TikTok bekommt 345 Millionen Strafe von irischer Datenschutzbehörde aufgebrummt

[German]Die irische Datenschutzkommission (DPC) hat am 1. September 2023 ihre endgültige Entscheidung bezüglich einer Untersuchung von TikTok Technology Limited (TTL) getroffen. Mit der Untersuchung wurde geprüft, ob die Plattform ihren Auflagen in Bezug auf die Verarbeitung personenbezogener Daten von Kindern nachgekommen ist. Wegen Verletzung dieser Pflichten wurde gegen TikTok ein Bußgeld in Höhe von 345 Millionen Euro verhängt.

Im Rahmen einer Untersuchung sollte durch die DPC geprüft werden, inwieweit TiktTok (TTL) im Zeitraum vom 31. Juli 2020  bis zum 31. Dezember 2020 seinen Verpflichtungen aus der DSGVO in Bezug auf die Verarbeitung personenbezogener Daten von Kindern, die die TikTok-Plattform nutzen, nachgekommen ist. Es ging dabei laut DPC um:

• Bestimmte Einstellungen auf der TikTok-Plattform, einschließlich der Standardeinstellungen für die Öffentlichkeit sowie der Einstellungen im Zusammenhang mit der Funktion "Family Pairing"; und Altersüberprüfung als Teil des Registrierungsprozesses.
• Im Rahmen der Untersuchung untersuchte der DPC auch einige der Transparenzverpflichtungen von TikTok (TTL), einschließlich des Umfangs der Informationen, die Kindern in Bezug auf die Standardeinstellungen zur Verfügung gestellt werden.

Nach Abschluss seiner Untersuchung übermittelte der Datenschutzbeauftragte am 13. September 2022 allen betroffenen Aufsichtsbehörden innerhalb der EU den Entwurf eines Beschlusses im Sinne von Artikel 60 Absatz 3 der Datenschutz-Grundverordnung.

Der Entscheidungsentwurf des irischen DPC schlug die Feststellung von Verstößen gegen Artikel 5 Absatz 1 Buchstabe c, Artikel 5 Absatz 1 Buchstabe f, Artikel 24 Absatz 1, Artikel 25 Absatz 1, Artikel 25 Absatz 2, Artikel 12 Absatz 1 und Artikel 13 Absatz 1 Buchstabe e DSGVO in Bezug auf die oben genannte Verarbeitung vor. Während über die vorgeschlagenen Feststellungen des DPC weitgehend Einigkeit herrschte, erhoben die Aufsichtsbehörden Italiens und Berlins (im eigenen Namen und im Namen der baden-württembergischen Aufsichtsbehörde) Einwände gegen den Beschlussentwurf.

Der von der Berliner Aufsichtsbehörde erhobene Einspruch zielte auf die Aufnahme einer zusätzlichen Feststellung eines Verstoßes gegen den Grundsatz der Fairness nach Artikel 5 Absatz 1 Buchstabe a DSGVO in Bezug auf "dark patterns" ab. Der von der italienischen Aufsichtsbehörde erhobene Einspruch zielte darauf ab, die vom Datenschutzausschuss vorgeschlagene Feststellung der Einhaltung von Artikel 25 DSGVO in Bezug auf TikToks Vorgehensweise bei der Altersüberprüfung während des relevanten Zeitraums rückgängig zu machen.

Die irische DPC konnte mit den anderen Datenschutzaufsichten (CSAs) keinen Konsens über den Gegenstand der Einwände erzielen und beschloss unter diesen Umständen, die Einwände an das European Data Protection Board (EDSB) zu verweisen, damit dieser gemäß dem Streitbeilegungsverfahren nach Artikel 65 DSGVO entscheidet.

Der Europäische Datenschutzausschuss (EDSB) fällte am 2. August 2023 eine verbindliche Entscheidung über den Gegenstand der Beschwerdepunkte und wies die Datenschutzbehörde an, ihren Entscheidungsentwurf zu ändern. Es war eine neue Feststellung eines Verstoßes gegen den Grundsatz der Lauterkeit nach Artikel 5 Absatz 1 Buchstabe a DSGVO aufzunehmen. Diese geht auf den von der Berliner Staatsanwaltschaft erhobenen Einwand zurück, und erweitert den Anwendungsbereich der bestehenden Anordnung zur Anpassung der Verarbeitung an die Vorschriften. Aufgenommen wurde eine Verweis auf die Abhilfemaßnahmen, die erforderlich sind, um diese neue Feststellung eines Verstoßes zu beheben.

TikTok erhielt eine Rüge und die Anordnung, die bemängelten Punkt innerhalb von drei Monaten nach Zustellung der Entscheidung des Datenschutzbeauftragten in Ordnung zu bringen und die genannten Maßnahmen ergreift. Zudem wurde eine Verwaltungsgeldbußen in Höhe von insgesamt 345 Millionen Euro gegen TikTok verhängt. Details lassen sich hier als PDF abrufen.