Europäische Behörde verhängt Strafe in Höhe von 345 Millionen Euro gegen TikTok wegen Datenschutzverstößen

Der DPC zufolge hat die Plattform es versäumt, minderjährige Nutzer:innen ausreichend zu schützen und ihre Daten angemessen zu behandeln. Diese Behörde hatte zuvor TikToks Umgang mit den Daten jüngerer Nutzer:innen untersucht. TikTok hat in einer Stellungnahme Gegenargumente zu den Vorwürfen vorgebracht und ist mit der Höhe der Strafe nicht einverstanden.

Das Project Clover von TikTok erfährt ein Update und die ersten User-Daten aus Europa werden ab jetzt auch in diesem Raum gespeichert. Zudem soll ein Sicherheitsunternehmen die Datenkontrolle TikToks extern überwachen.

TikTok migriert User-Daten aus Europa zur Speicherung nach Irland

Unzureichender Schutz von minderjährigen Usern: Das sind die Vorwürfe gegen TikTok

Die europäische Behörde ist zu dem Schluss gekommen, dass TikTok bei der Verarbeitung der personenbezogenen Daten minderjähriger Nutzer:innen gegen die Bestimmungen der DSGVO verstoßen hat. Als Konsequenz verhängte die DPC eine Geldstrafe von 345 Millionen Euro (368 Millionen US-Dollar) gegen die Entertainment-Plattform. TikTok reagierte darauf mit folgender Stellungnahme:

Wir sind mit mehreren Aspekten der Entscheidung nicht einverstanden, insbesondere mit der Höhe der verhängten Geldstrafe. Wir möchten einige wichtige Informationen zur Verfügung stellen, während wir die nächsten Schritte abwägen.

TikToks Hauptsitz in Europa und ein neues Datenzentrum für die Speicherung europäischer Nutzer:innendaten befinden sich in Irland. Die irische Datenschutzkommission untersuchte den Zeitraum zwischen dem 31. Juli und dem 31. Dezember 2020, um festzustellen, ob TikTok den Datenschutzverpflichtungen gegenüber Usern im Alter zwischen 13 und 17 Jahren nachgekommen war. Dabei stellte die Regulierungsbehörde fest, dass TikTok standardmäßig die Profile von Kindern und Jugendlichen unter 18 Jahren auf „öffentlich“ eingestellt hatte. Dies machte ihre Informationen leicht zugänglich, da auch die von ihnen geposteten Videos automatisch öffentlich waren und von jedem User kommentiert werden konnten.

Des Weiteren wurde festgestellt, dass TikTok die Verknüpfung der Accounts von Unter-18-Jährigen mit denen von erwachsenen Usern erlaubte, ohne zu überprüfen, ob letztere die Eltern oder Erziehungsberechtigten der erstgenannten waren. Diese Vorgehensweise ermöglichte es erwachsenen Usern sogar, Direktnachrichten für beide Accounts zu aktivieren, obwohl die Funktion für minderjährige Nutzer:innen eigentlich nicht verfügbar sein sollte.

Das britische Information Commissioner’s Office (ICO) verhängte bereits Anfang des Jahres eine Geldstrafe von 12,7 Millionen Pfund (15,75 Millionen US-Dollar) gegen TikTok aufgrund des Missbrauchs von Daten minderjähriger Nutzer:innen. In diesem Fall wurde festgestellt, dass die Plattform es 1,4 Millionen britischen minderjährigen Usern ermöglichte, sich auf TikTok anzumelden oder ein Konto zu erstellen, selbst wenn sie unter 13 Jahre alt waren. Obwohl die irische Datenschutzkommission nicht feststellte, dass TikTok gegen die DSGVO verstoßen hat, indem es Unter-13-Jährigen erlaubte, sich zu registrieren, bemängelte sie dennoch, dass TikTok nicht die angemessenen Maßnahmen ergriffen hat, um die Plattform für Nutzer:innen aller Altersgruppen, einschließlich Personen unter 13 Jahren, sicher zu gestalten.

TikTok wehrt sich und zeigt auf, dass die Plattform viele der Vorwürfe bereits gelöst hat

Die Entertainment-Plattform betont, dass die DPC ausschließlich den Zeitraum von Juli bis Dezember 2020 untersucht hat und weist darauf hin, dass die meisten konstatierten Kritikpunkte im Rahmen der jüngsten Entscheidung laut TikTok auf Probleme zurückzuführen seien, die das Unternehmen Anfang 2021 gelöst hätte, also mehrere Monate vor Beginn der DPC-Untersuchung.

TikTok betont etwa, dass Konten von Usern im Alter von 13 bis 15 seit Januar 2021, acht Monate vor Beginn der DPC-Untersuchung, standardmäßig privat sind.

Zusätzlich hat die Plattform:

• die Kommentarfunktion für Videos, die von 13- bis 15-Jährigen erstellt wurden, modifiziert, indem sie nur noch die Optionen „Freund*innen“ und „Niemand“ anbietet und die Option „Alle“ entfernt hat,
• die Funktionen „Duett“ und „Stitch“ nicht mehr für Inhalte verfügbar gemacht, die von Personen unter 16 Jahren erstellt wurden (für 16- und 17-Jährige sind diese Funktionen standardmäßig auf „Freund*innen“ eingestellt),
• die Einstellung  „Schlage anderen dein Konto vor“ für 13-15-Jährige standardmäßig deaktiviert hat.

Diese Maßnahmen hat TikTok zudem ergriffen, um den Schutz junger User zu stärken

Seit November 2020 haben Eltern außerdem nicht mehr die Möglichkeit, Direktnachrichten für 16- und 17-Jährige zu aktivieren, wenn diese Funktion von den Minderjährigen selbst bereits deaktiviert wurde. Der „Begleitete Modus“ wurde fortlaufend verbessert, was es Eltern ermöglicht, Bildschirmzeitlimits festzulegen, das Nutzungs-Dashboard einzusehen, Benachrichtigungen zu deaktivieren und spezifische Inhalte auf den TikTok Accounts ihrer Kinder zu filtern. TikTok erklärt dazu:

Durch den ‚Begleiteten Modus‘ unterstützen wir mehr als 1 Million Teenager und ihre Familien dabei, Leitplanken zu setzen, die auf ihre individuellen Bedürfnisse abgestimmt sind.

Um den Schutz junger User zu verbessern, hat TikTok auch die Verständlichkeit ihrer Datenschutzeinstellungen erleichtert. Im Juli 2020 hat das Unternehmen Nutzer:innen unter 18 Jahren eine altersgerechte Zusammenfassung der Datenschutzrichtlinie bereitgestellt. Seitdem hat es spezielle Ressourcen für Minderjährige entwickelt, darunter die „Datenschutz-Highlights für Teenager“ im September 2022, um ihnen zu helfen, die Datenerfassung und -verwendung besser zu verstehen. Zudem hat TikTok zu Beginn dieses Jahres die Hilfe-Center-Materialien aktualisiert, um sicherzugehen, dass Videos eines öffentlichen Kontos von allen, sowohl innerhalb als auch außerhalb von TikTok, angesehen werden können. TikTok erklärt dazu:

Dies behebt einen weiteren Kritikpunkt der DPC, der besagte, dass unsere Verwendung der Wörter „jede*r“ und „alle“ zur Beschreibung, wer den Inhalt eines öffentlichen Kontos ansehen kann, nicht deutlich genug war.

TikTok verweist auch darauf, dass weder die DPC noch der Europäische Datenschutzausschuss Verstöße gegen die DSGVO in Bezug auf TikToks Maßnahmen zur Altersüberprüfung festgestellt haben. Im gleichen Zuge hebt das Unternehmen hervor, dass die Plattform eine neutrale Altersfreigabe implementiert hat, bei der Nutzer:innen ihr vollständiges Geburtsdatum eingeben müssen, ohne Hinweise auf das Mindestalter zu erhalten. Zusätzlich unternimmt TikTok gezielte Anstrengungen, um mutmaßliche Kontoinhaber:innen unter 13 Jahren zu identifizieren und zu entfernen. Im Jahr 2021 hat TikTok darüber hinaus als erste große Plattform öffentlich die Anzahl der entfernten Konten mutmaßlicher Minderjähriger bekannt gegeben und setzt diese Transparenz weiterhin fort. TikTok sagt:

Die Verifizierung des Alters ist eine branchenweite Herausforderung – wir werden weiterhin mit Regulierungsbehörden und anderen Expert*innen zusammenarbeiten, um neue Lösungen zu finden, die unsere Bemühungen, unter 13-jährige Nutzer*innen von der Plattform fernzuhalten, weiter verbessern.

Für Nutzer:innen im Alter von 13 bis 17 Jahren werden künftig in Europa zudem gar keine Ads mehr angezeigt, die auf ihren Aktivitäten auf der Plattform oder außerhalb von TikTok basieren. Die Inhalte von Konten, die Menschen gehören, die noch nicht 16 Jahren alt sind, können schon seit Längerem nicht im For You Feed empfohlen werden.

Im Verlauf dieses Jahres plant TikTok schließlich die Einrichtung eines globalen Jugendbeirats. So möchte das Unternehmen die Perspektiven der minderjährigen User auf der Plattform anhören und entsprechende Anpassungen vornehmen können. Darüber hinaus beabsichtigt TikTok, die Compliance-Kultur im gesamten Unternehmen weiter zu stärken. Wie jüngst im Rahmen des Digital Services Act verdeutlicht wurde, ist TikTok auch bereit, bei Bedarf bedeutende Anpassungen an Produktfunktionen und -prozessen vorzunehmen, um sicherzustellen, dass die Plattform den hohen Standards der europäischen Sicherheits- und Datenschutzvorschriften entspricht.

Der Digital Services Act tritt für Big Player in Kraft:
Meta, TikTok und Co. spüren die Folgen