400 Millionen Dollar wegen Kinderdaten: Was Unternehmen aus dem TikTok-Fall lernen können
Der Vergleich in den USA zeigt, warum der Schutz minderjähriger Nutzer bereits bei der Gestaltung digitaler Angebote beginnen sollte
400 Millionen US-Dollar: Auf diese Summe haben sich TikTok, ByteDance und das US-Justizministerium in einem Verfahren zum Schutz personenbezogener Daten von Kindern geeinigt. Der Fall betrifft zwar US-amerikanisches Datenschutzrecht. Die dahinterstehenden Fragen sind aber auch für europäische Unternehmen relevant:
Werden unsere Angebote von Minderjährigen genutzt? Wissen wir, wie alt unsere Nutzer tatsächlich sind? Und berücksichtigen unsere Prozesse, dass personenbezogene Daten von Kindern besonderen Schutz verdienen?
Was ist bei TikTok passiert?
Das US-Justizministerium hatte TikTok und ByteDance bereits 2024 verklagt. Der Vorwurf: TikTok habe Kindern unter 13 Jahren ermöglicht, reguläre Accounts anzulegen und dabei personenbezogene Daten erhoben und gespeichert, ohne die Eltern ordnungsgemäß zu informieren und deren Einwilligung einzuholen.
Nach Angaben des DOJ betraf dies Millionen von Kindern. Auch bei Konten im sogenannten „Kids Mode“ sollen unter anderem E-Mail-Adressen, IP-Adressen, Gerätekennungen und weitere Informationen verarbeitet worden sein. Zudem warf das DOJ TikTok unzureichende Prozesse zur Identifizierung und Löschung von Kinderkonten vor (Quelle: U.S. Department of Justice, Klage vom 2. August 2024).
Im August 2026 wurde das Verfahren nun durch einen Vergleich beendet. TikTok zahlt 300 Millionen US-Dollar unmittelbar und weitere 100 Millionen US-Dollar, sobald ein früherer Consent Decree gegen den TikTok-Vorgänger Musical.ly aufgehoben wird. Das DOJ bezeichnet die Einigung als eine der größten jemals erzielten Zahlungen in einem Verfahren nach dem US-amerikanischen Children’s Online Privacy Protection Act (COPPA).
Wichtig für eine korrekte Einordnung: Es handelt sich nicht um ein Urteil und auch nicht um eine gerichtlich festgestellte Datenschutzverletzung. Mit dem Vergleich werden die Vorwürfe beigelegt; das DOJ stellt ausdrücklich klar, dass keine Haftung festgestellt wurde.
Das eigentliche Problem: Kinder geben nicht immer ihr richtiges Alter an
Ein besonders interessanter Aspekt der ursprünglichen Klage betrifft die Altersfeststellung.
Nach den Vorwürfen des DOJ wussten Beschäftigte von TikTok, dass Kinder bei der Altersabfrage falsche Angaben machten. Gleichzeitig soll TikTok über weitere technische Möglichkeiten verfügt haben, das Alter von Nutzern anhand ihres Verhaltens einzuschätzen. Diese seien jedoch nicht entsprechend eingesetzt worden, um Kinder unter 13 Jahren auf der regulären Plattform zu erkennen und deren Accounts zu entfernen.
Genau hier wird der Fall auch außerhalb der USA interessant. Eine einfache Frage wie „Wie alt bist du?“ löst das Problem des Kinderdatenschutzes nicht zwangsläufig. Unternehmen müssen sich vielmehr damit auseinandersetzen, wer ihr Angebot tatsächlich nutzt und welche Schutzmaßnahmen angesichts des konkreten Angebots angemessen sind.
Was gilt in Europa?
Auch die DSGVO misst dem Schutz von Kindern besondere Bedeutung bei.
Grundsätzlich nennt die DSGVO hierfür eine Altersgrenze von 16 Jahren. Die Mitgliedstaaten können diese Grenze auf bis zu 13 Jahre absenken. In Deutschland wurde die Altersgrenze von 16 Jahren beibehalten.
Ist das Kind jünger, ist die Verarbeitung auf Grundlage einer Einwilligung nur rechtmäßig, wenn beziehungsweise soweit diese durch den Träger der elterlichen Verantwortung erteilt oder genehmigt wurde.
Und die DSGVO geht noch einen Schritt weiter: Der Verantwortliche muss unter Berücksichtigung der verfügbaren Technik angemessene Anstrengungen unternehmen, um zu überprüfen, ob die Einwilligung tatsächlich durch die sorgeberechtigte Person erteilt oder genehmigt wurde.
Damit stellt sich auch hier die praktische Frage:
Wie belastbar ist unser Alters- und Einwilligungsprozess eigentlich?
Kinderdatenschutz beginnt nicht bei der Checkbox
Der TikTok-Fall zeigt deshalb ein grundsätzliches Problem. Es reicht nicht immer, in einem Registrierungsprozess ein Geburtsdatum abzufragen und anschließend davon auszugehen, dass Minderjährige ausgeschlossen oder erforderliche Einwilligungen wirksam eingeholt wurden. Unternehmen sollten vielmehr schon bei der Gestaltung eines digitalen Angebots berücksichtigen:
Gerade bei Angeboten, die aufgrund ihrer Gestaltung oder Inhalte für Kinder und Jugendliche attraktiv sind, sollte die Antwort nicht erst gesucht werden, wenn Beschwerden eingehen.
Was Unternehmen aus dem TikTok-Fall mitnehmen können
Der Vergleich lässt sich rechtlich nicht eins zu eins auf europäische Unternehmen übertragen. COPPA und DSGVO sind unterschiedliche Regelwerke.
Die praktische Botschaft geht aber über den konkreten US-Fall hinaus:
Wer Minderjährige als Nutzer seines Angebots realistisch erwarten muss, sollte Kinderdatenschutz als Teil des Produkt- und Prozessdesigns verstehen – und nicht erst als Frage für die Datenschutzinformation.
Dazu gehören eine bewusste Entscheidung über die Zielgruppe, geeignete Altersmechanismen, passende Rechtsgrundlagen und Prozesse für den Umgang mit den Daten minderjähriger Nutzer. Der TikTok-Fall zeigt eindrücklich, welche Dimension das Thema erreichen kann, wenn diese Fragen erst Jahre später gestellt werden.
Pflichtfelder prüfen –
im Webinar Schritt für Schritt
Wenn Sie dabei sein oder Ihre Fragen einbringen möchten:
Nehmen Sie Kontakt auf – die Anmeldedetails folgen in Kürze.
FAQ
Hat TikTok eine Datenschutzstrafe von 400 Millionen Dollar erhalten?
Nicht im Sinne eines gerichtlich verhängten Bußgeldes. TikTok und ByteDance haben sich mit dem US-Justizministerium auf einen Vergleich über insgesamt 400 Millionen US-Dollar geeinigt. Eine Haftung wurde dabei nicht gerichtlich festgestellt.
Was wurde TikTok vorgeworfen?
Das DOJ warf TikTok unter anderem vor, personenbezogene Daten von Kindern unter 13 Jahren ohne die nach COPPA erforderliche Information und Zustimmung der Eltern erhoben und gespeichert sowie Kinderkonten nicht ausreichend erkannt und gelöscht zu haben.
Gilt in Deutschland eine feste Altersgrenze für datenschutzrechtliche Einwilligungen?
Art. 8 DSGVO sieht für bestimmte einwilligungsbasierte Verarbeitungen bei direkt an Kinder angebotenen Diensten der Informationsgesellschaft eine besondere Regelung vor. In Deutschland liegt die relevante Altersgrenze bei 16 Jahren. Das bedeutet aber nicht, dass Personen unter 16 generell nicht datenschutzrechtlich einwilligen können – Art. 8 betrifft diese besondere Konstellation.
Reicht eine Abfrage des Geburtsdatums aus?
Das lässt sich nicht pauschal beantworten. Art. 8 Abs. 2 DSGVO verlangt in seinem Anwendungsbereich angemessene Anstrengungen zur Überprüfung der elterlichen Einwilligung beziehungsweise Genehmigung unter Berücksichtigung der verfügbaren Technik.
Was müssen Unternehmen beim Umgang mit personenbezogenen Daten Minderjähriger beachten?
Unternehmen sollten insbesondere prüfen, ob ihr Angebot auch von Minderjährigen genutzt wird, welche Daten verarbeitet werden, auf welcher Rechtsgrundlage dies geschieht und welche Rolle das Alter dabei spielt. Außerdem sollten Prozesse für Altersprüfung, Einwilligungen, Löschung, Betroffenenrechte und verständliche Datenschutzinformationen vorgesehen werden.
Was können Unternehmen aus dem TikTok-Fall lernen?
Der Fall zeigt, dass Kinderdatenschutz bereits bei der Gestaltung digitaler Angebote berücksichtigt werden sollte. Wer Minderjährige als Nutzer realistisch erwarten muss, sollte Zielgruppe, Altersmechanismen, Rechtsgrundlagen und den Umgang mit personenbezogenen Daten Minderjähriger von Anfang an in Produkt- und Prozessdesign einbeziehen.
