TikTok Embed

Beim Laden des Embeds setzt www.tiktok.com ByteDance Tracking Cookies: tt_webid und tt_webid_v2 (Geräte Identifikatoren, 12 Monate), tt_csrf_token (CSRF Schutz), msToken (Anti Scraping und Session, ca. 30 Minuten), ttwid (TikTok Web Identifier, 12 Monate) sowie _ttp, wenn der Betreiber zusätzlich einen TikTok Pixel nutzt. Bei eingeloggten Besuchern kommen Passport Cookies hinzu, die den Embed Aufruf mit dem TikTok Konto verknüpfen.

Ja. Der Embed lädt Skripte und schreibt Tracking Cookies und ist für den Dienst nicht zwingend erforderlich. Artikel 5(3) ePrivacy Richtlinie verlangt eine vorherige Opt in Einwilligung, und der EDPB stellt klar, dass diese spezifisch, informiert und granular sein muss. Standardlösung ist ein Zwei Klick Platzhalter auf der eigenen Domain, der den iframe erst nach Zustimmung lädt.

Die einzige realistische Grundlage ist die Einwilligung nach Artikel 6(1)(a) DSGVO. Berechtigtes Interesse scheidet aus, weil der Embed großvolumiges Profiling durch ByteDance ermöglicht und den Besucher potenziellen Transfers nach China aussetzt. TikTok selbst nutzt für eigene Verarbeitungen weitere Grundlagen, aber der Betreiber, der den iframe einbettet, ist für die Einholung der Einwilligung verantwortlich, bevor Daten den Besucher Browser verlassen.

Ja. Auch wenn Project Clover Daten europäischer Nutzer in Oracle Rechenzentren innerhalb der EU verlagert, behält ByteDance Personal in China kontrollierten Zugriff. Die irische DPC verhängte 2023 ein Bußgeld von 345 Mio. Euro und 2025 weitere 530 Mio. Euro, vor allem für Übermittlungen und Kinderdaten. Der Embed muss als Hochrisiko Übermittlung in nicht adäquate Drittländer behandelt und entsprechend in der Datenschutzerklärung offengelegt werden.

Ja in den meisten Fällen. Die Kombination aus großvolumiger Verarbeitung durch ByteDance, möglichen Rückschlüssen auf besondere Datenkategorien über die konsumierten Videos und historischen Übermittlungen nach China überschreitet in der Regel die Schwelle von Artikel 35 DSGVO. Die DSFA muss Notwendigkeit, Rechtsgrundlage, Einwilligungsmechanismus, Restrisiko unter Project Clover und geprüfte sicherere Alternativen dokumentieren. In regulierten Sektoren ist auf den Embed zu verzichten.

Blockieren Sie den Embed standardmäßig und ersetzen Sie ihn durch einen Click to load Platzhalter auf der eigenen Domain, der den Datenfluss zu TikTok erklärt. Listen Sie TikTok im Consent Banner als Social Media oder Advertising Vendor und injizieren Sie den iframe erst nach granularer Einwilligung. Dokumentieren Sie die Verarbeitung in der Datenschutzerklärung mit Cookie Liste, Link zu den TikTok Bedingungen und Hinweis auf die China Übermittlung. Auf Seiten für Minderjährige vollständig verzichten.

Übliche Alternativen sind das Herunterladen des MP4 unter Creator Lizenz und Hosting auf der eigenen CDN, ein statisches Vorschaubild mit Link zur TikTok URL oder ein Server Proxy, der das Video abruft, ohne den Besucher Browser den TikTok Endpoints auszusetzen. Für redaktionelle Anwendungen kann ein EU basierter Video Hoster (PeerTube, Vimeo mit EU Residenz, Bunny Stream) die TikTok Integration vollständig ersetzen.

Führen Sie TikTok und ByteDance Ltd als Datenempfänger auf, listen Sie die von www.tiktok.com gesetzten Cookies (tt_webid, tt_webid_v2, tt_csrf_token, msToken, ttwid, _ttp, Passport Varianten) mit Speicherdauer und Zweck auf, weisen Sie auf die Übermittlung außerhalb des EWR und nach China hin, erwähnen Sie Project Clover und referenzieren Sie die DPC Entscheidungen. Aktualisieren Sie den Eintrag bei jeder Änderung der TikTok Angaben.