Kurz erklärt » TikTok Datenschutz

TikTok ist eine beliebte Plattform für Verbraucher und Unternehmen, die aber immer wieder unter Kritik steht – denn sie sammelt und verarbeitet massenhaft personenbezogene Daten. Welche Daten TikTok überhaupt verarbeitet, wieso sie dafür kritisiert werden und was du als Unternehmer auf der Videoplattform beachten musst, erfährst du hier.

TikTok und Datenschutz – Ist TikTok DSGVO-konform?

TikTok verarbeitet personenbezogene Daten, die die Nutzung der App mit all ihren Funktionen ermöglicht. Die Datenschutzgrundverordnung (DSGVO) fordert dabei von Unternehmen, dass sie personenbezogene Daten nur rechtmäßig, zweckgebunden und insbesondere transparent erheben und verarbeiten. 

Welche Daten sammelt TikTok über mich?

TikTok ist eine Plattform, die der Unterhaltung dient. Um dir Inhalte individuell auszuspielen, die deinen Vorlieben entsprechen (auf der sogenannten „For You Page”), läuft im Hintergrund der App ein hochentwickeltes und datengestütztes System. 

Bereits bei der Installation der App werden Informationen erfasst, zum Beispiel: 

1. Gerätetyp und Modellbezeichnung
2. Betriebssystem
3. Spracheinstellungen
4. IP-Adresse 
5. Geräte-ID sowie MAC-Adresse
6. sofern angegeben: Mobilfunknummer
7. Mobilfunkanbieter 

Anschließend muss man sich registrieren, dafür braucht es: 

1. Name 
2. Alter bzw. Geburtsdatum 
3. Profilbild 

Kann TikTok meine persönlichen Daten einsehen? Durch die Installation der App und der Registrierung informierst du TikTok teilweise über deine persönlichen Daten. Es gibt aber auch einige Datenübermittlungen, denen du zunächst aktiv zustimmen musst. 

Denn TikTok fordert außerdem Zugriff auf:

1. Kamera und Mikrofon
2. Zwischenablage
3. Adressbuch 
4. Kalendereinträge

Für manche Funktionen werden lediglich „teilweise Zugriffsrechte“ eingefordert.

Gibst du TikTok die Berechtigung, auf deine Kontakte zuzugreifen, wird im Grunde dein ganzes Telefonbuch an TikTok übermittelt. Also auch Informationen von Personen, die kein eigenes TikTok-Konto besitzen. Das ist problematisch, weil die betroffenen Personen dieser Datenübermittlung nicht zugestimmt haben.

Die Anwendung steht außerdem unter Verdacht, ebenfalls biometrische Daten (Stimmerkennung, Bewegungsmuster, Gesichtsmerkmale) zu analysieren, um beispielsweise die Videowiedergabe zu verbessern. Aber: Gemäß Artikel 9 DSGVO fallen biometrische Daten unter besondere Kategorien personenbezogener Daten, wodurch ihre Verarbeitung grundsätzlich verboten ist, es sei denn, es liegt eine ausdrückliche Einwilligung vor. 

TikTok beobachtet außerdem dein Nutzungsverhalten. Dazu gehört: 

1. wie du scrollst und stoppst
2. welche Videos wie lange angeschaut werden 
3. was du kommentierst, likest, speicherst oder teilst 
4. mit wem du interagierst 

Damit wird ein personalisiertes Nutzerprofil erstellt, das als Grundlage für den Algorithmus dient. Damit werden deine Inhalte gesteuert und dir zielgerichtete Werbung ausgespielt. Womöglich kommen dafür auch externe Tracking-Tools zum Einsatz, was nach Art. 6 DSGVO ebenfalls nur mit ausdrücklicher Einwilligung erlaubt ist. 

Welche Daten sammelt TikTok über meine Unternehmensseite? Die erhobenen Daten unterscheiden sich nur teilweise von denen privater Accounts, werden aber zusätzlich um unternehmensbezogene Informationen ergänzt. Wer TikTok for Business oder TikTok Ads nutzt, übermittelt zusätzlich: 

1. Zahlungsdaten (z. B. Rechnungsadresse) 
2. Kampagneneinstellungen und Zielgruppen-Parameter 
3. Cookies und Tracking-IDs, die das Nutzerverhalten auf der Unternehmensseite messen. 

Wer ist nach DSGVO verantwortlich?

TikTok selbst sieht sich lediglich als Plattformanbieter. Aber wer personenbezogene Daten verarbeitet, muss sich auch datenschutzrechtlich verantworten und nur ein Verantwortlicher im Sinne von Art. 4 DSGVO unterliegt auch ihren Pflichten und kann sanktioniert werden. 

TikTok entscheidet über Zwecke und Mittel der Datenverarbeitung und kann daher für den TikTok Datenschutz als Verantwortlicher im Sinne der DSGVO gesehen werden. 

Aber es gibt nach Art. 26 DSGVO auch gemeinsame Verantwortlichkeiten. Das ist zum Beispiel denkbar, wenn Influencer und Unternehmen ihre Werbeaktionen über TikTok umsetzen. Das heißt: TikTok-Nutzer mit geschäftlichem Hintergrund können datenschutzrechtlich mitverantwortlich sein.

Wer ist für TikTok in Europa verantwortlich?

In Europa tritt das Unternehmen durch die TikTok Technology Limited auf, die ihren Sitz in Dublin (Irland) hat. Nach eigener Darstellung ist dieser Standort für die Nutzer in der EU, der Schweiz und Großbritannien zuständig, wodurch auch die Bedingungen der DSGVO erfüllt sein sollen. Der Mutterkonzern ByteDance sitzt in China. 

Was regelt TikToks Datenschutzerklärung?

Gemäß des TikTok Datenschutzes verfügt die Anwendung über eine Datenschutzerklärung, in der das Unternehmen beschreibt, welche Arten von Daten erhoben, genutzt und weitergegeben werden. 

Warum steht TikTok in der Kritik?

TikTok ist ein großes Unternehmen mit Servern in verschiedenen Ländern, darunter in den USA, Irland oder auch Norwegen. Das „Project Clover” ist ein Ansatz des Unternehmens mit dem Ziel, möglichst viele Daten europäischer Nutzer auch innerhalb der EU zu halten. 

Allerdings sind auch Server aus anderen Ländern (z. B. USA, Singapur) in die Verarbeitung der Daten involviert, sodass regelmäßig personenbezogene Informationen in Staaten außerhalb des Europäischen Wirtschaftsraums fließen. Dieser Datenfluss über Ländergrenzen hinweg ist aus europäischer Sicht ein Problem und mit strengen Voraussetzungen

Die Kritikpunkte beziehen sich dabei auch auf die Tiefe der erfassten Datenkategorien. Je nach Konfiguration kann TikTok beispielsweise deinen genauen Standort erfassen. Ist der deaktiviert, nutzt die Anwendung andere Informationen, um deinen Aufenthaltsort zu rekonstruieren, wie zum Beispiel: 

1. IP-Adresse
2. Mobilfunkzellen
3. Bluetooth-Signale 
4. WLAN-Informationen

Wofür nutzt TikTok all diese Daten eigentlich? Die Plattform will dir personalisierte Inhalte ausspielen, aber auch regionale Trends für dich ausmachen, um dir relevante Werbung anzeigen zu können.

 

Derzeit laufen mehrere Verfahren gegen TikTok wegen Verstößen gegen das Gesetz über digitale Dienste und Datenschutzregeln. Die EU-Kommission bemängelt in einem der Verfahren beispielsweise, dass TikTok kein detailliertes und transparentes Anzeigenregister bereitstelle. Die irische Datenschutzkommission hat eine Geldstrafe in Höhe von 530 Millionen Euro verhängt, da das Unternehmen europäische Nutzerdaten nach China weitergeleitet hat. Außerdem hat das Bundesamt für Justiz (BfJ) eine Verbandsklage öffentlich bekannt gemacht, bei der Verbraucher und kleine Unternehmen ihre Ansprüche anmelden können.

Welche Datenschutzprobleme gibt es bei TikTok? In aufsichtsbehördlichen Verfahren wird geprüft, ob TikTok die Anforderungen der DSGVO erfüllt. Problematisch ist zum beim TikTok Datenschutz zum Beispiel: 

1. Der Einwilligungsmechanismus: Er ist vage und technisch etwas verschachtelt, wodurch Nutzer nur schwer nachvollziehen können, welche Daten wofür erhoben werden. Akzeptiert man die Nutzungsbedingungen hat man häufig schon zugestimmt, ohne dass nach Art. 4 DSGVO eine Aufklärung erfolgte. 
2. Die Transparenzpflicht: Nach DSGVO muss TikTok zum Beispiel konkret über die Kategorie der erhobenen Daten, den Zweck der Verarbeitung, die Dauer der Datenspeicherung sowie die Rechtsgrundlage informieren. Es gibt zwar eine Datenschutzerklärung auf TikTok, diese ist für User aber nicht verständlich genug.
3. Die Rechtsgrundlage der Datenverarbeitung: TikTok beruft sich beispielsweise auf die Vertragserfüllung und berechtigtes Interesse. Nach Ansicht vieler Datenschutzbehörden sind diese Punkte aber nicht tragfähig, da Zwecke, die über die Grundfunktionen hinausgehen, nicht automatisch als vertraglich erforderlich gelten.

Hinzu kommt die Übermittlung personenbezogener Daten in Drittländer, die nur dann zulässig sind, wenn im Zielland ein angemessenes Schutzniveau sichergestellt ist. Eine der Möglichkeiten zur Feststellung ist ein Angemessenheitsbeschluss der EU-Kommission, das z. B. für das Vereinigte Königreich besteht oder ein Datenschutzabkommen, wie der ehemalige Privacy Shield mit den USA: Dass der Mutterkonzern in China sitzt, sehen Aufsichtsbehörden kritisch, da das Unternehmen bereits eingeräumt hat, dass in anderen Ländern bestimmte Mitarbeiter trotz „Project Clover” weiterhin Zugriff auf Daten haben. Das entspricht ebenfalls einer Datenübermittlung nach DSGVO. 

Auch der Jugendschutz wird bei TikTok bemängelt. Theoretisch ist das Mindestalter 13, was aber durch die Angabe eines falschen Geburtsdatums leicht umgangen werden kann. Es gibt Schutzfunktionen für Jugendliche (z. B. begleiteter Modus, Einschränkungen der Direktnachrichten, Voreinstellung auf ein privates Konto) aber da Altersangaben nicht überprüft werden können, bezweifeln Datenschützer die Wirksamkeit der Maßnahmen. Nach Art. 8 DSGVO braucht es für die Verarbeitung personenbezogener Daten von Kindern unter 16 Jahren zudem eine elterliche Einwilligung, die TikTok aber nicht systematisch einfordert.

Welche Länder blockieren TikTok? In einigen Staaten wurde TikTok zeitweise komplett gesperrt, zum Beispiel Indien und Nepal. Andere Länder, wie zum Beispiel Afghanistan, haben TikTok wegen moralischer oder religiöser Bedenken landesweit verboten. In mehreren europäischen Ländern (z. B. Dänemark, Deutschland, Niederlande) ist TikTok auf Diensthandys und Arbeitsgeräten staatlicher Stellen verboten aus Schutz vor Spionage.

Was bedeutet der neue EU Digital Services Act für TikTok? Der EU Digital Services Act verpflichtet Plattformen wie TikTok als sehr große Online-Plattformen zu mehr Transparenz, Risikomanagement und Nutzerschutz, mit Bußgeldern bis zu sechs Prozent des globalen Umsatzes bei Verstößen.

TikTok als Unternehmen nutzen – Das musst du beachten

TikTok ist für Unternehmen ein lohnenswerter Marketing- und mittlerweile ebenfalls ein Verkaufskanal durch TikTok Shop. Aber dadurch bist du für den TikTok Datenschutz mitverantwortlich, auch für Verstöße. Das liegt auch daran, dass die TikTok Business Accounts detaillierte Analysen (z. B. Reichweite, Follower-Demografie, Video-Performance) und das Schalten von Werbeanzeigen auf TikTok Ads ermöglichen.

Brauche ich einen Auftragsverarbeitungsvertrag (AVV) mit TikTok? Das hängt mit der Rolle von TikTok bei der Datenverarbeitung zusammen. Einen AVV braucht man nur dann, wenn TikTok im Auftrag eines Unternehmens personenbezogene Daten verarbeitet, sodass TikTok nur als technischer Dienstleister handelt. Die Plattform ist aber kein klassischer Auftragsverarbeiter, sondern steht mit dir als Unternehmen in einer gemeinsamen Verantwortlichkeit für zum Beispiel Werbeanzeigen oder die Einbindung von TikTok in deinem Online-Shop (z. B. über TikTok Pixel). 

Muss ich TikTok-Datenschutzinformationen in meiner Datenschutzerklärung erwähnen? Gemäß Art. 13 DSGVO bist du als Verantwortlicher verpflichtet, deine Nutzer auf deiner Website transparent über alle externen Dienste und deren Datenverarbeitung zu informieren, wenn deine Website oder dein Online-Shop TikTok nutzt. Daher musst du deine Nutzer über TikToks Datenverarbeitung informieren, inklusive Zwecke, Empfänger und Rechte. 

Für deinen TikTok-Account brauchst du keine separate Datenschutzerklärung. Es genügt eine einheitliche Datenschutzerklärung auf deiner Website, die Social Media Hinweise enthält, auch zum TikTok Datenschutz. Die Rechtstexte müssen dann aber trotzdem in deinem geschäftlich genutzten Social Media Account hinterlegt sein.

Bindest du TikTok auf deiner Webseite ein? 
In Online-Shops hast du die Möglichkeit, soziale Medien einzubinden, so auch TikTok. Dabei werden Daten erhoben, wofür du die Einwilligung der Nutzer einholen musst. Dafür: 

1. klärst du die Besucher in deiner Datenschutzerklärung über die Datenerhebung auf 
2. holst du dir die Zustimmung über das Cookie-Consent-Tool ein 

Cookie-Consent-Tool vom Händlerbund

Wusstest du schon, dass du als Mitglied des Händlerbunds von einem inkludierten Cookie-Consent-Tool profitierst und das schon ab unserem Basic Paket? Das und viele weitere Vorteile erwarten dich als Mitglied des Händlerbunds.

Rechtssicherheit für Online-Shops: Was bei TikTok-Kampagnen zu beachten ist

Die Videoplattform gibt dir viele Möglichkeiten, Werbung zu schalten. Diese Maßnahmen sind aber datengetrieben und mitunter mit personenbezogenen Daten der Nutzer verknüpft, zum Beispiel durch Cookies, Tracking-Codes, TikTok Pixel oder Retargeting-Maßnahmen. 

Da du in solchen Fällen höchstwahrscheinlich selbst personenbezogene Daten erhebst und verarbeitest, trägst du auch hier eigene Verantwortung. Wichtig dabei ist, insbesondere die Betroffenen transparent über den Einsatz von TikTok-Technologien zu informieren, dir ihre Einwilligung einzuholen (zum Beispiel über Cookie- und Consent-Manager wie CCM19) und diese im Zweifel auch nachweisen zu können. 

Gibt es Alternativen zu TikTok mit besseren Datenschutzstandards? Die eigentliche Herausforderung besteht darin, dass deine Zielgruppe trotz aller datenschutzrechtlichen Herausforderungen TikTok nutzt. Schätzungen zufolge bewegen sich monatlich über eine Milliarde Nutzer auf der Plattform, wobei bereits täglich Milliarden von Videos angeschaut werden. Selbst wenn du dich für eine Alternative entscheidest, ist die entscheidende Frage: Wirst du deine Zielgruppe dort antreffen oder kannst du deine Community für die neue Plattform begeistern?