345 Millionen Euro Strafe für TikTok

Zuletzt aktualisiert am 1. Juni 2026

Die irischen Datenschutzbehörden, denen oft Nachlässigkeit nachgesagt wird, haben nun eine Datenschutzstrafe gegen den populären Online Videodienst TikTok wegen fahrlässigen Umgangs mit Daten Minderjähriger verhängt. Die Höhe der Strafe beträgt 345 Millionen Euro. Die Hintergründe zu dazu erfahren Sie hier.

Datenschutzrechtliche Untersuchungen in Irland

Bei dem Online Videodienst TikTok handelt es sich um eine vor allem bei Jugendlichen populäre Socialmedia-Plattform. Den europäischen Sitz hat diese in Irland. Den irischen Datenschutzbehörden wird nachgesagt, im europäischen Vergleich besonders nachlässig bei der Kontrolle und Durchsetzung von datenschutzrechtlichen Bestimmungen zu sein. Die aktuelle Entscheidung der irischen Datenschutzkommission DPC zu einer datenschutzrechtlichen Strafe für den Dienst TikTok zeigen jedoch, dass auch die irischen Datenschutzbehörden anders können.

Von Ende Juli bis Ende Dezember 2020 wurde eine Untersuchung zum Umgang mit Nutzerdaten von Minderjährigen von irischen Datenschutzbehörden durchgeführt. Dabei wurden vor allem Faktoren wie die Altersüberprüfung von Nutzern bei der Anmeldung und Voreinstellungen in deren Profilen untersucht.

Das beunruhigende Ergebnis: Beiträge sowie Videos von Nutzern im Alter zwischen 13 und 17 Jahren konnten nach Voreinstellungen für alle sichtbar veröffentlicht werden. Außerdem war die Kommentarfunktion der Profile in den Voreinstellungen für alle anderen Nutzer zugänglich gewesen.

Datenschutzrechtliche Konsequenz: Bußgeld

TikTok wurde aufgefordert, die Datenverarbeitung entsprechend der DSGVO anzupassen. Hierfür wurde TikTok eine Frist von 3 Monaten gesetzt und zusätzlich ein Bußgeld verhängt.

Auch wenn sich der Betrag dieser Strafe sehr hoch anhört, kommt er immer noch nicht an das Rekordhoch von DSGVO-Strafen heran. Die bisher höchste Strafe in einem datenschutzrechtlichen Verfahren wurde gegen den Facebook-Konzern Meta im Mai diesen Jahres verhängt und betrug 1,2 Milliarden Euro.

Was macht TikTok jetzt?

TikTok äußerte sich zu den veröffentlichten Vorwürfen. Dabei betonte das Unternehmen vor allem, dass die Ergebnisse der Untersuchungen sich in erster Linie auf Einstellungen beziehen würden, die vor 3 Jahren gültig gewesen seien. Somit seien die Vorwürfe aufgrund aktualisierter Einstellungen zumeist nicht mehr relevant. Zum Beispiel habe das Unternehmen schon alle Konten von Nutzern im Alter von unter 16 Jahren standardmäßig auf privat gestellt.

Als Konsequenz der datenschutzrechtlichen Vorwürfe sagt TikTok zusätzlich aus, nun für europäische Nutzer ein neues Rechenzentrum in Irland zu errichten. Zusätzlich sei auch ein neues Rechenzentrum in Norwegen geplant. Die Übertragung aller europäischer Nutzerdaten dorthin soll bis Ende 2024 durchgeführt sein. Dann sollen standardmäßig auch alle europäischen Nutzerdaten in der EU gespeichert werden.

Unter dem Namen „Projekt Clover“ will TikTok laut eigenen Aussagen vertrauen in Europa gewinnen. Aufgrund der Verbindung zu China hat die Video-App einen schweren politischen Stand im Westen. Dies will das Unternehmen vor allem durch transparenteren Umgang mit Daten nun ändern.

Fazit

Datenschutzrechtliche Verstöße können schnell zu sehr hohen Bußgeldern führen.

Für Unternehmen ist es wichtig, einen umfänglichen Überblick über die Art und Weise der Verarbeitung ihrer Daten zu behalten. Es ist unersetzlich, fachliches Personal, das in den Regelungen der DSGVO geschult ist, zu beschäftigen.

Hintergründe der Datenschutzverstöße

Die irische Datenschutzbehörde (Data Protection Commission, DPC) stellte bei ihrer Untersuchung mehrere schwerwiegende Verstöße gegen die DSGVO fest. Im Zentrum der Kritik stand der Umgang von TikTok mit den Daten minderjähriger Nutzer. Konkret wurde beanstandet, dass die Konten minderjähriger Nutzer standardmäßig auf „öffentlich“ eingestellt waren, sodass deren Inhalte und persönliche Informationen für jedermann sichtbar waren. Diese Voreinstellung widersprach dem Grundsatz des Datenschutzes durch Technikgestaltung nach Art. 25 DSGVO.

Außerdem kritisierte die DPC, dass TikTok die sogenannte „Family Pairing“-Funktion — eine Funktion zur elterlichen Kontrolle — so gestaltet hatte, dass auch nicht verifizierte Erwachsene die Konten von Minderjährigen kontrollieren konnten. Dies stellte ein erhebliches Sicherheitsrisiko für die betroffenen Kinder und Jugendlichen dar. Die fehlende Verifizierung ermöglichte es potenziell jedem Erwachsenen, sich als Erziehungsberechtigter auszugeben und Einfluss auf die Kontoeinstellungen eines Minderjährigen zu nehmen.

Besonderer Schutz für Kinder und Jugendliche

Die DSGVO räumt dem Schutz personenbezogener Daten von Kindern einen besonderen Stellenwert ein. Erwägungsgrund 38 der DSGVO betont, dass Kinder einen besonderen Schutz verdienen, da sie sich der Risiken, Folgen und Garantien sowie ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind. Art. 8 DSGVO legt zudem fest, dass für die Verarbeitung personenbezogener Daten eines Kindes im Zusammenhang mit Diensten der Informationsgesellschaft die Einwilligung der Eltern erforderlich ist, wenn das Kind das 16. Lebensjahr noch nicht vollendet hat.

Für Unternehmen, die digitale Dienste anbieten, die von Minderjährigen genutzt werden, ergeben sich hieraus besondere Pflichten. Sie müssen angemessene Altersverifikationsmechanismen implementieren, kindgerechte Datenschutzinformationen bereitstellen und sicherstellen, dass die Standardeinstellungen das höchstmögliche Datenschutzniveau bieten. Das TikTok-Bußgeld zeigt eindrucksvoll, welche Konsequenzen drohen, wenn diese Pflichten vernachlässigt werden.

Weitere DSGVO-Bußgelder gegen Social-Media-Plattformen

Das TikTok-Bußgeld reiht sich in eine Serie hochkarätiger Sanktionen gegen große Technologieunternehmen ein. Die irische DPC hat in den vergangenen Jahren mehrere Rekordstrafen verhängt: Meta (Facebook) wurde mit insgesamt 1,2 Milliarden Euro für die unzulässige Übermittlung europäischer Nutzerdaten in die USA sanktioniert. Instagram erhielt ein Bußgeld von 405 Millionen Euro wegen mangelhaften Schutzes von Kinderdaten. WhatsApp wurde mit 225 Millionen Euro bestraft, weil Nutzer nicht ausreichend über die Weitergabe ihrer Daten an Facebook informiert worden waren.

Diese Entwicklung zeigt, dass die europäischen Datenschutzaufsichtsbehörden zunehmend bereit sind, auch gegen die größten und mächtigsten Technologieunternehmen der Welt vorzugehen. Die Höhe der Bußgelder spiegelt dabei nicht nur die Schwere der Verstöße wider, sondern soll auch eine abschreckende Wirkung auf andere Unternehmen entfalten.

Lehren für Unternehmen aller Größen

Auch wenn die TikTok-Strafe einen globalen Technologiekonzern betrifft, lassen sich daraus wichtige Lehren für Unternehmen aller Größen ableiten. Die von der DPC beanstandeten Verstöße — mangelhafter Jugendschutz, unzureichende Standardeinstellungen und fehlende Transparenz — können auch bei kleineren Unternehmen auftreten, die digitale Dienste anbieten oder eine Website betreiben, die von Minderjährigen genutzt werden kann.

Folgende Grundsätze sollte jedes Unternehmen beachten: Privacy by Design und Privacy by Default müssen von Anfang an in die Entwicklung und Gestaltung digitaler Produkte und Dienste integriert werden. Datenschutzfreundliche Voreinstellungen — also das höchstmögliche Datenschutzniveau als Standard — sind keine Kür, sondern eine rechtliche Pflicht nach Art. 25 DSGVO. Wenn Dienste voraussichtlich von Minderjährigen genutzt werden, sind besondere Schutzmaßnahmen zu implementieren.

Außerdem zeigt der Fall TikTok, wie wichtig eine transparente und verständliche Datenschutzkommunikation ist. Nutzer — und insbesondere minderjährige Nutzer und deren Eltern — müssen in der Lage sein, die Datenverarbeitungspraktiken eines Unternehmens zu verstehen und informierte Entscheidungen über die Nutzung des Dienstes zu treffen.

Fazit: Datenschutz ernst nehmen

Das Bußgeld gegen TikTok in Höhe von 345 Millionen Euro ist ein deutliches Signal an alle Unternehmen, die personenbezogene Daten verarbeiten: Die DSGVO wird von den Aufsichtsbehörden mit zunehmender Konsequenz durchgesetzt, und Verstöße — insbesondere solche, die den Schutz von Kindern und Jugendlichen betreffen — werden empfindlich sanktioniert. Unternehmen sollten daher nicht abwarten, bis eine Beschwerde oder eine behördliche Prüfung Mängel offenbart, sondern vorausschauend in ein solides Datenschutzmanagement investieren. Ein qualifizierter externer Datenschutzbeauftragter kann dabei helfen, datenschutzrechtliche Risiken frühzeitig zu erkennen und zu beseitigen — bevor sie zu kostspieligen Sanktionen führen. Die DATUREX GmbH steht Ihnen als kompetenter Partner für alle Datenschutzfragen zur Verfügung.

TikTok im Unternehmenseinsatz: Besondere Risiken

Immer mehr Unternehmen nutzen TikTok als Marketingkanal, um jüngere Zielgruppen zu erreichen. Dabei müssen jedoch die datenschutzrechtlichen Risiken sorgfältig abgewogen werden. Als Verantwortlicher im Sinne der DSGVO tragen Unternehmen, die eine TikTok-Präsenz betreiben, eine Mitverantwortung für die Datenverarbeitung, die auf der Plattform stattfindet. Dies ergibt sich aus der EuGH-Rechtsprechung zur gemeinsamen Verantwortlichkeit bei der Nutzung von Social-Media-Plattformen.

Unternehmen sollten daher die Nutzung von TikTok in ihrer Datenschutzerklärung transparent aufführen, eine Datenschutz-Folgenabschätzung für den Einsatz der Plattform durchführen und die Datenübermittlung in Drittländer — insbesondere nach China — kritisch hinterfragen. Ein qualifizierter Datenschutzbeauftragter kann bei der Bewertung dieser Risiken und der Implementierung angemessener Schutzmaßnahmen unterstützen.

Auch die Nutzung von TikTok durch Mitarbeiter auf Firmengeräten sollte in einer klaren Unternehmensrichtlinie geregelt werden. Zahlreiche Behörden und öffentliche Einrichtungen in Europa und weltweit haben die Nutzung von TikTok auf Dienstgeräten bereits untersagt. Für privatwirtschaftliche Unternehmen empfiehlt sich zumindest eine Risikoanalyse und eine dokumentierte Entscheidung, ob und unter welchen Bedingungen die Nutzung auf Firmengeräten erlaubt oder unterbunden wird. Diese Dokumentation ist ein wichtiger Baustein der datenschutzrechtlichen Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Einen vollständigen Überblick zu den Risiken und Schutzmaßnahmen bietet unser Artikel zu TikTok Datenschutz.

Sie benötigen Unterstützung bei den Themen Datenschutz und Datensicherheit? Unser Team an Experten steht Ihnen gerne zur Verfügung. Kontaktieren Sie uns hier.

Datenschutz für Ihr Unternehmen

• DSGVO-Beratung
• Verarbeitungsverzeichnis
• TOM Datenschutz
• Datenschutz-Schulung

Erstberatung anfragen