400 Millionen Dollar wegen Kinderdaten: Was Unternehmen aus dem TikTok-Fall lernen können

Der Vergleich in den USA zeigt, warum der Schutz minderjähriger Nutzer bereits bei der Gestaltung digitaler Angebote beginnen sollte

400 Millionen US-Dollar: Auf diese Summe haben sich TikTok, ByteDance und das US-Justizministerium in einem Verfahren zum Schutz personenbezogener Daten von Kindern geeinigt. Der Fall betrifft zwar US-amerikanisches Datenschutzrecht. Die dahinterstehenden Fragen sind aber auch für europäische Unternehmen relevant:

Werden unsere Angebote von Minderjährigen genutzt?
Wissen wir, wie alt unsere Nutzer tatsächlich sind?
Und berücksichtigen unsere Prozesse, dass personenbezogene Daten von Kindern besonderen Schutz verdienen?

Was ist bei TikTok passiert?

Das US-Justizministerium hatte TikTok und ByteDance bereits 2024 verklagt. Der Vorwurf: TikTok habe Kindern unter 13 Jahren ermöglicht, reguläre Accounts anzulegen und dabei personenbezogene Daten erhoben und gespeichert, ohne die Eltern ordnungsgemäß zu informieren und deren Einwilligung einzuholen.

Nach Angaben des DOJ betraf dies Millionen von Kindern. Auch bei Konten im sogenannten „Kids Mode“ sollen unter anderem E-Mail-Adressen, IP-Adressen, Gerätekennungen und weitere Informationen verarbeitet worden sein. Zudem warf das DOJ TikTok unzureichende Prozesse zur Identifizierung und Löschung von Kinderkonten vor (Quelle: U.S. Department of Justice, Klage vom 2. August 2024).

Im August 2026 wurde das Verfahren nun durch einen Vergleich beendet.

TikTok zahlt 300 Millionen US-Dollar unmittelbar und weitere 100 Millionen US-Dollar, sobald ein früherer Consent Decree gegen den TikTok-Vorgänger Musical.ly aufgehoben wird. Das DOJ bezeichnet die Einigung als eine der größten jemals erzielten Zahlungen in einem Verfahren nach dem US-amerikanischen Children’s Online Privacy Protection Act (COPPA).

Wichtig für eine korrekte Einordnung: Es handelt sich nicht um ein Urteil und auch nicht um eine gerichtlich festgestellte Datenschutzverletzung. Mit dem Vergleich werden die Vorwürfe beigelegt; das DOJ stellt ausdrücklich klar, dass keine Haftung festgestellt wurde.

Das eigentliche Problem: Kinder geben nicht immer ihr richtiges Alter an

Ein besonders interessanter Aspekt der ursprünglichen Klage betrifft die Altersfeststellung.

Nach den Vorwürfen des DOJ wussten Beschäftigte von TikTok, dass Kinder bei der Altersabfrage falsche Angaben machten. Gleichzeitig soll TikTok über weitere technische Möglichkeiten verfügt haben, das Alter von Nutzern anhand ihres Verhaltens einzuschätzen. Diese seien jedoch nicht entsprechend eingesetzt worden, um Kinder unter 13 Jahren auf der regulären Plattform zu erkennen und deren Accounts zu entfernen.

Genau hier wird der Fall auch außerhalb der USA interessant.

Eine einfache Frage wie „Wie alt bist du?“ löst das Problem des Kinderdatenschutzes nicht zwangsläufig. Unternehmen müssen sich vielmehr damit auseinandersetzen, wer ihr Angebot tatsächlich nutzt und welche Schutzmaßnahmen angesichts des konkreten Angebots angemessen sind.

Was gilt in Europa?

Auch die DSGVO misst dem Schutz von Kindern besondere Bedeutung bei.

Besonders relevant ist Art. 8 DSGVO, wenn ein Dienst der Informationsgesellschaft einem Kind direkt angeboten wird und die Verarbeitung personenbezogener Daten auf einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO beruht.

Grundsätzlich nennt die DSGVO hierfür eine Altersgrenze von 16 Jahren. Die Mitgliedstaaten können diese Grenze auf bis zu 13 Jahre absenken. In Deutschland wurde die Altersgrenze von 16 Jahren beibehalten.

Ist das Kind jünger, ist die Verarbeitung auf Grundlage einer Einwilligung nur rechtmäßig, wenn beziehungsweise soweit diese durch den Träger der elterlichen Verantwortung erteilt oder genehmigt wurde.

Und die DSGVO geht noch einen Schritt weiter: Der Verantwortliche muss unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen unternehmen, um zu überprüfen, ob die Einwilligung tatsächlich durch die sorgeberechtigte Person erteilt oder genehmigt wurde.

Damit stellt sich auch hier die praktische Frage:

Wie belastbar ist unser Alters- und Einwilligungsprozess eigentlich?

Kinderdatenschutz beginnt nicht bei der Checkbox

Der TikTok-Fall zeigt deshalb ein grundsätzliches Problem.

Es reicht nicht immer, in einem Registrierungsprozess ein Geburtsdatum abzufragen und anschließend davon auszugehen, dass Minderjährige ausgeschlossen oder erforderliche Einwilligungen wirksam eingeholt wurden.

Unternehmen sollten vielmehr schon bei der Gestaltung eines digitalen Angebots berücksichtigen:

• Richtet sich das Angebot ausdrücklich oder faktisch auch an Minderjährige?
• Welche personenbezogenen Daten werden dabei erhoben?
• Auf welcher Rechtsgrundlage erfolgt die Verarbeitung?
• Welche Rolle spielt das Alter für diese Rechtsgrundlage?
• Wie wird mit erkennbar falschen Altersangaben umgegangen?
• Wie funktionieren Löschung und Betroffenenrechte bei minderjährigen Nutzern?
• Sind die Informationen über die Datenverarbeitung auch für die betroffene Altersgruppe verständlich?

Gerade bei Angeboten, die aufgrund ihrer Gestaltung oder Inhalte für Kinder und Jugendliche attraktiv sind, sollte die Antwort nicht erst gesucht werden, wenn Beschwerden eingehen.

Was Unternehmen aus dem TikTok-Fall mitnehmen können

Der Vergleich lässt sich rechtlich nicht eins zu eins auf europäische Unternehmen übertragen. COPPA und DSGVO sind unterschiedliche Regelwerke.

Die praktische Botschaft geht aber über den konkreten US-Fall hinaus:

Wer Minderjährige als Nutzer seines Angebots realistisch erwarten muss, sollte Kinderdatenschutz als Teil des Produkt- und Prozessdesigns verstehen – und nicht erst als Frage für die Datenschutzerklärung.

Dazu gehören eine bewusste Entscheidung über die Zielgruppe, geeignete Altersmechanismen, passende Rechtsgrundlagen und Prozesse für den Umgang mit den Daten minderjähriger Nutzer.

Der TikTok-Fall zeigt eindrücklich, welche Dimension das Thema erreichen kann, wenn diese Fragen erst Jahre später gestellt werden.