Das Thema Datenschutz ist für Unternehmen, die soziale Netzwerke wie Facebook nutzen, nicht optional. Besonders Betreiber von Facebook-Fanpages stehen in der Pflicht: Das Urteil des Europäischen Gerichtshofs (EuGH) vom 5. Juni 2018 (C-210/16, „Wirtschaftsakademie“) hat klargestellt, dass sie für die Verarbeitung von Nutzerdaten mitverantwortlich sind — auch wenn sie keinen direkten Zugriff auf die Daten haben. Was das konkret bedeutet und wie du deine Fanpage DSGVO-konform betreibst, zeigt dieser Artikel.
Entscheidung des EuGH zu Facebook-Fanpages
Das Urteil des EuGH vom 5. Juni 2018 (C-210/16) in der Rechtssache „Wirtschaftsakademie“ hat eine klare Linie gezogen: Wer eine Facebook-Fanpage betreibt, ist gemeinsam mit Facebook (heute Meta Platforms) für die Verarbeitung personenbezogener Daten der Seitenbesucher verantwortlich.
Konkret stuft der EuGH sowohl Fanpage-Betreiber als auch Facebook als „gemeinsame Verantwortliche“ nach der DSGVO ein. Die Begründung: Wer die Plattform nutzt und die Seite gestaltet, nimmt — auch ohne direkten Datenzugriff — indirekt Einfluss auf Erhebung und Analyse der Nutzerdaten.
Das Urteil im Detail
- Gemeinsame Verantwortlichkeit: Auch ohne Kontrolle über die eigentliche Datenverarbeitung gilt die Rolle als Auftraggeber, der das Tool nutzt und davon profitiert, als Mitverantwortung.
- Informationspflicht: Der Seitenbetreiber muss Nutzer umfassend über die Datenverarbeitung aufklären — obwohl Facebook die technische Verarbeitung durchführt.
- Datenschutzrechtliche Auswirkungen: Betreiber müssen sicherstellen, dass ihre Plattformnutzung den DSGVO-Vorgaben entspricht und eine Vereinbarung zur gemeinsamen Verantwortlichkeit mit Facebook vorliegt.
Hintergrund des Gerichtsprozesses
Die Wirtschaftsakademie Schleswig-Holstein betrieb eine Facebook-Fanpage, über die Facebook mit dem Tool „Facebook Insights“ Daten der Seitenbesucher sammelte und analysierte, um anonymisierte Nutzungsstatistiken zu erstellen.
Auf diese Datensammlung hatte die Wirtschaftsakademie keinen direkten Einfluss — trotzdem zog sie eine deutsche Datenschutzbehörde zur Verantwortung. Die Akademie legte Einspruch ein und argumentierte, sie habe keine Kontrolle über die Datenverarbeitung und trage daher keine Verantwortung.
Konsequenzen für Fanpage-Betreiber auf Facebook
In der Praxis sind nicht nur Meta Platforms, sondern auch Unternehmen, die Fanpages betreiben, für die Rechtmässigkeit der Datenerfassung mitverantwortlich. Das zieht erhöhte Compliance-Anforderungen nach sich.
Als Betreiber einer Facebook-Seite musst du:
- Nutzer transparent über die Datenverarbeitung informieren,
- gemeinsam mit der Plattform sicherstellen, dass alle DSGVO-Vorgaben eingehalten werden,
- eine entsprechende Vereinbarung zur gemeinsamen Verantwortlichkeit mit der Plattform vorweisen können.
So betreiben Sie Ihre Facebook Fanpage DSGVO-konform
Um deine Facebook-Seite DSGVO-konform zu betreiben, musst du als Betreiber verschiedene Anforderungen erfüllen — sowohl bei der Datenverarbeitung als auch in der Kommunikation mit deinen Nutzern. Das bedeutet: verstehen, welche Rolle Facebook als Plattformbetreiber spielt, und gleichzeitig die eigene Verantwortung für die Verarbeitung von Nutzerdaten ernst nehmen.
Gemeinsame Verantwortlichkeit
Das EuGH-Urteil hat klargestellt: Wer eine Facebook-Fanpage betreibt, ist gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten verantwortlich. Facebook erhebt Daten durch Nutzerinteraktionen mit deiner Seite (z. B. Likes, Kommentare, Besuche), während du als Seitenbetreiber durch Gestaltung und Nutzung der Seite ebenfalls Einfluss auf diese Verarbeitung nimmst.
Gemäss Artikel 26 der DSGVO musst du sicherstellen, dass du eine Vereinbarung zur gemeinsamen Verantwortlichkeit mit Facebook hast. Diese Vereinbarung regelt, wer für welche Datenverarbeitung zuständig ist. Facebook stellt eine Standardvereinbarung zur Verfügung, die du akzeptieren musst, damit die Datenverarbeitung den DSGVO-Anforderungen entspricht.
Datenschutzerklärung
Als Seitenbetreiber bist du verpflichtet, deine Nutzer darüber zu informieren, wie deren Daten verarbeitet werden. Du brauchst eine vollständige Datenschutzerklärung auf deiner Facebook-Seite, die transparent aufzeigt: welche Daten durch deine Seite gesammelt werden (z. B. Interaktionen), welchen Zweck die Datenverarbeitung verfolgt (z. B. Analyse der Nutzerinteraktion oder Marketing), wer Zugriff auf diese Daten hat und welche Rechte die Nutzer in Bezug auf ihre Daten haben (z. B. Auskunftsrecht, Korrektur, Löschung).
Diese Datenschutzerklärung muss auf deiner Facebook-Seite zugänglich sein. Den Link kannst du beispielsweise in den „Über uns“-Einstellungen hinterlegen oder einen angehefteten Beitrag erstellen, der dauerhaft sichtbar bleibt.
Wenn du Tracking-Tools wie Facebook Insights verwendest, musst du ausserdem auf die Verwendung von Cookies hinweisen und den Nutzern eine Möglichkeit zur Ablehnung bieten. Verweise auch auf Facebooks eigene Datenschutzrichtlinie — Facebook trägt als Plattformbetreiber ebenfalls Verantwortung für einen Teil der Datenverarbeitung. Und: Deine Datenschutzerklärung muss die gemeinsame Verantwortlichkeit mit Facebook explizit erwähnen.
Tipp: Neben der Datenschutzerklärung kannst du in den Datenschutzeinstellungen deiner Facebook-Seite angeben, wie du Nutzerdaten verarbeitest und speicherst. Diese Einstellungen ersetzen jedoch keine vollständige Datenschutzerklärung — sie sind nur eine Ergänzung.
Verwendung von Facebook Insights und Cookies
Wenn du Facebook Insights einsetzt, das Nutzerdaten sammelt, musst du in deiner Datenschutzerklärung darauf hinweisen. Die Erklärung muss auch klarstellen, dass durch die Nutzung der Seite Cookies gesetzt werden können — und wie Nutzer diese ablehnen können.
Als Fanpage-Betreiber hast du keinen direkten Einfluss auf die Cookies, die Facebook auf den Geräten der Nutzer setzt. Facebook verwendet verschiedene Cookies für Personalisierung, Werbung, Interaktionsanalyse und Verhaltenstracking. Gesetzt und verwaltet werden sie ausschliesslich durch Facebook, nicht durch dich als Seitenbetreiber.
Trotzdem musst du in deiner Datenschutzerklärung darauf hinweisen, dass auf deiner Seite Cookies verwendet werden — und auf die Cookie-Richtlinie von Facebook verweisen. Nutzer können über ihre Facebook-Einstellungen steuern, welche Cookies sie zulassen, was besonders für Werbung relevant ist.
Kontaktfunktionen und andere Formate
Wenn deine Facebook-Seite Kontaktformulare oder andere interaktive Funktionen bietet (z. B. Newsletter-Abonnements), musst du sicherstellen, dass alle darüber gesammelten Daten DSGVO-konform verarbeitet werden. Das bedeutet: explizite Zustimmung der Nutzer einholen, bevor du deren Daten verwendest.
Erkläre klar, welche Daten gesammelt werden, wozu sie verwendet werden und wie lange sie gespeichert bleiben. Nutzer müssen jederzeit die Möglichkeit haben, ihre Einwilligung zu widerrufen.
Nutzerrechte sicherstellen
Als Fanpage-Betreiber kannst du die Plattformrichtlinien von Facebook nicht ändern. Trotzdem trägst du Verantwortung dafür, dass die Nutzerrechte nach DSGVO auch im Rahmen der Facebook-Nutzung berücksichtigt werden. Facebook stellt den Nutzern die Möglichkeit zur Verfügung, ihre Daten über die Profileinstellungen einzusehen, zu ändern und löschen zu lassen.
In deiner Datenschutzerklärung solltest du darauf hinweisen, dass Nutzer ihre Rechte direkt über ihre Facebook-Kontoeinstellungen ausüben können. Erkläre ausserdem, wie Facebook die Datenverwaltung und -löschung für Nutzer handhabt.
Es ist also nicht deine Aufgabe, diese Rechte technisch umzusetzen — aber du musst Nutzer darüber informieren, wie sie auf Facebook vorgehen können, und klarstellen, dass Facebook als Plattformbetreiber die entsprechende Infrastruktur bereitstellt.
Erforderliche Sicherheitsvorkehrungen treffen
Die DSGVO verlangt, dass personenbezogene Daten sicher verarbeitet werden. Als Seitenbetreiber solltest du geeignete technische und organisatorische Massnahmen ergreifen, um Daten vor unbefugtem Zugriff, Verlust oder Zerstörung zu schützen.
Konkret heisst das: sichere Passwörter für den Zugang zu deiner Facebook-Seite verwenden und die Sicherheitsrichtlinien von Facebook regelmässig prüfen.
DSGVO-konform aufgestellt: Was zählt
Wer eine Facebook-Fanpage betreibt, übernimmt gemeinsam mit Facebook Verantwortung für die Verarbeitung personenbezogener Daten. Das ist nicht nur Theorie — das EuGH-Urteil hat diese Mitverantwortung rechtsverbindlich festgestellt.
Was du konkret brauchst: eine transparente Datenschutzerklärung, eine akzeptierte Vereinbarung zur gemeinsamen Verantwortlichkeit mit Facebook, informierte Nutzer und gelebte Nutzerrechte. Wer diese Punkte umsetzt, ist rechtlich solide aufgestellt — und schafft gleichzeitig eine Grundlage, der Nutzer vertrauen können.