USA: TikTok könnte biometrische Daten der Anwender sammeln

Shane McNamee zu den möglichen Folgen für deutsche TikTok-Nutzer

[datensicherheit.de, 15.06.2021] Vor Kurzem habe TikTok seine Datenschutzrichtlinien in den USA angepasst und erlaube sich damit selbst das Sammeln biometrischer Daten der Nutzer. Zwar sei nicht klar, „in welchem Umfang TikTok davon tatsächlich Gebrauch machen wird“, jedoch könnten mit biometrischen Daten – im Gegensatz zu allgemeinen Daten – Nutzer eindeutig identifiziert werden. TikTok habe erklärt, „dass dort, wo es das Gesetz verlange, vor dem Einsatz der Technik vorab die Erlaubnis der Nutzer eingeholt werden soll“. Die Wahl, welche den Nutzern am Ende bleibe, sei jedoch begrenzt – entweder Akzeptieren oder den Dienst nicht mehr weiter nutzen. In seiner aktuellen Stellungnahme geht Shane McNamee, „Chief Privacy Officer“ bei Avast, auf diese Situation ein und erklärt nach eigenen Angaben unter Bezugnahme auf die Datenschutzgrundverordnung (DSGVO), „warum diese Änderung in Deutschland nicht so einfach möglich wäre“.

TikTok-Vorgehen in den USA angesichts der DSGVO kaum auf Deutschland zu übertragen

„Durch die Änderung seiner US-Datenschutzrichtlinien hat TikTok in Zukunft die Möglichkeit, biometrische Daten seiner US-Nutzer zu sammeln. Es ist jedoch eher unwahrscheinlich, dass dieses Vorgehen auch nach deutschem Recht erlaubt wäre“, so McNamee und erläutert: „Denn ,biometrische Daten zum Zweck der eindeutigen Identifizierung’ fallen unter eine besondere Kategorie personenbezogener Daten, die gemäß Artikel 9 der Datenschutzgrundverordnung (DSGVO) eine höhere Schutzpriorität haben.“
Die Verarbeitung dieser Daten sei verboten – es sei denn, es werde eine der in Artikel 9 genannten Voraussetzungen erfüllt. „Im Fall von TikTok wäre das am wahrscheinlichsten die ,ausdrückliche Zustimmung’ der Nutzer.“ Zudem müsste TikTok Transparenz über den genauen Zweck der Datenerhebung und -verwendung schaffen. Dazu zähle beispielsweise, „mit wem die Daten geteilt werden dürfen oder wie lange sie gespeichert werden“.

In der EU: TikTok müsste vorab Datenschutz-Folgenabschätzung durchführen

Darüber hinaus müsste TikTok womöglich eine Datenschutz-Folgenabschätzung (DPIA) durchführen, bevor eine biometrische Verarbeitung in der EU möglich wäre. McNamee führt aus: „So schreibt etwa Artikel 35 DSGVO vor, dass in Fällen, in denen die Verarbeitung von Daten – insbesondere unter Verwendung neuer Technologien – wahrscheinlich zu einem ,hohen Risiko für die Rechte und Freiheiten natürlicher Personen’ führt, vorab eine Bewertung der Auswirkungen der geplanten Verarbeitungsvorgänge auf den Schutz der personenbezogenen Daten durchzuführen ist.“
Dieser DSGVO-Artikel weise außerdem darauf hin, dass eine Datenschutz-Folgenabschätzung insbesondere dann durchgeführt werden müsse, wenn es sich um eine „Verarbeitung besonderer Datenkategorien in großem Umfang“ handelt. Im sogenanntén Erwägungsgrund 91 werde die Verarbeitung biometrischer Daten zudem ausdrücklich als ein Vorgang genannt, der wahrscheinlich eine Datenschutz-Folgenabschätzung erfordere. McNamees Fazit: „Im Allgemeinen könnte TikTok Schwierigkeiten haben, die in Artikel 5 DSGVO festgelegten Grundprinzipien der Zweckbindung, dass Daten nur für festgelegte, eindeutige und rechtmäßige Zwecke erhoben werden dürfen, zu erfüllen.“ Gleiches gelte für das Prinzip der Datenminimierung, „dass Daten dem Zweck angemessen sind und auf das notwendige Maß beschränkt werden“.

Weitere Informationen zum Thema:

datensicherheit.de, 26.01.2021
TikTok: Erneut Schwachstelle entdeckt

intersoft consulting
Art. 9 DSGVO Verarbeitung besonderer Kategorien personenbezogener Daten

intersoft consulting
Art. 35 DSGVO Datenschutz-Folgenabschätzung

intersoft consulting
Erwägungsgrund 91 / Erforderlichkeit einer Datenschutz-Folgenabschätzung