DSGVO auf Social Media: Die 7 häufigsten Fehler von KMU — und wie du sie vermeidest

Das klassischste Problem: Das Team beim Sommerfest fotografiert, Kundin beim Beratungsgespräch im Hintergrund, Lieferant beim Abladen — und schwupps ist das Foto auf Instagram. Ohne Einwilligung der abgebildeten Personen ist das ein klarer Verstoß gegen das Recht am eigenen Bild (§ 22 KUG) und die DSGVO.

Besonders tückisch: Auch wenn die Person "im Hintergrund" ist oder nicht das Motiv des Fotos, reicht es, dass sie erkennbar ist. Mitarbeiterfotos brauchen eine separate Einwilligung — die Einwilligung im Arbeitsvertrag reicht nicht aus.

Canva, Hootsuite, Buffer, Later, Mailchimp — viele der beliebtesten Marketing-Tools sind US-amerikanisch. Wenn du damit Daten von EU-Bürgern verarbeitest (und das tust du, sobald du damit Posts planst oder Newsletter verwaltest), brauchst du eine gültige Rechtsgrundlage für den Datentransfer in die USA.

Seit dem EU-US Data Privacy Framework (2023) gibt es wieder eine legale Grundlage — aber nur wenn der Anbieter zertifiziert ist. Viele kleinere Tools sind es nicht. Prüfen lässt sich das im offiziellen DPF-Register unter dataprivacyframework.gov.

Deine Website hat eine Datenschutzerklärung? Gut. Aber dein Instagram-Profil, deine Facebook-Seite und dein LinkedIn-Auftritt brauchen ebenfalls einen Hinweis auf Datenschutz — entweder direkt in der Bio oder über einen Link zur Website-Datenschutzerklärung, die explizit Social Media abdeckt.

Noch häufiger vergessen: Wenn du über Social Media Direktnachrichten erhältst und daraus Kundenbeziehungen entstehen, ist das eine eigenständige Datenverarbeitung die erklärt werden muss. Gleiches gilt für Gewinnspiele, Umfragen und interaktive Story-Features.

Der Facebook Pixel (heute Meta Pixel), TikTok Pixel, LinkedIn Insight Tag — diese Tracking-Codes auf deiner Website senden Besucherdaten an die jeweiligen Plattformen. Das ist nur zulässig, wenn der Websitebesucher vorher aktiv eingewilligt hat. "Aktiv" bedeutet: kein vorausgefülltes Häkchen, kein "Weiter surfen bedeutet Einwilligung".

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat 2023 mehrere Abmahnwellen wegen unzulässig eingesetzter Tracking-Pixel ausgelöst. Auch die österreichische DSB hat mehrere Entscheidungen gegen den Einsatz von US-Analytics-Tools ohne valide Einwilligung gefällt.

Kunden schreiben über Instagram-DM ihre Adresse für eine Lieferung. Jemand kommentiert einen Post mit seiner Handynummer. Diese Daten landen in einem Screenshot, werden in WhatsApp weitergeleitet, landen im Excel-Sheet des Außendienstlers. Ohne Auftragsverarbeitungsvertrag, ohne Löschkonzept, oft ohne irgendjemanden der weiß, dass diese Daten überhaupt existieren.

Wenn du mit Influencern oder Creators zusammenarbeitest, teilst du oft Daten: Produktinformationen, Kampagnenbriefings, manchmal auch Kundendaten für Co-Creations oder Gewinnspiele. Ohne Auftragsverarbeitungsvertrag (AVV) mit dem Creator ist das ein DSGVO-Verstoß — auch wenn der Creator nur zwei Posts für dich macht.

Wenige KMU regeln das korrekt. Meistens gibt es gar keinen schriftlichen Vertrag, oder der Vertrag regelt nur Vergütung und Nutzungsrechte, nicht Datenschutz.

Die DSGVO schreibt Datensparsamkeit und Speicherbegrenzung vor: Daten dürfen nur so lange gespeichert werden, wie sie für den ursprünglichen Zweck benötigt werden. Für Social-Media-Daten fehlt in den meisten KMU ein Löschkonzept komplett.

Konkret: Screenshots von Kundenkommunikation aus Social Media, exportierte Kommentar-Listen, gespeicherte Zielgruppenanalysen aus Plattform-Insights — all das muss nach definierten Fristen gelöscht werden.