Unrechtmäßige Datenverarbeitung: Millionenstrafe für TikTok in Brasilien

Was geschehen ist – die Kernmeldung

Die brasilianische Datenschutzbehörde ANPD hat ein deutliches Signal in Richtung des chinesischen Mutterkonzerns ByteDance gesendet. Aufgrund von festgestellten Verstößen gegen das nationale Datenschutzgesetz wurde eine empfindliche Geldstrafe gegen das soziale Netzwerk TikTok verhängt. Die Sanktion beläuft sich auf eine Summe von 153,7 Millionen Reais, was nach aktuellem Umrechnungskurs etwa 25,6 Millionen Euro entspricht. Die Entscheidung der Behörde wurde am Dienstag offiziell im brasilianischen Amtsblatt publiziert. Im Kern geht es um den unrechtmäßigen Umgang mit personenbezogenen Daten von Kindern und Jugendlichen im Altersbereich zwischen 13 und 18 Jahren. Die Behörde kritisierte insbesondere die Verarbeitung dieser sensiblen Informationen ohne eine ausreichende Rechtsgrundlage. Neben der finanziellen Strafe ist das Unternehmen dazu verpflichtet, innerhalb einer Frist von 60 Werktagen die bereits unrechtmäßig erhobenen Daten vollständig zu löschen. Zudem wurde ByteDance angewiesen, ab sofort einen umfassenden Maßnahmenplan umzusetzen, der den Schutz von Minderjährigen auf der Kurzvideoplattform signifikant verbessern soll. Die Behörde reagiert damit auf eine Praxis, die den strengen Anforderungen des brasilianischen Rechts widerspricht und die digitale Privatsphäre junger Nutzer gefährdet hat.

Die Einzelheiten der Sanktionen

Die von der ANPD verhängten Auflagen sind weitreichend und betreffen verschiedene technische Aspekte der Plattform. TikTok muss nun für Nutzer unter 16 Jahren automatisch die restriktivsten Datenschutzeinstellungen aktivieren. Diese Einstellungen können künftig nur noch mit einer expliziten Zustimmung der Eltern geändert werden, was die elterliche Aufsicht über die digitalen Aktivitäten ihrer Kinder stärken soll. Ein weiterer zentraler Punkt ist die Implementierung strengerer Inhaltsfilter. Besonders kritisch bewertete die Behörde die Zugriffsformen „Feed ohne Registrierung“ sowie den „Feed mit Registrierung“. In der Version ohne Registrierung muss TikTok künftig die Werbung vollständig aussetzen, die Nutzererfahrung auf altersgerechte Inhalte beschränken und die Verarbeitung personenbezogener Daten drastisch reduzieren. Sollte ByteDance diese Auflagen nicht fristgerecht erfüllen, drohen dem Unternehmen tägliche Zwangsgelder in Höhe von 137.081,49 Reais, was rund 22.800 Euro entspricht. Es gibt jedoch eine Option zur Minderung der Strafe: Wenn ByteDance innerhalb von zehn Werktagen auf sein Einspruchsrecht verzichtet und die gesamte Summe innerhalb von zwanzig Werktagen begleicht, kann die verhängte Strafe um ein Viertel reduziert werden. Diese Details unterstreichen den Ernst der behördlichen Vorgaben.

Hintergrund und bisheriger Verlauf

Der aktuelle Vorfall ist kein isoliertes Ereignis, sondern fügt sich in eine Reihe von Bemühungen Brasiliens ein, den digitalen Raum stärker zu regulieren. Erst im März dieses Jahres verschärfte das Land seine gesetzlichen Rahmenbedingungen zum Schutz von Minderjährigen im Internet massiv. Ein neues Digitalgesetz wurde etabliert, das unter anderem strikte Altersverifikationen vorschreibt und das Konzept sogenannter Endlosvideos einschränkt. Ziel dieser Maßnahmen ist es, die Bevölkerung, insbesondere junge Menschen, vor den negativen Auswirkungen einer Social-Media-Sucht zu bewahren. ByteDance agiert in einem politisch und regulatorisch zunehmend anspruchsvolleren Umfeld. Für den Konzern ist Brasilien ein strategisch wichtiger Markt, was sich auch an den Investitionen vor Ort zeigt. Das Unternehmen errichtet derzeit sein erstes eigenes Rechenzentrum auf dem südamerikanischen Kontinent. Der Standort befindet sich im Hafenkomplex von Pecém, in der Nähe der Großstadt Fortaleza im Bundesstaat Ceará. Diese Infrastrukturmaßnahme zeigt, dass ByteDance trotz der regulatorischen Hürden langfristig auf den brasilianischen Markt setzt. Die nun verhängte Strafe ist jedoch ein deutlicher Hinweis darauf, dass das Wachstum des Unternehmens nicht zulasten der gesetzlichen Datenschutzstandards gehen darf.

Die Beteiligten und ihre Rollen

Im Zentrum der Auseinandersetzung steht auf der einen Seite die brasilianische Datenschutzbehörde ANPD, die als Aufsichtsorgan die Einhaltung der gesetzlichen Normen überwacht und die Sanktionen verhängt hat. Auf der anderen Seite steht ByteDance als chinesischer Mutterkonzern von TikTok, der für die technische Ausgestaltung und die Datenverarbeitungspraktiken der Plattform verantwortlich ist. Das Unternehmen ist nun in der Position, entweder den Forderungen der Behörde vollumfänglich nachzukommen oder den Rechtsweg zu beschreiten. Die betroffene Gruppe sind Kinder und Jugendliche im Alter von 13 bis 18 Jahren, deren Daten ohne ausreichende Rechtsgrundlage verarbeitet wurden. Deren Schutz ist das erklärte Ziel der ANPD. Da die neuen Auflagen explizit die Rolle der Eltern hervorheben, sind diese ebenfalls als Akteure in das System eingebunden, da sie künftig die Kontrolle über die Datenschutzeinstellungen ihrer Kinder ausüben sollen. Die Behörde agiert hierbei als Schutzmacht für die Minderjährigen, während ByteDance als global agierender Technologiekonzern die Verantwortung für die Einhaltung der lokalen Gesetze trägt.

Einordnung der Situation

Einzuordnen ist das Vorgehen der ANPD als Teil einer globalen Tendenz, bei der staatliche Aufsichtsbehörden zunehmend strenger gegen die Datenpraktiken großer Social-Media-Plattformen vorgehen. Den Berichten zufolge ist die Entscheidung der Behörde ein klares Zeichen dafür, dass das brasilianische Datenschutzgesetz nicht nur auf dem Papier existiert, sondern aktiv durchgesetzt wird. Die Tatsache, dass TikTok sowohl registrierte als auch nicht registrierte Nutzer in seine Datenverarbeitung einbezogen hat, wurde von der Behörde als besonders kritisch bewertet. Dass die Behörde nun explizite technische Änderungen wie Inhaltsfilter und die Einschränkung von Werbung bei anonymen Zugriffen fordert, zeigt eine hohe fachliche Tiefe in der Regulierung. Es ist davon auszugehen, dass diese Entscheidung eine Vorbildfunktion für andere lateinamerikanische Staaten haben könnte, die ebenfalls über eine Verschärfung ihrer Datenschutzgesetze nachdenken. Die Verknüpfung von Datenschutz mit dem Schutz vor Suchtverhalten bei Jugendlichen stellt eine neue Qualität der Netzpolitik dar, die weit über rein technische Datenschutzfragen hinausgeht und das Nutzerverhalten direkt beeinflussen will.

Offene Fragen und Lücken

Der vorliegende Quelltext lässt einige Fragen offen, die für das Verständnis der weiteren Entwicklung von Bedeutung wären. So wird nicht explizit dargelegt, wie die Altersverifikation technisch umgesetzt werden soll, um sicherzustellen, dass die restriktivsten Datenschutzeinstellungen tatsächlich nur die Altersgruppe unter 16 Jahren betreffen. Ebenso bleibt unklar, wie TikTok die „altersgerechten Inhalte“ in der Version ohne Registrierung definieren und filtern will, da dies einen erheblichen Eingriff in die algorithmische Steuerung der Plattform darstellt. Es wird nicht erläutert, welche spezifischen Datenkategorien genau erhoben wurden und ob diese bereits an Dritte weitergegeben wurden oder lediglich intern zur Profilbildung dienten. Auch die Frage, wie die elterliche Zustimmung in der Praxis verifiziert werden soll, um eine Umgehung durch die Jugendlichen selbst zu verhindern, wird im Text nicht beantwortet. Zudem bleibt offen, ob ByteDance bereits erste Schritte zur Umsetzung des Maßnahmenplans eingeleitet hat oder ob das Unternehmen die Strafe als unverhältnismäßig ansieht und rechtliche Schritte gegen die ANPD plant. Diese technischen und strategischen Details sind für die Bewertung der Effektivität der Maßnahmen von zentraler Bedeutung.

Wie es weitergeht

Für ByteDance beginnt nun eine Phase der Umsetzung, in der das Unternehmen beweisen muss, dass es die Auflagen der ANPD ernst nimmt. Innerhalb der nächsten 60 Werktage muss die Löschung der unrechtmäßig erhobenen Daten abgeschlossen sein. Parallel dazu läuft die Frist für die Entscheidung über das Einspruchsrecht. Innerhalb von zehn Werktagen muss sich das Unternehmen entscheiden, ob es auf einen Einspruch verzichtet, um von der Reduzierung der Strafe um ein Viertel zu profitieren. Sollte ByteDance diesen Weg wählen, müsste die Zahlung innerhalb von zwanzig Werktagen erfolgen. Gleichzeitig beginnt die Umsetzung des Maßnahmenplans zur Verbesserung des Jugendschutzes, der sofortige Wirkung entfalten soll. Die Behörde wird die Einhaltung dieser Schritte genau beobachten, da bei Nichteinhaltung tägliche Strafzahlungen drohen. Die Entwicklung in Brasilien wird zudem Auswirkungen auf den Betrieb des neuen Rechenzentrums in Pecém haben, da das Unternehmen sicherstellen muss, dass auch dort alle lokalen Datenschutzvorgaben erfüllt werden. Die kommenden Wochen werden zeigen, ob ByteDance den Weg der Kooperation wählt oder ob es zu einem langwierigen Rechtsstreit mit der brasilianischen Datenschutzbehörde kommt.