David gegen Goliath
Ein Richter am britischen High Court erteilte einem 12-jaehrigen Maedchen, das anonym klagen darf, die Genehmigung, eine Sammelklage gegen TikTok einzureichen. Der Vorwurf: Die Social-Media-Plattform erhebt in grossem Umfang personenbezogene Daten von Kindern ohne gueltige Einwilligung der Eltern.
Der Fall vertritt Millionen von Kindern in Grossbritannien und der EU, die TikTok genutzt haben. Es ist einer der groessten Datenschutzfaelle, die jemals im Namen von Minderjaehrigen eingereicht wurden.
Was hat TikTok falsch gemacht?
Der Kern der Klage ist, dass TikTok:
- Kinderdaten ohne Einwilligung der Eltern erhoben hat - Kinder konnten ein Konto erstellen und nutzen, ohne dass eine Einwilligung der Eltern verifiziert wurde
- Mehr Daten als noetig erhoben hat - Standortdaten, Geraeteinformationen, Surfverhalten und biometrische Daten (Gesichtserkennung in Videos)
- Daten mit Dritten geteilt hat - Werbetreibende und andere Parteien erhielten Zugang zu Kinderdaten
- Unzureichende Transparenz geboten hat - die Datenschutzbestimmungen waren fuer Kinder oder ihre Eltern nicht verstaendlich
Warum das wichtig ist
Dieser Fall ist aus mehreren Gruenden bedeutsam:
Kinder erhalten besonderen Schutz
Die DSGVO betrachtet Kinder als besonders schutzbeduerftige Betroffene. Artikel 8 legt spezifische Regeln fuer die Verarbeitung von Kinderdaten fest, einschliesslich der Pflicht, die Einwilligung der Eltern einzuholen.
Sammelklagen werden haeufiger
Bis vor kurzem waren Datenschutzklagen hauptsaechlich Angelegenheiten zwischen Einzelpersonen und Unternehmen. Sammelklagen ermoeglichen es, im Namen grosser Gruppen von Betroffenen zu handeln, was die finanziellen Risiken fuer Verletzer enorm erhoeht.
Aufsichtsbehoerden schauen zu
Neben dieser Klage haben mehrere europaeische Aufsichtsbehoerden Massnahmen gegen TikTok ergriffen. Die irische DPC verhoengte ein Bussgeld von 345 Millionen Euro, und die italienische Behoerde blockierte voruebergehend die Verarbeitung von Daten italienischer Nutzer.
Die Lektion fuer Unternehmen
Sie muessen kein Techgigant sein, um mit diesem Thema konfrontiert zu werden. Wenn Ihr Unternehmen Dienste fuer Kinder anbietet oder Daten von Minderjaehrigen verarbeitet, gelten strengere Regeln:
- Altersverifikation - pruefen Sie, ob Nutzer alt genug sind, um selbst einzuwilligen
- Elterliche Einwilligung - fuer Kinder unter 16 Jahren (in DE) benoetigen Sie die Einwilligung eines Elternteils oder Erziehungsberechtigten
- Verstaendliche Informationen - Ihre Datenschutzerklaerung muss fuer die Zielgruppe verstaendlich sein
- Minimale Datenerhebung - erheben Sie nicht mehr als unbedingt noetig, besonders bei Kindern
- Kein Profiling - das Profiling von Kindern zu Marketingzwecken ist in den meisten Faellen nicht zulaessig
Denken Sie an: Sportvereine mit Jugendmitgliedern, Schulen mit Schuelerdaten, Webshops mit Produkten fuer Kinder, Apps die von Minderjaehrigen genutzt werden und Veranstaltungen an denen Kinder teilnehmen.
GDPRWise hilft Ihnen, alle Verarbeitungstaetigkeiten zu dokumentieren, einschliesslich der zusaetzlichen Anforderungen fuer Daten von Minderjaehrigen.