Wie das Millionenbußgeld gegen TikTok Ihre Datenschutzstrategie verändern könnte

Irische Datenschutzaufsicht verhängt Millionenbußgeld gegen TikTok: Was Unternehmen daraus lernen können

Einleitung

Die irische Datenschutzaufsicht (DPC) veröffentlichte kürzlich ihren Entscheidungsbericht zum datenschutzrechtlichen Verfahren gegen TikTok und verhängte eine Geldbuße in Höhe von 530 Millionen Euro. Dieser Bericht bietet wichtige Einblicke in die Anforderungen der DSGVO für internationale Datenübermittlungen und ist besonders relevant für Unternehmen, die personenbezogene Daten in Drittländer transferieren.

Untersuchungsgegenstand der DPC

Die Untersuchung der DPC gegen TikTok Technology Limited begann bereits 2021. Der Fokus lag auf dem Zugang chinesischer Konzerngesellschaften zu personenbezogenen Daten von EWR-Nutzern, die auf Servern außerhalb der EU gespeichert sind. Die entscheidende Frage war, ob TikTok die nötigen Garantien für diese Datenübertragung gemäß Art. 44 ff. DSGVO bereitstellte.

Wesentliche Erkenntnisse aus dem DPC-Bericht

Fernzugriff als gleichwertige Datenverarbeitung

Es ist anerkannt, dass Fernzugriffe als Übermittlungen im Sinne der DSGVO gelten. Die DPC argumentierte, dass die Art der von TikTok durchgeführten Zugriffen auf Daten systematisch und dauerhaft ist, was über gelegentliche Support-Zugriffe hinausgeht.

Wichtigkeit eines Transfer Impact Assessments (TIA)

Ein Transfer Impact Assessment (TIA) bewertet das Datenschutzniveau im Empfängerland. TikToks eigene Bewertung, dass das chinesische Recht nicht gleichwertige Datenschutzstandards gewährleistet, wurde von der DPC geprüft. Nach Art. 46 DSGVO liegt die Verantwortung für das TIA jedoch beim Datenexporteur.

Praktische Schritte zur Sicherstellung von Datenschutzkonformität

Informationspflicht über Datentransfers

Die DPC betonte die Notwendigkeit einer klaren Kommunikation, in welche Drittländer Daten übermittelt werden. TikToks Anpassung ihrer Datenschutzrichtlinie, um spezifische Empfängerländer zu nennen, wurde als positive Maßnahme anerkannt, die das Bußgeld reduzierte.

Nutzung der Ausnahmeregelungen nach Art. 49 DSGVO

TikToks Versuch, sich auf Ausnahmen für regelmäßige Datentransfers zu berufen, wurde von der DPC zurückgewiesen. Die Ausnahmebestimmungen sind eng auszulegen und nicht für systematische Transfers vorgesehen.

Unser Beitrag hat Ihnen neue Einblicke verschafft? Wenn Sie für Ihr Unternehmen Unterstützung bei internationalen Datentransfers benötigen oder Fragen zum Datenschutz haben, stehen wir Ihnen gerne zur Verfügung. Kontaktieren Sie uns und profitieren Sie von unserem Expertenwissen!