TikTok hat sein Rechtsmittel gegen eine Strafe von 12,7 Millionen Pfund verloren, die vom britischen Datenschutzregulator wegen unrechtmäßiger Verarbeitung der persönlichen Daten von mehr als 1,4 Millionen Kindern unter 13 Jahren verhängt wurde.

Das Information Commissioner's Office (ICO) verhängte die Strafe im April 2023, nachdem festgestellt worden war, dass die Video-Sharing-Plattform zwischen Mai 2018 und Juni 2020 gegen die britische DSGVO verstoßen hatte. Das Upper Tribunal entschied am Mittwoch zugunsten der Aufsichtsbehörde. Der Verstoßzeitraum liegt vor dem Inkrafttreten des britischen Age Appropriate Design Code im September 2020, der Online-Dienste dazu verpflichtet, für Kinder standardmäßig hohe Datenschutzeinstellungen vorzusehen. Der Fall unterstreicht jedoch, wie Aufsichtsbehörden nun Erwartungen durchsetzen, die vor diesem Code unter bestehenden DSGVO-Bestimmungen bestanden.

Die Untersuchung des ICO kam zu dem Schluss, dass TikTok die Daten von Kindern zum Nachverfolgen und Erstellen von Profilen nutzte und minderjährige Nutzer potenziell schädlichen oder unangemessenen algorithmischen Inhalten aussetzte. Nach den DSGVO-Vorschriften sind Plattformen verpflichtet, vor der Verarbeitung von Daten von Kindern unter 13 Jahren die elterliche Einwilligung einzuholen, was TikTok versäumt hatte.

„Special Purposes"-Verteidigung von TikTok zurückgewiesen

TikTok legte gegen die Strafe Widerspruch ein und argumentierte, die Daten seien rechtmäßig unter der „Special Purposes"-Ausnahmeregelung der DSGVO verarbeitet worden, die die Verarbeitung von Daten Unter-13-Jähriger gestattet, wenn diese journalistischen, akademischen, künstlerischen oder literarischen Zwecken dient. Das Unternehmen behauptete, Videos, die mit den integrierten Bearbeitungswerkzeugen erstellt und geteilt wurden, stellten eine Form künstlerischen Ausdrucks dar.

Das Gericht wies dieses Argument zurück und erklärte, dass die Behauptung von TikTok „nicht ausreichend" sei und die Plattform keine Möglichkeit hatte nachzuweisen, ob die Inhalte tatsächlich für künstlerische Zwecke verwendet wurden.

„In diesem Fall suchen minderjährige Kinder Zugang zur Website, und die ‚unschuldige Partei' ist ein kommerzielles Unternehmen, das die betriebliche und kommerzielle Entscheidung getroffen hat, keine Bestätigung des berechtigten Alters der Nutzer zu verlangen, mit der Folge, dass während des relevanten Zeitraums große Zahlen minderjähriger Kinder auf die Plattform zugriffen," sagte das Gericht.

Urteil „wahrscheinlich relevant" für andere Plattformen

Joanna Ludlam, Partnerin bei Jenner and Block, sagte, das Urteil „ist wahrscheinlich relevant für andere Plattformen, die ähnliche Argumente vorbringen" und „kommt zu einem Zeitpunkt, als die Aufsichtsbehörden unter großem Druck stehen, schnell in Bezug auf Daten von Kindern zu handeln, wobei das Online Safety Act-Regime nun neben dem Datenschutzrecht steht."

Die Entscheidung kommt inmitten eskalierenden regulatorischen Drucks auf Social-Media-Unternehmen bezüglich der Sicherheit von Kindern in mehreren Rechtsgebieten. Der Digital Services Act der EU verlangt nun von großen Plattformen, systemische Risiken für Minderjährige zu bewerten und zu mindern, während die irische Data Protection Commission TikTok im September 2023 mit 345 Millionen Euro für Verstöße gegen die Privatsphäre von Kindern nach EU-DSGVO bestraft hat. Meta und YouTube standen ebenfalls wegen ihrer Praktiken zur Altersverifizierung auf beiden Seiten des Atlantiks unter Beobachtung.

Binnie Goh, General Counsel beim ICO, sagte, die Entscheidung des Upper Tribunal „stellt einen wichtigen Präzedenzfall für die Anwendung der Special Purposes-Bestimmungen im Datenschutzrecht dar."

„Wir bleiben der Sicherstellung verpflichtet, dass Organisationen, insbesondere solche, die Online-Dienste für Kinder anbieten, ihren Datenschutzverpflichtungen nachkommen," fügte Goh hinzu.

Ein TikTok-Sprecher sagte, das Unternehmen „prüft dieses Urteil sorgfältig."