Social Media und Datenschutz: Facebook & Instagram

Social Media und Datenschutz stehen in einem strukturellen Spannungsverhältnis: Öffentliche Stellen, Unternehmen und Vereine möchten über Facebook und Instagram kommunizieren, während die Plattformen bereits beim Besuch personenbezogene Daten erheben und für eigene Zwecke verarbeiten können. Die Rechtsprechung stellt klar, dass sich Seitenbetreiber nicht allein mit dem Hinweis auf die technische Zuständigkeit von Meta ihrer datenschutzrechtlichen Verantwortung entziehen können.

1. Ausgangsfrage: Ist der Betrieb einer Fanpage verboten?

Ein generelles, gerichtlich ausgesprochenes Verbot sämtlicher Facebook- oder Instagram-Seiten existiert nicht. Allerdings können einzelne Datenverarbeitungen rechtswidrig sein; ist ein rechtskonformer Betrieb nicht möglich, kann die Datenschutzaufsicht die Deaktivierung anordnen. Die Entscheidungen der Gerichte sind zudem nach ihrem zeitlichen und sachlichen Gegenstand zu unterscheiden: Mehrere Grundsatzurteile betreffen das frühere Datenschutzrecht und ältere Plattformkonfigurationen. Ihre Grundsätze zur Verantwortlichkeit bleiben für Art. 4 Nr. 7 und Art. 26 DSGVO bedeutsam, ersetzen jedoch keine Prüfung der heutigen Technik.

2. EuGH, 5. Juni 2018 – Wirtschaftsakademie Schleswig-Holstein (C-210/16)

Im Verfahren C-210/16, ECLI:EU:C:2018:388 entschied die Große Kammer des EuGH, dass der Betreiber einer Facebook-Fanpage zusammen mit Facebook für bestimmte Datenverarbeitungsvorgänge verantwortlich sein kann. Durch Einrichtung und Konfiguration der Seite ermöglicht der Betreiber die Erhebung von Besucherdaten und erhält unter anderem statistische Auswertungen („Insights“). Der fehlende Zugriff auf sämtliche Rohdaten schließt die Verantwortlichkeit nicht aus.

Die gemeinsame Verantwortlichkeit ist verarbeitungsspezifisch zu bestimmen und bedeutet weder eine gleichgewichtige Beteiligung noch, dass der Seitenbetreiber für jede spätere, allein von Meta entschiedene Verarbeitung haftet. Das Urteil erging noch zur Datenschutzrichtlinie 95/46/EG; die heutige Prüfung knüpft insbesondere an Art. 4 Nr. 7 und Art. 26 DSGVO an.

3. Bundesverwaltungsgericht, 11. September 2019 – 6 C 15.18

Das BVerwG (6 C 15.18) bestätigte, dass die Datenschutzaufsicht grundsätzlich auch den Fanpage-Betreiber in Anspruch nehmen kann. Eine Deaktivierungsanordnung kann verhältnismäßig sein, wenn schwerwiegende Datenschutzmängel bestehen und sich rechtmäßige Zustände anders nicht herstellen lassen. Das Gericht verwies die Sache zur weiteren Tatsachenaufklärung zurück; es hat in diesem Urteil nicht pauschal jeden Fanpage-Betrieb verboten.

4. OVG Schleswig, 25. November 2021 – 4 LB 20/13

Das OVG Schleswig (4 LB 20/13) hielt die im Jahr 2011 angeordnete Deaktivierung der Fanpage der Wirtschaftsakademie für rechtmäßig. Es beanstandete insbesondere die Verarbeitung von Registrierungsdaten für Insights und Werbung ohne tragfähige Erlaubnis sowie unzureichende Transparenz. Entscheidend ist die historische Reichweite: Bewertet wurden Vorgänge und Rechtsvorschriften aus dem Jahr 2011, nicht pauschal die gegenwärtige Meta-Plattform. Das Urteil ist gleichwohl ein markantes Beispiel dafür, dass eine Abschaltung gegenüber dem Seitenbetreiber rechtlich möglich ist.

5. EuGH, 29. Juli 2019 – Fashion ID (C-40/17)

Im Urteil C-40/17, ECLI:EU:C:2019:629 zur Einbindung eines Facebook-„Gefällt mir“-Buttons auf einer fremden Website grenzte der EuGH die gemeinsame Verantwortlichkeit nach Verarbeitungsschritten ab: Sie kann das Erheben und Übermitteln von Daten an Facebook umfassen, ohne sich automatisch auf die nachfolgenden eigenständigen Verarbeitungen durch Facebook zu erstrecken. Für NoDSB folgt daraus die Notwendigkeit, Social-Plugins, Pixel, eingebettete Inhalte und Links technisch und rechtlich voneinander zu unterscheiden. Ein bloßer Hyperlink ist nicht mit einer automatisch Daten übertragenden Einbettung gleichzusetzen.

6. EuGH, 4. Juli 2023 – Meta Platforms/Bundeskartellamt (C-252/21)

Die Entscheidung C-252/21, ECLI:EU:C:2023:537 betrifft die Zusammenführung personenbezogener Daten innerhalb und außerhalb des sozialen Netzwerks. Der EuGH verdeutlichte, dass eine marktmächtige Plattform nicht ohne Weiteres weitreichende Werbeprofile unter Berufung auf Vertragserfüllung oder berechtigte Interessen bilden darf. Bei besonderen Kategorien personenbezogener Daten ist Art. 9 DSGVO gesondert zu beachten. Das Urteil betrifft primär Meta als Plattformverantwortliche, ist aber für die datenschutzrechtliche Beurteilung des Systems bedeutsam, das Fanpage-Betreiber für ihre Öffentlichkeitsarbeit einsetzen.

7. EuGH, 4. Oktober 2024 – Schrems/Meta (C-446/21)

Der EuGH stellte in C-446/21, ECLI:EU:C:2024:834 die Bedeutung der Datenminimierung heraus: Eine Plattform darf personenbezogene Daten nicht zeitlich unbegrenzt und ohne Differenzierung nach ihrer Art für zielgerichtete Werbung zusammenführen und auswerten. Die öffentliche Mitteilung einer sensiblen Information erlaubt nicht beliebige zusätzliche Verarbeitung anderer sensibler Informationen. Auch diese Entscheidung ist kein generelles Fanpage-Verbot, sondern begrenzt die Rechtmäßigkeit datengetriebener Werbeverarbeitung.

8. Social Media und Datenschutz: Was verlangt die DSGVO von Seitenbetreibern?

Aus den Entscheidungen ergeben sich für die konkret mitverantworteten Verarbeitungen insbesondere folgende Prüffelder:

Rechtsgrundlage: Art. 6 Abs. 1 DSGVO für jeden Verarbeitungsvorgang; Art. 9 DSGVO, soweit besondere Datenkategorien betroffen sind. Für Behörden kommt bei amtlicher Öffentlichkeitsarbeit insbesondere Art. 6 Abs. 1 lit. e in Verbindung mit einer hinreichenden Aufgaben- und Befugnisgrundlage in Betracht; eine bloße allgemeine Werbewirkung genügt nicht.
Gemeinsame Verantwortlichkeit: Eine den tatsächlichen Rollen entsprechende Vereinbarung nach Art. 26 DSGVO einschließlich transparenter Darstellung ihrer wesentlichen Inhalte.
Transparenz und Betroffenenrechte: Verständliche Informationen nach Art. 12–14 DSGVO und praktikable Verfahren zur Erfüllung von Auskunfts-, Löschungs- und Widerspruchsrechten.
Endgerätezugriffe: Prüfung der Anforderungen an Cookies und ähnliche Techniken nach § 25 TDDDG, soweit die jeweilige Stelle dem Anwendungsbereich unterfällt; die DSGVO-Rechtsgrundlage allein ersetzt diese Prüfung nicht.
Drittlandübermittlungen: Prüfung von Kapitel V DSGVO, Empfängerbeziehungen und gegebenenfalls der Reichweite eines Angemessenheitsbeschlusses; siehe NoDSB: Internationaler Datentransfer.
Rechenschaftspflicht: Dokumentation nach Art. 5 Abs. 2 DSGVO, gegebenenfalls Verzeichnis der Verarbeitungstätigkeiten und Prüfung der Voraussetzungen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.

9. Spezielle Fragen bei Behörden und Kommunen

Öffentliche Stellen müssen zusätzlich berücksichtigen, dass die Präsenz auf kommerziellen Plattformen nicht den Zugang zu behördlichen Informationen faktisch erzwingen darf. Wesentliche Informationen, Kontakte und Beteiligungsmöglichkeiten sollten auch ohne Social-Media-Konto über eigene, möglichst datenschutzfreundliche Kanäle verfügbar bleiben. Für amtliche Kommunikation muss außerdem geklärt sein, ob und auf welcher spezialgesetzlichen oder aufgabenbezogenen Grundlage die konkreten Verarbeitungen erforderlich sind.

Die Datenschutzkonferenz (DSK) stellte in ihrem Beschluss vom 23. März 2022 gerade öffentliche Stellen in den Fokus: Lässt sich die Datenschutzkonformität einer Facebook-Fanpage nicht nachweisen, soll auf Deaktivierung hingewirkt werden. Das Kurzgutachten und die FAQ der DSK dienen als aufsichtsbehördliche Bewertungsmaßstäbe, sind aber weder Gesetze noch Gerichtsentscheidungen. Ihre technische Bestandsaufnahme ist vor Anwendung auf den Stand von 2026 zu aktualisieren.

10. Und Instagram? Abgrenzung statt schematischer Gleichsetzung

Instagram und Facebook gehören zum Meta-Konzern, unterscheiden sich aber hinsichtlich Funktionen, Statistikwerkzeugen, Kontomodellen und konkreten Datenflüssen. Die Wirtschaftsakademie-Urteile betreffen unmittelbar Facebook-Fanpages; ihre Grundsätze zur funktionalen Bestimmung gemeinsamer Verantwortlichkeit sind auf vergleichbare Instagram-Verarbeitungen übertragbar, nicht jedoch ohne Prüfung der tatsächlichen technischen und vertraglichen Ausgestaltung. Wer ein professionelles Instagram-Konto nutzt, muss die dort verwendeten Insights-, Interaktions-, Werbe- und Trackingfunktionen gesondert analysieren. Ein Urteil, das den Betrieb sämtlicher Instagram-Konten allgemein untersagt, wird hier ausdrücklich nicht behauptet.

11. Abwägung: Kommunikationsinteresse gegen Grundrechtsschutz

Social Media ermöglicht Reichweite, schnelle Krisenkommunikation und niedrigschwelligen Austausch. Dieses öffentliche und private Kommunikationsinteresse ist ernst zu nehmen. Ihm stehen die Risiken der Verhaltensprofilbildung, des Tracking von Nichtmitgliedern, mangelnder Transparenz und begrenzter Einflussmöglichkeiten auf Meta gegenüber. Eine verantwortliche Entscheidung verlangt deshalb eine dokumentierte Verhältnismäßigkeits- und Alternativenprüfung: Welche Ziele sollen erreicht werden, welche Funktionen sind notwendig, und können dieselben Ziele über die eigene Website, RSS, Newsletter oder datensparsamere Plattformen mit weniger Eingriffen erreicht werden?

12. NoDSB-Einordnung und Handlungsempfehlung

Gemeinsame Verantwortlichkeit ist kein automatisches Verbot, aber auch kein bloßer Formalismus. Wer eine Plattform bewusst als eigenen Kommunikationskanal betreibt und dadurch bestimmte Datenverarbeitungen mitveranlasst, muss die Rechtmäßigkeit dieser Vorgänge nachweisen können. Gerade öffentliche Stellen sollten Social-Media-Präsenzen nicht allein wegen ihrer Verbreitung als selbstverständlich zulässig behandeln. Ist die erforderliche Transparenz, Rechtsgrundlage oder tatsächliche Kontrolle nicht sicherzustellen, ist die Einschränkung oder Beendigung des Kanals ernsthaft in Betracht zu ziehen. Für private Organisationen gilt dieselbe Rechenschaftslogik, gegebenenfalls auf anderer Rechtsgrundlage und mit anderem Gewicht der Interessen.

Häufige Fragen zu Social Media und Datenschutz

Sind Facebook-Fanpages nach der DSGVO generell verboten?

Nein. Die Rechtsprechung begründet kein generelles Plattformverbot. Vielmehr müssen Verantwortliche für ihre konkreten Datenverarbeitungen eine Rechtsgrundlage und die übrigen Datenschutzanforderungen nachweisen. Bei festgestellter Rechtswidrigkeit kann eine Aufsichtsbehörde die Deaktivierung einer bestimmten Fanpage anordnen.

Wer ist für Facebook Insights verantwortlich?

Nach dem EuGH-Urteil C-210/16 können Betreiber einer Facebook-Fanpage für bestimmte Verarbeitungen im Zusammenhang mit der Seitenstatistik gemeinsam mit dem Plattformunternehmen verantwortlich sein. Der genaue Umfang hängt von der konkreten Verarbeitung ab; Art. 26 DSGVO verlangt eine transparente Festlegung der jeweiligen Pflichten.

Gelten die Fanpage-Urteile ebenso für Instagram?

Die Grundsätze gemeinsamer Verantwortlichkeit können auch für Instagram relevant sein. Ihre Anwendung erfordert jedoch eine Prüfung der jeweiligen Konto- und Trackingfunktionen. Die Urteile zu Facebook betreffen nicht automatisch sämtliche Instagram-Angebote.

13. Gerichtsentscheidungen und Primärquellen

Weiterlesen auf NoDSB

Die NoDSB-Rechtsprechungsdatenbank erschließt weitere gerichtliche Entscheidungen; die Fachseite Internationaler Datentransfer erläutert die zusätzlichen Anforderungen bei Datenübermittlungen in Drittstaaten. Eine artikelgenaue Zuordnung zu Einträgen der NoDSB-Fachbibliothek ist gesondert zu prüfen; die externen Primärquellen sind hier unmittelbar verlinkt.

Social Media und Datenschutz: Facebook- und Instagram-Fanpages in der Rechtsprechung