Kinderdatenschutz: TikTok setzte seine eigenen Altersbeschränkungen nicht durch

Eigentlich müssen Nutzer:innen laut TikToks eigenen Regeln mindestens 13 Jahre alt sein, um einen Account in der Video-Sharing-App anlegen zu dürfen. Doch viele Kinder und Jugendliche schert das wenig. Die App fragt bei der Einrichtung lediglich nach dem Geburtsdatum. Ob die Angaben stimmen, überprüft TikTok nicht.

Intern ist TikTok das Problem lange bekannt. Noch vor gar nicht langer Zeit galten TikTok und die Vorgänger-App musical.ly als ausgesprochene Kinderplattformen, kaum jemand über 14 nutzte die App.

Um dem Problem zu begegnen, hat TikTok ein internes System entwickelt, die so genannte „user rate“. Moderator:innen sollten Nutzer:innen dem Augenschein nach in verschiedene Altersgruppen einordnen. Das berichten zwei unabhängige Quellen gegenüber netzpolitik.org, die Einblick in die internen Moderationspraktiken von TikTok in Europa hatten. Die Praxis wurde mindestens bis Ende 2019 angewandt. Die Kategorien lauteten:

Whitelist+ für Nutzer:innen, die aussehen wie 15 oder älter.
Whitelist für Nutzer:innen, die aussehen wie 13 oder älter.
Blacklist für Nutzer:innen, die aussehen wie jünger als 13.
No rate

Kinder wurden nicht gesperrt

Bemerkenswert: Nutzer:innen, die mutmaßlich jünger als 13 Jahre waren und deswegen in der Gruppe „Blacklist“ landeten, sollen demnach nicht automatisch gesperrt worden sein. Vielmehr wurden ihre Videos in der Reichweite eingeschränkt.

Das steht nicht nur im Widerspruch zu TikToks offiziellen Nutzungsregeln und der Botschaft des Unternehmens an Eltern. Sie lautet: „Wenn Ihr Teenager jünger als 13 Jahre alt ist und sich für ein TikTok-Konto ab 13 Jahren registriert hat, können Sie uns unter privacy@tiktok.com benachrichtigen. Wir leiten dann entsprechende Maßnahme ein.“

Es ist auch ein Verstoß gegen die Datenschutzgesetze der Europäischen Union. Denn laut Datenschutzgrundverordnung brauchen Kinder und Jugendliche unter 16 Jahren die Zustimmung ihrer Eltern, wenn sie Apps wie TikTok, Facebook oder Instagram nutzen wollen, die ihre Daten verarbeiten. Diese Einwilligung muss vorher schriftlich vorliegen.

Auffällige Videos nach Peking eskaliert

In einigen Ländern wie Österreich und Dänemark wurde das Alter für die Einwilligung auf 13 Jahre herabgesetzt, doch auch dort hätte TikTok mit der Praxis zumindest bewusst riskiert, gegen Gesetze zu verstoßen. Denn selbst im Fall der Nutzer:innen, bei denen intern davon ausgegangen wurde, dass sie unter der Altersgrenze liegen, wurde die Einwilligung der Eltern nicht eingeholt.

Das so genannte „user rating“ erfolgte oft im selben Team wie auch die sonstige Moderation, es gab dafür eigens ausgebildete Mitarbeiter:innen. Moderator:innen hatten zusätzlich die Möglichkeit, auffällige Videos an ein anderes Team in Peking zu eskalieren, das auch über die Sperrung von Accounts entscheiden konnte.

TikTok gibt auf Nachfrage von netzpolitik.org keine Auskunft dazu, wie viele Nutzer:innen intern auf der Blacklist landeten und warum ihre Accounts nicht gesperrt oder überprüft wurden. Auch auf unsere Frage, wie viele Nutzer:innen aufgrund der Altersbeschränkung nachträglich gesperrt worden sind, antwortete TikTok nicht.

Auf unsere detaillierten Fragen antwortete das Unternehmen mit folgendem schriftlichen Statement: „Wie unsere Nutzungsbedingungen deutlich machen, ist TikTok für Nutzer*innen ab 13 Jahren gedacht. Wir haben ein Altersfreigabesystem eingerichtet, bei dem Personen aufgefordert werden, ihr tatsächliches Alter anzugeben, um festzustellen, ob sie zur Nutzung unserer Plattform berechtigt sind. Sollten wir außerdem feststellen, dass eine Personen unter 13 Jahren möglicherweise TikTok nutzt, werden wir dies umgehend untersuchen und entsprechende Maßnahmen ergreifen.“

Kategorien auch im Quellcode sichtbar

Bis März dieses Jahres war die Kategorie „user_rate“ auch im Quellcode der App zu sehen: dort, wo Nutzer:innen Kommentare unter den Videos anderer hinterließen. Das entdeckten Sicherheitsforscher:innen des Australian Strategic Policy Institute (ASPI) als sie die App unter die Lupe nahmen. TikTok verwendete dabei ein numerisches System und für die meisten Nutzer:innen war die „user rate“ auf den Wert 1 gesetzt. Einige Nutzer:innen hatten jedoch andere Zahlenwerte. ASPI und netzpolitik.org konnten nicht genauer feststellen, wofür die Werte stehen und TikTok machte auf Anfrage keine Angaben dazu.

Mit einem Update im März verschwand die „user rate“ aus dem Quellcode der Kommentare. Stattdessen steht dort jetzt ein neues Feld: „user_buried“, übersetzt heißt das so viel wie „Nutzer:in begraben“. Der Wert kann auf „true“ oder „false“ gesetzt sein. TikTok machte keine Angaben dazu, wofür dieser Wert steht.

TikTok steht immer wieder in der Kritik, bestimmte Nutzer:innen oder Videos in der Reichweite zu unterdrücken, vor allem durch so genanntes Shadowbanning. In diesen Fällen werden die Videos oder Kommentare nicht gelöscht, sie werden aber unsichtbar für alle außer den Verbannten. Die entsprechende Kategorie in den internen Moderationsrichtlinien von TikTok lautete „visible to self“, sichtbar nur für einen selbst.

Shadowbanning kann eine Möglichkeit sein, um Mobber:innen und Trolle in Schach zu halten. Für die Betroffenen wie für Außenstehende ist der Eingriff schwer nachzuvollziehen. Verbannte bemerken höchstens, dass ihre Videos kaum noch angeschaut werden oder dass niemand auf Kommentare antwortet.

Ein Viertel aller 10-Jährigen nutzen die App

Wie viele Kinder tatsächlich auf TikTok sind, zeigt eine aktuelle Erhebung: In Dänemark sollen 4 von 10 Kindern zwischen 9 und 14 Jahren die App täglich nutzen, das ergab eine aktuelle Umfrage des Dänischen Rundfunks DR. In Deutschland nutzten laut einer Studie von Bitkom ein Viertel aller 10- bis 11-Jährigen die App, unter den 12- bis 13-Jährigen waren es fast ein Drittel. Die Zahlen stammen von 2019. Inzwischen dürften sie noch höher liegen.

Jetzt hat sich die dänische Datenschutzbehörde eingeschaltet. Sie untersucht, ob TikTok womöglich gegen dortige Datenschutzgesetze verstößt. In Dänemark dürfen sich Nutzer:innen unter 13 Jahren nur mit Zustimmung der Eltern bei einer App wie TikTok anmelden. TikTok unternehme nicht genug, um das sicherzustellen, sagte ein Anwalt der Behörde gegenüber DR.

Auch in den Niederlanden und Frankreich haben die Datenschutzbehörden Verfahren eingeleitet. Auslöser ist auch dort der Umgang von TikTok mit Kinder-Daten.

In Dänemark hat TikTok diese Woche das Konto der 12-Jährigen Nutzerin Lianna Riedel Frank gesperrt, die mehr als 10.000 Follower hatte, allerdings erst, nachdem DR über sie berichtet hatte. Sie nutzte TiKTok mit der Zustimmung ihrer Mutter.

In den USA musste TikTok schon Strafe zahlen

In den USA hat TikTok für den sorglosen Umgang mit den Daten von Kindern schon Millionen gezahlt. Im Jahr 2019 verhängten die US-Behörden eine Rekordstrafe von 5,7 Millionen Dollar gegen TikTok, weil das Vorgänger-Unternehmen musical.ly Daten von Kindern unter 13 Jahren ohne Zustimmung der Eltern gesammelt hatte.

Im Rahmen des Vergleichs erklärte sich TikTok damit einverstanden, einen speziellen Dienst für Kinder unter 13 Jahren einzurichten, der nur in den USA verfügbar sein sollte, und versprach, alle hochgeladenen Videos dieser Nutzer:innen zu entfernen.

Laut einer neuen Beschwerde bei der US-amerikanischen Verbraucher- und Wettbewerbsbehörde FTC hat TikTok seine Verpflichtungen jedoch nicht erfüllt.

Derzeit steht TikTok kurz vor dem Aus in den USA, nachdem Donald Trump zwei Dekrete gegen das Unternehmen erlassen hat.

Mehr Kontrolle für Erziehungsberechtigte

Im April hat TikTok neue Kontrollmöglichkeiten für Eltern vorgestellt. Im so genannten „begleiteten Modus“ können Eltern für ihre Kinder die Screentime begrenzen, Videos aus dem Stream filtern oder festlegen, wer ihnen Nachrichten schicken darf. Seit Ende April dürfen außerdem nur noch Nutzer:innen ab 16 Jahren Direktnachrichten in der App senden und empfangen.

Die Datenschutzbehörden sehen das Dilemma der Jugendlichen und ihrer Eltern durchaus. „Für viele Nutzer:innen ist das ein wichtiger Weg um mit Freunden in Kontakt zu sein und in der Corona-Krise gemeinsam Zeit zu verbringen“, schrieb die niederländische Datenschutzbehörde in einem Statement. Gleichzeitig schreibt sie, gerade Kinder und Jugendliche seien besonders verwundbar und müssten daher besonders gut geschützt werden. Vorläufige Ergebnisse der dortigen Überprüfung werden im Laufe des Jahre erwartet.