TikTok, ByteDance und verbundene Unternehmen haben mit dem US-Justizministerium (DOJ) eine Einigung über 400 Millionen US-Dollar erzielt.
Die Vereinbarung legt eine 2024 vom DOJ eingereichte Klage bei, in der TikTok vorgeworfen wird, durch die unzulässige Erhebung und Verarbeitung personenbezogener Daten von Kindern gegen den Children’s Online Privacy Protection Act (COPPA) verstoßen zu haben.
COPPA legt Datenschutzanforderungen für Onlinedienste fest, die personenbezogene Daten von Kindern unter 13 Jahren erheben.
Im Rahmen der Vereinbarung wird TikTok sofort 300 Millionen US-Dollar zahlen. Weitere 100 Millionen US-Dollar werden fällig, falls ein Gericht einen früheren Zustimmungsbeschluss im Zusammenhang mit Musical[.]ly, dem Vorgänger von TikTok, aufhebt.
Das DOJ wies darauf hin, dass die Vereinbarung die Vorwürfe beilegt, ohne dass ein Gericht festgestellt hat, dass TikTok oder ByteDance dafür haftbar ist.
TikTok soll Daten von Kindern ohne Einwilligung erhoben haben
Der Fall geht auf Vorwürfe zurück, TikTok habe trotz einer früheren Durchsetzungsmaßnahme im Zusammenhang mit Musical[.]ly die Anforderungen von COPPA nicht eingehalten.
2019 erklärte sich Musical[.]ly bereit, 5,7 Millionen US-Dollar zu zahlen, um Vorwürfe der Federal Trade Commission (FTC) beizulegen, wonach das Unternehmen ohne Einwilligung der Eltern illegal personenbezogene Daten von Kindern unter 13 Jahren erhoben hatte.
Die FTC leitete später eine weitere Untersuchung gegen TikTok ein und verwies die Angelegenheit an das DOJ. Sie warf dem Unternehmen vor, trotz seiner früheren Zusage, das Gesetz einzuhalten, weiterhin gegen COPPA zu verstoßen.
Nach Angaben des DOJ erlaubte TikTok Kindern unter 13 Jahren wissentlich, reguläre Konten zu erstellen, anstatt den stärker eingeschränkten Kindermodus der Plattform zu nutzen.
Die Regierung warf dem Unternehmen außerdem vor, personenbezogene Daten dieser Nutzer ohne Einwilligung der Eltern erhoben und gespeichert zu haben.
Bundesbehörden beschuldigten TikTok ferner, Konten von Kindern und die damit verbundenen Informationen nicht gelöscht zu haben, wenn Eltern dies verlangten.
Das DOJ warf dem Unternehmen außerdem vor, nicht über ausreichende Verfahren zur Identifizierung und Entfernung von Konten von Nutzern unter 13 Jahren zu verfügen.
Einigung folgt auf Änderungen an TikToks Datenschutzpraktiken
Die Vereinbarung über 400 Millionen US-Dollar ist eine der größten Einigungen im Zusammenhang mit mutmaßlichen Verstößen gegen COPPA und folgt auf Änderungen, die TikTok an seinen Aktivitäten in den USA vorgenommen hat.
Bei der Bekanntgabe der Einigung räumte das DOJ ein, dass TikTok seit Einreichung der Klage im Jahr 2024 Änderungen an seiner Eigentümerstruktur, seinem Datenmanagement und seinen Maßnahmen zur Einhaltung gesetzlicher Vorschriften vorgenommen hat.
Die Regierung erkannte außerdem Verbesserungen bei TikToks Praktiken zur Datenaufbewahrung, bei altersbezogenen Kontrollen und bei der elterlichen Aufsicht an.
Diese Maßnahmen sollen für stärkere Schutzvorkehrungen dafür sorgen, wie jüngere Nutzer auf die Plattform zugreifen und wie ihre Informationen verwaltet werden.
„Unternehmen, die personenbezogene Daten von Kindern erheben, müssen das Gesetz einhalten“, sagte Assistant Attorney General Brett A. Shumate in der DOJ-Mitteilung.
Shumate fügte hinzu, dass die Einigung eine erhebliche finanzielle Rückzahlung vorsieht und zugleich bundesrechtliche Anforderungen bekräftigt, die dem Schutz der Privatsphäre von Kindern dienen.
Der Schutz der Privatsphäre von Kindern bleibt eine Compliance-Priorität
Die Einigung unterstreicht die finanziellen und regulatorischen Risiken, denen Technologieunternehmen bei der Erhebung oder Speicherung personenbezogener Daten von Kindern ausgesetzt sind.
Organisationen, die Onlinedienste betreiben, die für jüngere Nutzer zugänglich sind, sollten über Verfahren zur Identifizierung minderjähriger Nutzer und zur Einholung der erforderlichen Einwilligung der Eltern verfügen.
Außerdem sollten sie die Erhebung nicht benötigter Daten begrenzen und Anfragen zur Löschung der Daten von Kindern unverzüglich bearbeiten.
Alterskontrollen allein reichen möglicherweise nicht aus, wenn Organisationen keine wirksamen Verfahren zur Erkennung von Nutzern haben, die diese Beschränkungen umgehen.
Datenschutzteams sollten diese Schutzvorkehrungen regelmäßig testen und Lücken schließen, durch die minderjährige Nutzer sie umgehen könnten.
Für Organisationen, die COPPA unterliegen, COPPA unterliegen, unterstreicht der Fall TikTok, wie wichtig es ist, Kontrollen zum Schutz der Privatsphäre von Kindern als fortlaufende Compliance-Verpflichtung und nicht als einmalige Implementierung zu betrachten.