TikTok: 530 Mio. Euro Bußgeld für Datenzugriff aus China

Die irische Datenschutzbehörde, die Data Protection Commission (DPC), gab am 2. Mai 2025 ihre abschließende Entscheidung in einer Untersuchung gegen TikTok Technology Limited bekannt.^1,2 Sie verhängte Geldbußen von zusammen 530 Millionen Euro.^1,3 Davon entfielen 45 Millionen Euro auf einen Verstoß gegen die Transparenzpflicht in Artikel 13 und 485 Millionen Euro auf einen Verstoß gegen Artikel 46 der DSGVO.¹ Nach der Entscheidung hatte TikTok nicht nachgewiesen, dass Standardvertragsklauseln und zusätzliche Maßnahmen die Daten von Nutzern im EWR, auf die aus China zugegriffen wurde, im Wesentlichen gleichwertig schützten.¹ Die Behörde ordnete außerdem an, die Übermittlungen nach China auszusetzen, falls TikTok die Verarbeitung nicht binnen sechs Monaten mit der DSGVO in Einklang bringt.^1,2

Es war die erste Maßnahme der EU zur Durchsetzung der Regeln für Datenübermittlungen, die ein anderes Zielland als die USA betraf.² Gegen den Entwurf, den die DPC am 21. Februar 2025 in das Kooperationsverfahren der DSGVO eingebracht hatte, waren keine Einwände erhoben worden.¹ TikTok kündigte an, Berufung einzulegen.² Das Unternehmen erklärte, die Entscheidung betreffe einen ausgewählten Zeitraum vor Jahren und berücksichtige sein Sicherheitsprogramm Project Clover nicht vollständig.²

Im April 2025 hatte TikTok der DPC mitgeteilt, dass entgegen seinen Angaben in der Untersuchung doch begrenzte Daten von Nutzern im EWR auf Servern in China gespeichert worden waren.¹ Die Entscheidung vom 30. April 2025 hatte diese Speicherung nicht berücksichtigt.⁴ Daraufhin eröffnete die DPC eine weitere Untersuchung zu den Übermittlungen auf Server in China.⁴ Die Berufung schob die Zahlung der Geldbußen von selbst auf, nicht aber die Anordnungen zur Aussetzung der Übermittlungen.⁵ Diese setzte der irische High Court bis zur Entscheidung über die Berufung aus, unter der Auflage, dass sie spätestens im März 2026 verhandelt wird und TikTok seine Nutzer über die Entscheidung der DPC unterrichtet.⁵ Eine Berufung der DPC gegen diese Aussetzung wies der Supreme Court am 30. April 2026 ab; über eine solche Aussetzung sei nach irischem Recht zu entscheiden, nicht nach EU-Recht.^6,7 Im Juni 2026 bestätigte der High Court die Feststellung der DPC, dass TikTok gegen die DSGVO verstoßen hatte, verlangte aber, die Anordnung zur Aussetzung der Übermittlungen neu zu prüfen.⁸ Das Urteil über die Berufung gegen die Geldbuße erhielten die Parteien am 30. Juni 2026; veröffentlicht werden sollte es später.⁸