{"id":37378,"date":"2025-05-02T14:05:29","date_gmt":"2025-05-02T14:05:29","guid":{"rendered":"https:\/\/2b-advice.com\/?p=37378"},"modified":"2025-05-02T14:33:41","modified_gmt":"2025-05-02T14:33:41","slug":"tiktok-muss-530-millionen-euro-bussgeld-zahlen-wegen-datenuebermittlungen-nach-china","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2025\/05\/02\/tiktok-muss-530-millionen-euro-bussgeld-zahlen-wegen-datenuebermittlungen-nach-china\/","title":{"rendered":"TikTok muss 530 Millionen Euro Bu\u00dfgeld zahlen – wegen Daten\u00fcbermittlungen nach China"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die irische Datenschutzbeh\u00f6rde DPC (Data Protection Commission) hat gegen die Videoplattform TikTok eine Strafe von 530 Millionen Euro wegen Datenschutzverst\u00f6\u00dfen verh\u00e4ngt. TikTok habe Daten europ\u00e4ischer Nutzerinnen und Nutzer nach China weitergeleitet und gegen Transparenzanforderungen versto\u00dfen, erkl\u00e4rte die DPC am 2. Mai in einer Mitteilung.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Hintergrund des Verfahrens gegen TikTok<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die DPC handelte in ihrer Rolle als federf\u00fchrende Aufsichtsbeh\u00f6rde f\u00fcr TikTok im Sinne des One-Stop-Shop-Verfahrens nach Art. 56 DSGVO. Gegenstand der Untersuchung war einerseits die Rechtm\u00e4\u00dfigkeit der Daten\u00fcbermittlungen in Drittstaaten gem\u00e4\u00df Kapitel V DSGVO, insbesondere in L\u00e4nder ohne Angemessenheitsbeschluss der EU-Kommission.<\/p>

Zum anderen pr\u00fcfte die Beh\u00f6rde, ob TikTok seiner Transparenzpflicht nach Art. 13 Abs. 1 lit. f DSGVO ordnungsgem\u00e4\u00df nachgekommen ist.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Rechtswidrige Daten\u00fcbermittlungen nach China<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Nach den Feststellungen der DPC hat TikTok insbesondere gegen Art. 46 Abs. 1 DSGVO versto\u00dfen. Das Unternehmen konnte nicht hinreichend gew\u00e4hrleisten, dass personenbezogene Daten von EWR-Nutzern beim Zugriff durch chinesische Mitarbeiter ein Schutzniveau genie\u00dfen, das dem der DSGVO \u201eim Wesentlichen gleichwertig\u201c ist.<\/p>

Besonders kritisch: TikToks eigene Bewertung des chinesischen Rechts ergab bereits erhebliche Abweichungen von europ\u00e4ischen Datenschutzstandards – etwa durch das chinesische Antiterrorgesetz, das Spionageabwehrgesetz und das nationale Nachrichtendienstgesetz.<\/p>

Obwohl TikTok sogenannte Standardvertragsklauseln (SCC) verwendete, stellte die DPC au\u00dferdem fest, dass keine wirksamen zus\u00e4tzlichen Schutzma\u00dfnahmen getroffen wurden, um den Datenzugriff durch chinesische staatliche Stellen zu verhindern oder zu kontrollieren. Die im Rahmen des EuGH-Urteils “Schrems II” geforderten zus\u00e4tzlichen technischen, organisatorischen und rechtlichen Ma\u00dfnahmen waren nicht ausreichend dokumentiert oder umgesetzt worden. Dies betraf unter anderem die Verschl\u00fcsselung sensibler Daten bei Fernzugriffen sowie das Fehlen transparenter Zugriffsprotokolle.<\/p>

Dieser Mangel f\u00fchrte zur Beanstandung der gesamten \u00dcbermittlungspraxis von TikTok. Die DPC wies darauf hin, dass die Bewertung des chinesischen Rechts durch TikTok selbst keine “essential equivalence” mit der DSGVO zulasse und damit die Grundlage f\u00fcr die Auswahl und Wirksamkeit von Sicherheitsma\u00dfnahmen fehle.<\/p>

TikTok verwies im Verfahren auf das laufende Infrastrukturprogramm “Project Clover”, das eine lokale Datenspeicherung innerhalb der EU (insbesondere in Irland und Norwegen) sowie unabh\u00e4ngige Kontrollmechanismen vorsieht. Die DPC erkannte dieses Projekt als positiven Schritt an. Sie machte die Fortsetzung der Daten\u00fcbermittlungen nach China jedoch weiterhin von der vollst\u00e4ndigen Umsetzung der DSGVO-konformen Schutzmechanismen abh\u00e4ngig.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Mangelhafte Transparenz gegen\u00fcber Nutzern<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ein zentrales Element der DPC-Entscheidung betrifft das Vers\u00e4umnis von TikTok, den Nutzern im Europ\u00e4ischen Wirtschaftsraum klare und vollst\u00e4ndige Informationen \u00fcber die grenz\u00fcberschreitende Verarbeitung ihrer personenbezogenen Daten zur Verf\u00fcgung zu stellen. Nach Art. 13 Abs. 1 lit. f DSGVO sind Unternehmen verpflichtet, die betroffenen Personen transparent dar\u00fcber zu informieren, ob und in welche Drittstaaten ihre Daten \u00fcbermittelt werden und wie diese \u00dcbermittlung erfolgt.<\/p>

Diesen Anforderungen gen\u00fcgte die Datenschutzrichtlinie von TikTok vom Oktober 2021 in wesentlichen Punkten nicht: Weder wurden die konkret betroffenen Drittstaaten – insbesondere China – explizit benannt, noch wurden die genauen Umst\u00e4nde der Daten\u00fcbermittlungen offengelegt. Insbesondere blieb unklar, dass es sich bei den \u00dcbermittlungen auch um Datenfernzugriffe durch chinesische Mitarbeiter handelte, die auf Server in Singapur und den USA zugriffen. Diese mangelnde Transparenz hinderte die Nutzer daran, ihre Datenschutzrechte in Kenntnis der Sachlage wahrzunehmen.<\/p>

Im Laufe des Verfahrens \u00fcberarbeitete TikTok seine Datenschutzrichtlinie und legte der DPC eine neue Fassung vom Dezember 2022 vor. Diese Neufassung erf\u00fcllte nach Auffassung der Beh\u00f6rde die Anforderungen des Art. 13 Abs. 1 lit. f DSGVO, da sie nicht nur die Drittstaaten namentlich benannte, sondern auch die Art des Zugriffs und die Serverstandorte n\u00e4her erl\u00e4uterte. Der von der DPC festgestellte Versto\u00df bezog sich damit auf den Zeitraum vom 29. Juli 2020 bis zum 1. Dezember 2022, in dem TikTok seinen Transparenzpflichten nicht ausreichend nachgekommen ist.<\/p>

Lese-Tipp: Verst\u00f6\u00dfe gegen DMA – EU verh\u00e4ngt 700 Millionen Euro Bu\u00dfgelder gegen Apple und Meta<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Fehlinformationen w\u00e4hrend des Verfahrens<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ein besonders schwerwiegender Aspekt der Entscheidung betrifft die mangelhafte Informationspolitik von TikTok gegen\u00fcber dem DPC w\u00e4hrend des laufenden Verfahrens. TikTok hatte im Rahmen der Untersuchung mehrfach versichert, dass keine personenbezogenen Daten von Nutzern aus dem EWR auf Servern in China gespeichert w\u00fcrden. Diese Zusicherungen bildeten eine wesentliche Grundlage f\u00fcr die Beurteilung der Datenfl\u00fcsse durch die DPC.<\/p>

Im April 2025 teilte TikTok der DPC jedoch mit, dass es bereits im Februar 2025 festgestellt habe, dass entgegen den vorherigen Zusicherungen eine begrenzte Menge von EWR-Nutzerdaten auf Servern in China gespeichert worden sei. TikTok erkl\u00e4rte, dass dies auf einen internen Fehler und ein Missverst\u00e4ndnis bei der internen Datenklassifizierung zur\u00fcckzuf\u00fchren sei. Die betroffenen Daten seien inzwischen gel\u00f6scht worden.<\/p>

Die DPC hat diese nachtr\u00e4gliche Offenlegung sehr ernst genommen. In der Entscheidung wird betont, dass die Erteilung unrichtiger oder irref\u00fchrender Ausk\u00fcnfte im Rahmen von Aufsichtsverfahren ein schwerwiegendes Hindernis f\u00fcr eine wirksame Kontrolle darstellt. Derartige Fehlinformationen k\u00f6nnen nicht nur das Vertrauen der Beh\u00f6rde untergraben, sondern auch die datenschutzrechtliche Risikobewertung erheblich verzerren.<\/p>

Die Beh\u00f6rde k\u00fcndigte daher ein separates Verfahren an, um zu pr\u00fcfen, ob das Verhalten von TikTok im Hinblick auf die versp\u00e4tete Mitteilung der Datenspeicherung weitere aufsichtsrechtliche Ma\u00dfnahmen rechtfertigt. Sollte ein vors\u00e4tzliches oder grob fahrl\u00e4ssiges Verhalten festgestellt werden, k\u00f6nnte dies zu weiteren Sanktionen f\u00fchren.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Bu\u00dfgeld in Millionenh\u00f6he gegen TikTok<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Die DPC verh\u00e4ngte ein Bu\u00dfgeld in H\u00f6he von insgesamt 530 Millionen Euro:<\/p>