informationen zu psychologischen Hilfsangeboten für ausgewählte, besonders relevante Ländern bereit.

Schutz vor ungewollten Interaktionen mit Social Bots

Zum Schutz vor unerwünschten Interaktionen mit Social Bots (d.h. Computerprogramme, die unter Vortäuschung einer menschlichen Identität mit Menschen interagieren) sowie vor möglicher Beeinflussung durch diese sehen verschiedene regulatorische Ansätze (wie EU AI Act und Medienstaatsvertrag) Transparenzmechanismen vor. Dieses Kriterium wird jedoch von keiner der untersuchten Plattformen vollständig erfüllt. Roblox untersagt zwar offiziell virtuelle Welten, die primär auf KI- oder Chatbot-Interaktionen basieren. In der Praxis erfolgt jedoch keine konsequente Durchsetzung, sodass entsprechende Welten auf der Plattform existieren. Teilweise weisen Entwickelnde in den Weltbeschreibungen auf KI-Interaktionen hin, innerhalb der virtuellen Umgebung fehlen jedoch eindeutige Kennzeichnungen von Social Bots. Dadurch können Bots mit menschlichen Nutzenden verwechselt werden. VRChat macht keine plattformweiten Vorgaben zum Einsatz von KI oder Social Bots. In einzelnen Welten kommen herkömmliche Non-Player-Characters (d.h. computergesteuerte virtuelle Charaktere) zum Einsatz, ohne erkennbare Integration von KI-Systemen wie LLMs. Einige Entwickelnde weisen freiwillig in den Weltbeschreibungen auf deren Nutzung hin. In solchen Fällen ist eine zusätzliche explizite Kennzeichnung innerhalb der virtuellen Umgebung in der Regel nicht erforderlich. Arrival.Space und RAUM treffen keine erkennbaren Regelungen zum Einsatz oder zur Kennzeichnung von KI-gestützten Social Bots in den virtuellen Umgebungen.

Schließlich wird zur Verringerung unerwünschter Interaktionen mit Social Bots die Bereitstellung botfreier Zonen empfohlen, in denen ausschließlich menschliche Nutzende miteinander interagieren können. VRChat und RAUM ermöglichen solche Bereiche indirekt durch private Instanzen bzw. geschützte Räume, über die Nutzende die volle Zugangskontrolle besitzen. Dadurch kann sichergestellt werden, dass sich dort keine Social Bots aufhalten. Roblox und Arrival.Space bieten hingegen keine expliziten oder impliziten botfreien Zonen an.

Zusammenfassung

Zusammenfassend lieferte die Plattformanalyse die folgenden Erkenntnisse zum aktuellen Stand des Schutzes der Persönlichkeitsrechte auf den untersuchten Plattformen.

Roblox setzt den Schutz von Kindern und Jugendlichen am besten um. Dies ist auch durch die Ausrichtung auf diese Zielgruppe bedingt. VRChat weist hingegen deutliche Schutzdefizite auf, da jugendgefährdende Inhalte nicht konsequent kontrolliert werden und keine wirksame Trennung zwischen Minderjährigen und Erwachsenen besteht. Arrival.Space bietet keine spezifischen Schutzmaßnahmen für Kinder und Jugendliche. Für RAUM ist der Jugendschutz aufgrund der B2B-Ausrichtung nur eingeschränkt relevant, dennoch sind grundlegende Schutz- und Kennzeichnungselemente vorhanden.
Im Bereich Schutz vor Belästigung und Missbrauch sind die US-amerikanischen Plattformen Roblox und VRChat führend und erfüllen die verpflichtenden Anforderungen umfassend. Zudem decken sie zahlreiche optionale Anforderungen durch Transparenz über mögliche Risiken, vielfältige Schutzmechanismen für Nutzerinteraktionen, Förderung vom konstruktiven Sozialverhalten und Verlinkung zu Hilfsangeboten ab. Arrival.Space erfüllt viele Pflichtanforderungen noch nicht und weist Defizite in Schutz, Moderation und Meldesystemen auf. RAUM ist im B2B-Kontext gut über Zugangskontrolle abgesichert, hat aber kaum klassische Schutzmechanismen für Nutzerinteraktionen.

Der Schutz vor unerwünschten Interaktionen mit Social Bots wird von keiner der untersuchten Plattformen ausreichend erfüllt. Vor dem Hintergrund zunehmender technischer Möglichkeiten zur Simulation menschlicher Interaktionen stellt dies ein neuartiges und wachsendes Problem im Metaverse dar, auf das die Plattformen bislang nur unzureichend vorbereitet sind.

Ansonsten beruhen die Hintergründe in den unterschiedlichen Schutzniveaus im Bereich der Persönlichkeitsrechte vermutlich großenteils darauf, dass die getesteten US-amerikanischen Plattformen im Bereich der b2c-Spieleanwendungen sehr viel stärker etabliert sind und daher auch seitens der Nutzer:innen und der Öffentlichkeit gefordert sind, Maßnahmen zum Schutz vor Belästigung und virtueller Gewalt zu bieten. Arrival.Space und RAUM verfolgen dagegen andere Geschäftsmodelle, die weniger Anlass zur Sorge vor Übergriffen bieten. Dennoch haben die im Verlauf des PRIME-Projekts ausgewerteten Informationen und Verbrauchererfahrungen deutlich gemacht, dass der Schutz der Persönlichkeitsrechte auch und gerade seitens der großen Plattformen in der Praxis weiterhin lückenhaft ist.